Yahoo在中国大陆疑似遭到SSL中间人攻击

 网络学院  没有评论 »
10 月 012014
 

陈少举 写道 “去年一月份，GitHub遭受到的国家级的SSL中间人攻击，在今年八月份，教育网的Google IPv6访问也遭受到了同样的SSL中间人攻击。而在今天，Yahoo也遭受到了SSL中间人攻击。今天(2014-09-30)下午四点左右，GreatFireChina观察到Yahoo在中国大陆遭受到了SSL中间人攻击，浏览器发出了证书错误的警告。

 

可能由于流量过大导致SSL劫持设备资源消耗过于厉害，一些地区间歇性无法通过HTTPS访问Yahoo。在使用其他地区的VPS进行访问后，通过分析伪造的SSL证书，与之前Google IPv6所遭受的SSL攻击所使用的证书有多处相似：使用相同的签名算法和签名哈希算法、颁发者均以 C=cn 结尾，有效期均为一年，公钥均为RSA 1024 Bits，并且 Netscape Comment 同为“example comment extension”。

而根据抓包结果，在遭受SSL中间人攻击时，使用的是TLSv1协议，但是未被SSL中间人攻击的情况下，应为TLSv1.2，这一点也和Google在教育网的IPv6地址遭受SSL中间人攻击的现象一致。

截至到目前，此次SSL中间人攻击仅影响各个国家的Yahoo主站，并未影响到包括登录（login.yahoo.com）、邮箱（mail.yahoo.com）等网址。”

CloudFlare宣布向所有客户提供免费的SSL支持

 网络学院  没有评论 »
10 月 012014
 

提供CDN、防DDos攻击等云计算服务的CloudFlare宣布向包括免费用户在内的所有客户提供免费SSL支持。CloudFlare将为大约200万不受保护的网站加入SSL支持，以前SSL支持只提供给每月至少支付20美元的客户。浏览器先连接到CloudFlare的服务器接收CloudFlare提供的证书，然后CloudFlare连接目标网站服务器获取内容，它充当了某种反向代理的功能。这项被称为Universal SSL的服务对免费用户有限制，CloudFlare只支持扩展支持Server Name Indication(SNI)协议的现代浏览器，这意味着它不支持IE6及之前版本、运行Android 2.2或更旧版本的Android浏览器。

腾讯WebQQ年底停用

 网络学院  没有评论 »
10 月 012014
 

腾讯WebQQ的官网web.qq.com发布公告，宣布将在年底关闭。webqq一旦停用，那么基于webqq协议的库(如lwqq)和软件(如pidgin-lwqq)很可能也随之不能用。这意味着Linux用户再也无法在电脑上使用任何形式的QQ服务。webqq网站已经很长时间没有维护，目前页面源代码中依然有2013年9月份左右加入的”前端特工”的广告。

Bash shell发现严重安全漏洞

 Linux/Unix相关  没有评论 »
9 月 252014
 

Unix和Linux操作系统广泛使用的GNU Bourne Again Shell(Bash)发现了一个允许远程执行代码的严重安全漏洞。该漏洞是Stephane Schazelas发 现的，与Bash处理来自操作系统或调用Bash脚本的应用程序的环境变量有关。如果Bash是默认的系统shell，网络攻击者可以通过发送Web请 求、secure shell、telnet会话或其它使用Bash执行脚本的程序攻击服务器和其它Unix和Linux设备。

该漏洞在影响范围上与Heartbleed漏 洞相当，在危险程度上也许没有Heartbleed高。漏洞影响GNU Bash v1.14到v4.3，主要Linux发行版如Red Hat Enterprise Linux (v4到7)、Fedora、CentOS、Ubuntu和Debian都已经发布了补丁。

但补丁尚未完全修复问题。你可以输入命令env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”测试你的系统是否存在漏洞，如果存在漏洞会返回“vulnerable this is a test”。

TrueCrypt获得新生和新的名字

 网络学院  没有评论 »
9 月 202014
 

流行加密工具TrueCrypt背后的匿名开发者在今年早些时候突然宣布项目终止开发，并警告使用TrueCrypt不安全，软件可能包含未修正的安全问题。

TrueCrypt作者自己写的开源许可证对fork有很多限制，而TrueCrypt的一位开发者认为在参考TrueCrypt源代码的情况下重写并不需要太多工作。现在，一群开发者宣布fork终止已经开发的TrueCrypt，创建CipherShed项目，将在标准的开源许可证下公开源代码。

Nginx 1.61+php5-fpm不能解析php

 Nginx  没有评论 »
9 月 152014
 

最近将Nginx从1.60升级到1.61，然后发现php不能解析了。
切换回Apache，工作正常，说明不是php5-fpm的问题，而确实是nginx出问题了。

生产环境，若要稳定，还是apache比较好，很多年了从来没有出现类似的问题。
但是nginx的性能是有目共睹的。

回到正题，google了一下，解决办法如下： Continue reading »

Mozilla终止支持1024位CA证书

 网络学院  没有评论 »
9 月 092014
 

随着Firefox 32的发布，Mozilla正式终止支持1024位CA证书。早在2011年美国国家标准技术研究所就建议企业升级到2048位或更长的密钥，尽管当时因式分解和破解1024位长的RSA密钥仍然需要大量的计算资源。除了Firefox外，Mozilla的邮件客户端Thunderbird也停止了对1024位密钥的支持。

有多少网站会受到影响？Rapid7的Project Sonar扫描了6500万证书，索引了约2000万网站，大约有107,535个网站的证书将会不被信任，但其中76,185个网站使用的证书已经过期了，任何浏览器都会发出警告。

OpenSSH 6.7将支持Socket转发

 Linux/Unix相关  没有评论 »
9 月 092014
 

OpenSSH 6.7接近发布，开发者Damien Miller在邮件列表上呼吁用户测试最新的快照。OpenSSH 6.7是一个大更新版本，加入了许多新特性，其中一个重要特性是Unix domain socket转发。

该功能允许本地机器上的 一个Unix domain socket转发到一个远程TCP端口，或者一个远程 TCP端口转发到一个Unix domain socket——使用Socket转发的相同语法。

举例来说，一个远程PostgreSQL数据库实例可通过SSH转发到本地机器上的一个Unix domain socket。

 下一页  上一页