计算机科学家警告，利用弱点破解加密Web连接的技术正日益变得实用。而针对RC4加密算法的攻击也可用于破解使用WPA-TKIP协议保护的无线网络。研究人员早就知道，RC4中的统计偏差让攻击者可能预测出加密算法编码信息使用的部分伪随机比特。2013年，科学家设计出利用弱点的攻击方法，但需要2000小时才能正确猜测出认证cookie包含的字符。现在，在改进技术之后研究人员将破解所需的时间降低到75小时，正确率达到94%。而对 WPA-TKIP网络的类似攻击只需要一个小时。研究人员建议停止使用RC4加密算法。

Rhino Security Labs开发的匿名WIFI设备项目Proxyham突然取消，原计划在安全会议Def Con上发表演讲的计划也同时取消。有人说是该项目被认为违反了法律，另一些人认为整个项目本来就是营销。Proxyham使用了一个 Raspberry Pi电路板，利用 900 MHz的超高频波段连接最远2.5英里外的公开WIFI来隐藏设备的物理位置。即便遭到跟踪，跟踪者也只能发现距离很遥远的一个IP。设备的工作原理和蹭网没多少区别，类似的产品事实上已经存在。

《华尔街日报》刊登了一篇长文介绍了知名安全专家Moxie Marlinspike，他曾是被Twitter收购的WhisperSystems公司CTO，目前是Open Whisper Systems的创始人。Marlinspike开发的加密应用已被Facebook的WhatsApp采用，提供加密通讯功能。对于加密通讯应用，英国首相和美国总统都对此表示担忧，认为会被恐怖分子利用。这也让Marlinspike这位留着长辫极其注重隐私的程序员成为争议的焦点人物。他开发的短信和电话加密应用 Signal甚至成为白宫会议谈论的话题。前NSA合同工Edward Snowden鼓励人们使用Marlinspike发布的任何应用。密码学者、霍普金斯教授Matthew Green曾让他的学生去研究Marlinspike的代码，出乎他意料的是没有在代码中发现任何错误。Google的安全研究员Morgan Marquis-Boire说，他很少信任别人写的隐私工具，而Marlinspike是他信任的少数人之一。Marlinspike在2013年离开Twitter，之后获得Open Technology Fund的130万美元资金去开发加密通讯应用，加密通讯被认为可以帮助全世界的亲民主运动。

14位世界知名的密码学专家，其中包括Ronald L. Rivest（RSA中的R）、Peter G. Neumann，Harold Abelson、Susan Landau和 Bruce Schneier，共同完成一份报告（PDF）。他们的结论是没有可行的技术方案，能在不危及世界机密数据和关键基础设施的情况下允许美国和英国政府通过后门访问加密通信。在Edward J. Snowden曝光NSA监视科技巨头数据中心之间的未加密通信之后，苹果、微软和Google等都开始加密企业和用户数据，执法机构和情报机构抱怨加密威胁到了他们监视恐怖主义、绑架等违法犯罪活动的能力。英国首相David Cameron甚至威胁要封杀加密通信。NSA局长Michael S. Rogers也提出了一个类似后门的方案。

知名安全专家Bruce Schneier在《连线》上发表文章认为，中国和俄罗斯很可能早在Snowden之前就获得了NSA的相关机密文件。中国和俄罗斯都有专业的情报机构，如果Snowden这样的合同工都能访问和收集NSA的机密文件，凭什么认为职业特工无法做到？Schneier几乎百分之百肯定中国和俄罗斯已经拥有了Snowden的文档拷贝，错不在Snowden本人，而最有可能是访问机密文件的记者，他也处理过部分Snowden文档，作为一名偏执的加密专家，他深知完美的安全是不存在的。有许多名记者持有Snowden文档的拷贝，他们不太可能有能力躲避全世界的情报机构。

旨在让每个网站都能使用HTTPS加密的Let's Encrypt项目公布了发布时间表：下个月签发第一张免费证书、9月14日开放系统接受任意域名的证书签发请求。Let's Encrypt发表了一篇文章介绍了证书签发的流程：只需要在网站服务器上安装Let's Encrypt，生成密钥交换密钥和认证域名的工作主要由它完成，这个程序是开源的，源代码托管在GitHub上，任何人都可以审查，它是用Python语言编写的。

