下载本文的 PDF 版本 PDF

CTO 圆桌会议：恶意软件防御

这场战斗比我们大多数人意识到的要大。

随着各种信息资产迁移到线上，恶意软件不断发展，已成为个人威胁的主要来源。在不断演变的猫捉老鼠游戏中，随着安全专业人员关闭访问点，攻击者开发出更复杂的攻击。如今，恶意软件的盈利模式堪比合法世界中的任何模式。

但仍有希望。一些研究表明，虽然 25% 的面向消费者的 PC 感染了某种恶意软件，但商业 PC 领域的感染率约为该比率的一半。这种差异很可能是商业场所的安全专业人员努力防御这些威胁的直接结果。

今天的 CTO 圆桌会议是我们第四次会议，参与者分为用户和供应商。在关于恶意软件防御的对话过程中，我们计划向读者普及当今恶意软件威胁的范围、解决该威胁所需的框架类型，以及如何最大限度地降低违规的总体风险。

CTO 圆桌会议利用 的学术根基和供应商中立的立场，帮助定义和阐明对新兴商业技术的通用最佳实践共识。通过我们的专家组，我们为从业者提供有价值的途径，获取关于未来一到三年人们应该关注和不应该关注的客观和公正的专家建议。—Mache Creeger

参与者

MICHAEL BARRETT 是 PayPal 的首席信息安全官 (CISO)。

JEFF GREEN 是 McAfee Lab 威胁研究部门的负责人，他的角色是将围绕电子邮件、网站、垃圾邮件、网络钓鱼和恶意软件的孤立研究统一起来，以支持企业进行补救管理、补丁管理、风险和合规性。

VLAD GORELIK 是 AVG Technologies 的工程副总裁。他负责 AVG 所谓的行为时间轴——非签名恶意软件防御。他从事非传统恶意软件防御工作已有六七年了。

VINCENT WEAFER 是赛门铁克安全响应副总裁。他的团队专注于恶意软件防御，处理网络钓鱼、欺诈、威胁情报、URL 数据馈送和信誉。

OPINDER BAWA 是加利福尼亚大学旧金山分校 (UCSF) 医学院的首席信息官。

STEVE BOURNE 是 El Dorado Ventures 的首席技术官，他在那里帮助评估风险资本投资机会。在加入 El Dorado 之前，Bourne 曾在 Cisco、Sun、DEC 和 Silicon Graphics 担任软件工程管理职务。他是 的前任主席，并担任 专业委员会和 Queue 编辑委员会的主席。

MACHE CREEGER 是 CTO 圆桌会议系列的主持人。他是 Emergent Technology Associates 的负责人，为专注于企业基础设施的技术公司提供营销和业务发展咨询服务。

CREEGER 让我们首先评估一下您今天看到的恶意软件威胁，以此开始讨论。

WEAFER 在过去的 12 个月中，恶意软件威胁形势是过去几年自然演变的结果。我们看到新型恶意软件的数量呈爆炸式增长。我们还看到了恶意软件复杂性、新型数据挖掘技术和新型自我保护方法的演变，这些方法真正改变了威胁形势。攻击者更容易获得更智能的工具，并以更快的速度和更少的技术技能使用它们，这改变了我们所看到的大部分情况。

我们看到的不是单一的流行病威胁，而是大量的个体威胁。您在一台机器上得到的东西与您在另一台机器上得到的东西完全不同。每次感染都有唯一的签名。您会收到一个独特的恶意软件，可能是世界上任何人都没见过的。威胁已从全球性转变为本地性，再到个性化。

GORELIK 我同意。您还会看到用于分发恶意软件的自动化工具：用于查找易受攻击的站点、攻击它们并将它们变成分发站点。一旦您开始自动化，它就会成为更广泛的分发模型。您开始看到在一次攻击中接触更多人的方法，以及更具创新性的盈利模式和社交工程技术。这些模型相当复杂，与合法世界中看到的营销相当。

BARRETT 大约四年前，当我在美国运通时，我问了一个问题，互联网上有多少台台式电脑被入侵了？令人惊讶的是，很难得到答案，因为行业似乎没有跟踪这个问题。大约一年前，当我与佐治亚理工学院的一些人交谈时，我成功了。根据他们的研究，他们认为这个数字几乎正好是 12%。

