Tag: security

Home » Posts tagged "security"

Mozilla 跟 Google 都宣佈了 TLS 1.0 與 TLS 1.1 的退役計畫

Update：Apple 也宣佈了，時間點跟大家都差不多：「Deprecation of Legacy TLS 1.0 and 1.1 Versions」。

Mozilla 宣佈了「Removing Old Versions of TLS」，而 Google 也宣佈了「Modernizing Transport Security」，兩篇都是講自家瀏覽器 TLS 1.0 與 TLS 1.1 的退役時程。

Mozilla 這邊的計畫是 2020 年三月移除：

In March of 2020, Firefox will disable support for TLS 1.0 and TLS 1.1.

Google 這邊的計畫則是 Chrome 81 移除，換算成時間會從 2020 年一月開始影響到 canary channel，到 release channel 應該跟 Firefox 差不多時間：

In line with these industry standards, Google Chrome will deprecate TLS 1.0 and TLS 1.1 in Chrome 72. Sites using these versions will begin to see deprecation warnings in the DevTools console in that release. TLS 1.0 and 1.1 will be disabled altogether in Chrome 81. This will affect users on early release channels starting January 2020.

差不多試從現在開始的一年半。

雖然這是講瀏覽器端的支援，但如果伺服器想要只支援 TLS 1.2+ 的話，就得考慮一下舊 client 支援的情況了。

桌機影響會比較小 (升級比較方便，替代方案也比較多)，而行動平台看起來需要 Android 4.4+、iOS 7+，就要看各網站或是服務的族群了...

Browser, Computer, Firefox, GoogleChrome, Murmuring, Network, Privacy, Safari, Security, Service, Software, WWWNo Comment

在 Android 上支援 DNS over HTTPS 的 Intra

Intra 是 Alphabet (Google 母公司) 旗下 Jigsaw 所開發的 app (目前只有 Android 的，依照說明需要 4.0+)，透過 VPN 的架構換掉 DNS 設定，透過本機的 DNS Proxy 改走到外部的 DNS over HTTPS 服務上。

走 DNS over HTTPS 可以降低 DNS 被干擾 (security issue) 或是被監控 (privacy issue) 的風險。

在軟體內已經先內建了兩個 DNS over HTTPS 清單，一個是 Google 的 Google Public DNS，另外一個是 Cloudflare 的 1.1.1.1，除此之外也可以自己輸入。

由於是 Alphabet 家的軟體，預設是用 Google 的服務。

軟體本身是 open source 專案 (Apache-2.0)，程式碼在 Jigsaw-Code/intra 這邊可以取得。

Computer, DNS, Murmuring, Network, Privacy, Security, Service, Software, VPN, WWWNo Comment

Cloudflare 的 Firewall Rules

Cloudflare 發表了 Firewall Rules，讓使用者可以直接在 Cloudflare 的網站上設定 edge 要擋下或是放行哪些連線：「Announcing Firewall Rules」。

除了可以透過點選的方式設定外，也可以直接編輯條件式：

算是讓使用者更簡單的設定 (而且可以針對這些條件最佳化引擎)，不然 Cloudflare 提供的 Worker 其實也可以做類似的事情...

CDN, Computer, Murmuring, Network, Security, ServiceNo Comment

SMTP 的強加密連線機制

RFC 8461 成為正式標準 (Standards Track)，描述 Mail server 到 mail server 之間的強加密連線機制：「SMTP MTA Strict Transport Security (MTA-STS)」。

Policy 設定的方法有好幾種：

第一種是透過 _mta-sts 的 TXT record 設定，這點通常會配合 DNSSEC 確保 DNS 的查詢沒有被改。

第二種是透過 HTTPS 在某個特定的 host (mta-sts) 取得 policy 檔案。像是對 example.com 的資料會從 https://mta-sts.example.com/.well-known/mta-sts.txt 取得。

第三種是透過 HTTPS 的 certificate 裡面帶 mta-sts 資訊出來。

不只有 DNS 可以設定，使得整個架構變得有點複雜...

