* In addition to the implausibly large and diverse group of CAs you trust, you also completely trust all the intermediary signers they they've signed. Including, of course, DHS (slide 42). (See also: Soghoian and Stamm, "Certified Lies".) Windows and Firefox trust 1,482 CA certs (651 organizations). * Of 16 M IPs listening on 443, 10.8 M started SSL handshake; of those, 4.3 M used CA-signed cert chains (slide 14). Thus, the majority of servers use "invalid"/invalid/self-signed certs. * The invalid certs contain all kinds of bad stuff (see slide 16). * The valid certs contain all kinds of bad stuff (see the rest of the slide deck). * CAs re-use keypairs in new certs to prolong the effective life (slide 28). * Many CAs sign reserved/private names. Several CAs have signed e.g. 192.168.1.2. That host is certified to live in many countries by many CAs. One CA thinks its identity is the same as a public/routable IP. * The single most often signed name is "localhost" (6K distinct certs for that subject name). Many CAs have signed that name many times; a few CAs only signed it once. This suggests many CAs don't even track the names they've signed to make sure they don't get tricked into signing a name twice. Never mind the fact that they shouldn't be signing private names in the first place...A colleague of mine got a CA-signed cert for "mail". Could that be a problem? :) * Your browser trusts two signing certs that use a 512-bit RSA key (slide 32). * The bad Debian keys are not dead, and 530 are CA-signed. 73 of the 530 are revoked.  

[conmale@home ~]$ cat sites
www.vietcombank.com.vn
www.icb.com.vn
www.e-sacombank.com.vn
www.shb.com.vn
www.acb.com.vn
www.eximbank.com.vn
www.navibank.com.vn
www.vib.com.vn
ebank.southernbank.com.vn
www.abbank.vn
ibanking.militarybank.com.vn
www.msb.com.vn
www.saigonbank.com.vn
www.vbard.com.vn
www.bidv.com.vn
www.vbsp.org.vn
www.vpb.com.vn
www.seabank.com.vn
www.nab.com.vn
www.ocb.com.vn
www.nasbank.com.vn
www.oceanbank.vn
www.habubank.com.vn
www.mhb.com.vn
www.kienlongbank.com.vn

[comale@home ~]$ for each in `cat sites`; do ./ssl-cert-check -s $each -i -p 443; done Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.vietcombank.com.vn:443 VeriSign, Inc. Valid Jun 6 2012 665 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.icb.com.vn:443 VeriSign, Inc. Valid Nov 22 2011 468 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.e-sacombank.com.vn:443 VeriSign, Inc. Valid Nov 16 2010 97 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.shb.com.vn:443 VeriSign, Inc. Valid Mar 1 2011 202 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3079063260:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078969052:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078461148:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077588700:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.acb.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.eximbank.com.vn:443 VeriSign, Inc. Valid Nov 19 2010 100 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.navibank.com.vn:443 SomeOrganization Expired Jan 29 2009 -559 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3079505628:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077986012:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078121180:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077514972:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.vib.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3078199004:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078280924:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077727964:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077527260:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE ebank.southernbank.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3078182620:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077605084:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077703388:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3079325404:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.abbank.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- ibanking.militarybank.com.vn:443 SWsoft, Inc. Expired Apr 2 2009 -496 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.msb.com.vn:443 VeriSign Trust Ne Valid Feb 23 2013 927 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.saigonbank.com.vn:443 SaigonBank Expired Mar 8 2010 -156 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.vbard.com.vn:443 SomeOrganization Valid Jul 26 2011 349 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.bidv.com.vn:443 SSL handshake failed Unknown Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3077654236:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078293212:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078973148:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078919900:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.vbsp.org.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.vpb.com.vn:443 Connection refused Unknown Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.seabank.com.vn:443 Connection refused Unknown Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3077961436:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078526684:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078788828:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078981340:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.nab.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3078395612:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078387420:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078338268:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3079026396:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.ocb.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3078846172:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078489820:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077527260:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077502684:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.nasbank.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.oceanbank.vn:443 Valid Mar 11 2011 212 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3077560028:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077568220:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077899996:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078567644:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.habubank.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3079161564:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077523164:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077568220:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3079403228:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.mhb.com.vn:443 Expired -2455420 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- unable to load certificate 3078780636:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3077551836:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078244060:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE unable to load certificate 3078244060:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:698:Expecting: TRUSTED CERTIFICATE www.kienlongbank.com.vn:443 Expired -2455420 

[conmale@home ~]$ cat aus-banks
www.nab.com.au
www.westpac.com.au
www.commbank.com.au
www.stgeorge.com.au
www.anz.com
www.hsbc.com.au
www.citibank.com.au
ibs.bankwest.com.au
www.bendigobank.com.au
www.boq.com.au
internetbanking.suncorpmetway.com.au
www.arabbank.com.au
www.banksa.com.au
www.macquarie.com.au

