Wi-Fi用户请注意黑客软件来了

核心提示：电子边界基金会的鲍默认为WiFi网络安全问题不是WiFi连接存在漏洞所致，而是因为网站设计得太粗劣。

你以为只有政府情报机构或是哪个在自家地下室电脑前的天才少年黑客能够嗅探自己的网络活动吗？一些操作简单的软件就可以让咖啡厅某个坐在你身旁的人浏览你的访问纪录，甚至在线盗用你的身份。

加州里奇蒙德市一家航空航天公司的系统管理员戴伦凯辰（Darren Kitchen）说：“不管你喜不喜欢，我们都生活在网络朋克新时代。”戴伦凯辰同时也是一个与黑客和安全有关的视频播客Hak5的主持人。他说：“当人们发现他人可以多么简单容易地窥视甚至改动自己的在线活动时，他们吓坏了。”

以前，只有知识渊博、目的明确、掌握了合适的工具而且还有大把时间的黑客才能在WiFi热点区窥视他人的笔记本电脑或智能手机，但是最近情况变了。去年十月，一款名为Firesheep的免费软件被发布出来，任何人都能够很容易地利用那款软件窥视非加密WiFi网络上的其他用户正在做什么，甚至假冒其他用户登录他们已经访问过的网站。

网站管理员们没有发布任何警告消息，但一直在忙着加强网站的防护措施。

Firesheep的开发者、西雅图的自由软件开发员埃里克布特勒（Eric Butler）称：“我发布Firesheep的目的是为了说明人们一直忽略了网站安全中普遍存在的一个核心问题。 那就是缺少端到端加密。”

他的意思是，虽然你第一次在Facebook、Twitter、Flickr、亚马逊、eBay和纽约时报等网站输入的密码是经过加密的，但网络浏览器的cookie通常并不是加密的。Firesheep可以提取那些cookie文件，那样其他人或恶意黑客就可以假冒你的身份登录那些网站并获得你的账户的所有权限。

在过去的3个月里，已有一百多万人下载了那款软件（包括对电脑并不太精通的笔者）。 笔者发现，那款软件很容易使用。

只有那些使用了加密协议传输层安全或安全协议套层的网站才不会被他人嗅探到。PayPal和许多银行都是这么做的，但有相当多一部分深受用户信任的网站却没有那么做。 如果在浏览器的角上出现了一个锁的标记或者网址打头的字符是“https”而不是“http”的话，那么你才能确定你的网络活动不会被他人窥视。

旧金山电子权利提倡组织电子边界基金会（Electronic Frontier Foundation）的技术主管克里斯鲍默（Chris Palmer）称：“网站之所以不对所有通讯信息进行加密，原因通常是因为那样会拖慢网站的浏览速度，而且还要花费一大笔技术费用。 确实，操作上存在一定的困难，但它们都是可以解决的。”

Gmail在2010年1月将端到端加密设为默认设置项目。Facebook也从上个月开始提供类似的保护措施，但到目前为止，只有很少一部分用户可以使用那项保护功能，而且保护也比较有限。例如，它不能跟许多第三方应用软件兼容。

布特勒称：“值得一提的是，Facebook虽然采用了这项措施，但它也不能高枕无忧。因为https并非网站的默认设置。大多数人要么是不知道这项功能，要么认为它不重要，还有一些人是因为这项功能与自己使用的应用软件不兼容而不想使用它。”

Facebook首席安全官乔苏利文（Joe Sullivan）称，公司准备专门展示如何使用这项功能以及解决任何意料之外的问题。他说：“我们希望所有用户都可以在未来几周内使用这项功能。”他补充说，公司正在努力解决这项功能与第三方应用软件不兼容的问题，以及将https定为默认设置。

许多网站都为通过https的加密提供了支持，但那项功能很难使用。为了解决这些问题，电子边界基金会与互联网隐私保护组织Tor Project在去年6月合作发布了一款名为“https Everywhere”的火狐浏览器插件。 那款插件的下载网址为eff.org/https-everywhere，它可以让https成为所有支持该项功能的网站不可更改的默认设置。(责任编辑：admin)