收藏本站   |   版权说明  |   中国科学院
首 页 安全资讯 院内动态 政策法规 案例警示 业界视角 安全研究 安全常识 关于我们
当前位置:首页 > 案例警示
警惕隐藏在公共WiFi里的“定时炸弹”
文章来源:人民邮电报  |  发布时间:2015-06-19  |  【打印】 【关闭】  |  浏览:

    随着移动互联网的迅速发展,公共WiFi在商场、餐厅等公共场所的应用日益普及,这项服务几乎已经成为公共场所服务范围内的标准配置。但公共WiFi人流量大、需求多种多样的特点也为其带来安全隐患,可能引发严重后果,造成用户个人隐私泄露和财产损失。

    八成WiFi 15分钟内被破解

    近日,捷克安全软件公司Avast的移动安全专家分别针对美国、欧洲和亚洲9个城市的公共WiFi热点安全性进行了调查。调查结果显示,大多数WiFi热点主要通过某种形式的加密进行防护,但这些措施防护能力较弱,黑客很容易就能获取WiFi用户的网页浏览活动、搜索行为、密码、视频、电子邮件和其他个人信息。

    腾讯安全WiFi联盟发布的数据显示,全球约10%的人口正在使用WiFi,作为全球最大的市场之一,中国目前公共场所WiFi热点覆盖至少超过千万个。但随之而来的是,公共WiFi的安全问题也日益突出。猎豹免费WiFi2014年发布的《中国公共WiFi安全报告》称,全国近21%的公共WiFi热点存在安全隐患,由此引发的网银被盗、个人信息泄露、网络诈骗等案例已呈爆发性上升趋势。猎豹免费WiFi针对全国各地8万个公共WiFi热点进行的抽样安全调查显示,有17386个免费公共热点存在风险,占全部免费公共WiFi热点的21%,由此推测,全国可能有126万个公共免费WiFi热点存在安全隐患。根据《2015中国WiFi 安全绿皮书》披露的数据,国内80%的WiFi 能在15分钟内被轻易破解,平均每天有约3.06%的WiFi 会遭遇DNS 劫持攻击,4.97%的WiFi 会遭遇ARP 攻击。

    仅一半用户关注WiFi安全

    目前,公共WiFi主要存在几方面的安全问题:

    一是虚假WiFi钓鱼。腾讯手机管家安全专家分析,虚假WiFi钓鱼是当前免费WiFi的主要安全风险。所谓虚假WiFi钓鱼,是指犯罪分子通过架设一个与某公共WiFi热点同名的WiFi网络,吸引用户通过移动设备接入该网络,然后就可以通过分析软件窃取这些接入虚假WiFi热点用户的资料,包括WiFi登录密码,从而成功破译。更严重的是,通过这一手段,黑客还能窃取到用户的银行账户、网络支付账户密码,从而实施资金的盗刷,给公共WiFi用户带来极大安全威胁。

    二是DNS被恶意篡改。使用WiFi上网,DNS服务器是其上网过程中的一项重要环节。但DNS时常会被黑客恶意篡改,一旦使用被篡改的恶意DNS服务器访问网站,用户很有可能被劫持至钓鱼网站,最终导致通过登录网页,账号密码等个人隐私信息被盗。目前,DNS被恶意篡改已经成为全球网络安全的最大隐患,波及范围也越来越广。据360手机中心调查数据显示,在全球范围内,恶意DNS服务器分布中,韩国以24.82%居首,中国香港、美国分别以20.37%、18.08%位列第二位、第三位,此后依次为日本12.18% 、中国广东8.96%、中国浙江6.28%,其他9.31%。从数据中看出,国内受恶意DNS影响较大。

    三是大功率无线网卡威胁公共WiFi安全。“大功率无线网卡”俗称“蹭网卡”,通过破解密码,强行共享他人无线网络,增加公共WiFi网络负担,拖慢网速,造成稳定性差。更严重的是,通过截获无线数据,还可以分析出公共WiFi用户的网银、邮件等重要数据,直接威胁公共WiFi用户的个人财产安全。

