Extended Validation SSL 在打擊網絡釣魚中的作用

Extended Validation (EV) SSL 是所有線上業務對抗網絡釣魚的重要組成部分。網絡釣魚是一種社會工程攻擊（也可稱為詐騙），釣魚者會誘騙受害者誤以為自己正在訪問可信網站。這類詐騙通常會透過電郵或短訊等通訊渠道，引誘受害者進入足以以假亂真的虛假網站，目的是竊取機密資料、登入憑證或信用卡號。隨着免費 Domain Validation (DV) SSL certificates 開放申請，使用數碼證書的釣魚攻擊數量呈指數級增長，因為攻擊者現在可以讓釣魚網站顯示「安全」標識，企圖讓受害者誤以為該網站是安全的。瀏覽器中定義的「secure」（實際含義為已加密）與大眾理解的「safe」並非同一概念。因此越來越多企業選擇依靠 Extended Validation SSL 同時提升線上消費者保護力度與用戶信任度。

仿冒行為的核心是製作足以混淆真假的虛假物品。你不會收下一張印錯總統頭像的20美元假鈔，也不會有博物館收購畫在硬紙板上的達芬奇贗品。仿冒品能夠得逞的關鍵，是盡可能復刻真實物品的使用體驗。和假鈔、假畫一樣，釣魚網站也需要在視覺表現上盡可能貼近真實網站。而釣魚網站和假鈔、假畫的一個重要區別是，搭建釣魚網站的難度極低。網站的完整HTML程式碼可以直接抓取，攻擊者只需要很小的伎倆就能做出在HTML展示窗口內和目標真實網站外觀完全一致的頁面。

EV SSL 會在瀏覽器界面中顯示網站營運方的真實身份標識，這大幅提升了釣魚攻擊的實施難度。只要用戶的瀏覽器程式碼未被攻破（如果瀏覽器已被攻陷，那麼所有安全防護措施都將失效），只有證書頒發機構（CA）簽發的可信EV證書中的真實主體內容才會顯示在地址欄旁。攻擊者無法直接抓取EV證書部署到自己的釣魚網站上。因此釣魚者只能搭建出和真實網站存在明顯可見差異的頁面，這就讓用戶有機會識別差異，分辨網站真偽。這是我們對抗釣魚攻擊的一項重要武器。EV SSL 作為IT部門常用的安全工具已應用超過十年，其背後的防護策略已經過多種場景驗證。下文將列舉最常見的相關質疑，並解釋為什麼EV SSL仍然是一項有效的防護措施。

顧慮：並非所有用戶都會注意到綠色地址欄的缺失。
這裏存在一種「完美是優秀的敵人」的邏輯謬誤：因為確實可能有部分用戶沒注意到釣魚網站缺失了綠色企業名稱標識，我們就應該剝奪所有用戶識別真偽的機會。這就好比說，既然安全帶無法在每一場車禍中挽救所有人的生命，我們就不應該在汽車裏配備安全帶。

解決這個問題的正確方式是為用戶提供區分真假網站的判斷依據，同時向公眾普及對應的識別方法。在瀏覽器界面中展示經過認證的企業名稱，是幫助用戶識別真偽的極佳方式，且這種識別方法所有人都能學會。

顧慮：犯罪分子可以註冊虛假企業並獲取EV證書。
確實，擁有足夠資源、專業能力和時間的犯罪分子有可能偽造一家虛假企業，並以此申請EV證書部署到釣魚網站上，就像擁有足夠資源、專業能力和時間的罪犯也有可能製作出足以以假亂真的假護照一樣。但現實中絕大多數人都做不到這一點。製作可矇混過關的假護照難度極高，幾乎沒人會這麼做，釣魚網站的情況也是如此。

正如護照在打擊身份欺詐方面效果顯著，EV SSL 證書同樣如此。透過註冊虛假企業獲取EV證書的場景，與當前超過99%的實際釣魚攻擊場景完全不匹配。大多數釣魚攻擊由自動化程式執行：程式抓取目標網站程式碼，再發送帶釣魚連結的電郵。這類詐騙絕大多數由「腳本小子」類攻擊者實施，他們購買現成的釣魚攻擊工具包直接部署使用。這類攻擊者大多活動在網絡犯罪執法力度薄弱的地區，攻擊目標則集中在財富水平較高、互聯網普及率較高的區域。

這類釣魚者透過使用免費的域名驗證型證書顯示鎖形圖標，以此提高得手概率。這類網站的存活時間短至僅一天，期間訪問命中率低，整個攻擊鏈條依賴效率運作。這類釣魚站點作坊成本低廉、易於營運，僅需非常基礎的電腦技能即可搭建。一旦要求攻擊者每次實施攻擊都必須註冊新的商業實體，就會從根本上改變遊戲規則，這類攻擊的商業模式根本無法支撐這種成本。

與此同時，證書頒發機構（CA）仍應持續推進身份驗證技術迭代，盡可能提高犯罪分子實施這類攻擊的難度。正如政府會持續升級貨幣與身份證件的製作技術以提升偽造難度，我們也應當持續審視並完善EV標準，盡最大可能保障這類證書的安全性。值得欣慰的是，行業內已有專門的工作組負責這項工作，而EV標準自2007年首次推出以來也在持續演進。

顧慮：EV沒能徹底消除釣魚攻擊，所以它肯定沒用。
我們再回到安全帶的類比。把上文的表述中EV替換為安全帶，再將釣魚攻擊替換為交通死亡事故，就會得到這句話：「安全帶沒能徹底消除交通死亡事故，所以安全帶肯定沒用。」

我們都能看出這句話的邏輯謬誤，這是「完美乃優秀之敵」的又一種變體。EV證書能大幅提升釣魚攻擊的實施難度，給用戶更多機會避免落入社會工程學攻擊的陷阱，且不會帶來明顯的負面影響。這意味著它是一項最佳實踐，應當被納入每一位嚴謹IT專業人員的安全方案中。

顧慮：持有EV證書的線上企業可能存在其他安全漏洞或不規範的業務行為。
沒錯，EV SSL聚焦於構建安全網絡生態的某一個特定環節，還有非常多其他安全需求與業務實踐是EV完全無法覆蓋的。所幸在整體安全防護體系中，EV在自身負責的領域是有效的，其他解決方案則專注於解決線上企業面臨的其餘各類安全需求。

此外，如果企業確實存在需要追責的行為，在網站上明確標註其官方名稱與所在地資訊，也會為相關處理提供便利。

顧慮：我們應當以更全面、更完美的方式徹底消除釣魚攻擊。
那當然再好不過。如果這種理想狀態真的能實現，除了犯罪分子之外所有人都會樂見其成。

但在當下，我們必須使用現實中真正可用的解決方案來打擊釣魚攻擊，而EV就是這項工作中不可或缺的組成部分。

當然，工具如果不投入使用就無法產生價值。EV SSL要想在釣魚防護中發揮作用，就需要被網站廣泛採用。敬請關注本討論的第二部分：擴展驗證型SSL如何為線上企業創造價值——以及其重要性解析.