The EFF SSL Observatory is a project to investigate the certificates used to secure all of the sites encrypted with HTTPS on the Web. We have downloaded a dataset of all of the publicly-visible SSL certificates, and will be making that data available to the research community in the near future.

This project is not fully launched yet, because we are currently engaging in vulnerability disclosure for around 28,000 websites that we observed to be using extremely weak private keys generated by a buggy version of OpenSSL.

 

* In addition to the implausibly large and diverse group of CAs you trust, you also completely trust all the intermediary signers they they've signed. Including, of course, DHS (slide 42). (See also: Soghoian and Stamm, "Certified Lies".) Windows and Firefox trust 1,482 CA certs (651 organizations).

* Of 16 M IPs listening on 443, 10.8 M started SSL handshake; of those, 4.3 M used CA-signed cert chains (slide 14). Thus, the majority of servers use "invalid"/invalid/self-signed certs.

* The invalid certs contain all kinds of bad stuff (see slide 16).

* The valid certs contain all kinds of bad stuff (see the rest of the slide deck).

* CAs re-use keypairs in new certs to prolong the effective life (slide 28).

* Many CAs sign reserved/private names. Several CAs have signed e.g. 192.168.1.2. That host is certified to live in many countries by many CAs. One CA thinks its identity is the same as a public/routable IP.

* The single most often signed name is "localhost" (6K distinct certs for that subject name). Many CAs have signed that name many times; a few CAs only signed it once. This suggests many CAs don't even track the names they've signed to make sure they don't get tricked into signing a name twice. Never mind the fact that they shouldn't be signing private names in the first place...A colleague of mine got a CA-signed cert for "mail".
Could that be a problem?

* Your browser trusts two signing certs that use a 512-bit RSA key (slide 32).

* The bad Debian keys are not dead, and 530 are CA-signed. 73 of the 530 are revoked.
 

Kết quả mà mình quan sát được là hầu hết các web site này đều cấu hình SSL/TLS sai.  

[conmale@home ~]$ cat sites
www.vietcombank.com.vn
www.icb.com.vn
www.e-sacombank.com.vn
www.shb.com.vn
www.acb.com.vn
www.eximbank.com.vn
www.navibank.com.vn
www.vib.com.vn
ebank.southernbank.com.vn
www.abbank.vn
ibanking.militarybank.com.vn
www.msb.com.vn
www.saigonbank.com.vn
www.vbard.com.vn
www.bidv.com.vn
www.vbsp.org.vn
www.vpb.com.vn
www.seabank.com.vn
www.nab.com.vn
www.ocb.com.vn
www.nasbank.com.vn
www.oceanbank.vn
www.habubank.com.vn
www.mhb.com.vn
www.kienlongbank.com.vn

[comale@home ~]$ for each in `cat sites`; do ./ssl-cert-check -s $each -i -p 443; done

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.vietcombank.com.vn:443 VeriSign, Inc. Valid Jun 6 2012 665

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.icb.com.vn:443 VeriSign, Inc. Valid Nov 22 2011 468

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.e-sacombank.com.vn:443 VeriSign, Inc. Valid Nov 16 2010 97

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.shb.com.vn:443 VeriSign, Inc. Valid Mar 1 2011 202

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3079063260:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078969052:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078461148:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077588700:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.acb.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.eximbank.com.vn:443 VeriSign, Inc. Valid Nov 19 2010 100

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.navibank.com.vn:443 SomeOrganization Expired Jan 29 2009 -559

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3079505628:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077986012:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078121180:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077514972:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.vib.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3078199004:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078280924:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077727964:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077527260:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
ebank.southernbank.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3078182620:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077605084:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077703388:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3079325404:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.abbank.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
ibanking.militarybank.com.vn:443 SWsoft, Inc. Expired Apr 2 2009 -496

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.msb.com.vn:443 VeriSign Trust Ne Valid Feb 23 2013 927

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.saigonbank.com.vn:443 SaigonBank Expired Mar 8 2010 -156

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.vbard.com.vn:443 SomeOrganization Valid Jul 26 2011 349

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.bidv.com.vn:443 SSL handshake failed Unknown

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3077654236:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078293212:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078973148:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078919900:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.vbsp.org.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.vpb.com.vn:443 Connection refused Unknown

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.seabank.com.vn:443 Connection refused Unknown

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3077961436:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078526684:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078788828:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078981340:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.nab.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3078395612:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078387420:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078338268:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3079026396:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.ocb.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3078846172:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078489820:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077527260:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077502684:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.nasbank.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.oceanbank.vn:443 Valid Mar 11 2011 212

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3077560028:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077568220:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077899996:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078567644:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.habubank.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3079161564:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077523164:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077568220:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3079403228:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.mhb.com.vn:443 Expired -2455420

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
unable to load certificate
3078780636:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3077551836:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078244060:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
unable to load certificate
3078244060:error:0906D06CEM routinesEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE
www.kienlongbank.com.vn:443 Expired -2455420 

[conmale@home ~]$ cat aus-banks
www.nab.com.au
www.westpac.com.au
www.commbank.com.au
www.stgeorge.com.au
www.anz.com
www.hsbc.com.au
www.citibank.com.au
ibs.bankwest.com.au
www.bendigobank.com.au
www.boq.com.au
internetbanking.suncorpmetway.com.au
www.arabbank.com.au
www.banksa.com.au
www.macquarie.com.au

[conmale@home ~]$ for each in `cat aus-banks`; do ./ssl-cert-check -s $each -i -p 443; done

