ยินดีต้อนรับสู่ Security Roundup ของ SSL.com ฉบับเดือนมิถุนายนนี้ ฤดูร้อนมาถึงแล้วการระบาดอย่างต่อเนื่องและข่าวเกี่ยวกับความปลอดภัยดิจิทัลก็เช่นกัน! เดือนนี้เราจะมาดู:
- วุฒิสมาชิกเปิดตัวบิล "ลับๆ" ใหม่
- รัฐบาลสหรัฐฯมีแผนที่จะใช้ HTTPS บนเว็บไซต์. gov ทั้งหมด
- Comcast และ Mozilla Strike Firefox DoH Deal
- AddTrust External CA หมดอายุ 30 พ.ค.
วุฒิสภาเพื่อพิจารณาแบ็คดอร์การเข้ารหัสที่ได้รับมอบอำนาจ
อันนี้เป็นแบบ yikes-y ในขณะที่หลายประเทศกำลังพิจารณาที่จะลดอำนาจในการบังคับใช้กฎหมายกลับมา แต่วุฒิสมาชิก XNUMX คนได้แนะนำก บิล Draconian ซึ่งจะบังคับให้ บริษัท เทคโนโลยีสร้างรูปแบบการเข้ารหัส "แบ็คดอร์" ที่จะช่วยให้หน่วยงานบังคับใช้กฎหมายเข้าถึงข้อมูลระหว่างการขนส่งและบนอุปกรณ์ เป็นรองนิตยสาร เมนบอร์ด ใส่อย่างรวบรัด พาดหัวของพวกเขา,“ รีพับลิกันที่ไม่เข้าใจการเข้ารหัสแนะนำให้ Bill ทำลายมัน”
Bill จากวุฒิสมาชิก Lindsey Graham (R-South Carolina), Tom Cotton (R-Arkansas) และ Marsha Blackburn (R-Tennessee) ได้รับการวิพากษ์วิจารณ์อย่างกว้างขวางและทั่วถึงจากอุตสาหกรรมเทคโนโลยีผู้สนับสนุนสิทธิพลเมืองและหลายคนที่มีสามัญสำนึก เป็นของ Thomas Claburn บทความ ใน The Register อธิบายว่า:
ใบเรียกเก็บเงินกำหนดให้องค์กรใด ๆ ที่แสดงใบสำคัญแสดงสิทธิ -“ ผู้ผลิตอุปกรณ์ผู้ให้บริการระบบปฏิบัติการผู้ให้บริการคอมพิวเตอร์ระยะไกลหรือบุคคลอื่น” - เพื่อช่วยเจ้าหน้าที่“ เข้าถึงข้อมูลที่จัดเก็บไว้ในอุปกรณ์อิเล็กทรอนิกส์หรือเข้าถึงข้อมูลอิเล็กทรอนิกส์ที่จัดเก็บจากระยะไกล ”
ไม่ได้ระบุว่าควรจัดการกับการเข้ารหัสอย่างไรเพียง แต่ควรยกเลิกเมื่อไม่สะดวกต่อเจ้าหน้าที่ ...
…ควรกล่าวว่าการเข้ารหัสยังช่วยป้องกันอาชญากรรมในระดับที่เหมาะสมโดยการรักษาสิ่งต่างๆเช่นบัญชีธนาคารออนไลน์และการท่องเว็บให้ปลอดภัยพอสมควร กำหนดประตูหลังซึ่งในทางคณิตศาสตร์ ทุกคนสามารถค้นพบอาจไม่ใช่การเคลื่อนไหวที่ฉลาดที่สุด
น่าเศร้าที่ความพยายามในการออกกฎหมายครั้งนี้ไม่ใช่เรื่องใหม่โดยเฉพาะอย่างยิ่งการทำซ้ำครั้งล่าสุดอย่างเกียจคร้านของความพยายามที่จะหลีกเลี่ยงการรักษาความปลอดภัยดิจิทัลเพื่อทำให้สิ่งต่างๆง่ายขึ้นสำหรับอำนาจที่เป็นอยู่
รัฐบาลสหรัฐฯมีแผนจะใช้ HTTPS บนเว็บไซต์. gov ทั้งหมด
ในข่าวดีที่ล่าช้ารัฐบาลสหรัฐฯ ได้ประกาศ มีเจตนาที่จะเพิ่มโดเมน“ .gov” ลงในรายการโหลดล่วงหน้า HTTP Strict Transport Security (HSTS) ในตอนนี้ไซต์ของรัฐบาลบางแห่งจะยังคงให้บริการ HTTP เพื่อให้ผู้ใช้สามารถเข้าถึงได้โดยตั้งใจที่จะไปถึงจุดที่เว็บเซิร์ฟเวอร์. go ทั้งหมดจะใช้ HTTPS เป็นค่าเริ่มต้น
