Category: Security

Home » Computer » Archive by category "Security"

Mozilla 跟 Google 都宣佈了 TLS 1.0 與 TLS 1.1 的退役計畫

Update：Apple 也宣佈了，時間點跟大家都差不多：「Deprecation of Legacy TLS 1.0 and 1.1 Versions」。

Mozilla 宣佈了「Removing Old Versions of TLS」，而 Google 也宣佈了「Modernizing Transport Security」，兩篇都是講自家瀏覽器 TLS 1.0 與 TLS 1.1 的退役時程。

Mozilla 這邊的計畫是 2020 年三月移除：

In March of 2020, Firefox will disable support for TLS 1.0 and TLS 1.1.

Google 這邊的計畫則是 Chrome 81 移除，換算成時間會從 2020 年一月開始影響到 canary channel，到 release channel 應該跟 Firefox 差不多時間：

In line with these industry standards, Google Chrome will deprecate TLS 1.0 and TLS 1.1 in Chrome 72. Sites using these versions will begin to see deprecation warnings in the DevTools console in that release. TLS 1.0 and 1.1 will be disabled altogether in Chrome 81. This will affect users on early release channels starting January 2020.

差不多試從現在開始的一年半。

雖然這是講瀏覽器端的支援，但如果伺服器想要只支援 TLS 1.2+ 的話，就得考慮一下舊 client 支援的情況了。

桌機影響會比較小 (升級比較方便，替代方案也比較多)，而行動平台看起來需要 Android 4.4+、iOS 7+，就要看各網站或是服務的族群了...

Browser, Computer, Firefox, GoogleChrome, Murmuring, Network, Privacy, Safari, Security, Service, Software, WWWNo Comment

讓 OpenLDAP 伺服器使用 Let's Encrypt 簽的憑證

OpenLDAP 伺服器可以吃 Let's Encrypt 發的憑證以提供 LDAPS 服務，只是 SSL 設定方法跟其他軟體不太一樣，第一次設會花不少時間...

這邊的檔案目錄是以 Dehydrated 申請 Let's Encrypt 的憑證來設定。官方推薦的 Certbot 應該也有類似的檔案：

TLSCACertificateFile /etc/dehydrated/certs/x.y.z/chain.pem
TLSCertificateFile /etc/dehydrated/certs/x.y.z/cert.pem
TLSCertificateKeyFile /etc/dehydrated/certs/x.y.z/privkey.pem

這樣不管 Let's Encrypt 拿 Let’s Encrypt Authority X3 (目前的主力憑證) 還是 Let’s Encrypt Authority X4 (備用的憑證) 簽，OpenLDAP 這邊才會串出正確的 certficiate chain。(用 OpenSSL 的 s_client -connect x.y.z:636 與 ldapsearch 測過)

要找問題的話，ldapsearch 有 -v (verbose) 與 -d 9 (debug) 可以看連線過程的細節，拿著錯誤訊息去餵搜尋引擎會有不少幫助...

在找資料時發現網路上有不少文件教大家直接在 client 端的 /etc/ldap/ldap.conf 修改 TLS_REQCERT 的值，從預設的 demand 改成 allow (或是 never)，但這樣將強制檢查的條件改弱，安全性反而降低了。比較好的方式還是修正 server 端的錯誤設定。

Computer, Murmuring, Network, Privacy, Security, Service, SoftwareNo Comment

在 Android 上支援 DNS over HTTPS 的 Intra

Intra 是 Alphabet (Google 母公司) 旗下 Jigsaw 所開發的 app (目前只有 Android 的，依照說明需要 4.0+)，透過 VPN 的架構換掉 DNS 設定，透過本機的 DNS Proxy 改走到外部的 DNS over HTTPS 服務上。

走 DNS over HTTPS 可以降低 DNS 被干擾 (security issue) 或是被監控 (privacy issue) 的風險。

在軟體內已經先內建了兩個 DNS over HTTPS 清單，一個是 Google 的 Google Public DNS，另外一個是 Cloudflare 的 1.1.1.1，除此之外也可以自己輸入。

由於是 Alphabet 家的軟體，預設是用 Google 的服務。

軟體本身是 open source 專案 (Apache-2.0)，程式碼在 Jigsaw-Code/intra 這邊可以取得。

Computer, DNS, Murmuring, Network, Privacy, Security, Service, Software, VPN, WWWNo Comment

Cloudflare 的 Firewall Rules

Cloudflare 發表了 Firewall Rules，讓使用者可以直接在 Cloudflare 的網站上設定 edge 要擋下或是放行哪些連線：「Announcing Firewall Rules」。

除了可以透過點選的方式設定外，也可以直接編輯條件式：

算是讓使用者更簡單的設定 (而且可以針對這些條件最佳化引擎)，不然 Cloudflare 提供的 Worker 其實也可以做類似的事情...

