【51CTO.com獨家快譯】由使用公共Wi-Fi 網(wǎng)絡所帶來的安全風險這些年大家都已經(jīng)眾所周知了，但再謹慎的計算機用戶連接到公共Wi-Fi 無線網(wǎng)絡時還是容易受到攻擊 ，這是由于不安全的自動軟件更新的普遍存在。

安全研究員Itzik Kotler和Tomer Bitton最近在拉斯維加斯DEFCON安全會議上的演講顯示，數(shù)百個流行的應用程序都很容易受到中間人攻擊(man-in-the-middle attack) ，因為它們都依賴于一個有缺陷的軟件更新過程。

為了演示這個安全漏洞，Kotler和Bitton發(fā)布了一個名為 ippon- mitm 的軟件，可以劫持軟件更新的會話，并向發(fā)起更新請求的計算機發(fā)送惡意軟件作為響應。通常情況下，用戶并不知道更新查詢已經(jīng)發(fā)送而且被攔截了，他很可能繼續(xù)在這臺受到威脅的計算機上輸入敏感信息。

研究人員說Alcohol 120, Adobe PDF Reader, GOM Player, HexWorkshop, iMesh和Skype，以及其它一些應用軟件的更新機制就容易被利用。

Kotler拒絕透露余下的其它應用軟件，并表示稱他們公司一直在與相應的供應商聯(lián)系，向他們通報有關問題。在DEFCON上作出此番演講后，公司發(fā)言人還沒有立即就此事澄清是否這些有缺陷的軟件已經(jīng)打上了補丁。

“在Wi-Fi網(wǎng)絡下一切都是開放的，"Kotler說?！拔铱梢詡窝b成谷歌。如果我知道受害者是誰，我就可以向 DNS 緩存投毒。 “

Kotler警告說，一旦攻擊成功，受感染的機器就可以成為傳染源，攻擊網(wǎng)絡上的其他計算機。

不像微軟那樣使用公鑰加密來保證更新的安全，大多數(shù)的廠商都沒有在更新過程中內(nèi)置驗證系統(tǒng).

Kotler說：“他們必須得花時間和投資對此進行研究，找出進行更安全的更新途徑”。

【51CTO.com譯稿，非經(jīng)授權請勿轉載。合作站點轉載請注明原文譯者和出處為51CTO.com，且不得修改原文內(nèi)容?！?

【編輯推薦】

• 加強DNS安全：可在Chroot下運行BIND
• 如何確保網(wǎng)絡DNS安全
• 2009年不容忽視的安全隱患：DNS漏洞