知名加密技术专家Bruce Schneier推荐Windows用户使用微软的BitLocker加密磁盘，称他寻找的是最不坏的选择。BitLocker是Windows内置的文件加密技术，最初是Schneier的同事Niels Ferguson设计的，但在Windows 8中BitLocker发生了许多改变，引发了安全社区的怀疑，比如移除了Ferguson设计的Elephant Diffuser。The Intercept的Micah Lee称，微软解释说移除Elephant Diffuser是出于性能和兼容性上的考虑。Schneier同意Micah Lee的说法，如果你真的不信任私有系统，那么你应该迁移到Linux，你要么信任你自己写的软件，要么信任其他人为你写的软件。

代表微软、苹果、Facebook和IBM等科技公司的两大行业组织联合致函美国总统奥巴马，督促美国政府不要寻求在加密技术中立法加入官方后门。软件信息行业协会和信息技术行业委员会在一封措辞强烈的信函中称：促进在线经济的持续增长，消费者对数字产品和服务的信任是必不可少的组成部分。因此，我们请求您不要推行任何政策或提议，去要求或鼓励企业削弱他们的技术，包括削弱加密技术和创建加密的后门。

彭博社报道，比利时执法部门在周一的联合突袭中逮捕了两名恐怖分子嫌疑人，向另外三人发出了逮捕令。比利时称它与美国当局合作监视了WhatsApp上的嫌疑人通信。 WhatsApp及其母公司Facebook拒绝置评。那么问题是：WhatsApp配合了美国当局的监视，还是美国破解了WhatsApp的加密系统？WhatsApp从去年11月开始启用端对端加密，理论上WhatsApp也无法阅读通信内容。但不清楚恐怖分子是否使用了加密，因为不是所有WhatsApp版本都支持端对端加密，如iOS版本就不支持。即使内容加密了，NSA或FBI仍然可能通过收集到的元数据了解嫌疑人之间的联络网。对WhatsApp加密方案的分析发现，破解加密信息在理论上并不是不可能，因为密钥是源自于用户的密码。

paopao 写道 " 我不知道有多少人听说过PGP（Pretty  Good Privacy）：这是一个加密程序，被广泛用于对文件和邮件进行加密。PGP本身是收费商业软件，所以现在最常用的是开源免费的GPG（Gnu Privacy Guard）软件（它使用OpenPGP标准，可以方便的进行PGP加密和解密）。 这次我想和诸位分享一下PGP背后的故事，这可是一段传奇啊..... 美国有个软件工程师叫Philip Zimmermann ，同时也是一名活动家。他发现早期的互联网完全没有任何加密，用户之间传递的信息可以被任何人轻易截取窃听；更糟糕的是，联邦政府一直在试图将窃听合法化（诸位想到了爱国者法案和棱镜事件没有？）。当时，联邦政府宣称：“我们完全只是为了打击犯罪才进行窃听的，我们的窃听行动是被法律所许可的；那些举止合法的公民们，他们根本不用担心什么窃听，不是吗？”Philip Zimmermann心想，“开什么玩笑？对，打击犯罪，请问什么叫做犯罪呢？你们联邦政府嘴一张说什么是犯罪什么就是？被法律许可？好吧，傻子才会相信你们呢！你们规定了一种加密算法，然后自己握有解密密钥，再把其他加密算法宣布为非法，这实在是太可笑了！要知道隐私可是属于每个人的基本人权，至于所谓的光明磊落，那请问为什么要把信装在信封里呢？为什么不直接写在明信片上呢？为什么在要求想要搜查你的房子的 警察出示搜查证呢？那些认为只有罪犯才需要隐藏自己的家伙们，他们的逻辑不是和那些认为穿裤子的人是在裤子里藏炸弹的恐怖分子的家伙一样吗？”

《华盛顿邮报》报道，FBI反恐司助理司长Michael B. Steinbach在国会山作证时称，美国执法机构的一个挑战是与科技公司合作去构建技术方案防止加密被置于一切之上。他的证词比FBI局长James B. Comey更进一步。Comey说加密是好事，虽然他想要政府有能力能绕过加密。Steinbach的证词显示他认为企业不应该将客户的数据安全放在国家安全之上。

FBI局长James Comey正致力于推动要求加入加密后门的立法，而苹果CEO库克（Tim Cook）的回应是默认在苹果设备中使用更强的加密技术。库克说，出于执法目的加入加密后门将会削弱所有设备的安全性，是极其危险的。他在电子隐私信息中心的一个宴会上说，弱加密或不加密将会伤害有正当理由使用加密的好人。

