對抗中間人（MITM）攻擊：微軟考慮在IE中引入新的防護機制
責編：admin ｜2014-11-19 07:22:14微軟正在考慮引入public-key pinning機制，以抵御針對IE的中間人(MITM)攻擊。Public-key pinning作為一項對HTTP的拓展，由Google安全工程師今年10月遞交給了互聯網工程任務組(Internet Engineering Task Force， IETF)。
這項機制能夠保護用戶防御偽造證書引起的MITM中間人攻擊，大部分的中間人攻擊也正是基于偽造證書。攻擊者會用偽造的或者竊取到的證書獲取用戶瀏覽器的信任，從而使得用戶誤把攻擊者的惡意網站當成正規的網站。
Public-key pinning機制之所以能夠防御中間人攻擊，是因為這項機制允許網站詳細說明網站的有效證書是哪一家CA發行的，不再隨便接受證書管理器內的數百家Root CA之一發行的證書，也就是把某個證書認證機構(CA)發行的一組公鑰與某個域名綁定起來。采用這項機制后，如果用戶訪問的網站與綁定的公鑰不符，瀏覽器就會拒絕加密連接。
瀏覽器支持
想要采用這個機制，首先瀏覽器得先要支持它。Google Chrome已經支持public-key pinning，而今年9月發行的Mozilla Firefox 32，也已經包含PKP功能。而現在微軟也正在考慮要在IE瀏覽器中引入這項機制。
MITM中間人攻擊的方式各種各樣，但眾多攻擊中，最關鍵的一點是使用偽造的證書。為了讓用戶瀏覽器信任攻擊者控制的網站，攻擊者會使用偽造的或者竊取的證書。這種手法非常常見，而最近這種技術經常出現在一些比較知名的攻擊中。
近年來知名的MITM中間人攻擊事件
2011年，攻擊者竊取了荷蘭證書認證機構(CA)DigiNotar的證書并私自頒發了眾多知名網站的證書，包括Google， Yahoo和Mozilla基金會的證書。
2011年3月，攻擊者又竊取了Comodo的證書，頒發了Mozilla， Skype和Yahoo域名的證書。
而今年中國也發生多起中間人攻擊事件：
微軟賬號系統遭遇大規模SSL中間人攻擊
國內iCloud服務器遭遇中間人攻擊，中國蘋果用戶隱私不保
根本停不下來：Yahoo在中國遭遇SSL中間人攻擊