เมื่อใช้เครือข่ายที่ไม่ปลอดภัย HTTPS จะไม่มีการป้องกันผู้โจมตีที่มีความรู้และโดยเฉพาะกับเว็บไซต์ที่ใช้ทั้ง HTTP และ HTTPS
นี่คือตัวอย่างหนึ่ง: เมื่อคุณพิมพ์ facebook.com ในแถบที่อยู่แสดงว่าคุณกำลังเริ่มการเชื่อมต่อ HTTP ไซต์จะเปลี่ยนเส้นทางคุณไปยังหน้า HTTPS อย่างไรก็ตามผู้โจมตีที่อยู่ระหว่างคุณกับ facebook.com อย่างเหมาะสมสามารถแก้ไขการเปลี่ยนเส้นทาง HTTPS นี้เป็นการเปลี่ยนเส้นทาง HTTP
และขโมยรหัสผ่านของคุณ
หรือแม้แต่ฉีดมัลแวร์เข้าไปในการตอบสนองของเว็บไซต์และติดคอมพิวเตอร์ของคุณ
สิ่งที่คุณสามารถทำได้เพื่อหลีกเลี่ยงสถานการณ์นี้คือพิมพ์ https://www.facebook.com แทน facebook.com. อีกสิ่งที่คุณสามารถทำได้คือเก็บหน้า HTTPS ของ facebook.com ไว้และใช้แทนการพิมพ์
การใช้เบราว์เซอร์เพื่อตรวจสอบข้อมูลรับรองของไซต์เป็นการทดสอบที่ดีมาก
แต่หลายเว็บไซต์ยอดนิยมได้เห็นข้อมูลประจำตัวของพวกเขาถูกขโมยหรือ
ปลอม
แฮกเกอร์ยังสามารถใช้ข้อมูลรับรองสำหรับชื่อเว็บไซต์ที่คล้ายกับชื่อของเว็บไซต์ที่พยายามเข้าถึง
จะไม่ตรวจจับ
แม้แต่ทราฟฟิก HTTPS ที่บริสุทธิ์ก็สามารถถูกโจมตีและแตกได้
แพนธีออนทั้งหมดของแฮ็คได้รับการแนะนำในช่วงไม่กี่ปีที่ผ่านมาที่มีชื่อเช่น อาชญากรรม , BEAST , โชคดี 13 , SSLStrip และ การละเมิด .
ใช้สิ่งที่เรียกว่า เทคนิคการพยากรณ์ ผู้โจมตีสามารถใช้การบีบอัดเพื่อรับเบาะแสที่สำคัญเกี่ยวกับเนื้อหาของข้อความที่เข้ารหัส นั่นเป็นเพราะการเข้ารหัสหลายรูปแบบรวมถึงที่พบใน HTTPS ทำเพียงเล็กน้อยหรือไม่มีเลยเพื่อหยุดยั้งผู้โจมตีไม่ให้เห็นขนาดของเพย์โหลดที่เข้ารหัส เทคนิคการบีบอัดข้อมูลแบบออราเคิลมีประสิทธิภาพอย่างยิ่งในการกำจัดข้อความขนาดเล็กในสตรีมข้อมูลที่เข้ารหัสเช่นรหัสผ่าน (!)
สิ่งสำคัญคือต้องเข้าใจว่าผู้โจมตีต้องการเท่านั้น
เพื่อสังเกตแพ็กเก็ต HTTPS ขณะที่พวกเขาผ่านเครือข่าย
ซึ่งเขาสามารถทำได้อย่างง่ายดายบนเครือข่ายที่ไม่ปลอดภัยโดยการติดตั้ง ดมกลิ่น .
ในขณะที่ไม่มีการโจมตีใดทำลายระบบความปลอดภัยที่จ่ายโดย HTTPS อย่างสมบูรณ์พวกเขาเน้นถึงความเปราะบางของโปรโตคอล SSL และ TLS อายุสองทศวรรษ
และแม้กระทั่งไลบรารีซอฟต์แวร์ที่ใช้สำหรับการเข้ารหัส HTTPS
การใช้ VPN ให้การป้องกันที่ดีกว่า แต่ตราบใดที่ผู้โจมตีสามารถสังเกตเห็นได้
การรับส่งข้อมูลระหว่างคอมพิวเตอร์ของคุณและเครือข่าย
คุณไม่ปลอดภัยอย่างแน่นอน
แม้ว่ามาตรการแต่ละอย่างที่ฉันได้อธิบายไว้ข้างต้นจะช่วยเพิ่มความปลอดภัย
ไม่มีการรับประกันการปกป้องผู้โจมตีที่มีความรู้ดี
เพียงพอหรืออาจใช้วิธีการโจมตีที่ยังไม่ทราบ
ผู้เชี่ยวชาญด้านความปลอดภัยและเบราว์เซอร์มักอยู่หลังแฮกเกอร์ไปหนึ่งก้าว
แนวทางปฏิบัติที่ดีที่สุดคือไม่ป้อนข้อมูลที่ละเอียดอ่อนเช่นรหัสผ่าน
บนเครือข่ายที่ไม่ปลอดภัย แม้เมื่อผ่านหนังสือรับรองเป็น คุ้กกี้ ,
เช่นในกรณีที่เว็บไซต์เสนอตัวเลือก "การเข้าสู่ระบบ" การจดจำ
ผู้โจมตีที่ขัดขวางข้อความเครือข่ายสามารถแยกคุกกี้เหล่านี้ได้อย่างง่ายดาย
เครื่องมือหนึ่งที่สามารถตรวจจับได้เมื่อ HTTPS ถูกดักจับและป้องกันไม่ให้คุณทัน
ป้อนข้อมูลประจำตัวของคุณคือ Firefox โปรแกรมเสริมมุมมอง .
อย่างไรก็ตามมันไม่สามารถป้องกันจากการถอดรหัส HTTPS ผ่าน sniffer
มุมมองอธิบายว่า:
มุมมองเป็นวิธีการกระจายอำนาจใหม่ในการระบุอย่างปลอดภัย
เซิร์ฟเวอร์อินเทอร์เน็ต มันจะสร้างฐานข้อมูลของเซิร์ฟเวอร์โดยอัตโนมัติ
ข้อมูลประจำตัวที่ใช้การตรวจสอบน้ำหนักเบาโดย "เครือข่ายพรักาน" - เซิร์ฟเวอร์
ตั้งอยู่ที่จุดได้เปรียบหลายจุดทั่วอินเทอร์เน็ต ทุกครั้งที่คุณ
เชื่อมต่อกับมุมมองที่ปลอดภัยของเว็บไซต์เปรียบเทียบเว็บไซต์
ใบรับรองที่มีข้อมูลทนายความเครือข่ายและเตือนหากมี
ไม่ตรงกัน วิธีนี้คุณจะรู้ว่าใบรับรองควรเชื่อถือได้หรือไม่! การใช้
เปอร์สเปคทีฟป้องกันการจู่โจมแบบ "คนกลาง" ให้คุณใช้
ใบรับรองที่ลงนามเองและช่วยให้คุณวางใจได้ว่าการเชื่อมต่อของคุณ
ปลอดภัยจริงๆ
