幹壞事是進步最大的原動力
因為前一篇「Symantec 系列的 SSL Certificate 陸續開始失效...」的關係，當時是針對 針對 .tw 結尾的站台，用 OpenSSL 掃了一份 issuer= 下來，剛好可以拿來翻一下有誰換去 Let's Encrypt 了...
蝦皮的主站台直接都用 Let's Encrypt 了：
host=shopee.tw issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3 host=www.shopee.tw issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
然後在「SSL Server Test: shopee.tw (Powered by Qualys SSL Labs)」這邊可以看到是 wildcard，而且是多個 wildcard 合併一張...
如果把 Let's Encrypt 自動化，省下來最多的通常都不是憑證費用，而是 renew 時請款流程的人力成本與忘記 renew 時的出包成本... XD
先前就有提到 Chrome 與 Firefox 因為 Symantec 的信任問題太大，都有打算終止信任 Symantec 的憑證了，而其他瀏覽器也都有陸陸續續公佈了類似的計畫，大家的時間表都抓差得不多...
最近接近當時各家瀏覽器規劃的終止信任日，而在使用開發版本的 Chrome 與 Firefox 開始連不上一些網站了。我自己是走 beta channel 所以還沒中，不過好像也快了...
我拿了「Umbrella Popularity List」這邊提供的前一百萬網站測，以 .tw 結尾的網站看起來就只剩下兩個還沒換了：
在蘋果的網站上有清單可以翻：「Information for website operators about distrusting Symantec certificate authorities」。
看到 RFC 8446 (The Transport Layer Security (TLS) Protocol Version 1.3) 正式推出了，也就是 TLS 1.3 正式成為 IETF 的標準 (Standards Track)。
Cloudflare 寫了一篇文章「A Detailed Look at RFC 8446 (a.k.a. TLS 1.3)」描述了 TLS 1.3 的特點，有興趣的人可以看一看，尤其是 1-RTT 的部份對效能幫助很大 (0-RTT 因為 replay attack 問題，我應該暫時都不會考慮，要等到有一個合理的防禦模型出來)。
另外一個是 OpenSSL 目前最新版是 1.1.0h，當初就決定要等 TLS 1.3 正式成為標準才會出 1.1.1 (參考「OpenSSL 1.1.1 將支援 TLS 1.3」，這也熬了一年啊... 支援後會就有很多軟體可以直接套用了，可以來期待了。
很久前看過 SSHFPT record，當時支援度不高就忘記了... 剛剛在 Cloudflare 的這篇「Additional Record Types Available with Cloudflare DNS」看到發現 OpenSSH 很久前就有支援了...
用法是 VerifyHostKeyDNS 這個 option，像是 ssh -o "VerifyHostKeyDNS=yes" -o "StrictHostKeyChecking=yes" hostname 這樣的指令，對於 ~/.ssh/known_hosts 裡沒有的機器，在第一次連線的時候會去查 DNS record，如果沒有查到的話就會中斷。
產生 SSHFP record 的方式則是可以參考「How do I generate SSHFP records?」這篇，也就是直接用 sshkey-gen -r [hostname]，程式就會去讀 /etc/ssh/ 下的資料產生了。
Twitter 上看到 WireGuard 被收進 Linux Kernel 了，等 review 完後就就會正式納入了... 而且 Linus 給的評價還蠻高的：
It is official. wireguard vpn is now part of upstream linux kernel and here is what Linus said about it. pic.twitter.com/FwxKi7fzX8
— nixCraft (@nixcraft) August 3, 2018
找了一下起源是「[PATCH v1 3/3] net: WireGuard secure network tunnel」這邊，而 Twitter 上面引用的是「Re: [GIT] Networking」這篇...
在「subfinder – 找子網域的工具」這邊看到的，專案是用 Golang 寫的，需要 Golang 1.10+ 才能裝... 這類工具在 PT 找入口時還蠻好用的。
裝完後馬上跑個熱門的 ./subfinder -d teamkp.tw 可以看到不多：
Total 4 Unique subdomains found for teamkp.tw .teamkp.tw donate.teamkp.tw www.donate.teamkp.tw www.teamkp.tw
加上 -v 則可以看到來源。
Google 在 stable channel 發布了 Google Chrome 68，這是 Chrome 第一個將所有 HTTP 站台都標成 insecure 的版本：「Stable Channel Update for Desktop」。取自二月時的圖：
文章內也說明了這個改變：
In Chrome 68, Chrome will show the “Not secure” warning on all HTTP pages. We announced this in a blog post published on February 8th on Google’s Chromium and Online Security blogs.
雖然之前 Google 一直在推動，但應該還是很多單位沒在管...
nginx 的新功能，單一 port 支援多服務：「Running SSL and Non-SSL Protocols over the Same Port with NGINX 1.15.2」，最常見的還是混搭 SSH 了：
One key feature in this release is the new $ssl_preread_protocol variable, which allows you to distinguish between SSL/TLS and other protocols when forwarding traffic using a TCP (stream) proxy. This is useful if you want to avoid firewall restrictions by (for example) running SSL/TLS and SSH services on the same port.
雖然 L7 firewall 還是可以看出來 (並且擋下)，但簡易的 firewall 就可以用這個方式穿過去了...
看到「Encrypted Server Name Indication for TLS 1.3」這個，由 Fastly、Cloudflare、Apple 的人聯手推出的 draft，想要保護 TLS 連線一開始明文傳輸的 hostname 部分。看起來是透過 DNS 發佈 public key，然後使用者用這把 public key 保護 hostname 的部分...
而 DNS 的部分可以透過 DNS over TLS 或是 DNS over HTTPS 來保護，這樣讓 ISP 沒有任何資訊可以看到 hostname，把暴露的資訊再降低...
來繼續關注這個技術...
CA/Browser Forum 會定時將會議記錄與最後的結論公開放在網站上，有時候有些資訊還蠻有趣的。像是前幾天在「Ballot 221 - Two-Factor Authentication and Password Improvements - CAB Forum」這邊看到 CA/Browser Forum 的成員對密碼與 2FA 提出了修正提案，其中瀏覽器端只有 Microsoft 參與投票，但是被否決了...
不知道否決的原因，但是大概可以猜到幾個點。
第一個是提案提到了 NSA 的 NIST 800-63B Appendix A，這個單位不太受歡迎啊...
第二個則是「For accounts that are accessible only within Secure Zones or High Security Zones, require that passwords have at least twelve (12) characters;」這段強迫使用密碼，而現在有比密碼更安全的方案存在 (以 public key cryptography 為認證基礎的方案)，像是早期的 U2F 以及今年定案的 WebAuthn。
應該是這些原因吧...