#315 开始讲虚假 wifi 热点了

[goodbest]

左下角注目。360其实这个算是自黑吧。

我复述一下央视晚会这一块的内容：
让观众连了演播厅的一个wifi，号召大家自拍发朋友圈、微信。（至于怎么连、要什么方法没在电视上说）

然后主持人就直接把这些照片都调出来了（相当于演示了http劫持）
然后又演示了可以拿到观众的邮箱、密码。（相当于掩饰了https劫持？中间人攻击？）
最后就是号召大家不要随意去连接来路不明的（公众）wifi。

------------------
其实晚会上的这些东西就是一个概念演示吧，大家不要太过于深究（毕竟有可能连wifi的时候有什么特殊的步骤）

但是这种安全风险是确实存在的。这点毋庸置疑。

[wecan]

怎么能知道邮箱密码？求科普

[cnZary]

@wecan 有些邮箱没上ssl

[honeyshine75]

315这个“黑客WiFi”实现起来有多难？还是很简单？

[honeyshine75]

对啊，密码这么简单就可以获取？

[wecan]

@linzianplay 也就是说Gmail应该不会有这个问题吧

[kingcos]

给iOS做广告==

[wecan]

@honeyshine75 对啊，我也觉得不靠谱。难道那些APP都明文传输密码？

[cnZary]

@honeyshine75 淘宝搜索广告路由器.......

[goodbest]

如果用了中间人攻击的话...你又恰好忽视了证书错误
@wecan
@honeyshine75

[nellace]

我觉得这个怎么像4g广告。。。。我反正没看明白是怎么回事

[cnZary]

@wecan 国内蛮多东西直接明文的

[lxrabbit]

同理,没看懂原理

[xmh51]

315晚会真[拜拜]，http可以劫持早就不新鲜了，QQ邮箱，163邮箱 可开启https传输，建议用hotmail，hotmail强制全程加密。其实facebook，推特，谷歌早就开启全站https加密了。而国内网站网页浏览几乎都没有加密，都处于明文传输。大部分大型网站只在登陆启用了https加密。

[cnZary]

@goodbest 那只能说被曝光的那人没安全意识了........（电视在客厅，人在房间听的像个妹子）

[wecan]

@goodbest 没太理解，这样的话客户端就会在服务器端发出要求的时候明文传输密码了吗？

[Love4Taylor]

@goodbest 证书错误其实不难解决。。一个wifi，然后让你下一个app来登陆。。然后。。呵呵呵呵呵了就

[wecan]

@linzianplay 是个妹子，密码还是特殊字符@开头的，挺机智的啊

[goodbest]

@Love4Taylor 是的，很多免费wifi都会让你装一个这个。

[paradoxs]

真的能忽悠。这是WIFI的问题吗？根本就不是。
HTTP本身就是明文传输的。。 错的是用HTTP的产品，而不是WIFI。

[cnZary]

@Love4Taylor 深圳地铁某号线就是这样

@wecan 来头不小..

[paradoxs]

所谓的邮箱密码，根本就没说是什么邮箱。。
说不好是他们公司自己的邮箱呢。
把后缀暴露一下呗。[:笑]

[xmh51]

@linzianplay 确实，hao123有ssl证书，但无法正常浏览。微信有https加密，但也有明文传输。而微博没有https模式。空间有，但https模式也是不默认的。v2ex都一样，在被墙之前，大部分v友都是直接访问http页面

[wecan]

@paradoxs 我也觉得，如果是Hotmail，Gmail这些事情就大了。反正国内的邮箱本来也就不可靠

[cnZary]

@xmh51 大厂都认为ssl会影响速度....而不会考虑用户体验

[9hills]

我感觉这个是在黑WP。。

不过大家都喜欢这么忽悠小白，安全界更是如此。

[zts1993]

1. 图片的亮点不是1%么
2. 后面那个工程师是360的

[yfdyh000]

@paradoxs 也有Wi-Fi标准的问题吧，单向鉴权设计。双向鉴权是当初推广的国产标准WAPI的一个卖点。伪基站的根源也是单向鉴权问题，GSM，SIM与USIM卡。

[goodbest]

@wecan hotmail gmail被中间人攻击又不是一天两天的

[9hills]

@goodbest 但是中间人没有可信CA太容易被发现了，所以目前这个风险非常小。

P.S 说WoSign/CNNIC 中间人的，目前还没有谁能拿出伪造证书，所以不可信

[honeyshine75]

意思是说他们不是用的ios或者安卓自带的imap登录，而是单独的比如qq邮箱这样的软件登录的邮箱？而这些邮箱客户端没有加密密码？
这不科学吧，密码不都是加密传输的吗？

[alexyangjie]

zANTI+SSL Strip，除非网站开启HSTS+用户提高安全意识，否则都能攻破。

[paradoxs]