有趣的是，如果您与面向消费者的 ISP 交谈，这个数字更接近 25%。总数和面向消费者的部分之间的差异表明，在非消费者领域工作的现场安全从业人员实际上正在产生影响。

BAWA 我们看到的很多恶意软件都是双重的。我们看到通用恶意软件，即我们电脑上试图捕获社会安全号码等信息并将其发送到某个收集点的东西。这些是更通用的、普遍的攻击，可能处于表面级别。我们还发现了很多非常具体的、定制的软件组件，它们会说：“如果它们存在，就遍历这些数据库，扫描这些信息，然后将这 200 万笔交易发送给我。”

在医疗行业，我们看到一整套问题——从下载电影到以数据库为目标获取社会安全号码，以及最新的趋势，即窃取医疗信息。

如果有人窃取了 100 个社会安全号码，这个人可以在街上以每个大约 3 到 4 美元的价格出售它们。如果有人窃取了个人的医疗信息，小偷可以以数千美元的价格将其出售给美国境内需要看医生做手术的人。

GORELIK 这表明恶意软件是一门生意。归根结底，这些人是为了赚钱。如果他们看到可以窃取以获取杠杆的高利润信息，他们就会去追逐它。随着社会安全号码和信用卡号码等事物的市场饱和，它们的价值下降，因此人们转向更高价值的目标。

WEAFER 如果我可以将您的实际地址与您的财务信息或电子邮件地址结合起来，这对攻击者来说更有价值。将低价值信息（原始且没有上下文）提炼为高价值专业内容绝对是一个增长趋势。

虽然我们作为供应商看到复杂性和数量都在增加，但矛盾的是，用户的意识正在下降。除了在过去几个月中受到广泛关注的 Conficker 之外，在过去几年中情况恰恰相反。人们的看法是，2000 年代初期的恶意软件和间谍软件问题已经消失，情况更安全了。您会看到人们的意识降低，并且认为他们不需要担心。挑战在于如何以非危言耸听的方式让人们意识到危险。

BARRETT 有很好的数据表明，很多人认为他们的电脑受到了保护，但实际上并没有。他们要么错误地认为，由于 PC 出厂时预装了 AV（防病毒）产品，因此它的保护是永久性的，或者更糟糕的是，他们认为他们已经支付了更新订阅费用，但实际上并没有。事实证明，这是一个相当系统性的问题。

GORELIK 事实上，情况甚至更糟糕。我们看到相当多的虚假防病毒保护被推出。它看起来很真实，有时甚至有一个带有少量签名的小型 AV 引擎。但实际上，它也在感染主机。

BAWA 较老的机构有运行 Windows 2000、Windows 95 和 Windows 98 的机器。它们通常位于连接到专用设备的实验室中，不易升级。一般来说，人们对这种漏洞的影响意识较低。

CREEGER 人们可以做些什么来避免这些威胁？

BAWA SCO (Santa Cruz Operation) 专注于 SMB（中小型企业）市场。员工少于 50 人的 SMB 通常有一个他们信任的 IT 提供商——不是全国连锁店，而只是一家当地的夫妻店。当员工超过 50 人时，公司会聘请系统管理员/IT 经理/IT 人员。这个人通常会尽力而为，但让一切正常运行和更新的任务非常艰巨，而且通常效果不佳。

员工人数在 50 人到 250 人之间的细分市场没有得到很好的服务。员工人数少于 50 人或多于 250 人的公司有可行的选择，但在该范围内，公司在有效的 IT 支持方面选择非常有限。

GREEN 我们刚刚对中小型公司进行了一项广泛的调查。结果清楚地表明，在这个细分市场中，平均 IT 管理员每月花在安全上的时间不到一小时。

CREEGER 人们不害怕吗？由于人们并没有一直直接看到安全性差的后果，那么如今恶意软件是否更像是一种隐蔽的威胁？

WEAFER 鉴于当前攻击的静默性质，许多人显然没有意识到其个人数据的风险或损害。此外，还有更多人根本不在乎。他们仍然可以打开他们的文档，仍然可以有效地工作，所以他们选择不担心。对于一些较新的攻击技术，人们的意识肯定不足。人们认为我看不见的东西就不会伤害我。

CREEGER 您是说恶意软件编写者正变得越来越复杂。他们了解到，如果他们最大限度地减少对计算平台的直接影响，使其攻击效果不会“摆在您面前”，那么他们就可以从这些机器中获得更大的价值。

