Wczoraj ukazał się drugi numer Sekurak/Offline – magazynu w którym znajdziecie 9 artykułów dotyczących bezpieczeństwa aplikacji WWW. Czytelnikom Kryptosfery tym razem szczególnie polecam tekst o HTTP Public Key Pinning. Jeżeli nie czytałeś jeszcze pierwszego numeru, zachęcam.
Trywialny błąd pozwalał na nieuprawione pozyskanie certyfikatu SSL [Aktualizacja]
Niepoprawna walidacja danych wejściowych w formularzu urzędu certyfikacji StartSSL umożliwiała pozyskanie certyfikatu SSL typu Domain Validation dla domeny nad którą w rzeczywistości nie mieliśmy kontroli. Niewłaściwe sprawdzanie danych dotyczyło adresów email (możliwa była jego podmiana) na które wysyłane są kody autoryzacyjne pozwalające na potwierdzenie dostępu do danej domeny. Podatność została…
Microsoft utracił wyniki audytów dla 147 certyfikatów głównych
Każdy urząd certyfikacji (ang. Certificate Authority – CA), który chce, żeby jego certyfikaty były uznawane za zaufane w systemach Microsoftu, musi spełnić szereg wymogów. Jednym z podstawowych warunków jest pozytywne przejście audytu potwierdzającego działanie w zgodzie z najlepszymi praktykami bezpieczeństwa. Dla komercyjnych CA, Microsoft wymaga zgodności ze standardami WebTrust lub…
Trafiony, zatopiony – SSLv2 i atak DROWN
Jeżeli jeszcze gdzieś wykorzystywany jest protokół SSL w wersji 2 to najnowsze odkrycie grupy badaczy powinno zachęcić do całkowitego porzucenia tej, już ponad 20-letniej, wersji protokołu SSL. Mowa o ataku DROWN, czyli Decrypting RSA with Obsolete and Weakened eNcryption pozwalającym na deszyfrowanie połączeń TLS. Na atak podatne są serwery korzystające…
HTTP w Chrome będzie oznaczany jako niebezpieczny
Pomysł, żeby w przeglądarce Chrome, strony które udostępniają swoje treści za pomocą nieszyfrowanego protokołu HTTP oznaczane były jako niebezpieczne zrodził się już pod koniec 2014 roku. Mimo to, przez kolejne miesiące nie wprowadzono żadnych zmian w tym zakresie, które byłyby widoczne dla użytkowników. Najnowsze doniesienia pozwalają jednak sądzić, że może się…
Nowy panel bezpieczeństwa w DevTools Chrome
DevTools będące częścią przeglądarki Chrome zna pewnie wielu z Was. Jak podpowiada jego nazwa jest to zbiór narzędzi przydatny np. w pracy programisty, testera czy administratora IT. Wraz z nową wersją (48) przeglądarki Chrome otrzymaliśmy nowy – będący częścią DevTools – panel bezpieczeństwa (security panel). W nowej wersji tego panelu…
Microsoft porządkuje magazyn zaufanych certyfikatów głównych
Aż 20 certyfikatów należących do 12 Urzędów Certyfikacji zostanie usuniętych z zaufanego magazynu certyfikatów głównych Microsoftu. Powody dla których podjęto takie kroki to głównie niespełnienie stawianych wymagań lub po prostu dobrowolne zaprzestanie działania danej organizacji w tym sektorze. Pełną listę certyfikatów, które zostaną usunięte już w styczniu 2016, znajdziecie tutaj.…
Mapa poziomu bezpieczeństwa konfiguracji TLS
A na mapie lokalizacja serwerów wraz z wynikami jakie osiągnąły one w teście sprawdzającym poziom bezpieczeństwa konfiguracji SSL/TLS. Mapa jest aktualizowana na bieżąco. Sam test można wykonać tutaj, a ocena wystawiana jest na podstawie reguł opisanych tutaj.
Firefox ze wsparciem dla OCSP Must-Staple
Jak informuje Mozilla nowy mechanizm zostanie dodany do 45 wersji Firefoksa, której wydanie planowane jest w marcu 2016 roku. O tym czym jest OCSP Must-Staple mogliście przeczytać w jednym z artykułów na Kryptosferze :-)
Wcześniejsze blokowanie certyfikatów SSL SHA-1 przez Microsoft?
Wiele na to wskazuje. Pod tym adresem znajdziecie dzisiejszy wpis, w którym to Microsoft oficjalnie informuje, że rozważa blokowanie certyfikatów TLS (SSL) wygenerowanych w oparciu o funkcję skrótu SHA-1 sześć miesięcy wcześniej niż początkowo zapowiadał. Oznaczałoby to, że certyfikaty TLS SHA-1 przestaną być akceptowane przez Windowsa od 1 czerwca 2016 roku.…
O unieważnianiu certyfikatów słów kilka
Możliwość unieważniania certyfikatów cyfrowych jest jedną z kluczowych właściwości mających wpływ na bezpieczeństwo Infrastruktury Klucza Publicznego (ang. Public Key Infrastructure). W pracy zatytułowanej An End-to-End Measurement of Certificate Revocation in the Web’s PKI przedstawiono jak obecnie, w praktyce, funkcjonują mechanizmy unieważnień.
Ile kosztuje spóźnienie się z odnowieniem certyfikatu?
Zapomniałeś odnowić certyfikat SSL kluczowego dla Twojej firmy serwisu? Twoje gapiostwo może narazić organizację w której pracujesz na spore straty finansowe.
Odświeżony podgląd certyfikatów SSL w Firefoksie 41
Ci z Was, którzy mają nawyk sprawdzania szczegółów certyfikatu SSL danej strony już pewnie zauważyli, że w najnowszej wersji przeglądarki Firefox oznaczonej numerem 41 zmieniono nieco interfejs podglądu certyfikatu SSL. Tak było jeszcze w Firefoxie 40: A tak wygląda to w Firefoksie 41: I dopiero po przejściu dalej (przycisk strzałki)…
Bezpieczeństwo OpenSSL na przestrzeni ostatniego roku
Przegląd podatności OpenSSL z ostatnich dwunastu miesięcy, a wśród nich te opisywanie na Kryptosferze FREAK i Alternative chains certificate forgery.
W Edge nie podejrzysz certyfikatu SSL
Potwierdziły się obawy o to, że nowa przeglądarka Microsoftu nie daje użytkownikom możliwości podglądu certyfikatu SSL strony, którą przeglądają. Twórcy są świadomi tej niedoróbki, ale na ten moment nie podają terminu jej naprawy. PS. Obecnie nie mam możliwości sprawdzenia osobiście jak to wygląda aktualnej wersji Edge, więc jeżeli któryś z…