Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Let's Encrypt внедрил расширение для координации обновления сертификатов, opennews (?), 26-Мрт-23, (0) [смотреть все] Но при этом всё равно требуется запрашивать инфу с их серверов поллингом, судя п, BrainFucker (ok), 09:00 , 26-Мрт-23, (6) –1 // Нагрузка на веб-апи это ничто Вебапи можно заскейлить до космических масштабов п, Аноним (64), 13:36 , 26-Мрт-23, (64) +8 // могли бы просто дёргать URL на сайте через POST , Аноним (69), 13:53 , 26-Мрт-23, (69) –1 Не сам, а по крону клиент certbot или аналог слал запрос на сервер LE, тот в отв, BrainFucker (ok), 14:26 , 26-Мрт-23, (79) –2 // Несколько серверов чего именно REST API Их и так несколько Тормозит совершенн, Аноним (105), 17:21 , 26-Мрт-23, (105) Почти бесплатно тут лишнее - до космических масштабов скейлится стоимостью кос, Tron is Whistling (?), 15:24 , 26-Мрт-23, (95) –3 // Ну давай прикинем хотя бы порядок этих 171 космических 187 денег Предположи, Аноним (105), 18:15 , 26-Мрт-23, (106) +13 Переиграл и уничтожил , anonym444 (?), 22:07 , 27-Мрт-23, (150) +3 Ды ладно Там как обычно - килобайт данных На сколь либо серьёзное применение , Tron is Whistling (?), 00:58 , 04-Апр-23, (176) А теперь увеличь килобайт до пары мегабайт, и давай посчитаем , Tron is Whistling (?), 00:56 , 04-Апр-23, (175) Ну и дураки Берём корневой сертификат, им подписываем N сертификатов для N серв, pashev.ru (?), 16:37 , 26-Мрт-23, (102) –1 // Локалхостов, так что ж ты им не объяснишь как надо-то Показал бы класс А то он, Аноним (105), 18:22 , 26-Мрт-23, (107) +4 Это какой-то позор, сервис, на который завязали половину интернета, держится на , Аноним (141), 12:39 , 27-Мрт-23, (141) +1 // При этом у них собралосьно весь бизнес висит на одной железке , Аноним (141), 12:51 , 27-Мрт-23, (142) +1 Там скорее всего и от второго сокета толку никакого Строго последовательная обра, пох. (?), 17:01 , 27-Мрт-23, (147) не хотите нагрузку - сделайте сертификаты на 25 лет, и никому не надо будет их о, Аноним (8), 09:17 , 26-Мрт-23, (8) // этак интернетом смогут пользоваться все, а не только кому дозволено , Аноним (11), 09:48 , 26-Мрт-23, (11) +10 // https www opennet ru opennews art shtml num 54206https www opennet ru openne, Аноним (83), 14:36 , 26-Мрт-23, (83) +2 // не вижу связи, не ставьте такой сертификат ca - , Аноним (133), 08:41 , 27-Мрт-23, (133) И сразу выкладывайте этот сертификат на 25 лет в общий доступ Нам нечего скры, Аноним (31), 12:04 , 26-Мрт-23, (31) +7 // И трусы от банковской карточки, Аноним (38), 12:31 , 26-Мрт-23, (38) +1 Анонимус не в курсе, что сертификаты, включая корневой, и так в открытом доступе, pashev.ru (?), 16:39 , 26-Мрт-23, (103) –2 Только сертификат - не парольНу обновляй все пароли на всех ресурсах через день , Бывалый Смузихлёб (??), 07:16 , 27-Мрт-23, (129) // именно кто контролирует выпуск сертификатов- контролирует интернет , Аноним (133), 08:42 , 27-Мрт-23, (134) Срок жизни сертификатов напрямую связан с безопасностью точно так же как и срок , Анон_облегчился (?), 16:41 , 27-Мрт-23, (145) Ну да, ну да - ручное обновление с контролем за ручками раз в три года - плоха, , пох. (?), 17:05 , 27-Мрт-23, (148) –1 Кроме сертбота полно других реализаций, но обычно реализация ACME нативно реализ, Аноним (31), 01:10 , 28-Мрт-23, (152) ну то есть вообще зашибись - сразу конечное приложение работает от рута или от е, пох. (?), 09:26 , 28-Мрт-23, (153) –1 Отлично запускается и не от рута Даже на одной машине он может быть не один, эт, К.О. (?), 09:53 , 01-Апр-23, (166) –1 Наоборот, ни продвигают идею сокращения срока их жизни и более частого обновлени, Kuromi (ok), 14:27 , 26-Мрт-23, (81) +2 Они открыли для себя openssl x509 -dates , судя по примеру , Sadok (ok), 09:38 , 26-Мрт-23, (9) –5 // openssl не покажет, что сертификат будет досрочно отозван , Аноним (10), 09:40 , 26-Мрт-23, (10) +3 // да, не проснулся касаться вопроса какого карлика CA отзывает сертификат не б, Sadok (ok), 10:44 , 26-Мрт-23, (17) –1 // Каэшн не будем, ты ведь пишешь идеальный софт в котором не может быть уязвимосте, Аноним (38), 12:33 , 26-Мрт-23, (41) –1 сколько бесполезных слов и обвинений но не упоминается главного, Бывалый Смузихлёб (??), 07:27 , 27-Мрт-23, (130) –2 Ну почему не использовать стандартный URL, как в обновлении https example com , Аноним (12), 10:03 , 26-Мрт-23, (12) –2 // потому что