SSL安全認證大百科-寰宇數位

10/03/2020

重要安全資訊
Apple's Safari SSL憑證的有效期縮短為一年期

Apple瀏覽器Safari將SSL / TLS終端憑證的有效期縮短至一年
在過去十年中，Web用戶幾乎都沒有注意到SSL / TLS終端憑證（leaf certificate）的預期壽命已大大降低。以HTTPS身份驗證的基礎，在十年前，域名註冊商就憑證有效期曾經可以是8至10年的SSL / TLS終端憑證。自2011年，一個名為“憑證頒發機構瀏覽器論壇”（CA / Browser Forum）的新機構（包括所有大型瀏覽器製造商）認為這時效太長了，直接砍半至五年。而在2015年將期限降至三年，在2018年更進一步降至兩年。這下修的憑證時效還能多低？

在2/19，我們了解到最新答案是一年，即398天（包括續保寬限期），此更改將從2020年9月1日開始生效。新限制值得注意的原因是，據報導，在一個CA / Browser論壇會議上，Apple的瀏覽器Safari (目前為擁有全球第二多的瀏覽器用戶)宣布了這對於憑證的時效限制。儘管尚未得到官方確認，但這是一大膽舉動，可能預示了其他大型瀏覽器製造商，特別是Google (目前為擁有全球第一多的瀏覽器用戶)可能也會有下一步動作，該公司在最近的CA / Browser論壇投票中大力提倡將期限限制為一年。

本質上，在2020年9月1日之前發行的所有SSL / TLS憑證均不受此更改的影響。它們將在兩年內保持有效（除非撤銷任何無關的憑證），並且無需進行修改或替換。但是，9月1日或之後發布的所有憑證都需要每年進行續簽，以保持Safari對憑證的信任。假設CA不停止出售舊的兩年期憑證，則Safari用戶（以及採用相同策略的其他瀏覽器的用戶）會訪問發布該網站的網站將看到令人反感的“網站不安全”警告消息。

這意味著您將要簡化和改進現有的憑證管理。對於較大的組織，這需要使用可靠的憑證管理解決方案，而不再依賴手動憑證管理。

有效期短是好事嗎?
憑證的有效期越短，憑證越安全。多年來一直存在這樣的爭論，為什麼瀏覽器希望將SSL / TLS終端憑證的最大有效性限制為1年。從理論上講，通過要求在較短的期限後更新的SSL /TLS憑證，可以：
1. 對憑證進行任何安全更新後，它們就會更快地發布。
2. 確保企業定期生成新密鑰來使網站更安全。

解決方法?
CA可能開始提供自動化憑證管理更新服務，並為註冊時間較長的組織提供折扣，將找到一種解決方案，減輕負擔。

有任何問題，歡迎與寰宇數位聯繫
服務電話：(02)2950-4299





#瀏覽器

15/02/2016

電商網站要興旺，就要有安全的標章把關

寰宇數位認證中心通過國際安全機構，在台灣為最嚴格審核電商安全網路的公司資料，完全符合安全合格之公司才予核發SSL安全加密憑證和憑證標章。

網路安全加密千萬別小看，個資外洩或資料被駭客竊取，可是會損及很大，基本的SSL安全加密嚴格把關才是安全保障，對消費者來說好的認證公司，就是要嚴格把關所有網路電商的安全機制，才給予通過取得安全認證標章。寰宇數位認證中心歡迎您來一起把關安全的電商網站。

01/07/2015

巴掌大小的裝置可以隔空竊取你的數據

據Wired 報導，以色列的科研人員研究出了一種巴掌大小的竊聽裝置，這種裝置可以竊聽計算機處理器洩露的無線電從而破譯出主機的數據。

這種竊聽裝置的名字叫做跟踪獲取便攜式設備（Portable Instrument for Trace Acquisition，PITA），是由特拉維夫大學試驗性信息安全實驗室與以色列理工學院的研究人員研發出來的，它可以無線的方式竊取附近計算機的數據。其尺寸只有巴掌大小（pita就是皮塔餅的意思，裝置小到可以放進皮塔餅裡面），成本不到300美元，所需零部件去二手市場甚至廚房就可以找到。該裝置可以接收19英寸（約48厘米）範圍內計算機處理器因用電洩露出來的無線電，然後破譯計算機的密鑰數據，從而可以破解該機與外界的加密通信。雖說這種技術以前也有，但是成本如此之低尺寸如此之小是此前沒有的。這項成果是去年9月份取得的，目前研究人員正在設法提高裝置的接收範圍。

