網(wǎng)絡(luò)安全研究暴露了機(jī)器身份的脆弱性

根據(jù)佐治亞州立大學(xué)循證網(wǎng)絡(luò)安全研究小組的最新研究，SSL和TLS證書的繁榮市場(chǎng) - 用于促進(jìn)組織服務(wù)器與其客戶計(jì)算機(jī)之間保密通信的小型數(shù)據(jù)文件 - 存在于互聯(lián)網(wǎng)的隱藏部分。 (EBCS)和薩里大學(xué)。

Venafi是一家私人持有的機(jī)器身份保護(hù)提供商和研究贊助商，他們使用密鑰和SSL / TLS證書在相互連接時(shí)識(shí)別和驗(yàn)證自己，就像人類使用用戶名和密碼上網(wǎng)一樣。

當(dāng)這些證書在暗網(wǎng)上銷售時(shí)，它們與各種犯罪軟件一起打包，向網(wǎng)絡(luò)犯罪分子提供機(jī)器身份，這些犯罪軟件使用它們來欺騙網(wǎng)站，竊聽加密流量，執(zhí)行攻擊并竊取敏感數(shù)據(jù)等活動(dòng)。

根據(jù)喬治亞州立大學(xué)安德魯·楊政策研究學(xué)院副教授兼EBCS主任的主要作者大衛(wèi)·梅蒙(David Maimon)的說法，揭露這些證書在暗網(wǎng)上的廣泛應(yīng)用是一個(gè)驚喜。在這個(gè)研究的暗網(wǎng)中搜索了五個(gè)市場(chǎng)，發(fā)現(xiàn)了2,943個(gè)“SSL”和75個(gè)“TLS”。相比之下，“勒索軟件”僅提及531個(gè)。

“這項(xiàng)研究的一個(gè)非常有趣的方面是看到TLS證書打包了環(huán)繞式服務(wù) - 例如網(wǎng)頁設(shè)計(jì)服務(wù) - 讓攻擊者能夠立即獲得高水平的在線信譽(yù)和信任，”他說。“令人驚訝的是，發(fā)現(xiàn)獲得擴(kuò)展驗(yàn)證證書是多么容易和便宜，以及在沒有任何驗(yàn)證信息的情況下創(chuàng)建非?？煽康目諝す舅璧乃形臋n。”

“這項(xiàng)研究發(fā)現(xiàn)了在暗網(wǎng)上猖獗出售TLS證書的明顯證據(jù)，”Venafi安全和威脅情報(bào)副總裁Kevin Bocek說。“充當(dāng)受信任的機(jī)器身份的TLS證書顯然是網(wǎng)絡(luò)犯罪工具包的關(guān)鍵部分，就像僵尸程序，勒索軟件和間諜軟件一樣。