The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Инцидент с уязвимостью в сервисе Let's Encrypt"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от opennews on 10-Янв-18, 09:45 
Сервис Let's Encrypt экстренно отключил (https://letsencrypt.status.io/) поддержку проверки владения доменом с использованием метода TLS-SNI-01 из-за разбора сведений о наличии уязвимости в его реализации. Достоверность информации о проблеме оценивается (https://letsencrypt.status.io/pages/incident/55957a99e800baa...) как высокая, но детальные данные о сути уязвимости пока не сообщаются. Упоминается только то, что уязвимость позволяла получить неправомерный сертификат от Let's Encrypt. Инцидент затрагивает работу серверов
acme-v01.api.letsencrypt.org (первичный), acme-staging.api.letsencrypt.org (резерв) и acme-staging-v02.api.letsencrypt.org (резерв).


По имеющимся данным (https://news.ycombinator.com/item?id=16112894) проблема связана с логикой взаимодействия протокола и сервисов провайдера. Отключение TLS-SNI полностью блокирует проявление уязвимости. Решено об отключении TLS-SNI на постоянной основе пока не принято и работа команды сосредоточена на выработке исправления, которое позволило бы вернуть поддержку TLS-SNI. В настоящее время не найдено признаков эксплуатации проблемы, кроме проверочных атак, выполненных исследователем, выявившим уязвимость.

URL: https://news.ycombinator.com/item?id=16112237
Новость: http://www.opennet.me/opennews/art.shtml?num=47882

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –9 +/
Сообщение от Витя Пиканов on 10-Янв-18, 09:45 
Капец, ждем подробностей.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +37 +/
Сообщение от Аноним (??) on 10-Янв-18, 10:03 
Теперь все самые умные начнут орать, что бесплатнатные CA - зло, забыв указать, что платные - существенно большее зло, хотя бы потому, что платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать, а LE взялись за решение, не дожидаясь массовой эксплуатации вопроса.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –3 +/
Сообщение от Аноним (??) on 10-Янв-18, 10:08 
> платные будут о проблеме молчать до последнего (годами!), чтобы только продолжать з/п и бонусы получать

Любопытная гипотеза. Впрочем, насчет пруфов можешь не беспокоиться -- я уже слепо поверил тебе на слово и теперь ненавижу "платные СА" всей душой и сердцем.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

6. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +14 +/
Сообщение от X4asd (ok) on 10-Янв-18, 10:18 
> и теперь ненавижу "платные СА" всей душой и сердцем

а что -- есть те кто их любят?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

28. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +6 +/
Сообщение от А (??) on 10-Янв-18, 12:26 
Судя по ценам на сертификаты от Симантека ("пока не всплыли жуткие подробности") - да.
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

46. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от dep email on 10-Янв-18, 15:55 
Какой там был порядок цен до и после?
Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

61. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 21:10 
Больше миллиарда зелени за контору целиком до и чуть меньше после.
Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

62. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от depeche email(??) on 10-Янв-18, 21:11 
Та я о ценах сертификатов спрашиваю.
Ответить | Правка | ^ к родителю #61 | Наверх | Cообщить модератору

48. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +3 +/
Сообщение от Аноним (??) on 10-Янв-18, 16:44 
Можешь больше не просить у него пруфы, т.к. прими мои слова за доказательство: если у меня будет платный сервис, то он до последнего будет молчать годами в надежде что все забудется и пронесет. И если ради этого придется кому-то "задонатить" не в убыток себе, то будь уверен - будет сделано все лишь бы получать доход, з/п и бонусы. Пойми что платный сервис должен приносить только доход!
Все.

PS: Ты можешь думать что я один в мире такой, с такой "уникальный" позицией и успокоиться на этом посчитав что угроз нет. - Что ж, твое право (или тупость).

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

55. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от Аноним (??) on 10-Янв-18, 18:27 
Фу таким быть!
Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

63. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 21:32 
Куда деваться если борбьа за выживание обязывает? Можешь меня ненавидеть, но нас миллионы. Миллиарды.
Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

70. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Алког on 13-Янв-18, 06:05 
> Можешь больше не просить у него пруфы, т.к. прими мои слова за
> доказательство: если у меня будет платный сервис, то он до последнего
> будет молчать годами в надежде что все забудется и пронесет.

