Некоммерческий удостоверяющий центр Let’s Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, сообщил (https://letsencrypt.org//2016/08/05/le-root-to-be-trusted-by...) о включении корневого сертификата проекта в список заслуживающих доверия сертификатов Mozilla. Обновлённый список корневых сертификатов станет доступен пользователям, начиная с Firefox 50.
Кроме Mozilla, заявки на включение в хранилище корневых сертификатов также ранее были отправлены компаниям Google, Microsoft и Apple, контролирующим разработку web-браузеров Chrome, IE/Edge и Safari, а также Oracle и Blackberry, в продуктах которых используются собственные списки доверительных сертификатов. После включения информации о корневом сертификате Let's Encrypt во все списки доверия, Let's Encrypt займёт место полноценного независимого удостоверяющего центра. Прогнозируется, что на создание и продвижение обособленного корневого сертификата может уйти от 3 до 6 лет.
До сих пор доверие к сертификатам Let's Encrypt обеспечивалось (https://www.opennet.me/opennews/art.shtml?num=42379) благодаря перекрёстному утверждению промежуточного сертификата Let's Encrypt сертификатом удостоверяющего центра IdenTrust, но сам корневой сертификат Let's Encrypt не входил в списки доверия. Включение корневого сертификата Let's Encrypt в списки доверия браузеров позволит избавиться от зависимости от стороннего удостоверяющего центра и снизить риски (например, в случае инцидента с безопасностью или закрытия компании, доверие к IdenTrust может быть прекращено).URL: https://letsencrypt.org//2016/08/05/le-root-to-be-trusted-by...
Новость: http://www.opennet.me/opennews/art.shtml?num=44924
> До сих пор доверие к сертификатам Let's Encrypt обеспечивалось благодаря перекрёстному утверждению промежуточного сертификата Let's Encrypt сертификатом удостоверяющего центра IdenTrust, но сам корневой сертификат Let's Encrypt не входил в списки доверияОтличный бизнес! компании которые помогали появлению Letsencrypt -- теперь можно убрать с доски :-)
Их все можно было убрать с доски после первого же инцидента с компрометацией корневого сертификата у любого из них.
В этом смысле удивляет живучесть Комоды. Боюсь себе представить, сколько анусов они вылизали, чтобы остаться в бизнесе после такого провала.
Всё норм, у WoSign так же с их бесплатными https://buy.wosign.com/free/
раньше они доверялись через StartCom, а в достаточно новых системах и браузерах добавили и их собственный корневой серт.
> доверие к IdenTrust может быть прекращеноА есть доверие к удостоверяющему центру, который в принципе готов такие промежуточные сертификаты выпускать? Может их спецслужбы нагнут, либо кто-то отавилит деньжат они сделают дяде еще один такой сертификатик и будет дяде выпускать валидные сертификаты для google.com
>> доверие к IdenTrust может быть прекращено
> А есть доверие к удостоверяющему центру, который в принципеНе, вот смотри:
"Кроме Mozilla, заявки на включение в хранилище корневых сертификатов также ранее были отправлены компаниям Google, Microsoft и Apple, [...] , а также Oracle и Blackberry."
-- кристальнейшие же "люди"!! Мы не можем сомневаться в этой Системе.
>Может их спецслужбы нагнут, либо кто-то отавилит деньжат они сделают дяде еще один такой
теперь что бы получить сертификат на чужой домен - достаточно хакнуть его, получил себе сертификат и устраивай атаку man in the middle..
Эм... Если сервак уже хакнут, нахрена париться с man in the middle?
Ну как же. Чтобы избавиться от тараканов, надо поймать каждого и насыпать соли ему на хвост.
> Эм... Если сервак уже хакнут, нахрена париться с man in the middle?Ну скажем для удовольствия иметь заверение своих левых сертификатов Удостоверяющим Центром. Которые центры удостоверяют, что сертификаты не есть левые, и которые центры сами и должны нести ответственность по этому поводу того что они удостоверяют.
(примечание: крякнута может быть линия от сервера, не сам сервер).
"теперь" :)а раньше, типа, приватные ключи не на сервере лежали
сервер != домен
Кстати, отличный кейс, любопыно был ли у них на форуме, надо проверить что ли, а то и предложить запатчить и заапдейтить, введя например механизм блокировки через какую нибудь запись TXT в DNS :)
Отличная новость.
отлично, теперь в очереди https://bugzilla.mozilla.org/show_bug.cgi?id=647959