微软账号系统遭遇大规模SSL中间人攻击

10月2日至10月6日,微软账号(login.live.com)在中国大陆地区遭受大面积SSL中间人攻击。访问网站后,浏览器提示网站证书不受信任,并且HTTPS(443)端口不可达。

通过对证书的查看,我们发现证书已经被攻击者替换了

假冒的为hotmail证书,可以看见连hotmail都拼错了,少了个“l”(这是测试用的么?)

对比正常的证书

SSL中间人攻击案例

对于SSL证书替换的中间人攻击,其实并不是第一次。

2011年,Skype出现SSL中间人攻击,登录网站被定向北京市公安局网络安全保卫处

2013年1月26日GitHub遭受SSL中间人攻击。

http://www.zhihu.com/question/20744127

2014年9月30日,Yahoo在中国大陆遭受SSL中间人攻击

http://www.solidot.org/story?sid=41316

2014年8月Google IPv6教育网出现SSL错误,HTTPS通信由TLSv2变成了TLSv1。(这可能就是“Google急着杀死加密算法SHA-1”的原因了,详情:http://www.freebuf.com/news/special/44288.html)

作为鱼肉的我们,建议在网站证书提示时,查看证书信息,谨慎输入账号密码或者及时修改。

更新

截止10月6日晚20:45分开始 login.live.com再次受到攻击

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2014-10-06

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏北京马哥教育

大型网站的HTTPS实践(一)---HTTPS协议和原理

1前言 百度已经于近日上线了全站HTTPS的安全搜索,默认会将HTTP请求跳转成HTTPS。本文重点介绍HTTPS协议,并简单介绍部署全站HTTPS的意义。 ...

34060
来自专栏阮一峰的网络日志

数字签名是什么?

今天,我读到一篇好文章。 它用图片通俗易懂地解释了,"数字签名"(digital signature)和"数字证书"(digital certificate)到...

32450
来自专栏Vamei实验室

协议森林17 我和你的悄悄话 (SSL/TLS协议)

作者:Vamei 出处:http://www.cnblogs.com/vamei 严禁任何形式转载。

12320
来自专栏Vamei实验室

协议森林17 我和你的悄悄话 (SSL/TLS协议)

TLS名为传输层安全协议(Transport Layer Protocol),这个协议是一套加密的通信协议。它的前身是SSL协议(安全套接层协议,Secure ...

20770
来自专栏blackheart的专栏

[信息安全] 1.密码工具箱

0. 何谓安全? 对于信息安全性的重要性,我想大家都不会否认。那么具体来说应该具有哪些特性才能称之为安全呢?举个简单的例子:我给你发送一条消息“借给我100元”...

231100
来自专栏IMWeb前端团队

HTTPS科普扫盲帖

本文作者:IMWeb 陈映平 原文出处:IMWeb社区 未经同意,禁止转载 为什么需要https HTTP是明文传输的,也就意味着,介于发送端、接收端...

89680
来自专栏安智客

密码技术之数字签名

我们知道,散列函数解决了消息的完整性防止篡改,消息认证码解决的是消息发送者是否被伪装的问题,但是消息的防抵赖性如何保证呢?因为发送接收双方都共享一个密钥,因为对...

17720
来自专栏喵了个咪的博客空间

[Golang软件推荐] RSA公私钥加解密(解决Golang私钥加密公钥解密问题)

安全是软件开始中很重要的一个环节,在金融场景以及设计资产的场景下更是如此,在加密算法中主要使用较多加密方式分别是对称加密和非对称加密,对称加密中的代表是AES,...

77340
来自专栏北京马哥教育

Openssl加密解密原理+CA自建实现

前言 互联网的惊人发展使企业和消费者都感到非常兴奋,它正改变着我们的生活和工作方式。但是,互联网的安全程度如何——尤其是在通过它发送机密信息时的安全性——已...

42760
来自专栏北京马哥教育

加密传输原理

数字签名,就是通过在数据单元上附加数据,或对数据单元进行秘密变换,从而使接收者可以确认数据来源和完整性。简单说来,数字签名是防止他人对传输的文件进行破坏,以及确...

371100

扫码关注云+社区

领取腾讯云代金券