CN101573692A - 检测和防止中间人网络钓鱼攻击 - Google Patents

Abstract

本发明的实施例提供了一种用于检测和防止中间人网络钓鱼攻击的方法、服务器和制造品，包括：在防止诈骗服务器处从客户端设备接收设备特定信息，向设备特定信息附加互联网协议(IP)地址和/或时间戳中的至少一项，以及将附加后的设备特定信息转发回客户端设备，以提供给网络服务服务器，由网络服务服务器使用，以便于通过IP地址和/或时间戳中至少一项，对客户端设备进行识别。

Description

检测和防止中间人网络钓鱼攻击

相关申请的交叉参考

本申请要求于2007年10月24日提交的题目为“Detecting andPreventing Man-In-The-Middle Phishing Attacks”的美国非临时专利申请No.11/923,561，和于2006年10月25日提交的题目为“Detecting andPreventing Man-In-The-Middle Phishing Attacks”的美国临时专利申请No.60/862,946的优先权，其全部说明书通过引用合并于此，除了那些与本说明书不一致的部分(如果存在)。

技术领域

本发明的实施例涉及数据处理领域，更具体地，涉及在计算机网络事务处理(transaction)期间静态和/或动态的中间人网络钓鱼攻击(man-in-the-middle phishing attacks)的检测和防止。

背景技术

微处理器技术的发展已使信息处理无处不在。网络和电信技术的发展也使信息处理不断网络化。当今，海量内容和服务可通过相互连接的公共和/或专用网络来获得。讽刺的是，这种信息处理无处不在的可获得性也已导致诸如拒绝服务攻击、病毒、垃圾信息和网络钓鱼等滥用。

在典型的“网络钓鱼”诈骗中，诱使终端用户将他们的账户名和口令输入看起来与合法网站相同的网站。攻击者获取登录信息，并通常将用户重新指向真实网站，从而看起来用户仅仅是误输入了他们的口令。

这种类型的攻击可以通过多种技术来防止，包括一次性口令的使用，从而每次登录尝试是唯一的，并使用仅合法用户会知道的内容。不幸地，这些方法无一能够对抗“动态代理(proxy)”攻击，在“动态代理”攻击中，信息简单地通过中间的服务器，双向地传递。对于银行或服务提供商来说，他们看起来是直接连接至用户的，而对于用户来说，他们看起来是直接连接至合法网站的，但是“中间人”攻击者可以劫持该会话或将额外命令注入该会话。对于中间人来说，最简单的方法是在用户注销时并不注销，然后发出其他请求，例如查看余额或转帐。

附图说明

结合附图，通过以下详细描述，将容易理解本发明的实施例。为了便于描述，相同的附图标记表示相同的结构元件。附图中本发明的实施例作为示例示出，而非限制本发明。

图1示意性示出了根据本发明多种实施例的计算机系统；

图2A和2B示意性示出了用于实现本发明多种实施例的计算机网络；

图3是示出了根据本发明多种实施例的操作的流程图。

具体实施方式

在以下详细描述中，参照构成本发明说明书一部分的附图，其中在所有附图中，相同的附图标记表示相同的部分，并示出了实现本发明的示例性实施例。要理解的是，在不背离本发明范围的前提下，也可以利用其他实施例，并可以进行结构或逻辑上的改变。因此，以下详细描述不应被视为限制性的，根据本发明的实施例的范围由所附权利要求及其等同物限定。

从可能有助于理解本发明实施例的方面，多种操作可以描述为多个离散的操作；然而，描述的顺序不应当视为意味着这些操作是依赖于顺序的。

描述可以使用基于透视法的描述，例如上/下、后/前、和顶/底。这样的描述仅用来方便讨论，并不意在限制本发明实施例的应用。

对本发明来说，短语“A/B”表示A或B。对本发明来说，短语“A和/或B”表示“(A)、(B)、或者(A和B)”。对本发明来说，短语“A、B和C中的至少一个”表示“(A)、(B)、(C)、(A和B)、(A和C)、(B和C)、或(A、B和C)”。对本发明来说，短语“(A)B”表示“(B)或(AB)”，即，A是可选元素。

