forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Let's Encrypt внедрил расширение для координации обновления сертификатов, opennews (?), 26-Мрт-23, (0) [смотреть все]

Но при этом всё равно требуется запрашивать инфу с их серверов поллингом, судя п, BrainFucker (ok), 09:00 , 26-Мрт-23, (6) –1 //

Нагрузка на веб-апи это ничто Вебапи можно заскейлить до космических масштабов п, Аноним (64), 13:36 , 26-Мрт-23, (64) +8 //

могли бы просто дёргать URL на сайте через POST , Аноним (69), 13:53 , 26-Мрт-23, (69) –1
Не сам, а по крону клиент certbot или аналог слал запрос на сервер LE, тот в отв, BrainFucker (ok), 14:26 , 26-Мрт-23, (79) –2 //

Несколько серверов чего именно REST API Их и так несколько Тормозит совершенн, Аноним (105), 17:21 , 26-Мрт-23, (105)

Почти бесплатно тут лишнее - до космических масштабов скейлится стоимостью кос, Tron is Whistling (?), 15:24 , 26-Мрт-23, (95) –3 //

Ну давай прикинем хотя бы порядок этих 171 космических 187 денег Предположи, Аноним (105), 18:15 , 26-Мрт-23, (106) +13

Переиграл и уничтожил , anonym444 (?), 22:07 , 27-Мрт-23, (150) +3

Ды ладно Там как обычно - килобайт данных На сколь либо серьёзное применение , Tron is Whistling (?), 00:58 , 04-Апр-23, (176)

А теперь увеличь килобайт до пары мегабайт, и давай посчитаем , Tron is Whistling (?), 00:56 , 04-Апр-23, (175)

Ну и дураки Берём корневой сертификат, им подписываем N сертификатов для N серв, pashev.ru (?), 16:37 , 26-Мрт-23, (102) –1 //

Локалхостов, так что ж ты им не объяснишь как надо-то Показал бы класс А то он, Аноним (105), 18:22 , 26-Мрт-23, (107) +4

Это какой-то позор, сервис, на который завязали половину интернета, держится на , Аноним (141), 12:39 , 27-Мрт-23, (141) +1 //

При этом у них собралосьно весь бизнес висит на одной железке , Аноним (141), 12:51 , 27-Мрт-23, (142) +1
Там скорее всего и от второго сокета толку никакого Строго последовательная обра, пох. (?), 17:01 , 27-Мрт-23, (147)

не хотите нагрузку - сделайте сертификаты на 25 лет, и никому не надо будет их о, Аноним (8), 09:17 , 26-Мрт-23, (8) //

этак интернетом смогут пользоваться все, а не только кому дозволено , Аноним (11), 09:48 , 26-Мрт-23, (11) +10 //

https www opennet ru opennews art shtml num 54206https www opennet ru openne, Аноним (83), 14:36 , 26-Мрт-23, (83) +2 //

не вижу связи, не ставьте такой сертификат ca - , Аноним (133), 08:41 , 27-Мрт-23, (133)

И сразу выкладывайте этот сертификат на 25 лет в общий доступ Нам нечего скры, Аноним (31), 12:04 , 26-Мрт-23, (31) +7 //

И трусы от банковской карточки, Аноним (38), 12:31 , 26-Мрт-23, (38) +1
Анонимус не в курсе, что сертификаты, включая корневой, и так в открытом доступе, pashev.ru (?), 16:39 , 26-Мрт-23, (103) –2
Только сертификат - не парольНу обновляй все пароли на всех ресурсах через день , Бывалый Смузихлёб (??), 07:16 , 27-Мрт-23, (129) //

именно кто контролирует выпуск сертификатов- контролирует интернет , Аноним (133), 08:42 , 27-Мрт-23, (134)
Срок жизни сертификатов напрямую связан с безопасностью точно так же как и срок , Анон_облегчился (?), 16:41 , 27-Мрт-23, (145)

Ну да, ну да - ручное обновление с контролем за ручками раз в три года - плоха, , пох. (?), 17:05 , 27-Мрт-23, (148) –1

Кроме сертбота полно других реализаций, но обычно реализация ACME нативно реализ, Аноним (31), 01:10 , 28-Мрт-23, (152)

ну то есть вообще зашибись - сразу конечное приложение работает от рута или от е, пох. (?), 09:26 , 28-Мрт-23, (153) –1

Отлично запускается и не от рута Даже на одной машине он может быть не один, эт, К.О. (?), 09:53 , 01-Апр-23, (166) –1

Наоборот, ни продвигают идею сокращения срока их жизни и более частого обновлени, Kuromi (ok), 14:27 , 26-Мрт-23, (81) +2

Они открыли для себя openssl x509 -dates , судя по примеру , Sadok (ok), 09:38 , 26-Мрт-23, (9) –5 //

openssl не покажет, что сертификат будет досрочно отозван , Аноним (10), 09:40 , 26-Мрт-23, (10) +3 //

да, не проснулся касаться вопроса какого карлика CA отзывает сертификат не б, Sadok (ok), 10:44 , 26-Мрт-23, (17) –1 //

Каэшн не будем, ты ведь пишешь идеальный софт в котором не может быть уязвимосте, Аноним (38), 12:33 , 26-Мрт-23, (41) –1

сколько бесполезных слов и обвинений но не упоминается главного, Бывалый Смузихлёб (??), 07:27 , 27-Мрт-23, (130) –2

Ну почему не использовать стандартный URL, как в обновлении https example com , Аноним (12), 10:03 , 26-Мрт-23, (12) –2 //

