Newsgroup: it.comp.sicurezza.varie
Titolo: Ancora SSL (by NSA), sappiatelo...

http://thehackernews.com/2015/05/logjan-ssl-vulnerability.html
 
 
 
"To comply with 1990s-era U.S. export restrictions on cryptography, SSL 3.0
and TLS 1.0 supported reduced-strength DHE_EXPORT cipher suites that were
restricted to primes no longer than 512 bits," reads the paper.
 
 
 
-- 
Qualsiasi serratura apribile si puo' aprire.
Qualsiasi combinazione, col tempo si trova.
Inutile stringere le chiappe. Il martello pneumatico, vince sempre!

 configurato per niente lasciando attivi i "default" :P
 
Ma:
1) Chi decide i default?
Ho notato, che molte volte i default sono molto "libertini".
Si pensa troppo all'utente windowsiano, che "non deve configrare nulla", tipo attacca&vai.
Preferisco un sistema che sia bloccato di default e che debba aprire IO quello che mi serve.
 
2) Gli "ammerigani" con la loro fobia del 11/9, della loro "pseudo-paura del terrorismo"
e con le loro imposizioni, hanno denaturalizzato la sicurezza internet.
 
3) Mi aspetto che la limitazione a 512 bit delle chiavi crittografiche (per NSA-idilolatry)
porti nei prossimi anni a nuove scoperte.
 
4) Poi (e non sono il primo ad escludermi) molti non hanno la competenza e le capacita'
di gestire la sicurezza di un sito o di semplicemente "saper gestire" un sito.
Un esempio banale: Dove lavoro, e' stato cambiato il nome dominio di tutta la posta.
Da "
pi...@marchio.it
" a "
pi...@nomesocietamarchio.it
".
Sembra banale, ma e' stato messo un risponditore automatico con il nuovo indirizzo,
ad uso e consumo di spammer e virus. Risultato? Aumento sconsiderato di spam&virus!


 risponditore automatico con il nuovo indirizzo, ad uso e consumo di spammer e 
 
Sembra l'ideale per il backscattering.
 
Ciao
Luca

 restricted to primes no longer than 512 bits," reads the paper.
 
Io ieri avevo visto questo, che fa anche una verifica dei browser
 
http://www.hwupgrade.it/news/sicurezza-software/decine-di-migliaia-di-siti-https-a-rischio-con-logjam-forse-il-bug-sfruttato-dalla-nsa_57330.html
 
 
 


Per Firefox:
 
- about:config
 
- nel box "Cerca" digitare ssl3
 
- Doppio-click su security.ssl3.dhe_rsa_aes_128_sha
  per commutare da true to false
 
- Doppio-click su security.ssl3.dhe_rsa_aes_256_sha
  per commutare da  true to false
 
 
-- 
L.G.B.
 
---
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
http://www.avast.com
 
 

   per commutare da  true to false
 
Grazie mille, letto e applicato
:-)
 
 

 
 
Di niente, figurati.
 
Ciao


 
https://addons.mozilla.org/en-us/firefox/addon/calomel-ssl-validation/
 
 
Link interessanti, che sarebbe bene rimangano ai posteri.
C'e' un motivo particolare per questo ?
 
"Nota. L'autore di questo messaggio ha chiesto che non venga archiviato. Il messaggio verrà rimosso da Google Gruppi tra 6 giorni (4 giu)."
 
 

 
https://www.ssllabs.com/ssltest/viewMyClient.html
 
 
Fortunatamente uso questo sito da qualche mese suggerito forse proprio 
da te, e ogni tanto faccio qualche controllo sui server dei vari 
operatori e istituzioni.
 
Mi serve anche per vedere se cambia in meglio la protezione che 
definirei vergognosa della mia banca.
Stranamente (non l'avrei mai detto) le Poste sono messe molto meglio e 
direi quasi benino.
 
 

 un comodo pannello per la configurazione di SSL ed altro
 
Si, uso FF in versione ESR.
Mah...in genere quando devo fare qualcosa di importante uso FF in safe 
mode, dunque tenderei a non usare né quella estensione né altre.
 
 

Uff...avendo fatto nel tempo varie correzioni (comprese quelle 
suggerite da LGB) a ssl3 su about config pensavo di avere corretto, e 
invece sono ancora vulnerabile...
 
Uff...ma non se ne può più!
 
 

 
 
Beh! Vulnerabilità e insicurezza sono impresse nel DNA della
programmazione e della comunicazione. Si riparano le falle e si
rinforzano i punti deboli per rendere più complicata la vita dei
malintenzionati, ma l'inviolabilità è una chimera.
 
Ciao.
 
-- 
L.G.B.
 


 
 
Già usavo la barra di Netcraft che mostra tra le varie cose se un sito usa o 
meno PFS, ma senza dare informazioni specifiche.
Ho installato questo di Calomel, possibile che per 
mozilla.org
 mostri lo scudo 
rosso? cifratura debole, niente PFS. La cosa mi stupisce.
Tu che impostazioni consigli per l'addon di Calomel?
 
Gabriele