- 23 February 2018
- |Securitate digitala
- | 0
- 1,964
Ai observat ca de la inceputul acestui an Google Chrome a inceput sa marcheze website-urile necriptate ca fiind „Not secure”? Acesta e doar inceputul campaniei Google de a pune la zid website-urile care nu folosesc criptare SSL.
Crezi ca un certificat HTTPS te protejeaza de raufacatori?
Sa luam un exemplu foarte raspandit deja – PayPal – cel mai popular serviciu de plati, cu aproape 200 de milioane de conturi in intreaga lume.
La finele anului trecut LetsEncrypt (o autoritate de certificare gratuita si automata) a emis circa 400 de certificate SSL continand „Paypal” in hostname. Alte astfel de certificari (insa in numar mai mic) au fost si sunt emise pentru BankOfAmerica, Apple, Amazon, Microsoft, Google si alte branduri de calibru mare.
Ceea ce mai face LetsEncrypt, pe langa emiterea acestor certificate, este verificarea website-ului care aplica pentru certificat cu ajutorul serviciului SafeBrowsing. Aceasta verificare este necesara pentru a se asigura ca acel domeniu nu este malitios.
Atat LetsEncrypt cat si alte autoritati de certificare verifica website-urile inainte de a emite certificatul insa de foarte multe ori acestea sunt emise si catre website-uri de phishing.
Cum se poate ca website-urile de phishing sa obtina certificate SSL?
Autoritatile de certificare sunt de parere ca responsabilitatea de a verifica site-urile malitioase nu este a lor ci a browser-ului, in conditiile in care in prezent Google vrea ca toate website-urile sa fie criptate.
Dar in prezent nici acestea, nici browserele nu fac o treaba foarte buna in identificarea si blocarea site-urilor de phishing, cu ajutorul carora criminalii cibernetici inca reusesc sa castige sume importante.
Acestia pot crea foarte usor website-uri de phising care arata aproape identic cu originalul, ca in exemplul de mai jos (pont: singura diferenta intre cele 2 pagini este textul cu verde din bara browser-ului):
Pentru a lupta impotriva site-urilor malitioase de acest gen si pentru a ajuta si alti utilizatori Chrome, Firefox sau Safari cel mai la indemana mod este prin raportarea site-urile de phishing care nu au fost inca blocate catre serviciul Safe Browsing.
O alta modalitate este raportarea mesajelor de phishing la adresa scam@netcraft.com sau la PhishTank. Utilizatorii care folosesc browsere Microsoft pot raporta site-uri de phishing neblocate la SmartScreen.
Iata cum arata un site malitios blocat:
Cum pot utilizatorii verifica daca un website este sigur sau malitios?
Din pacate insa, exista o latenta destul de mare in a lista un website ca fiind blocat ceea ce reprezinta o problema mare in conditiile in care un „phisher” poate castiga profituri frumoase in doar o ora sau chiar mai putin. Mai mult, asa cum ne-am obisnuit deja, acestia sunt foarte inteligenti si au o multime de modalitati de intarziere a blocarii.
Fie ca vina apartine autoritatilor de certificare sau browserelor care ar trebui sa ofere experiente sigure, educarea utilizatorului este esentiala. Expertii in securitate digitala sunt de parere ca oricine foloseste web-ul are responsabilitatea de a-l face mai sigur pentru toti, fiecare dintre noi detine o sfera de control.
Asadar, pentru a surmonta cat mai bine eventualele probleme cu website-urile de phishing si pentru a nu cadea in plasa raufacatorilor, este important sa fim atenti la un set de semnale prin care putem evalua autenticitatea unui site, precum:
- Certificate HTTPS
- Varsta website-ului
- Daca au mai fost si alte vizite ale utilizatorului catre acest site
- Daca utilizatorul s-a logat pe acest site inainte
- Numarul de vizitatori observati pe acest site
- Locatia hosting-ului acestui site
- Prezenta unor termeni sensibili in continut sau URL
- Prezenta formularelor de login sau descarcari executabile
Luate separat aceste semnale nu sunt suficiente pentru a determina daca un site este sigur sau malitios, dar daca utilizatorul le combina isi poate da seama daca este suspect si il poate raporta la serviciul Safe Browsing.
