Clik here to view.
微軟預定在 2017 年的西洋情人節淘汰 SHA-1 certificate
經過多次改動後，微軟這次宣佈 SHA-1 certificate 將在明年淘汰：「SHA-1 deprecation countdown」。 影響的範圍包括 Internet Explorer 11 與 Microsoft Edge，在 2017 年 2 月 14 日之後不信任 SHA-1 certificate： Starting on February 14th, 2017,...
View ArticleClik here to view.
下一個版本的 Chrome (56) 將會對要求卡號或是密碼的 HTTP 站台標示「Not Secure」
如同之前在「Google Chrome 56 將會對 HTTP 網站標示「Not secure」」提到的規劃，Google Chrome 56 (也就是下一個版本) 將會對要求卡號或是密碼的站台標示「Not Secure」：「Chrome 56 Beta: “Not Secure” warning, Web Bluetooth, and CSS position: sticky」。 比較九月的...
View ArticleClik here to view.
Etsy 如何用 Let's Encrypt 的 SSL certificate 做生意...
Etsy 的「How Etsy Manages HTTPS and SSL Certificates for Custom Domains on Pattern」這篇文章講了如何用 Let's Encrypt 實作 Custom Domain。 主要是因為 Let's Encrypt 在設計時就考慮到的 auto-renew 機制，可以全自動處理後續的動作。這使得接 Let's Encrypt...
View Articledehydrated 0.4.0 的新要求
dehydrated 出 0.4.0 了，剛剛把 PPA for dehydrated 更新了，已經安裝過的使用者可以直接升級使用。 這次主要的改變在於建立帳號時必須先同意 Let's Encrypt 的使用條款： dehydrated now asks you to read and accept the CAs terms of service before creating an...
View ArticlePlurk 的 API 將在五月強制走 HTTPS
Plurk 的 API 之前一直都是走 HTTP，現在總算是要改 HTTPS 了，出自這邊： 有在用噗浪 API 開發程式的噗友們請注意～Plurk API 將於5月1日之後全面強制改用 HTTPS 更安全的通訊協定。如果您在這之後仍使用 HTTP 來呼叫 API，將會被 301 Moved Permanently 重導到 HTTPS...
View ArticleFirefox 下一個版本 (52) 將預設關閉 SHA-1 支援
順著 SHA-1 正式被打穿，Mozilla 也正式宣佈從下一個版本的 Firefox 將完全關閉 SHA-1 支援 (看敘述應該還是可以透過 about:config 開)：「The end of SHA-1 on the Public Web」。 As announced last fall, we’ve been disabling SHA-1 for increasing numbers...
View ArticleCloudbleed：Cloudflare 這次的安全問題
Cloudflare 把完整的時間軸與影響範圍都列出來了：「Incident report on memory leak caused by Cloudflare parser bug」。 出自於 2/18 時 Google 的 Tavis Ormandy 直接在 Twitter 上找 Cloudflare 的人： Could someone from cloudflare security...
View ArticleGitHub 決定在 2018/02/01 停用不安全的 HTTPS/SSH 演算法
在「Discontinue support for weak cryptographic standards」這邊訂了日期，2018/02/01 將會關閉： HTTPS 的 TLSv1 與 TLSv1.1 SSH 的 diffie-hellman-group1-sha1 SSH 的 diffie-hellman-group14-sha1 看起來最苦的應該是 Android 4.3...
View ArticleEdgeCast 總算記得要推出 HTTP/2 了...
每次看到 EdgeCast 的業務都會抱怨一下，總算正式公佈了... EdgeCast 的 HTTP/2 預定在 2017/03/31 全面上線：「HTTP/2 Coming Soon to Our Customers with SSL Certificates!」。 由於是逐步上線，有些網站會在 3/31 前就生效 (像是 EdgeCast 的官網)： The rollout of HTTP/2...
View Article檢查瀏覽器是否阻擋不安全的 SSL 連線
在這邊看到可以測試瀏覽器的 SSL 連線，網站在 https://badssl.com/dashboard/ 這邊： OOO, Chrome just added a dashboard to quickly test out whether your network connection's being ruined by inspection: https://t.co/1iVkGnat7A...
View ArticleHeroku 支援自動化 Let's Encrypt 了
本來 Heroku 提供的 SSL certificate 是要收費的，現在則是提供 Let's Encrypt 的免費版本，而且提供自動更新 (不過必須是收費的 Dynos)：「Announcing Free and Automated SSL Certs For All Paid Dynos」。 Heroku has always made it easy to add SSL...
View Article未來 SSL Certificate 的最大有效時間將降到 825 天
CA/Browser Forum 通過了這項提案，將 SSL Certificate 的最大有效時間降到 825 天 (大約 27 個月)：「Ballot 193 - 825-day Certificate Lifetimes」。 所以將會從本來的 39 個月降到 27 個月左右，所以現在買得到最長的 certificate 會有 3 年，以後會有 2 年： Recent Ballot 185...
View Article未來 CA 將會強制要求檢查 DNS CAA record
CA/Browser 通過提案，要求以後 CA 單位都要檢查 DNS CAA record 才能發放憑證 (RFC 6844 的「DNS Certification Authority Authorization (CAA) Resource Record」)：「Ballot 187 - Make CAA Checking Mandatory」。 Certificate Authority...
View ArticleClik here to view.
利用 Side-channel 資訊判斷被 HTTPS 保護的 Netflix 影片資訊
在「Netflix found to leak information on HTTPS-protected videos」這篇看到了研究員透過 VBR 所透露出的 side channel 資訊，成功的取得了被 HTTPS 保護的 Netflix 影片資訊。這對於美國的 ISP 是個大利多 (加上之前通過的法案)，但對於個人隱私則是嚴重的打擊。 這項研究的準確率非常高： To support...
View ArticleClik here to view.
Netflix 的 BetterTLS，推廣 CA 的 Name Constraints
Netflix 因為想用 Name Constraints，所以決定自己跳出來推廣了：「BetterTLS - A Name Constraints test suite for HTTPS clients」。 就是在 CA 上可以綁定條件，只允許哪些 domain 可以被發放： 網站在「BetterTLS: Name Constraints」這邊可以看。
View ArticleClik here to view.
Cloudflare 推出 SSL 的 SaaS 服務
Cloudflare 把之前需要人力介入的操作，包成 API 直接提供給大家用：「Introducing SSL for SaaS」。 要解決的是「用戶自己的 domain 掛到我的服務上，而且需要 HTTPS」，而 Cloudflare 提供 API 把上面三部跑完，下面的就是 Cloudflare 自己處理 (包括取得用戶的同意)：
View ArticleClik here to view.
在 F5 設備上使用 Let's Encrypt 憑證
找資料的時候翻到 F5 官方有給一篇導引，介紹如何自動化 Let's Encrypt 的憑證：「Lightboard Lessons: Automating SSL on BIG-IP with Let's Encrypt!」。 在 F5 的 GitHub 上也有一包「f5devcentral/lets-encrypt-python」可以看看。 還沒仔細看 &...
View ArticleOpenSSL 1.1.1 將支援 TLS 1.3
OpenSSL 的文章「Using TLS1.3 With OpenSSL」提到了： The forthcoming OpenSSL 1.1.1 release will include support for TLSv1.3. 另外也提到了 TLS 1.3 的標準是 blocker，在 TLS 1.3 沒出來前不會出 OpenSSL 1.1.1： OpenSSL 1.1.1 will not...
View ArticleIE 與 Edge 推出更新，阻擋 SHA-1 憑證
微軟這幾天推出更新，IE 與 Edge 將不會接受 SHA-1 憑證：「Microsoft Makes it Official, Cuts off SHA-1 Support in IE, Edge」。微軟的公告則是在「Deprecation of SHA-1 for SSL/TLS Certificates in Microsoft Edge and Internet Explorer...
View ArticleClik here to view.
StackOverflow 預設全上 HTTPS 了...
用 HTTPS Everywhere 沒什麼感覺，但對於一般人應該不簡單，所以 Nick Craver (根本就是他們家非正式的 PR Engineer XDD 他這幾年寫了不少內部的資訊...) 寫了一篇關於上 HTTPS 的故事：「HTTPS on Stack Overflow: The End of a Long Road」。 其中他們為了支援舊設備 (沒有支援 SNI 的)，決定直接把所有...
View Article
![[Billion Meta Lab] 反转·血色百合 Omagoto...](http://pic.microseventh.eu.org/i/2026/01/09/69611dafa7f9f.png)
