谷歌安全浏览API出问题 移动浏览器无法显示攻击警告
网易科技讯5月25日消息，据ZDNet报道，由亚利桑那州立大学的学者和PayPal员工组成的研究团队最近宣称，从2017年年中到2018年年末的一年半时间里，由于谷歌安全浏览API出现问题，导致Chrome、火狐以及Safari等移动浏览器无法显示网络钓鱼攻击警告。
研究人员表示:“我们发现，在顶级移动网络浏览器的保护方面存在一个巨大漏洞。令人震惊的是，Chrome、Safari和火狐等移动浏览器在2017年年中至2018年末期间没有显示任何黑名单警告，尽管存在暗含黑名单保护的安全设置。”不过，这个问题只影响了使用谷歌安全浏览链接黑名单技术的移动浏览器。
研究团队已经通知了谷歌这个问题，后者在2018年末将其修复。研究人员称:“在我们披露这个漏洞后，我们了解到，移动GSB黑名单出现不一致性是由于向一种旨在优化数据使用的新移动API过渡所致，而这种API最终并没有发挥预期的作用。”
这一重大安全漏洞是在2017年初启动的、名为PhishFarm的学术研究项目中发现的。在此期间，研究人员创建并部署了2380个模仿PayPal登录的网络钓鱼页面，但他们没有测量URL在URL黑名单上出现的速度，而是专注于部署带有“伪装技术”的网络钓鱼页面，这些页面目的是欺骗URL黑名单技术，然后记录这些“伪装”的网络钓鱼页面进入“危险网站”列表所花费的时间。
对于PhishFarm，研究人员测试了许多URL黑名单，如谷歌安全浏览、微软智能屏幕以及由US-CERT、Anti-Phishing Working Group、PayPal、PhishTank、Netcraft、WebSense、McAfee和ESET管理的黑名单。此外，研究团队的网络钓鱼页面还使用了6种伪装技术，研究人员称他们在现实世界中已经看到了这些网络钓鱼工具的使用。
研究人员表示:“我们发现，能够代表真实世界攻击的简单伪装技术――包括基于地理位置、设备类型或JavaScript的攻击，平均能有效降低55%以上被列入黑名单的可能性。每个URL黑名单和伪装技术的检测结果各不相同，但最引人注目的是，在使用谷歌安全浏览URL黑名单的移动浏览器上，许多钓鱼攻击都未被检测到。”
当研究人员在2018年年中重复他们的测试时，他们得到了同样的结果，这时他们意识到谷歌的安全浏览技术在移动设备上并不像预期的那样安全。不过研究人员表示，这个问题最终在2018年底得到解决。（小小）
p 本文来源：网易科技报道
责任编辑：张祖韬_NT5054
