知名互联网域名注册商 GoDaddy 发现域名验证过程存在漏洞后,立即撤消了 6000 多个客户的 SSL 证书,并开始重新签发证书。
事件详情
GoDaddy 在 1 月 10 日发布公告表示,该漏洞出现于 2016 年 7 月 29 日,GoDaddy 在例行代码更新改进证书颁发过程中意外地引入了 bug ,导致域名验证过程失效。自去年七月起至今年一月十号,在此期间约 2% 已颁发的证书( 6100 名客户)受到影响。目前漏洞已经修复,问题证书已经撤销,对于受影响的客户将免费重新签发 SSL 证书。
漏洞原理
当证书机构( GoDaddy )验证 SSL 证书域名时,机构会向客户提供一个随机代码,并要求他们将其放置在其网站上的特定位置,域名系统会搜索代码并完成验证。然而,由于 GoDaddy 代码错误,某些 Web 服务器配置会导致系统搜索结果判定异常,系统即使找不到代码也会验证成功。
事件影响
即使 GoDaddy 撤销了网站的 SSL 证书,受影响网站的 HTTPS 加密仍将起作用。在网站安装新的证书之前,访问者可能会在其浏览器中看到警告提示框。GoDaddy 正在免费签发替换证书并对此向客户发送邮件道歉。验证失效是一个很严重的事情,黑客可利用该漏洞欺骗域名注册商 GoDaddy 运行其 SSL 证书,伪装成合法网站,传播恶意软件或窃取个人信息,如银行凭据。
稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。
转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。
Facebook动态消息(News Feed)因为存在重大排序错误,过去6个月一直推送“糟糕”内容。由于排序算法存在漏洞,动态消息抬高了虚假、暴力信息的权重。去年10月,工程师发现推送有问题,当时动态消息中的虚假信息明显增多。 虚假信息本来是经过事实核查员审查过的,应该早早得到抑制,但这些信息却四处...
在周一发布的联合公告中,美国网络与基础设施安全局(CISA)、联邦调查局(FBI)和财政部指出 —— 被称作 Lazarus Group 的黑客组织,正在使用被植入木马的加密货币应用程序,向区块链行业的各个组织发起攻击。据说受害者中包括加密货币交易所、风投、持有大量加密货币 / 非同质化代币(NFT...
美国联邦调查局(FBI)警告个人和公司当心商业电子邮件泄露(BEC)攻击。据估计,2016年6月至2021年12月期间,国内和国际因此的损失已达430亿美元,2019年7月至2021年12月期间此类攻击增加了65%。 BEC攻击通常针对执行合法资金转移请求的企业或个人。它们涉及通过社会工程、网络钓鱼...
随着道路上电动汽车数量的增加,对电动汽车(EV)充电站和这些充电站内基于互联网的管理系统的需求也在增加。然而这些管理系统面临着自己的问题:网络安全攻击。 资料图 UTSA网络安全和分析中心主任Elias Bou-Harb及其同事–迪拜大学的Claud Fachkha和蒙特利尔康科迪亚大学的Tony...
在一个知名黑客声称要出售一个包含7000万用户个人信息的数据库后,AT&T表示并没有遭遇数据泄露事件。这个被称为ShinyHunters的黑客昨天开始在一个黑客论坛上拍卖这个数据库,起价20万美元,递增报价3万美元。 该黑客表示,愿意立即以100万美元的价格出售。从该黑客分享的样本来看,该...
国际特赦组织(Amnesty International)的一份报告称,一家印度网络安全公司与一款针对知名活动人士的安卓间谍软件程序有关。 国际特赦组织的团队进行了调查,他们证实了该公司与一起针对多哥人权维护活动人士的间谍案件有关,还观察到其在几个关键的亚洲地区部署间谍软件的迹象。 据国际特赦组织...