Aruba offre gratuitamente certificati SSL DV con arrivo di Chrome 68

Google ha rilasciato il suo ultimo aggiornamento del sistema operativo Chrome 67 e il nuovo browser Chrome 68 beta pieno di nuove funzionalità. Aruba S.p.A., leader nei servizi di data center, cloud, web hosting, e-mail, PEC e registrazione domini, offre la possibilità di installare gratuitamente il certificato SSL DV (Secure Sockets Layer, Domain Validated) per permettere a tutti coloro che possiedono un sito, di renderlo più sicuro attraverso la cifratura della sessione di navigazione con chiavi da 128 bit o superiore. A partire dalla sua versione 68 (già disponibile in beta), Google Chrome comincerà a segnalare tutti i siti sprovvisti di certificato digitale SSL come NON SICURI.

Arbor Networks: crittografia dei servizi web basilare ma insufficiente

I malintenzionati escogiteranno metodi sempre più astuti per provare a infrangere la crittografia. I servizi online come l’e-banking e l’e-commerce possono avere successo solo se gli utenti hanno la certezza che le proprie transazioni e i propri dati sensibili sono effettivamente al sicuro. La crittografia è ciò che rende questi servizi sicuri. È logico pensare, tuttavia, che i servizi criptati siano tra i primi obiettivi degli attacchi DDoS. Dopotutto, cosa c’è di più attrattivo per un attaccante se non le risorse più difficili da raggiungere? Pensiamo a Goldfinger e alla sua ossessione per Fort Knox. Il semplice fatto che qualcosa sia custodito in una struttura protetta ne denota il valore.

Dell SonicWALL pubblica le previsioni 2017 in tema di cyber security

Dell SonicWALL ha rilasciato il Report 2017 per le previsioni sulla cybersicurezza. I dati del rapporto sono stati raccolti dal Dell SonicWALL Global Response Intelligence Defense (GRID) Network. Gli esperti di threat intelligence di Dell SonicWALL hanno sviluppato il risultato di queste analisi. La crescita della crittografia SSL/TLS è un trend positivo per molti versi, ma anche un nuovo allettante vettore di minacce per gli hacker. Il numero di zero-day Adobe Flash scenderà gradualmente perché i principali produttori di browser non supportano Adobe Flash. Gli attacchi si rivolgeranno all’Android Pay attraverso le vulnerabilità della Near Field Communication (NFC).

Partner Data lancia Venusense WAF per applicazioni di rete protette

Partner Data, uno dei principali distributori italiani di prodotti per la sicurezza IT, protezione del software e sistemi di identificazione, presenta Venusense Web Application Firewall (WAF), la nuova soluzione dell’azienda cinese dedicata alla protezione delle applicazioni di rete. Venustech è, infatti, uno dei maggiori fornitori specializzati di prodotti per la sicurezza di rete, piattaforme di gestione della security e servizi e soluzioni di sicurezza specializzata. Venusense WAF si è impegnata a fornire una soluzione che unisce sicurezza Web e distribuzione delle applicazioni per garantire  disponibilità, prestazioni e sicurezza del Web o delle applicazioni di Rete.

Heartbleed Checker, da McAfee tool gratuito per verificare siti colpiti

McAfee, parte di Intel Security, ha rilasciato un tool gratuito per aiutare gli utenti a rendersi conto in modo semplice se rischiano di essere colpiti dagli effetti potenzialmente pericolosi del bug Heartbleed, una vulnerabilità del codice di crittografia OpenSSL, che ha esposto al rischio milioni di informazioni personali degli utenti. Inserendo il nome del dominio del sito web nello strumento Heartbleed Checker, gli utenti possono determinare immediatamente se i siti che frequentano sono stati colpiti da Heartbleed, o se sono stati aggiornati alla versione di OpenSSL insensibile al bug.