@yfdyh000
90%的问题在产品设计身上。
拿IOS的支付宝钱包来说，不管你用的是什么WIFI，会有危险吗？不会！


WIFI里面，能被ARP抓包看到的信息，运营商也能看到。 掌管路由器的房东也能看到。

[juzi]

我关心的是8点开始的晚会，怎么被今天早上的李大大的发布会占据了，推迟了好久，被公关了吗

[yfdyh000]

@paradoxs 说的是“用无密码WIFI”这个行为而不是“WIFI”的问题。完全抛弃http目前也不可能。晚会只是宣传，没必要较真。用户不浏览网页吗，浏览网页就可能被钓鱼。只是安全提醒，免费WIFI的安全隐患。

[nbabook]

据我所知，很多手机终端软件其实都是采用HTTP协议进行数据传输，如果不是进行修改的话，根本不用HTTP劫持，只拦截数据包之后进行解压缩就可以直接明文了。
在节目中，根本没提HTTPS的事，所以很难判定他是否进行了HTTPS中间人攻击。而且手机端的软件当证书出错的时候，是否会提醒用户也不可知把？

[Love4Taylor]

@juzi 据说是李大大说了什么 然后吓得央视把电商相关的全去掉了

[wecan]

@yfdyh000 我觉得还有一个问题，他们说搞了个一样名字的SSID这个没问题，不过信号也要够强，超过真正的wifi信号吧

[nbabook]

@wecan 我觉得这是在忽悠人。。。

[goodbest]

@juzi 主持人刚说了延迟是因为焦点访谈占了时长（也就是答记者问）

不过从这里能看出的确是直播...

[juzi]

@wecan 估计就是那么一说，说不定开始wifi就是虚假搭建的，这么说只是让人感到很牛逼的样子。
@Love4Taylor 对对，有可能，李大大说了他网上买书了。哈哈

[yfdyh000]

@wecan 区域性强信号做到不难吧，设备甚至可以完全不遵守相关无线电规范，而且设备还可以移动，特定区域内压制应该没问题。或者原设备已关闭，此时假设备无声替换。

[nbabook]

@yfdyh000 关键是有必要吗？WIFI网络中的数据包拦截只要能接入就可以了，那么换到自己的WIFI并替换到原来的WIFI意义是什么？

[mafuyu]

不讲HTTPS电视上的安全界果然都是依靠骗吗...
@honeyshine75 APP加密传输？嗯...让你可以考虑下都爆出过几次APP是明文提交数据的问题了...

[whoops]

买个树梅派，架设个vpn什么的，养成良好的上网习惯。

[yfdyh000]

@nbabook “接入”指什么，你是说直接拦截WIFI网络中的HTTP吗。WIFI有加密的，有密码并且是新安全协议的话，没那么好破解吧。如果是指公共WIFI都有HTTP隐患，那是另一个问题，有关用户的鉴别和选择。重点说的是使用无密码WIFI可被同SSID无声替换，不是整个WIFI安全体系的讨论吧。不明白所指。

[nbabook]

@yfdyh000 我是做有线网络的，没怎么接触过无线网络，我的意思是如果是免费WIFI的，黑客直接连到免费WIFI上面，偷偷捕获用户的数据包进行分析就可以了，为什么要用自己的WIFI网络进行替换？这个替换的目的和作用是什么那？

[paradoxs]

@nbabook 部分WIFI的主人会开启AP隔离，比如我 ^ ^

[yfdyh000]

@nbabook 没仔细研究过，但我知道现代WIFI有 AP隔离 选项，就像非混杂模式，所以不能抓包。

[nbabook]

@paradoxs 懂了，谢谢。。。

[xxr3376]

@nbabook 不光是这个问题，我做过无限抓包测试过，直接接入开放的 WiFi 只能抓到部分的包，而且有大量残缺的包，个人认为应该是和有线网络物理层性质的差别导致的吧。如果自己替换WiFi就能保证抓包抓全了。

[RIcter]

为什么没人 @Evi1m0 呢_(:3」∠)_
这其实都是玩烂的东西了.....

