使用统一资源定位器测量身份混淆

DOI

统一资源定位器（URL）明确指定了网络上的主机身份。URL在语法上很复杂，尽管软件可以准确地从URL中解析出身份，但用户经常接触到URL，并期望他们也能做到这一点。不幸的是，从URL中错误地评估身份可能会使用户受到诸如拼写劫持和网络钓鱼等攻击。我们的工作研究了用户如何准确地从常见服务的真实URL和混淆的“相似”URL中确定主机身份。我们观察到，参与者采用了广泛的URL解析策略，并且93%的时间可以识别真实URL。然而，只有40%的混淆URL被正确识别。这些错误突显了URL对用户来说令人困惑的几种方式，以及为什么他们现有的URL解析策略不足。我们以可靠地向用户传达网站身份的未来研究方向作为结论。