如何最有效地防止被“钓鱼”

http://wosign.com/advisories/How_to_prevent_from_phishing.htm

据《新京报》8月15 日 报道：中国反钓鱼网站联盟发布消息，截至 7 月底，联盟累计收到 19817 个钓鱼网站举报，处理了 19688 个钓鱼网站，其中电子商务网站为钓鱼网站重灾区。今年 3 月，该联盟调查显示，按国内有 8788 万名活跃网购用户计算，每人损失 86.5 元。据介绍，今年前 7 个月的举报量，是去年全年的一倍多。打着淘宝网、腾讯网、工行旗号的钓鱼网站举报量位列前三位，占 9 成以上。其中有 4000 余个仿冒淘宝网，均被关停。 “ 这说明以淘宝网为代表的电子商务网站，已经成为网络钓鱼的重点仿冒对象。 ” 有业内人士昨日表示。
     其实，要识别以上三个网站是否是钓鱼网站 非常容易， 也非常简单 ( 以使用 IE 8 浏览器为例 ) ：看看此网站的登录页面的地址栏的右边是否有安全锁标志，如果没有，则一定是假的！如果有，则再点击安全锁标志查看证书信息来确认此网站的真实身份。请注意：其他所谓安全专家建议查看网站域名，查看网站下方是否有各种认证标识等等都是不可靠，因为这些所谓认证标识都是可以假冒的。只有浏览器的安全锁标识是无法假冒的！

     废话不讲了，咱们还是以报道中提到的淘宝网、腾讯网、工行个人网银为例吧。

     任何电子商务网站(包括网上银行) 都有用户注册和登录页面，在访问登录页面时如果浏览器地址栏右边不显示如下图 1 所示的安全锁标志，则一定不是正宗的淘宝网！对于其他网站，则要么不安全，要么就是假冒网站，一定要注意！就这么简单！

     如果您已经看到的安全锁标志，则并不能保证一定是真的淘宝网！因为现在有些假冒网站也会显示安全锁标志！再罗嗦一句：没有安全锁标志，则一定不是真的淘宝网！但有安全锁标志，也不能保证一定是真的淘宝网，还得继续往下看！

     点击安全锁标志，如下图 2 所示，会显示 “ 网站标识 ” ：

     再点击 “ 查看证书 ” ，如下图 3 所示，能看到此证书是颁发给网站 login.taobao.com 的：

     再点击上面的 “ 详细信息 ” – “ 主题 ” ，如下图 4 所示，看主题中的第 4 行，你会看到此网站的主人是 “O = Taobao (China) Network Technology Co., Ltd.” ， O 字段显示的此网站的公司名称 ( 请注意：只能查 O= 后面的名称，其他如： OU= 后面的名称则是没有验证的 ) 。如果不是显示此英文名称，即使有安全锁标志，也不是真的淘宝网！

     可惜的是，淘宝网购买的是国外厂商的 SSL 证书，由于不支持中文，所以只能显示普通网民看不懂的英文公司名称！所以，如果看到以上类似的英文公司名称，也有可能不是真的淘宝网 ( 因为拼音 Taobao 的中文可以是淘宝，也可以是套宝、逃保 ) 。证书中显示的英文名是各公司自己翻译并得到证书颁发机构认可的英文名称，无法保证其唯一性。

     让我们再来看看著名的当当网的证书信息吧，如下图 5 所示： O = 北京当当网信息技术有限公司，中文明明白白告诉用户此网站的主人是北京当当网信息技术有限公司，这就是真正的当当网！公司名称就是公司营业执照上的中文名称。此网站部署的是全面支持中文的 WoSign 品牌 SSL 证书。

     也许，你会认为此验证方法有点复杂，是否有更加简单的方法呢？ 有 ！如果你在访问某个网站时，浏览器地址栏变成了绿色，表明此此网站一定是正宗网站！非常简单！如下图 6 所示，真正的工行个人网银网站地址栏是绿色的：

     可惜的是，工行网站购买的是国外厂商的 SSL 证书，由于不支持中文，所以地址栏右边的公司名称为普通网名看不懂的工商银行英文名称： Industrial and Commercial Bank of China Limited 。让大家再看看某个支付网站吧，如下图 7 所示，绿色地址栏右边显示此网站的公司中文名称，一目了然！显示的公司名称就是公司营业执照上的合法中文名称。此网站部署的是全面支持中文的 WoSign 品牌 SSL 证书。