[conmale@home ~]$ for each in `cat aus-banks`; do ./ssl-cert-check -s $each -i -p 443; done Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.nab.com.au:443 VeriSign Trust Ne Valid Feb 8 2011 181 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.westpac.com.au:443 VeriSign, Inc. Valid Jun 12 2011 305 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.commbank.com.au:443 VeriSign Trust Ne Valid Apr 12 2011 244 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.stgeorge.com.au:443 VeriSign, Inc. Valid Mar 31 2011 232 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.anz.com:443 VeriSign Trust Ne Valid Nov 11 2010 92 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.hsbc.com.au:443 VeriSign, Inc. Valid Jan 8 2011 150 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.citibank.com.au:443 VeriSign Trust Ne Valid Aug 20 2011 374 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- ibs.bankwest.com.au:443 VeriSign, Inc. Valid Mar 9 2012 576 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.bendigobank.com.au:443 VeriSign Trust Ne Valid Nov 27 2010 108 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.boq.com.au:443 VeriSign Trust Ne Valid Feb 2 2011 175 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- internetbanking.suncorpmetway.com.au:443 VeriSign Trust Ne Valid May 6 2011 268 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.arabbank.com.au:443 Equifax Valid Sep 20 2011 405 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.banksa.com.au:443 VeriSign, Inc. Valid Mar 31 2011 232 Host Issuer Status Expires Days ----------------------------------- ----------------- -------- ----------- ---- www.macquarie.com.au:443 VeriSign Trust Ne Valid Oct 22 2010 72 

Hi anh ! Cái script anh test về việc áp dụng SSL trong thương mại điện tử, kết quả với nhiều ngân hàng thật sự không chính xác. vidu: https://www.acbonline.com.vn/index_c.html --> ebanking của ACB https://ebanking.abbank.vn/scripts/t24tib -->> an bình bank, ngân hàng này áp dụng toàn hàng microsoft https://ebanking.mbbank.com.vn/ -->> ngân hàng quân đội Test thử mấy ngâng hàng mà anh conmale coi được trên ssllabs.com , thì đa phần đạt loại F( thấp nhất) Một chú ý là các ngân hàng việt nam có vụ phân biệt giữa ibanking và ebanking. Ibanking là giai đoạn đầu của việc triển khai ngân hàng điện tử , nó chỉ có chức năng truy vấn số dư như SMS banking mà thôi. Giai đoạn 2 mới là ebanking cho phép chuyển tiền ( việc chuyển tiền này lại chia thành 2 giai đoạn : chuyển nội bộ và chuyển liên ngân hàng ) Dùng từ " thương mại điện tử " đối với cac ngân hàng việt nam là chưa chính xác. Vì các ngân hàng đang trong quá trình xây dựng, rất nhiều ngân hàng đang hoạt động với cơ sở dữ liệu phân tán, hoặc cũng rất nhiều ngân hàng mới triển khai xong hệ thống Core Banking.  

@Conmale: Những kết quả kiểm tra của anh đối với ngân hàng VN và ngân hàng ở Úc cho thấy rằng: - Các ngân hàng ở VN hiện này không chú trọng đến vấn đề an toàn trong giao dịch giữa khách hàng với họ - Một số thậm chí còn không triển khai việc bảo đảm an toàn (họ không sử dụng https - hoặc do họ chưa cho mấy cái gọi là ibanking hay ebanking). Em muốn hỏi anh một số điểm: - Việc họ làm vậy có khả năng gây ra thiệt hại cho khách hàng không? (Kinh nghiệm của anh đã gặp trường hợp sự cố nào xoay quanh việc này chưa ạ?) - Nếu anh có chức năng liên quan đến việc xử lý vấn đề này, anh sẽ làm sao để cho các ngân hàng VN được đồng bộ tốt như ở Úc. (trên phương diện quản lý vĩ mô chẳng hạn) P/s: Việc đa số ngân hàng bị lỗi qua bước kiểm tra của anh một phần lớn là do các ngân hàng triển khai các dịch vụ online trên domain khác với domain anh kiểm tra và một số không có hỗ trợ https. Tuy nhiên, dễ dàng nhận thấy họ cấu hình quá "ẩu" và tuỳ tiện. Cảm ơn anh. 

Chỗ mrro chơi bài nào với mail thế? 

88 giống 2 cái còng của công an thế :-) . Có khi nào ngụ ý răng anh tài nào lên HVA show chiến công hack sẽ bị 88 không ta =)) Về phần đánh giá trên SSL Labs thì đa phần bị trừ điểm ở Protocol nếu support SSL 2.0 . Ở Cipher Suites nếu nhỏ hơn 128. Fix 2 cái này thì ok. 

(trước nó còn dùng VASC CA cơ, vui ơi là vui).  

Hi all! Khi check trên https://www.ssllabs.com ra kết quả Assessment failed: Received fatal alert: illegal_parameter Cho mình hỏi thông báo trên là lỗi gì, nguyên nhân gây ra lỗi và cách khắc phục như thế nào ?