WEAFER 绝对是这样。我称之为缓慢而低调。如果您缓慢而悄无声息地攻击一台机器，您将在更长的时间内提取最大的利润，而不是积极地做某事，被发现，然后被迅速阻止。

BARRETT 在 PayPal，我们得出的结论是，问题不仅仅在于恶意软件；普通互联网消费者没有接受过什么是安全行为的培训。我们必须走出去帮助教导他们。我们得出的结论是，在网页上写文字是一种相当糟糕的教育媒介。我们尝试简化我们的客户安全消息，并将它们带到消费者经常出没的地方。

CREEGER 当我与其他专家交谈时，他们说这远远不止于此。如果您访问可疑网站、道德意图较差的阴暗区域——例如色情或盗版软件 (warez) 网站——您不必执行来自某些随机电子邮件的对象代码，也不必访问来自某些网络钓鱼电子邮件提供的链接的网站。仅仅是您访问过该网站就足以感染。

BARRETT 如果您没有及时修补您的 PC，情况可能确实如此。在我们关于 PC 安全的消息集中，我们说了三件事

做到这三件事，您就可以大大降低感染风险。您 100% 安全吗？不，但您过马路也不是 100% 安全的。

BAWA 我有不同的看法。有些事情是可以教给用户的，并且会带来真正的改变。一般来说，安全性不是其中之一。如果我们指望用户始终做正确的事情，那永远不会发生。很简单，用户期望操作系统和环境是安全的，并且他们受到随恶意软件保护而来的防病毒软件的保护。他们认为这种保护是他们购买的，如果它没有完成工作，他们就没有得到他们支付的东西。

BARRETT 我同情您的观点，但我想说，社会可以选择什么是安全和不安全的行为，并且可以立法禁止故意不安全的行为。作为一个社会，我们认为在道路上安全驾驶很重要。如果您在繁忙的城市街道上超速行驶并撞死人，您可能会因车辆杀人罪而被判入狱。

没有任何内在理由可以阻止我们对实际上危害互联网上其他人的不安全行为施加限制。恶意软件最阴险的地方在于，它不仅对您构成威胁；它也对整个互联网安全构成威胁。

GORELIK 您的类比存在的问题之一是，在拥挤的城市街道上高速行驶会产生直接且立竿见影的后果。恶意软件并非如此。如果您确实被感染了，即使您清理了它，您也可能看不到该感染的直接后果，也无法将该感染与其他人遭受的后果联系起来。

用户很难建立这种联系。与更物理和有形的东西相比，恶意软件感染的影响是脱节的。我同意教育会有所帮助，但它的有效性是有限的。

BARRETT 太多人通过临时手段（例如与鸡尾酒会上的人交谈）来了解如何保护自己上网。他们可能会发现一些事情，例如通过注意拼写错误的电子邮件和没有任何图形的网站来避免网络钓鱼诈骗。通常，这些建议在几年前可能是正确的，但今天不再有效。

最近，我们的一家安全提供商告诉我们，我们的一些客户出现在 Sinowal 木马投放服务器列表中。我们有一个很大的文件，其中包含这些信息，我们正在通知这些客户，内容如下

这是一个完整的康复工具包。我认为我们可能是第一批尝试这样做的公司之一。作为一个行业，我们将不得不做更多这种外联工作。

CREEGER 考虑到现有操作系统的架构，今天有可能做到这一点吗？我听说有些非常糟糕的东西，如果您以错误的方式戳它，它会使机器崩溃。

WEAFER 绝大多数东西不需要那种极端的行动。虽然绝对有一些非常糟糕的恶意软件，但仍然有大量的相当基本的东西可以在不进行裸机重建的情况下处理。

越来越普遍发生的一件事是，网站，尤其是小型企业拥有的网站，正在被入侵。这些站点反过来被用来攻击他人。因此，这不仅是桌面所有者的问题，现在也是网站所有者的问题。我们今天看到的最大感染途径之一是从被入侵的网站传递到用户系统上的威胁。如果您是网站的所有者，您需要关注这个问题。这对小型企业来说确实具有挑战性，因为大多数人根本不知道网站安全真正需要什么。

一些托管公司将安全扫描作为其服务的一部分，或者您可以去找专业的精品店或服务提供商。但是，根据感染类型，通过这种方式清除恶意软件可能非常困难。

CREEGER 听起来中小型企业必须了解很多细节才能解决我们一直在谈论的风险。是否有人可以接管这项职能？对于负责公司网站和 PC 的中小型企业主来说，他们应该怎么做，权衡取舍是什么？他们应该考虑什么？一个组织必须有多大才能聘请内部专家？

