Tag Archives: 360

Mozilla 對於 WoSign + StartCom 根憑證的新發展:拔除

Okay,在 Mozilla 的人跟 WoSign + StartCom + 360 的人談過後有了新的進展。 幾個小時前 Mozilla 提了新版的草案出來 (對,還是草案):「Remediation Plan for WoSign and StartCom」。但由於 Kathleen Wilson 跟 Gervase Markham 都沒有太多意見,我猜這應該會接近定案了。 這次的處分草案由 Kathleen Wilson 發出來,會包括這些 root certificate,可以看到包括了所有 WoSign 與 StartCom 的 CA: 1) Subject: CN=CA 沃通根证书, OU=null, … Continue reading

Posted in Browser, Computer, Firefox, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , , , , , , , , , | 1 Comment

iOS 阻擋 WoSign 憑證

在 mozilla.dev.security.policy 上看到有人行動了:「Apple's response to the WoSign incidents」。這使得 Apple 成為 WoSign 事件中第一個行動的單位。 Apple 這次先把 WoSign 放入 iOS 憑證清單的黑名單公告在這邊:「Blocking Trust for WoSign CA Free SSL Certificate G2」。 WoSign 在 iOS 產品線中是靠 StartCom 與 Comodo 的交叉簽章,所以如果 Apple 只想擋 WoSign 憑證的話,必須以阻擋 Intermediate CA … Continue reading

Posted in Browser, Computer, Murmuring, Network, OS, Safari, Security, Software | Tagged , , , , , , , , , , , , , , , | Leave a comment

StartSSL 將 auth.startssl.com 放在奇虎 360 的機房內

話說最近用 Nuzzel 用的還算開心,可以抓到不少文章,但意外的是這篇在 Nuzzel 上沒看到,是在 Allen Own 的 Facebook 時間軸上看到的 (這則)。 原文出自「Why I stopped using StartSSL (Hint: it involves a Chinese company)」。 最主要的安全問題在於 auth.startssl.com 放在中國公司奇虎 360 的機房內,而這是身份認證用的伺服器。基於中國是個人治而非法治的國家 (i.e. 無法確保 CA 的稽核機制是有效的),我決定把 StartSSL 的 root certificate 從 trusted chain 裡面拔掉,以免中獎...

Posted in Computer, Murmuring, Network, Political, Security, WWW | Tagged , , , , , , , , | 1 Comment