問題タブ [phishing]

WebサイトのUIスプーフィングの脅威に対して提案された解決策は何ですか？

HTTP更新プログラムを介して20秒ごとに更新されるiframeを備えたSSLのページがあります。IE7でフィッシングフィルタを有効にしてサイトを閲覧すると、フィッシングフィルタが無効になっていると、セキュリティで保護されていないコンテンツの警告が不規則な間隔で表示されなくなります。フィッシングフィルタが有効になっている場合でも、警告を取り除くために私が何ができるかを誰かが知っていますか？

私はマーフィーの法則の狂信者であり、プログラミング時にそれを念頭に置いています。さまざまな分野で多くの「適用された」バージョンがあります。たぶん（スタックオーバーフローユーザーとして）インターネットセキュリティに適用されるそれらのリストを編集することができます。フィッシング、XSS、CSRF、およびプログラマーとユーザーを取り巻く多くの御馳走の時代には、アプリの潜在的な脆弱性を追跡するために何を期待するかのリストを用意することをお勧めします。システム。

例：「脆弱性は自然に発生しますが、同じように消えることはありません」。

それについてのあなたの考えを示してください。前もって感謝します。

メールを送信するための小さな Web アプリケーションを作成しました。

メールを送信すると、Hotmail がなりすましやフィッシングと見なす

どうすればこの問題を分類できますか?

ありがとう

私は最近、OAuth を使ってかなりの作業を行ってきましたが、OAuth が本当に気に入っていると言わざるを得ません。私はこのコンセプトが気に入っています。また、ユーザーが外部データをサイトに接続する (または外部で使用するためのデータ API を提供する) ための参入障壁を低くする方法が気に入っています。個人的には、別の Web サイトへのログイン情報を直接提供するように要求するサイトにはいつも抵抗を感じてきました。そして、OAuth の「Web のバレット キー」アプローチは、これをうまく解決します。

ただし、私 (および他の多くの人) が見ている最大の問題は、標準の OAuth ワークフローが、フィッシング攻撃が有利に利用するのと同じタイプの動作を助長していることです。ログイン資格情報を提供するためにサイトにリダイレクトされるのが通常の動作であることをユーザーにトレーニングすると、フィッシング サイトがその通常の動作を悪用して、ユーザー名とパスワードを取得するクローン サイトにリダイレクトするのは簡単になります。

この問題を軽減するために、あなたは何をしましたか (または行ったのを見ましたか)?

• 自動リンクやリダイレクトなしで、提供サイトに手動でアクセスしてログインするようにユーザーに指示していますか? （しかし、これは参入障壁を高めます）

• ユーザーを教育しようとしていますか? もしそうなら、いつ、どのように教えますか? ユーザーが読まなければならないセキュリティの長い説明も、エントリの障壁を増やします。

ほかに何か？

ユーザー コンテンツ パーサーを構築しており、自動リンク パーサーを追加しています。ユーザーがリンク先の特定のサイトに移動したいことを確認するダイアログを追加しています。これには 2 つの理由があります。フィッシング対策とスパム対策。ただし、一般的に使用される Web サイトでダイアログと nofollow の両方の追加を無効にしたいので、ホワイトリストを作成しています。一般的なホワイトリストはありますか、それともゼロから作成する必要がありますか?

あなたのウェブサイトがフィッシングされるのを防ぐ最善の方法は何ですか? 可能であれば、いくつかの技術的な提案と参考文献を引用してください。

ありがとうございました！

計画しているアンチ フィッシング ルーチンに含める銀行のドメイン名の完全なリストを探しています。リスト/URL を持っている人はいますか?

IT以外の同僚の何人かは、非常に疑わしいと思われる.html添付ファイルを電子メールメッセージで開きました。一部のJavaScriptコードが実行されたように見えると、空白の画面が表示されました。

それは何をしましたか？それは私のプログラミング知識の範囲を超えています。

スパマーが私たちのドメイン名から私たちのふりをしてメールを送信していることを知りました。

拝啓　お客様、

この電子メールは、ourwebsite.comから送信されたもので、お客様のアカウントへのアクセスが一時的に禁止されていることを通知します。

あなたのアカウントが他の誰かによってアクセスされた可能性があると信じる理由があります。添付ファイルを実行し、指示に従ってください。

（C）ourwebsite.com（私はそれを変更しました）

添付ファイルは、次のJavaScriptを含むHTMLファイルです。

別のメールには次のようなものがあります。

誰かがそれが何をするのか教えてもらえますか？したがって、脆弱性があるかどうか、そしてそれについて顧客に伝える必要があるかどうかを確認できます...

ありがとう