bisend

2016:HTTPS成主导——SSL行业年度回顾

2017-01-09 17:42 来源: SSL中国 编辑: effie 发表在 SSL, 新闻 我要评论

2016年是HTTPS取得统治地位的一年。在这重要的一年里,最显著的进展是,我们终于看到互联网正逐步将HTTPS视为默认选项。

过去一年中,数不清的网站和机构已默认使用这个安全的传输协议,其中包括WordPress.org、卫报、Wired、 SourceForge、Blogspot以及其他很多网站。根据Chrome和Mozilla的检测数据,10月份以TLS加密的通信量超过50%。但仍有大量的网站还未加密,很可能还需要很多年我们才能做到完全弃用HTTP。

我们也发现了很多引人注目的攻击:SLOTH、Sweet32和DROWN,这提醒我们老旧的、不安全的算法仍会产生威胁。Nonce Reuse攻击让人们意识到执行漏洞有多致命。而重新出现的HEIST/TIME攻击显示,在加密和压缩方面还存在一个未解决的问题。

在TLS安全方面,证书颁发机构仍是一个值得担忧的问题。沃通和StartCom的案例也在这方面提醒了我们。不过,感谢证书透明机制,现在证书方面的问题能更容易地被检测出来,而且从2017年10月开始,所有新的证书都被要求采用这一机制。

我们十分肯定,2017年最重要的话题将会是:TLS1.3将遍及互联网的各个角落,并能为加密连接带来更大的安全性和更佳的性能!

12月短新闻回顾:

  • 谷歌开发者Adam Langley提出,在TLS1.3中,对每个连接都应要求生成新的临时Diffie-Hellman密钥。重复使用临时密钥会使前向安全性失效,而且过去一直是安全漏洞的根源。Langley的这个建议与另一个建议相抵触,那个建议要求重复使用临时密钥,以便在机构内部对通信进行监视。该建议是对一个金融业游说机构的请求的回应,该游说机构希望能够通过静态密钥对线路上的通信进行解密。根据Langley的说法,“TLS不是被设计成可以由第三方来解密的——这是最根本的。”
  • 在第33届混沌通信大会(33C3)上进行一些关于TLS的讨论,这些讨论包括TLS1.3、证书透明机制和DROWN,以及基于证据的IT安全。
  • WordPress宣布他们将在2017年增加要求HTTPS的功能。他们还将建议主机托管服务提供商默认只提供HTTPS证书。
  • Adam Langley发布了谷歌关于一个基于Curve25519和New Hope的混合后量子密钥交换机制的试验结果。他还宣布谷歌将马上结束这个试验,Chrome浏览器未来的版本也将停止支持混合交换CECPQ1。
  • Thyla van der Mewe和Kenny Patterson发布了一项关于TLS标准化过程中的改变的分析,并得出结论,TLS工作团队采用了一种“分析先于部署”的设计哲学。
  • mitmAP是一个中间人访问点实现,可进行SSL Stripping攻击。
  • 谷歌发布Wycheproof项目,这是一个加密算法实现的分析框架。它可以测试已知一般漏洞的实现。目前,它主要关注Java实现。开发团队的领导者是密码学家Daniel Bleichenbacher,过去他发现过一些针对RSA实现的著名攻击。
  • 谷歌已启动了Daedalus,这是一个用来存储过期证书的证书透明日志,旨在解决过去大量提交到谷歌日志的旧证书造成的一些运行时间方面的问题。
  • Facebook已停止使用SHA-1证书。
  • 有两篇研究文章提出基于超奇异同源问题的后量子签名方案。
  • BearSSL开发者Thomas Pornin写了一篇关于恒定时间加密实现的说明。
  • SourceForge现在在其主机上提供程序帮助网站转向HTTPS。
  • mitmproxy是一个执行有TLS支持的中间人攻击的工具,它的1.0.0版本已发布。
  • 密歇根大学的研究人员分析了影响TLS连接的前向安全性的TLS属性,包括临时密钥重用,会话恢复和会话票证。
  • 苹果公司延迟了其要求App Store中的软件使用App Transport Security功能的计划,该功能提供TLS保护下的连接。
  • Heroku解释了他们怎样通过修改Erlang中的TLS堆栈显著提升了TLS连接的性能。
  • SMACK XMPP库中的一个漏洞使STARTTLS stripping攻击成为可能。4.1.9版本修复了这一漏洞。
  • 依靠一项称为domain fronting的技术,信使服务尝试使用HTTPS来绕过一些国家的网络审查。
  • 检测到一个在某些OpenSSL版本下针对NIST P-256椭圆曲线实现的攻击。
  • Motherboard上的一篇文章呼吁色情网站采用HTTPS。
  • 去年九月,iTunes的Podcast只对极少数证书颁发机构支持HTTPS。其中最著名的是,Let’s Encrypt还未被支持。现在情况变了,使用Let’s Encrypt证书的播客们再也没有借口不默认使用HTTPS了。