Угу. Обворовываемые лохи однако причитать будут... Впрочем конечно кого эти лохи волнуют >:-)

Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

5. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –1 +/
Сообщение от Антонима on 10-Янв-18, 10:16 
пока лодку раскачиваете только вы, вот уже и предсказали вопли "самых умных" касаемо инцидента, как такое может в голову прийти малообразованному человеку, неясно.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

8. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –12 +/
Сообщение от anomymous on 10-Янв-18, 10:42 
Зло - бесплатные CA с интервалом обновления 3 месяца.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

9. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +8 +/
Сообщение от A.Stahl (ok) on 10-Янв-18, 10:51 
Ну не руками же тебе их обновлять. Скрипт есть.
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

18. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –18 +/
Сообщение от anomymous on 10-Янв-18, 11:57 
Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций. Хотя бы капчей.
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

22. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +15 +/
Сообщение от A.Stahl (ok) on 10-Янв-18, 12:21 
Я не спец во всяких этих сертификатах-секьюриратах, но всегда считал что сертификаты это не про "мясо, кожу и кости", а про соответствие домена и пришедших данных.
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

64. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от jfjfjfj on 10-Янв-18, 21:52 
То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея?
Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

71. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Алког on 13-Янв-18, 06:28 
> То есть выдал судебное постановление регистратору - и можешь подменять сертификат пайратбея?

И тут внезапно всплывают такие вещи, как легитимность так называемых "судов", коррумпированность и вообще их подмена...

Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

29. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +3 +/
Сообщение от А (??) on 10-Янв-18, 12:28 
> Как бы тебе объяснить: я не доверяю системам, выдающим сертификаты без подтверждения
> того, что владелец состоит из мяса, кожи, костей и прочих органических
> субстанций. Хотя бы капчей.

Т.е. подтверждения владения доменом тебе мало? ))

А капчу распознать через сеть живых роботов, если на нейросеть мозгов нет, так трудно, что это прямо подтверждает, что распознавший к домену имеет отношение?

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

35. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от КО on 10-Янв-18, 13:31 
А разве речь идет о владении доменом? Вроде бы достаточно слегка им поуправлять, ну или создать видимость для выдающего сертификат.
Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

38. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –5 +/
Сообщение от . on 10-Янв-18, 13:59 
> Т.е. подтверждения владения доменом тебе мало? ))

владение и возможность нагадить на этом домене - разные вещи.
Ваш любимый (ибо вы нищeброды и экономите три копейки) халявный помоешник проверяет именно последнее. И, ну надо же, никогда не было, и вот, опять - споткнулся о то, что нагадить, оказывается, можно даже не имея к домену никакого отношения вовсе.
А первое - юридическая категория.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

56. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +2 +/
Сообщение от Аноним (??) on 10-Янв-18, 18:35 
> подтверждения того, что владелец состоит из мяса, кожи, костей и прочих органических субстанций

Защита от регистрации домена ботом — забота регистратора домена и к сертификатам отношения не имеет. Также как наличие/отсутствие "органических субстанций" во владельце никак не связано с его добропорядочностью (во взломщиках, вирусописателях и т.п. этих субстанций не меньше, чем в любом другом человеке).

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

60. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 19:53 
> органических субстанций

Ты расист и ксенофоб!

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от anomymous on 10-Янв-18, 12:05 
Ну и да, сотни любителей скриптов с этим отключением TLS-SNI challenge уже влетели :)
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

57. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 19:23 
Отлично, минус сотни ботов для ботнетов. Глядишь научатся следить за серверами хоть иногда.
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

58. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от angra (ok) on 10-Янв-18, 19:45 
И как же именно они влетели? Или ты не в курсе, что сертификат можно обновлять не за пять минут до истечения его срока, а за пару недель или даже больше? Так что никаких проблем у подавляющего большинства любителей скриптов за время разбора инцидента не возникнет.
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

66. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Sw00p aka Jerom on 11-Янв-18, 02:11 
>>можно обновлять

обновляешь - по истечению срока, до - отзываеш

Ответить | Правка | ^ к родителю #58 | Наверх | Cообщить модератору

12. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Andrey Mitrofanov on 10-Янв-18, 11:10 
> Зло - бесплатные CA с интервалом обновления 3 месяца.

У нас есть гордый победитель и первонкс номинации "все самые умные начнут орать". Ура, оскар отдыхает.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

31. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +2 +/
Сообщение от А (??) on 10-Янв-18, 12:29 
> Зло - бесплатные CA с интервалом обновления 3 месяца.

