Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Mozilla прекращает доверие к новым сертификатам WoSign и Sta..., opennews (??), 25-Окт-16, (0) [смотреть все] и это правильно, Аноним (-), 09:37 , 25-Окт-16, (1) +13 // похоже мазила только в этом отличается, УставшийОтФарэфокс (?), 18:56 , 25-Окт-16, (66) –15 как-то это не по-русски звучит может лучше перестаёт доверять или больше не , Нанобот (ok), 09:48 , 25-Окт-16, (3) // В связи с утратой доверия - во так надо по-русски, Джо (?), 10:58 , 25-Окт-16, (17) +12 Может таки перестанет доверять А то перестаёт как-то в процессе получает, A.Stahl (ok), 11:36 , 25-Окт-16, (21) +2 // Исключает из списка доверенных - технически верно и не ломает русский язык , тоже Аноним (ok), 12:02 , 25-Окт-16, (23) +3 я такая доверчивая, непредсказуемая такая PS что-то не припоминаю таких мет, Michael Shigorin (ok), 13:15 , 25-Окт-16, (44) // Комода по всем законам природы должна была ещё в 2011-м проследовать туда же, ку, KonstantinB (ok), 18:08 , 25-Окт-16, (62) +3 т е https opennet ru скоро превратится в тыкву , Нанобот (ok), 09:51 , 25-Окт-16, (4) +7 // В заголовке же написано, к новым , не , Pinkie Pie (?), 09:55 , 25-Окт-16, (5) // зато далее , fi (ok), 23:13 , 25-Окт-16, (74) И это правильно должна быть оценка A https www ssllabs com ssltest analyze , cvb (??), 10:47 , 25-Окт-16, (12) // Для А там HTTP 2 не нужен, а вот TLS 1 2 и набор шифров подкрутить да Плюс HST, xm (ok), 18:06 , 26-Окт-16, (95) хех в первые вижу на опёнке https пс врубите блин HSTS, Sw00p aka Jerom (?), 15:09 , 25-Окт-16, (53) +1 // если включить HSTS, то в ближайшие полгода ты не сможешь перейти обратно на рабо, Snaut (ok), 10:18 , 07-Ноя-16, (123) opennet ru - WoSignLOR - ComodoLetsEncrypt - да ну его , Z (??), 15:28 , 25-Окт-16, (54) +3 А я ведь предупреждал , Аноним (-), 20:37 , 25-Окт-16, (70) Он уже давно тыква, посмотрите отчет об уязвимостях https dev ssllabs com sslt, Snaut (ok), 10:07 , 07-Ноя-16, (121) // Это не уязвимости, а настройки HTTPS Не нужно слепо верить нагнетаемой вокруг H, Аноним (-), 10:15 , 07-Ноя-16, (122) Покажите хоть одну дыру в nginx 1 0 9, серьёзных дыр в нём не было А вот в бол, Аноним (-), 10:21 , 07-Ноя-16, (124) Ахахаха, anonimous (?), 09:56 , 25-Окт-16, (6) +1   // Не стреляйте в тапера, он играет как умеет Когда приспичит, переведут на вменяе, Тыквонимус (?), 10:00 , 25-Окт-16, (7) +1   // Нафига на сайте размещено 100500 статей о Let s encrypt Давайте еще форум на AS, Аноним (-), 09:55 , 26-Окт-16, (81) +2   Там SHA-256, поэтому действия Mozilla его не накроют , Аноним (-), 10:59 , 25-Окт-16, (18)   Да ладно, Opennet доберется и прикрутить Let s Encrypt, да и все, проблема-то П, А (??), 12:52 , 25-Окт-16, (36)   // Let s Encrypt на 3 месяца выдаёт, а WoSign на три годаLE идёт лесом, Аноним (-), 13:27 , 25-Окт-16, (49) –3   // Мечта тех, кто три года серве не апдейтит , Crazy Alex (ok), 14:05 , 25-Окт-16, (51) +4   вы во время каждого апдейта сервера отзываете сертификаты и регаете по новой , Sw00p aka Jerom (?), 23:00 , 25-Окт-16, (72)   У меня есть инструменты для автоматизации апдейтов И то же самое относится к се, Crazy Alex (ok), 00:21 , 26-Окт-16, (75) +1   А есть разница Да хоть на неделю Разве что вы собрались их руками обновлять , Аноним (-), 15:06 , 25-Окт-16, (52) +2   а чем вы раньше обновляли япосмотрю как вы EV будете обновлять пс ждите, скор, Sw00p aka Jerom (?), 23:04 , 25-Окт-16, (73)   Ну как бы вся идея IT в том, чтобы переложить ручной труд на машину А с EV - п, Crazy Alex (ok), 00:25 , 26-Окт-16, (76) +2   По поводу автоматизации, она нужна тем у кого парк серверов, сам ЛЕ расчитан на , Sw00p aka Jerom (?), 13:07 , 26-Окт-16, (86)   Вот как раз на одиночных массовых впс-ках и нужна автоматизация - чтобы поднял и, Crazy Alex (ok), 13:37 , 26-Окт-16, (87)   одиночные массовые впс-ки - никак не связаны друг с другом, из вашего предложени, Sw00p aka Jerom (?), 17:08 , 26-Окт-16, (91)   Срок действия короток не от того, что он не продакшн реди , а секьюрности ради , xm (ok), 23:28 , 26-Окт-16, (101)   уверены, что именно секурности ради а помоему, чтобы не держать кучу отозванных, Sw00p aka Jerom (?), 00:08 , 27-Окт-16, (103)   Ну так тоже секурность - А я и так У меня скриптом на базе Let s Encrypt Авт, xm (ok), 00:40 , 27-Окт-16, (104) +1   А что мешает вирусописателям скриптом менять сертификаты , Аноним (118), 06:26 , 29-Окт-16, (118)   Не понял смысла вопроса в приложении к дискуссии , xm (ok), 21:22 , 30-Окт-16, (120)   С Let s Encrypt можно полностью автоматизировать всю возню с сертификатами Подн, Crazy Alex (ok), 03:16 , 27-Окт-16, (105) +1   Lets Encrypt, если не ошибаюсь, не выдает EV-сертификаты, поэтому их не придется, Аноним (-), 00:56 , 26-Окт-16, (78)   Ну ясен пень, кто знаком с EV поймет, что просто по API его не получишь, и нуно , Sw00p aka Jerom (?), 12:52 , 26-Окт-16, (85)   Механизм ожидания звонка И на кой это счастье Вообще - там, где кажется, что н, Crazy Alex (ok), 13:39 , 26-Окт-16, (88)   Так и есть, всё на бумаге и официально Они чуть ли не в налоговую службу страны, Sw00p aka Jerom (?), 17:11 , 26-Окт-16, (92)   Да просто на кой оно надо Если я крупные деньги перевожу - я и так договор со с, Crazy Alex (ok), 03:19 , 27-Окт-16, (106)   Отлично, ну и куда мигрировать Стартком удобен был для личного почтового сервер, abi (?), 10:22 , 25-Окт-16, (8) // Let s Encrypt же , noname.htm (?), 10:32 , 25-Окт-16, (9) +3 // Разве он не требует http-сервер для валидации , abi (?), 10:35 , 25-Окт-16, (10) +1 // Mozilla прекращает доверие к новым сертификатам WoSign и Sta..., abi (?), 10:36 , 25-Окт-16, (11) Можно подтвердить владение через DNS, можно через HTTP А тем, кому python не по , cvb (??), 10:49 , 25-Окт-16, (13) +1 Неужели трудно запустить рядом с почтовым сервером и http-сервер В Let s Encryp, Аноним (-), 11:03 , 25-Окт-16, (19) Если у тебя нет http сервера, то какая тебе разница чему доверяет или не доверяе, angra (ok), 12:14 , 25-Окт-16, (25) –2 Браузер - никакой разницы, но Thunderbird будет в бешенстве, да и на спамоловках, abi (?), 10:33 , 26-Окт-16, (83) Корневой сертификат Let s Encrypt только в хранилище Mozilla В Google, Apple и, Аноним (-), 10:57 , 25-Окт-16, (15) +2 // Это не аргумент, поскольку он применим вообще к любому УЦ , Аноним (-), 12:50 , 25-Окт-16, (34) –1 Это аргумент, который применим к любому УЦ , Michael Shigorin (ok), 13:17 , 25-Окт-16, (45) +3 Окей, но это не аргумент против _конкретного_ УЦ , Аноним (-), 00:58 , 26-Окт-16, (79) +1 С китайцами вообще ничего не хорошо, кроме того, что давали одно времени на 3 го, А (??), 12:53 , 25-Окт-16, (37) Они будут в числе последних тогда, поскольку поддерживают инфраструктуру крупней, xm (ok), 18:13 , 26-Окт-16, (96) Давно пора , поледанныхотсутств (?), 10:50 , 25-Окт-16, (14) –5 Ну что ж, картель CA успешно потопил посмевших раздавать бесплатные сертификаты , rmrm (?), 10:57 , 25-Окт-16, (16) +6 // При этом дырявый comodo мозилла что-то не хочет убирать , pkdr (ok), 12:14 , 25-Окт-16, (27) +7 Да какой ещё тут корыстный умысел, тут обычный здравый смысл который иногда жес, arzeth (ok), 12:28 , 25-Окт-16, (30) –3 А вести дела добросовестно - не Или надо обязательно придерживаться принципа дя, Аноним (-), 12:51 , 25-Окт-16, (35) –1 // Это в принципе не про коммерческие CA, как мне кажется Также не про банки и ст, Michael Shigorin (ok), 13:21 , 25-Окт-16, (47) Расследование всех этих инцидентов инициировала и провела сама Mozilla А теперь, Аноним (-), 12:57 , 25-Окт-16, (39) // они топят конкурентов , Gemorroj (ok), 13:26 , 25-Окт-16, (48) Ну почему, самоподписанный в качестве полпожара Но ведь ещё на всякий HSTS под, Michael Shigorin (ok), 13:20 , 25-Окт-16, (46) –2 Пусть прикрывают Эти ребята изначально хотели всех насадить на свою систему, чт, Аноним (-), 16:42 , 25-Окт-16, (59) 1не прикроют, это член картеля Собственно, для него и старались или научиться , нах (?), 17:29 , 26-Окт-16, (93) –1 Mozilla, как учредитель Let s Encrypt, устраняет конкурентов Бесплатные сертифи, Аноним (-), 11:03 , 25-Окт-16, (20) +4 // Проблемы с почтой были во времена бета-тестирования Но если кто его собирается , Crazy Alex (ok), 12:31 , 25-Окт-16, (31) +1 и лучше бы устранил их всех вся этп продажа воздуха -- очень вредит конечным п, XXXasd (ok), 12:43 , 25-Окт-16, (33) –1 // DANE DNSSEC - тупая идея Заставляет доверять не выбранной тобой сущности, а вла, Crazy Alex (ok), 13:01 , 25-Окт-16, (41) +1 // Родили меня мои родители, а я им не доверяю Роди меня святой дух пжлста как, Sw00p aka Jerom (?), 17:45 , 26-Окт-16, (94) Смешались в кучу кони, люди , xm (ok), 18:19 , 26-Окт-16, (97) Чаво Все сводится к вайтлистингу самого домена hsts и его ключа certifiate p, Sw00p aka Jerom (?), 21:58 , 26-Окт-16, (98) Я ничего против DANE не имею и даже планирую его реализовать на своих серверах в, xm (ok), 23:03 , 26-Окт-16, (99) 100500Костыли всё это MitM всё равно можно произвести Как в случае с HSTS так, Sw00p aka Jerom (?), 23:42 , 26-Окт-16, (102) Начать лучше таки с учебника русского языка , Аноним (-), 20:12 , 28-Окт-16, (117) ссылки не вижу, Sw00p aka Jerom (?), 17:22 , 29-Окт-16, (119) А в случае с сертификатами TLS о ужас заставляет доверять владельцам сертифик, xm (ok), 23:16 , 26-Окт-16, (100) Вопрос в другом Что бывает, когда ловят CA - мы знаем Что будет, когда поймают, Crazy Alex (ok), 03:27 , 27-Окт-16, (107) На счет CA сделали демократию, позволили любому стать CA спокойно, зависимости , Sw00p aka Jerom (?), 12:21 , 27-Окт-16, (109) Ну вот Certificate Transparency даёт возможность и спать спокойно и иметь выбор , Crazy Alex (ok), 12:38 , 27-Окт-16, (110) Не будете спокойно спать, пример тому валварь вроде стакснета пример код сайнин, Sw00p aka Jerom (?), 16:59 , 27-Окт-16, (115) Удобнее в краткосрочном плане В долгосрочном же 1 Можно забыть обновить серты , arzeth (ok), 13:48 , 25-Окт-16, (50) +3 // 1 Сам себе злобный буратино startcom уведомляет об истечении сертификата за 2 , alex53 (ok), 20:43 , 25-Окт-16, (71) 1 утёкшая база E-mail это, всё же, не выпуск задним числом и не выпуск на чужой, mva (??), 11:55 , 25-Окт-16, (22) +1 // https www globalsign com en ssl ssl-open-source , А (??), 12:54 , 25-Окт-16, (38) +2 Жадинаговядина Ь, Аноним (-), 12:58 , 25-Окт-16, (40) +1 Если кто-то использует старый браузер, где он может взять списки действительных , Аноним (-), 12:07 , 25-Окт-16, (24) // В нормальных ОСях используют пакет ca-certs, а не в каждом браузере список спис, Анонимус 223 (?), 12:36 , 25-Окт-16, (32) // А тот же файрфокс ими пользуется в результате Я вот смутно вспоминаю, что нет , Crazy Alex (ok), 13:02 , 25-Окт-16, (42) +1 // Вот, например https packages debian org stable ca-certificatesДействительно, к, Аноним (-), 15:30 , 25-Окт-16, (57) Проверяется просто Mozilla Firefox и его производные используют собственные вст, Ergil (ok), 17:23 , 25-Окт-16, (60) Спасибо А если кто-то использует старый Firefox, где он может взять списки дейст, Аноним (-), 18:44 , 25-Окт-16, (64) https wiki mozilla org CA IncludedCAsСмотрите отсюда и там дальше по ссылкам , Ergil (ok), 18:49 , 25-Окт-16, (65) Спасибо, нашел, например, такой https packages debian org stable ca-certificat, Аноним (-), 15:28 , 25-Окт-16, (55) Вот здесь попробуйтеhttps crt sh , xm (ok), 21:41 , 27-Окт-16, (116) Зато в в Opera WoSign теперь будет самым доверенным - , Аноним (-), 12:14 , 25-Окт-16, (26) +1 Наш товарищ БерияВышел из доверияИ товарищ МаленковНадавал ему пинков частушка, Какаянахренразница (ok), 12:22 , 25-Окт-16, (28) +3 // Внедрение свободного ПО с 50-х годов , Аноним (-), 12:27 , 25-Окт-16, (29) +1 Так а Mozille никто не доверяет Как перестанет тормозить, так и сразу , tehnikpc (ok), 13:06 , 25-Окт-16, (43) –2 Е-моё Скоро Мозилла превратится в Оракл и начнет требовать бабло чтобы в нашем, Аноним (-), 16:37 , 25-Окт-16, (58) // Думаете как совок Другие браузеры тоже внедряют прозрачную валидацию и поддержи, Аноним (-), 18:13 , 25-Окт-16, (63) +2 // Но с аддонами они именно это и сделали - залочили все подписями, без возможности, Аноним (-), 11:23 , 27-Окт-16, (108) Гори в аду чертова Мозилла вместе с Let s Encrypt WoSign единственный CA который, CHERTS (??), 20:01 , 25-Окт-16, (67) –5 // Да что будет - найдут дыру и поправят А найдут быстро - на то есть pinning и CT, Crazy Alex (ok), 00:29 , 26-Окт-16, (77) Виновата не моззила, а WoSing Это как правильный пацан , который сначала по син, Адекват (ok), 15:07 , 27-Окт-16, (113) Всё-таки я не понял, StartCom - это тот самый, что выдаёт сертификаты на StartSS, FSA (??), 07:27 , 26-Окт-16, (80) // Да, тот самый, Влад (??), 10:24 , 26-Окт-16, (82) Они уже отреагировали, вот что в в их панели управления Mozilla decided to distr, Пользователь StartSSL (?), 11:29 , 26-Окт-16, (84) // Sounds good , Аноним (-), 14:20 , 27-Окт-16, (111) Меня неприятно удивляет количество комментаторов, для которых важен только срок , Аноним (-), 14:22 , 27-Окт-16, (112) +1 // А нам это не нужно, нам нужно, чтобы на моем джаббер-сервере были валидные серти, Адекват (ok), 15:09 , 27-Окт-16, (114) 1,3,4,6,8,14,16,20,22,24,26,28,43,58,67,80,84,112

Сообщения

[Сортировка по времени | RSS]

6. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+1 +/–
Сообщение от anonimous (?), 25-Окт-16, 09:56
> opennet.ru > Verified by: WoSign CA Limited Ахахаха
Ответить | Правка | Наверх | Cообщить модератору

	7. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+1 +/–
	Сообщение от Тыквонимус (?), 25-Окт-16, 10:00
	Не стреляйте в тапера, он играет как умеет. Когда приспичит, переведут на вменяемое, что вы зубоскалите.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+2 +/–
	Сообщение от Аноним (-), 26-Окт-16, 09:55
	Нафига на сайте размещено 100500 статей о Let's encrypt? Давайте еще форум на ASP.NET перепишем, чего уж там.
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Аноним (-), 25-Окт-16, 10:59
	>> opennet.ru >> Verified by: WoSign CA Limited > Ахахаха Там SHA-256, поэтому действия Mozilla его не накроют.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	36. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от А (??), 25-Окт-16, 12:52
	Да ладно, Opennet доберется и прикрутить Let's Encrypt, да и все, проблема-то. Прямо по теме сайта и будет. А вот куча народа, набравшая себе "бесплатных", но не беспалевных сертов от китайцев, они не все осилят запилить LE себе (почему-то).
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	49. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	–3 +/–
	Сообщение от Аноним (-), 25-Окт-16, 13:27
	Let's Encrypt на 3 месяца выдаёт, а WoSign на три года LE идёт лесом
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+4 +/–
	Сообщение от Crazy Alex (ok), 25-Окт-16, 14:05
	Мечта тех, кто три года серве не апдейтит?
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 25-Окт-16, 23:00
	вы во время каждого апдейта сервера отзываете сертификаты и регаете по новой ?
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+1 +/–
	Сообщение от Crazy Alex (ok), 26-Окт-16, 00:21
	У меня есть инструменты для автоматизации апдейтов. И то же самое относится к сертификатам.
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+2 +/–
	Сообщение от Аноним (-), 25-Окт-16, 15:06
	А есть разница? Да хоть на неделю. Разве что вы собрались их руками обновлять...
