安全漏洞

CVE-2020-0601 | Windows CryptoAPI (Crypt32.dll)欺骗漏洞

2020年1月14日微软发布了CVE-2020-0601漏洞公告,此漏洞为Windows加密库中的一个关键的漏洞,Windows CryptoAPI(Crypt32.dll) 验证椭圆曲线加密 (ECC) 证书的方式中存在欺骗漏洞。 攻击者可以通过使用欺骗性的代码签名证书对恶意可执行文件进行签名来利用此漏洞,从而使该文件看似来自受信任的合法来源。美国国家安全局(NSA)已将CVE-2020-0601披露给了Microsoft 。

  • Jin
    Jin
5 min read
symantec

关于Symantec旧平台签发的证书升级提示说明

早些时候,DigiCert完成对了Symantec网站安全和公钥基础设施(PKI)业务的收购,成为了SSL/TLS与PKI全球领先的数字证书提供商。同时,DigiCert签署了一项Sub CA协议,将Symantec升级到DigiCert的PKI可信平台上,且表示将于2017年12月1日验证并升级所有Symantec证书,其详细时间表如下图所示。 从上图中我们可以了解,对于2016年6月1号之前使用Symantec旧平台签发的证书,最终替换时间为3月15日。对于2016年6月1日后签发的证书,最终替换日期为9月13日。 对于还没有替换且尚在有效期内的证书,我们通过Chrome浏览器访问时将被拦截,并显示如下图所示错误。 对于使用该证书的站点,我们将其评级降至E,并提示升级。 注意 距离2016年6月1日后使用Symantec旧平台签发证书的替换时间只有两个月了,使用该类证书的站点,在MySSL.com检测时,我们会给出如下图所示提示,如果您正好在使用该类证书,请尽快更新替换。 检测 您也可以使用我们的Symantec

  • Jin
    Jin
2 min read
pci-dss

更严格的PCI DSS合规标准

PCI DSS,全称Payment Card Industry Data Security Standard,第三方支付行业数据安全标准,是由PCI安全标准委员会制定,力在使国际上采用一致的数据安全措施。 早在去年6月30号PCI安全标准委员会官方发表博文将于2018年6月30号(最晚),也就是本月月底禁用早期SSL/TLS,并实施更安全的加密协议(TLS v1.1或更高版本,强烈建议使用TLS v1.2)以满足PCI数据安全标准的要求,从而保护支付数据。 随着时间的临近,我们提前调整了PCI DSS合规判定标准(在原有的标准之上,支持TLS v1.0或更早的加密协议将会判定为不合规),方便您提前调整您的服务以避免违规的风险。 解决方案

  • Jin
    Jin
2 min read
https

MySSL App上线啦!!!

就在这个月我们的MySSL iOS版App正式上线了,在App Store直接搜索MySSL或者点这里就可以直接下载。iOS版App主要解决了iOS端Safari与Chrome上难已查看证书的问题。 如下图所示,在你使用Safari浏览网页时直接点击分项按钮就可以使用该App查看该网页的HTTPS安全评估结果。 当然,初次安装你可能在扩展栏里没有看到MySSL,只要你往后拖拽点击更多就会发现我们的扩展。如果经常使用,可以将MySSL扩展像我一样,拖到靠前位置,方便使用。 这里可能需要注意第一次使用APP的时候,你需要进MySSL App中同意使用网络。 在Chrome上查看只比Safari多一步,点击右上角菜单栏我们就可以看到分享按钮了。

  • Jin
    Jin
1 min read