XDA智能手机网 - 第一智能手机评述媒体
科技您的位置:首页 >科技 >

Google禁止嵌入式浏览器框架中的登录以防止MitM网络钓鱼

发布时间:2019-04-19 16:08:27 来源:

谷歌今天宣布了针对谷歌用户登录系统的安全更新,该公司希望该系统能够改善其针对基于MitM的网络钓鱼攻击的整体安全保护。

根据谷歌产品经理和帐户安全部门的Jonathan Skelker的说法,该公司计划阻止从嵌入式浏览器框架技术发起的任何用户登录尝试。

这包括从Chromium Embedded Framework(CEF),XULRunner等工具尝试的任何登录。

嵌入式浏览器框架滥用于MITM网络钓鱼

在过去的一年中,网络犯罪分子一直在使用这些工具作为中间人(MitM)攻击的一部分。

设法将自己置于拦截用户的Google登录页面的网络流量的骗子通常会使用嵌入式浏览器框架来自动执行登录操作。

用户在网络钓鱼页面上输入他们的Google登录凭据,然后操作该页面的骗子使用嵌入式浏览器框架来自动执行真实Google服务器上的登录操作。

他们使用这种技术绕过双因素身份验证系统,而嵌入式浏览器框架通常是代表网络犯罪者与Google服务器交互的组件。

GOOGLE无法告诉真实用户的嵌入式浏览器

“因为我们无法区分这些平台上的合法登录和MITM攻击,我们将从6月开始阻止嵌入式浏览器框架的登录,”Skelker 说。

这只是谷歌公司为其用户登录系统推出的最新安全更新。

去年10月,该公司禁止从禁用JavaScript的浏览器进行任何登录尝试。2016年6月,Google禁止从嵌入式浏览器(如WebView)发起任何登录尝试。

至于现在必须从他们的应用程序中删除CEF等嵌入式浏览器框架的开发人员,Google建议他们使用基于浏览器的OAuth身份验证 -这是一种不易受网络钓鱼攻击的解决方案。

“除了安全之外,它还使用户能够看到他们输入凭证的页面的完整URL,加强良好的反网络钓鱼做法,”Skelker说。“如果您是开发人员,其应用需要访问Google帐户数据,请立即切换到使用基于浏览器的OAuth身份验证。”

热点推荐
随机文章