警惕wifi先天缺陷 15分鐘可竊取帳號(hào)密碼

????警惕“釣魚(yú)Wi-Fi”竊取你的賬號(hào)密碼

????走在沈陽(yáng)大街上，用智能手機(jī)上網(wǎng)，手機(jī)可以自動(dòng)搜索到附近的Wi-Fi網(wǎng)絡(luò)賬號(hào)，有時(shí)甚至有多個(gè)賬號(hào)供選擇登錄上網(wǎng)，這種情況在繁華街區(qū)更為明顯。多數(shù)Wi-Fi網(wǎng)絡(luò)賬號(hào)需要登錄密碼，而在機(jī)場(chǎng)、火車站、圖書(shū)館、商場(chǎng)、咖啡店等公共場(chǎng)所，Wi-Fi網(wǎng)絡(luò)一般是不需要密碼的，部分商家把免費(fèi)Wi-Fi網(wǎng)絡(luò)作為招攬人氣的手段。

????“釣魚(yú)Wi-Fi”15分鐘可竊取密碼

????近日，一位網(wǎng)友發(fā)微博說(shuō)：“今早發(fā)現(xiàn)淘寶賬號(hào)被盜，無(wú)法登錄，幸得客服給力，歷經(jīng)半小時(shí)重新設(shè)置。進(jìn)入賬號(hào)一看，這小偷居然大半夜的舍棄睡眠時(shí)間，潛入我的賬號(hào)買了許多中看不中用的東西，好在沒(méi)法付款，不然損失可就大了?？礃幼右院蟛荒苡霉玫腤i-Fi上淘寶購(gòu)物了?！?/p>

????沈陽(yáng)警方證實(shí)，近期警方在工作中發(fā)現(xiàn)，有黑客在互聯(lián)網(wǎng)上發(fā)帖，介紹如何設(shè)置釣魚(yú)Wi-Fi抓取用戶信息、竊取用戶名和密碼。

????警方表示，從目前已發(fā)案例分析，受害者一般很難發(fā)現(xiàn)黑客搭建的“釣魚(yú)Wi-Fi”的真假，一旦連入，黑客在15分鐘之內(nèi)就可以竊取上網(wǎng)用戶的個(gè)人信息和密碼，包括網(wǎng)銀密碼、炒股賬號(hào)密碼等。黑客的作案地點(diǎn)經(jīng)常是提供免費(fèi)上網(wǎng)的場(chǎng)所，如肯德基、麥當(dāng)勞和一些賓館、咖啡店等有無(wú)線熱點(diǎn)的地方。

????為了讓更多手機(jī)用戶連接到該網(wǎng)絡(luò)，這類惡意Wi-Fi網(wǎng)絡(luò)可以被任意命名，且不設(shè)密碼，可以輕松接入。犯罪分子在用戶瀏覽網(wǎng)頁(yè)或聊天時(shí)竊取用戶的網(wǎng)銀支付寶賬號(hào)等，當(dāng)被害人發(fā)現(xiàn)經(jīng)濟(jì)損失時(shí)，犯罪分子早已逃之夭夭。

????據(jù)了解，類似的“釣魚(yú)Wi-Fi”在國(guó)內(nèi)外早已出現(xiàn)，業(yè)內(nèi)人士也開(kāi)始對(duì)這種犯罪形式加以關(guān)注：一位網(wǎng)友發(fā)帖稱，“初級(jí)黑客兩個(gè)小時(shí)就能掌握竊取UC手機(jī)瀏覽器用戶個(gè)人信息和密碼，熟練后僅需15分鐘。”該網(wǎng)友甚至在帖子中展示了利用釣魚(yú)Wi-Fi竊取UC手機(jī)瀏覽器用戶信息和密碼的流程。

????網(wǎng)上流傳的一段視頻也顯示，通過(guò)咖啡店提供的免費(fèi)Wi-Fi，可以很容易地查看和拷貝使用該Wi-Fi上網(wǎng)的智能手機(jī)中的文件、照片和聊天記錄等。

