Tag Archives: ssl

Google 宣佈對 Symantec 發行的 SSL Certficiate 的不信任計畫

Google 的 Ryan Sleevi 宣佈了對 Symantec 所發佈的的 SSL Certificate 的不信任計畫:「Intent to Deprecate and Remove: Trust in existing Symantec-issued Certificates」。 這邊講「不信任計畫」,主要是因為 Google Chrome 不是打算移除,而是限制 Symantec 發出的 SSL certificate 的有效期限。這有種 too big to fail 的感覺... 以市占率來看,無論是「Usage of SSL certificate authorities for websites」這邊算出來的 … Continue reading

Posted in Browser, Computer, GoogleChrome, Murmuring, Network, Security, Software | Tagged , , , , , , , , | Leave a comment

Heroku 支援自動化 Let's Encrypt 了

本來 Heroku 提供的 SSL certificate 是要收費的,現在則是提供 Let's Encrypt 的免費版本,而且提供自動更新 (不過必須是收費的 Dynos):「Announcing Free and Automated SSL Certs For All Paid Dynos」。 Heroku has always made it easy to add SSL encryption to web applications — today’s release of ACM extends that … Continue reading

Posted in Cloud, Computer, Murmuring, Network, Security | Tagged , , , , , , , , , | Leave a comment

OpenSSL 將轉為 Apache 2.0 License

OpenSSL 最近打算把原本的 license 換成 Apache License, Version 2.0:「Licensing Update」。 主要的原因是希望相容於現有大多數的 open source project: OpenSSL Re-licensing to Apache License v. 2.0 To Encourage Broader Use with Other FOSS Projects and Products 但這非常詭異啊,舊的 license 最大的問題就是與 GPLv2 不相容,而預定要換的 AL 2.0 也還是不相容啊,搞屁啊。

Posted in Computer, Murmuring, Network, Security, Software | Tagged , , , , , , , , , , , , | Leave a comment

檢查瀏覽器是否阻擋不安全的 SSL 連線

在這邊看到可以測試瀏覽器的 SSL 連線,網站在 https://badssl.com/dashboard/ 這邊: OOO, Chrome just added a dashboard to quickly test out whether your network connection's being ruined by inspection: https://t.co/1iVkGnat7A pic.twitter.com/s19RmdzlK5 — Eric Mill (@konklone) March 17, 2017 Google Chrome 都有過,但是 Firefox 與 IE11 都還可以連 dh1024... … Continue reading

Posted in Browser, Computer, Firefox, GoogleChrome, IE, Murmuring, Network, Security, Software, WWW | Tagged , , , , , | Leave a comment

EdgeCast 總算記得要推出 HTTP/2 了...

每次看到 EdgeCast 的業務都會抱怨一下,總算正式公佈了... EdgeCast 的 HTTP/2 預定在 2017/03/31 全面上線:「HTTP/2 Coming Soon to Our Customers with SSL Certificates!」。 由於是逐步上線,有些網站會在 3/31 前就生效 (像是 EdgeCast 的官網): The rollout of HTTP/2 will be gradual, and you may start to see some of your content … Continue reading

Posted in CDN, Cloud, Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , , , , , | Leave a comment

GitHub 決定在 2018/02/01 停用不安全的 HTTPS/SSH 演算法

在「Discontinue support for weak cryptographic standards」這邊訂了日期,2018/02/01 將會關閉: HTTPS 的 TLSv1 與 TLSv1.1 SSH 的 diffie-hellman-group1-sha1 SSH 的 diffie-hellman-group14-sha1 看起來最苦的應該是 Android 4.3 以及更早的版本,以現在的官方數字來看還有 13%+ (Dashboards),這些版本內建的瀏覽器不支援 TLSv1.2,不過另外裝 browser 就還能過...

Posted in Computer, Murmuring, Network, Programming, Security, WWW | Tagged , , , , , , , , , | Leave a comment

Cloudbleed:Cloudflare 這次的安全問題

Cloudflare 把完整的時間軸與影響範圍都列出來了:「Incident report on memory leak caused by Cloudflare parser bug」。 出自於 2/18 時 Google 的 Tavis Ormandy 直接在 Twitter 上找 Cloudflare 的人: Could someone from cloudflare security urgently contact me. — Tavis Ormandy (@taviso) February 18, 2017 Google 的 … Continue reading

Posted in CDN, Cloud, Computer, Murmuring, Network, Search Engine, Security, WWW | Tagged , , , , , , , , , , , , , , , , | Leave a comment

Firefox 下一個版本 (52) 將預設關閉 SHA-1 支援

順著 SHA-1 正式被打穿,Mozilla 也正式宣佈從下一個版本的 Firefox 將完全關閉 SHA-1 支援 (看敘述應該還是可以透過 about:config 開):「The end of SHA-1 on the Public Web」。 As announced last fall, we’ve been disabling SHA-1 for increasing numbers of Firefox users since the release of Firefox 51 using a … Continue reading

Posted in Browser, Computer, Firefox, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , | Leave a comment

AES-GCM-SIV

在「AES-GCM-SIV: Specification and Analysis」這邊看到 AES-GCM-SIV 的作者自己投稿上去的資料,是個已經被放進 BoringSSL 並且在 QUIC 上使用的演算法: We remark that AES-GCM-SIV is already integrated into Google's BoringSSL library \cite{BoringSSL}, and its deployment for ticket encryption in QUIC \cite{QUIC} is underway. 在 RFC 上的說明解釋了這個演算法的目的是希望當 nonce 沒有被正確實作時仍然可以有比 AES-GCM 強的保護: … Continue reading

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , , , , , | Leave a comment

dehydrated 0.4.0 的新要求

dehydrated 出 0.4.0 了,剛剛把 PPA for dehydrated 更新了,已經安裝過的使用者可以直接升級使用。 這次主要的改變在於建立帳號時必須先同意 Let's Encrypt 的使用條款: dehydrated now asks you to read and accept the CAs terms of service before creating an account 這邊可以用 dehydrated --register --accept-terms 表示同意並且建立帳號。

Posted in Computer, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , | Leave a comment