Heartbleed, milioni di password a rischio per grave falla in OpenSSL

Per milioni di utenti di internet carte di credito, password e dati sensibili sono a rischio da due anni. La colpa è di una falla nel sistema di crittografia "OpenSSL", utilizzato da due terzi dei server per proteggere le transazioni commerciali, le comunicazioni riservate e altri contenuti che dovrebbero rimanere inaccessibili. La minaccia è stata denominata "Heartbleed" (cuore sanguinante), e potrebbe essere stata sfruttata dagli hacker per impadronirsi di una gigantesca mole di dati senza lasciare alcuna traccia.

Il mal funzionamento è stato scoperto da un gruppo di ricercatori finlandesi che lavorano per Codenomicon, società che produce sistemi di sicurezza di Saratoga, California. Insieme a loro anche due ingegneri di Google hanno individuato l'errore. Heartbleed apre una falla nel sistema SSL/TLS (protocolli Transport Layer Security), la cui presenza è identificata da un lucchetto nella barra degli indirizzi del browser e dalla scritta "HTTPS", cioè i simboli che indicano all'utente che la connessione è sicura. 

Il bug Heartbleed consente a chiunque su Internet di leggere la memoria dei sistemi protetti dalle versioni vulnerabili del software OpenSSL. Questo compromette le chiavi segrete utilizzate per identificare i fornitori di servizi e per crittografare il traffico, i nomi e le password degli utenti e il contenuto effettivo. Ciò consente agli aggressori di spiare le comunicazioni, rubare dati direttamente da servizi e utenti, nonché di impersonare servizi e utenti. Nelle loro mani potrebbero essere finiti anche dati sanitari.

Non è ancora chiaro quanti e quali siano i siti Internet interessati dal problema, ma potrebbero essere moltissimi perché la criticità riguarda il sistema più utilizzato in Rete. Tra i sistemi operativi  vulnerabili: Debian Wheezy, Ubuntu 12.04.4 LTS, CentOS 6.5, Fedora 18, OpenBSD 5.3, FreeBSD 8.4, NetBSD 5.0.2 and OpenSUSE 12.2. CVE-2014-0160 è il riferimento ufficiale per questo bug. Secondo i ricercatori lo sfruttamento del bug non lascia traccia di qualsiasi cosa anormale accada ai registri. 

Il bug avrebbe messo a rischio soprattutto Yahoo! Mail, Tumblr e Flickr, ma non è escluso che potrebbero esser stati presi di mira anche Google, Facebook, Amazon e Twitter. L'aspetto più curioso è che si tratta di una falla non recente: risale infatti al 2011, ma è stata scoperta solo Lunedì. E' possibile controllare se un sito è vulnerabile inserendo l'indirizzo Web a questa pagina. Anche se la falla può essere chiusa con un update software, secondo gli esperti ci sono motivi per continuare ad essere preoccupati.

"Credo che nessuna persona che abbia usato questa tecnologia si trovi in una posizione tale da poter dire con certezza che i suoi dati non sono stati compromessi", afferma David Chartier, amministratore delegato della società di sicurezza informatica Codenomicon. Lunedì i ricercatori della società hanno invitato le aziende a cambiare le loro chiavi private di criptazione e chiesto agli utenti della Rete di inserire nuove password, soprattutto per i siti in cui si conservano informazioni sensibili.

"Se avete bisogno di restare anonimi o di avere privacy, fareste meglio a non usare Internet per i prossimi giorni", ha avvertito in un messaggio Tor Project, il sistema di comunicazione anonima. Come spiega Electronic Frontier Foundation (EEF), Heartbleed non è un bug nella progettazione di HTTPS in sé, ma piuttosto il risultato di un semplice errore di programmazione nel software OpenSSL. EEF consiglia di implementare Perfect Forward Secrecy, che protegge i dati cifrati, anche nel caso siano stati intercettati.

