Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Let's Encrypt перешёл к проверке с использованием разных под..., opennews (?), 23-Фев-20, (0) [смотреть все] Вот только выложил свой хук для dehydrated - и тут новость про LE, моё почтение, Омноним (?), 11:05 , 23-Фев-20, (1) –12 // И каким образом новость влияет на dehydrated Он по протоколу либо получает ус, OpenEcho (?), 12:04 , 23-Фев-20, (9) +4 А что за 171 учётная запись в ACME 187 , LeNiN (ok), 11:11 , 23-Фев-20, (2) –5 // Работает так же, как и остальная продукция ACME , Аноним (25), 13:54 , 23-Фев-20, (25) +6 красавцы , Аноним (3), 11:31 , 23-Фев-20, (3) +1 Первое баг опеннета, что у меня в заголовке окна новость отображается как Let , Аноним (4), 11:38 , 23-Фев-20, (4) +1 // Safari Закопай , Долбоним (?), 11:46 , 23-Фев-20, (5) –1 // Ага, закопаешь его, когда каждый 1-ый директор считает своим долгом использовать, Ilya Indigo (ok), 12:45 , 23-Фев-20, (18) +11 // перестаньте их кормить оптимизациями под сафари и прогибатся, и они перестанут, анон (?), 13:51 , 23-Фев-20, (23) –2 Нет, они просто уволят гомофобов, наймут нового админа, толерантного к эппл Кам, Аноним (25), 14:04 , 23-Фев-20, (26) +8 если у них нет divercity квот , пох. (?), 14:59 , 23-Фев-20, (32) Квот чего Городов для пловцов , Аноним (66), 20:32 , 23-Фев-20, (66) +2 Это они меня кормят, в прямом смысле , Ilya Indigo (ok), 14:46 , 23-Фев-20, (30) +1 Ты сам себя кормишь, а они у тебя основную часть заработка забирают , FSA (??), 19:22 , 23-Фев-20, (61) одна проблема - если они вдруг перехотят забирать а на самом деле платить - , пох. (?), 09:11 , 24-Фев-20, (89) +2 Знаешь, ты в принципе и без труда сталевара перетопчешься Набедренную повязку м, Аноним (136), 23:12 , 24-Фев-20, (136) главное, верить, что ты такой же ценный трактор, как и сталевар, и если не выйде, пох. (?), 10:38 , 25-Фев-20, (151) А сами они, типа, альтруисты или даже может быть, деньги печатают Ну и лично, Аноним (-), 20:36 , 23-Фев-20, (68) Эксплуата 769 ция 8212 присвоение результатов труда другого человека с, Аноним (-), 21:52 , 23-Фев-20, (72) именно так он и эксплуатирует своих начальников Присваивает результат их тяжког, пох. (?), 09:18 , 24-Фев-20, (91) Ыыыы, матерые в-ва, patients (?), 21:59 , 24-Фев-20, (131) Не, вот пардон, если кастомер мне бабки дает - наверное, по его мнению, труд чег, Аноним (-), 23:06 , 24-Фев-20, (135) если ты лично этого ло кастомера развел на бабло - наверное, стоит, но всегда о, пох. (?), 10:44 , 25-Фев-20, (152) firefox - windows , Аноним (11), 12:07 , 23-Фев-20, (11) –1 Firefox, Ubuntu Подтверждаю , N (?), 12:35 , 23-Фев-20, (17) +1 похоже и яблу занесли нормально денег за повлияние Никаким другим разумным образ, пох. (?), 13:37 , 23-Фев-20, (20) –3 // Кстати, кто-нибудь может толково объяснить, почему LE взлетел, а DANE - нет , None (??), 16:01 , 23-Фев-20, (41)   // Потому что LE просто работает везде, а dane это не пойми что , Тфьу (?), 16:34 , 23-Фев-20, (49) –1   Разумеется всем было хорошо если бы в браузерах была бы поддержка tlsa dane под , suffix (ok), 17:01 , 23-Фев-20, (52) –1   DANE - TLS клиент и сервер работают без центра сертификации, - потеря контроля н, OpenEcho (?), 17:07 , 23-Фев-20, (53) +3   потеря контроля над sheepleПотому и - Не подерживается популярными браузерамипо, пох. (?), 22:18 , 23-Фев-20, (73) +1   Собственно, из-за потенциальной потери контроля и доходов CA от продажи TLS серт, xm (ok), 23:29 , 23-Фев-20, (83)   какие еще доходы у летсшиткрипты От торговли логами Вряд ли за это много платя, пох. (?), 09:32 , 24-Фев-20, (92) +2   Что за бред Как SNI влияет на ценность сертификата И почему ты винишь SNI вне, Аноним (172), 23:19 , 27-Фев-20, (172)   банально - сертификат теперь не подтверждает что сервер принадлежит или хотя бы , пох. (?), 10:15 , 28-Фев-20, (173)   Потому что это куда как меньшая угроза бизнесу CA в частности, и контролю над вс, xm (ok), 23:31 , 23-Фев-20, (84)   Потому что LE решил проблему с сохранением обратной совместимости помимо процес, Аноним (109), 14:11 , 24-Фев-20, (109)   Вы о какой проблеме Я для себя увидел только одну, пока еще потенциальную, но уж, evkogan (?), 11:31 , 25-Фев-20, (156)   чего это на год Это просто временное решение, на переходный период Сертификат , пох. (?), 10:19 , 28-Фев-20, (174)   С удачной разморозкой Парадоксально и неожиданно тут разве что производитель бр, Аноним84701 (ok), 15:17 , 23-Фев-20, (35) +1 // уже не парадоксально palemoon https www opennet ru opennews art shtml num 520, пох. (?), 16:06 , 23-Фев-20, (43) –3 // Походу мозг поха был зохаван ящерками , Аноним (-), 22:36 , 23-Фев-20, (81) +1 походу у вас мозгов нет вообще, ящерики сдохнут с голоду , пох. (?), 09:34 , 24-Фев-20, (93) –2 В заголовке все нормально Это баш вашего браузера , Аноним (109), 18:51 , 23-Фев-20, (59) // Баг , Аноним (109), 18:52 , 23-Фев-20, (60) // Баш вашего браузера тоже норм звучит , Аноним (63), 20:04 , 23-Фев-20, (63) +2 ну а что, гит на баше вон написали уже, можно и браузер, Аноним (109), 21:42 , 23-Фев-20, (69) +1 Вроде и полезное пытаются сделать - а всё печальнее станет При переносе домена м, AlexBO (?), 11:59 , 23-Фев-20, (6) // Это какбэ намек Хватит прыгать туда сюда , Аноним (10), 12:06 , 23-Фев-20, (10) Со своей персоналки, с которой админишь оба сервера, получи вручную сертификат ч, Аноним (13), 12:18 , 23-Фев-20, (13) +4 // Гемор переноса уведичится - так из ISP в ISP автоматом архивы переносятся, а тут, AlexBO (?), 15:42 , 24-Фев-20, (116) +1 1 А зачем менять сертификат, если домен тот же самый 2 Я понимаю что без DN, OpenEcho (?), 12:34 , 23-Фев-20, (16) +1 // а затем что срок годности три дня, уже истек, пока ты возился с переносом , пох. (?), 22:19 , 23-Фев-20, (74) Только сейчас почитал что это такое DNS Challenge - Нет, это не для меня У ме, AlexBO (?), 15:48 , 24-Фев-20, (117) А у меня зачем по другой теме Зачем делать https на внутренних ресурсах, недос, rvs2016 (ok), 02:49 , 25-Фев-20, (144) // затем, что они иначе - не работают, если устроены чуть посложнее одной странички, пох. (?), 10:58 , 25-Фев-20, (154) +1 Затем чтобы шибко умные работники и инсайдеры не просматривали трафик с паролями, OpenEcho (?), 20:42 , 25-Фев-20, (164) Подтвердите через днс, Аноним (22), 13:43 , 23-Фев-20, (22) // В ISP 5 Lite еще ни разу не удалось подтвердить оп DNS на пачке разных хостеров , AlexBO (?), 15:36 , 24-Фев-20, (115) +1 // И виноват в этом, конечно, letsencrypt, а не кривые панели для неосиливших шелл-, Аноним (109), 02:06 , 25-Фев-20, (142) Дело не в этом - у меня овер 1500 сайтов, я что, буду разбираться в чем-то,что н, AlexBO (?), 22:33 , 25-Фев-20, (169) +1 Судя по описанию, это какая-то сеота Вот уж точно пофиг на проблемы сеошников , Аноним (109), 17:43 , 26-Фев-20, (171) +1 То есть в сообществе не нашлось больше 4 мало-мальски крупных и заслуживающих , Аноним (7), 11:59 , 23-Фев-20, (7) // Какое еще сообщество Летс энкриптом управляет вполне себе корпорация Сообществ, Аноним (10), 12:10 , 23-Фев-20, (12) +2 // Да хакерам веры нет, пойду ядро линукса закапаю, зато вот компании летсов прям м, mommy (?), 18:18 , 25-Фев-20, (161) А вы знаете таких крутых пацанов, которые не зная из какого IP пула прийдет пров, OpenEcho (?), 12:22 , 23-Фев-20, (14) +2 // А Вы можете дать гарантию, что их нет Я вот подозреваю, что если Агентство Наци, Аноним (7), 13:12 , 23-Фев-20, (19) –4 // Чувак, специально для тебя существует даркнет с луковыми адресами или вообще лок, Аноним (37), 15:33 , 23-Фев-20, (37) Какой даркнет Какие луковые адреса Здесь вообще речь идёт о другом - о том, чт, Аноним (7), 16:25 , 23-Фев-20, (48) +2 А ещё нельзя быть уверенным, что мир существует, когда ты его не воспринимаешь , Crazy Alex (ok), 17:37 , 23-Фев-20, (55) Фокус в том что луковый адрес таки достаточно однозначно подтверждает владение в, Аноним (-), 22:35 , 23-Фев-20, (80) Любой путь в результате пройдёт через AS, через которые ДЦ подключены к инету И, Аноним (25), 15:01 , 23-Фев-20, (33) +2 // We 8217 ll make multiple validation requests from different network perspectiv, OpenEcho (?), 17:58 , 23-Фев-20, (57) А речь и де об их ASах, а об ASах рядом по маршруту с ASами дейтацентра, где сай, Аноним (25), 09:17 , 24-Фев-20, (90) Интернет рип Вон недавно выяснил, что инфинитичан закрыли без суда и следствия , Аноним (108), 14:07 , 24-Фев-20, (108) One ring to rule them all , Аноним (15), 12:32 , 23-Фев-20, (15) +8 // throw it in the fire , InuYasha (?), 11:56 , 25-Фев-20, (158) Генералиссимус Очевидность подсказывает, что достаточно атаковать какую-либо из , Аноним (25), 13:41 , 23-Фев-20, (21) –1 // генераллисимус спит А его адьютант подсказывает, что надо просто зайти в гости , пох. (?), 16:10 , 23-Фев-20, (44) –1 // А есть быстрые серверы типа энджинкса, но на ржавчине goвне , Аноним (25), 16:51 , 23-Фев-20, (51) –1 // Назвал бы воду, но не помню на чём она, а гуглить лень , Аноним (7), 01:06 , 24-Фев-20, (87) На сях, естественно А из гопников с растишкой разве что caddy припоминается , Аноним (-), 05:43 , 25-Фев-20, (146) Мозг у вас спит, Капитан в том случае - имя, а не звание , Аноним (-), 01:47 , 25-Фев-20, (139) Зато многим сайтам вообще нaсрaть на TLS и на пользователей Им просто ОК, что у, Аноним (25), 13:51 , 23-Фев-20, (24) –4 // Угу До сих пор, в 2020 после титанических усилилий Гугла и прихлеваев, можно ск, Школьный админ (?), 14:08 , 23-Фев-20, (27) +7 // мне кажется, этой вакханалии несесьюрности уже явно приходит конец В ближайшее , пох. (?), 09:38 , 24-Фев-20, (94) Лень разбирать все примеры, отвечу про несколько из того что знаю Сайты debian и, Аноним (29), 14:42 , 23-Фев-20, (29) +1 // Да ну https archive ubuntu com ubuntu pool universe n ninja-build ninja-build, Аноним (25), 14:56 , 23-Фев-20, (31) –3 // В винде обновления также по http передаются У старых версий дисирибутивов не вс, Аноним (104), 11:17 , 24-Фев-20, (104) +2 Зачем шифровать соединение говноtls-ом, когда передаваемые по нему файлы имеют к, Аноним (34), 15:11 , 23-Фев-20, (34) +1 // гoвноtlsсом вообще не надо ничего ни аутентифицировать, ни шифровать Нужно норм, Аноним (25), 15:20 , 23-Фев-20, (36) –2 // Пофиксил за тебя Можешь не благодарить , Аноним (7), 15:50 , 23-Фев-20, (40) +4 Подписанные неизвестно кем Или верить что их веб сервера не