--- title: "Firefox 4 針對 SSL/TLS 的新保安功能" url: https://sammy.hk/firefox4-ssl-tls-renegotiation-securit/ author: Sammy Fung published: 2011-03-14T08:30:55+08:00 modified: 2018-03-22T00:15:21+08:00 description: "上星期 Mozilla 釋出 Firefox 4 第一個 RC 版本 (wiki.mozilla.org)，Linux/Mac/Windows 版本已供下載，大家也來下載試用，來看看 FF4 在正式推出前還有沒有小問題。 我想這是我最遲開始主用 FF4 的時候了，也可以試試 FF4 的功能，早些得多一點日常使用上的經驗…" categories: ["科技"] tags: [firefox] source: https://sammy.hk --- [![](http://farm6.static.flickr.com/5131/5523717478_c5d924f4cf_z.jpg)](http://www.flickr.com/photos/sammyhk/5523717478) 上星期 Mozilla 釋出 Firefox 4 第一個 RC 版本 ([wiki.mozilla.org](https://wiki.mozilla.org/Releases/Firefox_4.0rc1))，Linux/Mac/Windows 版本已供下載，大家也來下載試用，來看看 FF4 在正式推出前還有沒有小問題。 我想這是我最遲開始主用 FF4 的時候了，也可以試試 FF4 的功能，早些得多一點日常使用上的經驗。昨天開始在 Ubuntu 上主用 FF4 瀏覽器，我所用的是 Launchpad PPA 的 beta 13 版本 (並不是 RC 版)。 打算去看 Black Swan 電影前，先上網購票訂位，最後卻因網上付款時出現問題，而不能完成訂位手續。之後開動 FF4 新功能的 Web Console (上圖中間偏上的部份) 和舊有的 Error Console (上圖右下方的小視窗) (可在 Tools 底下找到這兩個 Consoles) 重覆再試訂位也不能成功，但發現 www.p網上付款$.com : server does not support RFC 5746, see CVE-2009-3555 字句。 預設上 Firefox 4 不能用「那個網上付款服務」，是因為 [FF4 預設上防止針對 SSL/TLS 瑕疵的中間人攻擊](http://mzl.la/f8uuQo) ([CVE-2009-3555](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3555))，而已支援 [RFC 5746](http://tools.ietf.org/html/rfc5746) 號技術文件上說明。 不幸很多 web server 仍使用易受攻擊的 SSL/TLS 協定版本，所以 Firefox 4 預設上未能使用「那個網上付款服務」，但可透過修改 FF4 設定來容許 FF4 bypass 這項安全功能。 **security.ssl.renego\_unrestricted\_hosts (預設是一個沒有任何字的字串值)** 可在這設定容許這值列出的 web server，採用舊 SSL/TLS 協定來作 renegotiation，多個 web server 可以以 , 號作分隔。 **security.ssl.allow\_unrestricted\_renego\_everywhere\_\_temporarily\_available\_pref (預設值: false)** 如果設定為 “true” 會完全使這項新保護失效。建議在有需要時，依舊保持此設定值為 false，而使用 security.ssl.renego\_unrestricted\_hosts 來容許跟部份採用舊 SSL/TLS 的 web server 作 renegotiation。 **security.ssl.treat\_unsafe\_negotiation\_as\_broken (預設值: false)** 如果設定為 “true”，FF 在跟採用舊 SSL/TLS 的 web server 連線時，會在狀態列顯示網站保安損毀警告來提示用家。 **security.ssl.require\_safe\_negotiation (預設值: false)** 如果設定為 “true”，FF 會拒絕跟任何採用舊 SSL/TLS 的 web server 連線，而提高安全性。將來當大部份 web server 升級後，這設定會預設為 “true”。 (註：看完電影後回來，在短短發現網上付款服務數小時後，寫本篇網誌時打算重新「製作」 screen capture，誰不知那個網上付款服務好像已解決 SSL/TLS 問題 (因為我並沒有修改 FF4 設定)，可能是跟我發過有關的推 tweet 或之類的原因吧。如此有效率值得一讚! (雖然我也算是那個網上付款服務的商業客戶，但我不是賣廣告的。) ### 相關文章： 1. [睇 newsgroup 既 RSS](https://sammy.hk/read-newsgroup-in-rss/ "睇 newsgroup 既 RSS") 2. [三香港客戶只可用IE來登入其網站](https://sammy.hk/three-hongkong-ieonly-website/ "三香港客戶只可用IE來登入其網站") 3. [三香港客戶只可用IE來登入其網站（2）](https://sammy.hk/three-hongkong-ieonly-website-2/ "三香港客戶只可用IE來登入其網站（2）") 4. [開源馬會網上投注的隨想](https://sammy.hk/opensource-hkjc-online-betting/ "開源馬會網上投注的隨想")