потому что wildcard, Sadok (ok), 10:46 , 26-Мрт-23, (18) –2 //

Именно для единообразной обработки по wildcard и надо if string match lighty env, Аноним (12), 12:57 , 26-Мрт-23, (55) –3

Сообществом корпоратов , Анонус (?), 10:04 , 26-Мрт-23, (13) +2 //

Мой комментарий снесли Кстати, а у кого ключ от корневого сертификата , pashev.ru (?), 10:46 , 26-Мрт-23, (19) +2 //

для больших CA, ключ от корневого серта, вроде как, лежит в железе, без возможно, амоним (?), 11:51 , 26-Мрт-23, (24) //

А потом, внезапно, узнаётся, что из железа, при очень большом желании, его тоже , Аноним (38), 12:34 , 26-Мрт-23, (43) +1

Ага, при помощи секретных нибируанских технологий Но только с благословления ве, Аноним (105), 20:13 , 26-Мрт-23, (113)

Но ведь отзыв сертификата по инициативе УЦ, а не его владельца - это какой-то бр, Аноним (14), 10:04 , 26-Мрт-23, (14) –2 //

CRL и OCSP не содержат подписей, сделанных самими сертификатами, что позволяет У, Аноним (15), 10:22 , 26-Мрт-23, (15) –2 //

И мне ходить по сайтам и доверять корневому сертификату, подписанным тобой Ну уж, Sha4096 (?), 10:43 , 26-Мрт-23, (16) –1 //

Подписанному Гуглом У Гуглага достаточно рычагов, чтобы отнять у CA возможность, Аноним (15), 10:47 , 26-Мрт-23, (20)

За каким хером тянуть гугл туда где он не нужен Вот именно для этого и есть нек, Sha4096 (?), 10:58 , 26-Мрт-23, (21) –2

Гугл уже монополист со своим хромом, и может приструнить центры Mozillу же цент, Аноним (28), 11:55 , 26-Мрт-23, (28) –3

Жажда сапога в жoпe или что У нас есть замечательный некомерчнский центр сертифи, Аноним (31), 12:18 , 26-Мрт-23, (35) +5

Ключи на стороне клиента генерируются В таких случаях нужно сначала одновреме, Аноним (28), 12:31 , 26-Мрт-23, (39) –2

Подпись на стороне ца Конечный подписанный серт генерируется на стороне ЦА Мир , Аноним (31), 12:43 , 26-Мрт-23, (49) +3

У клиента может быть уязвимая реализация гспч У центра уязвимая реализация - во, Аноним (28), 13:11 , 26-Мрт-23, (58)
ЦА - это профессиональные обеспичители безопасности Им за это и платят - чтобы , Аноним (68), 13:49 , 26-Мрт-23, (68) –1

Касательно кейса с банками - как-то был опыт, что у банка одного стух сертификат, Kuromi (ok), 14:38 , 26-Мрт-23, (85)

Как же вы задрали, мамкины экономисты На рынке сильно больше двух бесплатных бр, Аноним (48), 12:42 , 26-Мрт-23, (48) –1

telnet exe, например , Аноним (28), 12:53 , 26-Мрт-23, (54) +1

Не может Вообще никакого вляния не имеет Прежде чем нести чушь, разобрался бы , Аноним (105), 20:21 , 26-Мрт-23, (114)

А зачем тебе при этом вообще корневой сертификат Доверяй self-signed - вообще-т, пох. (?), 11:36 , 26-Мрт-23, (22) –1

Расскажите об этом минцифры , Аноним (28), 11:53 , 26-Мрт-23, (27) +1

А им чем поможет, там же не только ру и рефе, они ж и com и любые другие домены , пох. (?), 12:32 , 26-Мрт-23, (40) +1
А зачем им что-то рассказывать Кто они вообще Может им ещё и доверять начать , Аноним (38), 12:43 , 26-Мрт-23, (50)

Не вижу проблемы, если сертификатом минцифры будут подписаны только gov ru и , Аноним (28), 12:50 , 26-Мрт-23, (53) –1

Не вижу разницы между сертом минцифры и самоподписаным тобой Хотя вижу, к тебе , Аноним (56), 13:00 , 26-Мрт-23, (56) +3

Единственная разница между самоподписанными корневыми сертификатами - это то, ку, Аноним (62), 13:33 , 26-Мрт-23, (62) –2

Вся эта итерика с не продлят пока ниочем По тому что я наблюдаю организации в, Kuromi (ok), 14:48 , 26-Мрт-23, (86) –1

Разумеется, ни о чём Хотели бы - уже бы просто отозвали , Аноним (92), 15:04 , 26-Мрт-23, (92)

Не ставил, не пользовался, не нужны Кому наплевать на приватность - могут ставит, Tron is Whistling (?), 15:26 , 26-Мрт-23, (96)

Кому приходится получать зарплату на сбер - будет ставить Впрочем, там дальше в , пох. (?), 23:09 , 26-Мрт-23, (123) +1

Ды не, ну зачем жо В тухуслугах уже давно ничего не надо, а нало овой проще один, Tron is Whistling (?), 09:12 , 30-Мрт-23, (157)
я рад за тебя, чувак без загранпаспорта А мне вот - надо Зарегистрировался кст, пох. (?), 11:51 , 01-Апр-23, (168)
К счастью, успел загранник обновить в начале 2022, и даже шенген за пару недель , Tron is Whistling (?), 11:55 , 01-Апр-23, (169)
С правами тоже проблем не было - просто чуть дольше ожидание Хотя в последний р, Tron is Whistling (?), 11:56 , 01-Апр-23, (170)
А вот это - вообще тема Сейчас юзеры начнут огульно кликать установить сертифи, Tron is Whistling (?), 11:57 , 01-Апр-23, (171)
Кстате да, с сертификатами у терминалов забавно получилос , Tron is Whistling (?), 09:13 , 30-Мрт-23, (158)

