記錄一些旅行遊記、有趣科技發明、紳士研究、ACG相關新聞與心得；為一受阿部馬賽克守護、可說完全看不到任何奇怪內容的清純部落格！
有鑑於各大主流瀏覽器公司,包括微軟、蘋果、Google和Mozilla都紛紛基於安全性理由,
逐漸停止對網頁加密驗證協定TLS (Transport Layer Security) 1.0及1.1版的支援,
即便這裡只是個沒有任何電子商務功能的普通個人網站,為了確保讀者的安全,
此部落格也自即日起跟進停止支援加密驗證協定TLS 1.0與1.1;
仍在使用IE8(含)以下、Chrome 29(含)以下、Firefox 26(含)以下、Safari 6(含)以下、
Android 4(含)以下內建瀏覽器及iOS 4(含)以下的行動版Safari等瀏覽器的讀者,
建議還請儘速將其升級至支援TLS 1.2的較新版本,以確保自身安全.
標籤: Blog, cloudflare, Domain, 站務相關, 資訊安全
在iThome看到了”香港7家免費VPN外洩用戶資訊“這個報導,說是有7間標榜不紀錄用戶資訊、
總部皆位於香港的免費VPN業者(背後疑似為同一開發者): UFO VPN、FAST VPN、Free VPN、Super VPN、
Flash VPN、Secure VPN以及Rabbit VPN,日前被專門評測VPN的機構vpnMentor發現,
它們所共同存放紀錄的伺服器可能已經外洩1.2TB、內含超過10億筆紀錄的使用者私人資訊;
同時vpnMentor亦推出了自己的VPN推薦列表”10 Best (REALLY FREE) VPN Services That Still Work in 2020“─
雖然不曉得是否有業配嫌疑,vpnMentor到底是曾多次揭露資料外洩事件並專精衡鑑VPN的安全公司,
意見應該比收了錢也講不出什麼東西的網紅部落客等可信許多,便稍微紀錄一下,以備日後不時之需 ww
從Gea-Suan Lin’s BLOG看到的消息,雖為付費工具卻長期提供免費版本的知名沙盒軟體Sandboxie,
其母公司Sophos日前於該軟體官方頁面中發佈了將讓Sandboxie開源(open source)的公告,
雖然官方並未透露過渡至開源的時程,以至於何時會正式將該計畫釋出尚屬未知,
不過卻有個對免費版用戶而言天大的好消息─在完全過渡至開源專案之前,
那些原先需要付費方能使用的功能…..將會全部解鎖! 免費使用完整功能!
FastComet的服務老實講滿棒的,基本功能該有的都不缺,客服回應快又有一個域名隨Hosting續約免費的福利,
或許就因俗又大碗過了頭,FastComet在今年中寄信通知調整服務契約,
從原先的續約固定費率改成了像其他家那樣有可觀漲幅的”看準你懶得搬”商業模式,
個人的方案續約直接變成每月9.95美元…..即便老客戶能打7折,這價格已幾乎能租個不錯的VPS,
考慮到本Blog半年份廣告收入也才值兩瓶養樂多、現在還因為內容太色情被Google停廣告(淚),
實在沒太多預算能花在主機上,個人便打算在這幾天將網站搬到其他地方去了.
上週六凌晨被手機的信件通知吵醒,說是”カレー補完計畫”掛掉了,
原想說這部落格又不是賣東西的電子商務網站,明天睡醒再處理就好,
結果打開一看是”508 Resource Limit Is Reached”…..嚇得我以為網站被DDoS、
想說會否因過度消耗限定配額的共用主機資源而被Fastcomet掃地出門,
只得馬上起床,找辦法弄清楚這部落格到底發生什麼事了 “orz
閒來無事為網站做簡單線上健檢,結果被指出有HTTP headers方面缺失…..
看的我丈二金剛模不著頭緒,想說自政府推廣”烘培雞”時期開始學習製作網頁到現在,
從沒聽過<header>元素和資訊安全有什麼相關,趕緊開始查資料,
才曉得這HTTP header指的是HTTP傳輸訊息內的欄位,與html的<header>沒太大關係 XD
關於HTTP headers的安全性,可以使用Security Headers這個網站來檢查,
而這個部落格的結果一如上圖,評分只有D等級…..看來不做些修改不行了 “orz
雖然本部落格在新版Google PageSpeed Insights上的評分非常悽慘,
在把網站主機從新加坡搬到日本東京後,想說對台灣讀者而言此站的速度應該有變快,
就一直沒有進行速度優化的打算,不過用了幾個月…..實在忍不住了…..
我人在地球另一邊的英國,這個部落格開起來超慢的啊啊! “orz
於是用Chrome開發人員工具看了一下載入流程,才赫然發現…..
DNS Lookup、Initial connection、SSL和TTFB幾個關鍵指標,表現還真的都不怎麼樣 XD
從iThome看到的報導,在卡巴斯基披露華碩Live Update Utility升級伺服器於2018年6到11月間,
遭到以供應鏈為目標、名為”ShadowHammer行動”的APT集團攻擊此一事件後,
經過兩天的時間,讓用戶自行檢測、查詢是否受害的工具總算問世了:
其中卡巴斯基提供了比對惡意軟體內MAC位置紀錄的程式與確認網站,
華碩雖然強調受害範圍有限,亦推出了ASDT(ASUS Security Diagnostic Tool)檢測程式,
若對是否受到影響有所疑慮,或許可以先用這些工具自行檢查一下電腦.
[佛系檢測憑證安全等級]
不禁止TLS1.0和TLS1.1,不加DNS CAA紀錄,不把金鑰長度改成4096位元,
只加上HSTS(HTTP Strict Transport Security,HTTP強制安全傳輸技術),
緣分到了Qualys SSL Labs的SSL Server Test自然就會是A+(咦)
原本還在掙扎是否要禁止TLS1.0和TLS1.1,畢竟微軟、蘋果、Google及Mozilla等四大廠,
都早已經宣布將於2020年終止對TLS1.0與1.1的支援,但有些讀者仍在用較舊的瀏覽器,
貿然停止實在過意不去…..沒想到加個HSTS就達標了 XD
“Google知識圖譜(Google Knowledge Graph)”為Google於2012年所推出的新功能,
藉由顯示知識圖譜,使用者能在搜尋後迅速獲得經過簡單彙整的結構化訊息,
以及相關的額外資訊或連結列表;然而如此方便的服務,卻有著被用來助長散布假消息的可能性─
根據iThome的報導,英國資安人員Wietze Beukema發現了Google知識圖譜的表現方式有bug,
只要複製代號,就可以於任何Google搜索的分享連結中嵌入或置換特定知識圖譜,
若再加入特定參數值,甚至還能以知識圖譜完整取代搜尋結果、讓人信以為真!