Tag Archives: privacy

Tails 3.0 出了,然後又開始提供 BitTorrent 下載了...

Tails 是個 Tor 的獨立環境,可以直接用 USB 開機或是透過虛擬機上線,避免受到其他干擾而洩漏資訊。 剛剛看到了 Tails 發佈 3.0 版的消息:「Tails 3.0 is out」,比較特別的是在下載頁面發現 BitTorrent 的下載方式又被放回去了。 前陣子本來在「BitTorrent 對 SHA-1 的改善計畫?」這邊有提到 Tails 的團隊因應 SHA-1 的問題,在討論是否要繼續提供 BitTorrent 的問題 (因為 BitTorrent 裡使用 SHA-1 做很多事情),當時的決議其實是暫時使用 BitTorrent 發佈:「Biterrant attack」。 不過後續的更新這樣寫,所以看起來暫時會先恢復 BitTorrent 下載的方式: After reading this … Continue reading

Posted in Computer, Murmuring, Network, P2P, Privacy, Security, Software | Tagged , , , , , , , , , , , | 1 Comment

nginx 記錄 TLS 連線資訊

想要在 nginx 的 access log 裡面記錄使用者在 HTTPS 連線使用的 TLS protocol 與 cipher。 在「How can I let nginx log the used SSL/TLS protocol and ciphersuite?」這邊有提到方向是 $ssl_protocol 與 $ssl_cipher (出自「Module ngx_http_ssl_module」內的 Embedded Variables 章節)。 他的方式是在前面就插入 protocol,但我希望前面的欄位保持不變,把 protocol & cipher 放到後面,所以我就加了一個 /etc/nginx/conf.d/combined_ssl.conf (這邊我用 … Continue reading

Posted in Computer, Murmuring, Network, Security, Service, Software, WWW | Tagged , , , , , , , , , , , , , | Leave a comment

iOS 11 將 Location 的主權交還給使用者

在 Hacker News Daily 上看到這則 tweet,說 iOS 11 將會把 Location 的主權交還給使用者控制: iOS 11 Privacy Updates: 2. Location “While Using” is now ALWAYS an option for users. (It’s about time!)https://t.co/QW5lkGnWE9 — Tinfoil 2.0 😱 (@tfoil2) June 6, 2017 查了對應的一些網站,可以看到好幾個站台都有介紹這一點:「iOS 11 Users … Continue reading

Posted in Computer, Murmuring, Network, Privacy, Security, Software | Tagged , , , , , , , , , , | Leave a comment

Web Cache Deception Attack

在「How (Not) to Control Your CDN」這邊看到了「Web Cache Deception Attack」這個攻擊方式。 攻擊的手法是利用網站會把 /user/personal-info/foo.css 與 /user/personal-info 視為一樣的內容時,配合 CDN 或是 reverse proxy server 會把 .css 設定無差異 cache 時,就可以在 cache server (cache edge) 取得使用者的敏感資料。 這主要是 url routing 的條件放太寬造成的。 另外 Mark Nottingham 還建議 cache 應該在 origin … Continue reading

Posted in CDN, Computer, CSS, Murmuring, Network, Security, Service, WWW | Tagged , , , , , , , , , , , , | Leave a comment

nginx 1.13 將支援 TLSv1.3

在 nginx 的「CHANGES」這邊看到 1.13.0 把 TLSv1.3 加進去了 (雖然都還沒成為正式的標準,但一堆人都在支援 XDDD): *) Feature: the "TLSv1.3" parameter of the "ssl_protocols" directive. 這樣以後出 1.14 的 stable 版本應該就可以玩 TLSv1.3 了...

Posted in Computer, Murmuring, Network, Software, WWW | Tagged , , , , , , , , | Leave a comment

StackOverflow 預設全上 HTTPS 了...

用 HTTPS Everywhere 沒什麼感覺,但對於一般人應該不簡單,所以 Nick Craver (根本就是他們家非正式的 PR Engineer XDD 他這幾年寫了不少內部的資訊...) 寫了一篇關於上 HTTPS 的故事:「HTTPS on Stack Overflow: The End of a Long Road」。 其中他們為了支援舊設備 (沒有支援 SNI 的),決定直接把所有 wildcard 類的 SSL certificate 都包進去 (另外找 DigiCert 處理): 然後中間提到這個真的頗無奈的,抱怨 SVG 的 XML... XDDD: … Continue reading

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , , , , , , , , , , , , | Leave a comment

又是 ImageMagick 出包...

ImageMagick 的 information leaking,然後 Yahoo! 很無奈的中獎,所以被稱為 Yahoobleed:「Yahoo! retires! bleeding! ImageMagick! to! kill! 0-day! vulnerability!」。發現問題的作者把問題寫在「*bleed continues: 18 byte file, $14k bounty, for leaking private Yahoo! Mail images」這邊。 作者利用 ImageMagick 的不當處理,取得 uninitialized memory 的資訊,藉以取得可能是上次轉檔的記憶體內容。而這個 jpeg 只有 18bytes (所以作者戲稱每個 byte 價值 USD$778): A … Continue reading

Posted in Computer, Library, Mail, Murmuring, Network, Security, Software | Tagged , , , , , , , , , , , , | Leave a comment

IE 與 Edge 推出更新,阻擋 SHA-1 憑證

微軟這幾天推出更新,IE 與 Edge 將不會接受 SHA-1 憑證:「Microsoft Makes it Official, Cuts off SHA-1 Support in IE, Edge」。微軟的公告則是在「Deprecation of SHA-1 for SSL/TLS Certificates in Microsoft Edge and Internet Explorer 11」這邊。 根憑證不受影響 (所以企業自己產生的 Root CA 也不受影響): Beginning May 9, 2017, Microsoft released updates … Continue reading

Posted in Browser, Computer, IE, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , , , | Leave a comment

OpenSSL 1.1.1 將支援 TLS 1.3

OpenSSL 的文章「Using TLS1.3 With OpenSSL」提到了: The forthcoming OpenSSL 1.1.1 release will include support for TLSv1.3. 另外也提到了 TLS 1.3 的標準是 blocker,在 TLS 1.3 沒出來前不會出 OpenSSL 1.1.1: OpenSSL 1.1.1 will not be released until (at least) TLSv1.3 is finalised. OpenSSL 實做的 TLS … Continue reading

Posted in Computer, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , | Leave a comment

肥大的 DISQUS

在「Replacing Disqus with Github Comments」這邊看到作者抱怨 DISQUS 的肥大,然後作者自己寫了一個用 GitHub 當後端的 comment system XDDD 先看沒有 DISQUS 的: 然後把 DISQUS 掛進來 XDDD:(不得不說 uBlock Origin 與 Disconnect 是你的好朋友...)

Posted in Computer, Murmuring, Network, Programming, Security, Social, Software, WWW | Tagged , , , , , , | Leave a comment