    四是公共WiFi缺乏规范的标准。目前,我国没有对公共场所无线网络推行实名制,绝大多数公共场所无线网络的管理措施还停留在备案制层面,而且各个WiFi服务提供商和安全软件厂商都实行各自的安全标准,整个行业缺乏统一标准,行业进入门槛很低。

    五是公共WiFi用户安全意识薄弱。腾讯手机管家《爱蹭WiFi的人必看》报告显示,在Android联网用户中有49.75%的人会使用WiFi联网。这其中86.03%的用户喜爱用WiFi上网聊天,有67.23%的人关注到WiFi联网速度慢的问题,甚至有62.05%的人抱怨WiFi连接需要密码太麻烦,而仅有49.14%的人会关注WiFi安全问题。由此可见,WiFi用户更多关注WiFi联网的实际操作问题,但超过五成用户都没有意识到WiFi的安全问题。

    加强对公共WiFi的实时监管

    为了规避公共WiFi的安全隐患、保护广大用户的个人隐私和财产安全,可以从以下几方面入手:

    建立健全公共WiFi相关制度。政府可从政策制定、制度建设等方面入手,加强对如何建设健康、安全的公共WiFi应用生态环境的研究,保证公共公共场所宽带无线上网服务的质量、稳定性和安全性。例如,俄罗斯政府自2014年8月起推行公共场所WiFi实名制认证制度。根据相关法令规定,使用者在地铁、酒店、餐厅、机场、公园等公共场所使用WiFi无线网络时,不得匿名连入无线网络。使用者必须首先提供本人姓名、驾照号码、护照号码等能够证明自身身份的信息进行实名认证,并经相应核实后,才可使用WiFi无线网络。对于使用者所提供的个人信息,法令要求网络运营商至少将其保存半年以上,以强化网络监管。为了能够对使用者提供的信息进行认证,俄罗斯政府也专门指派俄罗斯电信公司负责对于信息识别器的安装,以实现对于WiFi无线网络的实时监管。

    加大公共WiFi建设投资。目前,已经有部分发达国家政府或大公司购买无线信号,向居民提供免费WiFi信号。例如,2014年6月,韩国信息化振兴院与17家地方自治团体和韩国三大移动通信运营商签署协议,将扩大韩国公共无线网络的覆盖面积,增设约3000处公共无线网络,届时韩国公共无线网络累计将达7000处。费用将由韩国中央政府和地方自治团体分别承担25%,移动通信运营商承担50%。在政府投资公共WiFi建设过程中,应该充分听取公众的意见,将WiFi热点布置在人流量大且逗留时间较长的公共场所,提高公共WiFi使用率,避免资源浪费。同时,政府应协调运营商,明确频率分配规则,探索多家运营商共享WiFi发射设备,减少重复建设,避免干扰。

    加强各方合作,逐步完善相关规范和标准。可加强与服务商的合作,解决好公共WiFi的安全性、稳定性、登录速度等问题,破解公共无线网络用户体验和服务质量差等困局,建设健全公共WiFi的服务规范和服务标准。如腾讯无线安全产品部运营总监葛明曾表示:“免费WiFi市场目前缺少统一的服务标准和行为规范,基础安全能力往往被忽视,而用户使用免费WiFi的安全隐患则日益凸显,产业链合作并制定相关制度可改变这一现状。”

    加大宣传力度,提高用户安全意识。一方面,监管机构可对公共场所WiFi进行安全性认证,并进行标识。同时,要求无线WiFi网络服务提供商提供该WiFi安全等级提示,从而用户可以选择性连接,避免接入不安全的WiFi网络。另一方面,对WiFi用户进行安全使用宣传,向用户普及公共WiFi网络安全知识,提高其安全意识。(朱晓航)

版权所有 © 中国科学院 京ICP备05002857号 京公网安备110402500047号
地址:北京市三里河路52号 邮编:100864