BAWA 我们对遇到的任何潜在不安全性进行风险回报安全分析。这有助于确定任何给定解决方案的成本效益，以确保我们始终专注于最高风险。

消费者期望购买一种产品来完成所有事情。在中小型企业市场中，公司开始明白，如果他们要建立网站，他们将需要一些保护，但他们不知道那是什么。他们求助于他们的小型 IT 提供商来提供该软件包。当您达到 1 亿美元的公司规模时，您会担心 DLP（数据丢失防护）。如果您是一家 500 万美元的公司，您就不会担心，因为您认识每个人，而且环境更具信任感。

BARRETT 最基本的防御措施之一是围绕补丁的良好实践。如果您有一个端点，请保持修补状态，并运行最新的 AV，那么这将在很大程度上提供合理的保护。

BAWA 人们也想要价值。一旦他们了解他们需要这五个不同的组件来进行保护，他们就会寻找价值。所有中小企业都会问的一个常见问题是：“我可以购买哪种产品，它能以最优惠的价格给我最多的功能？”

CREEGER 试图弄清楚所花金钱的价值有点像赌博。人们自然不想花很多钱，但他们没有有效的方法来评估他们在特定支出水平下的风险敞口。

GREEN 人们对我们正在处理的恶意软件的数量和倾向没有足够的认识。当您告诉人们我们每天看到的威胁数量时，他们的下巴会惊掉到桌子上。

WEAFER 恶意软件攻击者的动态性质是，如果您防御某件事，事情就会发生变化。安全与计算中更稳定和可预测的领域（如存储和搜索）截然不同。当一个漏洞被堵住时，攻击者只需转移到攻击不同的领域。

CREEGER 您是在告诉我，您有一个高度适应性强的对手，并且很难评估风险和资产价值。您正在尝试用固定的预算尽可能多地堵住漏洞，并且不能真正保证您遗漏的东西不会是使您的船沉没的关键东西。这里有什么好消息吗？

WEAFER 好消息是，采取基本常识性行动的人似乎在持续的基础上受到的影响较小。这是一个良好的卫生习惯故事，即饭前洗手的人似乎很少生病。即使新技术和新趋势一直在涌现，基本的最佳实践也没有改变太多。

GORELIK 有两种攻击模型。一种是撒下大网，把你抓到的东西都拉上来。作为用户，如果您做一些基本的常识性事情，您可能会得到合理的保护。还有一些人会以您为目标，因为您拥有有价值的东西。这里的安全性应该更复杂，并且基于成功违规的影响。

BARRETT 这种攻击基于攻击者认为您系统上资产的价值，这让人想起关于如果被野外的熊攻击该怎么办的旧笑话。答案是，您不必跑过熊，您只需要跑过您旁边的人。在某种程度上，攻击者认为您拥有诱人的资产，但您似乎在锁定方面做得还算不错，攻击者可能会尝试攻击隔壁的笨蛋，他可能做得不太称职。

BOURNE 从防御的角度来看，人们去年做的事情有哪些已经不再奏效？

WEAFER 直到最近，我们还会说，如果您避免走互联网的阴暗角落——例如色情网站——您可能是安全的。由于跨站点脚本攻击的兴起，这种攻击会将恶意代码注入到原本正常的网页中，因此情况不再如此。

GORELIK 现在您必须小心合法的软件，这些软件已被重新打包以包含包含威胁的其他可执行文件。此外，过去人们可以安全地下载未签名的软件。在这一点上，我不会下载任何未签名的东西——并且是由我信任的实体签名的。您无法保证服务器上软件的完整性没有被篡改。

我做了一个实验，去了一个相当知名的网站，下载了一大堆东西。当我第一次看到大量被入侵的可执行文件时，我以为问题出在我们的测试过程中。可悲的是，事实证明我们的流程很好，但文件确实被感染了。

BAWA 但这不仅仅是信任的问题。2008 年 10 月，访问 Macys.com 零售网站的人被劫持到一个看起来像 Macys.com 但实际上不是的网站。

BARRETT 我认为面向消费者的网站的所有者不仅有责任确保其基础设施安全，还有责任证明他们的网站是合法的。我们支付了相当可观的溢价来进行扩展验证。当您使用现代操作系统和浏览器访问 PayPal.com 时，您会在地址栏中获得一个绿色的发光对象，上面写着 PayPal, Inc.——不在 URL 本身中，而是在它旁边。这些是消费者可以而且应该寻找的明确的用户界面提示。

