幹壞事是進步最大的原動力
在這次 Google Chrome 的「Stable Channel Update」裡引入了平滑捲動，在 comment 的地方有人提出解法，可以在 chrome://flags 裡找 disable-smooth-scrolling 關掉後重開 Google Chrome：
You can disable it here: chrome://flags/#disable-smooth-scrolling
另外一個 bug 是跑出一堆 extension icon 要重新蔵：
Hiding extensions needs to be made available again.
另外這次的安全更新有很多是透過「AddressSanitizer, ThreadSanitizer, MemorySanitizer」與「Control Flow Integrity」這兩個專案所找出來的。
從紐約時報看到今年的 Turing Award 由 Whitfield Diffie 與 Martin E. Hellman 獲得：「Cryptography Pioneers Win Turing Award」。在 Turing Award 官網上也可以看到對應的說明。
Diffie–Hellman key exchange 是全世界第一個 (1976 年) 在公開頻道上建立 shared secret 的演算法，直到現在都還廣泛的被使用，可以防禦被動式的監聽攻擊：
The Diffie–Hellman key exchange method allows two parties that have no prior knowledge of each other to jointly establish a shared secret key over an insecure channel.
現在這個演算法用在 PFS (Perfect forward secrecy)，或稱為 FS (Forward secrecy)，確保 public key 被破解前的連線記錄不會輕易被破解，於是更確保了資料的安全性：
a secure communication protocol is said to have forward secrecy if compromise of long-term keys does not compromise past session keys.
後來這個演算法也被延用到 Elliptic curve 上，也就是 ECDH，因為不使用 
上一個因密碼學拿到 Turing Award 的是 2012 年得獎的 Silvio Micali 與 Shafi Goldwasser，他們所音發展出來的用以對密碼系統驗證的數學方法而得獎。
而更有名的應該是 2002 年 Ronald L. Rivest、Adi Shamir、Leonard M. Adleman 因為 RSA 演算法而得獎的事情。
在愈來愈多新聞揭露安全與隱私問題後 (尤其是政府對人民的監控)，密碼學愈來愈被重視。之前在密碼學領域做出重大貢獻的人也陸陸續續得獎...
前幾天 OpenSSL 宣佈將在三月一日更新版本，包括了幾項層級被標示為 High 的問題：「[openssl-announce] Forthcoming OpenSSL releases」。
今天看到這個問題了，被稱為「The DROWN Attack」，全名為 Decrypting RSA with Obsolete and Weakened eNcryption，整個 internet 上大約 33% 的伺服器受到影響：
Our measurements indicate 33% of all HTTPS servers are vulnerable to the attack.
包括兩類，第一類是支援 SSLv2 的伺服器，約 17%：
It allows SSLv2 connections. This is surprisingly common, due to misconfiguration and inappropriate default settings. Our measurements show that 17% of HTTPS servers still allow SSLv2 connections.
第二類是指那些，雖然 server 不支援 SSLv2，但與第一類共用同一把 key，於是可以拿來攻擊，約 16%：
Its private key is used on any other server that allows SSLv2 connections, even for another protocol. Many companies reuse the same certificate and key on their web and email servers, for instance. In this case, if the email server supports SSLv2 and the web server does not, an attacker can take advantage of the email server to break TLS connections to the web server. When taking key reuse into account, an additional 16% of HTTPS servers are vulnerable, putting 33% of HTTPS servers at risk.
要注意的是這不只包括了 HTTPS，也包括了 POP3S 與 IMAPS，以及其他有用 SSLv2 的 server 都有受到影響。尤其是第二類會發生在小型伺服器上，mail server 與 web server 共用同一份 SSL certificate/key 的時候。
如果手上有使用 SSLv2 的 server，解法是關閉 SSLv2 (目前新的 SSL library 預設應該都是關閉)，撤銷並重新申請 SSL certificate。
看到「Fast subdomains enumeration tool for penetration testers」這個專案，可以透過多家搜索引擎找 hostname 出來做滲透測試。
支援五個大的搜尋引擎，以及 Netcraft 與 DNSdumpster：
Sublist3r currently supports the following search engines: Google, Yahoo, Bing, Baidu, and Ask. More search engines may be added in the future. Sublist3r also gathers subdomains using Netcraft and DNSdumpster.
不過沒有把 Yandex 放進去...