????有專家提醒，如果在商場(chǎng)、酒店、機(jī)場(chǎng)、咖啡廳、快餐店等公共場(chǎng)所搜索到一個(gè)無(wú)需密碼便可免費(fèi)使用的Wi-Fi網(wǎng)絡(luò)，最好慎重一點(diǎn)，當(dāng)心免費(fèi)的Wi-Fi是一只“披著羊皮的狼”。

????“先天缺陷”導(dǎo)致Wi-Fi被黑客盯上

????多次為單位設(shè)置Wi-Fi網(wǎng)絡(luò)的王峰告訴記者，相對(duì)于電信運(yùn)營(yíng)商提供的無(wú)線網(wǎng)絡(luò)，Wi-Fi的信號(hào)一般覆蓋幾十米到百米范圍，是典型的局域網(wǎng)絡(luò)。黑客通過(guò)Wi-Fi盜取上網(wǎng)用戶的個(gè)人信息和密碼大致通過(guò)兩個(gè)步驟，先通過(guò)Wi-Fi局域網(wǎng)建立釣魚(yú)網(wǎng)站，引受害者上網(wǎng)，然后用破譯密碼的軟件盜取上鉤用戶的信息。不過(guò)，銀行、金融機(jī)構(gòu)、交易平臺(tái)等專業(yè)類應(yīng)用服務(wù)商，一般都很重視自身的安全設(shè)置并不斷升級(jí)，對(duì)用戶信息進(jìn)行嚴(yán)格審查并有效保護(hù)用戶隱私。

????公安部第一研究所專家蘇智睿指出，常規(guī)有線網(wǎng)絡(luò)環(huán)境中物理連接是數(shù)據(jù)交換的基礎(chǔ)，網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)模型建立在物理層安全的前提下。而Wi-Fi以無(wú)線電波傳輸數(shù)據(jù)，常規(guī)有線網(wǎng)絡(luò)中的物理線路變成邏輯上的虛擬鏈路。這本是Wi-Fi的核心優(yōu)勢(shì)，但同時(shí)也成為犯罪者攻擊的目標(biāo)。

????正因?yàn)榇嬖谥踩陨系摹跋忍烊毕荨?，Wi-Fi“釣魚(yú)”就并非難事了。凡是不需要密碼直接接入的無(wú)線網(wǎng)絡(luò)，包括不設(shè)密碼的家庭Wi-Fi和快餐店、咖啡店、酒店、機(jī)場(chǎng)提供的未加密的訪問(wèn)節(jié)點(diǎn)，它們所傳輸?shù)臄?shù)據(jù)內(nèi)容都很容易被黑客截獲。

????由于目前許多智能手機(jī)和平板電腦無(wú)法采用安全系數(shù)更高的HTTPS協(xié)議訪問(wèn)網(wǎng)站(通過(guò)HTTPS上網(wǎng)的速度很慢，網(wǎng)絡(luò)資源消耗很大)，信息被盜的潛在風(fēng)險(xiǎn)遠(yuǎn)遠(yuǎn)高于其他上網(wǎng)形式。

????據(jù)介紹，搭建“釣魚(yú)Wi-Fi”很簡(jiǎn)單，只需要帶有無(wú)線網(wǎng)卡的電腦主機(jī)充當(dāng)虛擬AP，其他帶有無(wú)線網(wǎng)卡的電腦主機(jī)就可以通過(guò)點(diǎn)對(duì)點(diǎn)的方式直接連接。不法分子建立的Wi-Fi網(wǎng)絡(luò)中，被釣的用戶信息會(huì)發(fā)送到不法分子用來(lái)充當(dāng)主機(jī)的筆記本電腦上，引導(dǎo)這些被騙用戶在提前準(zhǔn)備好的“釣魚(yú)”網(wǎng)站上輸入自己的個(gè)人信息和密碼，最終實(shí)現(xiàn)“釣魚(yú)”犯罪的全過(guò)程。

