[论文解读] Harvesting SSL Certificate Data to Mitigate Web-Fraud

Mishari Al Mishari, Emiliano De Cristofaro+2 more|arXiv (Cornell University)|Sep 21, 2009

Digital Rights Management and Security被引用 6

一句话总结

本文提出了一种新颖的方法，通过分析合法与恶意域名的SSL证书元数据，检测基于HTTPS的网络欺诈域名。利用对SSL证书大规模测量数据训练的分类器，该方法在识别网络钓鱼和拼写错误劫持域名方面表现出高准确性，表明HTTPS元数据可作为补充缓解技术，超越其原始安全功能。

ABSTRACT

Web-fraud is one of the most unpleasant features of today’s Internet. Two eminent examples of web-fraudulent activities are phishing and typosquatting. Phishing aims to elicit sensitive information from users by presenting them with mock-ups of legitimate web sites. Typosquatting is the nefarious practice of fielding web sites with names closely resembling those of legitimate and popular Internet destinations. Effects range from relatively benign (such as unwanted or unexpected ads) to downright sinister (especially, when typosquatting is combined with phishing). Prior work has assessed the risks of phishing and typosquatting and even attempted to profile and mitigate them. However, the problem remains largely unsolved. This paper presents a novel technique to detect web-fraud domains that utilize HTTPS. To achieve this, we conduct the first comprehensive study of SSL certificates for legitimate and popular domains, as opposed to those used for web-fraud. Drawing from extensive measurements, we build a classifier that detects malicious domains with high accuracy. We validate our methodology with large amounts of data collected from the Internet. Our prototype is orthogonal to existing mitigation techniques and can be integrated with other available solutions. Our work shows that, besides its intended benefits of confidentiality and authenticity, the use of HTTPS can help mitigate web-fraud. 1

研究动机与目标

• 为解决网络欺诈的长期挑战，特别是网络钓鱼和拼写错误劫持，这些攻击利用用户对看似合法网站的信任。
• 探究HTTPS域名的SSL证书元数据是否可作为检测恶意域名的可靠信号。
• 开发一种基于SSL证书特征的分类器，以区分恶意与合法域名。
• 通过大规模互联网测量验证该方法，确保其实际适用性。

提出的方法

• 作者对合法与欺诈域名的SSL证书开展了全面的测量研究。
• 他们提取并分析了证书属性，如颁发者、有效期、通用名称和主题备用名称，以识别具有区分性的模式。
• 基于这些特征训练机器学习分类器，以检测网络欺诈域名的异常行为。
• 使用从互联网大规模收集的数据对分类器进行评估，以确保其鲁棒性和泛化能力。
• 该方法设计为与现有缓解技术正交，可无缝集成到当前安全解决方案中。

实验结果

研究问题

• RQ1 SSL证书元数据能否可靠地区分恶意与合法的HTTPS域名？
• RQ2 与合法域名相比，网络钓鱼和拼写错误劫持域名在SSL证书属性中表现出哪些独特模式？
• RQ3 基于SSL证书数据的分类器在大规模检测网络欺诈域名方面效果如何？
• RQ4 该方法在多大程度上可与现有检测机制互补？

主要发现

• 研究揭示了恶意与合法域名在SSL证书特征方面存在显著差异，尤其是在颁发者信任度、域名模式和证书签发行为方面。
• 所提出的分类器在以SSL证书元数据作为输入时，能够实现高准确率检测恶意域名。
• 该方法在多种网络欺诈场景中表现出强大的泛化能力，包括网络钓鱼和拼写错误劫持。
• 该方法与现有检测技术正交，可无缝集成到当前安全架构中，避免冗余。