Perché non ci sono funzionalità o estensioni del browser per controllare solo il dominio e il nome utente per prevenire il phishing?

0

Una delle raccomandazioni per prevenire il phishing utilizzando nomi di domini simili (come www.google.com.phishing.org o omografo IDN attacchi ) utilizza un gestore di password o un token di sicurezza fisico come YubiKey , perché poiché registra dominio e nome utente associati a una password per completarlo automaticamente, non completerà automaticamente questi campi se il nome del dominio non è corretto.

Questa soluzione mi sembra piuttosto strana, perché assomiglia a un trucco: non è l'uso principale di quegli strumenti. In effetti, la capacità dello strumento di memorizzare le password è inutile in questo caso particolare, sebbene sia la sua principale fonte d'uso. Tuttavia, è ancora una soluzione interessante, che dovrebbe funzionare in molte situazioni.

Quindi, perché non ci sono funzioni o estensioni del browser che potrebbero offrire la registrazione di nomi di dominio attendibili e mostrare qualcosa quando si è nel giusto nome di dominio, come l'icona "lucchetto" per HTTPS o l'icona "stella" per i preferiti ?

Sarebbe più semplice da configurare, utilizzare e mantenere, senza richiedere di memorizzare le password.

Quali sarebbero gli svantaggi di tale strumento?

    
posta CidTori 12.11.2018 - 12:02
fonte

1 risposta

1

Ci sono e ne hai menzionato uno: preferiti . Preferiti o segnalibri fanno esattamente quello che vuoi. Ma suppongo che tu pensi che ci sia un problema con questo come soluzione, e c'è.

Il problema ha a che fare con l'equilibrio tra sicurezza e convenienza. Vuoi qualcosa che è efficace ma non riduce la tua capacità di fare quello che vuoi. Una soluzione deve fornire informazioni chiare, ma non essere d'intralcio. Si dovrebbe disinstallare rapidamente un plug-in che mostrava un banner su ogni sito Web che non era nel proprio elenco di fiducia. Inoltre, non vuoi qualcosa che l'utente trascurerà facilmente. Quindi deve essere fuori mano fino a quando diventa rilevante. Sapere quando essere rilevanti è un grosso problema da risolvere.

Ecco cosa è stato provato ed è disponibile anche oggi:

Prima dei gestori di password, il consiglio era di aggiungere un segnalibro ai siti in cui sei andato e controllare la stella prima di inserire una password. Questo ha avuto il successo che si potrebbe immaginare (non molto). Richiedeva che le persone si ricordassero volontariamente di controllare prima di inserire le password.

I browser stessi avevano strumenti integrati, come l'elenco di "Siti attendibili" di IE. Ha visualizzato un'icona nella barra. Ma quello aveva lo stesso problema: richiedeva che gli utenti controllassero l'icona.

Poi sono arrivati i cookie che ti hanno permesso di rimanere loggato in modo da non dover mai digitare la tua password ( "mantieni il mio accesso" ). Se dovessi accedere, qualcosa era sospetto. Questa divenne una vulnerabilità enorme perché i cookie potevano essere rubati.

I certificati TLS erano costosi, quindi il consiglio per molto tempo era "se vedi il lucchetto verde nella barra degli indirizzi, allora sai che è attendibile". Questo andava bene fino a quando i certificati non diventavano gratuiti e, come i preferiti, richiedeva che l'utente verificasse volontariamente il blocco. Gli attori dannosi sfruttano anche siti validi che utilizzano TLS per ospitare le loro pagine dannose (o utilizzano Google Documenti).

Quindi, nell'ambiente aziendale, c'erano whitelist . Questo è stato un grande successo per prevenire il phishing, ma terribile in termini di felicità dei dipendenti. Puoi comunque ottenere estensioni del browser che utilizzano l'idea della whitelist.

Poi c'erano "cerchi di reputazione" e altri metodi basati sulla reputazione. Un'estensione del browser consente agli utenti di tutto il mondo di valutare i siti. Questo è stato molto meglio della whitelist, ma poi gli attori malintenzionati hanno avvelenato il sistema di classificazione e hanno consentito la fiducia dei siti dannosi.

Per migliorare su questo, i servizi DNS hanno usato le loro informazioni per fornire servizi di reputazione, e oggi sono molti utilizzati. Puoi ottenere questi plug-in di reputazione DNS per qualsiasi browser. Il problema qui è che spetta al provider DNS riconoscere e valutare un sito in modo appropriato. Gli attori malintenzionati stanno attivamente cercando modi per eludere i loro algoritmi.

I plug-in del gestore password sono il modo migliore per proteggersi da questo problema e non è un "hack" ma una funzione definita della password basata su browser manager. Si imposta una password che non si ricorda da sé, si ottiene il gestore della password per farlo per te, e se così non fosse, non si sa solo che qualcosa è sbagliato, ma si è impedito di inserire i dati che non si conoscere. I gestori di password offline non possono farlo per te.

Un gestore di password online, nel browser, è completamente fuori mano fino al punto in cui è necessario. È discreto e fornisce una barriera difficile da superare senza un grande sforzo. Definisce l'elenco dei siti pertinenti e attendibili e offre sia la praticità che la sicurezza . Ecco perché sono così altamente raccomandati, soprattutto per gli utenti non tecnici.

    
risposta data 12.11.2018 - 12:28
fonte