-
-
Let's Encrypt颁发的免费HTTPS证书已遭黑客利用
-
发表于:
2016-1-13 13:04
1110
-
Let's Encrypt颁发的免费HTTPS证书已遭黑客利用
新闻链接：http://digi.163.com/16/0107/22/BCOTDLOM00162OUT.html
新闻时间：2016-01-07 22:45:22
新闻正文：自打数字证书认证机构（CA）Let s Encrypt开启beta项目，为公众提供免费HTTPS证书以来，才仅有一个月时间，黑客们已经在打这项服务的主意，通过欺骗性的域来部署他们的恶意软件。
12月份时，安全公司Trend Micro发布消息说，有日本用户访问到一个恶意广告服务器，其上部署了Angler Exploit Kit——它会下载银行木马，自动感染Windows设备。这种木马可让黑客在用户不知情的情况下远程访问系统。
该公司表示，这种恶意广告服务器采用一种名为domain shadowing的技术，攻击者可诱导用户至已受控制的服务器，使用来自Let's Encrypt的安全证书保护的子域掩饰他们的行为。
按照Trend Micro的观察，黑客们会搞个广告，看起来是链接至合法域的。Trend Micro表示，这可能是因为Let's Encrypt在颁发证书之前仅靠谷歌安全浏览API核查域。这无法阻止黑客获取证书，以及在合法站点的保护下创建带恶意软件的子域。Trend Micro的报告表明，Let's Encrypt的服务存在潜在安全问题，并呼吁该组织在发现证书被滥用之后就收回。
netease 本文来源：cnbeta网站 责任编辑：王珏_NT2830
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