wildcard, Sadok (ok), 10:46 , 26-Мрт-23, (18) –2 // Именно для единообразной обработки по wildcard и надо if string match lighty env, Аноним (12), 12:57 , 26-Мрт-23, (55) –3 Сообществом корпоратов , Анонус (?), 10:04 , 26-Мрт-23, (13) +2 // Мой комментарий снесли Кстати, а у кого ключ от корневого сертификата , pashev.ru (?), 10:46 , 26-Мрт-23, (19) +2 // для больших CA, ключ от корневого серта, вроде как, лежит в железе, без возможно, амоним (?), 11:51 , 26-Мрт-23, (24) // А потом, внезапно, узнаётся, что из железа, при очень большом желании, его тоже , Аноним (38), 12:34 , 26-Мрт-23, (43) +1 Ага, при помощи секретных нибируанских технологий Но только с благословления ве, Аноним (105), 20:13 , 26-Мрт-23, (113) Но ведь отзыв сертификата по инициативе УЦ, а не его владельца - это какой-то бр, Аноним (14), 10:04 , 26-Мрт-23, (14) –2 // CRL и OCSP не содержат подписей, сделанных самими сертификатами, что позволяет У, Аноним (15), 10:22 , 26-Мрт-23, (15) –2   // И мне ходить по сайтам и доверять корневому сертификату, подписанным тобой Ну уж, Sha4096 (?), 10:43 , 26-Мрт-23, (16) –1   // Подписанному Гуглом У Гуглага достаточно рычагов, чтобы отнять у CA возможность, Аноним (15), 10:47 , 26-Мрт-23, (20)   За каким хером тянуть гугл туда где он не нужен Вот именно для этого и есть нек, Sha4096 (?), 10:58 , 26-Мрт-23, (21) –2   Гугл уже монополист со своим хромом, и может приструнить центры Mozillу же цент, Аноним (28), 11:55 , 26-Мрт-23, (28) –3   Жажда сапога в жoпe или что У нас есть замечательный некомерчнский центр сертифи, Аноним (31), 12:18 , 26-Мрт-23, (35) +5   Ключи на стороне клиента генерируются В таких случаях нужно сначала одновреме, Аноним (28), 12:31 , 26-Мрт-23, (39) –2   Подпись на стороне ца Конечный подписанный серт генерируется на стороне ЦА Мир , Аноним (31), 12:43 , 26-Мрт-23, (49) +3   У клиента может быть уязвимая реализация гспч У центра уязвимая реализация - во, Аноним (28), 13:11 , 26-Мрт-23, (58)   ЦА - это профессиональные обеспичители безопасности Им за это и платят - чтобы , Аноним (68), 13:49 , 26-Мрт-23, (68) –1   Касательно кейса с банками - как-то был опыт, что у банка одного стух сертификат, Kuromi (ok), 14:38 , 26-Мрт-23, (85)   Как же вы задрали, мамкины экономисты На рынке сильно больше двух бесплатных бр, Аноним (48), 12:42 , 26-Мрт-23, (48) –1   telnet exe, например , Аноним (28), 12:53 , 26-Мрт-23, (54) +1   Не может Вообще никакого вляния не имеет Прежде чем нести чушь, разобрался бы , Аноним (105), 20:21 , 26-Мрт-23, (114)   А зачем тебе при этом вообще корневой сертификат Доверяй self-signed - вообще-т, пох. (?), 11:36 , 26-Мрт-23, (22) –1   Расскажите об этом минцифры , Аноним (28), 11:53 , 26-Мрт-23, (27) +1   А им чем поможет, там же не только ру и рефе, они ж и com и любые другие домены , пох. (?), 12:32 , 26-Мрт-23, (40) +1   А зачем им что-то рассказывать Кто они вообще Может им ещё и доверять начать , Аноним (38), 12:43 , 26-Мрт-23, (50)   Не вижу проблемы, если сертификатом минцифры будут подписаны только gov ru и , Аноним (28), 12:50 , 26-Мрт-23, (53) –1   Не вижу разницы между сертом минцифры и самоподписаным тобой Хотя вижу, к тебе , Аноним (56), 13:00 , 26-Мрт-23, (56) +3   Единственная разница между самоподписанными корневыми сертификатами - это то, ку, Аноним (62), 13:33 , 26-Мрт-23, (62) –2   Вся эта итерика с не продлят пока ниочем По тому что я наблюдаю организации в, Kuromi (ok), 14:48 , 26-Мрт-23, (86) –1   Разумеется, ни о чём Хотели бы - уже бы просто отозвали , Аноним (92), 15:04 , 26-Мрт-23, (92)   Не ставил, не пользовался, не нужны Кому наплевать на приватность - могут ставит, Tron is Whistling (?), 15:26 , 26-Мрт-23, (96)   Кому приходится получать зарплату на сбер - будет ставить Впрочем, там дальше в , пох. (?), 23:09 , 26-Мрт-23, (123) +1   Ды не, ну зачем жо В тухуслугах уже давно ничего не надо, а нало овой проще один, Tron is Whistling (?), 09:12 , 30-Мрт-23, (157)   я рад за тебя, чувак без загранпаспорта А мне вот - надо Зарегистрировался кст, пох. (?), 11:51 , 01-Апр-23, (168)   К счастью, успел загранник обновить в начале 2022, и даже шенген за пару недель , Tron is Whistling (?), 11:55 , 01-Апр-23, (169)   С правами тоже проблем не было - просто чуть дольше ожидание Хотя в последний р, Tron is Whistling (?), 11:56 , 01-Апр-23, (170)   А вот это - вообще тема Сейчас юзеры начнут огульно кликать установить