????在已經(jīng)擁有“釣魚(yú)”網(wǎng)站的前提下，設(shè)置“釣魚(yú)”Wi-Fi所需的時(shí)間和成本都是極低的：僅僅需要價(jià)格幾十元到幾百元不等的覆蓋范圍從直徑幾十米乃至幾百米的無(wú)線路由器，加上隨身攜帶的筆記本電腦，便可以配置起一個(gè)Wi-Fi網(wǎng)絡(luò)，吸引受害者上鉤。

????“釣魚(yú)Wi-Fi”所帶來(lái)的安全隱患，除了竊取用戶信息、中間人攻擊以及網(wǎng)絡(luò)濫用，還能造成大范圍無(wú)線網(wǎng)絡(luò)癱瘓、竊聽(tīng)無(wú)線網(wǎng)絡(luò)、發(fā)送垃圾郵件、散布木馬病毒，進(jìn)行商業(yè)網(wǎng)絡(luò)攻擊，甚至竊聽(tīng)竊取國(guó)家機(jī)密等。

????謹(jǐn)慎設(shè)置自動(dòng)連接Wi-Fi功能

????那么，如何破解Wi-Fi所帶來(lái)的安全威脅？

????沈陽(yáng)警方提醒，用戶需謹(jǐn)慎設(shè)置自動(dòng)連接Wi-Fi功能。有些手機(jī)的網(wǎng)絡(luò)設(shè)置中有自動(dòng)連接功能，最好把Wi-Fi連接設(shè)置為手動(dòng)，只有自己想用的時(shí)候才打開(kāi)。市民在公共場(chǎng)合選擇Wi-Fi時(shí)，一定要看清楚網(wǎng)絡(luò)名稱，并向店內(nèi)工作人員問(wèn)清用戶名、密碼等信息。

????有關(guān)專家也提出通過(guò)以下幾個(gè)方面有效降低受到來(lái)自Wi-Fi的安全威脅。

????首先是操作系統(tǒng)經(jīng)常升級(jí)。經(jīng)常升級(jí)智能手機(jī)或平板電腦等Wi-Fi設(shè)備的操作系統(tǒng)，使其支持更多安全選項(xiàng)。

????早期的無(wú)線網(wǎng)絡(luò)設(shè)備由于技術(shù)上的不成熟，無(wú)法支持一些主流或者更高安全性的功能。經(jīng)常使用Wi-Fi的網(wǎng)民最好進(jìn)行手動(dòng)網(wǎng)絡(luò)配置，減少自動(dòng)設(shè)置。通過(guò)手動(dòng)網(wǎng)絡(luò)配置，雖然不一定可以完全阻止攻擊者的入侵，但在一定程度上增加了攻擊的難度，加強(qiáng)了對(duì)網(wǎng)絡(luò)的安全控制，抵擋了一部分技術(shù)水平不高的攻擊。

????此外，應(yīng)安裝防火墻軟件。通過(guò)防火墻設(shè)置，可以有效抵御多種DOS攻擊。在登錄網(wǎng)銀、支付寶、股票證券交易網(wǎng)站時(shí)盡量選擇有線連接方式，防止口令等重要信息以不安全方式傳輸而導(dǎo)致的失竊。

????在設(shè)置無(wú)線路由器時(shí)，選用更安全的加密保護(hù)方式。采用WEP方式時(shí)采用密鑰共享(share)而非開(kāi)放(open)方式，有條件時(shí)盡量使用WAP2方式。這樣可以降低介入密鑰被破解的概率。在設(shè)置密碼時(shí)避免包含個(gè)人信息，盡量降低出現(xiàn)在密碼字典中的概率，比如使用無(wú)意義的數(shù)字和字母組合。這樣可以增加采用字典進(jìn)行暴力破解的難度，減少攻擊者推測(cè)出網(wǎng)絡(luò)關(guān)鍵信息的可能性。

????最后，公共Wi-Fi須慎重使用。網(wǎng)民盡量減少無(wú)線網(wǎng)卡連接不明免費(fèi)公共Wi-Fi。避免釣魚(yú)Wi-Fi造成危害。如果一定要使用公共Wi-Fi，若已經(jīng)有應(yīng)用程序是登錄狀態(tài)，則需要先退出，然后清除緩存。（記者 王晨 實(shí)習(xí)生 楊林）