แต่นี่เป็นรัฐบาลกลางและสิ่งสำคัญคือต้องทราบว่าจะไม่มีสิ่งใดเกิดขึ้นในชั่วข้ามคืน แต่สหรัฐฯกำลังดำเนินการเพื่อวางโดเมน. gov ในรายการโหลดล่วงหน้าของ HSTS ซึ่งในที่สุด เปลี่ยนเส้นทางผู้ใช้เพื่อสื่อสารผ่าน HTTPS เป็นค่าเริ่มต้น
ราคาเริ่มต้น ผู้ประกาศของรัฐบาลt:
โปรดทราบว่าเรากำลังประกาศความตั้งใจที่จะโหลด TLD ล่วงหน้า แต่ยังไม่ได้ทำการโหลดล่วงหน้าในวันนี้ หากเราทำเช่นนั้นเว็บไซต์ของรัฐบาลบางแห่งที่ไม่มี HTTPS จะไม่สามารถเข้าถึงได้สำหรับผู้ใช้และเราไม่ต้องการส่งผลกระทบในทางลบต่อบริการในวิธีการปรับปรุงเว็บไซต์ของเรา! จริงๆแล้วการโหลดล่วงหน้าเป็นขั้นตอนง่ายๆ แต่การไปที่นั่นจะต้องใช้ความพยายามร่วมกันระหว่างองค์กรของรัฐบาลกลางรัฐท้องถิ่นและชนเผ่าที่ใช้ทรัพยากรร่วมกัน แต่มักไม่ได้ทำงานร่วมกันในพื้นที่นี้ ... ด้วยความพยายามร่วมกันเราสามารถโหลดล่วงหน้าได้ gov ภายในไม่กี่ปี.
ในระหว่างนี้ตามประกาศฉบับเดียวกันนั้นรัฐบาลจะจัดเตรียมแต่ละไซต์สำหรับการเปลี่ยนแปลงจัดเก็บการนำเสนอและการฟังและโหลดทั้งหมดล่วงหน้าโดยอัตโนมัติ ใหม่ โดเมน. gov เริ่มตั้งแต่เดือนกันยายน พวกเขายังได้สร้างรายการใหม่สำหรับข้อเสนอแนะจากหน่วยงานของรัฐเกี่ยวกับความท้าทายที่พวกเขาคาดว่าจะเผชิญ
Comcast และ Mozilla Strike Firefox DoH Deal
Comcast เป็นผู้ให้บริการอินเทอร์เน็ตรายแรกที่ เป็นพันธมิตรกับ Mozilla เพื่อให้การค้นหา DNS ที่เข้ารหัสใน Firefox ข้อตกลงระหว่างทั้งสอง บริษัท มาถึง หลังเกิดข้อพิพาท ความเป็นส่วนตัวของ ISP หรือไม่และ DNS ผ่าน HTTPS จะทำให้ความสามารถของ ISP ในการติดตามผู้ใช้และรักษาสิ่งต่างๆเช่นการควบคุมโดยผู้ปกครองหรือไม่
Jon Brodkin ใน Ars Technica อธิบาย Comcast นั้นจะเป็น ISP รายแรกที่เข้าร่วมโปรแกรม Trusted Recursive Resolver ของ Firefox โดยเข้าร่วม Cloudflare และ NextDNS โปรแกรมตามบทความนั้น“ ต้องการผู้ให้บริการ DNS ที่เข้ารหัสเพื่อตอบสนอง เกณฑ์ความเป็นส่วนตัวและความโปร่งใส และให้คำมั่นว่าจะไม่บล็อกหรือกรองโดเมนโดยค่าเริ่มต้น 'เว้นแต่กฎหมายกำหนดไว้เป็นพิเศษในเขตอำนาจศาลที่ตัวแก้ไขดำเนินการ'”
ก่อนหน้านี้พันธมิตรทั้งสองไม่เห็นด้วยกับ DNS ผ่าน HTTPS ซึ่งป้องกันไม่ให้ผู้คนเห็นว่าเบราว์เซอร์การค้นหา DNS กำลังทำอะไรทำให้การตรวจสอบโดย ISP ค่อนข้างยาก จากบทความ Ars Technica:
ความร่วมมือของ Comcast / Mozilla เป็นสิ่งที่น่าทึ่งเนื่องจาก ISP ได้ต่อสู้กับแผนการปรับใช้ DNS ผ่าน HTTPS ในเบราว์เซอร์และการทำงานของ Mozilla เกี่ยวกับเทคโนโลยีนี้มีจุดมุ่งหมายเพื่อป้องกัน ISP จากการสอดแนมการท่องเว็บของผู้ใช้ ในเดือนกันยายน 2019 กลุ่มอุตสาหกรรมรวมถึงล็อบบี้เคเบิล NCTA ที่ Comcast เป็นสมาชิกได้เขียน a จดหมาย ต่อสภาคองเกรส คัดค้านแผนการของ Google สำหรับ DNS ที่เข้ารหัสใน Chrome และ Android Comcast ให้สมาชิกสภาคองเกรส a การนำเสนอการล็อบบี้ ที่อ้างว่าแผน DNS เข้ารหัสจะ "รวมศูนย์ [e] ข้อมูล DNS ส่วนใหญ่ทั่วโลกไว้กับ Google" และ "ให้ผู้ให้บริการรายหนึ่งควบคุมเส้นทางการรับส่งข้อมูลทางอินเทอร์เน็ตและข้อมูลใหม่จำนวนมากเกี่ยวกับผู้บริโภคและคู่แข่ง" การนำเสนอการล็อบบี้ของ Comcast ยังบ่นเกี่ยวกับแผนของ Mozilla สำหรับ Firefox