PITA的構成包括一條環形天線（Loop antenna，藍色），一塊Rikomagic控制芯片，一個Funcube軟件無線電以及電池。竊取的數據有兩種轉發方式，一是存進內置的SD卡，二是通過WiFi方式發送給遠端的竊聽者。
這個巴掌大小的裝置可以隔空竊取你的數據
研究人員的攻擊目標是加密軟件的密鑰。只要獲得了密鑰，加密的安全通信就會土崩瓦解。不過，在研究人員公佈成果之前，他們已經通知了一些加密軟件做好更新，但是未必所有的安全軟件都能免受攻擊。目前研究人員還在探索該技術更廣泛的應用性，包括是否可能用來幫助比特幣大盜竊取用戶的“錢包”創建的私鑰。

通過計算機部件的射電輻射來竊取數據並非新意。不過以色列研究人員這次的攻擊對像是筆記本電腦，跟以往的台式機目標相比，筆記本電腦的電磁環境顯然要復雜得多。而且他們還通過間歇性採樣的方式減少了裝置所需的資源。

以色列人對竊取信息的興趣不小。去年，以色列本古里安大學的研究人員就發明了一種名為BitWhisper的新的攻擊方式。只需要機器發熱或者計算機內置的熱傳感器，攻擊者就可以偷偷地竊走密碼或密鑰，然後傳輸至附近的受攻擊者控制的聯網系統。

所以，當有人拿著一塊三明治站在你旁邊不到半米遠的距離時請一定要警惕，除非他同意馬上咬半口，否則請他馬上跳出以你的計算機為圓心半米遠的距離—你是寧願數據失竊呢還是讓人懷疑你得了妄想症呢？

注：感興趣的可看看他們的論文:https://www.scribd.com/doc/269396737/Stealing-Keys-from-PCs-using-a-Radio-Cheap-Electromagnetic-Attacks-on-Windowed-Exponentiation。

04/11/2014

用戶5大錯誤上網習慣　個資外洩詐騙跟著來


個資外洩、帳密竊盜…等網路詐騙問題層出不窮，民眾面對資安問題時，多半無從得知自己的資料，到底是在什麼時候外洩。根據軟體防護業者今(103)年第3季的調查，歸納出5大錯誤上網習慣，解析民眾個資遭洩露的原因。
「上網」的便利性，已經澈底改變了民眾的生活習慣。從社群軟體與好友的聯繫、通訊軟體公務私訊往來、影音下載收看、生活資訊查詢…，樣樣都是透過網路進行。也就因為對網路的高依賴性，引起不肖份子的覬覦，藉由各種意想不到的方式竊取使用者個資，做為詐騙、強制廣告…等不法用途，造成使用者困擾與危機... Yahoo!奇摩新聞 PChome 24h購物 #個資法

個資外洩、帳密竊盜…等網路詐騙問題層出不窮，民眾面對資安問題時，多半無從得知自己的資料，到底是在什麼時候外洩。根據軟體防護業者今(103)年第3季的調查 ...

27/02/2014

蘋果 SSL 漏洞影響範圍比想像中大，Mac OS X Mavericks 亦需注意…

Apple 在上週五緊急發佈 iOS 更新，來解決 SSL 連線驗證當中的漏洞，不過根據The Verge 報導，問題的根本應該是 SecureTransport 平台，受影響的系統不僅是 iOS，Mac OS X 10.9 Mavericks 使用者亦需注意；截至目前為止蘋果並沒有對此提出詳盡解釋，蘋果方面也還尚未推出針對 Mac OS X Mavericks 的補救方案，但經 The Verge 聯繫後蘋果則回應「目前已經在著手解決該問題，不久後將會推出安全性更新」。

