(電子商務(wù)研究中心訊) 央視新聞一條微博指出：【無線WiFi莫亂蹭當(dāng)心銀行卡被盜刷】配置一個公共釣魚的免費(fèi)WiFi，一套無線路由器，黑客就可輕松竊取上網(wǎng)用戶的網(wǎng)銀密碼、賬號。手機(jī)專家提醒：小米2、三星Galaxy S4、谷歌的Nexus4及華為、聯(lián)想等手機(jī)機(jī)型皆存在易被攻擊的安全漏洞!假期出游，盡量不要用免費(fèi)WiFi進(jìn)網(wǎng)銀、支付寶!擴(kuò)散提醒!
是真是假，來看看知乎上的技術(shù)大拿是怎么解釋的!
用商家提供的免費(fèi)Wi-Fi上網(wǎng)購物和操作網(wǎng)銀安全嗎?
不安全。
你會用那些免費(fèi)Wi-Fi上網(wǎng)購物和操作網(wǎng)銀嗎?
有可能。不過我會準(zhǔn)備一張銀行卡專門用于這種情形下的網(wǎng)絡(luò)購物，這張卡余額不會超過1000元，并使用和其它銀行卡完全不同的密碼。
明知不安全你還用?
如我在《安全風(fēng)險漫談之一：后門和借錢》中所述，處理不同價值的資產(chǎn)時，對風(fēng)險的態(tài)度是不一樣的。通過控制風(fēng)險涉及的資產(chǎn)價值，可以實(shí)現(xiàn)方便和安全之間的平衡。不因噎廢食，也不因食忘噎。
免費(fèi)Wi-Fi為什么不安全?
很多免費(fèi)Wi-Fi傳輸都不加密，加密的那些密碼也很容易得到——問店員。最重要的是：當(dāng)你接入一個叫“Starbucks”的接入點(diǎn)時，你無法確認(rèn)這是星巴克提供的，還是猩疤客提供的。需要強(qiáng)調(diào)的是：這些是Wi-Fi的通病，免費(fèi)不免費(fèi)都一樣存在這些問題。
網(wǎng)銀不是都HTTPS通信嗎? HTTPS不是安全的嗎?
網(wǎng)銀不是有“U盾”嗎?用“U盾”還不安全嗎?
這類問題大概相當(dāng)于“穿防彈衣還會被槍打死嗎”?
HTTPS是一個大概念，其中包含了若干種算法和子協(xié)議，這些算法和子協(xié)議中的某些已經(jīng)被找到了攻擊方法。例如BEAST、CRIME、Padding、Lucky 13等技術(shù)。
設(shè)計的理想和實(shí)現(xiàn)的完美是兩回事。據(jù)我們測試，特別是一些手機(jī)上的瀏覽器，在HTTPS的具體實(shí)現(xiàn)上有比較嚴(yán)重的問題，很容易受到攻擊。
最重要的是：攻擊網(wǎng)銀根本用不著和HTTPS或是U盾直接對抗。
面對一座固若金湯的城池，只能硬拼強(qiáng)攻?攻擊者的目標(biāo)并非突破城墻，而是進(jìn)入城內(nèi)。所以三千年前希臘人就選擇了另一條路，讓認(rèn)為自己有HTTPS和U盾就可高枕無憂的特洛伊人吃了一驚，然后把他們都?xì)⒘恕?/p>
當(dāng)你連接了一個“猩疤客”的Wi-Fi接入點(diǎn)，攻擊者有非常非常多的方法在你的系統(tǒng)上植入木馬(就像3000年前希臘人干的那樣)。
而在系統(tǒng)被植入的木馬控制后，當(dāng)希臘士兵藏在木馬里進(jìn)入特洛伊城之后，一切就是另一回事了。
我們協(xié)助某銀行處理過一個案件：用戶在使用了U盾的情況下，通過網(wǎng)銀被盜轉(zhuǎn)近百萬元。這事沒有公開報道，我也不能透露具體犯罪手段，不能提供當(dāng)事人姓名聯(lián)系方式家庭住址等細(xì)節(jié)來證明真有其事，我甚至都不能告訴你是哪家銀行，因?yàn)橐婵蛻舯Ｃ堋２贿^，如果公開報道可以讓你相信此事——2011年4月15日《新京報》第A14版刊載過一起案件：某用戶在使用了U盾的情況下，被盜轉(zhuǎn)30萬元。
如需要看更多案例請搜索關(guān)鍵字“U盾+仍被盜”。
注1：前些年我們和國內(nèi)一些銀行合作，對網(wǎng)銀安全進(jìn)行過長時間的研究，結(jié)論是：至少對當(dāng)時的網(wǎng)銀來說，攻擊者入侵用戶電腦后，在有U盾的情況下仍然可以實(shí)現(xiàn)盜取。銀行后來根據(jù)我們提交的報告進(jìn)行了改進(jìn)，現(xiàn)在好多了。譬如在使用了有顯示屏和按鍵的新型U盾后，類似前面提到的《新京報》所刊載那起案件中的犯罪手法就無效了。
注2：“U盾”是用于身份認(rèn)證的有存儲數(shù)字證書等安全功能的USB安全設(shè)備的俗稱之一，本文中泛指所有此類設(shè)備。（來源：網(wǎng)絡(luò)安全知識）