Falla di sicurezza colpisce device iOS: app spia tutto ciò che si digita

C'è una vera e propria voragine sulla sicurezza e la privacy degli iPhone. A lanciare l'allarme - scrive TMNews - è una società specializzata sulla sicurezza informatica, la FireEye, che per dimostrare la grave falla ha creato una "app", compatibile per l'ultimo modello di melafonimo, in grado di registrare tutti i comandi digitati dall'utente sullo schermo touch. Perfino l'uso del tasto "Home", e poi trasmettere il tutto a un server remoto nella totale inconsapevolezza del proprietario.

WhatsApp down per quattro ore, esperti trovano nuove vulnerabilità

WhatsApp, il noto servizio di messaggistica istantanea acquistato da Mark Zuckerberg per 19 miliardi di dollari, è tornato a funzionare dopo un black out di 210 minuti per problemi al server. "Il servizio di WhatsApp è stato ripristinato. Siamo dispiaciuti per il tempo di inattività", afferma WhatsApp su Twitter. "Spiacenti stiamo avendo problemi di server, speriamo di poter tornare e recuperare presto": così WhatsApp sul suo profilo Twitter si è giustificata del disservizio che ha colpito la chat bloccando milioni di utenti, senza fornire ulteriori dettagli.

Microsoft: primo Patch day 2013, emessi falsi certificati a nome di Google

Microsoft ha rilasciato la sua relazione pre-Patch Tuesday, dicendo che emetterà sette patch per fissare 12 falle di codice quest'oggi - ma non fornirà una soluzione permanente per l'exploit scoperto durante le vacanze recenti che è già in uso. In particolare, si tratta di cinque bollettini contrassegnati dal livello "importante" e due dal livello "critico" (due bollettini). 

I bollettini con critical rating risolvono i problemi in Windows, Office, strumenti di sviluppo e software Microsoft. I bollettini con important rating risolvono problemi in Microsoft Windows, .NET Framework e Software Server Microsoft. Se non verrà distribuita una patch out-of-band bisognerà attendere il Patch Tuesday del 12 febbraio.

Con un bollettino separato di sicurezza, Microsoft ha comunicato di aver revocato due falsi certificati digitali ottenuti dai cybercriminali creati "erroneamente" a nome di Google da due intermediarie della Certication Authority turca TurkTrust. Microsoft è a conoscenza di attacchi attivi che utilizzano un certificato digitale fraudolento emesso da TurkTrust Inc. 

Questo certificato fraudolento potrebbe essere utilizzato per accesso ai contenuti, effettuare attacchi di phishing, o eseguire man-in-the-middle. Questo problema riguarda tutte le versioni supportate di Microsoft Windows.  TurkTrust Inc. ha creato due società CA controllate CA (*. ego.gov.tr ed e-islem.kktcmerkezbankasi.org). 

La controllata CA *. ego.gov.tr è stata poi utilizzata per il rilascio di un certificato digitale fraudolento *. Google.com il 24 dicembre scorso, spiega Google. Questo certificato fraudolento potrebbe essere utilizzato per accesso ai contenuti, effettuare attacchi di phishing, o eseguire attacchi di tipo man-in-the-middle contro diverse proprietà web di Google.

Per difendere gli utenti da un uso fraudolento del certificato digitale, Microsoft sta aggiornando l'elenco di certificati attendibili (CTL) e fornisce un aggiornamento per tutte le versioni supportate di Microsoft Windows che rimuove la fiducia dei certificati che causano questo problema. Per ulteriori informazioni su questi certificati vedere advisory 2798897

Per i sistemi che utilizzano il programma di aggiornamento automatico dei certificati revocati (Microsoft Knowledge Base 2677070 per maggiori informazioni), tra cui Windows 8, Windows RT, Windows Server 2012, e dispositivi con Windows Phone 8, non è necessaria alcuna azione in quanto questi sistemi saranno automaticamente protetti. 