сертифи, Tron is Whistling (?), 11:57 , 01-Апр-23, (171)   Кстате да, с сертификатами у терминалов забавно получилос , Tron is Whistling (?), 09:13 , 30-Мрт-23, (158)   Если бы было желание создать альтернативу западным CA, это не проблема Проблема, Аноним (104), 16:42 , 26-Мрт-23, (104)   Это проблема Западные CA внезапно трастятся всем миром и сотоварищи А вот с мест, Tron is Whistling (?), 09:13 , 30-Мрт-23, (159)   ну судя по требованиям, выкаченным Честному Ахмаду - в общем я бы на твоем месте, пох. (?), 12:00 , 01-Апр-23, (172) +1   Самым оптимальным был бы да, децентрализованный CA со строгими процедурами и нез, Tron is Whistling (?), 17:37 , 01-Апр-23, (173)   Ну была такая инцииатива - Opportunistic Security, она и состояла в том чтобы да, Kuromi (ok), 14:50 , 26-Мрт-23, (87) +1   А, да, ошметки по сей день видны в старой паленой луне и еще где-то Казалось бы , пох. (?), 16:16 , 26-Мрт-23, (101) +1   Почему Какие-то ограничения в браузерах , Аноньимъ (ok), 02:26 , 27-Мрт-23, (127)   Угу С селф-сайнед уже давно не работают всякие кросс-сайт штуки Даже с вручную , пох. (?), 07:47 , 27-Мрт-23, (131)   CORS нет, выставлять заголовки, в случае с самоподписанным сертом не помогает -, пох. (?), 09:36 , 27-Мрт-23, (136)   верьти нам, мы харошие А праведному Ахмеду так и не дали стать CA P S а владеле, пох. (?), 11:39 , 26-Мрт-23, (23) –2 // Ну отзыв фундаментально полагается на третьих лиц Которых придётся уговаривать , Аноним (28), 11:52 , 26-Мрт-23, (25) –1 // в блокчейн можно было бы напрямую добавлять запись об отзыве Но эта технология , пох. (?), 12:34 , 26-Мрт-23, (42) –1 Но заносить всей сети, путём нахождения блока уплаты transaction fee - обязатель, Аноним (28), 12:41 , 26-Мрт-23, (47) В блок можно заносить хеши от записи в DHT И не битком единым Вообще самая бол, Аноним (28), 12:46 , 26-Мрт-23, (51) беспринципными неолибералами, Аноним (63), 13:35 , 26-Мрт-23, (63) сложность в том, что владельцу нужно как-то доказать, что это его серт, и его ну, амоним (?), 12:01 , 26-Мрт-23, (30) –1 // Если серт утёк, то он должен быть отзыван Поэтому нет никакой проблемы, если ли, Аноним (28), 12:10 , 26-Мрт-23, (32) +2 получая серт, ты в принципе доверяешь весь свой трафик владельцам CA Запросы име, Аноним (28), 12:16 , 26-Мрт-23, (33) Не совсем Для этого им нужгы сообщники - хозяева каналов связи между тобой и са, Аноним (28), 12:17 , 26-Мрт-23, (34) ммм тебя совершенно не смущает тот факт что для получения того серта - ничего, пох. (?), 12:27 , 26-Мрт-23, (36) Ну вообще-то попросили доказать, что доменное имя ведёт к ним Это может владеле, Аноним (28), 12:37 , 26-Мрт-23, (45) Потом попросят предъявить право на вход в интернет , Аноним (72), 14:03 , 26-Мрт-23, (72) А сейчас даже веб-морда не нужна, на ужас ручных админов OCSP 8212 лажа уровн, Аноним (105), 20:31 , 26-Мрт-23, (115) Ага, не нужна - сп-ли у тебя сертификат - ну и что, сиди дальше надувай щеки, вс, пох. (?), 21:22 , 26-Мрт-23, (120) И как тут OCSP поможет А никак Он тебе скажет 171 серт годный 187 и ты это, Аноним (105), 01:13 , 27-Мрт-23, (125) А, ну так-то конечно ок Сертификаты с временем жизни в час всех спасут , пох. (?), 07:48 , 27-Мрт-23, (132) Во-первых, никто не может запретить праведному Ахмеду стать CA Скачал easy-rsa , Аноним (105), 18:42 , 26-Мрт-23, (108) // этот даже на троюродного племяша не тянет - Ахмед-то сразу сказал зачем ему быть, пох. (?), 20:49 , 26-Мрт-23, (118) Так уж получилось, что IP адрес одного из моих поддоменов в облаке оракла неизве, Аноним (-), 14:16 , 27-Мрт-23, (143) 8212 Слыш, пупкинбанк ком, смени сертификат 8212 пупкинбанк ком сгенериру, Аноним (26), 11:53 , 26-Мрт-23, (26) // Ну смена серта самим сайтом скомпрометировать его не должна, но вот расследовани, Аноним (28), 11:58 , 26-Мрт-23, (29) А НЕ ТО А НЕ ТО по сути все правильно, но это не просьба, а угроза Не сменишь -, пох. (?), 12:30 , 26-Мрт-23, (37) –1 // то есть plain http - лучше , Аноним (28), 12:39 , 26-Мрт-23, (46) +1 // Скрыто модератором, ivan_erohin (?), 13:33 , 26-Мрт-23, (61) Скрыто модератором, Аноним (66), 13:38 , 26-Мрт-23, (66) –1 Скрыто модератором, пох. (?), 14:03 , 26-Мрт-23, (73) –1 Лучше Никакой шиткрипт не сможет заблокировать доступ к твоему сайту , отозвав , пох. (?), 14:01 , 26-Мрт-23, (71) –1 при всем моем уважении это раньше ты на сайты ходил а сейчас просто через гугл , амоним (?), 14:11 , 