 

聚焦云计算,扫描二维码,关注HostUCan云计算

标签:

相关文章

【专访】新IT时代,SinoBBD如何布局云产业链?
09/12
中国云计算市场的全面爆发不仅将带动中国企业走向世界,同样也将带动中国企业走向数字化转型,实现转型升级。在同质化竞争日趋激烈的今天,如何才能脱颖而出?笔者带着这样的疑问,在今年的全球云计算大会上,有幸采访到了北京供销科技CEO王帅宇博士,对SinoBBD的云战略布局有了进一步的了解。
【专访】平安云丘子隽:平安生态 助力企业“合规上云”
09/11
云计算技术发展至今,已由技术导向转变为商业导向,即云服务商不能仅向用户介绍云平台所运用的技术,还需阐释云计算能如何满足客户需求、以及可实现的价值。另外,根据不同行业的用户需求,底层基础设施需按行业划分对应的渠道。平安云平台总监丘子隽在CloudConnect的采访中告诉IDC点评网记者。
【专访】“工农”结合,让云网协同随你所愿
09/11
近年SDN的迅速窜红, 直到云计算技术进入快速发展阶段,云网协同成为必须,SDN成为必然!在今年的全球云计算大会上,笔者有幸采访到了北京大地云网科技有限公司的首席执行官殷康先生,就大地云网的创立和发展等诸多方面进行了沟通。
优惠简单粗暴!9月必盛互联美国主机2.9折起
09/05
毋庸赘言,直接上优惠!9月必盛互联美国主机2.9折起,原价55.95元/月的美国主机,现立减71%,低至15.95元/月起。并且,目前必盛互联美国主机页面(https://www.bisend.cn/us-web-hosting)已将价格调整为折后价,用户无需额外步骤,直接下单,即可享受优惠!
如何选择靠谱的P2P平台?看网站就知道!
08/21
说到P2P,大家可能或多或少都有所耳闻,在此也顺便简单科普下:P2P(peer-to-peer的缩写),是一种将小额资金聚集起来借贷给有资金需求人群的民间小额借贷模式,属互联网金融(ITFIN)产品的一种。无论是近来手里有点小钱想机智的“用钱赚钱”,还是手头有点小紧想解燃眉之急的朋友,可能不少会考虑P2P理财平台。那么,如何选择靠谱的P2P平台?在选择P2P平台时,要注意哪些事项呢?作为资深网站安全建设专家,必盛互联的小编今天教大家,如何分辨各家P2P理财网站的靠谱指数。
cloud_hosting
评论
还没有评论,快来抢沙发吧!
weibo qrcode
关注微信号:
HostUCan云计算
作者介绍
Effie
访问量: 7541
文章: 16

作者热门文章

bluehost
ssl

热门文章

服务推荐

云服务器专题
云服务器即云主机,是近年特别热门的主机产品,最新排名请看»
云存储专题
云存储稳定性高,成本低,扩展性好等特点,查找云存储优惠请看»
SSL证书专题
SSL数字证书,可以提高网站安全性,DV,OV,EV等产品报价请看»
美国主机专题
热门美国主机eHost速度快,价格便宜,更多最新热门美国主机请看»
inmotionhosting
host1plus
在线咨询 广告合作 回到顶部