描述可以使用短语“在实施例中”，其可以分别指一个或多个相同或不同的实施例。此外，对于本发明实施例所使用的术语“包含”、“包括”、“具有”等是同义的。

本发明的实施例提供针对检测和防止中间人网络钓鱼攻击的方法、服务器和制造品。

图1示意性示出了根据本发明多种实施例的计算机系统100，其可以作为服务器、客户端设备、数据库等进行操作。系统100可以具有执行环境104，执行环境104可以是执行操作系统(OS)108的域。OS 108可以是被配置为执行和控制执行环境104内受管理模块116管理的其他组件(例如，软件组件112)的一般操作的组件。管理模块116可以仲裁一般组件对硬件资源的访问，硬件资源是例如，一个或多个处理器120、网络接口控制器124、存储装置128、和/或存储器132。

在一些实施例中，组件112可以是监控级组件，例如，内核组件。在多种实施例中，内核组件可以是服务(例如，加载器、调度器、存储器管理器等)、扩展/驱动器(例如，针对网络卡，是通用串行总线(USB)接口、磁盘驱动等)、或服务-驱动器混合体(例如，对代码的执行进行监视的入侵检测器)。

处理器120可以执行系统100的组件的程序指令。处理器120可以是单核和/或多核处理器、控制器、专用集成电路(ASIC)等。

在实施例中，存储装置128可以代表非易失性存储器，以存储用于系统100组件执行的永久性内容，例如但不限于，操作系统、程序文件、配置文件等。在实施例中，存储装置128可以包括存储的内容136，该存储的内容可以代表组件112的源内容的永久性存储。源内容的永久性存储可以包括，例如可以具有可执行文件和/或代码段的可执行代码存储，至其他例程的链接(例如，对动态链接库(DLL)的调用)、数据段等。

在多种实施例中，存储装置128可以包括集成的和/或外围的存储设备，例如但不限于，磁盘和关联的驱动(例如，磁、光盘)、通用串行总线(USB)存储设备和关联的端口、闪存、ROM、非易失性半导体设备等。在多种实施例中，存储装置128可以是作为系统100的物理部分的存储资源，或者存储装置128可以但不是必须能够被系统100的一部分访问。例如，存储装置128可以经由网络接口控制器124通过网络140被系统110访问。此外，多个系统100可以可操作地经由网络140彼此连接。例如，对于来自OS 108的加载代理的加载请求，管理模块116和/或OS 108可以将来自存储装置128的存储内容136加载到存储器132中，作为针对执行环境104中组件112的操作的有效内容144。

在多种实施例中，存储器132可以是易失性存储器，以提供用于系统100上组件操作的有效内容。在多种实施例中，存储器132可以包括RAM、动态RAM(DRAM)、静态RAM(SRAM)、同步DRAM(SDRAM)、双数据率RAM(DDRRAM)等。

在一些实施例中，存储器132可以将其存储内容组织成多个存储位置组。这些大小可以固定和/或可变的有组织的组可以便于虚拟存储器管理。存储位置的组可以是页、段或其组合。

如这里所使用的，术语“组件”意在指可以用来获得期望结果的程序逻辑和关联的数据。术语“组件”可以与“模块”或“代理”同义，并可以指程序逻辑，该程序逻辑可以以硬件或固件、或者以软件指令集的形式具体实现，该软件指令集可能具有入口和出口点，以诸如C++、英特尔构架32位(Intel Architecture 32bit，IA-32)可执行代码等程序语言编写。

软件组件可被编译并链接成可执行程序，或安装在动态链接库中，或可以采用诸如BASIC等解释语言编写。将理解的是，软件组件可从其他组件或其自身调用，和/或可以响应于检测到的事件或中断来调用软件组件。可以在机器可访问介质中提供软件指令，机器可访问介质在被访问时，可以产生机器执行结合本发明实施例组件而描述的操作或执行。机器可访问介质可以是固件，例如，电可擦除可编程只读存储器(EEPROM)、或其他可记录/非可记录介质，例如只读存储器(ROM)、随机存取存储器(RAM)、磁盘存储器、光盘存储器等。还将理解的是，硬件组件可以包括诸如门和触发器等连接的逻辑单元，和/或可以包括诸如可编程门阵列或处理器等可编程单元。在一些实施例中，这里所述的组件可以实现为软件模块，但也可以以硬件或固件表示。此外，尽管仅说明和/或描述了给定数量的离散的软件/硬件组件，但是在不背离本发明实施例的精神和范围的前提下，这样的组件可以由更多的组件或更少的组件来表示。

