研究人員：HTTPS不如你想的安全，5.5%含有TLS漏洞

近來各大瀏覽器業者都致力於推廣HTTPS安全傳輸協議，科技業者甚至共同創立Let's Encrypt免費憑證組織，以推動全球網站都使用HTTPS，不過，來自義大利與奧地利的研究人員宣稱HTTPS並不如想像中的安全，在Alexa流量排行榜上前1萬個HTTPS網站中，就有5.5%的TLS加密傳輸含有安全漏洞。

HTTPS的全名為HyperText Transfer Protocol Secure，基本上是以HTTP（HyperText Transfer）進行通訊，再利用SSL/TLS來加密封包，

研究人員指出，HTTPS所仰賴的SSL/TLS近幾年已被證實可遭受各種攻擊，而且需要同時在伺服器端與瀏覽器端進行修補，市場大量採用複雜且合成的協議版本，令外界更難辨識哪些攻擊是有效的或是這些漏洞對各種網路應用在安全性上的影響。

該報告檢查了Alexa流量排行榜上前1萬個採用HTTPS傳輸協定的網站，發現有5.5%的網站可能因為它們所採用的子網域或相依關係而變得不安全，在不少案例的漏洞是源自於外部或相關網域的主機。

從數字來看，在這5,574個含有安全風險的網站中，有4,818個可能遭受中間人攻擊（Man-in-the-Middle，MitM），733個可能被完全解密，912個可能被部份解密。

這些加密上的漏洞造成898個網站將可完全被危害而遭注入腳本程式，且不乏重要的電子商務網站或網路銀行服務；有997個網站的內容可能被駭客竄改；有10%的登入格式存在機密性問題，允許駭客竊取密碼；412個網站的Cookie可能被盜用並被用來執行連線挾持（Session Hijacking）；還有142個網站含有檢自熱門追蹤器的主機內容，而相關主機則是含有漏洞的，令使用者曝露在檔案攻擊中。

這是首次有研究人員針對網路應用程式與加密漏洞之間的關係系統化地進行量化評估，完整的報告預計於今年5月舉行的IEEE安全暨隱私研討會上發表。