The Verge 引述約翰霍普金斯大學（Johns Hopkins University）密碼學專家 Matthew Green 推特內容，表示該漏洞不僅容易遭他人利用，同時目前也尚未獲得控制，一如前述，就算所有 iOS 使用者都下載更新（小編還沒！），也還有一海票系統為 Mac OS X 10.9 Mavericks 的電腦暴露在重要隱私資料遭侵犯的危機中。

一般來說，透過 SSL 驗證機制，網路瀏覽器會確實確認連線的對象是否真為服務提供者（金流、網路銀行等等），但由於程式碼中有問題，SecureTransport 無法確實確認對方提供的認證是否為有效，也就是說若有人惡意偽裝成服務提供者，系統很有可能將其誤認，導致使用者損失。

除此之外，其影響的層面還不只包括 Safari 瀏覽器，根據研究人員 Ashkan Soltani 的說法，任何採用 Apple SSL 驗證機制的軟體服務，包括 FaceTime、Mail 及 Calendar，或多或少都可能受到影響，同時該問題其實存在已久，早在 iOS 6 開始就有；不過實際要利用 SSL 漏洞來侵犯受影響的裝置，也並非如此「便利」，因為對方需跟使用者在 WiFi 可連線的距離內，進行直接且針對性的攻擊，因此這樣的攻擊在執行沒想像中「方便」，相較之下對方可能還比較想透過 Flash 或其他已知漏洞來攻擊。

然而使用者也不能就此掉以輕心，在更新推出之前，務必盡可能透過私人、加密的 WiFi 網路進行連線；儘管問題暫時有折衷的解決方法，蘋果也表示將在不久後發佈更新，但更深層、根本的問題還是需要蘋果方面去積極處理，而這問題的所在，根據密碼學專家、Cryptocat 成員 Nadim Kobeissi 解釋，是程式碼當中存在有問題的 if-then 子句，加上一組無端重複的字串 "goto fail"，但兩者基本上對於蘋果這樣規模的公司來說，應該都是能夠輕易發現並解決的問題。

不過規模也許就是問題的根源，有蘋果內部人士指出 OS X 的安全性架構算是歷史悠久，經過這麼長一段時間的發展，依據不同產品需求、一路以來不斷修正其內容的過程當中，內部人員光是處理新的 bug 就快要焦頭爛額，因此像 SecureTransport 這類的核心程式，很有可能長時間沒有徹底檢查清楚。

不過也有人不認同這樣的解釋，因為 OpenTransport 基本上在 Mavericks 推出後，內容即開放給大眾，也就是說任何人都可能發現有問題的程式串；另外也有部分研究人員抱怨蘋果方面在接受外部提報的處理不夠積極，但是這樣嚴重的問題理當會優先處理，事後發現似乎並非如此，更諷刺的是，該問題最早其實是由 Google HTTPS 工程師在網路上公開；當然也不是說這樣顯而易見的問題就不會發生在其他大公司，但蘋果確實必須從這次事件當中得到警惕。

原文引用來源：The Verge

11/09/2013

3G和4G網路成為企業內網新後門

隨著iOS 4~6版陸續更新，iPhone也和Android 手機一樣，可以作為無線網路的熱點，提供其他裝置透過手機3G網路，連線到廣域網路中，而不需要通過企業內部網路的層層管卡，對於企業內的網管人員而言，3G網路可能成為公司最危險的資安隱憂。

公司內網安全和企業資料的傳輸安全，要怎麼把關呢？公司重要資料外洩的狀況會越來越明顯？

隱形的透明門就在企業的每個角落裡．

05/11/2012

【個資法鳴槍起跑，你落後了嗎？】之三：剖析安全維護計畫 　如何採購個資解決方案？

作者：張維君、廖珮君 -10/22/2012
新版個資法立法的重要精神就是，促進個資的合理利用，要做到這一點，企業除了按照法條所規範的程序蒐集/處理/利用個資，也要做好個資安全防護，以免個資外洩造成當事人的損害，而在日前公告的個資法施行細則中，也明確指出企業該做哪些安全維護措施。


除了施行細則有提到安全維護措施的工作項目之外，在個資法第27條亦指出，中央目的事業主管機關得訂定「非公務機關個人資料檔案安全維護計畫或業務終止後個人資料處理方法」，讓非公務機關可以據此維護個資安全，而法務部也將此納入工作計畫中，希望提供「非公務機關個人資料檔案安全維護計畫」的範本，作為各個目的事業主管機關制定相關辦法時的參考。


