新聞發(fā)布
管理系統(tǒng)有時候你在用手機瀏覽網(wǎng)頁甚至打開 App 的時候（比如打開微信公眾號文章或者打開手機淘寶），有時候會出現(xiàn)一個廣告彈窗，甚至有時候是運營商自己的流量提醒，這個廣告有時候和 App 的內(nèi)容和類型完全不符，不了解情況的用戶很可能會怪罪 App 亂彈廣告，也許你真的是怪錯人了，你的流量可能被某些機構(gòu)劫持了。
今天，今日頭條、美團 - 大眾點評網(wǎng)、360、騰訊、微博、小米科技六家公司發(fā)表聯(lián)合聲明，共同呼吁有關(guān)運營商嚴格打擊流量劫持問題，重視互聯(lián)網(wǎng)被流量劫持可能導(dǎo)致的嚴重后果。
聯(lián)合聲明指出，在當(dāng)前的移動互聯(lián)網(wǎng)環(huán)境下，流量劫持主要分為兩種方式： 域名劫持和數(shù)據(jù)劫持 ，放任流量劫持會導(dǎo)致擾亂市場秩序、損害用戶利益以及傳播詐騙、色情等低俗甚至嚴重違法信息的惡果。
對于流量劫持這種事情已經(jīng)成為業(yè)界非常普遍但是又無可奈何的一件事情，主要在于不敢得罪運營商，現(xiàn)在終于到了幾家大型互聯(lián)網(wǎng)公司聯(lián)合起來「聲明」的地步， 那么對于這種流氓手法真的沒有辦法 嗎？為了我們咨詢了 阿里云網(wǎng)絡(luò)方面的資深工程師亭林。
相對于 PC 端的網(wǎng)絡(luò)環(huán)境，移動端的網(wǎng)絡(luò)環(huán)境更為復(fù)雜，2G、3G、4G、Wi-Fi 各有不同，而復(fù)雜的網(wǎng)絡(luò)環(huán)境也增加了流量劫持的可能性和復(fù)雜程度。
流量劫持的方式主要分為兩種，域名劫持和數(shù)據(jù)劫持。
域名劫持是針對傳統(tǒng) DNS 解析的常見劫持方式。 用戶在瀏覽器輸入網(wǎng)址，即發(fā)出一個 HTTP 請求，首先需要進行域名解析，得到業(yè)務(wù)服務(wù)器的 IP 地址。使用傳統(tǒng) DNS 解析時，會通過當(dāng)?shù)鼐W(wǎng)絡(luò)運營商提供的 Local DNS 解析得到結(jié)果。 域名劫持，即是在請求 Local DNS 解析域名時出現(xiàn)問題，目標域名被惡意地解析到其他 IP 地址，造成用戶無法正常使用服務(wù)。
解決域名劫持的一個辦法就是繞開 Local DNS，通過一個可信的源頭來解析域名，解析方式不需要拘泥于 DNS 協(xié)議，也可以通過 HTTP 的方式。 亭林介紹道兩年前，手機淘寶等 APP 也曾遇到這一問題，隨后在做底層網(wǎng)絡(luò)優(yōu)化時， 通過使用自己定制的 HTTPDNS，一個安全可信的域名解析方案，解決了域名劫持問題，現(xiàn)在 & nbsp;HTTPDNS 技術(shù)也準備通過阿里云開放給廣大開發(fā)者使用，當(dāng)前這款產(chǎn)品正在內(nèi)測中，預(yù)期將在明年初上線。
數(shù)據(jù)劫持基本針對明文傳輸?shù)膬?nèi)容發(fā)生。 用戶發(fā)起 HTTP 請求，服務(wù)器返回頁面內(nèi)容時，經(jīng)過中間網(wǎng)絡(luò)，頁面內(nèi)容被篡改或加塞內(nèi)容， 強行插入彈窗或者廣告。
行業(yè)內(nèi)解決的辦法即是對內(nèi)容進行 HTTPS 加密 ，實現(xiàn)密文傳輸，徹底避免劫持問題。
而 MD5 校驗同樣能起到防止數(shù)據(jù)劫持的作用 ，MD5 校驗是指內(nèi)容返回前，應(yīng)用層對返回的數(shù)據(jù)進行校驗，生成校驗值；同時，內(nèi)容接收方接收到內(nèi)容后，也對內(nèi)容進行校驗，同樣生成校驗值，將這兩個校驗值進行比對，倘若一致，則可以判斷數(shù)據(jù)無劫持。 但相比 HTTPS 加密，MD5 校驗存在一定風(fēng)險，劫持方技術(shù)能力強則有可能在篡改內(nèi)容后替換校驗值，導(dǎo)致接收方判斷錯誤。
HTTPS 一開始是以加密通信為需求而誕生的，第一批用戶也是銀行等金融機構(gòu)。但隨著互聯(lián)網(wǎng)上個人數(shù)據(jù)傳輸變得更加普遍，HTTPS 早已經(jīng)成為了互聯(lián)網(wǎng)行業(yè)的大勢所趨。 今年雙 11，阿里的淘寶、天貓、聚劃算等電商平臺就做到了全站的 HTTPS 加密訪問，當(dāng)然這也是開放的。
