mboost-dp1

Google

Google indfører bedre sikkerhed

- Via Google Online Security Blog -

Det er kun et år siden, at Google slog krypteret browsing (https) til som standard for alle Gmail-konti. Nu udvider Google endnu engang sikkerheden ved også at indføre “forward secrecy” som standard for Gmail og Google Docs-brugere.

Som det hidtil har fungeret hos Google og de fleste andre services, der tilbyder krypteret trafik, har en kriminel kunnet opsnuse den krypterede trafik, men ikke kunnet læse den. Tilgengæld har vedkommende kunnet gemme de krypterede data, og håbe på, at fremtidens langt hurtigere computere på et tidspunkt vil kunne bryde krypteringen.

Ved brug af forward secrecy vil den offentlige nøgle til en given session altid skifte, ligesom den private nøgle på serveren aldrig vil ligge særlig længe. På den måde vil et eventuelt brud på nøglen til en enkelt session ikke kompromittere tidligere og efterfølgende sessioner.

Google udtaler selv, at de håber, forward secrecy bliver en standard inden for industrien, og at de med deres skift hertil har vist, at det let kan lade sig gøre. Alt arbejde de har lavet på at indføre forward secrecy i OpenSSL har de ligeledes gjort offentligt tilgængeligt.

Forward secrecy understøttes af Chrome og Firefox, mens Internet Explorer kræver Windows Vista eller nyere, for at fungere. De to første browsere vil automatisk anvende den nye sikkerhedsmetode.





Gå til bund
Gravatar #1 - Alrekr
23. nov. 2011 11:51
Nu snakken går på sikkerhed med Google: Google Authenticator - hent den app til Android, iOS eller Blackberry og aktivér 2-step verification.
Gravatar #2 - Nize
23. nov. 2011 13:05
#1 ja - bedste allround sikkerhedsfeature de har indført, sammen med deres application passwords.

I samme ombæring, brug Facebook's SMS godkendelse til nye enheder - så kan andre ikke logge på din Facebook *på en ny enhed* uden at indtaste en kode fra SMS først. (dvs. ikke indtaste SMS hver gang, men kun én gang på ny enhed)
Gravatar #3 - LordMike
23. nov. 2011 13:51
Troede forward secrecy var en default?

Min opfattelse var klart at ssl standard var en ny key for hver session.. Det skulle vist være en del af negotiation fasen..

Det nye kan måske være at de vil skifte deres key oftere.. ?
Gravatar #4 - gensplejs
23. nov. 2011 15:14
LordMike (3) skrev:
Troede forward secrecy var en default?

Min opfattelse var klart at ssl standard var en ny key for hver session.. Det skulle vist være en del af negotiation fasen..

Det nye kan måske være at de vil skifte deres key oftere.. ?

Nej. Perfect forward secrecy bliver først en option i TSL 1.0 (aka SSL 3.1)

http://utcc.utoronto.ca/~cks/space/blog/tech/SSLFo...
Gravatar #5 - kasperd
23. nov. 2011 15:48
gensplejs (4) skrev:
Perfect forward secrecy
Det er i øvrigt en misvisende betegnelse fordi det intet har med Perfect security at gøre. Whitfield Diffie har også selv nævnt problemet med navngivningen i

Bortset fra navngivningen er det et fornuftigt princip som burde være en selvfølge i alle krypteringsprotokoller. Med andre ord, uanset om protokollen hedder SSL, WEP, SSH eller WPA, så vil jeg kalde det et sikkerhedshul hvis en passiv sniffer med kendskab til nøglematerialet kan dekryptere kommunikationen.
Gravatar #6 - cazaadotdk
24. nov. 2011 07:47
Kanon! Det er ikke mere end 14 dage siden jeg flyttede alle mine 20.000 mails fra min eget webhotel over til Google Apps.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login