「Secure（加密防護）」與「Safe（安全無虞）」的分別，比你想像中更大

大多數情況下，「secure」和「safe」這兩個詞可以互換使用。銀行說金庫裡的錢是「secure」還是「safe」，你根本不會糾結。但涉及互聯網上的個人資料時，弄清楚這兩個詞的分別，可能決定了你是能有效保護自己，還是會遭遇身份資料外洩。

Mozilla Firefox v70 剛剛發布，開發者重點強調的一項重要新功能是新增了警告頁面，在網站不具備加密防護時提醒用戶。Firefox 此舉表面上是為了幫助用戶更好地保護自身安全，其實是在跟隨 Google Chrome 的腳步：如果你以 Chrome 作為主力瀏覽器，可能已經見過訪問未加密網站時彈出的「not secure（不安全）」警告。

那麼這到底是什麼意思呢？當前版本 Chrome 的警告內容是：「你與此網站的連線不安全。請勿在此網站輸入任何敏感資料（例如密碼或信用卡號），因為這類資料可能被攻擊者竊取。」這個警示非常直白，點出了詐騙者最常用的幾類手段——也就是竊取密碼和金融資料。用戶確實應當留意詐騙者可能試圖獲取這類資料，這類警告也有望提升用戶的警惕性。

但事實是，這類警告並沒有清晰說明網站「secure（具備加密防護）」或「not secure（不具備加密防護）」的實際含義。如果你是瀏覽器產品經理，肯定明白「secure」的含義不過是（舉例來說）「該網站的資料使用 TLS v1.2 或更高版本加密」。但普通消費者並不了解這一點——他們會以為「secure」就等於「safe（安全無虞）」；而僅當用戶訪問未正確部署 SSL 證書的網站時才彈出的警告頁面，可能會讓用戶在訪問確實使用了加密、但實際存在風險的網站時產生錯誤的安全感。

「Secure（具備加密防護）」的網站未必安全。「Secure」僅代表網站經過加密，你在該網站輸入的任何資料——無論是個人帳戶資料、信用卡資料、母親的婚前姓氏，還是你長大的街道名稱——都不會被預期接收方之外的其他人截獲。但釣魚網站完全可以使用 SSL 證書為自己的站點加上「加密防護」——實際上，近半數的釣魚網站現在都在使用SSL 證書。就連美國聯邦調查局（FBI）也注意到了這一情況，發布警示互聯網用戶：網站標註「secure」並不代表向其提供個人資料是安全的。可以這麼理解：你輸入的資料或許不會被截獲，但如果預期接收方本身就是釣魚攻擊者，那加密根本沒有意義——你的資料已經直接流入了不法分子手中。

落入這類圈套的容易程度可能超出你的預料：你可能收到一封聲稱來自銀行的電郵，在不知情的情況下點擊進入一個和銀行真實網站高度相似的仿冒頁面。除非點擊後檢查 URL，否則你可能根本不會發現自己訪問的不是「[bank].com」，而是「[bank].scammer.com」（或類似域名）。事實上，「[bank].scammer.com」甚至可能持有 SSL 證書，提示你該網站具備加密防護。但這份證書絲毫不會降低你輸入密碼或銀行帳戶資料的風險。

根據你使用的瀏覽器不同，擴展驗證（EV）SSL 證書曾嘗試解決這一問題——例如在 Safari 中，如果 EV 證書通過可信的證書頒發機構（CA）驗證了網站的真實身份，地址欄會變為綠色（差不多相當於推特的認證標識）。遺憾的是，用戶對 EV 證書的認知普及速度顯然沒能達到 Google 或 Mozilla 的預期，因此 Chrome 和 Firefox 都已經取消了綠色地址欄及其他 EV 標識。

儘管這一變化確實移除了經驗豐富的用戶可參考的一項識別標誌，但整體情況並未發生本質改變：互聯網用戶仍需保持警惕，在輸入個人資料前，務必仔細核查網站的安全性與防護能力。請留意網絡釣魚手段，關注URL地址。同時請注意，若您在Chrome或Firefox瀏覽器中看到「不安全」警告，您的資料仍可能面臨風險。即便釣魚攻擊者和其他類型的詐騙者的手段愈發複雜，用戶仍可通過主動了解當前威脅態勢、時刻注意保障自身安全和的方式保護自己。