SSL.com 新年快乐！ 欢迎阅读本期 SSL.com 安全综述，其中精选了 XNUMX 月份 SSL/TLS、数字证书和网络安全。在本版中，我们将介绍：
SHA-1：选择前缀冲突
SHA-1 加密哈希算法存在漏洞，这并不是什么重大新闻。大约三年前，谷歌研究人员生成了一个 固定前缀冲突 使用该算法，将其发送到慢动作死亡状态以供严肃的加密使用。因此，它几乎已被放弃，取而代之的是不易受攻击的 SHA-2。这个月，事情变得更糟了 选择的前缀 碰撞， 据报道 Ars Technica的:
与以前的技术相比，新的碰撞为攻击者提供了更多的选择和灵活性。它使得创建 PGP 加密密钥变得可行，当使用 SHA1 算法进行数字签名时，可以模拟选定的目标。更一般地说，它通过将数据附加到每个输入来为两个或多个攻击者选择的输入生成相同的哈希值。周二公布的攻击成本也仅为 45,000 美元。相比之下，2017 年披露的攻击不允许对特定的预定文档前缀进行伪造，并且在亚马逊网络服务平台上的成本评估为 110,000 美元到 560,000 美元不等，具体取决于攻击者想要执行攻击的速度。
这次攻击意义重大。尽管许多人已经放弃了 SHA-1 算法，但它尚未完全弃用（例如，它仍然用于在 GnuPG 的旧版 1.4 分支中验证 PGP 密钥）。这使得这次泄露变得非常严重，专家们再次呼吁放弃使用 SHA-1 进行证书或身份验证。
硬件供应商私钥处理不当
As 发现 作者：Nick Starke 和 Tom Pohl，Shaun Nichols 报道 注册近日，Netgear 遭遇了相当尴尬的安全漏洞。有效的签名证书以及私钥嵌入在路由器固件中，可供公开下载并随设备一起提供。这些信息可用于劫持用户与其路由器的 HTTPS 连接，并且似乎是为了让客户的事情变得更容易，但以牺牲安全性为代价。据肖恩·尼科尔斯报道：
这一错误是 Netgear 在安全性和用户便利性方面采取的措施造成的。配置套件时，Netgear 设备的所有者应访问 https://routerlogin.net 或 https://routerlogin.com。网络的路由器尝试确保这些域名解析为本地网络上设备的 IP 地址...要建立 HTTPS 连接，并避免浏览器抱怨使用不安全的 HTTP 和不受信任的证书，路由器必须为 routerlogin 生成有效的 HTTPS 证书.net 或 routerlogin.com 受浏览器信任。为了在建立连接时以加密方式证明证书是合法的，路由器需要使用证书的私钥。该密钥不安全地存储在固件中，任何人都可以提取和滥用它。
目前，该公司有几种解决方案可供使用，当然， 目前网上正在热议中.
NSA 在 Windows 10 中发现严重的加密漏洞
美国国家安全局在 Windows 10 中发现了一个影响其加密功能的“严重漏洞”。具体来说，该漏洞影响 HTTPS 连接、签名文件和电子邮件以及一些签名代码。因此，该机构建议用户尽快安装所有 2020 年 XNUMX 月补丁星期二补丁来缓解此漏洞。您可以从 NSA 阅读更多内容 在他们的网站.
这个被描述为“广泛”的漏洞让研究人员感到不安。正如丹·古丁在 Ars Technica的 解释，该漏洞利用了一个破坏信任链的漏洞：
该缺陷涉及新版本的 Windows 检查使用椭圆曲线加密的证书有效性的方式。虽然易受攻击的 Windows 版本会检查三个 ECC 参数，但它们无法验证第四个关键参数，该参数称为基点生成器，通常在算法中表示为“G”。此失败是 Microsoft 实施 ECC 的结果，而不是比 ECC 算法本身的任何缺陷或弱点更重要。
攻击者可以通过提取 Windows 默认附带的根证书的公钥来利用该缺陷。这些证书被描述为根证书，因为它们属于大型证书颁发机构，这些机构要么颁发自己的证书 TLS 证书或验证代表根 CA 销售证书的中间证书颁发机构。任何根证书都可以工作，只要它是用 ECC 算法签名的……攻击者检查用于生成根证书公钥的特定 ECC 算法，并继续制作一个私钥，该私钥复制该算法的所有证书参数，除了对于点生成器。由于易受攻击的 Windows 版本无法检查该参数，因此它们接受私钥有效。这样，攻击者就可以欺骗 Windows 信任的根证书，该证书可用于创建用于网站、软件和其他敏感属性身份验证的任何单独证书。
简而言之，这个错误可以被坏人利用，使恶意可执行文件看起来像是来自受信任、经过验证的来源和伪造的数字证书。担心？ 这是一个测试链接 如果您容易受到攻击。
