Tag Archives: mozilla

利用 Unicode Domain 釣魚，以及 Chrome 與 Firefox 的解法

Posted on April 23, 2017 by Gea-Suan Lin

一個多禮拜前引起蠻多討論的一篇文章，利用 Unicode Domain 釣魚的方法：「Phishing with Unicode Domains」。 由於這是幾乎完美的攻擊，所以被提出來後 (Security: Whole-script confusable domain label spoofing) 有不少討論： This bug was reported to Chrome and Firefox on January 20, 2017 and was fixed in the Chrome trunk on March 24. The fix is … Continue reading →

Posted in Browser, Computer, DNS, Firefox, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , , , , | Leave a comment

在 Ubuntu 上跑 Selenium (Google Chrome 與 Firefox)

Posted on March 4, 2017 by Gea-Suan Lin

最近可能會用到，所以開了一台 EC2 instance 跑 Ubuntu 16.04 測試 Selenium。拿 Chrome 與 Firefox，Linux 平台上兩個主要的瀏覽器。 要讓他動還蠻簡單的，只是不知道真的用下去後，後面會遇到多少地雷 XDDD 基本上是按照「Installing Selenium and ChromeDriver on Ubuntu」這篇文章的方法安裝，有幾點可以注意一下： ChromeDriver 可以翻一下最新版，文件上寫的是 2.26，但現在最新的是 2.27 (寫這篇時)。 雖然寫「(Optional) Create and enter a virtual environment」表示可以不做，但不做其實不會動 (看錯誤訊息像是要建立目錄時權限不夠)，所以乖乖的用 virtual environment 裝在自己目錄下吧 XDDD 同理，Firefox 用 APT … Continue reading →

Posted in Browser, Computer, Firefox, GoogleChrome, Murmuring, Network, Software, WWW | Tagged , , , , , , , , | Leave a comment

Firefox 下一個版本 (52) 將預設關閉 SHA-1 支援

Posted on February 25, 2017 by Gea-Suan Lin

順著 SHA-1 正式被打穿，Mozilla 也正式宣佈從下一個版本的 Firefox 將完全關閉 SHA-1 支援 (看敘述應該還是可以透過 about:config 開)：「The end of SHA-1 on the Public Web」。 As announced last fall, we’ve been disabling SHA-1 for increasing numbers of Firefox users since the release of Firefox 51 using a … Continue reading →

Posted in Browser, Computer, Firefox, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , | Leave a comment

Facebook 與 Google Chrome 以及 Firefox 的人合作降低 Reload 使用的資源

Posted on January 28, 2017 by Gea-Suan Lin

Facebook 花了不少時間對付 reload 這件事情：「This browser tweak saved 60% of requests to Facebook」。 Facebook 的人發現有大量對靜態資源的 request 都是 304 (not modified) 回應： In 2014 we found that 60% of requests for static resources resulted in a 304. Since content addressed URLs never … Continue reading →

Posted in Browser, Computer, Firefox, GoogleChrome, Murmuring, Network, Software, WWW | Tagged , , , , , , , , , , , , , , , , , , , , | Leave a comment

下個版本 Firefox 的 Multi-Process 將預設全面開啟

Posted on December 25, 2016 by Gea-Suan Lin

Mozilla 說明了 Multi-Process 最近的一些進度：「Update on Multi-Process Firefox」。 就目前測試的資料看起來，速度大幅提昇： Those users have been enjoying the 400% increase in responsiveness and a 700% improvement when web pages are loading. 現在的 Firefox 是 50 版，目前的情況是當 extension 標成 multi-process compatible 就會啟用： With Firefox 49 … Continue reading →

Posted in Browser, Computer, Firefox, Murmuring, Network, Software, WWW | Tagged , , , , , , | Leave a comment

Mozilla 也在考慮對 Certificate Transparency 的掌握度

Posted on November 21, 2016 by Gea-Suan Lin

由於 Firefox 要支援 Certificate Transparency 的緣故，在「Mozilla CT Policy」這邊 Mozilla 在討論要建立自己的 CT policy 以及自己的架構： CT is coming to Firefox. As part of that, Mozilla needs to have a set of CT policies surrounding how that will work. Like our root inclusion … Continue reading →

Posted in Browser, Computer, Firefox, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , , | Leave a comment

Mozilla 對 WoSign + StartCom 的正式處分

Posted on October 25, 2016 by Gea-Suan Lin

Mozilla 對 WoSign + StartCom 的不信任處分出爐了：「Distrusting New WoSign and StartCom Certificates」，最後處分的內容跟之前的討論差不多 (參考先前寫的「Mozilla 對於 WoSign + StartCom 根憑證的新發展：拔除」)。 Mozilla 台灣有放出中文版的說明 (差不多就是英文翻譯的版本)：「取消對 WoSign 與 StartCom 新簽發憑證的信任」。 這次比較麻煩的地方在於要信任已經發出的 certificate，而且量太大無法窮舉。所以必須改增加程式碼處理，而這個方法無法對使用 Mozilla CA Certificate Store 的人生效 (因為這包套件只是一堆 pem 檔案，沒辦法放特殊的邏輯進去...) 另外現在 Firefox 是 49 版，要到 51 … Continue reading →

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , , , , , , , , | Leave a comment

Mozilla 對於 WoSign + StartCom 根憑證的新發展：拔除

Posted on October 14, 2016 by Gea-Suan Lin

Okay，在 Mozilla 的人跟 WoSign + StartCom + 360 的人談過後有了新的進展。 幾個小時前 Mozilla 提了新版的草案出來 (對，還是草案)：「Remediation Plan for WoSign and StartCom」。但由於 Kathleen Wilson 跟 Gervase Markham 都沒有太多意見，我猜這應該會接近定案了。 這次的處分草案由 Kathleen Wilson 發出來，會包括這些 root certificate，可以看到包括了所有 WoSign 與 StartCom 的 CA： 1) Subject: CN=CA 沃通根证书, OU=null, … Continue reading →

Posted in Browser, Computer, Firefox, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , , , , , , , , , | 1 Comment

Comodo 取消對 WoSign CA 的 Cross-signed

Posted on October 5, 2016 by Gea-Suan Lin

剛剛看到 Comodo 的 Rob Stradling 在群組上說明了 Comodo 透過 CRL 與 OCSP 取消對 WoSign CA 的 cross-signed：「Incidents involving the CA WoSign」。 Today we have revoked (via CRL and OCSP) all 3 of the cross-certificates that we'd issued to WoSign: https://crt.sh/?id=3223853 https://crt.sh/?id=12716343 … Continue reading →

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , , , | 1 Comment

iOS 阻擋 WoSign 憑證

Posted on October 2, 2016 by Gea-Suan Lin

在 mozilla.dev.security.policy 上看到有人行動了：「Apple's response to the WoSign incidents」。這使得 Apple 成為 WoSign 事件中第一個行動的單位。 Apple 這次先把 WoSign 放入 iOS 憑證清單的黑名單公告在這邊：「Blocking Trust for WoSign CA Free SSL Certificate G2」。 WoSign 在 iOS 產品線中是靠 StartCom 與 Comodo 的交叉簽章，所以如果 Apple 只想擋 WoSign 憑證的話，必須以阻擋 Intermediate CA … Continue reading →

Posted in Browser, Computer, Murmuring, Network, OS, Safari, Security, Software | Tagged , , , , , , , , , , , , , , , | Leave a comment