[zhengkai]

年前的时候看到前同事发微信说自己在大裤衩，知道是录节目但没想到是 315 的节目

小杨真是又帅又狠啊……

[Dreams]

确实被吓到了 有几个问题请教各位大大 VPN 会不会增强链接公共Wi-Fi时的安全性？ 没有VPN 全局ss是否可以代替？ 邮箱不用ssl吗？怎么会有明文密码？

[dangge]

https://www.v2ex.com/t/149370
旧贴，希望有一些帮助。
同时欢迎大牛继续解答XD

[TuxcraFt]

315这东西 都有人会看……

[cchange]

@Dreams VPN的加密就是为了这个原因设计的……
实际上我也在考虑国内的VPN服务

[xierch]

安全什么的，还是国际大厂做得好啊。
Google，Facebook，Twitter 多早前就开始全站 HTTPS 了..
HSTS 规则都是写在 Firefox、Chrome 里的，还带证书 pinning，你就算手握 CNNIC CA 也没法做中间人...
性能也不必担心，Twitter 已经在用 HTTP/2 了，另两家也是 SPDY..
相信不会比裸 HTTP 差，足以弥补 TLS 造成的性能损失了吧

[xierch]

从当前实际情况来看，注意 WiFi 还是有意义的。
但最终，安全还是得靠 HTTPS 这样的端对端加密来解决啊。

另外，一般常用的「WPA2 个人」，安全性全靠那一个密码来保证。
如果密码是公开的，那么，监听、中间人都无法避免了…
所以其实只能在家庭这样所有用户都是完全可信的情况下使用才能保证安全..

[xierch]

顺带，这个 HSTS「硬编码进浏览器」的门槛其实非常低！

你看我一个个人网站都能进去：
https://code.google.com/p/chromium/codesearch#chromium/src/net/http/transport_security_state_static.json&q=sorz.org&sq=package:chromium

（提交地址 https://hstspreload.appspot.com/

[ryd994]

@xierch wpa个人加密强度不打折扣，只是没有支持radius这类多账号授权、计费等功能而已。
密码公开也未必意味着数据不加密。连接用的密码是授权密码，握手完成之后会有一个数据加密密码，这个密码每个人不同，隔一段时间自动轮换
其实我觉得WiFi加不加密真的无所谓。说的好像铜缆光纤上网就不怕窃听似的。互联网上的安全协议（SSL、很多VPN）都是以网络不可信为前提的。只要正确实现，完全不必担心。
所以问题的重点其实是国内公司缺乏安全意识与对用户不负责，WiFi加密只是用来防盗用而已。

[powergx]

拨个vpn 就可以了

[Dreams]

@cchange 我知道VPN是全程加密的 但目前没有VPN服务 只有通过搬瓦工一键安装的ShadowSocks 全局模式是否可以代替VPN 进行加密？

[jasontse]

如果邮箱没有用 TLS 保护 IMAP 和 POP3 时就会在后台自动检查新邮件时泄露密码。

[wdy1184]

应该会有加密吧？

[sandideas]

@Dreams 可以。。ss的加密足够了，不过好像可以劫持，不过基本上都没人能做到，因为用的人少。有那么多没加密的数据都吃不完了还去破解你的。。

[Dreams]

@sandideas 了解了 像315 那种蜜罐 除了出门关wifi 还有可能防吗？

[quericy]

话说左下角技术支持360才是亮点吧...

真没有人觉得其中部分数据被抓到是因为用户手机上装了360吗?(笑

[finian]

我觉得这个科普还是很有意义的，对于小白用户来说，根本就不知道背后这些乱七八糟的原理，看到有免费 WIFI 可以用就连上了，然后就被「吓尿」了。

那两个演示原理也很简单，照片那个是抓 HTTP 包，现场观众一刷朋友圈，新拉下来的照片就被扒到了；邮箱账号那个是抓 IMAP/POP3 包，只要没启用 TLS，密码都是明文传输的。是否启用 TLS，取决于客户端和服务端的设置，好的客户端一般都默认 TLS 加密的（当然用户可以自己修改），而 不少邮箱服务（特别是企业自己搭建的）压根就不提供 TLS 加密功能，所以客户端只能通过非加密方式连接。还有一点不安全的因素是，国内邮箱服务提供商没有一个是提供 oauth 支持的，意味着每次和邮箱服务器的交互都需要传递邮箱原始密码。而从目前国内邮箱服务竞争的尿性来看（你看，前段时间网易邮箱不是关闭了 IMAP 协议访问来屏蔽第三方客户端嘛），想要国内服务商提供 oauth 支持就只能呵呵了。

[honeycomb]

@ryd994

WIFI不加密意味着你的设备在自行向外界明文广播今天它干了啥

有一个类似例子：

某国规定
警探不能在没有搜查令的情况下强迫嫌疑人开启汽车后备箱进行搜查
但是已经开了一条缝的后备箱警探就有权利搜查

[AKQJT]

怎么没把wifi万能密码给爆了

[asfhkoashf]

那请问如果我开启vpn 或者ss全局 是不是就可以解决这个问题

[heian0224]

WIFI劫持还是一方面..关键是国内的手机有些是会自动连接某些名为CMCC的热点。。http://www.infog.cn/2014/12/975

[sandideas]