Если бы было желание создать альтернативу западным CA, это не проблема Проблема, Аноним (104), 16:42 , 26-Мрт-23, (104)

Это проблема Западные CA внезапно трастятся всем миром и сотоварищи А вот с мест, Tron is Whistling (?), 09:13 , 30-Мрт-23, (159)

ну судя по требованиям, выкаченным Честному Ахмаду - в общем я бы на твоем месте, пох. (?), 12:00 , 01-Апр-23, (172) +1
Самым оптимальным был бы да, децентрализованный CA со строгими процедурами и нез, Tron is Whistling (?), 17:37 , 01-Апр-23, (173)

Ну была такая инцииатива - Opportunistic Security, она и состояла в том чтобы да, Kuromi (ok), 14:50 , 26-Мрт-23, (87) +1

А, да, ошметки по сей день видны в старой паленой луне и еще где-то Казалось бы , пох. (?), 16:16 , 26-Мрт-23, (101) +1

Почему Какие-то ограничения в браузерах , Аноньимъ (ok), 02:26 , 27-Мрт-23, (127)

Угу С селф-сайнед уже давно не работают всякие кросс-сайт штуки Даже с вручную , пох. (?), 07:47 , 27-Мрт-23, (131)
CORS нет, выставлять заголовки, в случае с самоподписанным сертом не помогает -, пох. (?), 09:36 , 27-Мрт-23, (136)

верьти нам, мы харошие А праведному Ахмеду так и не дали стать CA P S а владеле, пох. (?), 11:39 , 26-Мрт-23, (23) –2 //

Ну отзыв фундаментально полагается на третьих лиц Которых придётся уговаривать , Аноним (28), 11:52 , 26-Мрт-23, (25) –1 //

в блокчейн можно было бы напрямую добавлять запись об отзыве Но эта технология , пох. (?), 12:34 , 26-Мрт-23, (42) –1

Но заносить всей сети, путём нахождения блока уплаты transaction fee - обязатель, Аноним (28), 12:41 , 26-Мрт-23, (47)
В блок можно заносить хеши от записи в DHT И не битком единым Вообще самая бол, Аноним (28), 12:46 , 26-Мрт-23, (51)

беспринципными неолибералами, Аноним (63), 13:35 , 26-Мрт-23, (63)

сложность в том, что владельцу нужно как-то доказать, что это его серт, и его ну, амоним (?), 12:01 , 26-Мрт-23, (30) –1 //

Если серт утёк, то он должен быть отзыван Поэтому нет никакой проблемы, если ли, Аноним (28), 12:10 , 26-Мрт-23, (32) +2
получая серт, ты в принципе доверяешь весь свой трафик владельцам CA Запросы име, Аноним (28), 12:16 , 26-Мрт-23, (33)

Не совсем Для этого им нужгы сообщники - хозяева каналов связи между тобой и са, Аноним (28), 12:17 , 26-Мрт-23, (34)

ммм тебя совершенно не смущает тот факт что для получения того серта - ничего, пох. (?), 12:27 , 26-Мрт-23, (36)

Ну вообще-то попросили доказать, что доменное имя ведёт к ним Это может владеле, Аноним (28), 12:37 , 26-Мрт-23, (45)

Потом попросят предъявить право на вход в интернет , Аноним (72), 14:03 , 26-Мрт-23, (72)

А сейчас даже веб-морда не нужна, на ужас ручных админов OCSP 8212 лажа уровн, Аноним (105), 20:31 , 26-Мрт-23, (115)

Ага, не нужна - сп-ли у тебя сертификат - ну и что, сиди дальше надувай щеки, вс, пох. (?), 21:22 , 26-Мрт-23, (120)

И как тут OCSP поможет А никак Он тебе скажет 171 серт годный 187 и ты это, Аноним (105), 01:13 , 27-Мрт-23, (125)

А, ну так-то конечно ок Сертификаты с временем жизни в час всех спасут , пох. (?), 07:48 , 27-Мрт-23, (132)

Во-первых, никто не может запретить праведному Ахмеду стать CA Скачал easy-rsa , Аноним (105), 18:42 , 26-Мрт-23, (108) //

этот даже на троюродного племяша не тянет - Ахмед-то сразу сказал зачем ему быть, пох. (?), 20:49 , 26-Мрт-23, (118)

Так уж получилось, что IP адрес одного из моих поддоменов в облаке оракла неизве, Аноним (-), 14:16 , 27-Мрт-23, (143)

8212 Слыш, пупкинбанк ком, смени сертификат 8212 пупкинбанк ком сгенериру, Аноним (26), 11:53 , 26-Мрт-23, (26) //

Ну смена серта самим сайтом скомпрометировать его не должна, но вот расследовани, Аноним (28), 11:58 , 26-Мрт-23, (29)
А НЕ ТО А НЕ ТО по сути все правильно, но это не просьба, а угроза Не сменишь -, пох. (?), 12:30 , 26-Мрт-23, (37) –1 //

то есть plain http - лучше , Аноним (28), 12:39 , 26-Мрт-23, (46) +1 //

Скрыто модератором, ivan_erohin (?), 13:33 , 26-Мрт-23, (61)

