网络方面的英文文献.docxVIP

在IEEE通信学会的主题专家的方向在IEEEICC这全文论文同行评审的出版2009程序

敏感数据要求：做网站询问是否正确？

克雷格A.树和Minaxi古普塔

计算机科学系

印第安纳大学

{cshue，minaxi}@

摘要：为了确保敏感的Web内容的安全性，一个组织必须使用TLS以确保这样做正确。然而，很少有人知道如何使TLS实际使用在网站上。在这项工作中，我们进行大规模的网络范围内的测量，以确定如果网站需要使用TLS的时候，当他们这样做，确保他们使用它正确。我们发现，其中TLS几十万页要么不使用要么使用不当，将会使敏感数据处于危险之中。

引言

该网站提供了电子商务前所未有的机遇。

此类交易的安全性是一般

通过使用传输层安全提供

性（TLS）协议[1]，在标准跟踪安全的后继

套接字层（SSL）协议。TLS允许客户端验证

他们访问和服务器的真实性保证

在客户端之间的通信的保密性和

服务器安全。虽然以前的工作分析TLS证书和

该协议本身，很少的工作重点在其网站上使用。

本文由愿望所驱使，了解TLS是怎么

在今天的网络上被使用的。Web内容的很大一部分

是公开可用的，并且不要求保密性。在

很多情况下，如阅读新闻的文章或使用搜索

发动机，TLS保护的好处不超过

性能开销与该协议有关。在

其他情况下，敏感信息被发送并应

通过TLS进行保护。然而，仅仅使用TLS不

够了;它仍然必须正确使用。调查TLS

使用在网络上，我们提出两个主要问题：是否有

在网络上的网站，不使用TLS时，他们应注意什么？

做到这一点使用TLS这样做正确的网站？动力

对于第一个问题是敏感信息可能

通过窃听者很容易被截获，除非使用TLS。

第二个问题是通过观察，TLS动机

保护必须从Web服务器发送一个表格前

到客户端。否则，将含有一个表格页可以

被攻击者改变，允许敏感截取

数据。几大机构，包括，

，或，建立了TLS

客户端后，保护已下载的网页，但在此之前

提交表单数据。这种做法，被称为安全的岗位，是

通常由具有高体积的组织

站点。我们使用的Alexa网络信息服务[3]，这

居互联网上最流行的Web站点，获取

1，000最流行的网站在每个16顶级类别，

以及前500个最流行的网站的整体。有些网站

存在于多个类别;在删除重复，

我们发现15，341独特的网站。我们使用的每个站点

来自Alexa的获得首发的Web爬行网页。此

爬行导致344，868的网页。

在最后的数据集（DNS），我们针对实际用户

行为。要创建这个数据集，我们捕捉到所有的DNS

对于为期一周的发行我们部门的网络上查询

期。我们使用包含在A（地址）的主机名

记录查询为基础的Web爬行的URL。此

数据中包含164，145唯一的主机名。从这个爬行，

我们获得642，013的网页。

对于每一个数据集，我们分析每个网页的HTML代码

我们下载。我们使用的形式HTML标记来识别

请求数据。对于每一个表格，我们提取的地址

服务的形式，所述形式的目的地，以及页面

因为每个相关联的输入域。从这些数据，我们可以

表征数据的类型被发送，以及是否

从用户请求的数据将被安全地传送。

我们研究了430万网页。并非所有weexamined所含形式的网页。然而，许多页containedmultiple形式，如表Ⅰ所示。例如，在DMOZ

广度数据集，我们发现，一共有692869（21.55％）

页包含总共1710819形式。使用动作

在每个表单标签属性，我们推测，如果正在使用TLS

通过寻找HTTPS的存在。否则，我们推断

该形式传输不安全。在每一个数据集，过

95％与形式的网页只包含HTTP（不安全）

形式。数量相对较少，1.65％-4.49％，包含

只能通过HTTPS提交表单。我们注意到，热门的网页，

那些在Alexa的数据集，具有页更高百分比

表单和一些每页表格较高。减

热门的网页有形式的使用远远低利率。总的来说，

我们的数据包含3，333，646（96.69％），不安全的形式和

113，994（3.31％），安全形式。在接下来的两节中，我们

分别检查不安全和安全的方式。

III。在敏感数据请求TLS

我们试图回答第一个问题是：是否有网站

在网络上未使用TLS时，他们应注意什么？我们

分析所有的333万的形式传输不安全

朝着这个目标努力。表征数据的传输的类型

通过下表，我们推测使用的name属性

在每个表格输入标记，以及类型属性

HTML标记的被使用。例如，在HTML

下面的代码示例中，第三行包含一个输入标签

同的类型属性“密码”，这很可能是

考虑到Web用户敏感。我们注意到，3线

5，“用户名”和“密码：”只是为标签

最终用户知道哪些数据在该领域进入;技术

原因，这些目前尚未包括在我们的启发。

formaction=