     但是，请一定要记住：有安全锁标志并不能保证不是假冒网站，现在有些假冒网站也有安全锁标志，这是由于全球有 70 多家公司可以颁发显示安全锁标志的证书，而由于某个公司为了抢占市场而推出了只验证域名所有权的低价 SSL 证书 ( 随后其他公司也跟风推出了同类产品 ) ，低价证书的代价是降低了身份验证程度，使得各种假冒网站、欺诈网站和恶意软件网站也能获得 SSL 证书而让浏览器地址栏显示安全锁标志，从而骗取网上用户的信任。

     你一定会问，那怎么办？还是上面反复强调的那句话： 没有安全锁标志，则一定不是真的淘宝网！但有安全锁标志，则也不能保证一定是真的淘宝网。您还得继续往下看！

     点击此类简易型证书的 “ 详细信息 ” – “ 主题 ” ，就能发现与上面显示信息不同的是：主题中没有 O 字段，或 O 字段显示不是公司名称，而是网站域名，如下图 8 和图 9 所示的两种情况，此类网站由于并没有通过权威第三方的严格身份验证，强烈建议你在与之交易之前谨慎再谨慎！

     您一定又会问了：怎么这么复杂哦？还有更简单的方法吗？ 有 ，全球领先的信息安全产品提供商 Comodo 推出的 Comodo 安全浏览器 能帮到你！此浏览器在访问只验证域名所有权的简易型 SSL 证书时，并不是像 IE 、火狐等其他浏览器那样仍然显示安全锁标志，而是给用户一个安全警示 ( 如下图 10 所示 ) ： 与此网站交换信息可能不安全！ 该网站的安全（或者 SSL ）证书表明其运营方未经过可信的第三方验证其为有效业务。尽管您和该网站之间的通讯会被加密，但是不能保证该网站身份的有效性和真实性，很多与网络犯罪相关的网站会使用此类证书。 在向任何网站提供敏感信息之前，包括登录名 / 密码、身份证信息、财务信息比如信用卡号码，如果看到此警告，您需要采用另外的方法来验证该业务是否真实可靠，或者考虑终止交易。

     如果你点击 “ 仍然继续 ”， 则如下图 11 所示 ， 浏览器地址栏的 https:// 被打叉，并不再显示安全锁标志，而是显示一个警告符。点击警告符，则显示 “ 此网站身份未得到验证 ” ，同时会显示 “ 与此网站的连接采用 128 位加密技术 ” 。也就是说：此类简易型证书只能起到加密的作用，而不能证明网站的真实身份，不能保证此类网站是否是假冒网站还是正宗网站。

     所以，为了你的交易安全，推荐大家使用 Comodo 安全浏览器 ，其中一个重要的安全特点就是改进了不同类型的 SSL 证书的显示方式。使用该浏览器访问普通网站时地址栏为标准的白色；而访问部署了简易型 SSL 证书的网站时，不仅有安全警告，而 且不显示安全锁标志，地址栏仍然为普通网站的白色；而访问部署了 EV SSL 证书的网站时地址栏为绿色 ( 如下图 12 所示 ) ；访问部署了已经验证身份的标准 SSL 证书的网站时地址栏为金黄色 ( 如下图 13 所示 ) 。

     最后，总结一下，只要记住以下三点就不会被“钓鱼”：

     第一点 ：凡是登录页面没有出现安全锁标志的网上银行网站，则 100% 是假冒银行网站，赶紧放弃；凡是登录页面没有出现安全锁标志的电子商务网站，则要么可能是假冒网站，要么就是不安全的网站，同样建议放弃。

     第二点 ：出现安全锁标志的网站，如果浏览器地址栏变成绿色，则看看地址栏右边的公司名称就知道此网站的真实身份；否则就要点击安全锁标志，查看证书主题中的 O 字段是否显示公司名称，如果显示，则表明此网站的真实身份已经通过验证；否则需要慎重考虑是否与之交易。

     第三点 ：所有显示在网站上的其他任何各种认证标识，都是非常容易被假冒的，不得轻易相信。只要浏览器地址栏右边出现的安全锁标志是无法假冒的！