Зло - ленивые админы. Раз в год они бегают по серверам и меняют серты руками, т.к. скриптом не осилили, а раз в 3 месяца им влом.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

39. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от . on 10-Янв-18, 14:02 
>> Зло - бесплатные CA с интервалом обновления 3 месяца.
> Зло - ленивые админы. Раз в год они бегают по серверам и
> меняют серты руками, т.к. скриптом не осилили, а раз в 3

мы осилили. И совершенно сознательно не доверяем критическую часть своей безопасности твоим замечательным скриптам (в которых ты "осилил" скачать незнамочто незнамооткуда и неглядя запустить - параметры скопировал со stackoverflow - великий осилятор)

> месяца им влом.

а раз в три месяца (с контролем результата и принятием мер если что-то показалось подозрительным) - физически невозможно, если это не локалхост.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

43. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от gaga (ok) on 10-Янв-18, 14:51 
Ну хз что ты там не можешь скриптом обновить. У ЛЕ есть опция - только скачать сертификаты, не устанавливая их в веб-сервер автоматически. Так вот, у нас скрипт так и делает: генерирует новый серт, делает стандартный sanity-check (даты, CN, алгоритмы и т.д.), устанавливает его на тестовый сервер, после чего проверяет, что к нему можно без проблем подключиться клиентом, и только после этого копирует его в продакшн-сервер и шедулит рестарт на следующий день, уведомляя всех заинтересованных письмом. Имхо это значительно надежней, чем руками что-то там куда-то копировать.
Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

51. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от _ (??) on 10-Янв-18, 17:29 
Ну положим твоим коллегам повезло. И таких аж 0.0003% :-)
Остальные берут копипасту со стэковерфлоу, и "не приходя в сознание" ставят это в рутовый крон 8-/
Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

52. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от пох on 10-Янв-18, 17:52 
> Ну положим твоим коллегам повезло.

да не очень. Радости читать такие письма щастья, когда раз в месяц надо обновлять/перезагружать каждый из n...нет, мало, m серверов - ровно никакой, никто их и не читает. Хорошо если вовремя прочитывают "уп-с, а оно тут не обновилось, ну ничего, у тебя еще два месяца на разобраться и поправить". А то, в большой структуре, бывает что и до этого за два месяца руки не доходят (потому что других, срочных алармов - сотни), опа, серт превратился в тыкву.

затобеслатна! и не от проклятых китайцев, а от правильных гуглоиндусов.

а большинство "осиливших скрипты" и того не могут (и зачем вообще самому что-то ставить в крон, оно apt-get install и через час уже забыло... а от какого пользователя - вообще хз, в крон смотреть некогда, надо дальше ляпать)

Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

54. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от непох on 10-Янв-18, 18:16 
я конечно подозревал, что понятия "жава", "ынтрепрайз" и "индусы" неслабо кореллируют, но такого отсутствия фантазии и навыков, чтобы настроить роботов делать работу роботов даже не подозревал

> читать такие письма щастья
> надо обновлять/перезагружать

особенно

> в большой структуре
> за два месяца руки не доходят

ага ага. до критических вещей.

ну и какой же индус без обзывания всех подряд индусами

> а от правильных гуглоиндусов

ну и планы на светлое будущее большой структуры на забываем всем поведать

> надо дальше ляпать

Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

67. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от Гентушник (ok) on 11-Янв-18, 08:27 
Ирония в том что как раз сегодня у хостинг провайдера "Хостинг-Центр" на всех доменах *.hc.ru протух сертификат выданный thawte на год, а на *.hc.ru как раз висят панели управления cpanel, может быть что-то ещё.

Они видимо тоже меняют сертификаты руками :)

Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

33. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –1 +/
Сообщение от Аноним (??) on 10-Янв-18, 12:50 
Бесплатные CA, платные CA... "оба хуже" (ц)

Даёшь cert-pinning в каждый браузер! DKIM себе живёт припеваючи без всяких CA.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

65. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от XoRe (ok) on 10-Янв-18, 22:29 
> Бесплатные CA, платные CA... "оба хуже" (ц)
> Даёшь cert-pinning в каждый браузер! DKIM себе живёт припеваючи без всяких CA.

Просто пока нельзя автоматом заработать много денежков за одно поддельное письмецо.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

59. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от Аноним (??) on 10-Янв-18, 19:50 
> чтобы только продолжать з/п <оверквотинг удален> получать

Вот же ж сволочи!

