社交網(wǎng)絡(luò)重點(diǎn)在于構(gòu)建有著共同興趣和活動(dòng)的人們的在線(xiàn)社團(tuán)，它也可以是對(duì)探索別人的興趣和活動(dòng)感興趣的人員集合。許多社交網(wǎng)絡(luò)是基于Web的，并可向用戶(hù)提供交互的機(jī)會(huì)，如電子郵件和其它即時(shí)通信服務(wù)。
社交網(wǎng)絡(luò)的最大危險(xiǎn)性在于損害個(gè)人的身份信息及其它信息。它可能會(huì)導(dǎo)致你的相片被發(fā)到某個(gè)成人網(wǎng)站，抵毀你的形象。也可能會(huì)導(dǎo)致你的網(wǎng)上銀行卡的機(jī)密信息被人竊取，還有可能在不知不覺(jué)之間將公司的商業(yè)機(jī)密“大白于天下”!
全球最大的社交網(wǎng)絡(luò)Facebook
不要對(duì)此掉以輕心了，不要覺(jué)得這種事情不會(huì)發(fā)生在你或你的公司身上。社交網(wǎng)絡(luò)是者、制造者、僵尸網(wǎng)絡(luò)控制者、公司間諜謀取利潤(rùn)的重要陣地，如果對(duì)其使用不慎，它甚至可輕易地葬送公司或個(gè)人的命運(yùn)。
問(wèn)題的根源在于社交網(wǎng)絡(luò)站點(diǎn)本身并不安全。一般情況下，這種站點(diǎn)并不對(duì)用戶(hù)進(jìn)行鑒別，用戶(hù)無(wú)法完全確認(rèn)在線(xiàn)的所謂友人的身份，而攻擊者可以輕易地利用社交網(wǎng)絡(luò)內(nèi)的“可信任的”文化，從中大塊朵頤。但是，許多用戶(hù)并未啟用或部署這些站點(diǎn)所提供的某些安全和私密選項(xiàng)。
中國(guó)知名度較高的社交網(wǎng)絡(luò)---開(kāi)心網(wǎng)
例如，社交網(wǎng)絡(luò)應(yīng)用程序開(kāi)發(fā)工具，如OpenSocial，還有一些第三方的工具可輕易地被攻擊者利用傳播惡意軟件或泄露個(gè)人私密信息。此外，還存在著公司間諜的真實(shí)風(fēng)險(xiǎn)，攻擊者可以輕易地利用網(wǎng)絡(luò)雇員的信息實(shí)施其它攻擊。而且，有些流行的Web攻擊方式，如跨站腳本攻擊，也可被用于對(duì)付社交網(wǎng)絡(luò)的成員。
千萬(wàn)不要因?yàn)槟憬辜彝プ≈?、電?huà)號(hào)碼等私有信息而沾沾自喜，因?yàn)檫@樣并不能使你免受安全威脅。在上并沒(méi)有什么真正的私密。用戶(hù)只能延緩信息被泄露的風(fēng)險(xiǎn)。用戶(hù)需要將整個(gè)互聯(lián)網(wǎng)看作是一個(gè)所有資源都永存的平臺(tái)。
針對(duì)社交網(wǎng)絡(luò)的攻擊才剛剛開(kāi)始，因此在發(fā)布個(gè)人信息時(shí)請(qǐng)三思而后行，或者在接受并信任新的朋友時(shí)需要加倍謹(jǐn)慎。隨著攻擊者日益關(guān)注社交網(wǎng)絡(luò)，其攻擊將更加嚴(yán)重。事實(shí)顯示出，已成滋生網(wǎng)絡(luò)攻擊的溫床。
孫子說(shuō)，知彼知已，百戰(zhàn)不殆。要對(duì)付社交網(wǎng)絡(luò)攻擊，先要對(duì)付這種攻擊，下面筆者談?wù)劰粽咦铌庪U(xiǎn)的七大社交網(wǎng)絡(luò)“黑技”：
一、身份假冒及針對(duì)性的個(gè)人信息攻擊
二、制造垃圾郵件和僵尸網(wǎng)絡(luò)
三、被改造的社交網(wǎng)絡(luò)應(yīng)用程序
四、個(gè)人信息與專(zhuān)業(yè)信息的交叉混雜
五、跨站腳本攻擊或跨站請(qǐng)求偽造
六、身份竊取
七、公司間諜
下面逐個(gè)談?wù)劊?/P>
一、身份假冒及針對(duì)性的個(gè)人信息攻擊
不要認(rèn)為安全專(zhuān)家們沒(méi)有受到社交網(wǎng)絡(luò)威脅。近年來(lái)的社交網(wǎng)絡(luò)攻擊日益廣泛深入，許多社交網(wǎng)站的個(gè)人信息被發(fā)布到了其它網(wǎng)站上，這說(shuō)明即使是專(zhuān)家也有可能無(wú)法幸免于難。作惡者可以借個(gè)人身份信息威脅受害人，如將其相片發(fā)到網(wǎng)絡(luò)上。
護(hù)照通常被認(rèn)為是個(gè)人身份最重要的一環(huán)
如果社交網(wǎng)站的成員快速更新了自己的所作所為，或者對(duì)多個(gè)“跟隨者”作出了注釋?zhuān)敲催@簡(jiǎn)直就是在將其它的因素引入到社交網(wǎng)絡(luò)安全中，即物理安全。也許你并沒(méi)有跟別人說(shuō)自己是誰(shuí)、在什么地方，但這并不能阻止別有用心的家伙知道你的信息。
例如，將個(gè)人的太多信息(如出行信息或旅行計(jì)劃等)散布到網(wǎng)絡(luò)上，可能會(huì)導(dǎo)致入室行竊等的發(fā)生。由此可見(jiàn)，這會(huì)導(dǎo)致嚴(yán)重的物理安全問(wèn)題。因此人人都不要輕易地將自己的信息發(fā)布到社交網(wǎng)站上。
正如哈密爾和摩爾在黑帽大會(huì)上所演示的那樣，用戶(hù)甚至不必?fù)碛幸舻纳缃痪W(wǎng)絡(luò)的配置信息，也不必?fù)碛匈~號(hào)，就可將他人的照片發(fā)送到互聯(lián)網(wǎng)上，并獲取在線(xiàn)的信息，構(gòu)建令人深信不疑的信息。
二、制造垃圾郵件和僵尸網(wǎng)絡(luò)
垃圾信息制造已經(jīng)成為一種巨大的產(chǎn)業(yè)，廣告、單擊性欺詐、僵尸網(wǎng)絡(luò)需要有效地傳播其消息、惡意軟件(或二者兼而有之)的一種機(jī)制。攻擊者早已經(jīng)如蛆蟲(chóng)一樣進(jìn)入了社交網(wǎng)絡(luò)社團(tuán)，劫持用戶(hù)賬戶(hù)，并使用其地址簿傳播垃圾郵件、或其它的惡意軟件。
垃圾郵件是最難根治和解決的網(wǎng)絡(luò)難題
可以看出，越來(lái)越多的惡意軟件被作為附件放在了垃圾郵件中。在國(guó)外著名的社交網(wǎng)站中可以清楚地看到這一點(diǎn)。這種郵件的特點(diǎn)是將不明真相的人吸引到“特殊的”網(wǎng)頁(yè)中，如引誘用戶(hù)點(diǎn)擊一個(gè)精彩的視頻鏈接，而其實(shí)際上這是一個(gè)特洛伊的下載鏈接，它會(huì)偷偷地將惡意軟件下載到用戶(hù)的計(jì)算機(jī)上，并將此計(jì)算機(jī)變?yōu)榻┦W(wǎng)絡(luò)的成員。
三、被改造的社交網(wǎng)絡(luò)應(yīng)用程序
用戶(hù)們并沒(méi)有過(guò)多地考慮將應(yīng)用程序安裝到其中的問(wèn)題，不過(guò)，這些應(yīng)用程序可能會(huì)獲得訪(fǎng)問(wèn)用戶(hù)系統(tǒng)的能力，而用戶(hù)的一些極私密的信息可能在其自身的系統(tǒng)中，其危險(xiǎn)性顯而易見(jiàn)。不過(guò)，總有一些用戶(hù)認(rèn)為安裝這些應(yīng)用程序沒(méi)有什么了不起。
當(dāng)心，如果“偷菜”也變得不安全
這使得第三方的應(yīng)用程序成為攻擊者的一種簡(jiǎn)易工具。此外，第三方的應(yīng)用程序服務(wù)還使得基于代碼的攻擊獲得了途徑。
但并不是說(shuō)所有的社交網(wǎng)絡(luò)虛擬工具都是惡意的。如開(kāi)放性opensocial向工具的開(kāi)發(fā)人員提供了在其應(yīng)用程序中限制惡意JavaScript的選擇，但不熟練的開(kāi)發(fā)者卻不知道如何使用這些手段。這只是一些可選項(xiàng)，很少有開(kāi)發(fā)者使用這種工具。最終結(jié)果是，對(duì)安全不敏感的開(kāi)發(fā)人員可以構(gòu)建應(yīng)用程序，而其傳播速度也會(huì)如枯草上的野火一樣迅猛。
四、個(gè)人信息與專(zhuān)業(yè)信息的交叉混雜
即使用戶(hù)將A社交網(wǎng)站的賬戶(hù)信息用于私用，而將另外一個(gè)社交網(wǎng)站的賬戶(hù)用于專(zhuān)業(yè)性網(wǎng)絡(luò)，這也無(wú)法保證前者的圖片不會(huì)出現(xiàn)在后者的賬號(hào)中，甚至“跑”到老板的郵箱中。不妨考慮一下開(kāi)放性的社交網(wǎng)絡(luò)，不管是圖片還是工作經(jīng)歷，都可以成為到處復(fù)制、粘貼的對(duì)象。
五、跨站腳本攻擊或跨站請(qǐng)求偽造
跨站腳本攻擊及跨站請(qǐng)求偽造漏洞是很顯明的攻擊工具，有一些社交網(wǎng)絡(luò)使用跨站腳本攻擊漏洞幫助其傳播。不過(guò)多數(shù)社交網(wǎng)絡(luò)擁有對(duì)付跨站腳本攻擊的機(jī)制。而跨站請(qǐng)求偽造則尚未流行起來(lái)。
跨站腳本攻擊和跨站請(qǐng)求偽造對(duì)社交網(wǎng)絡(luò)站點(diǎn)并未造成巨大的風(fēng)險(xiǎn)。在跨站腳本攻擊中，惡意的代碼被注入到有漏洞的Web應(yīng)用程序中，查看這些網(wǎng)頁(yè)的用戶(hù)就會(huì)被“黑”。在跨站請(qǐng)求偽造中，攻擊者會(huì)欺騙用戶(hù)的瀏覽器發(fā)出要求登錄的請(qǐng)求。
跨站腳本隱蔽性很強(qiáng)，而且不易被偵測(cè)
要知道，在任何時(shí)候，攻擊者都可以強(qiáng)迫用戶(hù)加載HTML代碼，其潛在的威脅是攻擊者通過(guò)XSS/CSRF利用瀏覽器的漏洞、感染僵尸網(wǎng)絡(luò)、并可操縱用戶(hù)賬戶(hù)。
跨站請(qǐng)求偽造攻擊可以在多個(gè)社交網(wǎng)絡(luò)站點(diǎn)之間跳轉(zhuǎn)，而在用戶(hù)不斷登錄之時(shí)，這種攻擊能夠從一個(gè)社交網(wǎng)絡(luò)傳播到另外一個(gè)網(wǎng)絡(luò)。從總體上看，跨站請(qǐng)求偽造攻擊是一種被人們忽視的行為。
六、身份竊取
簡(jiǎn)言之，身份竊取指通過(guò)假裝為另外一個(gè)人的身份而進(jìn)行欺詐、竊取等，并獲取非法利益的活動(dòng)。社交網(wǎng)絡(luò)的信息可透露一些頗有價(jià)值的內(nèi)容，如受害者的姓名和出生日期。身份竊賊們可以用這些信息猜測(cè)用戶(hù)的口令或模仿這些用戶(hù)，并最終竊取其身份。
社交網(wǎng)絡(luò)的用戶(hù)有時(shí)在不經(jīng)意間將自己的信息拱手讓給他人，他們可能將自己的郵件地址、出生日期、電話(huà)號(hào)碼等交給并不熟悉的所謂“網(wǎng)友”。
有了個(gè)人信息 偽造身份盜用信用卡就不是難事
我們對(duì)社交網(wǎng)絡(luò)用戶(hù)的一條忠告是，不要回答網(wǎng)站提交的全部問(wèn)題，或者不要提供自己真實(shí)的出生日期。用戶(hù)不必告訴網(wǎng)站自己真實(shí)的教育背景、電話(huà)號(hào)碼等，還要想方設(shè)法讓竊賊得到錯(cuò)誤的其它敏感信息。
七、公司間諜
公司間諜活動(dòng)在平臺(tái)日益發(fā)展壯大的背景下也有增無(wú)減，雇員的個(gè)人信息也有可能使公司招致公司間諜風(fēng)險(xiǎn)。
例如，為了實(shí)施釣魚(yú)攻擊，攻擊者所做的是在社交網(wǎng)絡(luò)站點(diǎn)上搜索公司的雇員，然后擺出一副公司老板或領(lǐng)導(dǎo)的姿態(tài)，如以人力資源部領(lǐng)導(dǎo)的身份出現(xiàn)，并向雇員發(fā)送電子郵件，如：“親愛(ài)的某某，恭喜你加入本公司。請(qǐng)單擊下面的鏈接訪(fǎng)問(wèn)本公司的內(nèi)聯(lián)網(wǎng)，并以你正常的用戶(hù)名和口令登錄，我們將根據(jù)你的信息更新配置文件?！庇绕湟⒁獾氖?，剛來(lái)公司上班的新人有可能會(huì)遭到這樣的欺騙。
007就在我們身邊，不是嗎?
對(duì)付這種間諜行為的唯一辦法是告訴雇員要限制所公開(kāi)的信息，并不要將雇主或老板的名字透露出去，這可以減少通過(guò)雇員攻擊公司領(lǐng)導(dǎo)及公司的機(jī)會(huì)。
總之，雇員需要知道，你在社交網(wǎng)絡(luò)上與不法之徒也許僅有一步之遙。要明白:在社交網(wǎng)站上總有一些黑手在搜索你的信息。與我們互聯(lián)的不僅僅是朋友，還有可能是豺狼。所以請(qǐng)謹(jǐn)慎地透露你的信息。