扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
现在提供免费Email服务的网站越来越多，国外著名的有Hotmail、NetAddress和Yahoo等等，国内有凯利、163和新开通的263等等。许多网友都申请了免费Email地址，有的甚至有好几个，当你在使用免费Email服务传递重要信息时，是否考虑到了它的安全性问题？
提供免费Email服务的网站都遵循尊重个人隐私权的原则，因此不必担心存放在服务器上的信件被免费服务提供商偷偷阅读。这里所说的安全性问题是指第三方采用各种攻击手段，侵入受害者的信箱并窃取重要信息。由于大多数免费Email都是以WWW方式提供服务，用户使用浏览器连接免费服务提供商的主页，输入用户名和口令后方能进入自己的信箱，在用户选择注销（Logout）之前，浏览器一直可以访问用户的信箱，针对这个过程存在着多种攻击方法。下面以Hotmail为例简单介绍一下这些攻击方法，并给出相应的对策供网友们参考。
·当受害者在某台机器上访问了Hotmail后却忘记了注销，攻击者只需在浏览器的地址栏中键入http：／／www．hotmail．com／cgi－bin／start／victimsusername就可直接进入受害者的信箱，其中＂victimsuername＂是受害者的用户名。如果受害者所在网络是通过代理服务器连接至Hotmail的话，攻击者可以在该网络上的任何一台机器上访问受害者的信箱。显而易见，牢记每次收发完邮件后要注销，就是对付这种攻击手段的最好方法。另外，Hotmail已升级了其服务器的软件，当用户超过一定时间不访问信箱后会自动注销，不过笔者认为不再使用Hotmail时就立即注销才是良策。
·攻击者把Hotmail的登录主页保存到本地机器，修改其源码，改变传回用户名和口令的方法（此处不介绍具体方法），然后在浏览器中打开该页，在地址栏中键入http：／／www．hotmail．com，但不按回车键，看起来就好像浏览器刚刚打开了Hotmail的登录主页；受害者来使用这台机器时可能不加思索地键入用户名和口令并按下登录按钮，修改过的主页会把用户名和口令信息组合在链接地址中，浏览器则会把这个地址存入到历史记录中，攻击者只需查看历史记录就可轻易获得口令。为了对付这种欺骗手段，每次登录时都应重新连接Hotmail，调出新的登录主页。
·如果受害者在查看自己的信件时从Inbox中直接打开每封信（不是用上一封或下一封打开），那么浏览器会把这些信件长期保存在历史记录和缓存中，攻击者可以在脱机方式下查看历史记录，找出受害者的信件。因此，当你在公用的机器上连接Hotmail并接收了重要信息后，应该清除浏览器的历史记录和缓存，以防止别有用心的人查看这些信息。
·另一种类型的攻击方法是向受害者发送欺骗性邮件来骗取口令，例如：攻击者在Hotmail申请一个信箱，用户名取成像Hotmail的技术支持小组一样，然后向受害者发送一封邮件，说Hotmail正在更换服务器等等之类的话，最后要求受害者回复此信，并把他的用户名和口令放在Subject中，往往有不少人相信了并轻易给出了口令。实际上，Hotmail一再强调自己绝对不会通过Email或电话向用户询问口令，如果你有一天接到了此类邮件，一定不要回信。
·除了上面这些手段外，攻击者还可用Telnet到Hotmail的110端口上等方法来猜测受害者的口令。为了提高安全性，你还应该定期更换口令，所取口令的长度要大于6个字符，最好能同时包含大写和小写字母。
前面讨论了使用Hotmail时应注意的安全性问题，这些也基本适用于其它免费Email提供商，所以当网友们使用免费Email服务传递重要信息时应注意安全，必要时可用PGP对信件内容加密。
如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击｜2021世界人工智能大会
直击5G创新地带，就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020（Cloud）- 科技行者
京公网安备 11010802021500号