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +2 +/
Сообщение от Аноним (??) on 10-Янв-18, 10:06 
хорошо что исследуют и закрывают. Это правильно.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –1 +/
Сообщение от Аноним (??) on 10-Янв-18, 10:20 
Хост в SNI передаётся в открытом виде без шифрования. Я правильно понимаю, что  способ атаки в подмене данных SNI в результате MiTM?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

36. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 13:34 
Вряд ли. ACME уязвим к MITM by design, это с самого начала было понятно и никого не смущало. К тому же на стороне сервера от MITM не могло остаться никаких следов, а тут утверждают, что следы действий исследователя (чем-то, очевидно, отличающиеся от обычного получения сертификата) осели в логах.
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

47. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Crazy Alex (ok) on 10-Янв-18, 16:08 
Ну так MITM надо через CT отслеживать, по идее
Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

11. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 11:05 
>не найдено признаков эксплуатации проблемы
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

14. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –18 +/
Сообщение от Аноним (??) on 10-Янв-18, 11:19 
Теперь ждем, когда поддержку Let's Encrypt удалят из браузеров. Давно пора.
Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +13 +/
Сообщение от Аноним (??) on 10-Янв-18, 11:32 
А платные сертификаты, выдаваемые кому попало по умолчанию сильно ли лучше?
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

19. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +4 +/
Сообщение от Аноним (??) on 10-Янв-18, 12:04 
Конечно нет, так-что ждём когда браузеры перестанут поддерживать любые сертификаты кроме самоподписанных.
Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

41. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 14:11 
Ждём когда браузеры перестанут поддерживать любые сертификаты, кроме государственных.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

49. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 16:47 
Это троллинг или глупый анон в упор не видит угрозу?
Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

50. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от Аноним (??) on 10-Янв-18, 17:26 
> Это троллинг или глупый анон в упор не видит угрозу?

глупый анон забыл придумать способ проверки самоподписанного серта в мире огороженного преступниками интернета

Ответить | Правка | ^ к родителю #49 | Наверх | Cообщить модератору

16. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Andrey Mitrofanov on 10-Янв-18, 11:38 
> Теперь ждем, когда поддержку Let's Encrypt удалят из браузеров. Давно пора.
> Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.

Да, не-е-е... Только лишь следующие три месяца, товарищ прапорщик. Курите!

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

21. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –1 +/
Сообщение от . on 10-Янв-18, 12:19 
ну вы ж понимаете, что поддержку startssl удалили не за то что они (якобы, теоретически, и только на такие домены, которым все равно доверять нельзя) кому-то там могли выдать неправильный сертификат.

А LE - это кого надо нога.

> Бесплатные сертификаты, выдаваемые кому попало по умолчанию не могут быть безопасными.

могут, но задача LE была не сделать безопасным, а ровно наоборот - сделать подконтрольным кому надо.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

32. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от А (??) on 10-Янв-18, 12:30 
Ну да, только Startssl так на все правила клали, что их, конечно, нужно было простить и понять - бунтари, рокнрольщики, конечно!
Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

45. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от key email(??) on 10-Янв-18, 15:32 
Как будто есть разница по сравнению с платными.
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

17. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +2 +/
Сообщение от Дуплик (ok) on 10-Янв-18, 11:55 
HTTPS Everywhere бгггг.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "Инцидент с уязвимостью в сервисе Let's Encrypt"  –3 +/
Сообщение от Michael Shigorin email(ok) on 10-Янв-18, 12:22 
> HTTPS Everywhere бгггг.

s/he/ho/

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

27. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +4 +/
Сообщение от Аноним (??) on 10-Янв-18, 12:26 
Let's Encrypt лучший! Молодцы, использую везде.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

69. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Шкурка_от_головки (ok) on 11-Янв-18, 14:14 
Нищщеброт, он такой
Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

34. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +2 +/
Сообщение от xm (ok) on 10-Янв-18, 12:59 
Подробнее
https://community.letsencrypt.org/t/2018-01-09-issue-with-tl...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

37. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +2 +/
Сообщение от Аноним (??) on 10-Янв-18, 13:42 
> Our tentative plan, once the list is completed, is to re-enable the TLS-SNI-01 challenge type with vulnerable providers blocked from using it.

Они и правда такие наивные? Это ж, небось, большинство шаредов, которых миллионы.

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

42. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от xm (ok) on 10-Янв-18, 14:38 
Угу. Типа "плохих мы не пустим".
Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

44. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +/
Сообщение от Аноним (??) on 10-Янв-18, 15:29 
Шареды на Plesk'е (которых вроде как раз большинство по миру) не подвержены этому - там другой метод проверки используется
Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

53. "Инцидент с уязвимостью в сервисе Let's Encrypt"  +1 +/
Сообщение от angra (ok) on 10-Янв-18, 18:12 
Я как то не наблюдал на шаредах возможности загрузить свой сертификат.
Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру