Zgodnie z przypuszczeniami chiński urząd certyfikacji CNNIC nie uniknął poważnych konsekwencji zdarzenia sprzed kilkunastu dni, kiedy to – mimo, że nie powinien – wydał certyfikat pośredni jednej z egipskich firm.
Nowoczesna i przestarzała kryptografia według Chrome
Co nazywamy nowoczesną kryptografią? A co przestarzałą? Jakie algorytmy kryptograficzne możemy zaliczyć do tej pierwszej grupy, a jakie do drugiej? W tym wpisie postaram się przedstawić jak widzą to twórcy przeglądarki Chrome.
Fałszywe certyfikaty dla domen Google – podsumowanie
Na początku mijającego tygodnia, Google, za pośrednictwem swojego bloga, poinformowało, że odkryło kilka nieautoryzowanych certyfikatów SSL wydanych ich swoich domen. Przyjrzyjmy się jak do tego doszło i jak na ten incydent zareagowali twórcy przeglądarek.
Online Certificate Status Protocol – część 4
Czwarty z serii postów dotyczących Online Certificate Status Protocol (OCSP), tak jak obiecałem, dotyczył będzie dwóch mechanizmów bezpośrednio z nim związanych: OCSP Stapling oraz OCSP Must-Staple. Zapraszam do lektury.
Kilkanaście poprawek bezpieczeństwa w OpenSSL
Od dzisiejszego poranka możemy przystąpić do aktualizacji najpopularniejszej biblioteki kryptograficznej – OpenSSL. Zapowiadane kilka dni wcześniej wydanie przynosi sporo poprawek dotyczących jej bezpieczeństwa.
Fałszywy certyfikat SSL dla domeny Microsoftu
Dla jednej z domen obsługujących usługę Windows Live wystawiony został fałszywy certyfikat SSL – informuje Microsoft w swoim Security Advisory. Sprawa jest o tyle poważna, że certyfikat został wydany przez jeden z najpopularniejszych Urzędów Certyfikacji (CA).
Ostrzeżenia związane z certyfikatami SSL w Chrome
Komunikaty dotyczące certyfikatów SSL nie zawsze są zrozumiałe. Gdy dochodzą do tego zmiany wprowadzane wraz z każdą nową wersją przeglądarki nietrudno jest się w tym wszystkim pogubić.
OneCRL w Firefoxie
Zgodnie z informacją przekazaną przez Mozillę kolejna wersja przeglądarki Firefox wykorzystywała będzie nowy mechanizm pozwalający na sprawdzenie czy certyfikat nie został unieważniony. Nie jest to jednak całkowita rewolucja, ponieważ zmiany dotyczą jedynie certyfikatów pośrednich.
Systemy Windows podatne na atak FREAK
Microsoft ogłosił wczoraj, że wszystkie wersje jego systemów są narażone na atak FREAK. Znacząco zwiększa to liczbę użytkowników, których dotyczy problem.
FREAK – nowa podatność w SSL
Właśnie takiej nazwy użyto do określenia nowo odkrytego błędu w implementacji protokołu SSL/TLS. Inna nazwa błędu – zdradzająca trochę więcej jego szczegółów – to Factoring Attack on RSA-EXPORT Keys. Wykorzystanie podatności może prowadzić do złamania szyfrowanej komunikacji.
HSTS wkracza do IE i Spartana
Lepiej późno niż wcale, to chyba najlepsze określenie informacji ogłoszonej przez Microsoft w połowie lutego: HTTP Strict Transport Security został wdrożony w Internet Explorerze i, co naturalne, będziemy mogli z niego korzystać także w przeglądarce Spartan.
Czas ważności certyfikatów SSL ograniczony do 39 miesięcy
Od 1 kwietnia nie kupimy już certyfikatu SSL z okresem ważności dłuższym niż 39 miesięcy. A przynajmniej nie zrobimy tego w Urzędzie Certyfikacji (ang. Certificate Authority – CA), który deklaruje zgodność z wymaganiami CA/Browser Forum Baseline Requirements.
Zmiany w Firefoxie 36
Światło dzienne ujrzała dzisiaj kolejna wersja, oznaczona numerem 36, przeglądarki Firefox. Nowości i zmian jest sporo, ale my przyjrzyjmy się kilku tym, które dotyczą części związanej z jej bezpieczeństwem.
Online Certificate Status Protocol – część 3
W kolejnej, trzeciej już, części wpisów dotyczących OCSP znajdziecie m.in. porównanie weryfikacji statusu certyfikatu za pomocą OCSP i CRL. Przedstawię także kilka ciekawych kwestii związanych z zasadami funkcjonowania protokołu weryfikacji certyfikatów w trybie online.
Man-in-the-middle w laptopach Lenovo
Pamiętacie opisywaną przeze mnie historię amerykańskiej firmy Gogo, która to poprzez wykorzystanie fałszywego certyfikat podsłuchiwała swoich klientów na pokładach samolotów? Dzisiaj wyszło na jaw, że podobne praktyki, niosące za sobą jeszcze bardziej niebezpieczne konsekwencje, stosuje firma Lenovo.