אזהרות של אישורי אבטחה לא עובדים, חוקרים אומרים

הם אומרים דברים כמו "יש בעיה באישור האבטחה של אתר זה". אם אתה כמו רוב האנשים, ייתכן שתרגיש קצת לא נוח, ועל פי מאמר חדש של חוקרים מאוניברסיטת קרנגי מלון - יש סיכוי טוב להתעלם האזהרה ולחץ בכל זאת. ניסוי מעבדה, החוקרים מצאו כי בין 55 ל -100% מהמשתתפים התעלמו מאזהרות האבטחה של התעודה, בהתאם לדפדפן שבו הם משתמשים (דפדפנים שונים משתמשים בשפה אחרת כדי להזהיר את המשתמשים שלהם). [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות מ- "כולם ידעו שיש בעיה עם האזהרות האלה", אמר יהושע סאנשיין, סטודנט לתואר קרנגי מלון ואחד ממחברי המאמר. "המחקר שלנו הראה באופן דרמטי עד כמה הבעיה הייתה גדולה."

זה לא חדשות טובות. לעתים קרובות האזהרות צצות בגלל בעיה טכנית באתר האינטרנט, אבל הם יכולים גם לומר כי הגולש באינטרנט מופנה איכשהו לאתר אינטרנט מזויף. כתובות אתרים לאתרים מאובטחים מתחילות ב- "https."

החוקרים ערכו סקר מקוון של יותר מ -400 גולשים, כדי ללמוד מה הם חושבים על אזהרות התעודה. לאחר מכן הם הביאו 100 אנשים למעבדה ולמדו איך הם גולשים באינטרנט. הם מצאו שאנשים היו לעתים קרובות הבנה מעורבת של אזהרות התעודה. לדוגמה, רבים חשבו שהם יכולים להתעלם מהמסרים בעת ביקור באתר שבו הם סומכים, אך הם צריכים להיות זהירים יותר באתרים פחות מהימנים. "זה סוג של הבנה אחורה למה שמסרים אלה מתכוונים", אמר סאנשיין. "ההודעה מאמתת שאתה מבקר באתר שאתה חושב שאתה מבקר בו, לא שהאתר אמין."

אם אתר אינטרנט בנקאי מציג הודעה שאישור האבטחה שלה אינו חוקי, סימן זה הוא רע מאוד, אומרים מומחי אבטחה. זה יכול להיות גולש האינטרנט הוא נתון לפי מה שנקרא התקפת אדם באמצע. לפי סוג זה של התקפה, הפושע מכניס את עצמו בין הגולש לבין האתר שבו הוא מבקר, בתקווה לגנוב מידע.

מומחי אבטחה מזה זמן רב יודעים כי אזהרות אבטחה אלה אינן יעילות, אמר ג'רמיה גרוסמן, קצין הטכנולוגיה הראשי עם אינטרנט אבטחה ייעוץ וייט האט אבטחה. זה בגלל שמשתמשים "באמת לא יודעים מה המשמעות של הסיכונים הביטחוניים", הוא אמר בהודעה מיידית. "אז הם לוקחים את ההימור."

בדפדפן פיירפוקס 3, מוזילה ניסתה להשתמש בשפה פשוטה ואזהרות טובות יותר עבור אישורים גרועים. והדפדפן מקשה על התעלמות מאזהרה גרועה. במעבדה של קרנגי מלון, משתמשי פיירפוקס 3 היו הפחות צפויים ללחוץ אחרי שהראו אזהרה.

החוקרים ערכו ניסויים עם כמה אזהרות אבטחה שעוצבו מחדש, שנראו יעילות יותר. הם מתכוונים לדווח על הממצאים שלהם ב -14 באוגוסט בסימפוזיון האבטחה של Usenix במונטריאול. עם זאת, סאנשיין סבור שאזהרות טובות יותר יעזרו רק במידה רבה. במקום אזהרות, דפדפנים צריכים להשתמש במערכות שיכולות לנתח את הודעות השגיאה. "אם מערכות אלו יחליטו שזה עלול להיות התקפה, הן צריכות רק לחסום את המשתמש", הוא אומר. "גם כאשר מבקרים באתרי אינטרנט חשובים כמו בנקים," אנשים עדיין מתעלמים באופן דרמטי מהאזהרות ", אמר.