CDN, Computer, Murmuring, Network, Security, ServiceNo Comment

把 Google 服務拔乾淨的 Chromium

有人試著把 Chromium 裡的 Google 相關服務都拔乾淨，叫做 ungoogled-chromium：

Modifications to Google Chromium for removing Google integration and enhancing privacy, control, and transparency

有提供志願者包好的 pre-built binary，但看了一下版本有點舊，而且不能確定裡面有沒有什麼加料... 要用的人可能還是要考慮自己編一包出來。

在「Add a PPA or APT repo」這邊有人在討論要怎麼包 PPA 出來，不過看起來卡關了...

Browser, Computer, GoogleChrome, Murmuring, Network, Privacy, Security, Software, WWWNo Comment Cloud, Computer, Database, GCP, Murmuring, MySQL, Network, PostgreSQL, Security, Service, SoftwareNo Comment

Cloudflare 成為域名註冊商...

Cloudflare 的老大 Matthew Prince 在自家 blog 上宣佈 Cloudflare 成為域名註冊商：「Introducing Cloudflare Registrar: Domain Registration You Can Love」。

原因是嫌其他家的安全性不夠，所以自己搞了一個把自家的域名都搬進去。現在則是提供服務開放讓大家用。

可以看到 cloudflare.com 用一陣子了：

   Domain Name: CLOUDFLARE.COM
   Registry Domain ID: 1542998887_DOMAIN_COM-VRSN
   Registrar WHOIS Server: whois.cloudflare.com
   Registrar URL: http://www.cloudflare.com
   Updated Date: 2017-05-24T17:44:01Z
   Creation Date: 2009-02-17T22:07:54Z
   Registry Expiry Date: 2024-02-17T22:07:54Z
   Registrar: CloudFlare, Inc.
   Registrar IANA ID: 1910

不過 Amazon 跟 Google 也都有弄，未必一定要用 Cloudflare 的就是了：

   Registrar: Amazon Registrar, Inc.
   Registrar IANA ID: 468
   Registrar Abuse Contact Email: registrar-abuse@amazon.com
   Registrar Abuse Contact Phone: +1.2062661000
   Registrar: Google Inc.
   Registrar IANA ID: 895
   Registrar Abuse Contact Email: registrar-abuse@google.com
   Registrar Abuse Contact Phone: +1.8772376466
CDN, Computer, DNS, Murmuring, Network, Security, ServiceNo Comment

SMTP 的強加密連線機制

RFC 8461 成為正式標準 (Standards Track)，描述 Mail server 到 mail server 之間的強加密連線機制：「SMTP MTA Strict Transport Security (MTA-STS)」。

Policy 設定的方法有好幾種：

第一種是透過 _mta-sts 的 TXT record 設定，這點通常會配合 DNSSEC 確保 DNS 的查詢沒有被改。

第二種是透過 HTTPS 在某個特定的 host (mta-sts) 取得 policy 檔案。像是對 example.com 的資料會從 https://mta-sts.example.com/.well-known/mta-sts.txt 取得。

第三種是透過 HTTPS 的 certificate 裡面帶 mta-sts 資訊出來。

不只有 DNS 可以設定，使得整個架構變得有點複雜...

Computer, DNS, Mail, Murmuring, Network, Privacy, Security, ServiceNo Comment

Cloudflare 決定支援 QUIC

Cloudflare 決定支援 QUIC 了：「Get a head start with QUIC」、「The QUICening」。

QUIC 目前被使用的範圍比較小 (相較於 HTTP/2)：

  • 主流瀏覽器內只有 Google Chrome 有支援 QUIC，其他主流瀏覽器都沒有支援。不過 Google Chrome 也夠大了...
  • 因為是走 UDP，所以防火牆要另外開。

而 Google Chrome 上面可以安裝「HTTP/2 and SPDY indicator」看到連線的狀態。雖然套件名稱沒有 QUIC，但實際上是可以看出 QUIC 的，基本上 Google 的服務應該都是走 QUIC。

Browser, CDN, Cloud, Computer, GoogleChrome, Murmuring, Network, Privacy, Security, Service, Software, WWWNo Comment Browser, Computer, GoogleChrome, Murmuring, Network, Privacy, Security, Service, Software2 Comments

Recent Comments

Archives

Blogroll