Dość wyszukany, ale ciekawy przykład tego jak mechanizm cache’ujący certyfikaty pośrednie w Firefoksie może umożliwiać identyfikację jego użytkowników.
Certyfikaty SSL SHA-1 w 2017
Proces wycofywania certyfikatów SSL podpisanych przy użyciu funkcji skrótu SHA-1 zapoczątkowany został już w 2013 roku przez Microsoft. Już wtedy pojawiały się pierwsze informacje na temat możliwości wygenerowania kolizji tej funkcji skrótu, która w odniesieniu do certyfikatów SSL mogła prowadzić do ich podrabiania.
WoSign i StartCom bez zaufania Mozilli
Wczoraj na blogu twórców Firefoksa ogłoszono to, co od kilku tygodniu było niemal pewne. Dwa duże urzędy certyfikacji, chiński WoSign oraz izraelski StartCom utraciły zaufanie Mozilli. Każdy nowy certyfikat wydany przez te urzędy certyfikacji nie będzie traktowany jako zaufany w produktach Mozilli.
Firefox ze wsparciem dla OCSP Must-Staple
Jak informuje Mozilla nowy mechanizm zostanie dodany do 45 wersji Firefoksa, której wydanie planowane jest w marcu 2016 roku. O tym czym jest OCSP Must-Staple mogliście przeczytać w jednym z artykułów na Kryptosferze :-)
Mozilla zmienia identyfikatory SSL w Firefoksie
Do przedstawienia informacji o tym czy połączenie ze stroną, którą odwiedzamy jest zabezpieczone przy użyciu certyfikatów TLS (SSL), przeglądarki wykorzystują symbole graficzne. W ostatnim czasie niektóre z nich zabrały się za ich udoskonalanie.
Odświeżony podgląd certyfikatów SSL w Firefoksie 41
Ci z Was, którzy mają nawyk sprawdzania szczegółów certyfikatu SSL danej strony już pewnie zauważyli, że w najnowszej wersji przeglądarki Firefox oznaczonej numerem 41 zmieniono nieco interfejs podglądu certyfikatu SSL. Tak było jeszcze w Firefoxie 40: A tak wygląda to w Firefoksie 41: I dopiero po przejściu dalej (przycisk strzałki)…
Google, Microsoft i Mozilla wyłączą wsparcie dla RC4
Tej decyzji można było się spodziewać. Dzisiaj, wszystkie trzy firmy ogłosiły, że na początku przyszłego roku wyłączą wsparcie dla szyfru RC4 w swoich przeglądarkach.
Mozilla usuwa tureckie CA z zaufanego magazynu certyfikatów
Na początku mijającego tygodnia Mozilla zdecydowała o usunięciu ze swojego zaufanego magazynu certyfikatów, certyfikatu należącego do e-Guven, Urzędu Certyfikacji (CA) z Turcji.
Google i Mozilla przestają ufać chińskiemu urzędowi certyfikacji
Zgodnie z przypuszczeniami chiński urząd certyfikacji CNNIC nie uniknął poważnych konsekwencji zdarzenia sprzed kilkunastu dni, kiedy to – mimo, że nie powinien – wydał certyfikat pośredni jednej z egipskich firm.
OneCRL w Firefoxie
Zgodnie z informacją przekazaną przez Mozillę kolejna wersja przeglądarki Firefox wykorzystywała będzie nowy mechanizm pozwalający na sprawdzenie czy certyfikat nie został unieważniony. Nie jest to jednak całkowita rewolucja, ponieważ zmiany dotyczą jedynie certyfikatów pośrednich.
Zmiany w Firefoxie 36
Światło dzienne ujrzała dzisiaj kolejna wersja, oznaczona numerem 36, przeglądarki Firefox. Nowości i zmian jest sporo, ale my przyjrzyjmy się kilku tym, które dotyczą części związanej z jej bezpieczeństwem.
Porządki w magazynie certyfikatów Firefoxa
Mozilla rozpoczyna właśnie drugą fazę usuwania niektórych certyfikatów głównych (root) z zaufanego magazynu swojej przeglądarki. Przyjrzyjmy się temu dlaczego i które certyfikaty zostaną usunięte.
Certificate Transparency w Firefoxie
Mozilla ogłosiła, że zamierza w niedalekiej przyszłości wdrożyć w swojej przeglądarce mechanizm pozwalający na sprawdzenie czy certyfikat został wydany zgodnie z założeniami Certificate Transparency. Początkowo opcja ta ma nie być włączona domyślnie.
Firefox wyłącza wsparcie dla SSL 3.0
Wydana 1 grudnia przeglądarka Firefox w wersji 34 przynosi zapowiadaną wcześniej zmianę – wyłączenie domyślnego wsparcia dla protokołu SSL w wersji 3.0. Identyczną zmianę Mozilla wprowadziła w swoim kliencie pocztowym – Thunderbird, wersja 31.3.0. Podobne zmiany czekają nas również w najbliższej przyszłości w innych przeglądarkach.
Public Key Pinning w Firefoxie
Chociaż od premiery przeglądarki Firefox 32 – miała ona swoje miejsce na początku września – minęło już sporo czasu to warto wspomnieć o jednej istotnej implementacji tej wersji, która podnosi bezpieczeństwo jej użytkowników. Mowa o mechanizmie Public Key Pinning.