Computer, DNS, Mail, Murmuring, Network, Privacy, Security, ServiceNo Comment

Cloudflare 決定支援 QUIC

Cloudflare 決定支援 QUIC 了：「Get a head start with QUIC」、「The QUICening」。

QUIC 目前被使用的範圍比較小 (相較於 HTTP/2)：

  • 主流瀏覽器內只有 Google Chrome 有支援 QUIC，其他主流瀏覽器都沒有支援。不過 Google Chrome 也夠大了...
  • 因為是走 UDP，所以防火牆要另外開。

而 Google Chrome 上面可以安裝「HTTP/2 and SPDY indicator」看到連線的狀態。雖然套件名稱沒有 QUIC，但實際上是可以看出 QUIC 的，基本上 Google 的服務應該都是走 QUIC。

Browser, CDN, Cloud, Computer, GoogleChrome, Murmuring, Network, Privacy, Security, Service, Software, WWWNo Comment Browser, Computer, GoogleChrome, Murmuring, Network, Privacy, Security, Service, Software2 Comments

Ubuntu 推出 14.04 的 ESM 計畫

Ubuntu 14.04 是 LTS 版本，在明年四月底 (也就是 2019 年四月) 將會滿五年的維護期，之後就不會有任何公開更新了 (包括安全性更新)。

在前一次的 Ubuntu 12.04 是第一次提供 ESM (Extended Security Maintenance) 服務，讓沒辦法即時轉及到新版的單位可以付費繼續收到安全性更新，算是 LTS 的一個重要服務。

而官方這次也對 Ubuntu 14.04 推出了 ESM：「Announcing Extended Security Maintenance for Ubuntu 14.04 LTS – “Trusty Tahr”」。

Ubuntu 14.04 LTS – ESM will become available once Ubuntu 14.04 reaches its End of Life on April 30, 2019.

價錢應該會跟之前類似吧...

Computer, Linux, Murmuring, OS, Security, SoftwareNo Comment Browser, Cloud, Computer, Murmuring, Network, P2P, Service, Software, WWWNo Comment

AWS 推出可以直接操作機器的 Shell Access

AWS 推出了 Shell Access，讓你可以直接操作 EC2 上的機器，而且又符合稽核上的要求：「New – AWS Systems Manager Session Manager for Shell Access to EC2 Instances」。

看起來機器上只要有 ssm-agent 就可以做這件事情了。在官方的圖可以看到用法：

另外 AWS 也在開發新的功能，一個是繞過 security group 的 SSH client：

SSH Client – You will be able to create SSH sessions atop Session Manager without opening up any inbound ports.

另外一個是給外部機器用的版本：

On-Premises Access – We plan to give you the ability to access your on-premises instances (which must be running the SSM Agent) via Session Manager.

這功能最主要還是稽核面的需求... 以前要作到這件事情會需要透過跳板之類的東西記錄使用者行為，現在 AWS 做出來後就省下這件事情。

AWS, Cloud, Computer, Murmuring, Network, Security, ServiceNo Comment

Chrome 把所謂的「trivial subdomain」移除後有人爆氣了...

先前在「關閉新版 Google Chrome 網址列雞婆省略 www 的行為...」提到 Google Chrome 把 www 這些常見的 subdomain 從顯示列上移除的事情。我是因為用 beta channel 所以比較快就開始抱怨，而一般使用者在這幾天 stable channel 更新後開始收到這樣的改變，於是就爆炸了：「Incorrect transforms when stripping subdomains」。

有人直接噴這是什麼鳥蛋決策 XDDD

I actually thought Chrome was malfunctioning. This decision seems totally arbitrary. Was there any research done to justify this decision, or was it the whimsy of a PM who thought it would be a cool UX thing?

另外有人問 Google 是不是應該去開個 CVE，直接認定是安全性威脅... XD

然後一如往常的，被打上 Restrict-AddIssueComment-EditIssue 不讓其他人加意見進去了... 大概不會有下文了 XD

話說回來，這幾天測 Firefox 發現頗吃 CPU 與 GPU 的效能 (相較於 Google Chrome)，實在換不過去...

Browser, Computer, GoogleChrome, Murmuring, Network, Software, WWW2 Comments

Recent Comments

Archives

Blogroll