Mike Belshe「SPDYの圧縮方式と攻撃ツールCRIMEの件」 - 以下斜め読んだ内容
2012.9.14 ietf-http-wgへのポスト SPDY compression and CRIME attack from Mike Belshe on 2012-09-14 (ietf-http-wg@w3.org from July to September 2012) 2011年にSSL/TSLの脆弱性を突いた攻撃ツールをリリースしたJuliano RizzoとThai Duongのコンビ セッションハイジャックツールBEAST TLS1.0/SSL3.0で採用されてるAESを使ったcipher suiteの脆弱性を突く BEASTリリースの反響。TLS1.2へのアップグレード。cipher suiteはRC4へ移行、などなど RizzoとDuongのコンビが新作ツールCRIMEをリリース Buenos Aires開催予定のEkoparty security confere
InfoQ: HTTPSコネクションの最初の数ミリ秒
ほとんどの人がHTTPSとSSL (Secure Sockets Layer) を結びつけて考えます。SSLは1990年代半ばにNetscape社が開発した仕組みですが、今ではこの事実はあまり正確でないかもしれません。Netscape社が市場のシェアを失うにしたがって、SSLのメンテナンスはインターネット技術タスクフォース(IETF)へ移管されました。Netscape社から移管されて以降の初めてバージョンはTransport Layer Security (TLS)1.0と名付けられ、1999年1月にリリースされました。TLSが使われだして10年も経っているので、純粋な"SSL"のトラフィックを見ることはほとんどありません。 Client Hello TLSはすべてのトラフィックを異なるタイプの"レコード"で包みます。ブラウザが出す先頭のバイト値は16進数表記で0x16 = 22。 これは
Notice to all StartCom subscribers
StartCom CA is closed since Jan. 1st, 2018, it doesn't issue any new certificate from StartCom name roots. If you want to buy trusted SSL certificate and code signing certificate, please visit https://store.wotrus.com. If you want to apply free email certificate, please visit https://www.mesign.com to download MeSign APP to get free email certificate automatically and send encrypted email automati
高木浩光＠自宅の日記 - EV SSLを緑色だというだけで信用してはいけない実例
■ EV SSLを緑色だというだけで信用してはいけない実例 EV SSLに関して以前から懸念されていたことが既に現実になっていた。一時期、EV証明書を発行する一部のCA事業者が、EV SSLの宣伝で「緑色になったら安全」などといいかげんな広告を打っていて、誤った理解が広まりかねないと心配されていたわけだが、「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念だった。 そして、その実例が既に存在していたことに気付いた。図1は私が作ったWebページである。 アドレスバーは緑色になっているが、ここに入力されたデータは私宛にメールで送信*1されてくる。（このページは既に閉鎖している。） 悪意ある者がこうしたページを作成*2し、何らかの方法でこのページに人々を誘導*3すれば、フィッシングの被害が出るおそれがある。
高木浩光＠自宅の日記 - 地域型ドメイン名は廃止してはどうか
■ Firefox 3.5でSSLの確認方法が「緑なら会社名」「青ならドメイン名」と単純化される 今年中には正式版がリリースされると目されているFirefox 3.5だが、現時点でリリースされている3.5b4のベータバージョンで確認したところ、browser.identity.ssl_domain_display の初期設定値が「1」となるようだ。つまり、たとえば、楽天のログイン画面に移行すると、アドレスバー*1が図1のようになる。 これにより、パスワードやクレジットカード番号などを入力する前に、今訪れているサイトが本物であるかどうかを、アドレスバーに表示されるドメイン名で確認できるようになる。 この機能はFirefox 3.0でも実装されていたが、初期設定ではオフにされていた。従来は図2のように、青くなるだけでドメイン名は表示されず、クリックしてドメイン名を確認する必要があった（URL中
Firefox 3のSSL対応方針、どう思う？ | スラド セキュリティ
本家記事で、Firefox 3のSSL対応方針や認証や暗号化のあり方について議論が起こっている。 Firefox 3では、自己署名されたSSL証明書や承認されていないベンダー（新興のものや非営利のベンダーなど）によって署名されたSSL証明書を使用しているサイトに接続しようとすると、警告が発せられる。この警告が発せられない状態にするには、サイトはFirefox認証のベンダーに有料の証明書を発行してもらう必要がある。 本家タレコミ人のChandon Seldon氏は、「この仕様があるがためにSSL証明書にお金をかけざるを得ないサイトが発生したり、SSL認証無しへの変更を強いられるサイトもあるだろう」と自身のブログに綴っている。氏は、「自己署名SSLのサイトがEV SSLと同じ扱いをされるべきとまでは言わないが、だからといって全く暗号化されていないサイトへの接続時よりも『安全でない』といった印象
EV SSLでアドレスバー変色機能を正しく活用するには？－日本ベリサインが説明
日本ベリサイン株式会社は4月12日、フィッシング詐欺などのオンライン犯罪対策として期待される「Extended Validation（EV） SSL証明書」について説明会を開催。米Verisign、プロダクトマーケティングディレクタのTim Callan氏から、EV SSL証明書に関する取り組みや技術的な仕組みなどが説明された。 同氏はまず、昨今のインターネットを取り巻く環境を説明。1年前には4000カ所ほどだったフィッシングサイトがこの1年間で3万7000カ所にまで増加している点を指摘。その上で、数千人のインターネットユーザーに対して行った調査において、90％の人が正規のWebサイトとフィッシングサイトを見分けられなかったことに触れた。 そうした問題を抱える時代の要請に応えるようにして現れたのがEV SSL証明書。2007年に行われた調査では、Webブラウザのアドレスバーが緑色に変色して
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DigiNotar偽SSL証明書事件、「twitter.com」などにも拡大、全貌は未だ不明