互联网协议正在发生变化

 网络学院  没有评论 »
12月 142017
 

我们所熟悉的互联网过去主要使用 IPv4 协议路由包，TCP 协议连接，SSL/TLS 加密连接，DNS 查询主机和 HTTP 应用协议。IETF 的 HTTP 和 QUIC 工作组联席主席 Mark Nottingham 称，常用的互联网协议过去几年正在发生改变：
HTTP/2 的多路复用允许一个 TCP 连接发送许多个请求，它使用 TLS/1.2 加密，屏蔽了被认为不安全的加密算法。TLS 1.3 已经到达标准化的最后阶段，不要被它的递增名字迷惑，它实际上是全新版本的 TLS，修改了握手，利用动态改变的密钥交换，排除了静态密钥交换，这一设计引发了网络运营商和供应商的担忧，因为他们无法拦截和查看加密流量了，TLS 1.3 不支持拦截流量的技术。TCP 是按次序的传递协议，一个包丢失会影响后续包的传递，QUIC 协议尝试解决这个问题，它由 Google 开发，现已交给 IETF，预计将于 2018 年标准化，Google 已经在其 Chrome 浏览器和网站上部署了 QUIC。QUIC 最初作为一个 HTTP-over-UDP 用例，此外还要求加密，没有不加密的 QUIC，它使用 TLS 1.3 建立会话密钥，因为是基于 UDP，TCP 连接中暴露的会话信息和元数据在 QUIC 中都加密了。另一个新协议是 DOH， DNS over HTTP。

HTTP/2没有强制要求TLS

 网络学院  没有评论 »
3月 092015
 

HTTP/2规格已经制定完成，即将成为正式标准。在规格中，HTTP/2协议没有强制要求使用TLS，主要原因是许多机构都想要检查HTTP流量，或网络环境需要缓存，或认为TLS会增加额外的负担，以及认为安全证书太昂贵，等等。
虽然规格没有强迫使用TLS实现HTTP/2支持，目前浏览器开发商在实现HTTP/2支持时都是经过TLS， Firefox 和Chrome开发团队的成员明确表示他们只实现使用TLS的HTTP/2，而IE的团队成员一开始表示他们不使用TLS，但Windows 10技术预览版上第一个支持HTTP/2的测试版本也是只使用TLS。

SSL/TLS部署最佳实践

 网络学院  没有评论 »
12月 032014
 

Shawn the R0ck 写道”SSL/TLS在过去的多年当中都在安全领域扮演者重要的角色，多年来也受到了公众的忽视，当一系列的事件发生后，从BEAST/CRIME到Lucky-13和heartbleed，另外一方面Snowden哥哥的故事也让整个世界增添了一些色彩，之后我们终于相信了EFF在2011年就已经强调的TLS v1.2的重要性…回到系统管理员和信息安全从业人员面对的日常问题之一：如何使用加密手段保护你的网站。Qualys的SSL Labs在2013年为社区提供了一份手册《SSL/TLS部署最佳实践》（原文链接），参考这份文档或许会省掉你一些时间。”

检测中间人攻击

 网络学院  没有评论 »
3月 032013
 

今天在邮件列表里看到 John Nagle （就是发明 TCP Nagle 算法的 那个 John Nagle）提到希望 OpenSSL 提供一些帮助自动检测中间人攻击的 方法。 简单地说，因为中间人攻击会改变双方看到的加密流（密钥变了），因此，如果上层协议包含了加密流的某些特征，攻击者想要实施中间人攻击的成本就会大大增加。

他同时举了一个例子，一种早期的加密电话会在话机上显示从密文开始的部分计算的两位数字，而通话双方则通过通话来确认数字相同，这样，中间人攻击的实 施者就必须解析语音并替换掉相关的字词来避免被发现。 Continue reading »

OpenVPN Security Overview

 网络学院  没有评论 »
12月 042012
 

OpenVPN cryptographic layer
This is a technical overview of OpenVPN’s cryptographic layer, and assumes a prior understanding of modern cryptographic concepts. For additional discussion on OpenVPN security, see this FAQ item.
OpenVPN has two authentication modes:

  • Static Key — Use a pre-shared static key
  • TLS — Use SSL/TLS + certificates for authentication and key exchange

    • In static key mode, a pre-shared key is generated and shared between both OpenVPN peers before the tunnel is started.
    Continue reading »