Fonte: Blog Technet
Via: Google Security

Adobe: certificato digitale usato impropriamente, revoca il 4 ottobre 2012

Adobe sta indagando su quello che sembra essere l'uso improprio di un certificato digitale del codice Adobe. La società prevede di revocare il certificato, il 4 ottobre per tutto il codice software firmato dopo il 10 luglio 2012. L’azienda ha scoperto due malware firmati con certificato sha1RSA. Adobe è in procinto di rilasciare aggiornamenti firmati utilizzando un nuovo certificato digitale per tutti i prodotti interessati.

Brad Arkin, direttore dei prodotti di sicurezza e privacy di Adobe, ha riassunto lo stato attuale delle indagini avviate dall'azienda sull'uso inadeguato di certificati Adobe in un post sul blog. "La maggior parte dei clienti di Adobe non saranno influenzati da questo problema. Tuttavia, per alcuni clienti, in particolare gli amministratori di ambienti gestiti di Windows, potrebbe essere necessario adottare determinate azioni", spiega Arkin.

Per determinare se l'utente o l'organizzazione sono influenzati, Adobe ha messo a disposizione una pagina di supporto sul sito Web di Adobe. L'indagine in corso non ha rilevato pericoli per la privacy, quindi le informazioni sensibili non sono state compromesse. Adobe ha individuato due malware che utilizzano il certificato per mascherarsi come software legittimo.

Ciò significa che la loro eventuale installazione potrebbe permettere ai malintenzionati di elevare i privilegi di accesso e prendere il controllo del computer. Uno dei programmi firmati è lo strumento pwdump7 v.7.1 che permette di estrarre gli hash delle password da un sistema Windows ed è talvolta usato come un unico file che collega in modo statico la libreria OpenSSL libeay32.dll.

La seconda utility dannosa, myGeeksmail.dll, è un filtro ISAPI dannoso. A differenza della prima utility, Adobe non è a conoscenza di versioni accessibili al pubblico.  La revoca del certificato influisce sulla piattaforma Windows e tre applicazioni Adobe AIR (Adobe Muse e applicazioni Adobe AIR Story e servizi desktop Acrobat.com) che girano su Windows e Macintosh.

La revoca non ha effetto su qualsiasi altro software di Adobe per Macintosh o altre piattaforme. Maggiori dettagli che descrivono l'impatto del certificato e le utilità dannose, inclusi i valori degli hash MD5 per i file, sono inclusi nell'Adobe Security Advisor.  Brad Arkin scoraggia gli utenti di aggiungere manualmente il certificato rilasciato a "Adobe Systems Incorporated", emesso da VeriSign, numero di serie 15 e5 ac 0a 48 70 63 71 39 8e da 1a 52 30 04 88.

Adobe ha condiviso informazioni su questi file con i partner della comunità della sicurezza, tra i partecipanti al Microsoft Active Protections Program (MAPP) per consentire loro di sviluppare rapidamente metodi di rilevazione e di quarantena per la protezione contro i programmi di utilità impropriamente firmati. Per ulteriori informazioni relative a questo problema, è possibile consultare il seguente post sul blog.

Mozilla rilascia Firefox 12, disponibile Beta 13 e update forzato per 3.6

Mozilla ha rilasciato la versione finale di Firefox 12, chiudendo il capitolo 11 che risale al mese scorso. Questa release ha introdotto un nuovo sistema di gestione degli aggiornamenti che gli consente di superare le limitazioni dello UAC di Windows e di aggiornare silenziosamente il browser. Novità minori hanno riguardato il download manager ed il supporto agli ECMAScript 6 oltre alla risoluzione di alcuni bug. Novità per gli sviluppatori includono un maggior supporto ai CSS e la possibilità di visualizzare i messaggi nella Console web, senza dover ricaricare ogni volta la pagina.