26-Мрт-23, (76) которые, амоним (?), 14:12 , 26-Мрт-23, (77) ты не в курсе недавней истории как она рассеянским пропаган 0нам рассказала ин, пох. (?), 16:10 , 26-Мрт-23, (98) +1 ftfy, Аноним (111), 19:58 , 26-Мрт-23, (111) +1 я хотел бы купить реализацию rootCA interCA CRL AIA OCSP респондер на op, ivan_erohin (?), 10:56 , 27-Мрт-23, (139) Оборжаться Что ещё расскажешь , Аноним (105), 20:32 , 26-Мрт-23, (116) // а в чем проблема-то зеленых плашек с именем организации в адресной строке нет, пох. (?), 21:29 , 26-Мрт-23, (121) // Когда будут, тогда и обсудим Пока что это даже не гипотеза, так 8212 шёпот г, Аноним (105), 02:09 , 27-Мрт-23, (126) –1 сообществом кого , Аноним (57), 13:10 , 26-Мрт-23, (57) +1 А слабо по 7 дней сертификаты делать , Аноним (59), 13:23 , 26-Мрт-23, (59) –1 // Тебе никто не мешает менять сертификаты хоть каждый день , Аноним (72), 13:57 , 26-Мрт-23, (70) ну к этому все и идет ведь , пох. (?), 14:05 , 26-Мрт-23, (74) // всё идет к тому, что смертификаты будут выдавать на один час, и только если на, Аноним (59), 14:15 , 26-Мрт-23, (78) +3 // Ситауция с сертификататми вообще странная Все говорят надо бороться с слежкой, Kuromi (ok), 15:01 , 26-Мрт-23, (91) –2 Если у тебя нет TLS, то тебе можно инъектировать вредоносный JavaScript С экспл, Аноним (93), 15:11 , 26-Мрт-23, (93) Вот только примочки вроде WebUSB давно уже требует Secure Context и без HTTPS да, Kuromi (ok), 15:17 , 26-Мрт-23, (94) Тут же народ об обрезании функционала для сайтов без TLS ноет Совсем житья не д, Аноним (109), 19:31 , 26-Мрт-23, (109) –1 ну давай, инъектируй мне чего нибудь, прямо здесь, на этом сайте ты же можешь , Аноним (59), 15:57 , 26-Мрт-23, (97) +2 Скрыто модератором, Аноним (-), 14:20 , 27-Мрт-23, (144) я не смогу а вот опсосы из РФ вставляли рекламу клиентам в http успешно и провин, ivan_erohin (?), 07:52 , 31-Мрт-23, (163) Вот, я который раз и говорю мыши дохли, травились, но продолжали жрать бесплат, InuYasha (??), 10:35 , 27-Мрт-23, (138) Семь дней это дофигаВон mjg59 вообще задвигает что каждую минуту менять надоThe , Аноним (146), 16:44 , 27-Мрт-23, (146) // Тут скорее - не можешь победить - возглавь То есть чувак считает норм что в депл, пох. (?), 00:02 , 28-Мрт-23, (151) все уже придумано лет 5 как хашикорп ваулт безопастно выдает девопс-автоматике к, ivan_erohin (?), 07:58 , 31-Мрт-23, (164) скажу больше - какой-нибудь mesh в кластере может менять сертификаты гораздо чащ, амоним (?), 14:08 , 26-Мрт-23, (75) // Угу, потом пара десятков нод из него выпадут, а взлетать придётся руками Хотя од, Tron is Whistling (?), 09:17 , 30-Мрт-23, (160) +1 // Угу , вторую неделю не могли провести рутинную операцию в кластере этих ляпнутых, пох. (?), 13:42 , 31-Мрт-23, (165) +1 Надевает он гамаши, говорят ему - не Ваши Надевает он пальто, говорят ему - не , Ыкспёрт опённета (?), 14:27 , 26-Мрт-23, (80) // Скрыто модератором, Аноним (-), 14:53 , 26-Мрт-23, (90) минут Ишь чего захотел, 30 дней , пох. (?), 16:12 , 26-Мрт-23, (99) и чем это упрощает жизнь Может тогда еще внедрят по 30 дней в каждом месяце В, Аноним (88), 14:50 , 26-Мрт-23, (88) // не тебе же а летсшиткрипту Вот ты и бесишься , пох. (?), 16:13 , 26-Мрт-23, (100) С letsencryptom не знаком, потому прошу консультации, люди добрые Можно ли вы, Чукча (?), 20:42 , 26-Мрт-23, (117) // нет Нужно подтвердить что ты владеешь доступом к домену или сайту ну например , пох. (?), 20:56 , 26-Мрт-23, (119) +1 // Спасибо, но понимания больше не стало То ли я туп, то ли Вы - плохой разсказщик, Чукча (?), 15:33 , 30-Мрт-23, (161) // вообще-то этот сайт давно уже годится только для троллинга, а не просветительско, пох. (?), 18:56 , 30-Мрт-23, (162) +1 gt оверквотинг удален Спасибо за ответ Углублюсь в тему на досуге , Чукча (?), 14:21 , 18-Апр-23, (177) Непонятно что значит сообществом , подскажите пожалуйста -1 что это за сообще, Аноним (-), 23:41 , 26-Мрт-23, (124) –3 // 8211 2 - неужели мой вопрос такой сложный пусть оно не имеет названия, л, Аноним (-), 15:52 , 28-Мрт-23, (154) // Ну, как тебе попроще вот смотри, теравады одно из самых старых и респектабел, пох. (?), 22:21 , 28-Мрт-23, (155) // А эту вот карму , КТО контролирует - Тоже сообщество Ну типа - садятся и р, Аноним (156), 22:42 , 29-Мрт-23, (156) Вот какая заботливая компания, всё для людей , Аноним (128), 04:56 , 27-Мрт-23, (128) 6,8,9,12,13,14,26,57,59,80,88,117,124,128