Facebook宣布启用GPG加密邮件通知。Facebook称，它是通过安全连接向用户邮箱发送通知邮件，但邮件内容本身是明文的，任何能访问邮件账号的人都能看到内容。为了更好的保护用户的隐私，Facebook将开始通过GPG加密通知邮件。用户可以在自己的个人资料页添加 OpenPGP公钥（如图），这些公钥将用于端对端加密来自Facebook的通知邮件，Facebook还将用自己的密钥签名出站邮件。对于如何使用OpenPGP，Facebook建议用户参考EFF的指南。

澳大利亚上个月通过了国防贸易管控法案，法律将于明年生效，违法者将面临最高10年的徒刑。澳大利亚国防部有一个国防和战略商品清单，列出了被认为对国防和国家安全重要的限制出口技术。被列入清单的军民两用技术就包括了加密技术，密钥强度超过512位的加密技术被限制出口。Monash大学的数学教师Daniel Mathews指出，按照新的法律，从事加密技术教育也将会是非法的。新的法律覆盖甚广，开源隐私软件，信息安全研究与教育，以及整个计算机安全行业包容其中。

英国政府在2012年解密了图灵(Alan Turing)写于70年前的两篇密码破解论文。两篇论文被认为是图灵在布莱切利公园破解德国Enigma码期间完成的，其中一篇推测是写于1941年4月到1942年4月之间，因为论文提到“希特勒52岁了”。当时，这两篇论文没有被数字化，你必须到英国国家档案馆去提出申请才能浏览。现在，两篇论文《The Applications of Probability to Cryptography》（PDF）和《The Statistics of Repetitions》（PDF）已经数字化并发布在预印本网站arXiv上。

在现代处理器上，有很多因素会影响执行相同指令集所需的时间。如果有人能多次精确的测量执行时间，会看到时间的变化或称之为抖动（jitter）。一个不能直接访问CPU硬件的攻击者不可能预测这一抖动，因此它能成为随机数生成器所需的熵的一个优质来源。内核开发者Stephan Müller发表了一篇技术论文描述了基于CPU执行时间抖动的真随机数生成器，他同时也释出了实现算法的补丁集。

越来越多的人意识到需要加密储存在设备上的敏感数据，如手机等移动设备很容易丢失或失窃。在Linux内核，加密文件系统需要使用扩展模块如 eCryptfs 或dm-crypt。这些模块能有效工作，但对文件系统的性能有副作用。Google曾宣布Android Lollipop将默认启用加密，但它最终放弃了这一计划，原因被认为就是加密对性能有影响。如果加密内置在文件系统中，那么Linux可能能提供更好的性能。目前Linux文件系统还没有一个内置加密选项。但改变即将发生： ext4文件系统维护者Ted Ts'o公布了一组补丁为ext4加入加密功能，这组补丁由eCryptfs的原作者Michael Halcrow主导开发。eCryptfs的性能问题源于它的堆叠属性，它是堆叠在文件系统如ext4之上，将加密直接整合在ext4内将能消除堆叠带来的各种问题。

Mozilla安全工程师Richard Barnes和Martin Thomson 起草了抛弃不安全的HTTP全面转移到HTTPS的计划。HTTP是以明文传输信息，任何服务器和客户端之间的中间人很容易监视甚至纂改信息，“大炮”就是基于明文信息的中间人攻击方式，全面迁移到HTTPS将能遏制此类攻击。Richard称，使用明文传输信息的时代已经结束，新一代的Web需要使用加密的HTTPS。

Linux基金会宣布它将托管Let's Encrypt项目和互联网安全研究组（ISRG）。Let’s Encrypt CA项目由Mozilla、思科、Akamai、IdenTrust和EFF等组织发起，向网站自动签发和管理免费证书，加速将Web从HTTP过渡到HTTPS。ISRG则是开发Let’s Encrypt CA的非营利组织。Linux基金会执行董事Jim Zemlin说，Web作为我们生活的一部分已有几十年了，但网络中的数据共享仍然面临危险。

审计开源加密软件TrueCrypt的Open Crypto Audit项目公布了完整的审计结果(PDF)。TrueCrypt是流行的加密软件，但从未进行过安全审计，在NSA大规模监控活动曝光之后安全研究人员发起了对TrueCrypt的完整安全审计。然而就在安全审计过程中，TrueCrypt背后的匿名开发者突然宣布终止项目，警告说使用TrueCrypt不安全。但发起者决定继续审计工作。根据完整的审计结果，TrueCrypt是一款相对而言精心设计的加密软件，没有发现故意植入后门的证据，也没有发现导致软件出现漏洞的严重设计缺陷。TrueCrypt终止开发之后有开发者发起了Fork，如CipherShed。