Mozilla 對 WoSign + StartCom 的正式處分

MozillaWoSign + StartCom 的不信任處分出爐了:「Distrusting New WoSign and StartCom Certificates」,最後處分的內容跟之前的討論差不多 (參考先前寫的「Mozilla 對於 WoSign + StartCom 根憑證的新發展:拔除」)。

Mozilla 台灣有放出中文版的說明 (差不多就是英文翻譯的版本):「取消對 WoSign 與 StartCom 新簽發憑證的信任」。

這次比較麻煩的地方在於要信任已經發出的 certificate,而且量太大無法窮舉。所以必須改增加程式碼處理,而這個方法無法對使用 Mozilla CA Certificate Store 的人生效 (因為這包套件只是一堆 pem 檔案,沒辦法放特殊的邏輯進去...)

另外現在 Firefox 是 49 版,要到 51 版才會生效,看起來還會花一陣子...

Comodo 取消對 WoSign CA 的 Cross-signed

剛剛看到 ComodoRob Stradling 在群組上說明了 Comodo 透過 CRLOCSP 取消對 WoSign CA 的 cross-signed:「Incidents involving the CA WoSign」。

Today we have revoked (via CRL and OCSP) all 3 of the cross-certificates that we'd issued to WoSign:

https://crt.sh/?id=3223853
https://crt.sh/?id=12716343
https://crt.sh/?id=12716433

See also:
https://bugzilla.mozilla.org/show_bug.cgi?id=906611#c2

然後另外也看到在倫敦與 Qihoo 360StartCom 以及 WoSign 的會面也已經結束了,接下來 Mozilla 會討論新的計畫後更新上來:「WoSign and StartCom: next steps」。

Let's Encrypt 正式出發

Let's Encrypt 是個新的 CA (Certificate Authority),由許多單位提供資源希望藉由免費的 SSL/TLS certificate 讓 Internet 更安全。

九月的進度是已經成功建立 CA 機制 (包括第三方稽核),並且向各瀏覽器申請加入,同時也找 IdenTrust 申請 cross sign:「Let's Encrypt 的新進展」。

所以兩條路都可行,就是看哪邊比較快。如果瀏覽器先放行了,那麼就是透過 Root CA 直接可以認證。如果是 IdenTrust 先 cross sign,那麼就是透過 IdenTrust 的 Root CA 認證下來。

沒什麼意外的,IdenTrust 的先簽下來了:「Let's Encrypt is Trusted」。

利用 Qualys SSL LabsSSL Server Test 可以看到在「https://helloworld.letsencrypt.org/」這邊的 Demo Site 是從 DST Root CA X3 簽給 Let's Encrypt Authority X1 再簽給 helloworld.letsencrypt.org 的記錄:

接下來就是等最後開放給一般人申請了...

Let's Encrypt 的進度

Let's Encrypt 是個 CA (Certificate Authority),打算免費提供 SSL certificate,致力於普及網路加密技術。

由於 CA 是架構在稽核程序確保安全性,所以整個設置作業會非常長,最近總算快告一段落了。前幾天放出正式開放的時程:「Let's Encrypt Launch Schedule」。

也就是 2015/07/27 會開放,但這個時間點暫時不會有任何 client 支援 (需要手動安裝他們的 root CA),而到了 2015/09/14 後,IdenTrust 會交叉簽名,屆時大多數的 client 都可以認得。

Tor 官方預測將會被攻擊

Tor 官方預測將會被攻擊:「Possible upcoming attempts to disable the Tor network」。

透過扣押機器的方式降低 Tor 對 client bootstrap 的承載能力:

The Tor Project has learned that there may be an attempt to incapacitate our network in the next few days through the seizure of specialized servers in the network called directory authorities.

挑弱點打...