Tag Archives: openssl

OpenSSL 1.1.0

Posted on August 26, 2016 by Gea-Suan Lin

看到「OpenSSL 1.1.0 released」這篇得知大家期待已久的 OpenSSL 1.1.0 出了，在 1.1.0 的重要新功能中，對 ChaCha20 + Poly1305 的支援算是大家等很久的： Support for ChaCha20 and Poly1305 added to libcrypto and libssl 由於 RC4 已經被證明不安全，OpenSSL 內變成沒有堪用的 stream cipher，這邊總算要補上來了... 另外兩個也頗有趣的： Support for scrypt algorithm Support for X25519 多了些東西...

Posted in Computer, Murmuring, Network, Programming, Security, Software, WWW | Tagged , , , , , , , , , , , , , , | Leave a comment

Netflix 對 sendfile() 在 TLS 情況下的加速

Posted on August 10, 2016 by Gea-Suan Lin

Netflix 對於寫了一篇關於隱私保護的技術細節：「Protecting Netflix Viewing Privacy at Scale」。 其中講到 2012 年的 Netflix Open Connect 中的 Open Connect Appliance (OCA，放伺服器到 ISP 機房的計畫) 只有單台伺服器 8Gbps，到現在 2016 可以達到 90Gbps： As we mentioned in a recent company blog post, since the beginning of the Open … Continue reading →

Posted in Computer, FreeBSD, Hardware, Movie, Murmuring, Network, OS, Programming, Recreation, Security, Software, Television, WWW | Tagged , , , , , , , , , , , , , , , , , , , , , , , | 1 Comment

OpenSSL 的 DSA 被 Side-channel attack 打爆

Posted on June 16, 2016 by Gea-Suan Lin

在「Make Sure DSA Signing Exponentiations Really are Constant-Time」這篇文章裡面，直接透過 end-to-end 的 timing attack 打爆 (也就是透過 internet 觀察攻擊)，而不需要在同一台機器上對 cache 之類的區域攻擊： A unique feature of our work is that we target common cryptographic protocols. Previous works that demonstrate cache-timing key-recovery attack only target … Continue reading →

Posted in Computer, Murmuring, Network, Security, Software | Tagged , , , , , , , , , , , , , | Leave a comment

Google Chrome 51 出版，SPDY 被拔掉，HTTP/2 只支援 ALPN

Posted on May 26, 2016 by Gea-Suan Lin

Google Chrome 剛剛出了 51 版：「Stable Channel Update」。 除了界面的改變外，對效能最主要的改變就是 SPDY 被拔掉，HTTP/2 的 NPN 支援也被拔掉：「Transitioning from SPDY to HTTP/2」： To better align with Chrome's release cycle, SPDY and NPN support will be removed with the release of Chrome 51. 又有一波 migrate 功夫要做了...

Posted in Browser, Computer, GoogleChrome, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , | Leave a comment

最近的兩個安全性漏洞：OpenSSL、ImageMagick

Posted on May 4, 2016 by Gea-Suan Lin

OpenSSL 的安全性漏洞公告：「OpenSSL Security Advisory [3rd May 2016]」。ImageMagick 的安全性漏洞說明頁：「ImageTragick」。 CVE-2016-2107 是修 Lucky 13 問題時沒修好造成的： This issue was introduced as part of the fix for Lucky 13 padding attack (CVE-2013-0169). The padding check was rewritten to be in constant time by making … Continue reading →

Posted in Computer, Murmuring, Security, Software | Tagged , , , | Leave a comment

OpenSSL 1.1.0 的 Release Notes 先放出來了 (現在是 Beta 1)

Posted on March 17, 2016 by Gea-Suan Lin

雖然才 Beta 1，但 OpenSSL 先放出 1.1.0 的 Release Notes 了：「OpenSSL 1.1.0 Series Release Notes」。 有幾個新的功能以及重大的改變，包括了對 ChaCha20 與 Poly1305 的支援，並且把 SSLv2、RC4、所有 40bits 與 56bits 的 cipher 拔掉，然後支援 Certificate Transparency。 讓人頗期待... 不知道來不來得及跟上 Ubuntu 16.04？

Posted in Computer, Murmuring, Network, Security, Software | Tagged , , , , , , , , , , | Leave a comment

Chrome 宣佈 SPDY 的退役，只支援 HTTP/2 (ALPN)

Posted on February 14, 2016 by Gea-Suan Lin

Google Chrome 將在今年 (2016) 的五月 15 日讓 SPDY 與 HTTP/2 NPN 退役：「Transitioning from SPDY to HTTP/2」。 主要是依據 Google Chrome 的流量數據，HTTP/2 大約佔了 25% 的流量 (目前檯面上大網站的 HTTPS 都支援了)，而 SPDY 只剩下 5% 的量： Over 25% of resources in Chrome are currently served over … Continue reading →

Posted in Browser, Computer, GoogleChrome, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , | Leave a comment

用 Shell Script 寫的 Let's Encrypt Client

Posted on January 21, 2016 by Gea-Suan Lin

在找 Let's Encrypt 安裝方法時找到的專案：「letsencrypt/acme client implemented as a shell-script」。 整個專案用 bash 寫，用到的 dependency 都非常基本，「比較特別的」只有 curl 與 openssl，這兩個套件應該不是什麼問題... XD 沒有安裝問題 (因為只有一個 shell script 檔案)，用起來也很簡單，執行速度也比官方快多了 (畢竟官方的考慮比較多)，之後應該就會用這個吧... 另外自動化的部份也應該會用這個解決 :o

Posted in Computer, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , | 1 Comment

荷蘭政府捐贈五十萬歐元給 OpenSSL

Posted on January 6, 2016 by Gea-Suan Lin

在一堆政府想要立法放後門進系統的情況下，荷蘭政府則反對這樣的想法，並且決定捐贈五十萬歐元 (目前約五十四萬美金) 給 OpenSSL：「Dutch govt says no to backdoors, slides $540k into OpenSSL without breaking eye contact」： The Dutch government has formally opposed the introduction of backdoors in encryption products. A government position paper, published by the Ministry of Security … Continue reading →

Posted in Computer, Murmuring, Network, Political, Social | Tagged , , , , | Leave a comment

nginx 1.9.5：支援 HTTP/2！

Posted on September 26, 2015 by Gea-Suan Lin

前幾天 nginx 釋出 1.9.5 版，支援 HTTP/2 (ngx_http_v2_module)：「NGINX Open Source 1.9.5 Released with HTTP/2 Support」。 不過預設是沒有編進去的，需要用 --with-http_v2_module 開起來： This module is not built by default, it should be enabled with the --with-http_v2_module configuration parameter. 要注意的是，由於是透過 ALPN 實作，需要 OpenSSL 1.0.2 之後的版本： Note … Continue reading →

Posted in Computer, Murmuring, Network, Software, WWW | Tagged , , , , , , , | 1 Comment