Secondo un rapporto quasi 200.000 siti Web HTTPS sono vulnerabili

Il 90% dei siti 200.000 Internet abilitati HTTPS sono vulnerabili ai noti attacchi SSL, secondo un rapporto pubblicato Giovedi dal Trustworthy Internet Movement (TIM), un'organizzazione non-profit dedicata alla soluzione di sicurezza Internet, privacy e problemi di affidabilità. La relazione si basa sui dati di un nuovo progetto di TIM chiamato SSL Pulse, che utilizza la tecnologia di scansione automatizzata sviluppata dal vendor di sicurezza Qualys, per analizzare la forza delle implementazioni HTTPS su siti web elencati nella top dei milioni pubblicati dalla società Alexa Web analytics.

SSL Pulse controlla quali protocolli sono supportati dai siti web abilitati HTTPS (SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1, ecc), la lunghezza della chiave utilizzata per le sicure comunicazioni (512 bit, 1024 bit, 2048 bit, ecc) e la forza dei cipher supportati (256 bit, 128 bit o inferiore). Un algoritmo è usato per interpretare i risultati della scansione e assegnare un punteggio tra 0 e 100 per ogni configurazione HTTPS. Il punteggio viene poi tradotto in un grado, con A che è il più alto (oltre 80 punti).

La metà dei quasi 200.000 siti web nei top dei milioni di Alexa che supportano HTTPS hanno ricevuto una A per la qualità delle loro configurazioni. Ciò significa che usano una forte combinazione di moderni protocolli cipher e chiavi lunghe. Nonostante ciò, solo il 10% dei siti acquisiti sono stati considerati veramente sicuri. Il 75% - circa 148.000 - sono risultati vulnerabili ad un attacco conosciuto come BEAST, che può essere utilizzato per decriptare i token di autenticazione e i cookie dalle richieste HTTPS.

L'attacco BEAST è stato dimostrato da ricercatori di sicurezza Juliano Rizzo e Thai Duong alla ekoparty Security Conference a Buenos Aires, Argentina, nel mese di settembre 2011. Il modo più semplice per mitigare l'attacco BEAST sul lato server è quello di privilegiare la cifratura RC4 per le connessioni HTTPS, ha dichiarato via email a PC World, Ivan Ristic, direttore di ingegneria presso Qualys. RC4 è un cifrario a flusso e non è vulnerabile a questo attacco. Oltre a supportare protocolli multipli, molti server HTTPS abilitati supportano anche più cifre al fine di assicurare la compatibilità con un'ampia varietà di client.

Un ambiente speciale può essere utilizzato sul server per specificare l'ordine in cui le cifre dovrebbero essere utilizzate e dare la priorità RC4. "Credo che la maggior parte degli amministratori non sono consapevoli della necessità di eseguire questa operazione", ha detto Ristic. Protezioni contro l'attacco BEAST sono già state costruite nei nuovi browser. Tuttavia, ci sono molte persone, specialmente in ambienti di lavoro, che utilizzano vecchi browser come Internet Explorer 6, che sono ancora vulnerabili, ha detto Ristic.

Scansioni SSL Pulse hanno anche rivelato che oltre il 13% dei 200.000 siti web HTTPS abilitati sostengono la rinegoziazione insicura delle connessioni SSL. Questo può portare ad attacchi man-in-the-middle che compromettono le comunicazioni SSL protette tra utenti e i server vulnerabili. Riparare la vulnerabilità della rinegoziazione insicura è abbastanza facile e richiede solo l'applicazione di un patch, Ristic ha detto. L'organizzazione ha anche annunciato la creazione di un SSL Internet Taskforce, per sviluppare e proporre soluzioni per i problemi noti in questi fondamentali settori.

Credit immagine: Trustworthyinternet

Marchio VeriSign Trust Seal cambierà nome in Norton Secured Seal

Nell'Agosto 2010, Symantec ha acquistato i Servizi D'Autenticazone VeriSign Authentication Services e, come risultato, ciò causerà il cambio del marchio e del nome dei prodotti VeriSign. Le Certificazioni SSL VeriSign e il VeriSign Trust Seal diverranno parte del pacchetto di soluzioni di sicurezza Symantec e verranno incluse nella gamma di prodotti marchiati Norton. Il marchio Symantec Norton è ben conosciuto dalla clientela, che cerca il Norton Secured Seal sui siti web come fossero propri. 