Сообщения

[Сортировка по времени | RSS]

	15. "Let's Encrypt внедрил расширение для координации обновления ..."	–2 +/–
	Сообщение от Аноним (15), 26-Мрт-23, 10:22
	CRL и OCSP не содержат подписей, сделанных самими сертификатами, что позволяет УЦ их отзывать по желанию левой пятки. Напр. у тех, у кого дядя Сэм приказал отозвать. Всё это - большущий бэкдор. Нужно менять спецификации и браузеры, чтобы пользовались исключительно обновлёнными, содержащими подписи, сделанные самими отзываемыми приватными ключами.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от Sha4096 (?), 26-Мрт-23, 10:43
	И мне ходить по сайтам и доверять корневому сертификату, подписанным тобой? Ну уж как то обойдемся текущей ситуацией.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (15), 26-Мрт-23, 10:47
	Подписанному Гуглом. У Гуглага достаточно рычагов, чтобы отнять у CA возможность отзывать сертификаты по желанию их левых пяток. При этом у Гуглага есть возможность у самого отзывать сертификаты по своему усмотрению. Таким образом отъём у CA возможности отзывать сертификаты с одной стороны упрочнит власть гугла, а с другой - в некоторой степени оградит пользователей от беспредела центров.
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Let's Encrypt внедрил расширение для координации обновления ..."	–2 +/–
	Сообщение от Sha4096 (?), 26-Мрт-23, 10:58
	За каким хером тянуть гугл туда где он не нужен? Вот именно для этого и есть некоммерческий LetsEncrypt. А вашу жажду к монополии можно оставить при себе.
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Let's Encrypt внедрил расширение для координации обновления ..."	–3 +/–
	Сообщение от Аноним (28), 26-Мрт-23, 11:55
	Гугл уже монополист со своим хромом, и может приструнить центры. Mozillу же центры сами приструнят.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Let's Encrypt внедрил расширение для координации обновления ..."	+5 +/–
	Сообщение от Аноним (31), 26-Мрт-23, 12:18
	Жажда сапога в жoпe или что? У нас есть замечательный некомерчнский центр сертификации. Можно пожелать еще один некомерческий центр для альтернативы. Но точно нельзя пожелать чтобы гугл/госпараша или еще что-то подобное вмешивалось в этот процесс. Отзыв со стороны CA это хорошая практика для безопасности. СА лучше знать, чем владельцу сертификата о том, что при генерации что-то пошло не так. CA обнаружили баг/фичу из-за которых к твоему домену банка сгенерили 500 сертов 500 разных людей. И че мне ждать пока ты там об этом узнаешь чего-то подпишешь и пойдёшь обновишь 25 летний серт? И только после этого для клиента банка исчезнет вероятность MiTM от 500 разных людей? Невероятно логично просто 12/10, спасибо экспертам опеннета за наше безопасное детсво!
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Let's Encrypt внедрил расширение для координации обновления ..."	–2 +/–
	Сообщение от Аноним (28), 26-Мрт-23, 12:31
	>СА лучше знать, чем владельцу сертификата о том, что при генерации что-то пошло не так. Ключи на стороне клиента генерируются. >CA обнаружили баг/фичу из-за которых к твоему домену банка сгенерили 500 сертов 500 разных людей. В таких случаях нужно "сначала" (одновременно, но с приоритетом на "сначала") исключать корневой сертификат CA из браузеров и ОС, потом заставлять уже бывший CA его отзывать. Ибо если контора позволяет себе такое, то ей не место в бизнесе CA. И плевать, что это может быть не её вина. Тут вообще дело не в вине. Когда товар некачественный, то его не покупают, а покупают качественный товар конкурентов. Так работает и решает рыночек. >И че мне ждать пока ты там об этом узнаешь чего-то подпишешь и пойдёшь обновишь 25 летний серт? Нет, корневой церт этого CA уберут из реализаций, и реализации перестанут доверять всем потенциально скомпрометированным сертам. Бизнесмен заплатил субподрядчику, который оказал некачественную услугу ему. В результате бизнесмен оказал некачественную услугу своим клиентам. Клиенты могут подать на него в суд за это. А он - подать на CA, и взыскать с них убытки. Или не подать, если в договоре дак договорено.
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Let's Encrypt внедрил расширение для координации обновления ..."	+3 +/–
