第29回（2021/10/12）

[kdnakt]

プロフェッショナルSSL/TLS p.146〜を読みます

[kdnakt]

https://portswigger.net/daily-swig/firefox-93-lands-with-http-download-blocking-new-user-privacy-features

Firefox 93 (2021/10/05)での変更点

• HTTPSのページからHTTPのダウンロードをブロック
• サンドボックスiframeからのダウンロードもデフォルトではブロック
• トリプルDESアルゴリズムをデフォルトで無効化
• SmartBlock 3.0

mixed contentsへの対応が進んでいるのが見える

[kdnakt]

https://therecord.media/nsa-warns-of-alpaca-tls-attack-use-of-wildcard-tls-certificates/

ALPACA攻撃について（復習）

• ワイルドカード証明書については色々と危険性が指摘されている：特に複数サーバーでの利用について
• ALPACA攻撃：暗号化されたHTTPS通信をFTPなどの暗号化されていないプロトコルで返信する中間者攻撃、ワイルドカード証明書を利用している場合に特に問題になりやすい。
• 研究者らによれば、約12万台のWebサーバーがこの攻撃に脆弱である
• Chrome 93ではFTPで使われる989/990ポートをブロック

[kdnakt]

https://github.blog/2021-08-23-npm-registry-deprecating-tls-1-0-tls-1-1/

npmへの接続がTLS1.2以上になっていたらしい（2021/10/04〜

[kdnakt]

KEMTLSというのがあるらしい

https://scrapbox.io/layerx/KEMTLS:_%E7%BD%B2%E5%90%8D%E3%82%92%E9%8D%B5%E4%BA%A4%E6%8F%9B%E3%81%AB%E7%BD%AE%E3%81%8D%E6%8F%9B%E3%81%88%E3%81%9F%E9%87%8F%E5%AD%90%E8%80%90%E6%80%A7%E3%81%AE%E3%81%82%E3%82%8BTLS

TLS1.3の理解が必要なので、いったんパス...

[kdnakt]

https://twitter.com/herumi/status/1446343788423647232?s=21

技術評論社のGihyo Digital Publishing 10周年記念で1500円以上購入すると1000円キャッシュバックだそうです(年内)。
https://gihyo.jp/book/sp/gdp10th#campaign2

技術評論社から『図解即戦力 暗号と認証のしくみと理論がこれ1冊でしっかりわかる教科書』(長いので #暗認本 )が発売されます(電子版9/17, 紙版9/24)。https://gihyo.jp/book/2021/978-4-297-12307-9
公開鍵暗号や署名の基本からTLS 1.3やFIDOなどの解説、ブロックチェーンや秘密計算、ゼロ知識証明などの紹介もします。

[kdnakt]

scrapbox.ioの証明書がまさに2021/09/30で有効期限の切れたLet's EncryptのDST Root CA X3を使っているっぽい。
しかしChromeで普通にエラーなしに開けるのはもう一方のルート証明書が利用できてるからか？ならばなぜ証明書チェーンはエラーになるのだろう？

[kdnakt]

https://qiita.com/TTakakiyo/items/d0c932f4f5e5586cae06

WebSphereが使っている証明書についての昔話

[kdnakt]

p.150まで