Test condotti recentemente hanno dimostrato che il 77% dei clienti riconosce il Norton Secured Seal dal suo marchio distintivo, più di quanto accade con i trust seals della concorrenza (Symantec Consumer Research, Gennaio 2011). Gli utenti che eseguono Symantec Anti-Virus e i prodotti SafeWeb vedranno il Norton Secured Seal accanto ai risultati di ricerca sia in Google che in Bing. Questo può aiutare subito il proprio sito web a distinguersi dalla folla di ricerca. Nell'Aprile 2012 Symantec completerà la transizione dalle offerte VeriSign trasferendo gli stessi all'interno della gamma di prodotti di sicurezza Norton; ciò porterà tutti i prodotti VeriSign a cambiare marchio e nome.

Il famoso "segno di spunta" VeriSign, combinato con il nome leader nella tecnologia di protezione personale, diverrà Norton Secured Seal rimanendo come uno dei marchi di fiducia più conosciuti sul web. Nuovi nomi per i prodotti ed i Seal Norton saranno attivati globalmente il prossimo 15 Aprile 2012. Successivamente all'aggiornamento il Norton Secured Seal risulterà visualizzato circa 650 milioni di volte al giorno in 165 Paesi e nei risultati di ricerca generati da browsers abilitati. Il VeriSign Trust Seal è un dispositivo grafico dinamico e animato presente all'interno delle pagine web assicurate dalle Certificazioni SSL VeriSign e dai siti web autenticati da VeriSign.

Cliccando sul VeriSign Seal una pagina di verifica visualizzerà una serie di informazioni relative alla vostra organizzazione lo stato della vostra scansione malware e i dettagli relativi alla Certificazione SSL (in caso voi aveste acquistato un certificato SSL). Il VeriSign Trust Seal è compreso con l'acquisto di qualsiasi Certificazione SSL VeriSign. Può, inoltre, essere acquistata separatamente da parte dei siti internet che non richiedono un Certificato SSL per proteggere le proprie transazioni online. Maggiori informazioni www.trustico.it/rebranding/variazione-marchio-da-verisign-a-norton.php

Burocrazia online: Italia finalmente al comando del trend europeo

Analizzando i dati del recente eGovernment Benchmark Report, commissionato dall’Unione Europea all’interno della propria “Agenda Digitale”, l’Italia prosegue il proprio percorso di rinnovamento nell’ambito della pubblica amministrazione, registrando un notevole 99% relativo al numero di prestazioni “essenziali” rese disponibili nel biennio 2009-2010. 

Il dato pone l'Italia, finalmente, all’altezza di Paesi tradizionalmente considerati più avanzati nel Vecchio Continente, quali Austria e Svezia. Dichiarazione dei redditi, ricerca di lavoro, registro automobilistico, atti di nascita e matrimonio servizi sanitari e appalti pubblico-imprenditoriali; queste sono solo alcune delle prestazioni che i cittadini e le imprese che vivono o operano in Italia possono richiedere attraverso dispositivi informatici.

La Comunità Europea, complice anche la crisi economica in atto, ha stabilito obiettivi importanti ed impegnativi da raggiungere entro il 2015. Per quella data, infatti, si punta ad innalzare il livello di usufruizione dei servizi di e-government all’80% delle imprese e al 50% dei cittadini europei. Il processo in atto si propone di diminuire i costi e gli sprechi della pubblica amministrazione riducendo, naturalmente, anche le formalità e le note lungaggini amministrative. 