Mozilla ในเดือนพฤศจิกายน ISP ที่ถูกกล่าวหา ของการโกหกต่อสภาคองเกรสเพื่อกระจายความสับสนเกี่ยวกับ DNS ที่เข้ารหัส Mozilla ของ จดหมายถึงสภาคองเกรส วิจารณ์ Comcast ชี้ไปที่ไฟล์ เหตุการณ์ในปี 2014 ซึ่ง Comcast“ ฉีดโฆษณาให้กับผู้ใช้ที่เชื่อมต่อกับฮอตสปอต Wi-Fi สาธารณะซึ่งอาจสร้างช่องโหว่ด้านความปลอดภัยใหม่ในเว็บไซต์” Mozilla กล่าวว่าเนื่องจากเหตุการณ์ Comcast และอื่น ๆ ที่เกี่ยวข้องกับ Verizon และ AT&T“ เราเชื่อว่ามาตรการเชิงรุกดังกล่าว [เพื่อใช้ DNS ที่เข้ารหัส] กลายเป็นสิ่งที่จำเป็นในการปกป้องผู้ใช้เนื่องจากมีการบันทึกข้อมูลส่วนบุคคลของ ISP ในทางที่ผิดอย่างกว้างขวาง” Mozilla ยังชี้ให้เห็นถึงการขาดกฎความเป็นส่วนตัวของบรอดแบนด์ของประเทศซึ่งก็คือ ถูกสังหารโดยสภาคองเกรส ในปี 2017 ตามคำร้องขอของ ISP
แต่ดูเหมือนว่าจะเป็นอดีตไปแล้วโดยมีการลงนามข้อตกลงระหว่างทั้งสอง บริษัท เมื่อเดือนมีนาคมและความคาดหวังว่า DNS ที่เข้ารหัสของ Comcast จะมาถึง Chrome ในเร็ว ๆ นี้เช่นกัน
AddTrust External CA ใบรับรองหลักหมดอายุแล้ว
การขอ AddTrust External CA ใบรับรองหลัก ที่หมดอายุแล้ว พฤษภาคม 30, 2020 แม้ว่าผู้ใช้ส่วนใหญ่จะไม่ได้รับผลกระทบจากการหมดอายุนี้ แต่ก็ยังคงเป็นที่น่าสังเกต ใบรับรองบางรายการที่ออกในอดีตโดยเครือข่าย SSL.com ไปยังรูท USERTrust RSA CA ของ Sectigo ผ่านการลงนามข้ามกลางโดยราก AddTrust สิ่งนี้ทำขึ้นเพื่อให้แน่ใจว่าเข้ากันได้กับอุปกรณ์รุ่นเก่าที่ไม่มีรูท USERTrust
โชคดีที่อุปกรณ์ที่ do รวมราก USERTrust ซึ่งเป็นส่วนใหญ่จะไม่ได้รับผลกระทบจากการหมดอายุ ในกรณีนี้ซึ่งจะเป็นจริงสำหรับเบราว์เซอร์ระบบปฏิบัติการและอุปกรณ์พกพาที่ทันสมัยซอฟต์แวร์จะเลือกเส้นทางความน่าเชื่อถือที่นำไปสู่ USERTrust และเพิกเฉยต่อใบรับรอง AddTrust ที่หมดอายุ เราได้อธิบายเรื่องนี้ทั้งหมดเมื่อต้นเดือนดังนั้นหากคุณกำลังมองหารายละเอียดเพิ่มเติมคุณอาจต้องการ ตรงไปที่บล็อกโพสต์ 2 มิถุนายนของเรา. ในการรักษาความเข้ากันได้กับอุปกรณ์รุ่นเก่าเจ้าของเว็บไซต์ที่มีใบรับรอง SSL.com USERTrust สามารถดาวน์โหลดใบรับรองระดับกลางและใบรับรองหลักทดแทนผ่านปุ่มด้านล่าง:
ผู้ใช้ที่ใช้ SSL รุ่นเก่า /TLS ไคลเอนต์รวมถึง OpenSSL 1.0.x และ GnuTLSควรลบใบรับรอง AddTrust ที่หมดอายุออกจากที่เก็บรากของระบบปฏิบัติการ ดูไฟล์ โพสต์บล็อก สำหรับลิงค์เพื่อแก้ไขสำหรับ Red Hat Linux และ Ubuntu