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.nab.com.au:443 VeriSign Trust Ne Valid Feb 8 2011 181

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.westpac.com.au:443 VeriSign, Inc. Valid Jun 12 2011 305

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.commbank.com.au:443 VeriSign Trust Ne Valid Apr 12 2011 244

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.stgeorge.com.au:443 VeriSign, Inc. Valid Mar 31 2011 232

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.anz.com:443 VeriSign Trust Ne Valid Nov 11 2010 92

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.hsbc.com.au:443 VeriSign, Inc. Valid Jan 8 2011 150

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.citibank.com.au:443 VeriSign Trust Ne Valid Aug 20 2011 374

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
ibs.bankwest.com.au:443 VeriSign, Inc. Valid Mar 9 2012 576

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.bendigobank.com.au:443 VeriSign Trust Ne Valid Nov 27 2010 108

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.boq.com.au:443 VeriSign Trust Ne Valid Feb 2 2011 175

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
internetbanking.suncorpmetway.com.au:443 VeriSign Trust Ne Valid May 6 2011 268

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.arabbank.com.au:443 Equifax Valid Sep 20 2011 405

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.banksa.com.au:443 VeriSign, Inc. Valid Mar 31 2011 232

Host Issuer Status Expires Days
----------------------------------- ----------------- -------- ----------- ----
www.macquarie.com.au:443 VeriSign Trust Ne Valid Oct 22 2010 72 

Hi anh !

Cái script anh test về việc áp dụng SSL trong thương mại điện tử, kết quả với nhiều ngân hàng thật sự không chính xác.

vidu:
https://www.acbonline.com.vn/index_c.html --> ebanking của ACB
https://ebanking.abbank.vn/scripts/t24tib -->> an bình bank, ngân hàng này áp dụng toàn hàng microsoft
https://ebanking.mbbank.com.vn/ -->> ngân hàng quân đội

Test thử mấy ngâng hàng mà anh conmale coi được trên ssllabs.com , thì đa phần đạt loại F( thấp nhất)

Một chú ý là các ngân hàng việt nam có vụ phân biệt giữa ibanking và ebanking. Ibanking là giai đoạn đầu của việc triển khai ngân hàng điện tử , nó chỉ có chức năng truy vấn số dư như SMS banking mà thôi. Giai đoạn 2 mới là ebanking cho phép chuyển tiền ( việc chuyển tiền này lại chia thành 2 giai đoạn : chuyển nội bộ và chuyển liên ngân hàng )

Dùng từ " thương mại điện tử " đối với cac ngân hàng việt nam là chưa chính xác. Vì các ngân hàng đang trong quá trình xây dựng, rất nhiều ngân hàng đang hoạt động với cơ sở dữ liệu phân tán, hoặc cũng rất nhiều ngân hàng mới triển khai xong hệ thống Core Banking.

 

@Conmale: Những kết quả kiểm tra của anh đối với ngân hàng VN và ngân hàng ở Úc cho thấy rằng:
- Các ngân hàng ở VN hiện này không chú trọng đến vấn đề an toàn trong giao dịch giữa khách hàng với họ
- Một số thậm chí còn không triển khai việc bảo đảm an toàn (họ không sử dụng https - hoặc do họ chưa cho mấy cái gọi là ibanking hay ebanking).

Em muốn hỏi anh một số điểm:
- Việc họ làm vậy có khả năng gây ra thiệt hại cho khách hàng không? (Kinh nghiệm của anh đã gặp trường hợp sự cố nào xoay quanh việc này chưa ạ?)
- Nếu anh có chức năng liên quan đến việc xử lý vấn đề này, anh sẽ làm sao để cho các ngân hàng VN được đồng bộ tốt như ở Úc. (trên phương diện quản lý vĩ mô chẳng hạn)

P/s: Việc đa số ngân hàng bị lỗi qua bước kiểm tra của anh một phần lớn là do các ngân hàng triển khai các dịch vụ online trên domain khác với domain anh kiểm tra và một số không có hỗ trợ https. Tuy nhiên, dễ dàng nhận thấy họ cấu hình quá "ẩu" và tuỳ tiện.

Cảm ơn anh. 

Chỗ mrro chơi bài nào với mail thế? 

88 giống 2 cái còng của công an thế . Có khi nào ngụ ý răng anh tài nào lên HVA show chiến công hack sẽ bị 88 không ta

Về phần đánh giá trên SSL Labs thì đa phần bị trừ điểm ở Protocol nếu support SSL 2.0 . Ở Cipher Suites nếu nhỏ hơn 128. Fix 2 cái này thì ok. 

Tớ còn 1 câu chuyện sẽ post sau liên quan đến VASC CA, CA nội địa có khách hàng lớn nhất là ... ACB. ACB là ngân hàng hàng đầu của VN, dùng VASC CA thì đủ biết VASC CA mạnh cỡ nào :-D. 

(trước nó còn dùng VASC CA cơ, vui ơi là vui).  

Hi all!

Khi check trên https://www.ssllabs.com ra kết quả Assessment failed: Received fatal alert: illegal_parameter

Cho mình hỏi thông báo trên là lỗi gì, nguyên nhân gây ra lỗi và cách khắc phục như thế nào ? 

This server is vulnerable to MITM attacks because it supports renegotiation (more info here http://blog.ivanristic.com/2009/11/not-just-csrf-ssl-authentication-gap-used-for-credentials-theft.html).