Advarsler om sikkerhedscertifikat virker ikke, forskere siger

Hver web-surfer har set dem. De advarsler om "ugyldige certifikater", du får nogle gange, når du prøver at besøge et sikkert websted.

De siger ting som "Der er et problem med dette websteds sikkerhedscertifikat." Hvis du er som de fleste, kan du måske føle sig vagt ubehagelig, og ifølge en ny rapport fra forskere ved Carnegie Mellon University er der en god chance for at ignorere advarslen og klikke igennem alligevel.

I en laboratorieeksperiment fandt forskerne, at mellem 55 procent og 100 procent af deltagerne ignorerede sikkerhedsvarnings advarsler afhængigt af hvilken browser de brugte (forskellige browsere bruger forskellige sprog til at advare deres brugere).

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

"Alle vidste, at der var et problem med disse advarsler", sagde Joshua Sunshine, en kandidat fra Carnegie Mellon og en af ​​papirets medforfattere. "Vores undersøgelse viste dramatisk, hvor stort problemet var."

Det er ikke gode nyheder. Advarslerne dukker ofte op på grund af et teknisk problem på hjemmesiden, men de kan også betyde, at websurferen bliver omdirigeret på en eller anden måde til et falsk websted. Webadresser for sikre websteder begynder med "https."

Forskerne gennemførte først en onlineundersøgelse af mere end 400 websurfere, for at lære, hvad de troede om certifikatadvarsler. De bragte så 100 mennesker i et laboratorium og studerede, hvordan de surfer på nettet.

De fandt ud af, at folk ofte havde en blandet forståelse af certifikatadvarsler. For eksempel troede mange, at de kunne ignorere meddelelserne, når de besøger et websted, de stoler på, men at de skal være mere forsigtige på mindre troværdige websteder.

"Det er en slags baglæns forståelse for, hvad disse meddelelser betyder," sagde Sunshine. "Meddelelsen bekræfter, at du besøger det websted, du tror, ​​du besøger, ikke at webstedet er troværdigt."

Hvis et banks websted viser en meddelelse om, at dens sikkerhedscertifikat er ugyldigt, er det et meget dårligt tegn siger sikkerhedseksperter. Det kan betyde, at websurferen udsættes for et såkaldt menneske-i-midten-angreb. I denne type angreb sætter kriminelle sig selv imellem web-surferen og det websted, han besøger, i håb om at stjæle information.

Sikkerhedseksperter har længe vidst, at disse sikkerhedsadvarsler er ineffektive, siger Jeremiah Grossman, chefstekniker med Web sikkerhedskonsulent White Hat Security. Det skyldes, at brugerne "virkelig ikke ved, hvad sikkerhedsrisikoen betyder", sagde han via instant message. "Så de tager gamble."

I Firefox 3-browseren forsøgte Mozilla at bruge enklere sprog og bedre advarsler for dårlige certifikater. Og browseren gør det sværere at ignorere en advarsel om dårlig certifikat. I Carnegie Mellon-laboratoriet var Firefox 3-brugere mindst sandsynligt at klikke igennem efter at have vist en advarsel.

Forskerne eksperimenterede med flere genudviklede sikkerhedsadvarsler, som de selv havde skrevet, hvilket syntes at være endnu mere effektive. De planlægger at rapportere deres resultater den 14. august på Usenix Security Symposium i Montreal.

Sunshine mener dog, at bedre advarsler kun vil hjælpe så meget. I stedet for advarsler skal browsere bruge systemer, der kan analysere fejlmeddelelserne. "Hvis disse systemer beslutter, at dette sandsynligvis vil være et angreb, skal de bare blokere brugeren helt," sagde han.

Selv når man besøger vigtige websteder som banker, "folk stadig voldsomt ignorerer advarslerne," sagde han.