在本发明的实施例中，可以采用制造品来实现如这里所述的一种或多种方法。例如，在示例实施例中，制造品可以包括存储介质和存储在存储介质中的多个程序指令，并适于对装置进行编程，来使装置能够向代理服务器请求一个或多个位置限制，以修改一个或多个用户偏好。在这些实施例的不同实施例中，程序指令可以适于修改一个或多个用户偏好，来使一个或多个用户偏好受制于一个或多个位置限制。在不同实施例中，可以采用制造品来在一个或多个客户端设备中实现这里所述的一种或多种方法。在不同实施例中，程序指令可以适于实现浏览器，并且在这些实施例的不同实施例中，浏览器可以适于允许用户显示与网络接入相关的信息。在示例性实施例中，程序指令可以适于在客户端设备上实现浏览器。

客户端设备的示例包括台式计算机、膝上型计算机、手持计算机、平板(tablet)计算机、蜂窝电话、个人数字助理(PDA)、音频和/或视频播放器(例如，MP3播放器或DVD播放器)、游戏设备、导航设备(例如，GPS设备)、和/或其他适合的固定、便携式或移动电子设备。

参照图2A和2B，所示的网络200包括用作反网络钓鱼服务器的防止诈骗服务器(fraud prevention server)202、客户端设备204和网络服务服务器206(即，向客户端设备204提供某种服务和/或内容的服务器)。图2A示出了针对计算机网络200的期望布置的示例。

本领域的技术人员将理解，多个客户端设备204可以以通信的方式连接至一个或多个网络服务服务器206，来访问其内容和/或服务。客户端设备可以经由一个或多个网络(例如，互联网)连接至网络服务和反网络钓鱼服务器，一个或多个网络可以是一个或多个基于无线和/或有线的局域网和/或广域网(LAN和/或WAN)。为了简单和清楚起见，如图2A和2B所示。

将应用或组件212经由防止诈骗服务器202或网络服务服务器206提供至客户端设备204，客户端设备可以从防止诈骗服务器202获得应用212。组件212方便和促进这里将进一步描述的本发明的各个方面。

因此，参照图2A、2B和3，根据多种本发明实施例，将诸如ActiveX控件、或包含协议所需的客户端代码的浏览器插件等组件212下载至客户端设备204。网络服务服务器206知道或预期客户端设备204具有组件212。因此，当客户端设备204尝试登录网络服务服务器202时，在网络服务服务器206处用于登录的网页调用组件212。

根据本发明多种实施例，组件212呼叫(call to)防止诈骗服务器202，并向防止诈骗服务器202传递可以用来精确识别客户端设备204的设备特定信息。根据各个实施例，传递给防止诈骗服务器202的信息可以是加密和/或编码的，在这种情况下，防止诈骗服务器202对该信息进行解密和/或解码。对防止诈骗服务器202的调用可以是异步的(例如，经由XML HTTP请求调用)，也可以是同步的。

作为响应，防止诈骗服务器202向由客户端设备204发送的设备信息添加客户端设备204的当前时间戳和/或互联网协议(IP)地址。根据各个实施例，使用会话密钥对添加后的设备信息进行加密。根据各个实施例，防止诈骗服务器202利用属于网络服务服务器/网站206的公共密钥，对会话密钥进行加密。可选地，防止诈骗服务器202利用属于安全服务提供商(未示出)的公共密钥，对会话密钥进行加密。防止诈骗服务器202然后将加密和添加后的设备信息发送回客户端设备204。

根据其他实施例，当客户端设备204初始地从防止诈骗服务器202接收到组件212时，还可以包括作为加密或非加密数据的IP地址和/或时间戳，用于初始与网络服务服务器206进行通信中。如果所述数据是非加密的，则客户端设备204在将所述数据转发至网络服务服务器206之前，可以对数据进行加密。根据各个实施例，客户端设备可以呼叫防止诈骗服务器202，防止诈骗服务器202以包括IP地址和/或当前时间戳的回波通信(echo communication)予以应答。客户端设备然后可以向通信(例如设备特定识别信息)添加IP地址和当前时间戳，并且对随后会转发至网络服务服务器206的所述通信进行加密。作为另一示例，客户端设备204可以请求对先前的设备特定信息通信进行更新，以使该设备特定信息通信包括当前IP地址信息和/或当前时间戳，防止诈骗服务器可以将更新后的设备特定信息通信回波返回至客户端设备204。防止诈骗服务器202或客户端设备可以对更新后的通信进行加密。

根据本发明的各个实施例，客户端设备204将已加密、添加后的设备信息嵌入到网页中，或者将已加密的、添加后的设备信息发送回网络服务服务器206。网络服务服务器206向所接收的数据添加客户端设备的IP地址和当前时间戳。因此，现在存在两个时间戳和两个IP地址，一个时间戳和IP地址在数据体内被安全加密，而另一个在数据体外。然后，网络服务服务器206对数据进行本地解密，或者使用安全服务提供商(取决于谁具有私用密钥)，并比较IP地址。如果IP地址不匹配(或者，如果使用动态代理，两个IP地址不都属于客户端设备204的互联网服务提供商所拥有的范围)，则暗示存在中间人网络钓鱼者。如果IP地址匹配，则根据设备特定信息识别客户端设备204，因此得知客户端设备204与特点登录账户相关联，该登录可以仅采用账户名称和口令来进行。如果客户端设备204没有被识别出，或没有被批准与该特点登录账户一同使用，则网络服务服务器206可以拒绝客户端设备204的登录，和/或可以要求客户端设备204的用户通过电话或一些其他带外方法，与网络服务服务器206的消费者服务部门联系。除了或代替IP地址比较，还可以对时间戳进行比较，并且如果在两个时间戳之间存在实质性差别，则也可以暗示存在中间人网络钓鱼者。

因此，本领域的技术人员将理解，如果网络钓鱼网站服务器210已经捕获了用户登录、口令和有效的已加密、添加后设备特定信息，则网络钓鱼者可以使用所捕获的登录、口令和已加密数据，来尝试登录网络服务服务器206，冒充授权的用户。然而，在这样的情况下，中间人网络钓鱼者的IP地址与在已加密、添加后设备特定信息中被加密的IP地址不匹配。因此，网络服务服务器206将拒绝该登录，和/或网络服务服务器206可以要求客户端设备204的用户通过电话或一些其他带外方法与网络服务服务器206的消费者服务部门联系。此外，如果添加后设备特定信息内部的时间戳的偏差大于一个短时间段，则登录可以被拒绝，这是由于这指示了在已加密设备特定信息的加密和到达网络服务服务器206之间已经过了额外的时间，从而指示可能存在中间人网络钓鱼者。网络服务服务器206可以要求客户端设备204的用户通过电话或一些其他带外方法与网络服务服务器206的消费者服务部门进行联系。

如果中间人网络钓鱼者下载组件212，并发送其自己的设备信息，则IP地址将匹配，但是网络钓鱼者的计算机208的设备特定信息无法与被批准与特定登录账户一同使用的客户端设备204的设备特定信息相匹配。因此，网络服务服务器206可以质疑中间人网络钓鱼者。可选或附加地，网络服务服务器可以发送带外、一次性口令，从而警告客户端设备204的用户他们已受中间人网络钓鱼者的攻击。

本领域的技术人员还将理解，根据本发明，网络钓鱼网站服务器210可以充当代理，将客户端设备的所有请求转发至网络服务服务器206，并且将网络服务服务器206的响应转发至客户端设备204。然而，在这样的情况下，加密和添加后设备特定信息内的IP地址无法与网络服务服务器206所见的IP地址相匹配，和/或设备数据无法与被批准与特定登录账户一同使用的客户端设备204相匹配。因此，如果代理调用防止诈骗服务器204来直接获得加密和添加后设备特定信息，则网络服务服务器206可以质疑该登录。

尽管优选的是防止诈骗服务器202和网络服务服务器206是分离的服务器，但是本领域的技术人员将理解，网络服务服务器206和防止诈骗服务器202可以是同一服务器。在这种情况下，如果需要，网络服务服务器206和防止诈骗服务器202被划分和布置为分离的虚拟服务器。同样，网络钓鱼者的计算机208和网络钓鱼服务器210可以是单个装置。

尽管针对优选实施例的描述这里已说明和描述了特定实施例，但本领域的普通技术人员将理解的是，在不背离本发明范围的前提下，计划用来实现相同目的的各种可选和/或等同实施例或实现方式可以代替所说明和描述的实施例。本领域的技术人员将容易理解，根据本发明的实施例可以采用多种不同方式来实现。本申请意在覆盖这里所讨论的实施例的任何改变或变型。因此，显而易见的是，根据本发明的实施例仅由所附权利要求和等同物限定。

Claims (24)

