SSL.com'un Güvenlik Roundup'ın bu Haziran sayısına hoş geldiniz. Yaz geldi, salgın devam ediyor, dijital güvenlikle ilgili haberler de öyle! Bu ay bir göz atacağız:
- Senatörler Yeni “Arka Kapı” Taslağını Tanıttı
- ABD Hükümeti tüm .gov web sitelerinde HTTPS kullanmayı planlıyor
- Comcast ve Mozilla Grev Firefox DoH Anlaşması
- AddTrust External CA 30 Mayıs'ta sona erdi
Senato, Zorunlu Şifrelemeyi Arka Planda Düşünecek
Bu bir nevi yikes-y. Ülkenin birçoğu kolluk güçlerini azaltmayı düşünürken, üç senatör Acımasız fatura teknoloji şirketlerini, kolluk kuvvetlerinin transit ve cihazlardaki verilere erişmesini sağlayacak şifreleme şeması “arka kapılar” oluşturmaya zorlayacak. Vice Magazine olarak Anakart kısa ve öz onların başlığı, “Şifrelemeyi Anlamayan Cumhuriyetçiler, Onu Kırmak için Bill'i Tanıttı.”
Senatör Lindsey Graham (R-Güney Carolina), Tom Cotton (R-Arkansas) ve Marsha Blackburn (R-Tennessee) 'nin tasarısı, teknoloji endüstrisi, sivil haklar savunucuları ve pek çok kişi tarafından sağduyu ile geniş ve kapsamlı bir şekilde eleştirildi. Thomas Claburn'unki gibi göre Kayıttaki açıklamaları:
Tasarı, yetkili makamların "elektronik bir cihazda depolanan bilgilere erişmesine veya uzaktan depolanan elektronik bilgilere erişmesine yardımcı olmak için" bir garanti ile sunulan herhangi bir şirketin - "aygıt üreticisi, işletim sistemi sağlayıcısı, uzaktan bilgi işlem hizmeti sağlayıcısı veya başka bir kişi" olmasını gerektirir. "
Şifrelemenin nasıl ele alınması gerektiğini belirtmez, sadece yetkililer için uygun olmadığında geri alınamaz olması gerekir ...
… Şifrelemenin, çevrimiçi banka hesapları ve internette gezinme gibi şeyleri makul ölçüde güvenli tutarak adil miktarda suçu da önlediği söylenmelidir. Matematiksel olarak bir arka kapıyı zorunlu kılmak herkes bulabilir, en akıllıca hareket olmayabilir.
Ne yazık ki, bu mevzuat girişimi özellikle yeni değil, sadece Güçleri Olmak için işleri kolaylaştırmak için dijital güvenliği atlatma girişiminin en son tembel yinelemesi.
ABD Hükümeti Tüm .gov Web Sitelerinde HTTPS Kullanmayı Planlıyor
İyi, gecikmiş haberler, ABD Hükümeti duyurdu amacı ".gov" etki alanını HTTP Sıkı Aktarım Güvenliği (HSTS) önyükleme listesine eklemektir. Şimdilik, bazı hükümet siteleri, tüm .gov web sunucularının varsayılan olarak HTTPS kullanacağı noktaya ulaşmak amacıyla, kullanıcıların erişebilmeleri için HTTP sunmaya devam edecektir.
Ancak, bu federal hükümettir ve bunların hiçbirinin bir gecede gerçekleşmeyeceğini belirtmek önemlidir. Bunun yerine, ABD .gov alan adını HSTS önyükleme listesine koymaya çalışıyor. kullanıcıları HTTPS üzerinden iletişim kurmaya yönlendirin varsayılan olarak.
Konum hükümet duyurularıt:
TLD'yi önyükleme niyetini duyurduğumuzu ancak bugün önyüklemediğimizi unutmayın. Bunu yaparsak, HTTPS sunmayan bazı hükümet web sitelerine kullanıcılar erişilemez hale gelir ve hizmetleri geliştirme yolumuzu olumsuz etkilemek istemeyiz! Aslında önyükleme basit bir adımdır, ancak oraya ulaşmak, ortak bir kaynak kullanan ancak bu alanda sık sık birlikte çalışmayan federal, eyalet, yerel ve aşiret devlet kurumları arasında uyumlu bir çaba gerektirecektir ... Ortak çaba ile önyükleyebiliriz. gov Birkaç yıl içinde.
Bu arada, aynı duyuruya göre, hükümet geçiş için bireysel siteler hazırlayacak, sunumlar ve dinleme oturumları düzenleyecek ve hepsini otomatik olarak önceden yükleyecek yeni .gov alan adları Eylül ayında başlar. Ayrıca, devlet kurumlarından, karşılaşmayı bekledikleri zorluklar hakkında geri bildirim için yeni bir listerv oluşturdular.
