Category Archives: Security

最近 OpenVPN 的安全性漏洞...

Posted on June 28, 2017 by Gea-Suan Lin

看到「The OpenVPN post-audit bug bonanza」這個只有苦笑啊... 作者在 OpenVPN 經過一連串的安全加強後 (包括 harden 計畫與兩個外部單位的程式碼稽核找到不少問題)，決定出手挖看看： After a hardening of the OpenVPN code (as commissioned by the Dutch intelligence service AIVD) and two recent audits 1 2, I thought it was now time for some … Continue reading →

Posted in Computer, Murmuring, Network, Security, Software, VPN | Tagged , , , , , , , , , , , , , , | Leave a comment

Google 推的 BeyondCorp

Posted on June 25, 2017 by Gea-Suan Lin

Google 在推的 BeyondCorp 發了一篇介紹出來：「How to use BeyondCorp to ditch your VPN, improve security and go to the cloud」。 裡面有提到幾篇研究： BeyondCorp: A New Approach to Enterprise Security BeyondCorp: Design to Deployment at Google Beyond Corp: The Access Proxy 在文章開頭處有提到 BeyondCorp 的想法是「zero-trust … Continue reading →

Posted in Computer, Murmuring, Network, Security | Tagged , , , , | Leave a comment

重設密碼 + Social Engineering

Posted on June 24, 2017 by Gea-Suan Lin

在「The password reset MitM attack」這邊看到 PRMitM (Password Reset Man-in-the-Middle) 這樣的攻擊，原始論文在「The Password Reset MitM Attack」這邊可以取得。 用圖說明基本版的攻擊方式： 另外列出了各大站台的狀態： 以及各家簡訊的文字，可以發現不是每一家都有把產品的名稱寫上去： 這方法好有趣啊... XD

Posted in Computer, Murmuring, Network, Security, Service, WWW | Tagged , , , , , , , , , , , | 1 Comment

AWS WAF 支援速率限制了

Posted on June 22, 2017 by Gea-Suan Lin

AWS WAF 宣佈支援 Rate-based 條件了，不過目前只支援五分鐘為單位的限制：「Protect Web Sites & Services Using Rate-Based Rules for AWS WAF」。 算是還不錯的功能，雖然目前稍微陽春一點...

Posted in AWS, Cloud, Computer, Murmuring, Network, Security, Service, WWW | Tagged , , , , , , | Leave a comment

GitHub 的組織管理可以堆階層了...

Posted on June 14, 2017 by Gea-Suan Lin

GitHub 的組織管理可以堆階層了：「Nested teams add depth to your team structure」。 If you're a member of Engineering and someone creates a child team called Security, team members of Engineering aren't automatically direct team members of Security. Security and all other teams nested … Continue reading →

Posted in Computer, Murmuring, Network, Security, Service, WWW | Tagged , , , , , | Leave a comment

把自己的 Blog 丟上 CloudFront

Posted on June 14, 2017 by Gea-Suan Lin

因為 CloudFront 也支援 HTTP/2 了，對於效能的衝擊應該小不少。另外當初希望多用點 IPv6，CloudFront 也支援了。最後看了一下自己的流量，每個禮拜大約 380MB 與 210K requests，也還能接受。 就把自己的 blog 再次丟上 CloudFront 玩看看，不過這次只上了 Price Class 100 (只有歐美與加拿大)。之後也許來玩看看 AWS WAF，不過開起來應該就跟 CloudFront 費用差不多了？XD 先來看看效果以及有沒有 bug 吧...

Posted in AWS, Blog, CDN, Cloud, Computer, Murmuring, Network, Security, Service, WWW | Tagged , , , , , , | Leave a comment

Tails 3.0 出了，然後又開始提供 BitTorrent 下載了...

Posted on June 14, 2017 by Gea-Suan Lin

Tails 是個 Tor 的獨立環境，可以直接用 USB 開機或是透過虛擬機上線，避免受到其他干擾而洩漏資訊。 剛剛看到了 Tails 發佈 3.0 版的消息：「Tails 3.0 is out」，比較特別的是在下載頁面發現 BitTorrent 的下載方式又被放回去了。 前陣子本來在「BitTorrent 對 SHA-1 的改善計畫？」這邊有提到 Tails 的團隊因應 SHA-1 的問題，在討論是否要繼續提供 BitTorrent 的問題 (因為 BitTorrent 裡使用 SHA-1 做很多事情)，當時的決議其實是暫時使用 BitTorrent 發佈：「Biterrant attack」。 不過後續的更新這樣寫，所以看起來暫時會先恢復 BitTorrent 下載的方式： After reading this … Continue reading →

Posted in Computer, Murmuring, Network, P2P, Privacy, Security, Software | Tagged , , , , , , , , , , , | 1 Comment

nginx 記錄 TLS 連線資訊

Posted on June 13, 2017 by Gea-Suan Lin

想要在 nginx 的 access log 裡面記錄使用者在 HTTPS 連線使用的 TLS protocol 與 cipher。 在「How can I let nginx log the used SSL/TLS protocol and ciphersuite?」這邊有提到方向是 $ssl_protocol 與 $ssl_cipher (出自「Module ngx_http_ssl_module」內的 Embedded Variables 章節)。 他的方式是在前面就插入 protocol，但我希望前面的欄位保持不變，把 protocol & cipher 放到後面，所以我就加了一個 /etc/nginx/conf.d/combined_ssl.conf (這邊我用 … Continue reading →

Posted in Computer, Murmuring, Network, Security, Service, Software, WWW | Tagged , , , , , , , , , , , , , | Leave a comment

iOS 11 將 Location 的主權交還給使用者

Posted on June 10, 2017 by Gea-Suan Lin

在 Hacker News Daily 上看到這則 tweet，說 iOS 11 將會把 Location 的主權交還給使用者控制： iOS 11 Privacy Updates: 2. Location “While Using” is now ALWAYS an option for users. (It’s about time!)https://t.co/QW5lkGnWE9 — Tinfoil 2.0 😱 (@tfoil2) June 6, 2017 查了對應的一些網站，可以看到好幾個站台都有介紹這一點：「iOS 11 Users … Continue reading →

Posted in Computer, Murmuring, Network, Privacy, Security, Software | Tagged , , , , , , , , , , | Leave a comment

Web Cache Deception Attack

Posted on June 9, 2017 by Gea-Suan Lin

在「How (Not) to Control Your CDN」這邊看到了「Web Cache Deception Attack」這個攻擊方式。 攻擊的手法是利用網站會把 /user/personal-info/foo.css 與 /user/personal-info 視為一樣的內容時，配合 CDN 或是 reverse proxy server 會把 .css 設定無差異 cache 時，就可以在 cache server (cache edge) 取得使用者的敏感資料。 這主要是 url routing 的條件放太寬造成的。 另外 Mark Nottingham 還建議 cache 應該在 origin … Continue reading →

Posted in CDN, Computer, CSS, Murmuring, Network, Security, Service, WWW | Tagged , , , , , , , , , , , , | Leave a comment