本文以施行細則中11項安全維護措施為基礎，列出目前市場上相關的解決方案及供應商（表1），至於第6、8、9項，也就是資料安全管理、人員管理、設備安全管理、與資料安全稽核機制，則參考法務部「非公務機關個人資料檔案安全維護計畫標準辦法草案」，列出該有的控制措施及資安解決方案，作為企業採購個資法解決方案時的參考。（表2）

10項管控措施+6大管理政策 落實個資安全維護

根據「非公務機關個人資料檔案安全維護計畫標準辦法草案」，安全管理措施分成人員、作業、物理環境、技術共四個管理層面：

人員管理的重點是，確認進行個資蒐集/處理/利用的作業人員，並配合適當的權限設定與控管機制，避免其可以接觸非職務範圍內的個人資料；
作業管理則指，企業在蒐集、處理及利用個人資料時，應該要制定相關的管理機制，以確保作業程序的安全性，如：資料加密與遮罩；
物理環境管理著重在，存放/處理個資的實體作業環境安全；
技術管理的重點則是，企業若利用電腦或相關設備蒐集/處理/利用個資時，所應採取的管控措施。
這四個管理面向所對應的資安管控措施，有些必須透過資安解決方案才能達成管控目標，有些則是從政策制定、教育訓練端著手即可。


原文網址: 【個資法鳴槍起跑，你落後了嗎？】之三：剖析安全維護計畫 　如何採購個資解決方案？,Information Security 資安人科技網 http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=7111

本文以施行細則中11項安全維護措施為基礎，並參考法務部「非公務機關個人資料檔案安全維護計畫標準辦法草案」，列出該有的控制措施及資安解決方案，作為企業採購個資法解決方案時的參考。

13/10/2012

國際最高規格安全加密安全標準，EV SSL安全憑證

　 延伸驗證伺服器憑證 (Extednded Validation Certificate) 是嚴格的身份驗證標準伺服器資料傳輸加密產品；另外一個說法就是一般專業版的 (Pro SSL) 的升級產品，能讓新一代安全瀏覽器 (如：IE7) 的網址欄變成綠色，顯示網站的安全程度標示，讓瀏覽網站的能夠確信現在所瀏覽之網站是通過有權威第三方嚴格身份驗證的安全網站，更能讓消費者和網頁瀏覽者對網站更具信心，達到更好的線上交易成效。

SSL 協議和 SSL 證書已經被廣泛用於幾百萬個銀行網站和電子商務網站來保護線上消費者的交易安全。 SSL 證書由數字證書頒發機構 (CA) 頒發，消費者已經把瀏覽器中的安全鎖作為一種安全和信任的標誌。

信任 (Trust) 對於電子商務來講非常重要，是把網站訪問者變成購買者的最關鍵因素。目前互聯網的線上用戶數與電子商務交易的用戶數的比例是非常非常的低的主要原因是用戶對線上交易缺乏信任，擔心會有詐欺，因為用戶與網上所聲稱的商家並沒有見面，而消費者在街上購物時看到了實實在在的商店就能放心地購物。如何讓消費者也能線上“看到”實實在在的商家呢？如何方便地讓線上消費者也相信此網站的實體確實是一個實實在在的商家呢？

著名的資料統計公司 Gartner 指出：在過去的一年來，有將近兩百萬美國人成為網上欺詐的受害者，並估計美國有 5700 萬互聯網用戶都收到過假冒知名網站或銀行的要求用戶更新個人資訊的欺詐電子郵件，而其中有 180 萬用戶因此而洩露了機密的個人資訊。

而現在，新標準的 EV SSL 證書的推出，就是給用戶一個非常直接的方式 ( 網址欄為綠色 ) 來表明他 / 他(她)正在瀏覽的網站實體確實是一個實實在在的商家，其真實身份是已經通過有權威的第三方嚴格身份驗證，用戶可以對其經營實體的身份真實性放心。而商家贏得了用戶的信任就能贏得此筆的生意。