Скрыто модератором, Аноним (66), 13:38 , 26-Мрт-23, (66) –1

Скрыто модератором, пох. (?), 14:03 , 26-Мрт-23, (73) –1

Лучше Никакой шиткрипт не сможет заблокировать доступ к твоему сайту , отозвав , пох. (?), 14:01 , 26-Мрт-23, (71) –1

при всем моем уважении это раньше ты на сайты ходил а сейчас просто через гугл , амоним (?), 14:11 , 26-Мрт-23, (76)

которые, амоним (?), 14:12 , 26-Мрт-23, (77)
ты не в курсе недавней истории как она рассеянским пропаган 0нам рассказала ин, пох. (?), 16:10 , 26-Мрт-23, (98) +1

ftfy, Аноним (111), 19:58 , 26-Мрт-23, (111) +1

я хотел бы купить реализацию rootCA interCA CRL AIA OCSP респондер на op, ivan_erohin (?), 10:56 , 27-Мрт-23, (139)

Оборжаться Что ещё расскажешь , Аноним (105), 20:32 , 26-Мрт-23, (116) //

а в чем проблема-то зеленых плашек с именем организации в адресной строке нет, пох. (?), 21:29 , 26-Мрт-23, (121) //

Когда будут, тогда и обсудим Пока что это даже не гипотеза, так 8212 шёпот г, Аноним (105), 02:09 , 27-Мрт-23, (126) –1

сообществом кого , Аноним (57), 13:10 , 26-Мрт-23, (57) +1
А слабо по 7 дней сертификаты делать , Аноним (59), 13:23 , 26-Мрт-23, (59) –1 //

Тебе никто не мешает менять сертификаты хоть каждый день , Аноним (72), 13:57 , 26-Мрт-23, (70)
ну к этому все и идет ведь , пох. (?), 14:05 , 26-Мрт-23, (74) //

всё идет к тому, что смертификаты будут выдавать на один час, и только если на, Аноним (59), 14:15 , 26-Мрт-23, (78) +3 //

Ситауция с сертификататми вообще странная Все говорят надо бороться с слежкой, Kuromi (ok), 15:01 , 26-Мрт-23, (91) –2

Если у тебя нет TLS, то тебе можно инъектировать вредоносный JavaScript С экспл, Аноним (93), 15:11 , 26-Мрт-23, (93)

Вот только примочки вроде WebUSB давно уже требует Secure Context и без HTTPS да, Kuromi (ok), 15:17 , 26-Мрт-23, (94)

Тут же народ об обрезании функционала для сайтов без TLS ноет Совсем житья не д, Аноним (109), 19:31 , 26-Мрт-23, (109) –1

ну давай, инъектируй мне чего нибудь, прямо здесь, на этом сайте ты же можешь , Аноним (59), 15:57 , 26-Мрт-23, (97) +2

Скрыто модератором, Аноним (-), 14:20 , 27-Мрт-23, (144)
я не смогу а вот опсосы из РФ вставляли рекламу клиентам в http успешно и провин, ivan_erohin (?), 07:52 , 31-Мрт-23, (163)

Вот, я который раз и говорю мыши дохли, травились, но продолжали жрать бесплат, InuYasha (??), 10:35 , 27-Мрт-23, (138)

Семь дней это дофигаВон mjg59 вообще задвигает что каждую минуту менять надоThe , Аноним (146), 16:44 , 27-Мрт-23, (146) //

Тут скорее - не можешь победить - возглавь То есть чувак считает норм что в депл, пох. (?), 00:02 , 28-Мрт-23, (151)

все уже придумано лет 5 как хашикорп ваулт безопастно выдает девопс-автоматике к, ivan_erohin (?), 07:58 , 31-Мрт-23, (164)

скажу больше - какой-нибудь mesh в кластере может менять сертификаты гораздо чащ, амоним (?), 14:08 , 26-Мрт-23, (75) //

Угу, потом пара десятков нод из него выпадут, а взлетать придётся руками Хотя од, Tron is Whistling (?), 09:17 , 30-Мрт-23, (160) +1 //

Угу , вторую неделю не могли провести рутинную операцию в кластере этих ляпнутых, пох. (?), 13:42 , 31-Мрт-23, (165) +1

Надевает он гамаши, говорят ему - не Ваши Надевает он пальто, говорят ему - не , Ыкспёрт опённета (?), 14:27 , 26-Мрт-23, (80) //

Скрыто модератором, Аноним (-), 14:53 , 26-Мрт-23, (90)
минут Ишь чего захотел, 30 дней , пох. (?), 16:12 , 26-Мрт-23, (99)

и чем это упрощает жизнь Может тогда еще внедрят по 30 дней в каждом месяце В, Аноним (88), 14:50 , 26-Мрт-23, (88) //

не тебе же а летсшиткрипту Вот ты и бесишься , пох. (?), 16:13 , 26-Мрт-23, (100)

С letsencryptom не знаком, потому прошу консультации, люди добрые Можно ли вы, Чукча (?), 20:42 , 26-Мрт-23, (117) //

нет Нужно подтвердить что ты владеешь доступом к домену или сайту ну например , пох. (?), 20:56 , 26-Мрт-23, (119) +1 //

Спасибо, но понимания больше не стало То ли я туп, то ли Вы - плохой разсказщик, Чукча (?), 15:33 , 30-Мрт-23, (161) //

вообще-то этот сайт давно уже годится только для троллинга, а не просветительско, пох. (?), 18:56 , 30-Мрт-23, (162) +1

gt оверквотинг удален Спасибо за ответ Углублюсь в тему на досуге , Чукча (?), 14:21 , 18-Апр-23, (177)

