Let's Encrypt服务不可用

本月18、19日，由Let's Encrypt运营的部分服务不可用，影响了ACME和OCSP服务器。据悉，其原因是URL中的斜杠处理方式发生了一个变化。 OCSP请求是base64编码的，base64包含斜杠作为其编码字符之一。 这导致CDN缓存的错误，从而导致系统过载。

一旦证书颁发机构短时间离线了，这样的问题就会出现。理想情况下，协议和应用程序应该足够强大来处理这种情况，但事实却并非如此。指出，当OCSP发生中断，两大主流服务器Apache和Nginx都无法处理妥当。

赛门铁克事件争议将收尾

今年年初发生的使得谷歌计划对其采取措施、提出取消信任。经历了一番唇枪舌战后，谷歌与赛门铁克终于开始握手言和，酝酿出了以减轻对赛门铁克现有客户的影响。该协议的核心是赛门铁克将创造一个新的证书根，将由现有的和另一个证书颁发机构进行交叉签名。因此，从长远来看，可以消除对现有根源的信任。Mozilla提出同意该协议并将与谷歌共同监督执行。

本月短新闻

• Chrome将对使用HTTP的站点增加更多花式警告。从2017年10月开始，只要用户在HTTP站点上输入表单数据，Chrome就会在URL栏上显示一个“不安全”警告。
•  是一个Vim插件，在编辑配置文件时突出显示不安全的TLS密码。
• 越来越多的网站自动使用HTTPS。 本月, 新站点 , , 以及Stack Overflow 宣布了HTTPS过渡。Stack Overflow发布了一篇描述了向HTTPS迁移的挑战和过渡的详情。
• Cloudflare开始支持.
• 在上，发表了与TLS相关的几篇论文和介绍。 INRIA法国的研究人员获得了正式验证的TLS 1.3实施（）的杰出论文奖; 其他论文调查了证书撤销的新方法（;） 使用符号执行来查找证书验证库中的错误（）和分析TLS实现的主机名验证（;）
• 。
• Ryan Hurst在中讨论了OCSP撤销原因; 他认为标准中的那些过时了。 在几个后续博客文章（帖子1，帖子2，帖子3）中，Hurst和Comodo的CEO了短期证书。
• MySQL在处理TLS时发现了过去的几个漏洞，即使配置禁止依旧通常允许未加密的连接。 在上月的总结中，我们提到了Riddle漏洞。这一漏洞似乎至今并未修复，而近期一个叫“也才被修复没多久。
• LibreSSL中的错误在某些情况下使用回调函数。 该漏洞在中得到修复。
• 来自亚马逊的ColmMacCárthaigh提供了TLS 1.3中零往返时间（0-RTT）模式的。 0-RTT是TLS 1.3的一个有争议的功能。 它允许加密会话恢复，无需额外的往返行程，但它具有重播攻击的风险。
• 。 此漏洞允许使用由接受的证书颁发机构签署的用于连接的任意证书。
• Mozilla的David Keeler发表了，关于Firefox似乎已经看到Mozilla域名没有被公开发布的有效证书。 然而，事实证明，所有这些事件都可以用其他方式解释：内存不足，过时的DNS服务器和本地导入的根证书，都可以造成貌似公开信任的的假象。
• OpenSSL的Matt Caswell在使用TLS 1.3时发布OpenSSL支持TLS1.3特性的。
• 有一个叫做 的Python库用于处理证书透明度。
• Cloudflare现在。
• Microsoft终于。
• 规定了HTTP / 2的机会性加密。 HTTP中的机会加密是有争议的，因为有些人认为它可能被用作避免部署适当HTTPS的借口。
• 是在Nginx Web服务器中自动添加证书透明度SCT的模块。
• 。 由于OCSP通常以软故障模式实现，因此几乎没有安全优势。 为此，Chrome已经停用了它。
• Sucuri公司的一篇博客文章表明，。 Chrome和Firefox最近都对这些页面引入了警告。
• Adam Langley在博客文章中介绍了。 AES-GCM-SIV是一种块密码模式，具有一些抵抗非法滥用的阻力。
•