WEAFER 我相信我们将看到更多基于信誉的安全模型。基于黑白名单的保护是其更简单的版本。您会在浏览器中看到信誉保护的示例，这些浏览器会提供关于不安全站点的警告，文件下载会显示文件是否已签名或来自受信任的来源，以及电子邮件发件人是否在已知的垃圾邮件列表中。这些都是简单的基于信誉的安全示例，并暗示着一种趋势，即朝着更通用的模型发展，该模型为用户提供关于他们下载或使用的内容的完整信誉。然后，用户对风险的偏好决定了交易是否继续进行。

CREEGER 云计算是否可以帮助或损害这些类型的问题？云计算对这些类型的漏洞有什么作用？如果人们开始将他们的服务转移到云平台上，他们的处境是更好还是更糟？

BARRETT 云计算在成本效益和突发容量方面非常有前景。有大量的组织用户群被云计算所吸引，他们在云计算中处理非机密信息。还有一些人代表更受监管的行业，例如金融业，他们不能只是将数据转储到外包云中，而不知道其物理位置。我必须知道我的数据位于何处，因为我必须维护安全港注意事项。因此，数据位置要求是云的一个问题。

第二个问题是定义应用程序安全要求的能力。如果我对我的应用程序有特定的安全要求，我不希望它与具有不同要求集的其他人的应用程序共存。我们还没有足够的策略语言来充分描述每个人的安全要求。为了使云计算发挥作用，需要到位这种类型的定义信息。今天还没有，但我们无疑会达到拥有适当的风险词汇来解决这个问题的地步。

目前，大多数云供应商都在使用相对基本的安全补丁，这些补丁功能完善，正如我之前所说，一点补丁就可以发挥很大作用。他们正在向潜在客户展示他们的 SAS70，您可以查看它以确定他们的控制措施是否足够。

CREEGER 您经历过的更有趣和令人惊讶的恶意软件类型是什么？

BARRETT ATM 恶意软件的目标是特定供应商的 ATM。坏人走到 ATM 前，打开其外部可访问的维护端口，插入 USB 棒，然后将其接管。受害者愉快地使用 ATM，而 ATM 正在做银行不知道且不打算做的事情。这目前根本不常见，发生这种情况仅仅是因为有人能够窃取该特定 ATM 的源代码。

BAWA 一名服务人员进来并在旧金山湾区六到八个当地加油站的销售点设备上安装了恶意软件，并捕获了所有借记卡。

BARRETT 由于各种原因，借记卡通常比信用卡更具吸引力。

CREEGER 在恶意软件防御方面，供应商在过去几年中生产了哪些令人惊讶的创新产品？

WEAFER 基于信誉的安全非常有趣——基于云且基于信誉。信誉是处理不受严格监管且无法锁定的环境的好方法。

BARRETT 过去一年左右最有趣的趋势之一是活跃的研究社区让机器感染恶意软件片段。他们试图弄清楚恶意软件的用途、它的工程原理以及它服务的更伟大的目标。最好的例子是那些分解 Storm 网络并确定其目的是发送 Viagra 广告垃圾邮件的人。他们真正了解了该特定僵尸网络是如何组装起来的机制。

WEAFER 正在进行更多的研究，评估生态系统并查看犯罪生命周期的每个部分——不仅是技术部分，还有谁从犯罪中受益。谁在赚钱，他们是如何赚钱的，它在哪里发生，他们是如何控制它的？最终，我们正在寻找对抗恶意软件的有效杠杆。有时这些杠杆可能是基于技术的，有时是基于政策的。

BARRETT 恶意软件从根本上来说不是一个技术问题；它是一个犯罪问题。即使我们和其他金融服务公司已经看到很多消费者的凭证被盗，平均受害程度通常也很低。犯罪市场目前有如此多的凭证可用，以至于瓶颈不在于获取更多凭证，而在于将其货币化。

CREEGER ISP 可以提供有效的恶意软件防御吗？

WEAFER 互联网服务提供商（ISP）需要与其用户互动，不仅提供技术帮助，还要在此问题上提供政策帮助。对于很多人来说，互联网服务提供商是他们在互联网上最接近的接触点。当用户感染被识别出来时，互联网服务提供商应该与用户进行积极的对话，并努力解决问题，为了整个社区的利益。让问题恶化或将其转移给另一个供应商不应是可行的替代方案。

