Tag Archives: startssl

Mozilla 對於 WoSign + StartCom 根憑證的新發展:拔除

Okay,在 Mozilla 的人跟 WoSign + StartCom + 360 的人談過後有了新的進展。 幾個小時前 Mozilla 提了新版的草案出來 (對,還是草案):「Remediation Plan for WoSign and StartCom」。但由於 Kathleen Wilson 跟 Gervase Markham 都沒有太多意見,我猜這應該會接近定案了。 這次的處分草案由 Kathleen Wilson 發出來,會包括這些 root certificate,可以看到包括了所有 WoSign 與 StartCom 的 CA: 1) Subject: CN=CA 沃通根证书, OU=null, … Continue reading

Posted in Browser, Computer, Firefox, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , , , , , , , , , , , | 1 Comment

StartSSL 的認證出包

這幾天還蠻歡樂的新聞,StartSSL 的認證過程出包,可以用任何 email 收認證信:「StartSSL Domain validation (Vulnerability discovered).」。直接看這張圖就好: 這樣傳不是問題 (因為你還是可以在 server 端再確認一次),而是改了會動 (樂): 這家公司最近傳出好多負面新聞... (啊,我把他們家的 root certificate 標成 untrusted 一陣子了 XD)

Posted in Computer, Mail, Murmuring, Network, Security, WWW | Tagged , , , , , , , , , | 1 Comment

StartSSL 將 auth.startssl.com 放在奇虎 360 的機房內

話說最近用 Nuzzel 用的還算開心,可以抓到不少文章,但意外的是這篇在 Nuzzel 上沒看到,是在 Allen Own 的 Facebook 時間軸上看到的 (這則)。 原文出自「Why I stopped using StartSSL (Hint: it involves a Chinese company)」。 最主要的安全問題在於 auth.startssl.com 放在中國公司奇虎 360 的機房內,而這是身份認證用的伺服器。基於中國是個人治而非法治的國家 (i.e. 無法確保 CA 的稽核機制是有效的),我決定把 StartSSL 的 root certificate 從 trusted chain 裡面拔掉,以免中獎...

Posted in Computer, Murmuring, Network, Political, Security, WWW | Tagged , , , , , , , , | 1 Comment

把 SMTP 的 SSL certfiticate 弄起來...

網站的 SSL certificate 弄過很多次了,想說來測看看 MX host 的部份。弄好後就會像這樣,這是 Varnish 的 mailing list: Received: from project.varnish-software.com (project.varnish-software.com [194.31.39.164]) (using TLSv1 with cipher AES256-SHA (256/256 bits)) (No client certificate requested) by home.gslin.org (Postfix) with ESMTPS id 9C2F568009A for ; Mon, 21 Sep 2015 … Continue reading

Posted in Computer, Mail, Murmuring, Network, Security | Tagged , , , , , , , , | 2 Comments

用 StartSSL 申請免費 SSL 憑證的說明...

鑑於 NSA 監聽的關係 (國內最近也很流行這套?),最近國外介紹 StartSSL 的文章又熱門起來了:「Switch to HTTPS Now, For Free」。 不過因為 StartSSL 多了憑證驗證的問題,使得一般人申請變得相當麻煩,所以就有很多文章介紹 :o 這邊的 Generate Private Key 並不是你打算申請的 HTTPS 要用的,而是個人憑證... 這次這篇介紹文用了大量的圖片截圖,並且把產生 private key 以及 csr 的指令都列出來,後面還教你怎麼設定 nginx,相較於其他文件,應該是很清楚了...

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , | 1 Comment