Billede: Let's Encrypt

Sidste år udstedte Let's Encrypt 15.270 SSL-certifikater til sider med PayPal i domænenavnet eller identitet, hvoraf cirka 96,7% var phishing-sider. Undersøgelsen blev lavet af Vincent Lynch, som lavede en stikprøve på cirka 1.000 domæner.

Lynch analyserede et datasæt over det sidste år, hvor han var i stand til at se at antallet af udstedte certifikater til phishing-sider steg voldsomt pludseligt. Dette kan skyldes flere ting, at udviklerne brugte noget tid på at teste om de kunne skaffe, deploye og holde på certifikaterne, men det kan også være at det tog tid før at metoden blev udbredt iblandt udviklerne.

Redaktionen vil understrege at HTTPS gør at forbindelsen er sikker mellem klienten og serveren, men den garanterer ikke at serverens intentioner er rene.

Redaktør: Hykalos   |   Indsendt af: thimon   |   1   |   3216

Billede: google

Besøgende på websider med login-formularer der ikke benytter HTTPS, vil fra og med Chrome 56-udgivelsen der kommer til januar næste år, få en advarsel i form af et specielt rødt trekantsymbol.

Årsagen er at HTTP betragtes som usikkert, idet en tredjepart kan følge med i hvad der sker på forbindelsen mellem brugeren og serveren, og endda modificere indholdet på det som brugeren modtager.

Redaktør: jakobdam   |   Indsendt af: jakobdam   |   0   |   1498

Billede: Jason Morrison, FreeImages.com

En række store firmaer såsom AT&T, Netflix, GoPro, Yahoo! og Macy's er blevet sagsøgt af CryptoPeak Solutions, der ejer US Patent 6202150, der lyder som flg.:

1. A method and apparatus for generating public keys and a proof that the keys were generated by a specific algorithm comprising the steps of:
the user's system generating a random string of bits based on system parameters;
the user running a key generation algorithm to get a secret key and public key using the random string and public parameters;
the user constructing a proof being a string of bits whose public availability does not compromise the secret key and wherein said constructing of said proof requires access to said secret key, but at the same time said proof provides confidence to at least one of a plurality of other entities that said public key was generated properly by the specified algorithm, and wherein said confidence is gained without having access to any portion of said secret key.

Anklageskriftet skriver at firmaerne ved brug af HTTPS/SSL anvender Elliptic curve cryptography. Dog synes det ovenstående krav 1 ikke at omhandle Elliptic curve cryptography. 

CryptoPeak Solutions mener derfor, at alle, som bruger HTTPS/SSL, bryder deres patent. Patentet er oprindeligt blevet ansøgt af Dr. Adam Young og Dr Marcel Yung i 1997 og udstedt i 2001. Patentet udløber i starten af 2017. Det er siden blevet overtaget af CryptoPeak Solutions. 

Det 7 sider lange anklageskrift kan læses her. Ironisk nok fører dette link til en https-destination.

Redaktør: thimon   |   Indsendt af: thimon   |   0   |   2020