51testing 2007-11-15 15:38
聊天的危险 看即时通讯常见安全问题
即时通讯工具（Instant Message）简称IM，是目前使用最为普遍的网络应用之一。
继[url=http://www.pcdog.com/special/1060/index.html][color=#0066cc]QQ[/color][/url]的小企鹅图标以惊人的速度出现在我们的计算机上之后，网易、新浪、搜狐等知名厂商也迫不及待地加入这场如火如荼的竞争，而微软、雅虎、AOL这些国际巨头，也一刻没有停止他们扩张的脚步。 即时通讯平台真正在全球范围内拉近了人与人的距离，无论对于个人用户还是企业用户，都成为一种不可或缺的交流工具。现今的即时通讯工具不仅能够实现文字聊天，而且能够在两台计算机之间传送文件以及进行音频和视频等方式的通信。 正是因为即时通讯应用的高速普及和广受欢迎，使得[url=http://www.pcdog.com/special/2004/index.html][color=#0066cc]安全[/color][/url]攻击获得了拥有了极大的发展空间和破坏能力。丰富的功能是即时通讯吸引用户的主要手段之一，但从安全的角度来讲，功能的丰富化恰恰是与严格的安全准则背道而驰的。作为一种为了最大化沟通能力而存在的应用[url=http://www.pcdog.com/net/3655/index.html][color=#0066cc]系统[/color][/url]，其认证机制和保护手段是相对比较薄弱的，这很容易为恶意攻击行为所利用。下面让我们分几个方面来逐一认识即时通讯应用系统所面临的安全问题。 [b]IM系统自身的问题[/b] 在我们讨论其它问题之前，首先来看一下即时通讯系统本身如果遭遇攻击可能会带来哪些破坏。首先是即时通讯的基础设施，比如存储所有传输数据和通信记录的[url=http://www.pcdog.com/net/3566/index.html][color=#0066cc]服务器[/color][/url]，一旦被攻破，成百上千万用户的记录将暴露在攻击者的面前。尽管所有的即时通讯服务商都提醒其的用户不要利用即时通讯传输敏感信息，但是这些记录中仍然会包含大量的密码和重要资讯。除了服务商的服务器之外，用户的个人电脑也存储着大量该类信息。 相对于服务端比较正式的安全防范，个人电脑中的数据被窃取的可能性往往更大。而信息的被窃不仅仅会给用户带来经济上的损失，同样需要我们关注的是所造成的隐私危机。除了通讯两端的安全风险之外，由于即时通讯工具通常使用弱[url=http://www.pcdog.com/special/1119/index.html][color=#0066cc]加密[/color][/url]甚至不加密的数据传输方式，所以网络窃听活动也会给即时通讯系统造成很大的威胁。 [b]利用IM系统传播的病毒[/b] 近年来病毒的发展趋势主要是通过Internet传播的网络蠕虫。即时通讯自身具备完善的联系人列表，为蠕虫病毒传播提供了很好的传染目标获取机制。而即时通讯用户之间较高的信任程度，又无形中为病毒传播提供了社交工程方面的基础。现在通过感染即时通讯系统实现传播的病毒主要呈现出以下几类形态：以占用系统资源、破坏目标系统及种植[url=http://www.pcdog.com/special/1215/index.html][color=#0066cc]木马[/color][/url]为行为，例如[url=http://www.pcdog.com/special/1300/index.html][color=#0066cc]MSN[/color][/url]“性感鸡”病毒；窃取即时通讯系统账号密码及相关信息的病毒，比如[url=http://www.pcdog.com/net/2967/index.html][color=#0066cc]QQ密码[/color][/url]结巴等窃取QQ密码的木马；利用感染的即时通讯系统发送各种消息的病毒，QQ尾巴就是这类病毒的代表，也是较早在即时通讯平台上流行的病毒。 即时通讯病毒正在高速增长，很可能会在不远的将来发展到和电子邮件病毒一样严重的地步。要控制这种局势，首先需要即时通讯厂商充分重视即时通讯软件的安全问题，对其产品进行更严格的安全设计。同时，安全领域的供应商也应该积极行动，以更快的速度应对即时通讯安全事件，并研发出能够更好与即时通讯系统集成的防护产品，例如嵌入到即时通讯软件中并且可以保持更新的[url=http://www.pcdog.com/net/3099/index.html][color=#0066cc]防病毒[/color][/url]组件。 [b]利用IM破坏防御系统[/b] 类似[url=http://www.pcdog.com/special/1084/index.html][color=#0066cc]防火墙[/color][/url]这样常见的安全防御设备，很多时候会因为即时通讯工具的存在而被突破，这类情况对企业用户的损害尤其严重。大多数即时通信软件都允许用户选择使用的端口，或者能够自动尝试可以进行通信的端口，甚至利用某些机制绕过防火墙。在这种情况下防火墙就失去了其应有的保护作用，并且这些穿越防火墙的通讯很可能会被攻击者利用以突破防火墙，对防火墙所保护的网络和计算机造成破坏。 在企业环境中，即时通讯的应用总是个两难问题。在充分的应用即时通讯为企业提高效率和限制员工使用即时通讯工具中间做出选择，往往导致两种极端的结果，即对即时通讯放任自流和完全禁止企业的即时通讯应用。也许更适合的手段是找到一种折衷的方案，例如我们可以在防御系统中过滤[url=http://www.pcdog.com/net/3374/index.html][color=#0066cc]文件传输[/color][/url]，而不要整个将即时通讯划为非法应用。 [b]对IM发起[url=http://www.pcdog.com/net/327/index.html][color=#0066cc]拒绝服务[/color][/url]攻击[/b] 拒绝服务攻击特别是分布式拒绝服务攻击可以说是[url=http://www.pcdog.com/net/2407/index.html][color=#0066cc]互联网[/color][/url]先天性安全能力不足的一个例证。即时通讯服务商本身就面临着拒绝服务攻击的威胁。由于即时通讯服务商提供的用户服务能力通常要小于总用户数，所以在相对满载的时候，攻击者较易实施拒绝服务攻击。通过发送通过发送畸形的或者模拟的[url=http://www.pcdog.com/net/3618/index.html][color=#0066cc]数据包[/color][/url]到即时通讯服务器，可以大量消耗服务器的资源，造成服务瘫痪。 另外，即时通讯客户端软件也存在很多可能引发拒绝服务攻击的[url=http://www.pcdog.com/special/1216/index.html][color=#0066cc]漏洞[/color][/url]，使安装了即时通讯软件的机器遭受拒绝服务攻击。客户端的一个隐忧是用户现在通常是为了功能对即时通讯客户端进行升级，而很少象针对[url=http://www.pcdog.com/special/1108/index.html][color=#0066cc]操作系统[/color][/url]的安全问题那样及时更新补丁。这使得存在即时通讯漏洞的计算机数量相当可观，当然这和厂商的推广方式有很大的关联。 [b]IM的网络钓钩[/b] 继利用电子邮件和网站等方式开展[url=http://www.pcdog.com/net/1292s/index.html][color=#0066cc]网络钓鱼[/color][/url]之后，以即时通讯作为诱骗手段的网络钓鱼行为正越来越多的被诈骗者们实施。比较常见的手法是利用即时通讯发送消息将用户导向陷阱以及冒充即时通讯供应商开展某种活动骗取用户的敏感信息等等。例如雅虎就曾经证实其即时通讯工具雅虎通的用户曾经接收到类似的诱骗信息，将用户导向诈骗者的网站；而国内也曾发现过很多以赠送Q币为名获取QQ密码和传播[url=http://www.pcdog.com/special/1136/index.html][color=#0066cc]恶意代码[/color][/url]的网站。 除了以上行为之外，即时通讯应用的匿名特征使其也成为了各种骚扰行为的温床，大量的即时通讯用户都收到过一些自身不想收到的甚至给自己带来侮辱和困扰的信息。面对这类安全问题，需要即时通讯用户能更充分的认识即时通讯应用所具有的风险，以更高的警惕性约束自己的行为。 [b]IM的明天[/b] 即时通讯系统仍处于高速发展之中，很可能明天就会涌现出新的安全问题，有新的攻击手段被设计出来。包括用户、即时通讯服务商及相关厂商全体，都应该以积极的态度去面对这种形势，并履行自己的职责，以保证即时通讯应用在更健康的状态下成长。