安裝EV SSL憑證後，在IE 7的網址欄內會顯示安全等級的標識，並直接顯示憑證的驗證組織和憑證安全等級，至於在IE 7的安全狀態顏色顯示標示涵義：

紅色：該憑證已過期、無效或者憑證發生錯誤。
黃色：無法驗證該憑證的證書或頒發此憑證的發證機構身份，表示此憑證的發證機構不是公認安全的。
白色：該憑證已正常驗證，表示瀏覽器和該網站之間的傳輸已加密，不過，此憑證所頒發之機構未對該網站的商業行為做出任何的聲明。
綠色：此網站已安裝EV SSL延伸驗證伺服器數位憑證服務，顯示瀏覽器和網站之間的通信已加密，並且該憑證所幫發之機構已確認此網站由此公司所有和運行，並會顯示此公司是根據該憑證和山權狀態欄上顯示的權限進行合法組織。

但由於目前的各個 CA 的身份驗證過程都是不一樣的，嚴格程度也不一樣，所以，全球領先的各大數字證書頒發機構才發起制定了一個全球統一的、更加嚴格的身份驗證標準來頒發 EV SSL 證書，所以目前EV SSL憑證只有提供GlobalTrust 此品牌可發行，提供一年期和二年期的認證認證服務。

寰宇數位認證中心所提供的憑證安全，都與世界同步，提供最高的加密等級服務，購買後不必擔心買貴和將來需平台更新要再做憑證安全等級升級的問題。

除了擁有其他廠商所提供的SSL憑證功能外，寰宇認證中心在認證資料上更詳細，並提供雙認證的TrustLogo標章，及寰宇數位中文詳細註冊內容的標章說明頁，和30天憑證使用滿意保證， 是所有電子商務網站及會員服務網站以及企業用網站的最佳選擇。

SSL 是目前最常用之網路通訊安全標準，不論在Internet、Intranet或是Extranet環境中，使用者為確保資料傳輸的安全，建議一定要啟動SSL加密機制。SSL伺服器數位憑證是有效啟動安全資料加密機制之不可或缺元件。

13/10/2012

【台北訊】兆豐商銀推出行動銀行APP服務，iPhone及Android手機皆可下載，具有台幣即時與預約轉帳、台幣約定與非約定轉帳、黃金存摺資訊及黃金牌告查詢、理財與信用卡資訊查詢，與行動結匯，其中行動結匯是目前同業中唯一提供的優勢服務。
兆豐銀電子金融推廣中心主任杜葦表示，兆豐行動銀行強調交易安全，每筆行動銀行轉帳交易，全程都以SSL加密保護，非約定轉帳須使用動態密碼，轉帳均需輸入轉入帳號後4碼，確保交易資料安全，讓客戶安心使用。

延續兆豐銀全球金融網「買外幣現鈔及旅支」的服務，行動銀行結匯也可24小時下單、享優惠匯率，及最齊全的外幣種類，線上即可指定取貨日期、設定小額鈔券兌換面額及張數、可同時購買旅支及現鈔，在包括3家機場分行在內的27家分行取得外幣，提供出國旅遊、留學、洽公者，便利快速的結匯。

杜葦指出，兆豐銀全球金融網全球定點已達9處，包括紐約、東京、阿姆斯特丹、香港、新加坡、泰國（泰國子行有4處分行）、胡志明市、金邊與台灣，兆豐銀客戶可在此9處，隨時調動全球資金，目前企業用戶已達4.8萬，一年流通金額約3兆元。

為體貼其他手機用戶，兆豐銀另推出web版本操作介面，客戶於智慧型手機瀏覽器輸入行動銀行網址後，將導向web版行動銀行，不必下載APP也可體驗專為手機量身訂作的全新操作網頁。兆豐銀行動銀行有各項財經與行情查詢功能，證券服務目前先連結至iPhone版，線上購買外幣功能，目前web版先開放查詢服務。行動銀行申請可至各分行辦理，網路銀行用戶可直接在線上申請，再下載App即可登入使用。

兆豐銀電子金融推動成功，以電子金融完成交易佔比已達7成，兆豐銀更是全國繳費稅績優單位，是扣款筆數最多者，其中基金投資定期定額扣款筆數遙遙領先。（孫震宇）