你会信任这张 TLS 证书吗？IT 从业者的认知（扩展版）
密码学与安全
2022-07-26 v1 计算机与社会
摘要
有缺陷的 TLS 证书在互联网上并不罕见。尽管它们预示着潜在问题，但在大多数情况下其成因无害（例如配置错误或甚至有意为之的部署）。这为是否信任某连接的决定增添了模糊性。尽管 IT 专业人员的决策影响着大量终端用户，但关于他们对有缺陷证书的认知却鲜为人知。此外，错误信息与文档内容在多大程度上影响这些认知亦不明确。为阐明这些问题，我们观察了 75 名工业 IT 会议参会者对不同证书验证错误的调查过程，并分析了重写错误信息与重新设计文档所产生的影响。我们发现 IT 从业者的看法非常微妙，信任决策远非二元对立。自签名证书与名称约束证书似乎被过度信任（后者亦鲜被理解）。我们表明，即便对现有错误信息做微小改动，也能正向影响资源使用、理解程度与信任评估。文末我们总结了从 IT 专业人员可用性安全研究中获得的经验教训。
引用
@article{arxiv.2207.11610,
title = {Will You Trust This TLS Certificate? Perceptions of People Working in IT (Extended Version)},
author = {Martin Ukrop and Lydia Kraus and Vashek Matyas},
journal= {arXiv preprint arXiv:2207.11610},
year = {2022}
}