【IT168 资讯】近日，一个国际安全小组的研究人员发现了一种可破坏保护安全Web算法的新途径，并实现不可察觉的钓鱼式攻击。

　　为了实现这一点，他们需要利用网站所使用的数字证书中的漏洞。通过利用用来创建数字证书的MD5散列算法中已知的漏洞，研究人员能够破解Verisign的RapidSSL com证书颁发机构，并为互联网上的任何一家网站建立假冒数字证书。

　　Hashes能够创建一个校验文件，该校验信息被用来识别某个文件并能够很容易的通过运算来确定该文件是否被篡改。然而，MD5散列算法固有的漏洞，使得建立两个拥有相同hash值的文件变得可能。这也就是为什么有人可以为钓鱼网站建立数字证书的原因。

　　据悉，他们计划于今天在柏林举行的第25届Chaos Communication Congress之黑客会议上展示其研究结果。研究员演示了如何通过碰撞攻击法(collision attack)来攻击MD5运算法则，然后产生假冒的认证授权授权中心(Certificate Authority )的方法。当你通过HTTPS访问网站时，公钥证书将从服务器直接传送到用户电脑里，该证书包含一个数字签名，以使计算机核实所访问的站点标识。

　　该证书由一个起到中间人作用的认证中心(Certificate Authority )进行签名：你信任该CA，那你可以信任CA签名的证书。任何人都可以建立一个认证中心(CA)，但是大部分浏览器都有自己信任的CA列表。当你的计算机从服务器收到一份证书时，浏览器可以检查该CA是否值得信任。如果该CA是可靠的，那么浏览器将把该证书列为可以信任的。

　　目前，一些CA常用MD5算法来计算证书的数字签名，MD5已经被证实存在容易被碰撞攻击法击破的弱点。研究员使用200台PS 3来攻击MD5算法，并产生了一个假冒的CA，它看起来和知名的可信任的CA一样。而其中的数字签名来自可信任的CA，所以你的浏览器会不设防的接受它。

　　为此，RapidSSL com将在2009年1月底停止签发MD5 证书，转而寻求鼓励客户使用新的数字证书。