	Сообщение от Аноним (31), 26-Мрт-23, 12:43
	>Ключи на стороне клиента генерируются. Подпись на стороне ца. Конечный подписанный серт генерируется на стороне ЦА. >исключать корневой сертификат CA из браузеров и ОС, потом заставлять уже бывший CA его отзывать. Мир не идеален, так ни одного ЦА не останется или каждый день будет новый ЦА без репутации. Тот же летсенкрипт уже отзывал серты, что его теперь обнулить из-за этого? >в бизнесе CA Никакого бизнеса тут быть не должно этим должны заниматься НКО. >Нет, корневой церт этого CA уберут Сколько ЦА убрали из-за отзыва сертов? Крупные ЦА отзывали и отзывают серты это нормально и это должно быть автоматизировано, чем реньше серт будет отозван тем меньше угроза безопасности клиентов банка. >Бизнесмен заплатил субподрядчику, который оказал некачественную услугу ему. Мощно.  Бизнесмены, подрядчики и это все альтернатива ACME? Очень смешно.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (28), 26-Мрт-23, 13:11
	>>Ключи на стороне клиента генерируются. > Подпись на стороне ца. Конечный подписанный серт генерируется на стороне ЦА. У клиента может быть уязвимая реализация гспч. У центра уязвимая реализация - вон из бизнеса. > Мир не идеален, так ни одного ЦА не останется или каждый день будет новый ЦА без репутации. Вселенная жестока и несправедлива. Ты до сих пор жив только потому, что бесчисленное число людей, единственная вина которых была в том, что им не повезло, сдохли. >Тот же летсенкрипт уже отзывал серты, что его теперь обнулить из-за этого? Да, исключить его серты. Чьи сайты перестанут работать - сами виноваты, что выбрали этот CA. > Никакого бизнеса тут быть не должно этим должны заниматься НКО. Только при наличии адекватной оплаты адекватный CA может существовать. Какая у него правовая форма - глубоко пофиг. Нужна оплата такая, чтобы CA мог себе позволить обеспечить отсутствие инцидентов. > Сколько ЦА убрали из-за отзыва сертов? Это ещё раз указывает на то, что сегодняшняя система PKI скомпрометированна конфликтом интересов у её участников. >Крупные ЦА отзывали и отзывают серты - это нормально и это должно быть автоматизировано, чем реньше серт будет отозван тем меньше угроза безопасности клиентов банка. > Мощно.  Бизнесмены, подрядчики и это все альтернатива ACME? Очень смешно. Да. Не нравится, что сайт может выдти из строя из-за выхода из строя CA - резервируй. Всё равно рисковано? Пиши в договоре "ничего своим клиентам я не обязан"? Клиенты не оценили, идут к конкурентам? Не пиши так, страхуй ответственность. Некоммерческий сервис, бесплатный? Ну так не проблема не гарантировать сервис.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от Аноним (68), 26-Мрт-23, 13:49
	>Подпись на стороне ца. Конечный подписанный серт генерируется на стороне ЦА. ЦА - это профессиональные обеспичители безопасности. Им за это и платят - чтобы не было эксцессов, чтобы всё было сделано так, чтобы комар носу не подточил. >Мир не идеален, так ни одного ЦА не останется Ты жив только потому, что бесчисленное количество твоих дальних родственников было выбраковано эволюцией. >Никакого бизнеса тут быть не должно этим должны заниматься НКО. Всё равно, НКО или не НКО, главное чтобы у него ресурсы были на то, чтобы не происходило ничего, что может являться основанием для утраты доверия. >Бизнесмены, подрядчики и это все альтернатива ACME? Очень смешно. Ну так и сервис тогда должен быть не гарантирован. Не хочешь/не можешь платить - не в той позиции, чтобы требования к бесплатному продукту предъявлять.
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	85. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Kuromi (ok), 26-Мрт-23, 14:38
	Касательно кейса с банками - как-то был опыт, что у банка одного стух сертификат на второстепенном сервисе, типа сервера откуда всякая статика раздается, картинки и прочее, можно и не заметить. Пишу им в чат суппорта что вот так  и так - полное непонимание, вы не по адресу, пишите на мейл. Ну хрен с  ним, написал. Ответили через недели три. А когда тот же ФФ отключал всякие SHA-1 сертфиикаты так вообще жуть что было, у довольно респектабельных банков все ломалось и ноль реакции, так что на их тех. отдел надежд нет.
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