взломаны и верифика, OpenEcho (?), 17:43 , 23-Фев-20, (56) // ко ко ко кой ужос Вот от обертки в https - сразу все верификационные хэши стану, пох. (?), 11:58 , 24-Фев-20, (106) Ну например чтобы не информировать потенциальных атакующих о версиях софта в сис, Аноним (-), 22:34 , 23-Фев-20, (79) // и какое же отношение список скачанных пакетов имеет к версиям софта в системе , пох. (?), 12:00 , 24-Фев-20, (107) Это же элементарно, Ватсон Если софт скачали, скорее всего и установили Так мо, Аноним (-), 05:49 , 25-Фев-20, (147) так он в репо лежит - можешь для простоты считать что все версии на васян сервер, пох. (?), 10:31 , 25-Фев-20, (150) Вы боитесь того, что кто-то может отследить то, что вы тыкаете на общедоступном , Аноним (37), 15:38 , 23-Фев-20, (38) +1 // Так везде Или где-то появляется , Аноним (42), 16:02 , 23-Фев-20, (42) Мне тоже Шифроваться можно с тем, с кем ты предварительно встретился в офлайне , Аноним (7), 15:48 , 23-Фев-20, (39) // Эта иллюзия прекрасно защищает хоть от невменяемого провайдера, хоть от пионер, Crazy Alex (ok), 16:11 , 23-Фев-20, (45) +1 // и от атак рептилоидов конечно же Что твой г-носайт хостится у невменяемого пров, пох. (?), 22:24 , 23-Фев-20, (75) Нет Это защищённость от говнопровайдера Сколько провайдеров в мире Сколько за, Аноним (25), 16:21 , 23-Фев-20, (47) +2 // Ничего она не удерживает Позиция и влияние сами по себе это пустые слова У, Аноним (145), 04:18 , 25-Фев-20, (145) +1 Let s Encrypt основана не корпорацией, а правозащитной организацией EFF , Аноним (25), 21:30 , 25-Фев-20, (168) –1 Угрозы безопасности - это когда сертификат поменялся, но никто, кроме поменявшег, Аноним (25), 14:29 , 23-Фев-20, (28) +3 // Ну вот поэтому делают то, что возможно, а не расслабляют булки , раз уж идеала , Crazy Alex (ok), 16:19 , 23-Фев-20, (46) // Я тоже уверен в этом, если речь идёт о биосе Это низкий уровень, системный Для, Аноним (25), 16:43 , 23-Фев-20, (50) // Теоретически да А на практике - где-то да засветились бы уже А теоретически иг, Crazy Alex (ok), 17:34 , 23-Фев-20, (54) А вы думаете есть желающие за такую цену искать чёрных лебедей Вы всё ещё надее, Аноним (25), 18:20 , 23-Фев-20, (58) Возможно Если отказаться от бинарной логики -- а от неё надо отказаться, потому, Ordu (ok), 01:20 , 24-Фев-20, (88) Для профайлеров фикс не такой большой нужен Только распознать метку, внедрённую, Аноним (25), 09:50 , 24-Фев-20, (96) Про какую метку ты говоришь Просто останавливаем процесс и смотрим где он остан, Ordu (ok), 11:49 , 24-Фев-20, (105) Если контроллировать машину, на которой этот профайлер собирается, и эта машина , Аноним (25), 20:43 , 24-Фев-20, (124) Не, это если контролировать _все_ машины, на которых этот профайлер собирается , Ordu (ok), 21:56 , 24-Фев-20, (130) Именно Да Но разработчики профайлеров, компиляторов, отладчиков, декомпиляторов, Аноним (25), 00:07 , 25-Фев-20, (138) Нет Приоритетные цели -- это _потенциальные_ разработчики профайлеров, компилят, Ordu (ok), 02:09 , 25-Фев-20, (143) Согласен А вот в это верится с большим трудом Список всех самодельных и недодель, Аноним (25), 10:47 , 25-Фев-20, (153) то всегда есть шанс что удак-системщик соберет его таки на соседнем компе, п, Аноним (-), 06:01 , 25-Фев-20, (148) ну не будет у хомячков безопасной работы с такими сайтами эпл нас рать на своих, Аноним (62), 19:39 , 23-Фев-20, (62) На каком основании Точный юридический ответ , Аноним (64), 