每日安全资讯：Chrome 等移动浏览器曾有 1 年多没有警告钓鱼网站

根据本周发布的研究报告，在过去一年多时间里包括 Google Chrome、Mozilla Firefox 和 Safari 在内的浏览器均没有及时更新钓鱼网站黑名单，无法在用户上网过程中提供妥善的保护。研究小组表示：“我们发现主流移动浏览器在保护措施方面存在巨大漏洞。令人震惊的是，移动端 Chrome、Firefox 和 Safari 尽管在安全设置中启用黑名单保护，但是无法对 2017 年年中至 2018 年末的钓鱼网站发出提醒。”

这个问题只有使用 Google Safe Browsing 链接黑名单技术的移动端浏览器受到影响。该研究小组由亚利桑那州立大学的学者和 PayPal 工作人员组成浏览器网页没声音，随后他们向谷歌通报了这个问题浏览器网页没声音，直到 2018 年年底才正式修复。

研究人员表示：“根据我们的调查，我们发现由于过渡至新的移动 API（设计优化流量使用），导致移动 GSB 黑名单出现不一致的情况，最终不能按照预期运行。”2017 年年初，名为 PhishFarm 的学术研究项目中发现了这一重大安全漏洞。

在调查期间，研究人员创建并部署了 2,380 个模仿 PayPal 登录页面的网络钓鱼页面。研究人员没有测量他们的网址在网址黑名单上的速度，而是使用使用“隐藏技术”部署网络钓鱼页面，旨在欺骗 URL 黑名单技术，然后记录这些“隐形”网络钓鱼页面落在“危险网站”列表上所花费的时间。

为了推进 PhishFarm，科研小组对 Google Safe Browsing、Microsoft SmartScreen 以及其他 US-CERT、Anti-Phishing Working Group、PayPal、PhishTank、Netcraft、WebSense、McAfee 和 ESET 管理的 URL 黑名单进行了测试。