Непонятно что значит сообществом , подскажите пожалуйста -1 что это за сообще, Аноним (-), 23:41 , 26-Мрт-23, (124) –3 //

8211 2 - неужели мой вопрос такой сложный пусть оно не имеет названия, л, Аноним (-), 15:52 , 28-Мрт-23, (154) //

Ну, как тебе попроще вот смотри, теравады одно из самых старых и респектабел, пох. (?), 22:21 , 28-Мрт-23, (155) //

А эту вот карму , КТО контролирует - Тоже сообщество Ну типа - садятся и р, Аноним (156), 22:42 , 29-Мрт-23, (156)

Вот какая заботливая компания, всё для людей , Аноним (128), 04:56 , 27-Мрт-23, (128)

Сообщения [Сортировка по времени | RSS]

6. "Let's Encrypt внедрил расширение для координации обновления ..." –1 +/–

Сообщение от BrainFucker (ok), 26-Мрт-23, 09:00

> Кроме того, ARI позволяет эффективно сглаживать пиковую нагрузку на серверы Let's Encrypt, выбирая время для обновления с учётом загруженности инфраструктуры. GET https://example.com/acme/renewal-info/
Но при этом всё равно требуется запрашивать инфу с их серверов поллингом, судя по примеру?

Ответить | Правка | Наверх | Cообщить модератору

64. "Let's Encrypt внедрил расширение для координации обновления ..." +8 +/–

Сообщение от Аноним (64), 26-Мрт-23, 13:36

Нагрузка на веб-апи это ничто.
Вебапи можно заскейлить до космических масштабов почти бесплатно и обрабатывать хоть все запросы разом от всего человечества.
Нагрузку создаёт генерация новых сертификатов, раньше пользователь по крону генерил сам в удобное время ему. Теперь будет генерить в удобное для ЦА время.
У летсенкрипт серевер генерации в единственном экземпляре и заскейлить его очень проблематично.
https://letsencrypt.org/2021/01/21/next-gen-database-servers...

Ответить | Правка | Наверх | Cообщить модератору

69. "Let's Encrypt внедрил расширение для координации обновления ..." –1 +/–

Сообщение от Аноним (69), 26-Мрт-23, 13:53

могли бы просто дёргать URL на сайте через POST...

Ответить | Правка | Наверх | Cообщить модератору

79. "Let's Encrypt внедрил расширение для координации обновления ..." –2 +/–

Сообщение от BrainFucker (ok), 26-Мрт-23, 14:26

> Нагрузку создаёт генерация новых сертификатов, раньше пользователь по крону генерил сам в удобное время ему. Теперь будет генерить в удобное для ЦА время.
Не сам, а по крону клиент certbot или аналог слал запрос на сервер LE, тот в ответ слал ответный запрос для валидации и потом выдавал подписанный ими сертификат.

> У летсенкрипт серевер генерации в единственном экземпляре и заскейлить его очень проблематично.
Не вижу проблемы. Там уже есть API https://acme-v02.api.letsencrypt.org/directory через который происходит запрос нового сертификата, поднять несколько серверов и распределить нагрузку не проблема.
Сдаётся мне что статью просто перевели криво и дело не в нагрузках.

Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

105. "Let's Encrypt внедрил расширение для координации обновления ..." +/–

Сообщение от Аноним (105), 26-Мрт-23, 17:21

> поднять несколько серверов и распределить нагрузку не проблема
Несколько серверов чего именно? REST API? Их и так несколько. Тормозит совершенно в другом месте.

Ответить | Правка | Наверх | Cообщить модератору

95. "Let's Encrypt внедрил расширение для координации обновления ..." –3 +/–

Сообщение от Tron is Whistling (?), 26-Мрт-23, 15:24

"Почти бесплатно" тут лишнее - до космических масштабов скейлится стоимостью космических же денег.

Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

106. "Let's Encrypt внедрил расширение для координации обновления ..." +13 +/–

Сообщение от Аноним (105), 26-Мрт-23, 18:15

Ну давай прикинем хотя бы порядок этих «космических» денег.
Предположим, что все 8 миллиардов человек один раз в месяц пишут и читают 1 килобайт статических данных. На AWS S3 получем за хранение и доступ к данным:
Tiered price for: 8192 GB
8192 GB x 0.0230000000 USD = 188.42 USD
Total tier cost = 188.4160 USD (S3 Standard storage cost)
8,024,057,190 PUT requests for S3 Standard Storage x 0.000005 USD per request = 40,120.2859 USD (S3 Standard PUT requests cost)
8,024,057,190 GET requests in a month x 0.0000004 USD per request = 3,209.6229 USD (S3 Standard GET requests cost)
9,216 GB x 0.0007 USD = 6.4512 USD (S3 select returned cost)
9,216 GB x 0.002 USD = 18.432 USD (S3 select scanned cost)
188.416 USD + 3,209.6229 USD + 40,120.2859 USD + 6.4512 USD + 18.432 USD = 43,543.21 USD (Total S3 Standard Storage, data requests, S3 select cost)
S3 Standard cost (monthly): 43,543.21 USD
За трафик:
Inbound:
Internet: 9216 GB x 0 USD per GB = 0.00 USD
Outbound:
Internet: 9216 GB x 0.09 USD per GB = 829.44 USD
Data Transfer cost (monthly): 829.44 USD
Итоговая сумма: 44,372.65 USD
Пока что космических денег не наблюдается. Я работал с несколькими компаниями, у которых месячные счета были в четыре раза больше.
Но статические данные это не очень интересно. Всё же API предполагает собой какую-то динамику, да и размер в 1 килобайт какой-то смешной. Пусть это будет те же 16 миллиардов запросов к AWS API Gateway (REST API) в месяц:
Tiered price for: 16000000000 requests
333000000 requests x 0.0000035000 USD = 1165.50 USD
667000000 requests x 0.0000028000 USD = 1867.60 USD
15000000000 requests x 0.0000023800 USD = 35700.00 USD
Total tier cost: 1165.50 USD + 1867.60 USD + 35700.00 USD = 38733.1000 USD (REST API requests)
Tiered price total for REST API requests: 38,733.10 USD
3.80 USD per hour x 730 hours in a month = 2,774.00 USD for cache memory
Dedicated cache memory total price: 2,774.00 USD
38,733.10 USD + 2,774.00 USD = 41,507.10 USD
REST API cost (monthly): 41,507.10 USD
Всё ещё тривиальные суммы, особенно учитывая планетарный масштаб. Но ответы на запросы к API Gateway приходят не из вакуума, что-то на том конце должно посчитать и выдать ответ. Для этого мы будем использовать AWS Lambda. Предположим, что запросы обсчитываются с p99 в районе 1 секунды и коду требуется не больше 128 мегабайт памяти и 512 мегабайт дискового пространства для обработки 1 запроса:
16,000,000,000 requests x 1,000 ms x 0.001 ms to sec conversion factor = 16,000,000,000.00 total compute (seconds)
0.125 GB x 16,000,000,000.00 seconds = 2,000,000,000.00 total compute (GB-s)
2,000,000,000.00 GB-s - 400000 free tier GB-s = 1,999,600,000.00 GB-s
Max (1999600000.00 GB-s, 0 ) = 1,999,600,000.00 total billable GB-s
Tiered price for: 1999600000.00 GB-s
1999600000 GB-s x 0.0000166667 USD = 33326.73 USD
Total tier cost = 33326.7333 USD (monthly compute charges)
16,000,000,000 requests - 1000000 free tier requests = 15,999,000,000 monthly billable requests
Max (15999000000 monthly billable requests, 0 ) = 15,999,000,000.00 total monthly billable requests
15,999,000,000.00 total monthly billable requests x 0.0000002 USD = 3,199.80 USD (monthly request charges)
0.50 GB - 0.5 GB (no additional charge) = 0.00 GB billable ephemeral storage per function
33,326.7333 USD + 3,199.80 USD = 36,526.53 USD
Lambda costs - With Free Tier (monthly): 36,526.53 USD
Не будем забывать, что исходящий трафик не бесплатный. Цена за гигабайт интернет-трафика в самом дешёвом регионе 0.09USD. 16 миллиардов запросов, минимум 2КБ на запрос обойдутся в 32,768 GB * 0.09 USD = 2,949.12 USD.
Итого получаем: 80982.75USD в месяц до скидок и оптимизаций. Всё ещё тривиальная сумма, для проекта такого масштаба это действительно почти бесплатно.

Ответить | Правка | Наверх | Cообщить модератору

150. "Let's Encrypt внедрил расширение для координации обновления ..." +3 +/–

Сообщение от anonym444 (?), 27-Мрт-23, 22:07

Переиграл и уничтожил. :)

Ответить | Правка | Наверх | Cообщить модератору

176. "Let's Encrypt внедрил расширение для координации обновления ..." +/–

Сообщение от Tron is Whistling (?), 04-Апр-23, 00:58

Ды ладно. Там как обычно - "килобайт данных".
На сколь либо серьёзное применение это не скейлируется никак вообще.

Ответить | Правка | Наверх | Cообщить модератору

175. "Let's Encrypt внедрил расширение для координации обновления ..." +/–

Сообщение от Tron is Whistling (?), 04-Апр-23, 00:56

А теперь увеличь килобайт до пары мегабайт, и давай посчитаем :)

Ответить | Правка | К родителю #106 | Наверх | Cообщить модератору

102. "Let's Encrypt внедрил расширение для координации обновления ..." –1 +/–

Сообщение от pashev.ru (?), 26-Мрт-23, 16:37

> У летсенкрипт серевер генерации в единственном экземпляре
Ну и дураки. Берём корневой сертификат, им подписываем N сертификатов для N серверов, а уже ими подписываем остальные или ещё несколько уровней.
Но мне кажется, что анонимус сам не в теме.

Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

107. "Let's Encrypt внедрил расширение для координации обновления ..." +4 +/–

Сообщение от Аноним (105), 26-Мрт-23, 18:22

Локалхостов, так что ж ты им не объяснишь как надо-то? Показал бы класс. А то они тупые, какие-то HSM дорогущие покупают, зачем-то их сетапят в секьюрных датацентрах. А могли бы по простому, скачать с твоего локалхоста пару скриптов на баше, а то и там же выполнять всё. А что, openssl точно такие же сертификаты генерит!

Ответить | Правка | Наверх | Cообщить модератору

141. "Let's Encrypt внедрил расширение для координации обновления ..." +1 +/–

Сообщение от Аноним (141), 27-Мрт-23, 12:39

Это какой-то позор, сервис, на который завязали половину интернета, держится на одном аппаратном сервере, причем они с трудом его доапгрейдили (апгрейдят) до всего лишь Dell PowerEdge R7525, который новый стоит не более 10 килоевро. Почему не поставить тогда сервак сразу не с двумя, а с четырьмя сокетами? И за столько лет никто не переделал их boulder на возможность распределенной работы? Вопросы, вопросы...

Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

142. "Let's Encrypt внедрил расширение для координации обновления ..." +1 +/–

Сообщение от Аноним (141), 27-Мрт-23, 12:51

При этом у них собралось
> $17M that we’ve used to change the Internet
но весь бизнес висит на одной железке.

Ответить | Правка | Наверх | Cообщить модератору

147. "Let's Encrypt внедрил расширение для координации обновления ..." +/–

Сообщение от пох. (?), 27-Мрт-23, 17:01

Там скорее всего и от второго сокета толку никакого.
Строго последовательная обработка - я даже примерно догадываюсь, почему.
> И за столько лет никто не переделал их boulder на возможность распределенной работы?
к счастью. А то бы твои сертификаты уже достались кому-нибудь.

Ответить | Правка | К родителю #141 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

6. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
Сообщение от BrainFucker (ok), 26-Мрт-23, 09:00
> Кроме того, ARI позволяет эффективно сглаживать пиковую нагрузку на серверы Let's Encrypt, выбирая время для обновления с учётом загруженности инфраструктуры. GET https://example.com/acme/renewal-info/ Но при этом всё равно требуется запрашивать инфу с их серверов поллингом, судя по примеру?
Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Let's Encrypt внедрил расширение для координации обновления ..."	+8 +/–
	Сообщение от Аноним (64), 26-Мрт-23, 13:36
	Нагрузка на веб-апи это ничто. Вебапи можно заскейлить до космических масштабов почти бесплатно и обрабатывать хоть все запросы разом от всего человечества. Нагрузку создаёт генерация новых сертификатов, раньше пользователь по крону генерил сам в удобное время ему. Теперь будет генерить в удобное для ЦА время. У летсенкрипт серевер генерации в единственном экземпляре и заскейлить его очень проблематично. https://letsencrypt.org/2021/01/21/next-gen-database-servers...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	69. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от Аноним (69), 26-Мрт-23, 13:53
	могли бы просто дёргать URL на сайте через POST...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	79. "Let's Encrypt внедрил расширение для координации обновления ..."	–2 +/–
	Сообщение от BrainFucker (ok), 26-Мрт-23, 14:26
	> Нагрузку создаёт генерация новых сертификатов, раньше пользователь по крону генерил сам в удобное время ему. Теперь будет генерить в удобное для ЦА время. Не сам, а по крону клиент certbot или аналог слал запрос на сервер LE, тот в ответ слал ответный запрос для валидации и потом выдавал подписанный ими сертификат. > У летсенкрипт серевер генерации в единственном экземпляре и заскейлить его очень проблематично. Не вижу проблемы. Там уже есть API https://acme-v02.api.letsencrypt.org/directory через который происходит запрос нового сертификата, поднять несколько серверов и распределить нагрузку не проблема. Сдаётся мне что статью просто перевели криво и дело не в нагрузках.
	Ответить \| Правка \| К родителю #64 \| Наверх \| Cообщить модератору


	105. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (105), 26-Мрт-23, 17:21
	> поднять несколько серверов и распределить нагрузку не проблема Несколько серверов чего именно? REST API? Их и так несколько. Тормозит совершенно в другом месте.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	95. "Let's Encrypt внедрил расширение для координации обновления ..."	–3 +/–
	Сообщение от Tron is Whistling (?), 26-Мрт-23, 15:24
	"Почти бесплатно" тут лишнее - до космических масштабов скейлится стоимостью космических же денег.
	Ответить \| Правка \| К родителю #64 \| Наверх \| Cообщить модератору