20:05 , 23-Фев-20, (64) // Незачем технологическому гетто с орками всякие продвинутости , Аноним (66), 20:33 , 23-Фев-20, (67) +1 // Т е неизбежны , Аноним (64), 21:43 , 23-Фев-20, (70) Единственным условным плюсом https является типо защита от говнопровайдеров, ко, Геймер (?), 20:14 , 23-Фев-20, (65) –1 // Не всегда декларация совпадает с целью Вспомним secureboot и прочие сейфбуты , Аноним (64), 21:46 , 23-Фев-20, (71) –1 // внезапно - вот от твоего желания порыться в моем ноуте - защищают 100 Кодить ты, пох. (?), 22:28 , 23-Фев-20, (76) // Это как Порыться в твоем ноуте хватит даже блин винды, и ее ключи подписаны и д, Аноним (-), 22:32 , 23-Фев-20, (78) secureboot в UEFI можно выключить Что все и делают , Геймер (?), 22:40 , 23-Фев-20, (82) А в целом верно цель и secureboot и https совсем не в декларируемой безопаснос, Геймер (?), 09:56 , 24-Фев-20, (98) но зачем васяны так жаждут поделиться с ними как минимум инфой о посещаемых сайт, пох. (?), 22:31 , 23-Фев-20, (77) // Требую пруфы , Аноним (25), 09:58 , 24-Фев-20, (99) +1 Стоит добавить, что в определённых странах сетям контент-провайдинга динамически, Аноним (85), 23:31 , 23-Фев-20, (85) Показательный пост висит в топе на хабре Вы не смотрите рекламу во время разраб, Геймер (?), 09:51 , 24-Фев-20, (97) –2 // Всё правильно делают А грузить скрипты с внешних ресурсов, особенно с ресурсов , Аноним (25), 10:03 , 24-Фев-20, (100) +1 // Реклама и трекеры, которую делатели сайтиков пихают в свои поделия, на 99,9 это, Геймер (?), 10:15 , 24-Фев-20, (103) +1 // По крайней мере у владельца сайта есть возможность выбора Вот сделали вы такой , VEG (ok), 14:53 , 24-Фев-20, (112) Выбор есть всегда Хостинг-провайдеры за услугу бесплатного хостинга для скромны, Геймер (?), 12:02 , 25-Фев-20, (159) Как хорошо, что развивающие интернет люди так не думают, и планомерно ведут веб , VEG (ok), 13:01 , 25-Фев-20, (160) Развивающие интернет люди - кто все эти господа И что ж, господа интернета, бу, Геймер (?), 19:14 , 25-Фев-20, (162) А когда вы установили адблок, вам не кажется что вы срезаете рекламу безо всяког, Геймер (?), 19:21 , 25-Фев-20, (163) Хабр помойка для рекламшиков и про двигателей курсов Делать там нечего, впрочем , Джафар (?), 10:04 , 24-Фев-20, (101) +1 // После цикла статей на хабре про штаб Навального Заходить туда как-то стрёмно , Аноним (85), 17:42 , 24-Фев-20, (120) +1 // Так и не ходите, я вообще аккаунт оттуда удалил , Джафар (?), 23:26 , 24-Фев-20, (137) А я аккаунт не удалил, но после того как они повторно меня забанили был забанен, Аноним (25), 21:23 , 25-Фев-20, (167) Боитесь, что товарищ майор за чтением застанет , Аноним (109), 02:02 , 25-Фев-20, (140) –1 Почему я противник всяких https, ssl и т д Потому-что мы все под колпаком этих , Аноним (102), 10:13 , 24-Фев-20, (102) // Чтобы всякие васяны не вмешивались в работу сайтов, типа как тут https habr co, VEG (ok), 14:28 , 24-Фев-20, (110) –2 // Т е вмешиваться будут только те васяны, которые контролируются всякими АНБ и ЦР, Аноним (85), 17:15 , 24-Фев-20, (118) // Да вроде меня пока анб не контролирует, я вообще в Нижнем Новгороде А подсунуть , админ яндекса (?), 20:52 , 24-Фев-20, (125) кому вообще в голову придёт размешать сервер в датацентре который выполняет филь, Аноним (122), 20:20 , 24-Фев-20, (122) –1 // Где-где, говорите, вы разместили сервер с персональными данными граждан Ресурсно, тов. майор (?), 20:43 , 