資訊安全第10周_你的網頁還在用Sha1嗎??_檔案下載下來就直接執行安裝下載嗎??

- 4月 25, 2016

Virustotal 今天老師介紹的這個網站是全世界都在用的免費掃毒、惡意軟體的網址線上掃瞄服務。使用超過40 套防毒軟體來進行檔案檢查。

針對檔案進行右鍵-->內容-->數位簽章 : 可查看目前這份檔案的Hash演算法(摘要演算法)

詳細資料點開 --> 在【一般】欄位還可以看到一些「數位簽章資訊」

像是名稱、電子郵件和簽署時間

檢視憑證點開還可以看到更細微的【憑證資訊】還有【有效期】

我們現在對剛才在這份執行檔(.exe)丟入至virus 進行掃毒看看安不安全

下方式掃描後的結果

可看到有一項紅色警訊

經由老師診斷這是一個誤報

我們來看一下 SSL VPN 這個執行檔(.exe)

SSL VPN 服務提供方式：

目前系統所提供之功能服務說明如下：　

僅支援IPv4服務：IPv4同持支援Proxy mode及DHCP動態發放IP。

SSL-VPN所支援之認證協定包含：Local (IVE authentication)、LDAP、NIS、ACE、
Active Directory/NT、Radius、Anonymous、SiteMinder、Certificate、
SAML(Security Assertion Markup Language)。

支援後端管理介面

在電腦環境已經超出win7的情況之後

右鍵 --> CRC SHA 可選擇檔案的身分證字號格式

MD5、SHA1、CRC32這三個可以想成為

每一個文件唯一的三種「身份證號碼」

MD5目前已經不符合標準了

========================================================
MD5訊息摘要演算法出自於一名美國密碼學家

圖靈獎得主羅納德·李維斯特(Ronald Linn Rivest)

任職於麻省理工學院電子工程和計算機科學部門 (EECS)計算機科學的一名教授

MD5訊息摘要演算法

可以產生出一個128位元（16位元組）的雜湊值（hash value），用於確保資訊傳輸完整一致。

下方我們來看 VPN這份檔案

右鍵可看到他是使用 SHA256 演算法

安全雜湊演算法（英語：Secure Hash Algorithm)
能計算出一個數位訊息所對應到的，長度固定的字串（又稱訊息摘要）的演算法。

================================================================
左上角按下有點像鎖頭的符號

可以查看憑證和演算法是哪種

紅色不合格
綠色代表合格

==================================================================

signtool 環境設置

(記得先安裝)

下面為win10下預設安裝路徑

===============================================================

本周 HackingLab實作

SHA1 這個演算到了0217年就不會被網頁認可了

SHA1-based SSL 和 code signing certificates 將分別在不同的時間終止使用.

全球所有CA將於2016年1月1日停止發行 SHA1 SSL 和 Code Signing certificates. 針對伺服器憑證SSL的部份, Windows 將於2017年1月1日起停止接受 SHA1 格式的憑證. 這表示在2017年1月1日之後，任何之前已核發的 SHA1 SSL certificates 或在此日之後發行的憑證都必須以 SHA2 格式核發或重發才能被接受.

針對程式碼簽章憑證 code signing certificates, Windows 將於2016年1月1日後停止接受時間戳記在2016年1月1日之後，以 SHA1 簽發的程式碼和 SHA1 憑證. 依循RFC 3161時戳服務中心，於2016年1月1日前，以 SHA1 簽發的程式碼時間戳記將被接受，直到 Microsoft 認為 SHA1 可能被 pre-image attack 反譯攻擊法攻擊為止. 本計劃將不再接受以支援 SHA1 或 RSA 2048 的新根憑證所簽發的程式碼. 新的程式碼簽章憑證( code signing root certificates) 應支援 SHA2 和 RSA 4096.

針對非 SSL 和 Code Signing certificates, CA將於2016年1月1日後不再核發 SHA1 憑證. Microsoft 保留於2017年1月1日後更新 Windows 以執行停止接受 SHA1 憑證的權利.