#315 开始讲虚假 wifi 热点了

[goodbest]

左下角注目。360其实这个算是自黑吧。

[paradoxs]

所谓的邮箱密码，根本就没说是什么邮箱。。
说不好是他们公司自己的邮箱呢。
把后缀暴露一下呗。[:笑]

[xmh51]

@linzianplay 确实，hao123有ssl证书，但无法正常浏览。微信有https加密，但也有明文传输。而微博没有https模式。空间有，但https模式也是不默认的。v2ex都一样，在被墙之前，大部分v友都是直接访问http页面

[wecan]

@paradoxs 我也觉得，如果是Hotmail，Gmail这些事情就大了。反正国内的邮箱本来也就不可靠

[cnZary]

@xmh51 大厂都认为ssl会影响速度....而不会考虑用户体验

[9hills]

我感觉这个是在黑WP。。

不过大家都喜欢这么忽悠小白，安全界更是如此。

[zts1993]

1. 图片的亮点不是1%么
2. 后面那个工程师是360的

[yfdyh000]

@paradoxs 也有Wi-Fi标准的问题吧，单向鉴权设计。双向鉴权是当初推广的国产标准WAPI的一个卖点。伪基站的根源也是单向鉴权问题，GSM，SIM与USIM卡。

[goodbest]

@wecan hotmail gmail被中间人攻击又不是一天两天的

[9hills]

@goodbest 但是中间人没有可信CA太容易被发现了，所以目前这个风险非常小。

P.S 说WoSign/CNNIC 中间人的，目前还没有谁能拿出伪造证书，所以不可信

[honeyshine75]

意思是说他们不是用的ios或者安卓自带的imap登录，而是单独的比如qq邮箱这样的软件登录的邮箱？而这些邮箱客户端没有加密密码？
这不科学吧，密码不都是加密传输的吗？

[alexyangjie]

zANTI+SSL Strip，除非网站开启HSTS+用户提高安全意识，否则都能攻破。

[paradoxs]

@yfdyh000
90%的问题在产品设计身上。
拿IOS的支付宝钱包来说，不管你用的是什么WIFI，会有危险吗？不会！


WIFI里面，能被ARP抓包看到的信息，运营商也能看到。 掌管路由器的房东也能看到。

[juzi]

我关心的是8点开始的晚会，怎么被今天早上的李大大的发布会占据了，推迟了好久，被公关了吗

[yfdyh000]

@paradoxs 说的是“用无密码WIFI”这个行为而不是“WIFI”的问题。完全抛弃http目前也不可能。晚会只是宣传，没必要较真。用户不浏览网页吗，浏览网页就可能被钓鱼。只是安全提醒，免费WIFI的安全隐患。

[nbabook]

据我所知，很多手机终端软件其实都是采用HTTP协议进行数据传输，如果不是进行修改的话，根本不用HTTP劫持，只拦截数据包之后进行解压缩就可以直接明文了。
在节目中，根本没提HTTPS的事，所以很难判定他是否进行了HTTPS中间人攻击。而且手机端的软件当证书出错的时候，是否会提醒用户也不可知把？

[Love4Taylor]

@juzi 据说是李大大说了什么 然后吓得央视把电商相关的全去掉了

[wecan]

@yfdyh000 我觉得还有一个问题，他们说搞了个一样名字的SSID这个没问题，不过信号也要够强，超过真正的wifi信号吧

[nbabook]

@wecan 我觉得这是在忽悠人。。。

[goodbest]

@juzi 主持人刚说了延迟是因为焦点访谈占了时长（也就是答记者问）

不过从这里能看出的确是直播...

[juzi]

@wecan 估计就是那么一说，说不定开始wifi就是虚假搭建的，这么说只是让人感到很牛逼的样子。
@Love4Taylor 对对，有可能，李大大说了他网上买书了。哈哈