24-Фев-20, (123) // А где в протоколе ACME персональные данные - , Аноним (109), 02:02 , 25-Фев-20, (141) –1 В Антарктиде, разумеется Счастливого пути , Аноним (-), 06:06 , 25-Фев-20, (149) // ну вот сейчас тебя отведут в 302ю комнату - будешь там рассказывать про антаркти, товарищ майор (?), 11:06 , 25-Фев-20, (155) А что там в тов Юлием О санжем сейчас, кстати , InuYasha (?), 11:50 , 25-Фев-20, (157) Мы за него боремся К сожалению, основные орудия борьбы конфисковали проклятые н, тов. майор (?), 22:41 , 25-Фев-20, (170) Изобретают велосипед Кому оно действительно надо давно используют onion , Геймер (?), 20:51 , 25-Фев-20, (165) // Не туды запостил, Геймер (?), 20:54 , 25-Фев-20, (166) 1,2,3,4,6,7,15,21,24,28,62,64,65,97,102,122,165

Сообщения

[Сортировка по времени | RSS]

	41. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от None (??), 23-Фев-20, 16:01
	Кстати, кто-нибудь может толково объяснить, почему LE взлетел, а DANE - нет?
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Тфьу (?), 23-Фев-20, 16:34
	Потому что LE просто работает везде, а dane это не пойми что?
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от suffix (ok), 23-Фев-20, 17:01
	Разумеется всем было хорошо если бы в браузерах была бы поддержка tlsa dane под dnssec (и она была в хроме - но выпилили гады !) - тогда все бы обходились бы самоподписанными сертификатами и с надёжностью был бы полный порядок. Но ! 1. Не спешат (это мягко сказано) внедрять владельцы сайтов / доменов вндрять у себя dnssec 2.  Без поддержки в браузерах валидация tlsa dane под dnssec не проста для домохозяйки:                а)                         dig . DNSKEY | grep -Ev '^($|;)' > root.keys                 б)                  dig +sigchase +trusted-key=./root.keys _443._tcp.www.babai.ru TLSA | cat -n                 Должны получить если всё хорошо:                 Ok this DNSKEY is a Trusted Key, DNSSEC validation is ok: SUCCESS                 в)                  dig +sigchase +topdown +trusted-key=./root.keys _443._tcp.www.babai.ru TLSA | cat -n                 Должны получить если всё хорошо:                 FINISH : we have validate the DNSSEC chain of trust: SUCCES                 г)                  На сайте https://www.huque.com/bin/danecheck проверяем валидность уже самой tlsa dane записи. Никто в здравом уме так не будет постоянно проверять разумеется :)   Так что есть и способ и проверенное временем надёжное решение но без повсеместного внедрения dnssec и поддержки браузерами tlsa dane - всё это лишь мечты. Так что пользуемся https и не жужим :)
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	53. "Let's Encrypt перешёл к проверке с использованием разных под..."	+3 +/–
	Сообщение от OpenEcho (?), 23-Фев-20, 17:07
	DANE: - TLS клиент и сервер работают без центра сертификации, - потеря контроля над sheeple - Не подерживается популярными браузерами, что практически убивает идею на корню Let's Encrypt: - ничего нового изобретать не надо, можно дергать ниточки LE т.к. они зависят от спонсоров,   заинтересованных в сливе в certificate transparency - Централизованный контроль - люди любят халяву и в конечном итоге большинство слетятся как мухи, как это есть с   халявным емаилом и прочим "бесплатным сыром"
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	73. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от пох. (?), 23-Фев-20, 22:18
	потеря контроля над sheeple Потому и: - Не подерживается популярными браузерами поправил, не благодари. > люди любят халяву и в конечном итоге большинство слетятся как мухи а кто не слетится - тому ябл заблокирует сертификат (дайте угадаю - без кнопки "продолжить" и возможности самому решать за себя)
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от xm (ok), 23-Фев-20, 23:29
	Собственно, из-за потенциальной потери контроля и доходов CA от продажи TLS сертификатов и есть главный фактор, почему DNSSEC/DANE последовательно и целенаправленно не поддерживают разработчики браузеров.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	92. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от пох. (?), 24-Фев-20, 09:32
	> Собственно, из-за потенциальной потери контроля и доходов CA какие еще доходы у летсшиткрипты? От торговли логами? Вряд ли за это много платят, там, скорее, бартер. > последовательно и целенаправленно не поддерживают разработчики браузеров разработчики браузеров последовательно и целенаправленно уничтожают CA, отличные от единственноверного с сертификатами действительными три дня. dane - феерическое бесполезное гиперусложненное ненужно (и только это и спасает их от любителей потыкать пальчиком и найти десяток RCE во всем гуанософте). Инфраструктура CA была вполне нормальным решением, если бы не одно "но": их единственным назначением должно было быть - предоставление простого пути подтверждения, что васянсайт действительно принадлежит васяну. С этой задачей они до 2010го года вполне успешно справлялись за сравнительно невеликие деньги. Проверяли документы и соответствие их тому что заявлено. Об остальном заботился certpatrol. Кому-то очень, очень захотелось все это разрушить, и подсунуть фуфло. И они в этом преуспели настолько, что неокученными не остались даже совершенно васянские никому неведомые форки форков. Начали с введения SNI. Сводящему ценность сертификата к х..ю, а заодно светящим кому попало, куда ты пришел. Продолжили сдвигом окна Овертона, когда mitm от кого надо не является mitm и вообще никто не видит в нем ни малейшей проблемы. Закончили уничтожением возможности контролировать хотя бы те сертификаты, владельцы которых не поддались на "уговоры". Все для вашей безопастносте!
	Ответить | Правка | Наверх | Cообщить модератору

	172. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (172), 27-Фев-20, 23:19
	> Начали с введения SNI. Сводящему ценность сертификата к х..ю, а заодно светящим кому попало, куда ты пришел. Что за бред? Как SNI влияет на ценность сертификата? И почему ты винишь SNI (внедренный в браузерах в 2006) в палеве, когда сертификаты вплоть до TLS 1.3 (который стандартизирован только в 2018) как раз прекрасно выполняли эту функцию палева прямо со времен SSL (1995), т.к. передавались без шифрования. Или эксперт не в курсе элементарных вещей? > Продолжили сдвигом окна Овертона, когда mitm от кого надо не является mitm и вообще никто не видит в нем ни малейшей проблемы. Во-первых, окно Овертона пропагандистский миф. Во-вторых, кто должен запрещать владельцу сайта вставлять между собой и юзерами mitm Cloudflare? CF не сам влез, его пригласила одна из сторон, между которыми идет трафик. Точно так же как юзеру никто не мешает поставить в систему антивирус, который будет митмить весь https трафик юзера и потенциально сливать создателю и спецслужбам, восприниматься как mitm это не будет, хотя согласие владельца сайта никто не спрашивал.
