4、网络安全：防钓鱼与即时通讯加密协议解析

网络安全：防钓鱼与即时通讯加密协议解析

1. 钓鱼攻击与防范措施

钓鱼攻击是一个日益严重的问题，它不仅会给企业带来巨大的经济损失，还会严重打击消费者对电子商务的信心。当用户在钓鱼网站输入个人信息后，钓鱼者可以将这些信息转发到合法的银行网站，一旦通过验证，攻击者就能完全控制被劫持的连接。银行已经报告了针对一次性密码系统的此类攻击。

为了应对钓鱼攻击，研究人员提出了基于用户的服务器认证机制：
- 理论框架与邮件认证 ：Jakobsson提出了钓鱼攻击的理论框架，并建议加强电子邮件认证，同时更好地保护用户电子邮件地址的保密性，以防止钓鱼邮件。
- Petname项目 ：该项目为每个访问的网站分配一个用户自定义的昵称。如果浏览器加载的是仿冒网站的页面，昵称会缺失或错误，但用户可能会选择容易被仿冒的可预测昵称。
- 动态安全皮肤（DSS） ：Dhamija和Tygar提出的DSS系统中，服务器会打开一个用户自定义的弹出窗口，显示只有正确服务器才能生成的图像，此方法依赖用户进行验证。
- 图像序列验证 ：Myers建议服务器在用户输入密码时显示一系列图像，钓鱼网站很难猜测正确的图像序列，但同样依赖用户验证。
- PassMark系统 ：该系统在客户端存储一个安全的cookie，并设置一个与账户关联的图像供用户记忆，但它是一个专有系统，未披露详细方法。

然而，这些方法都存在局限性，它们都依赖用户的细心操作，任何一个小失误都可能导致账户被盗用，而且其中一些方法