Tag Archives: cipher

nginx 記錄 TLS 連線資訊

Posted on June 13, 2017 by Gea-Suan Lin

想要在 nginx 的 access log 裡面記錄使用者在 HTTPS 連線使用的 TLS protocol 與 cipher。 在「How can I let nginx log the used SSL/TLS protocol and ciphersuite?」這邊有提到方向是 $ssl_protocol 與 $ssl_cipher (出自「Module ngx_http_ssl_module」內的 Embedded Variables 章節)。 他的方式是在前面就插入 protocol，但我希望前面的欄位保持不變，把 protocol & cipher 放到後面，所以我就加了一個 /etc/nginx/conf.d/combined_ssl.conf (這邊我用 … Continue reading →

Posted in Computer, Murmuring, Network, Security, Service, Software, WWW | Tagged , , , , , , , , , , , , , | Leave a comment

OpenSSL 1.1.1 將支援 TLS 1.3

Posted on May 8, 2017 by Gea-Suan Lin

OpenSSL 的文章「Using TLS1.3 With OpenSSL」提到了： The forthcoming OpenSSL 1.1.1 release will include support for TLSv1.3. 另外也提到了 TLS 1.3 的標準是 blocker，在 TLS 1.3 沒出來前不會出 OpenSSL 1.1.1： OpenSSL 1.1.1 will not be released until (at least) TLSv1.3 is finalised. OpenSSL 實做的 TLS … Continue reading →

Posted in Computer, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , | Leave a comment

OpenSSL 1.1.0

Posted on August 26, 2016 by Gea-Suan Lin

看到「OpenSSL 1.1.0 released」這篇得知大家期待已久的 OpenSSL 1.1.0 出了，在 1.1.0 的重要新功能中，對 ChaCha20 + Poly1305 的支援算是大家等很久的： Support for ChaCha20 and Poly1305 added to libcrypto and libssl 由於 RC4 已經被證明不安全，OpenSSL 內變成沒有堪用的 stream cipher，這邊總算要補上來了... 另外兩個也頗有趣的： Support for scrypt algorithm Support for X25519 多了些東西...

Posted in Computer, Murmuring, Network, Programming, Security, Software, WWW | Tagged , , , , , , , , , , , , , , | Leave a comment

SWEET32：攻 Blowfish 與 3DES

Posted on August 25, 2016 by Gea-Suan Lin

最新的攻擊算是實戰類的攻擊，理論基礎以前都已經知道了，只是沒有人實際「完成」。算是近期少數直接對演算法的攻擊，而這些演算法剛好還是被用在 TLS 與 OpenVPN 上，所以嚴重性比較高：「SWEET32: Birthday attacks on 64-bit block ciphers in TLS and OpenVPN」。 攻擊的條件是 block cipher 的 block size，而非 key length，所以就算是 256 bits 的 Blowfish 也一樣也受到影響。 這次順利打下 Blowfish 與 3DES。這兩個 cipher 的 block size 都是 64 bits，所以對於 birthday … Continue reading →

Posted in Computer, Murmuring, Network, Security, VPN, WWW | Tagged , , , , , , , , , , , , , , , | Leave a comment

在 SSL Labs 上拿到 Perfect Score (完全滿分的 A+)

Posted on May 22, 2016 by Gea-Suan Lin

在「Achieving a Perfect SSL Labs Score with Go」這邊提到要如何在 Go 上面達到 SSL Labs 上 SSL Server Test 的 Perfect Score (完全滿分的 A+)，但其實裡面大多數的東西都應該適用於其他地方。 其中 Cipher Strength 這邊讓人非常意外的是，只有在關閉 HTTP/2 的情況下才有可能達到 100%，因為 HTTP/2 規定強制要支援 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256，而這是 128bits cipher，會導致無法達到 100%： No HTTP/2 for you! - HTTP/2 … Continue reading →

Posted in Computer, Murmuring, Network, Programming, Security, Software, WWW | Tagged , , , , , , , , | 1 Comment

OpenSSL 1.1.0 的 Release Notes 先放出來了 (現在是 Beta 1)

Posted on March 17, 2016 by Gea-Suan Lin

雖然才 Beta 1，但 OpenSSL 先放出 1.1.0 的 Release Notes 了：「OpenSSL 1.1.0 Series Release Notes」。 有幾個新的功能以及重大的改變，包括了對 ChaCha20 與 Poly1305 的支援，並且把 SSLv2、RC4、所有 40bits 與 56bits 的 cipher 拔掉，然後支援 Certificate Transparency。 讓人頗期待... 不知道來不來得及跟上 Ubuntu 16.04？

Posted in Computer, Murmuring, Network, Security, Software | Tagged , , , , , , , , , , | Leave a comment

新的 RC4 攻擊：實戰化

Posted on July 16, 2015 by Gea-Suan Lin

在 Twitter 上看到對 RC4 的新攻擊，可以直接攻擊 TLS 與 WPA-TKIP，沒有 workaround：「All Your Biases Belong To Us: Breaking RC4 in WPA-TKIP and TLS」。 對 TKIP 可以在一個小時內打下來： In practice the attack can be executed within an hour. 對於 TLS 則是 75 個小時有 94% 成功率，實際測試時只用了 … Continue reading →

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , | 1 Comment

CloudFlare 對 Go 上面加解密系統的改善

Posted on May 8, 2015 by Gea-Suan Lin

CloudFlare 發佈了自己版本的 Go，修改了其中的 crypto subsystem：「Go crypto: bridging the performance gap」。 文章花了不少篇幅介紹 AEAD (Authenticated Encryption with Associated Data)，而目前 CloudFlare 支援的是 AES-GCM 與 ChaCha20-Poly1305，也是兩大主流，分別佔了 60% 與 10% 的 HTTPS 流量： As such today more than 60% of our client facing traffic is … Continue reading →

Posted in CDN, Cloud, Computer, Murmuring, Network, Programming, Security, Software | Tagged , , , , , , , , , , , , , , | Leave a comment

SSL Labs 對 RC4 的退役計畫

Posted on April 24, 2015 by Gea-Suan Lin

SSL Labs 的「SSL Server Test」是個經常被拿來檢測 SSL/TLS 相關設定的服務。 這兩天公佈了對 RC4 的退役計畫：「SSL Labs RC4 Deprecation Plan」。 分成兩個階段進行。 第一個階段會在五月啟用，對於因為需要支援舊的 client 而針對 SSLv3/TLSv1 + RC4 組合的，會給予 B 評價。而全面支援 RC4 的 (包括 TLSv1.1+) 則會給予 C 評價。 到了第二階段 (暫定九月)，全面支援 RC4 的將會給予最低的 F 評價。

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , | Leave a comment

再度改善對 RC4 的攻擊效率...

Posted on March 17, 2015 by Gea-Suan Lin

在「RC4 must die」這個網站寫的真直接，正式標題是「Attacks Only Get Better: Password Recovery Attacks Against RC4 in TLS」。 可以在 226 次嘗試取得 TLS 裡傳輸的 password，相較於之前的 234 低了非常多。另外論文裡也說明了他們成功實作 PoC，取得 IMAP (TLS) 與 HTTP Basic Auth (TLS) 的密碼部份。 不過 RC4 的使用率比想像中高好多 (出自 ICSI Certificate Notary project 的「Connection Cipher … Continue reading →

Posted in Computer, Murmuring, Network, Security, Software, WWW | Tagged , , , | 1 Comment