点击蓝字关注我们前言在日常渗透过程中我们经常会遇到瓶颈无处下手,这个时候如果攻击者从公众号或者APP进行突破,往往会有很多惊喜。但是目前市场上的APP都会为防止别人恶意盗取和恶意篡改进行一些保护措施,...
Let's Encrypt构建基础架构以支持基于浏览器的证书撤销恢复
证书颁发机构Let's Encrypt已宣布计划建立一个平台,该平台将支持通过证书撤销列表(CRL)撤销数字证书。否认受损数字身份的CRL方法是多年前建立的,但在过去十年或更长时间中已基本淘汰,取而代...
近20家手机银行客户端数字签名滥用风险漏洞分析
近日百度安全实验室在手机银行正版信息提取时,发现有一个数字证书签名被很多银行的手机客户端所使用。与此同时还发现了几款个人开发者类应用也使用了此证书签名。而这种数字签名被滥用的行为存在极大的安全隐患。 ...
《了不起的密码》之五:如何在网络上鉴别实体身份?
点击蓝字关注我们在网络世界,数字证书可以表明网络实体的身份,但持有数字证书并不能完全证明你就是证书上记载的那个实体,还需要经过一个特殊的验证过程,这就是“身份鉴别”。点击视频,快速了解关于数字证书的问...
域名数字证书安全漫谈(4)-假冒证书、DNS劫持、钓鱼攻击
以往,钓鱼网站都是采用跟目标网站相似的域名,这种情况下,钓鱼网站完全可以使用自己申请的证书,直接通过关键词竞价排名等手段将流量吸引过来,达到欺骗用户的目的。这类网站稍加留意,即可发现破绽。那么有没有使...
一文帮你解决APP抓包难题
1.前言 在日常渗透过程中我们经常会遇到瓶颈无处下手,这个时候如果攻击者从公众号或者APP进行突破,往往会有很多惊喜。但是目前市场上的APP都会为防止别人恶意盗取和恶意篡改进行一些保护措施,比如模拟器...
域名数字证书安全漫谈(1)-证书长什么样子?
数字证书安全漫谈(1)-证书长什么样子?我们以最常见的网站域名数字证书为例。大家在电脑上登录网银、使用搜索引擎、使用网上支付的时候,会留意到浏览器的地址栏有个小锁标志(根据浏览器类型和版本的不同,小锁...
CDN加速逐步进入HTTPS时代
在之前的域名数字证书安全漫谈系列文章中,讲到了跟数字证书有关的安全问题,如假冒证书、劫持、钓鱼攻击等。今天,来谈谈跟数字证书有关的另外一个话题,那就是HTTPS该如何加速的问题。众所周知,CDN在内容...
域名数字证书安全漫谈(2)-签名哈希算法与证书伪造
域名数字证书安全漫谈(2)-签名哈希算法的重要性与证书伪造证书中的签名哈希算法如下图所示:它是上一级证书对域名证书执行签名的过程中需要使用的,具体的签名过程可分为两步:第一步,将域名证书的内容,使用签...
安全问题的本质
注:一口气写完此文,然后上网搜了下相关新闻,发现阿里小微金融的风险官胡晓明已经做出正式回应。点击阅读原文可以查看他的公开信。 最近在网上有篇关于支付宝安全的文章,讲的是如果手机丢失了以后,别...
俄乌危机中的数字证书:吊销、影响、缓解
商业数字证书签发和使用使用情况分析
概要数字证书是整个现代webPKI系统的最核心的部分之一。如果说DNS数据标识了网络资产的地址,那么数字证书就是网络资产的身份证。没有,丢失或者被吊销数字证书,就没有办法证明“我”就是“我”。因此PK...
5