L’Europa dovrà affrontare questo cambiamento rispondendo in modo chiaro e preciso alle diverse problematiche che ostacolano lo sfruttamento massiccio delle risorse della pubblica amministrazione in Rete. E’ d’attualità il tema del “Divario Digitale”, relativo alla distanza di alcune fasce della popolazione da tutto ciò che concerne la realtà virtuale. 

L’analfabetizzazione informatica, ancora forte in alcuni Paesi dell’Europa Orientale e Meridionale, è un problema spinoso. Aggiuntivamente a ciò vi è il tema della sicurezza; sarebbe improponibile, infatti, pensare di poter rendere disponibili certificati contenenti informazioni “sensibili” senza preoccuparsi che gli stessi siano criptati ed ininterpretabili ad occhi estranei. 

Secondo le recenti dichiarazioni del commissario e vice Presidente della Commissione Europea Neelie Kroes, la digitalizzazione della pubblica amministrazione dovrà diventare una realtà imprescendibile nei prossimi 3 anni per più della metà dei cittadini e delle imprese europee, e qualsiasi ente amministrativo, dovrà necessariamente dotarsi di un Certificato SSL. 

Questa tipologia di prodotti, applicata ai server che ospitano i sistemi di rilascio di certificati digitali, consentono di proteggere attivamente le informazioni in entrata ed uscita. I Certificati SSL, corredati da sistemi di autenticazione ad alto livello (ad esempio Trust Seals, tecnologia browser EV Green Bar, ecc.), tranquillizzano coloro i quali entrano in contatto con il proprio Comune, Provincia, Regione o Stato per ottenere documenti in formato digitale. 

Trustico, società presente a livello mondiale impegnata nella vendita di Certificati SSL, Trust Seals e Anti-Malware, è pronta a supportare attivamente tutti gli enti pubblici interessati a compiere questa importante transizione attraverso l’adozione di un Certificato SSL. Per maggiori informazioni www.trustico.it

Via: Trustico

Twitter attiva di default protocollo sicuro HTTPS per tutti gli account

Twitter ha scelto di attivare il protocollo sicuro HTTPS, introdotto circa un anno fa sulla piattaforma. E lo stesso Twitter a dare l'annuncio con un post sul blog: "L'anno scorso, abbiamo aggiunto la possibilità di utilizzare sempre HTTPS quando si accede a Twitter.com sul web. Questa impostazione rende la vostra esperienza Twitter più sicura per protegge i vostri dati, ed è particolarmente utile se si usa Twitter tramite una connessione Internet non sicura come una rete pubblica wi-fi. Ora, HTTPS sarà attivata per impostazione predefinita per tutti gli utenti, ogni volta che accedete a Twitter.com. HTTPS è uno dei modi migliori per mantenere sicuro il vostro account e sarà solo migliorato, mentre continuiamo a migliorare il supporto HTTPS sul nostro web e client mobili". Se si preferisce non usare il protocollo sicuro, è possibile disattivarlo dalle Impostazioni Account della propria pagina Twitter.

Quanto le applicazioni ufficiali che la versione mobile di Twitter (https://mobile.twitter.com/) richiedono l’utilizzo di HTTPS. È auspicabile che in futuro Twitter scelga solo l'utilizzo di connessioni SSL. Ricordiamo che ci sono due modi per dare accesso alle app al proprio account Twitter. Il primo è un protocollo di sicurezza chiamato OAuth. Questo è il metodo di connessione consigliato e non richiede di fornire il proprio nome utente e password. L'altro modo per collegarsi è quello di dare i nome utente e password e si chiama Basic Authentication. È possibile trovare maggiori informazioni su OAuth e la Basic Authentication sulla pagina di aiuto per Connettersi ad applicazioni di terze parti. Rispetto a Facebook, dove molte app risiedono all'esterno e devono dialogare coi certificati del dominio principale, il passaggio ad HTTPS su Twitter non dovrebbe creare problemi di funzionamento. Su Facebook, invece, alcune applicazioni potrebbero non funzionare.