	Ответить | Правка | Наверх | Cообщить модератору

	173. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 28-Фев-20, 10:15
	> Что за бред? Как SNI влияет на ценность сертификата? банально - сертификат теперь не подтверждает что сервер принадлежит или хотя бы частично находится под контролем того, кому он выдан. Он всего лишь подтверждает то, что тот, кому он выдан, подарил свой закрытый ключ еще и этим васянам, помимо широкого круга неизвестных тебе лиц. Ну а попутно светит всем желающим, куда ты пришел. Я вот даже не знаю - это и правда "хуже чем преступление", и васяны дорвавшиеся до права коммитить свои правки, реально были такие т-пые (могу поверить, поскольку их нашествие именно с этими событиями и совпало), или все же кто-то кому-то хорошо занес. Причем механизм определения хоста в протоколе http прекрасно без этого мусора обходится, а дальше можно было бы, при большом желании, переустановить сессию с правильным сертификатом - уже закрытую тем, который предъявлен по умолчанию. Но так бы ты мог узнать кое-что лишнее о том, кому на самом деле доверил свой траффик, и даже, о ужас, самостоятельно решить, стоит ли ему верить - а на это мы пойтить никак не могем. Поэтому, наоборот, renegotiation из https выпилен начисто.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от xm (ok), 23-Фев-20, 23:31
	Потому что это куда как меньшая угроза бизнесу CA в частности, и контролю над всей системой TLS сертификатов в целом, чем DNSSEC / DANE.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	109. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (109), 24-Фев-20, 14:11
	Потому что LE решил проблему с сохранением обратной совместимости: помимо процесса выпуска сертификата (который все равно не стандартизирован никак) ничего менять не надо. Кстати, не вижу, как DANE позволит решить проблему, адресуемую обсуждаемым изменением в LE. А проблема серьезная.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	156. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от evkogan (?), 25-Фев-20, 11:31
	Вы о какой проблеме? Я для себя увидел только одну, пока еще потенциальную, но уже похоже скоро придет. Что сертификаты для всех внутренних сервисов придется выписывать на 1 год. Вот мне больше делать нечего чем каждый год перевыписывать сертификаты на все системы и по новому их дружить между собой. А эти "хорошие" люди давно положили на внутренние сервисы и ломают все с требованием соответствовать самым новомодным тенденциям в интернете. Без права выбора у конечных пользователей. И да, я уже вспоминаю с ностальгией времена IE6. Когда в нем все просто работало. И было плевать на безопасность, потому что внутри сети все и так безопасно. Но если вначале это закручивание гаек и правда было осмыслено, то давно осмысленность ушла. А навязываемые решения все меньше мне нравятся. И в те времена я мог ВЫБРАТЬ из приличных браузеров: опера, фаерфокс или что-то более редкое. А сейчас фаерфокс скатился в ... и продолжает катиться, хромоподелия все одинаковые и еще хуже (пока). Но хороших нет. А они продолжат безкомпромисную борьбу за наше "светлое" будущее...
	Ответить | Правка | Наверх | Cообщить модератору

	174. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 28-Фев-20, 10:19
	> Что сертификаты для всех внутренних сервисов придется выписывать на 1 год. чего это на год? Это просто временное решение, на переходный период. Сертификат надо выписывать на час! Иначе это нисесюрно-нисисюрно и его кто-то уже мог перехватить! > Вот мне больше делать нечего чем каждый год перевыписывать сертификаты на все > системы и по новому их дружить между собой. поэтому тебя заставят отказаться от доверия сертификатам вообще - даже самовыписанным. Поставишь чудесный самоапдейтящийся сервис в докере под докером в докере (по другому этот набор палок и костылей, обмазанных дерьмом, запустить будет все равно нельзя), и он тебе будет автоматически раз в час все перегенерять. Доверять ты должен исключительно гуглезиле, они лучше тебя знают, что безопастно.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема