近期，谷歌发布了几个新的顶级域名，这些新域名包括.dad、.esq、.phd、.mov以及本文我们将要提到的.zip域名。自发布以来，多个安全社区都开始讨论这些顶级域名所带来的影响，主要原因是.zip很容易被误认为是文件扩展名，被不法分子用来建设钓鱼网站，造成难以控制的安全风险。
目前已经有在线平台和应用程序会将包含.zip的文件名自动转换为URL，当人们看到此类URL时，通常会认为该URL可以用来下载对应的文件，并可能点击该链接。
如果攻击者注册与文件名同名的.zip域名，则用户可能就会被诱导至非法网站或下载恶意软件，导致个人信息和财产受到损失。
.zip域名的开放在安全领域引发了巨大争议，一些人认为.zip的风险被夸大，没有必要过分担忧，谷歌则表示文件和域名之间的混淆风险并不罕见，可通过浏览器的安全策略，保护用户免受滥用威胁。但更多的人仍然认为.zip域名的开放为攻击者制造钓鱼网站提供了便利，为互联网带来了不必要的风险。
无论如何，.zip域名的开放为互联网增加了很多不确定的安全因素，无论机构还是个人都应该予以高度重视，采取措施应对可能的安全问题。
一、机构
1.安装SSL证书
SSL证书是提升网站安全和形象的最佳手段之一。安装SSL证书能够对网站传输数据进行加密处理，防止用户数据被中间人监听、窃取和篡改。同时安装SSL证书还需要对申请机构进行审核，确保了网站身份的真实性，杜绝了钓鱼网站的可能，安装成功后会显示锁型标识和绿色地址栏，提升用户对网站的信任度和转化率，降低有歧义域名可能造成的影响与损失。
2.采用云解析DNS
云解析DNS通过DNS安全扩展协议（DNSSEC），可以对网站的DNS记录进行数字签名，确保DNS应答报文的真实性和完整性，杜绝攻击者通过DNS缓存投毒以及其他方式的篡改，将访客劫持到受攻击者控制的非法网站，提高用户对网站的信任，降低钓鱼网站造成的影响。
3.网站安全监控
中科三方云监控能够对网站进行实时的基础监控、内容监控和安全监控，能够对网站中可能存在的错链、暗链进行全面细致的扫描检测，有效避免攻击者通过伪装链接进行钓鱼攻击的可能，如在本次事件中攻击者将.zip或.mov的链接伪装成文件下载的行为可以被云监控精准识别，并及时发起风险告警和监测报告，降低钓鱼事件发生的可能。
二、个人
1.提高安全意识
提高安全意识是应对钓鱼攻击的最好手段，在浏览网站或聊天通话时，不要随意点击不明链接，不要随意下载未知来源的文件。
2.安装防火墙
防火墙能够在计算机和攻击者之间构建一道屏障，降低被黑客侵入攻击的风险，是防止外部攻击的有效方法。
3.不要泄露个人信息
除非100%确认访问网站的真实性和安全性，否则不要随意泄露个人的重要信息，如银行卡号、身份证号、手机号等。
4.查看安全证书
查看网站是否安装SSL证书，是否已采用https协议，SSL证书会对网站身份信息进行核验，如果没有安装证书，尽量不要泄露重要信息或下载文件。
除了企业和个人加强安全防范措施外，域名管理和注册机构也要加强对.zip以及其他类似域名的注册审核，限制对恶意域名的注册，防止攻击者利用恶意域名发动攻击。总之，.zip域名的开放提升了域名的多样性和灵活性，但伴随而生的是一些潜在的安全风险与问题，这就需要域名管理注册机构、企业和个人多方共同努力，提高网络安全意识，强化技术防范与监督，才能充分利用新域名优势，规避潜在风险。
相关推荐：
网信办发《深入推进IPv6规模部署和应用2022年工作安排》