	48. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от Аноним (48), 26-Мрт-23, 12:42
	Как же вы задрали, мамкины экономисты. На рынке сильно больше двух бесплатных браузеров, а вы орете про какую-то монополию.
	Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

	54. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от Аноним (28), 26-Мрт-23, 12:53
	>На рынке сильно больше двух бесплатных браузеров telnet.exe, например.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (105), 26-Мрт-23, 20:21
	Не может. Вообще никакого вляния не имеет. Прежде чем нести чушь, разобрался бы как Root of Trust устроен и как в него сертификаты попадают. Если уж на то пошло, как раз Мозилловский Root of Trust один из самых авторитетных источников.
	Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

	22. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от пох. (?), 26-Мрт-23, 11:36
	А зачем тебе при этом вообще корневой сертификат? Доверяй self-signed - вообще-то это будет именно та децентрализация, о которой все мечтают. Если ты не доверяешь моей подписи - не ходи на мои сайты. Правда, работать в современых браузерах почти ничего не будет. Более того, существует поле ca restriction, позволяющее сделать такой ca, который может подписывать только конкретные домены и поддомены в них (и самое удивительное - его обрабатывает nss. Правда, из работающих при этом браузеров будет наверное одна мазила.)
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	27. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от Аноним (28), 26-Мрт-23, 11:53
	>Более того, существует поле ca restriction, позволяющее сделать такой ca, который может подписывать только конкретные домены и поддомены в них Расскажите об этом минцифры.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от пох. (?), 26-Мрт-23, 12:32
	А им чем поможет, там же не только ру и рефе, они ж и com и любые другие домены радостно подпишут.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (38), 26-Мрт-23, 12:43
	А зачем им что-то рассказывать? Кто они вообще? Может им ещё и доверять начать?
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	53. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от Аноним (28), 26-Мрт-23, 12:50
	Не вижу проблемы, если сертификатом минцифры будут подписаны только *.gov.ru и <государственные>.рф сайты. Также не вижу проблемы, если банки создадут свой центр сертификации, которым будут подписывать сертификаты исключительно своих сайтов.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Let's Encrypt внедрил расширение для координации обновления ..."	+3 +/–
	Сообщение от Аноним (56), 26-Мрт-23, 13:00
	Не вижу разницы между сертом минцифры и самоподписаным тобой. Хотя вижу, к тебе я отношусь нейтрально потому, что ничего не знаю, а с минцифры мне сразу все понятно.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Let's Encrypt внедрил расширение для координации обновления ..."	–2 +/–
	Сообщение от Аноним (62), 26-Мрт-23, 13:33
	Единственная разница между самоподписанными корневыми сертификатами - это то, куда их включили. Моим сертификатом ты не заставишь россиян пользоваться, и в браузеры и ОС ты его не пропихнёшь. Сертификатом минцифры уже заставили пользоваться россиян. Теперь люди ставят Яндекс Браузер, в котором этот сертификат есть, и пользуются им. С Алисой, включённой по-умолчанию. Можно было бы хорошо не навязывать людям Алису и браузер от конторы с не самой лучшей репутацией, а включить сертификат минцифры в браузеры и ОС с более чистой репутацией. Для этого нужна гарантия, что он не будет использоваться для вредоносной активности. Людям говорят "а вдруг сертификаты РФ не продлят/отзовут, тогда наши сайты накроются?" Ну если от этого защита, тогда ОК, только гарантию дайте, что вы траффик к чужим сайтам прослушивать и/или модифицировать не сможете. Ещё можно сказать "нас достало платить за сертификаты несправедливую цену", и это тоже ОК.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от Kuromi (ok), 26-Мрт-23, 14:48
	Вся эта итерика с "не продлят" пока ниочем. По тому что я наблюдаю организации в "зоне угрозы" перешли на греческие и возможно китайские центры сертификации. AlphaSSL стал часто мелькать например, а у Сбера сертификат от HARICA.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (92), 26-Мрт-23, 15:04
	Разумеется, ни о чём. Хотели бы - уже бы просто отозвали.
	Ответить | Правка | Наверх | Cообщить модератору

	96. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 26-Мрт-23, 15:26
	Не ставил, не пользовался, не нужны. Кому наплевать на приватность - могут ставить.
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	123. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от пох. (?), 26-Мрт-23, 23:09
	Кому приходится получать зарплату на сбер - будет ставить. Впрочем, там дальше в списке госуслуги и налоговая. Так что никуда ты не денешься, будешь ставить - рано или поздно. Сертификаты от неведомых китайцев и каких-то стремных греков, сам понимаешь, невечны - в следующий раз даже если их согласятся выдать, может не получиться легально заплатить. Это временная затычка вызванная в основном тем, что добавлять ана...нетные сертификаты внезпно, кто бы мог подумать, оказалось надо еще и во все банковские терминалы. Сбер попытался и что-то у него там пошло не так. Но, как ты понимаешь, в самом крайнем случае несговорчивые терминалы просто заменят на более сговорчивые китайские, и угадай за чей счет.
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 30-Мрт-23, 09:12
	Ды не, ну зачем жо. В тухуслугах уже давно ничего не надо, а нало*овой проще один раз ткнуть "пустить с говном вместо сертификата", всё равно там ничего критичного нет.
	Ответить | Правка | Наверх | Cообщить модератору

	168. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от пох. (?), 01-Апр-23, 11:51
	> В тухуслугах уже давно ничего не надо, а нало*овой проще один раз я рад за тебя, чувак без загранпаспорта. А мне вот - надо. Зарегистрировался (кстати, поведшись на клятвенные обещания что учетку всегда можно удалить... да, до прошлой недели было можно) ради возможности вообще выехать за границу в ковидные годы. Вот вообще ты никак без этого г-на не ушел бы от штрафа в 60 тыщ. Сам загран - хз, наверное можно заполнить все на бумажке при личной явке в МФЦ (которые только в крупных городах и то не всех... впрочем зачем воронежцу загран, пакет себе чорный пусть закажет) но я не пробовал. Но самое интересное и увлекательное тебя ждет когда понадобится плотненько повзаимодействовать с архивами. И выяснится что восстановить справочку о смерти бабушки утерянную в 90е - с прошлого года можно только по записи. Запись только через дерьмоуслуги. Это еще цветочки, ягодки когда тебе нужны необычные справки. Кое-что из этого требует одновременно учетки на гуаноуслугах И учетки mos.ru и никак иначе вот вообще (тоже все по записи и просто не попадешь туда). Водительские права протухли? Снова все непросто. можно, конечно, пытаться вручную разрешать сертификаты (а потом "ой, квартирка сама продалась") но там мильен разных доменов в авторизационных и прочих целях - поэтому скорее всего что-то да перестанет работать. так что разьве что отдельный браузер держать. А потом еще его же для СБП (потому что понятно кто следующий принудительно и с песней перейдет - и это как раз эмбеднутые элементы в странице, их вручную не разрешишь). А потом ты с удивлением понимаешь что у тебя все что на самом деле ценного и важного - именно в том браузере. А в нетом только опеннет, и непонятно нафига вообще.
	Ответить | Правка | Наверх | Cообщить модератору

	169. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 01-Апр-23, 11:55
	К счастью, успел загранник обновить в начале 2022, и даже шенген за пару недель "до" открыл :D
	Ответить | Правка | К родителю #168 | Наверх | Cообщить модератору

	170. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 01-Апр-23, 11:56
	С правами тоже проблем не было - просто чуть дольше ожидание. Хотя в последний раз, когда записывался по другому поводу, ожидание получилось совсем не меньшим - можно было без записи приходить, результат тот же.
	Ответить | Правка | К родителю #168 | Наверх | Cообщить модератору

	171. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 01-Апр-23, 11:57
	> пытаться вручную разрешать сертификаты А вот это - вообще тема. Сейчас юзеры начнут огульно кликать "установить сертификат", и митмы по всяким халявным вайфаям очень быстро войдут в моду.
	Ответить | Правка | К родителю #168 | Наверх | Cообщить модератору

