归航-龙泉墨客的驿站

谷歌虽拒中共CNNIC证书 隐患仍在

Firefox证书警告文/龙泉墨客

众所周知,谷歌(Google)以及火狐浏览器(Firefox)母公司Mozilla相继宣布不再信任由中国互联网络信息中心(CNNIC)签发的网站信任证书。表面看似乎是谷歌等大公司和中共之间的矛盾,事实上由于中共长久以来完全践踏互联网基本道德,早在2010年中国IT界就发起了民间自我清除CNNIC根证书(即让浏览器拒绝信任CNNIC签发的证书)。就目前而言,CNNIC根证书仍预装在微软Windows操作系统、苹果OS X、以及苹果iOS设备中。网民如果不自己动手清理,面临的可能危险是:通过https加密连接登录银行、Email网站时,一旦遭到黑客利用CNNIC颁发的网站证书进[……]

阅读全文

“SSL中间人攻击”是怎么回事?

mitm文/龙泉墨客

我们访问银行网站或者Gmail网站的时候都会在浏览器上看到一个锁头,表示网站和浏览器之间的数据是可靠加密的。这个加密的基础是“信任”。我们打个极简化的比方。Alice从中国大陆要加密访问Gmail网站,Gmail先发给Alice一个SSL加密证书——你可以把它想象为一个带锁的信封(钥匙在Gmail手中),Alice可以把敏感信息用这个证书加密(把信息装好用锁头锁住)送给Gmail。

但Alice和Gmail网站之间还隔着中共的GFW防火墙。GFW有能力把Gmail的带锁信封(SSL证书)截住,然后狸猫换太子,把GFW自己伪造的一个信封和锁(钥匙在GFW自己手中)转发给[……]

阅读全文

攻击GITHUB—中共超限战试水 受害恐波及全球

ddos_attack文/龙泉墨客

三月底发生的中共对代码托管网站Github的攻击,是一种新的攻击手法:根据多伦多大学芒克全球事务学院公民实验室研究员发布的报告,这次中共启用了一个进攻性网络武器。研究员称之为“大炮”。当海外用户访问中国大陆的百度网站以及带有百度广告联盟Js代码的网站时,接受到的网页中被植入了恶意代码。恶意代码让这成千上万用户的浏览器像潮水一般攻击Github网站。网络安全专家认为这表明中共信息封锁从被动过滤转为主动进攻。但是很多人忽略了这次攻击的性质:这是一个政府劫持上百万无辜外国平民(包括本国海外侨民),向一个外国民间机构发动大规模骇客攻击。这实际上不折不扣是中共一直在内部鼓吹的“超限战[……]

阅读全文