1、一种方法，包括：

在防止诈骗服务器处从客户端设备接收设备特定信息；

向设备特定信息添加互联网协议IP地址和/或时间戳中的至少一项；以及

将添加后的设备特定信息转发回客户端设备，以提供给网络服务服务器，由网络服务服务器使用，从而便于通过IP地址和/或时间戳中的至少一项，对客户端设备进行识别。

2、根据权利要求1的方法，还包括：将IP地址和时间戳都添加至设备特定信息。

3、根据权利要求1的方法，还包括：在将添加后的设备特定信息转发回客户端设备之前，对添加后的设备特定信息进行加密。

4、根据权利要求1的方法，还包括：在对设备特定信息进行添加之前，对设备特定信息进行解码和/或解密中的至少一项。

5、根据权利要求1的方法，其中，网络服务服务器向客户端设备提供用于与防止诈骗服务器进行通信的组件。

6、根据权利要求5的方法，其中，防止诈骗服务器向网络服务服务器提供所述组件。

7、根据权利要求1的方法，其中，防止诈骗服务器向客户端设备提供用于与防止诈骗服务器进行通信的组件。

8、一种防止诈骗服务器，包括：

处理器；以及

由处理器运行的逻辑，用于：

从客户端设备接收设备特定信息；

向设备特定信息添加互联网协议IP地址和/或时间戳中的至少一项；以及

将添加后的设备特定信息转发回客户端设备，以提供给网络服务服务器，由网络服务服务器使用，从而便于通过IP地址和/或时间戳中的至少一项，对客户端设备进行识别。

9、根据权利要求8的防止诈骗服务器，其中，所述逻辑添加IP地址和时间戳两者。

10、根据权利要求8的防止诈骗服务器，其中，所述逻辑还在将添加后的设备特定信息转发回客户端设备之前，对添加后的设备特定信息进行加密。

11、根据权利要求8的防止诈骗服务器，其中，所述逻辑还在将IP地址和/或时间戳添加至设备特定信息之前，对添加后的设备特定信息进行解码和/或解密中的至少一项。

12、根据权利要求8的防止诈骗服务器，其中，所述逻辑还向网络服务服务器提供组件，以提供给客户端设备。

13、根据权利要求8的防止诈骗服务器，其中，所述逻辑还向客户端设备提供用于与防止诈骗服务器进行通信的组件。

14、一种制造品，包括：

存储介质；以及

多个程序指令，存储在存储介质上，并将服务器编程为：

从客户端设备接收设备特定信息；

向设备特定信息添加互联网协议IP地址和/或时间戳中的至少一项；以及

将添加后的设备特定信息转发回客户端设备，以提供给网络服务服务器，由网络服务服务器使用，从而便于通过IP地址和/或时间戳中的至少一项，对客户端设备进行识别。

15、根据权利要求14的制造品，其中，程序指令还将服务器编程为：添加IP地址和时间戳两者。

16、根据权利要求14的制造品，其中，程序指令还将服务器编程为：在将添加后的设备特定信息转发回客户端设备之前，对添加后的设备特定信息进行加密。

17、根据权利要求14的制造品，其中，程序指令还将服务器编程为：在对设备特定信息进行添加之前，对添加后的设备特定信息进行解码和/或解密中的至少一项。

18、根据权利要求14的制造品，其中，程序指令还将服务器编程为：向网络服务服务器提供组件，以提供给客户端设备。

19、根据权利要求14的制造品，其中，程序指令还将服务器编程为：向客户端设备提供用于与防止诈骗服务器进行通信的组件。

20、一种方法，包括：

在服务器处从客户端设备接收设备特定信息；

向设备特定信息添加互联网协议IP地址和/或时间戳中的至少一项；以及

将添加后的设备特定信息转发回客户端设备，以在后续通信中从客户端设备提供至服务器，由服务器使用，从而便于通过IP地址和/或时间戳中的至少一项，对客户设备进行识别。

21、根据权利要求20的方法，还包括：向设备特定信息添加IP地址和时间戳两者。

22、根据权利要求20的方法，还包括：在将添加后的信息转发回客户端设备之前，对添加后的设备特定信息进行加密。

23、根据权利要求22的方法，还包括：当接收到后续通信时，对添加后的信息进行解密。

24、根据权利要求20的方法，还包括：在对设备特定信息进行添加之前，对设备特定信息进行解码和/或解密中的至少一项。

Images