	158. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 30-Мрт-23, 09:13
	Кстате да, с сертификатами у терминалов забавно получилос )
	Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

	104. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (104), 26-Мрт-23, 16:42
	Если бы было желание создать альтернативу западным CA, это не проблема. Проблема в том, что товарищ майор хочет, чтобы всё было под колпаком. Да, американский товарищ майор хочет того же самого, но российский товарищ майор туповат и действует самым топорным путем, своим любимым - шваброанальным. При этом у исполнителя в минцифрах мозгов не сильно больше, и он даже не в состоянии нормально настроить openssl, чтобы из сертификата не торчала левая фигня. Совсем недавно была масса конкурирующих российских CA, которые прекрасно сами генерировали российские ЭЦП для бизнеса. Было бы желание, можно было бы на этой основе сделать десятки альтернативных CA. Но нет, всё это прикрыли, и уже пару лет как всё централизовано.
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	159. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 30-Мрт-23, 09:13
	Это проблема. Западные CA внезапно трастятся всем миром и сотоварищи. А вот с местным CA как щетаежь, какой уровень траста будет? Ну, ставлю на Эритрею...
	Ответить | Правка | Наверх | Cообщить модератору

	172. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от пох. (?), 01-Апр-23, 12:00
	> Это проблема. > Западные CA внезапно трастятся всем миром и сотоварищи. ну судя по требованиям, выкаченным Честному Ахмаду - в общем я бы на твоем месте не особо доверял тем товарищам. Какие-то они м-ки просто, товарищи эти. С местными конечно еще хуже, потому что когда у них не только сп-ят все что можно и нельзя (и нет сомнений что это случится) и от их имени навыпускают твоих сертификатов не хуже настоящего, но и эта информация станет широко распространена (опять напоминаю истории с электронной подписью левыми сертами заверенными какими-то авторизованными помойками где-то в когалыме) - с ними ровным счетом ничего не произойдет. А diginotar таки закрыли, и стремного панамца (который может и не делал ничего такого, кстати) и не менее стремного араба тоже. > А вот с местным CA как щетаежь, какой уровень траста будет? > Ну, ставлю на Эритрею... Бери больше - великая страна, мл...э...партнер самого Китая - доверит как один! (Кто не доверит - тому швабра.) Большинство как обычно даже ничего не заметят. Велят для захода в банк ставить браузер Амиго - будут ставить! С гордостью даже, не пендосский гугель какой, наше, импортозамещенное!
	Ответить | Правка | Наверх | Cообщить модератору

	173. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 01-Апр-23, 17:37
	Самым оптимальным был бы да, децентрализованный CA со строгими процедурами и независимым наблюдением. Но это фантастика... А так да, всё так.
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от Kuromi (ok), 26-Мрт-23, 14:50
	Ну была такая инцииатива - Opportunistic Security, она и состояла в том чтобы даже на сайтах без нормлаьных сертификатах можно было настроить self-signed и чтобы браузер автоматически его подхватывал и без особыз истерик использовал. Мол да. сертификат непонятный. но соединение хотя бы зашифровано. Не взлетело, хотя в ФФ было готово.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	101. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от пох. (?), 26-Мрт-23, 16:16
	А, да, ошметки по сей день видны в старой паленой луне и еще где-то. Казалось бы - с точки зрения безопасности уж всяко не хуже plain http. Но нет. Как это без острых глаз и длинных ушей товарищамайора общаться вздумали, ишь распоясались!
	Ответить | Правка | Наверх | Cообщить модератору

	127. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноньимъ (ok), 27-Мрт-23, 02:26
	>Правда, работать в современых браузерах почти ничего не будет. Почему? Какие-то ограничения в браузерах?
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	131. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от пох. (?), 27-Мрт-23, 07:47
	Угу. С селф-сайнед уже давно не работают всякие кросс-сайт штуки. Даже с вручную подтвержденным что да, козлина, это МОЙ сертификат и отвяжись уже наконец со своей дурацкой безопасТностью. (С невручную как обычно вообще ничего не работает потому что браузеры заменили нормальные диалоги на идиотскую "страницу" выдаваемую вместо сайта. И, соответственно, если с сайтом-то все относительно в порядке а с сертификатом возникли вопросы у вложенного элемента - то страницу некуда показать.) Я напоролся на эту проблему при попытке самостоятельно развернуть инфраструктуру onlyoffice. Пришлось попрятать все за общий прокси (так же сделано в их собственных готовых сборках где все-в-одном), чтоб не было видно что часть содержимого страницы отдается с другого сервера. А если вместо этого ты выполнишь их инструкцию (включая создание self-signed) - ничего у тебя работать не будет.
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от пох. (?), 27-Мрт-23, 09:36
	CORS (нет, выставлять заголовки, в случае с самоподписанным сертом не помогает - они выставляются, естественно, и игнорируются) и еще что-то, связанное с вебсокетами, что я забыл зафиксировать в методичках - первое я с грехом пополам в какой-то древней мразиле отключил, и это у меня записано, но дальше там еще что-то было, о чем уже забыл за давностию лет. Причем на экране разумеется пусто, и несчастный юзер даже не узнает где его кинули (в консоль он вряд ли умеет посмотреть). Короче - не работает наглухо. С enterprise root - работает, конечно, но там еще проблем будет при этом (у жабаскрипта свои причуды, node еще и  не умеет в энтерпрайз, п-ц), поэтому пришлось пойти другим путем.
	Ответить | Правка | К родителю #127 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема