2012年2月3日星期五

根服务器管理公司VeriSign承认在2010年被黑客入侵 zz

管理两台DNS域名根服务器和发行SSL证书的Verisign公司承认它在2010年曾被黑客入侵， 但不知道有什么数据被盗取，称它不认为根服务器受到影响，但也不能排除它没受影响。Verisign还承认，该公司的安全团队没有立即将入侵事件通知管理 层，前CTO Ken Silva说他直到现在才听说有黑客入侵。在2010年收购Verisign证书发行业务的赛门铁克表示，没有证据表明系统受到影响。

标签： , , ,


// 发贴者：放牛娃的春天 @ 二月 03, 2012 0 条评论

2011年9月2日星期五

黑客可能从DigiNotar窃取了约200个SSL证书 zz

Diginotar承认黑客在7月中旬入侵系统，给自己发行了数十个伪造CA证书。Computerworld的报导称，伪造证书数量可能超过200个，其中包括了许多重量级的网站，如Mozilla、Yahoo和Tor项目——这一数字远高于Diginotar承认的数量。荷兰安全公司Madison Gurka创始人Hans Van de Looy引用匿名消息来源透露，攻击者发行了大约200个证书。Mozilla已经证实，它接到Diginotar的通知，旗下网站 addons.mozilla.org被黑客发行了伪造的CA证书，该证书随后被撤销。目前Diginotar的CA已被各大浏览器列入不可信名单。

标签： ,


// 发贴者：放牛娃的春天 @ 九月 02, 2011 0 条评论

2011年4月5日星期二

如何改进SSL证书安全性 zz

Google安全博客讨论了最近CA认证机构Comodo遭黑客入侵的事件，提出了两种改进SSL证书安全性的方法。第一种方法是Google Certificate Catalog，Google爬虫在索引互联网的同时会记录所有的SSL证书，Google Certificate Catalog就是这些证书的数据库。如果一个证书没有出现在Google的数据库内，即使有正确的CA签名，它极有可能是伪造的。Google正考虑在Chrome浏览器中加入Google Certificate Catalog数据库支持功能，其它浏览器未来可能跟进。第二种方法是互联网工程任务组(IETF)正在讨论的DANE，DANE代表基于DNS的域名实体认证，允许域名商发布SSL证书信息，利用DNS记录鉴定特定证书是否有效。这两种方法都是依靠DNS记录，但DNS可能会被污染，安全性值得质疑，Google认为加密保护DNS数据的DNSSEC协议可以解决安全问题。

标签： ,


// 发贴者：放牛娃的春天 @ 四月 05, 2011 0 条评论

This page is powered by Blogger. Isn't yours?

订阅 博文 [Atom]