SSL 的演化

的統計資料顯示 SSL 終於能夠放棄 SSLv2,進化到 SSLv3:Most sites ready for SSL progress

在 server 方面,只能使用 SSLv2 連線的 server 只剩下 0.1%,換句話說,有 99.9% 的 server 支援 SSLv3 或 TLS 1.0。

在 client 的三個陣營裡, 一年前首先建議關閉 SSLv2,而在 2.0 更直接將 SSLv2 預設值關閉,同時不讓使用者透過 Options 的地方開啟 (如果硬要啟用必須透過 about:config 修改),除此之外, 現在正在考慮放棄 weak cipher (DES 與 RC2?) 加密;IE 7.0 則是將 SSLv2 的預設值關閉,另外在 上的 IE 將不提供 weak cipher; 將 SSLv2 與 weak cipher 加密的預設值關閉。

大約到了明年,各家瀏覽器都推出新版後,就可以完全不用顧慮到 SSLv2。從 1996 年 SSLv3 出來就一直為了 backward-compatible 的東西終於可以收起來了。

IE7 的 SSL 安全政策

有長輩測試 IE7 Beta2 後發現 IE7 Beta2 對於 SSL 設定有問題的站台會整個擋掉,而不會像以前那樣跳初一個小視窗出來要你確認:Stupid Google SSL Certificates

文章裡 舉了 的例子:他說 的某些服務使用了 www.google.com 的 SSL Certificate,但是使用的站台並不是 www.google.com。

不過我不記得 哪個服務是這樣惡搞的啊?還是 遇到同一個 Domain 的情況不會哀哀叫?這樣就太糟了...