【專(zhuān)家坐堂】全站 HTTPS——如何規(guī)劃、部署、優(yōu)化？（獲獎(jiǎng)名單已公布）

devil3380

沃通  呵呵. 現(xiàn)在chrome和firefox都對(duì)其采取不信任的措施,還不是自己找的
收購(gòu)了StartCom,還把StartCom給搞臭了
看https://wiki.mozilla.org/CA:WoSign_Issues里面介紹的這樣,還有誰(shuí)會(huì)去用
問(wèn)題1
      沃通 CA 允許證書(shū)申請(qǐng)者選擇任意端口進(jìn)行驗(yàn)證，違反了限制端口和路徑使用的規(guī)定；
問(wèn)題2
　　證書(shū)申請(qǐng)者如果能證明控制了某個(gè)子域名，那么就能獲得根域名的證書(shū)；
　　已經(jīng)研究人員利用沃通的這個(gè)失誤，獲得了一張沃通簽發(fā)的【GitHub 網(wǎng)站主域名的證書(shū)】。
問(wèn)題3
　　被沃通并購(gòu)的 StartCom（也是一家 CA），被發(fā)現(xiàn)允許對(duì)證書(shū)的簽署日期進(jìn)行【倒填】。關(guān)于這個(gè)“倒填日期”的問(wèn)題，俺稍微解釋一下：
　　由于如今的運(yùn)算能力越來(lái)越強(qiáng)，SHA1 散列算法的可靠性越來(lái)越不夠了。一些主流的瀏覽器，如果發(fā)現(xiàn)2016元旦之后簽署的 CA 證書(shū)，依然采用 SHA1，會(huì)給出警告。
　　沃通的問(wèn)題在于，它為了幫證書(shū)申請(qǐng)人規(guī)避瀏覽器警告，故意把簽署日期偽造成2015年底。

問(wèn)題4
　　除了英國(guó)程序員曝光的那3個(gè)問(wèn)題，再來(lái)說(shuō)一下其他人曝光的問(wèn)題——
　　沃通在2015年4月9日到4月14日之間，簽發(fā)了392個(gè)【相同序列號(hào)】的證書(shū)。

最近在zhe

Godbach

回復(fù) 20# devil3380
漲姿勢(shì)啊

forgaoqiang

回復(fù) 21# devil3380

火狐不再信任沃通的證書(shū)，的確部分證書(shū)因?yàn)榘踩�和時(shí)間問(wèn)題暫時(shí)停止信任了 絕對(duì)是作

Godbach

回復(fù) 23# forgaoqiang 對(duì)的。這么好的資源不好好維護(hù)，真是作。

Godbach

@InfoHunter

對(duì)于中間人攻擊，可以簡(jiǎn)單介紹一下。通常只要 server 私鑰不泄露，證書(shū)應(yīng)該是被偽造的吧，作為 client，只要及時(shí)識(shí)別出來(lái)證書(shū)有問(wèn)題，應(yīng)該就不會(huì)被欺騙吧。

forgaoqiang

Godbach 發(fā)表于 2016-12-05 13:26
@InfoHunter

對(duì)于中間人攻擊，可以簡(jiǎn)單介紹一下。通常只要 server 私鑰不泄露，證書(shū)應(yīng)該是 ...

中間人攻擊不太可能成功吧
首先你得有一個(gè)用戶(hù)瀏覽器信任根證書(shū)簽名的證書(shū)吧 這個(gè)怎么弄到手呢？ 正規(guī)的CA不會(huì)給你簽發(fā)的吧 除非。。。

Godbach

回復(fù) 26# forgaoqiang

有些缺乏安全意識(shí)的用戶(hù)，可能會(huì)忽略瀏覽器的警告。

forgaoqiang

回復(fù) 27# Godbach
好吧 ( ⊙ o ⊙ )

只不過(guò)這些用戶(hù)和https就沒(méi)有關(guān)系了吧 怎么都會(huì)中招 。。。。

Fl_wolf

改造成HTTPS沒(méi)遇到什么坑，不過(guò)蘋(píng)果在17年1月要全線(xiàn)HTTPS不是的好像是會(huì)不能使用吧，我們這邊的游戲之前都用的是http的要全部改掉，登陸的改了但是升級(jí)的沒(méi)有改，導(dǎo)致游戲不能升級(jí)，升級(jí)的要在CDN上面也要加https的配置= = 。。

Godbach

回復(fù) 29# Fl_wolf

看來(lái)升級(jí)很順利，網(wǎng)頁(yè)內(nèi)容的資源引用啥的都不需要修改了？