Comcast ve Mozilla Grev Firefox DoH Anlaşması
Comcast ilk İnternet Servis Sağlayıcısıdır Mozilla ile ortak Firefox'ta şifreli DNS aramaları sağlamak için. İki şirket arasındaki anlaşma geliyor bir anlaşmazlıktan sonra ISS gizliliği üzerinden ve HTTPS üzerinden DNS'nin, ISS'lerin kullanıcıları izleme ve ebeveyn denetimleri gibi şeyleri sürdürme yeteneğini ortadan kaldırması
Ars Technica'da Jon Brodkin açıklıyor bu Comcast, Cloudflare ve NextDNS'e katılan Firefox'un Güvenilir Özyinelemeli Çözümleyici programına katılan ilk İSS olacak. Program, bu makaleye göre, “şifreli DNS sağlayıcılarının gizlilik ve şeffaflık kriterleri ve "çözümleyicinin çalıştığı yargı alanındaki yasalar tarafından özel olarak istenmedikçe" etki alanlarını varsayılan olarak engellememe veya filtrelememe sözü vermelisiniz. "
Daha önce, şimdi iki ortak HTTPS üzerinden DNS üzerinde anlaşamadılar, bu da insanların tarayıcıların ne yaptığını görmesini engelleyen ve ISS'lerin izlemesini oldukça zorlaştırdı. Ars Technica makalesinden:
Comcast / Mozilla ortaklığı dikkat çekicidir çünkü ISS'ler tarayıcılarda HTTPS üzerinden DNS dağıtma planlarıyla mücadele etmişlerdir ve Mozilla'nın teknoloji üzerindeki çalışması büyük ölçüde ISP'lerin kullanıcılarının göz atmasını önlemeyi amaçlamaktadır. Eylül 2019'da, Comcast'in ait olduğu NCTA kablo lobisinin de dahil olduğu endüstri grupları, mektup Kongreye Google'ın planlarına itiraz etmek Chrome ve Android'de şifreli DNS için. comcast Kongre üyelerini verdi a lobi sunumu şifrelenmiş DNS planının "dünya çapındaki DNS verilerinin çoğunu Google ile merkezileştireceğini" ve "bir sağlayıcıya İnternet trafiği yönlendirmesinin kontrolünü ve tüketiciler ve rakipler hakkında büyük miktarda yeni veri sağlayacağını" iddia etti. Comcast'in lobi sunumu, Mozilla'nın Firefox planından da şikayet etti.
Kasım ayında Mozilla suçlanan İSS'ler şifrelenmiş DNS ile ilgili kafa karışıklığını yaymak için Kongre'ye yalan söylemek. Mozilla'nın Kongre'ye mektup eleştirilen Comcast, 2014 olayı Comcast'in "halka açık Wi-Fi bağlantı noktalarına bağlı kullanıcılara reklam eklediği ve web sitelerinde potansiyel olarak yeni güvenlik açıkları oluşturduğu" Mozilla, Comcast olayı ve Verizon ile AT&T'nin dahil olduğu diğer olaylar nedeniyle, "ISP'nin kişisel verileri kötüye kullandığına dair kapsamlı kayıt ışığında kullanıcıları korumak için [şifreli DNS uygulamak için] bu tür proaktif önlemlerin gerekli hale geldiğine inanıyoruz." Dedi. Mozilla ayrıca, ülkenin geniş bant gizlilik kurallarının eksikliğine de dikkat çekti. Kongre tarafından öldürüldü ISP'lerin isteği üzerine 2017 yılında.
Ancak, Mart ayında iki şirket arasında imzalanan bir anlaşma ve Comcast'in şifrelenmiş DNS'sinin de yakında yakında Chrome'a geleceği beklentisiyle, geçmişte olduğu anlaşılıyor.
AddTrust External CA Kök Sertifikanın Süresi Doldu
The AddTrust External CA kök sertifikası süresi bitmiş Mayıs 30, 2020 üzerinde. Çoğu kullanıcı bu sürenin dolmasından etkilenmeyecek olsa da, yine de dikkate değer. Geçmişte SSL.com zinciri tarafından Sectigo'nun USERTrust RSA CA köküne AddTrust kökü tarafından çapraz imzalanmış bir ara geçiş yoluyla verilen bazı sertifikalar. Bu, USERTrust kökü içermeyen eski cihazlarla uyumluluğu sağlamak için yapıldı.
Neyse ki, do büyük çoğunluğu olan USERTrust kökünü dahil edin, sürenin dolmasından etkilenmeyecektir. Tüm modern tarayıcılar, işletim sistemleri ve mobil cihazlar için geçerli olacak bu durumda, yazılım yalnızca USERTrust'a giden bir güven yolu seçecek ve süresi dolan AddTrust sertifikasını yok sayacaktır. Tüm bunları ayın başında açıkladık, bu nedenle daha fazla ayrıntı arıyorsanız, 2 Haziran blog yazımıza gidin. Eski cihazlarla uyumluluğu korumak için, SSL.com USERTrust sertifikalarına sahip web sitesi sahipleri, aşağıdaki düğmeler aracılığıyla yedek ara ve kök sertifikaları indirebilir:
Eski SSL'ye güvenen kullanıcılar /TLS OpenSSL 1.0.x ve Gnu dahil istemcilerTLS, süresi dolmuş AddTrust sertifikasını OS kök deposundan kaldırmalıdır. Bkz. blog yazısı Red Hat Linux ve Ubuntu için düzeltmelere bağlantılar için.
