Исходное сообщение
"Проект Let's Encrypt представил модуль для http-сервера Apac..." Отправлено Ilya Indigo, 18-Окт-17 20:09
> Вообще есть технология HTTP Public Key Pinning, там в DNS прописываются отпечатки > сертификатов. > Т.е. защита от подмены сертификата на другой, даже валидный. > Но там очень легко выстрелить себе в ногу так, что оторвет голову. > Если неправильно настроить, можно закешировать на клиентах запись о том, что ваш > текущий сертификат - фигня. > И все, нужен новый сертификат. Я так понимаю Вы имеете ввиду HTTP Public Key Pinning (HPKP). Это тоже не то, так как она, как Вы ране упомянули, кеширует у клиента отпечаток ключа, не давая возможности, до истечения срока кеша, изменить сертификат самому серверу, что очень не удобно. Мне кажется это лишнее и ненужное действе. Не нужно кешировать слепок ключа, его нужно при каждом обращении сверять с ДНС, что бы сервер мог, при желании, хоть каждый день их менять, и при этом не у кого их не подписывать в ограниченном количестве. А пользователь будет уверен, что он общается с этим сервером. А если клиент, то есть администратор ресурса, не доверяет своему собственному регистратору домена, то тут уже ничего не поможет, да и классическая схема от этого не защищает.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:
	Введите код, изображенный на картинке: