免費無線上網小心被“釣”

在免費提供WiFi（無線網絡）的公共場所，不少顧客會用筆記本和手機上網，但是黑客也盯上了免費WiFi龐大的用戶群體。黑客是否如網上傳言能夠通過簡單的設備架設虛假的免費WiFi熱點，進而盜取私人信息數據？
    北京郵電大學計算機學院網絡與信息安全實驗室主任崔寶江副教授介紹道，黑客確實可以通過網卡功能配置或者安裝第三方軟件，將電腦配置成一個用于釣魚的無線AP，通過設置具有迷惑性的無線AP標志，誘使用戶在提供免費WiFi的公共場合上網時，錯登錄到釣魚無線AP中，進而捕獲用戶上網的所有網絡數據。如果上網的數據包中包含明文的個人信息，例如登錄的賬號和口令等，那么這些明文信息便可被黑客獲取。“釣魚的無線接入AP，它的名稱可能和免費WiFi站點的名稱很相似，容易迷惑人，例如Starbucks2、KFC1等。”
    前奇虎360殺毒中心工作人員、資深反病毒工作者李云告訴筆者，局域網欺騙或者偽造熱點，可以將自己的代碼嵌入數據包中，再返回給請求者，導致用戶訪問惡意網頁或者執行惡意代碼。“比較常見的攻擊是在網站傳輸客戶數據時，攻擊者會嘗試監聽或嗅探傳輸中的數據。比如獲取用戶的某些卡號之后，對用戶訪問的其他站點的數據包進行嗅探，竊取生日、其他敏感卡號及字母組合。”
    公共場所存在釣魚性質的虛假免費WiFi熱點新聞曝光后，有些市民開始擔憂，在公共場所通過WiFi上網還有安全保障嗎？
    奇虎360公司軟件工程師孫誠指出，這條流言有部分是夸大的。黑客確實可以建立一個免費未加密的WiFi網絡讓用戶接入，之后使用嗅探工具截獲到網絡中所有傳輸的數據。但這里是利用了瀏覽器的漏洞，如果這個漏洞不存在，數據傳輸過程中也使用了SSL進行加密，竊取用戶網銀賬號和密碼也是非常困難的。
    針對網上銀行交易等行為，崔寶江指出，如果用戶上網的網站不支持加密的上網數據傳輸功能，則明文的個人信息就可能泄密。
    “但是網銀和某些大型正規網站需要輸入賬號密碼的登錄過程都是加密的，并不容易被破解。”他表示，用數碼設備和手機登錄正確的個人網上銀行網址進行交易，安全是有保障的。個人網上銀行會采用SSL等加密協議來保障交易安全，網址中的協議名稱顯示為https，結尾比常見的http多了s。這說明通過這個頁面輸入并傳送的數據，會被基于SSL協議協商的會話密鑰進行加密，即使這些加密數據被黑客盜取，也很難破解。“所以，黑客難以通過釣魚AP的方法獲取用戶的銀行賬號密碼。除非黑客在用戶的計算機中植入了木馬。”
    目前，北京市不少公眾場所的免費WiFi賬號密碼都已在網上公布，而在免費供應地內搜索到賬號需要索取密碼時，也可直接向工作人員索要。，但也不乏市民習慣性搜索到無需密碼的免費WiFi后，直接聯網進行網上活動。
    “用戶連接加密的WiFi網絡，會需要輸入密碼，如果用戶沒有輸入密碼就可以連接到一個WiFi網絡并且可以訪問互聯網，這時就要注意了，可能連接的WiFi網絡會有問題。”孫誠指出，想破解使用SSL協議加密傳輸的數據其實比較困難，因此一般黑客會采用證書欺騙的方法，但假的證書在瀏覽器上都會給出安全提示，用戶只要不去訪問就可以了。
    他認為，“李鬼”WiFi的危害程度需要從用戶的安全使用習慣和網絡應用的安全性兩方面去考慮。用戶在使用公共網絡時要盡量開啟ARP防火墻，并且要連接加密的WiFi網絡。而應用程序和網站更要提供對一些涉及到用戶隱私的數據進行加密傳輸，在產品設計上一定要將安全擺在第一位。
    崔寶江建議，為了預防因登錄假WiFi站點或者釣魚的WiFi站點造成用戶隱私泄露，在公共場所上網的用戶，需主動了解商家或運營商WiFi無線接入點AP的正確站點名稱和登錄密碼，并且選擇合法和正規網站進行互聯網信息獲取。《中國質量報》