黑客是否可以使用 HTTPS 进行网站克隆？答案

【问题标题】：Is it possible for a hacker to make a website clone with HTTPS?黑客是否可以使用 HTTPS 进行网站克隆？
【发布时间】：2017-07-15 07:36:40
【问题描述】：

我在论坛上看到过这个问题，只是我想知道的与我已经读过的略有不同。

我会给你一个我面临的问题的例子：

假设黑客已成功渗透系统并能够欺骗 DNS。现在，如果这个黑客要克隆一个网站，假设这个网站是 facebook，我目前所读到的，他会创建一个 HTTP 网站，因为 HTTPS 会显示为错误。

现在我想知道的是，使用现代 SSL 似乎每个人都可以为自己的网站获得自己的证书。因此，如果有人连接到该网站，它会说该连接是可信的，因为它是具有合法连接的 SSL。

那么，如果该黑客将证书添加到他的克隆/欺骗网络钓鱼网站怎么办？这是否意味着我作为用户会去他的 facebook 页面，在搜索栏中会说连接是合法的（因为他添加了证书）？因为如果这就是重点，则有必要检查我始终打开的每个网站的证书，以查看它是否实际上是属于 facebook 的证书（例如。）

如果有人对此有任何了解，请告诉我，我很想知道这是如何工作的！

【问题讨论】：

您不能只为您不拥有的任意域创建证书。黑客需要 Facebook 使用的证书。
@CBroe：好吧，如果 DNS 遭到入侵，因此我拥有 facebook.com（以 OP 为例），我可以申请 TLS 证书 - 我拥有该域的证据将通过根服务器中的页面、DNS 中的条目或类似的东西。所以是的 - 可以为该被黑域（然后是虚假页面）生成基本证书。
security.stackexchange.com 更适合这个问题
@WoJ 好吧，是的，以防黑客可以“全局”控制 DNS。但从这个问题来看，黑客似乎只是在某个本地网络级别获得了访问权限，并且能够在那里伪造 DNS 响应。（哪些 DNSSEC 应该有助于防止。）
@CBroe：我的意思是“假设一个黑客已经设法渗透到系统中并能够欺骗 DNS”。我把它读作“黑客拥有 facebook 的 DNS 条目”。的确，它可以表示任何东西（什么是“系统”，“欺骗 DNS”是什么意思？）

【解决方案1】：

前提是

假设黑客已经成功渗透到系统并能够欺骗 DNS。

意味着攻击者对名称 facebook.com 的记录有控制权（换句话说，他可以将 www.facebook.com 指向他选择的 IP）然后是的，你的场景是正确的。

他会

访问该站点的人会看到（www.facebook.com 将是域）

这意味着访问该网站的流量在浏览器和该网站之间得到了正确保护，没有别的。具体来说，这并不能说明该网站是否真的属于 Facebook。

有些网站更进一步，例如Extended Validation Certificates，发行者会在其中进行一些检查以“确保”将证书交付给服务的实际所有者。你会看到类似的东西

如您所见，网站所有者在工具栏上可见。其他浏览器通常使用亮绿色工具栏来指示此类站点。

【讨论】：

我不相信（不再）为您不拥有的域购买证书是一件容易的事。这个话题是在 8 年前提出的——当时很容易（比较这里：sslshopper.com/…）。
@Luke：普通证书的“拥有”定义为“在网站的根目录中放置文件”或“在域的 DNS 中放置记录”。例如，这就是 Let's Encrypt 检查您的“所有权”的方式。 EVC（我提到过）应该承担更多的“所有权重量”——从某种意义上说，发行人已经检查过您“合法”拥有该网站（他们检查的方式取决于 CA，但他们通常需要一些文书工作）跨度>
正确。 CA 仍然不应该受到 DNS 欺骗的影响（尝试许多来源）。在这种情况下，“在 DNS 中为域添加记录”并不明显实现......
这不是被欺骗的 CA - 这是被黑站点的 DNS 记录（请参阅我的回答的第一句话 - 根据第一个 cmets，OP 问题可能有其他解释在问题下方）
这不是我的意思 :-) 你说：普通证书的“拥有”被定义为“在网站的根目录中放置一个文件”或“在 DNS 中放置一条记录域”要通过测试 - 放置“文件”测试/“添加记录”测试，您需要修改 DNS……因此 CA 也需要能够防止欺骗。

【解决方案2】：

不确定这是否是您所要求的，但您已将受信任的 CA 导入浏览器（默认情况下）。攻击者需要有一个由该特定域的受信任机构签名的密钥。我不希望发生这种情况。

另一种选择是破解密钥 - 使用主要浏览器提供商提供的当前技术/定期更新不太可能。

主要的浏览器提供商正在弃用脆弱的算法，以确保您没问题。例如 - 最近由于这个原因 SHA1 被弃用了。有关 SHA1 的更多详细信息，请参见此处：

总而言之 - 您的浏览器会让您知道该网站存在“问题”（警告而不是绿框）。只需选中绿色框（和域）。保持浏览器更新。

【讨论】：