SSL/TLS2022年12月5日~12月11日に読んだ中で気になったニュースとメモ書き(TLSらじお第84回の前半用原稿)です。いいつつその前の週にまとめ損ねたニュースもあるので、それもまとめて。▼マルウェアの自衛[まとめ][TrustCorルート証明書削除]こちらのツイートから。2022年12月2日リンク先はこちら。CA-2の3つのルート証明書について、削除はせず、2022年12月1日以降のサーバ証明書を信頼しないように設定を変更するとの決定を伝えている。その設定フラグが有効になるかどうかはアプリケーション側の問題とのこと。最近話題のTrustCorの件、Mozillaはca-certificatesからTrustCorのルート証明書を削除せず「2022年12月1日以降に発行された証明書は信用しない」フラグを付与するが、そのフラグを解釈するTLS実装は少なく信用してしまう。2022年12月11日Ubuntuは2022/12/05にリリースしたアップデートでca-certificatesからTrustCorを削除した模様。2022年12月11日FedoraとRHELはTrustCorのルート証明書をまだ削除してなさそうだ。削除予定があるかどうかも不明。2022年12月11日Microsoftは削除したらしい。確かに手元のWindows11で検索してみた限りTrustCorで検索しても出てこない。2022年12月11日macOSの信頼されたルート証明書にはまだTrustCorが含まれている。背景については以前のニュースで取り上げた。kdnakt.hatenablog.com日本語での解説も出ていた。#95]TLSニュースレターが公開されていた。www.feistyduck.comトップニュースはQWACs。フルスイングて...。Mozillaが反対キャンペーンのサイトを立ち上げるなどバチバチやってるらしい。アイコンは可愛いのに...。securityriskahead.euその他のニュースで、本ブログで取り上げていないものについて、簡単に触れておく。耐量子暗号のKyberのライセンスがロイヤリティフリーで利用できるようになったとのこと。シェアを取りに行く戦略だろうか。ChromeがTLS拡張の順序をランダム化すると発表した。Chromeは以前から、GREASEをリリースするなどして、ClientHelloにランダムな値を注入してTLSの拡張性の維持に努めているのでその延長か。TLS終端するリバースプロキシがクライアント証明書をバックエンドのサーバに伝えるためのHTTPヘッダ(Client-Cert)の仕様が検討されているらしい。どこで必要なんだろう...。Sucksこちらのツイートから。最近SSLMateというAPIで証明書の失効情報がレスポンスに含まれるようになった話は以前取り上げたが、その実装の苦労話が書かれている。CCADBのjsonが壊れていたり、CAごとにCRLがDERだったりPEMだったりURLが間違っていたりと散々だったらしい。▼Qiitaの証明書こちらのツイートから。Safariでqiitaを見ると証明書警告がでる。証明書発行日2022/12/04具体的にどこが標準非準拠なんだろ。自分も少し古いバージョンのSafariで試してみたが特に警告は出なかった。▼マルウェアの自衛こちらのツイートから。Europeで紹介されたクラウドセキュリティの迂回事例。(DoH)を使用し、HTTPSリクエスト文字列数千行でバイナリを嵩増し。CoinStompはタイムスタンプ操作、システムの暗号ポリシーの削除、dev/tcpによるリバースシェル。2022年12月10日DoHを使うことで、送信先のサーバを隠していたとのこと。確かに元々はプライバシー保護のための仕組みなので、正しい使い方ではある...。HTTPSリクエストのUser-Agentヘッダーに数千行の文字列を入れており、セキュリティアナリストの目から逃れようとしていたのではないかと言われている。[まとめ]来週はお休みするかも...。(1)はてなブログをはじめよう!kidani_aさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。