@Dreams 没看315，不过防止蜜罐的话，只要把自己的WIFI密码改长一点和复杂一点，关闭路由器的wps 功能。基本上就没事了。。然后把登录名和密码改复杂就行。
其实不用太担心，我这整栋楼都是计算机相关专业的，都没个会破解别人wifi的，唯一会的几个还是我教他们的，更别说抓包了

[xierch]

@ryd994 首先，PSK 公开后，就无法防止中间人攻击了。
其次，在已知 PSK 的情况下，监听握手时的数据是能够得到用于数据加密的密码的，也就能够知道通讯内容了。

[ryd994]

@xierch 和完全不加密随便抓包差很远了

[sycsycsyc378]

WiFi万能钥匙没上榜？既然谈到这个话题。

[linkupmylife]

我来说说我的观点：1.这其中有些故意夸大网警和网络审查系统能力的成分，有些纯粹是黑科技。2.央视竟敢在这么公开的场合演示黑客技术，对于一个信息安全研究者来说就是侮辱。3.看着那些设置了如此简单密码而被盗或者被查水表的人，毫无安全意识，我只能呵呵呵呵呵呵呵……

[xierch]

@ryd994 嗯是。
监听从技术上来讲应该没啥问题，如果有人写了一个比较方便的程序，输入 PSK 随手就能抓包，想想也是挺可怕的..
说不定已经有了呢..

[xierch]

@ryd994 确实已经有了，Wireshark 就能做了
https://wiki.wireshark.org/HowToDecrypt802.11
简直轻轻松松啊

[waltcow]

之前写的一篇关于嗅探的东西
http://www.right.com.cn/forum/thread-155213-1-1.html

[imn1]

可以为央视洗洗么？
昨晚在房间写东西，老妈子在看电视，恰巧听到“手机”和“wifi”就出来瞅瞅，整个晚会就看了这一段

央视并没说wifi有问题，而是说“慎用免费wifi”，也没说不用免费wifi，说要先自我警觉，当然这是公关语，否则就是打到一片了
看那个被显示的密码，也不算太简单了，至少见到有符号和大写，也不像英语单词或汉语拼音，主持人还“善意”提醒受访人记得改密码

至于夸张和浅显的事，这个可以理解，315晚会不是技术大会，只能说些大部分受众可以理解的事，大家可以不妨跟自己老妈讲解一下什么叫 PSK，让她复述一下 PSK 和去提款机按的密码有什么区别，看看她能说出个所以然不？更别说中间人什么的了
如果把“乙酸脱羟基，和乙醇氧化的合成产物作为食品添加剂是否有害”说给一个买果汁的人听，不知道是啥结果？

唯一我觉得不妥的地方是，这是一种“无预警下制造风险来提醒风险意识”的做法，很不正确；跟当年半夜鸡叫然后说这是为了提高投资者风险意识的说辞一样，贱～

上述产物为乙酸乙酯，我以前在实验室做过，很香

[zjuster]

居然还有6个WP用户...

[club]

mark 一下雷鋒網的相關評論：
315特辑：公共WiFi是如何不安全的
http://www.leiphone.com/news/201503/w56FllErIh3mawfn.html
以及：
这样设置路由，99.9%的黑客都攻不破
http://www.leiphone.com/news/201410/2CcY73i0yHVi7MvZ.html

[CRVV]

@imn1 “乙酸脱羟基，和乙醇氧化的合成产物”
这个说法太奇怪了根本看不懂
叫“乙酸和乙醇在浓硫酸加热情况下的合成产物”还说得过去

[imn1]

@CRVV
两种描述的视点不同而已，我说的化合物前后状态，你说的是制作过程，都没错的

[julyclyde]

@heian0224 记忆了CMCC？我发现苹果的手机在苹果店会自动连接wifi

[Solitudechn]

如果全局使用ss代理的情况下，加密应该足够吧...反正我们学校的分包系统会被绕过。

[phoeagon]

@xierch 恩。通過qq 360之類軟件在你本機裝個custom CA證書就好。Chrome和Firefox的雖然會驗證證書的CA公鑰，但是遇到證書簽發自用戶自行安裝的CA還是會放行（爲了讓corporate firewall之類能work）

[phoeagon]

@imn1 實驗室做過乙酸乙酯的實驗。沒覺得很香。。。。

[xiaoxiaoleo]

arp嗅探，dns劫持。
arp可以到网上下载cain&adobel，搜个教程就能愉快的嗅探室友http登陆的密码了。https要麻烦一些。
dns劫持修改路由器上的dns配置，改变域名指向。
就这么easy。

[niklaus520]

那些说什么光纤之类的你能随便接入到光纤里？安全和便捷很多时候都相互冲突，都是搞IT的，为了黑而黑，也是蠢到家了。

[davidyin]

连上公共wifi后，即刻打开vpn。