	106. "Let's Encrypt внедрил расширение для координации обновления ..."	+13 +/–
	Сообщение от Аноним (105), 26-Мрт-23, 18:15
	Ну давай прикинем хотя бы порядок этих «космических» денег. Предположим, что все 8 миллиардов человек один раз в месяц пишут и читают 1 килобайт статических данных. На AWS S3 получем за хранение и доступ к данным: Tiered price for: 8192 GB 8192 GB x 0.0230000000 USD = 188.42 USD Total tier cost = 188.4160 USD (S3 Standard storage cost) 8,024,057,190 PUT requests for S3 Standard Storage x 0.000005 USD per request = 40,120.2859 USD (S3 Standard PUT requests cost) 8,024,057,190 GET requests in a month x 0.0000004 USD per request = 3,209.6229 USD (S3 Standard GET requests cost) 9,216 GB x 0.0007 USD = 6.4512 USD (S3 select returned cost) 9,216 GB x 0.002 USD = 18.432 USD (S3 select scanned cost) 188.416 USD + 3,209.6229 USD + 40,120.2859 USD + 6.4512 USD + 18.432 USD = 43,543.21 USD (Total S3 Standard Storage, data requests, S3 select cost) S3 Standard cost (monthly): 43,543.21 USD За трафик: Inbound: Internet: 9216 GB x 0 USD per GB = 0.00 USD Outbound: Internet: 9216 GB x 0.09 USD per GB = 829.44 USD Data Transfer cost (monthly): 829.44 USD Итоговая сумма: 44,372.65 USD Пока что космических денег не наблюдается. Я работал с несколькими компаниями, у которых месячные счета были в четыре раза больше. Но статические данные это не очень интересно. Всё же API предполагает собой какую-то динамику, да и размер в 1 килобайт какой-то смешной. Пусть это будет те же 16 миллиардов запросов к AWS API Gateway (REST API) в месяц: Tiered price for: 16000000000 requests 333000000 requests x 0.0000035000 USD = 1165.50 USD 667000000 requests x 0.0000028000 USD = 1867.60 USD 15000000000 requests x 0.0000023800 USD = 35700.00 USD Total tier cost: 1165.50 USD + 1867.60 USD + 35700.00 USD = 38733.1000 USD (REST API requests) Tiered price total for REST API requests: 38,733.10 USD 3.80 USD per hour x 730 hours in a month = 2,774.00 USD for cache memory Dedicated cache memory total price: 2,774.00 USD 38,733.10 USD + 2,774.00 USD = 41,507.10 USD REST API cost (monthly): 41,507.10 USD Всё ещё тривиальные суммы, особенно учитывая планетарный масштаб. Но ответы на запросы к API Gateway приходят не из вакуума, что-то на том конце должно посчитать и выдать ответ. Для этого мы будем использовать AWS Lambda. Предположим, что запросы обсчитываются с p99 в районе 1 секунды и коду требуется не больше 128 мегабайт памяти и 512 мегабайт дискового пространства для обработки 1 запроса: 16,000,000,000 requests x 1,000 ms x 0.001 ms to sec conversion factor = 16,000,000,000.00 total compute (seconds) 0.125 GB x 16,000,000,000.00 seconds = 2,000,000,000.00 total compute (GB-s) 2,000,000,000.00 GB-s - 400000 free tier GB-s = 1,999,600,000.00 GB-s Max (1999600000.00 GB-s, 0 ) = 1,999,600,000.00 total billable GB-s Tiered price for: 1999600000.00 GB-s 1999600000 GB-s x 0.0000166667 USD = 33326.73 USD Total tier cost = 33326.7333 USD (monthly compute charges) 16,000,000,000 requests - 1000000 free tier requests = 15,999,000,000 monthly billable requests Max (15999000000 monthly billable requests, 0 ) = 15,999,000,000.00 total monthly billable requests 15,999,000,000.00 total monthly billable requests x 0.0000002 USD = 3,199.80 USD (monthly request charges) 0.50 GB - 0.5 GB (no additional charge) = 0.00 GB billable ephemeral storage per function 33,326.7333 USD + 3,199.80 USD = 36,526.53 USD Lambda costs - With Free Tier (monthly): 36,526.53 USD Не будем забывать, что исходящий трафик не бесплатный. Цена за гигабайт интернет-трафика в самом дешёвом регионе 0.09USD. 16 миллиардов запросов, минимум 2КБ на запрос обойдутся в 32,768 GB * 0.09 USD = 2,949.12 USD. Итого получаем: 80982.75USD в месяц до скидок и оптимизаций. Всё ещё тривиальная сумма, для проекта такого масштаба это действительно почти бесплатно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	150. "Let's Encrypt внедрил расширение для координации обновления ..."	+3 +/–
	Сообщение от anonym444 (?), 27-Мрт-23, 22:07
	Переиграл и уничтожил. :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	176. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 04-Апр-23, 00:58
	Ды ладно. Там как обычно - "килобайт данных". На сколь либо серьёзное применение это не скейлируется никак вообще.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	175. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Tron is Whistling (?), 04-Апр-23, 00:56
	А теперь увеличь килобайт до пары мегабайт, и давай посчитаем :)
	Ответить \| Правка \| К родителю #106 \| Наверх \| Cообщить модератору


	102. "Let's Encrypt внедрил расширение для координации обновления ..."	–1 +/–
	Сообщение от pashev.ru (?), 26-Мрт-23, 16:37
	> У летсенкрипт серевер генерации в единственном экземпляре Ну и дураки. Берём корневой сертификат, им подписываем N сертификатов для N серверов, а уже ими подписываем остальные или ещё несколько уровней. Но мне кажется, что анонимус сам не в теме.
	Ответить \| Правка \| К родителю #64 \| Наверх \| Cообщить модератору


	107. "Let's Encrypt внедрил расширение для координации обновления ..."	+4 +/–
	Сообщение от Аноним (105), 26-Мрт-23, 18:22
	Локалхостов, так что ж ты им не объяснишь как надо-то? Показал бы класс. А то они тупые, какие-то HSM дорогущие покупают, зачем-то их сетапят в секьюрных датацентрах. А могли бы по простому, скачать с твоего локалхоста пару скриптов на баше, а то и там же выполнять всё. А что, openssl точно такие же сертификаты генерит!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	141. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от Аноним (141), 27-Мрт-23, 12:39
	Это какой-то позор, сервис, на который завязали половину интернета, держится на одном аппаратном сервере, причем они с трудом его доапгрейдили (апгрейдят) до всего лишь Dell PowerEdge R7525, который новый стоит не более 10 килоевро. Почему не поставить тогда сервак сразу не с двумя, а с четырьмя сокетами? И за столько лет никто не переделал их boulder на возможность распределенной работы? Вопросы, вопросы...
	Ответить \| Правка \| К родителю #64 \| Наверх \| Cообщить модератору


	142. "Let's Encrypt внедрил расширение для координации обновления ..."	+1 +/–
	Сообщение от Аноним (141), 27-Мрт-23, 12:51
	При этом у них собралось > $17M that we’ve used to change the Internet но весь бизнес висит на одной железке.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	147. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от пох. (?), 27-Мрт-23, 17:01
	Там скорее всего и от второго сокета толку никакого. Строго последовательная обработка - я даже примерно догадываюсь, почему. > И за столько лет никто не переделал их boulder на возможность распределенной работы? к счастью. А то бы твои сертификаты уже достались кому-нибудь.
	Ответить \| Правка \| К родителю #141 \| Наверх \| Cообщить модератору