I sottodomini sono una cura per il phishing?

Come altri hanno notato il problema è ancora valido. Considera user.example.com contro user.examp1e.com .

Qualsiasi conferma visiva che si trovano sul sito corretto verrà trascurata dall'utente incurante o considerata valida dall'attento, a condizione che sia sufficientemente valida. Tristemente il controllo di ogni carattere dell'URL è ancora l'unica opzione reale.

L'unico overhead per l'utente malintenzionato consiste nel provare e inviare collegamenti con sottodomini personalizzati, ma ciò non ti aiuterà se i tuoi utenti non controllano dove clicca qui link li indirizza a

La pagina di login del mio Uni mostra un avviso simile a questo:

Check the address of this web page. It should begin with: https://login.example.com. If it does not — do not continue!

che richiede un po 'di vigilanza, ma anche così, l'autore dell'attacco potrebbe essere in grado di modificare l'URL visualizzato sul browser in modo anche questo non è un metodo infallibile.

L'unica difesa contro il phishing è la seguente:

• Controlla l'URL
• Controlla l'URL sul certificato
• Controlla le notizie per vedere se la CA della destinazione è stata aperta di recente

Lascia che ti faccia una domanda.

davvero pensi che i tuoi utenti saranno in grado di ricordare il sottodominio che dovrebbe usare? So che sicuramente non lo farò.

Quindi cosa succede quando un utente dimentica quale sottodominio dovrebbe usare? È probabile che proverà alcuni di loro per vedere se funziona. Questo attiverà un blocco in base al tuo schema. Ora, hai un utente arrabbiato che chiama la tua linea di supporto urlando contro di te per sistemare le cose. Un utente arrabbiato è un utente spensierato.

Quindi cosa succede se un utente malintenzionato invia a detto utente un link di phishing? Dopo aver passato il fastidioso processo di gridare al servizio clienti un paio di volte, l'utente probabilmente non si interroga sul fatto che è in grado di accedere per la prima volta attraverso il link di phishing. In effetti, sarà abbastanza felice.

Quindi no, non penso che questo sia un buon schema in quanto ha la probabilità di far incazzare i tuoi utenti. Quando si tratta di sicurezza, davvero vuoi che gli utenti siano dalla tua parte.

No.

Se un utente non è abbastanza intelligente da verificare che sia su domain.com prima di inserire le proprie credenziali, è sicuro che non sarà abbastanza furbo da assicurarsi che siano su secret.domain.com.