■劉文
防止SSL劫持的終極方法
■劉文

眾所周知,我們正處在一個(gè)存在著各種詐騙、劫持的網(wǎng)絡(luò)年代,我們的各種帳號(hào)密碼很多時(shí)候都能很容易地被黑客竊取。由此很多網(wǎng)站使用HTTPS來(lái)保護(hù)用戶的信息不被竊取。而HTTPS本身所使用的SSL協(xié)議也并不是完美無(wú)缺,即使能確保本機(jī)安全,也還存在著各種SSL劫持了,令人防不勝防。
曾經(jīng)發(fā)生過(guò)并被大眾知曉的SSL劫持有:Comodo CA被黑客入侵用于偽造SSL證書(shū)、DigiNotar CA被黑客入侵用于偽造SSL證書(shū)、法國(guó)政府偽造CA證書(shū)用于劫持Gmail等。當(dāng)然,還有廣為流傳的CNN IC,雖然并沒(méi)有被發(fā)現(xiàn)進(jìn)行過(guò)SSL劫持,不過(guò)鑒于其之前的所作所為,很多人還是很擔(dān)心某天會(huì)針對(duì)自己進(jìn)行劫持,而針對(duì)單人的劫持比較難以發(fā)現(xiàn)。
所以很多人為了安全起見(jiàn),將CNN IC的SSL證書(shū)標(biāo)記為不信任,但由此帶來(lái)了一些問(wèn)題,比如中國(guó)區(qū)的戰(zhàn)網(wǎng)使用了CNN IC頒發(fā)的證書(shū)導(dǎo)致無(wú)法連接,中國(guó)區(qū)的W indow s Azure也使用了CNN IC頒發(fā)的證書(shū)導(dǎo)致無(wú)法連接等問(wèn)題。而除了CNNIC,很多人還擔(dān)心很多中級(jí)CA機(jī)構(gòu)會(huì)以更隱蔽的方式進(jìn)行劫持。
鑒于存在著這些問(wèn)題,那么就需要有相應(yīng)的解決方法。筆者在這里介紹一個(gè)用于預(yù)防SSL劫持的開(kāi)源工具,使用中不存在刪除證書(shū)的各種問(wèn)題,也不存在擔(dān)心中級(jí)CA機(jī)構(gòu)的問(wèn)題。此工具的項(xiàng)目地址為:https://github.com/lehui 99/scphcp,依賴于python,安裝python后根據(jù)項(xiàng)目主頁(yè)中的問(wèn)于答進(jìn)行操作即可使用。
使用此工具后只能防止SSL劫持,并不能防止HTTP劫持,所以訪問(wèn)重要的網(wǎng)站時(shí)需要確保使用的是HTTPS進(jìn)行訪問(wèn)。目前使用此工具需要一定的電腦知識(shí),需要會(huì)安裝python并設(shè)置環(huán)境變量并編輯配置文件,筆者會(huì)在后續(xù)開(kāi)發(fā)中制作一個(gè)簡(jiǎn)易使用的exe版給大家。