Jeszcze niedawno wydawało się, że pamiętną akcję pod kryptonimem WoSign-StartCom ciężko będzie przebić, przynajmniej w perspektywie kilku najbliższych lat. Okazuje się jednak, że za chwilę możemy mieć do czynienia z jeszcze większą operacją o roboczej nazwie Symantec 30 000.
Prawie 9000 certyfikatów SSL unieważnionych po odkryciu błędu w weryfikacji domen
Właściwa weryfikacja dostępu do domeny jest głównym zadaniem urzędów certyfikacji podczas wydawania certyfikatów SSL. Niestety, w ostatnich dniach po raz kolejny mogliśmy przeczytać o błędzie, którego konsekwencją było unieważnienie prawie 9000 certyfikatów.
Słabości w weryfikacji certyfikatów w popularnych językach programowania [Aktualizacja]
Niepochlebne wyniki testów jakości implementacji weryfikacji certyfikatów TLS w PHP, Pythonie i Go. Skrypty wykorzystanie w badaniu znajdziecie tutaj. [Aktualizacja 05.04.2016] Odpowiedź na artykuł wyjaśniająca kwestie dotyczące biblioteki Requests (Python).
Trywialny błąd pozwalał na nieuprawione pozyskanie certyfikatu SSL [Aktualizacja]
Niepoprawna walidacja danych wejściowych w formularzu urzędu certyfikacji StartSSL umożliwiała pozyskanie certyfikatu SSL typu Domain Validation dla domeny nad którą w rzeczywistości nie mieliśmy kontroli. Niewłaściwe sprawdzanie danych dotyczyło adresów email (możliwa była jego podmiana) na które wysyłane są kody autoryzacyjne pozwalające na potwierdzenie dostępu do danej domeny. Podatność została…
Błąd w weryfikacji dostępu do domeny mógł doprowadzić do nieuprawnionego pozyskania certyfikatu TLS
Właściwa weryfikacja dostępu do domeny jest jednym z podstawowych czynników pozwalających na zachowanie bezpieczeństwa oferowanego przez publiczne certyfikaty TLS. Jednak jak w każdym oprogramowaniu, także w aplikacjach urzędów certyfikacji zdarzają się błędy.
Online Certificate Status Protocol – część 4
Czwarty z serii postów dotyczących Online Certificate Status Protocol (OCSP), tak jak obiecałem, dotyczył będzie dwóch mechanizmów bezpośrednio z nim związanych: OCSP Stapling oraz OCSP Must-Staple. Zapraszam do lektury.
OneCRL w Firefoxie
Zgodnie z informacją przekazaną przez Mozillę kolejna wersja przeglądarki Firefox wykorzystywała będzie nowy mechanizm pozwalający na sprawdzenie czy certyfikat nie został unieważniony. Nie jest to jednak całkowita rewolucja, ponieważ zmiany dotyczą jedynie certyfikatów pośrednich.
Online Certificate Status Protocol – część 3
W kolejnej, trzeciej już, części wpisów dotyczących OCSP znajdziecie m.in. porównanie weryfikacji statusu certyfikatu za pomocą OCSP i CRL. Przedstawię także kilka ciekawych kwestii związanych z zasadami funkcjonowania protokołu weryfikacji certyfikatów w trybie online.
Online Certificate Status Protocol – część 2
W pierwszej części przedstawiłem ogólną zasadę działania protokołu OCSP. W tej skupię się na strukturze żądania i odpowiedzi OCSP.
Online Certificate Status Protocol – część 1
Online Certificate Status Protocol jest protokołem pozwalającym na sprawdzenie statusu certyfikatu. Ten wpis jest pierwszą z kilku części, w których postaram się przybliżyć zasadę jego działania.