BARRETT 其中发挥作用的力量是经济学家所称的负外部性。决策由一方做出，但成本由其他人承担。用户在未受保护的机器上浏览可疑网站并受到感染所产生的成本，不仅由互联网服务提供商承担，还由可能受到受感染用户攻击的网站承担。该用户的浏览行为对这些企业产生了真实且可衡量的成本。这里的论点很简单，哪些经济和监管政策将影响用户，使其更好地调整其决策，以符合其对社区其余部分的成本影响？

CREEGER 这与公共卫生的论点相同。

BAWA 我对此有非常不同的看法。生活在技术世界中，你会变得善于分析：我该如何修复？数据点是什么？等等。我认为安全和我们面临的一些问题更像是流感，无论你做什么，每年都会有另一种变种。你可以做对一切，但仍然会有另一种变种。技术和政策已经很好地解决了某些问题：CRM（客户关系管理）系统、供应链、iTunes... 安全是一个不断变化的环境，除非我们理解这一点，否则我们将会在很长一段时间内徒劳无功。

CREEGER 我想感谢大家分享你们的经验和见解。对我来说，很明显恶意软件防御是一个不断发展的领域，它非常动态，并且艺术和科学的成分各占一半。这次讨论使我们的听众更好地理解了威胁形势，并认识到他们应该思考什么来降低被入侵的风险。希望这将鼓励大家评估他们的安全架构，使其更符合他们面临的风险。
Q

喜欢还是讨厌？请告诉我们

[email protected]

© 2010 1542-7730/10/0200 $10.00

acmqueue

最初发表于 Queue 杂志第 8 卷，第 2 期 —
评论这篇文章，请访问 数字图书馆




更多相关文章

Paul Vixie - 保持静态或回家
当前和历史上计算机与网络安全的大多数问题都可归结为一个简单的观察：让其他人控制我们的设备对我们不利。在另一个时间，我将解释我所说的“其他人”和“不利”是什么意思。就本文而言，我将完全专注于我所说的控制是什么意思。我们失去对设备控制的一种方式是外部分布式拒绝服务 (DDoS) 攻击，这种攻击用不需要的流量填充网络，不给真实的（“需要的”）流量留下空间。其他形式的 DDoS 也很类似：例如，低轨道离子炮 (LOIC) 的攻击可能不会完全填满网络，但它会让 Web 服务器忙于响应无用的攻击请求，以至于服务器无法响应任何有用的客户请求。


Axel Arnbak, Hadi Asghari, Michel Van Eeten, Nico Van Eijk - HTTPS 市场的安全崩溃
HTTPS（安全超文本传输协议）已发展成为安全 Web 浏览的事实标准。通过基于证书的身份验证协议，Web 服务和互联网用户首先使用 TLS/SSL 证书相互验证（“握手”），对 Web 通信进行端到端加密，并在浏览器中显示挂锁，以表明通信是安全的。近年来，HTTPS 已成为保护在线社交、政治和经济活动的重要技术。


Sharon Goldberg - 为什么保护互联网路由需要这么长时间？
BGP（边界网关协议）是将互联网粘合在一起的粘合剂，实现了由不同组织运营的大型网络之间的数据通信。BGP 通过在组织之间设置流量路由，使互联网通信全球化——例如，从波士顿大学的网络，通过更大的互联网服务提供商（ISP），如 Level3、巴基斯坦电信和中国电信，然后到住宅网络，如 Comcast 或企业网络，如美国银行。


Ben Laurie - 证书透明度
2011 年 8 月 28 日，一个错误颁发的 google.com 通配符 HTTPS 证书被用于对伊朗的多个用户进行中间人攻击。该证书是由一家名为 DigiNotar 的荷兰 CA（证书颁发机构）颁发的，DigiNotar 是 VASCO Data Security International 的子公司。后来的分析表明，DigiNotar 至少在一个多月前（至少从 7 月 19 日起）就意识到了其系统中的漏洞。分析还表明，至少颁发了 531 个欺诈性证书。由于 DigiNotar 没有所有错误颁发的证书的记录，因此最终数量可能永远不会知道。



© 保留所有权利。

© . All rights reserved.