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	73. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 25-Окт-16, 23:04
	> А есть разница? Да хоть на неделю. Разве что вы собрались их > руками обновлять... а чем вы раньше обновляли ? япосмотрю как вы EV будете обновлять. пс: ждите, скоро повалит в новостях как через ЛЕ подписывают сертификаты на чёжие домены.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+2 +/–
	Сообщение от Crazy Alex (ok), 26-Окт-16, 00:25
	Ну как бы вся идея IT  в том, чтобы переложить ручной труд на машину. А с EV - пройдёт пара лет, устаканится протокол Let's Encrypt, повыловят баги - там и поглядим. Когда-то и файлик hosts вручную между машинами тягали. А то, что уязвимости могут быть - так ясен пень. Вот поэтому и надо подождать с серьёзным применением, как и с любыми другими новинками. Но это ж, блин, не повод хотеть вечно руками сертификаты пихать!
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 26-Окт-16, 13:07
	По поводу автоматизации, она нужна тем у кого парк серверов, сам ЛЕ расчитан на одиночные массовые vps-ки, а что касается крупных игроков с парком серверов то им легче свой CA поднимать, чем пользоваться ЛЕ. Пс: касаемо vps-ок, то я считаю, что каждый уважающий себя (крупный) хостер должен выдавать своим клиентам бесплатно. Пс2: 1 раз в год - не вечность, зачем нужно было менять период валидности сертитката? Тут и всплывает возмущение, зачем нужно каждые 90 дней оюновлять его, если стандартная практика - один раз в год. Халявщиков, даже если и минута, будет устраивать, отнекиватьс автоматизацией не нужно, механизм автоматизации ЛЕ - костыль. Верификацию нужно было делать на базе днс, и толкать всех узать днссек.
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Crazy Alex (ok), 26-Окт-16, 13:37
	Вот как раз на одиночных массовых впс-ках и нужна автоматизация - чтобы поднял и работало в дефолтной разумной конфигурации. Насчёт выдачи хостером - может, было бы и неплохо, но, во-первых, это прибьёт домен к хостеру, во-вторых - этого таки нет. А летсэнкрипт - штука сторонняя. И ещё раз - днссек заставляет доверять владельцу домена верхнего уровня. С тем, что есть сейчас - сам выбираешь иссуера. И хоть убей не пойму - чем не нравятся 90 дней?
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 26-Окт-16, 17:08
	>>Вот как раз на одиночных массовых впс-ках и нужна автоматизация - чтобы поднял и работало в дефолтной разумной конфигурации. одиночные массовые впс-ки - никак не связаны друг с другом, из вашего предложения следует - один прив ключь и разные сертификаты, как было в случае с host ключами на виртуалках ) >>это прибьёт домен к хостеру не согласен, отказываешся от хостера - автоматом отзывается сертификат. Проблем не вижу. >>И ещё раз - днссек заставляет доверять владельцу домена верхнего уровня. С тем, что есть сейчас - сам выбираешь иссуера. Там обычная цепь доверия начиная от корневых, принуждение ? - думаю нет, точнее иерархия.  Про иссуера не понял. >>И хоть убей не пойму - чем не нравятся 90 дней? Честно скажу, я очень ждал когда всё же выйдет ЛЕ, но когда увидел весь этот их механизм - жутко не понравился, да мне удобнеей было бы завести на портальчике аккаунт, верефицировать через тот же днс владение доменом, пихнул бы в формочку свой CSR и получил бы стандартно на год валидный сертификат, мне больше ничего не нужно. А теперь посмотрим с другой стороны - имел бы смысл того же протокола ACME (или как он там называется) если бы минимальный период валидности сертификаты был бы в течении 1 года ? Нужно было бы городить костыльные баш скрипты, чтобы через год обновлять сертификат ? пс: Я прекрасно понимаю, что ЛЕ ешё не совсем продакшен-реди, и ситуация со сроком выдачи в ближайшем будущем изменится.
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от xm (ok), 26-Окт-16, 23:28
	Срок действия короток не от того, что он "не продакшн реди", а секьюрности ради. Кроме того, они обсуждали планы по сокращению его в будущем до 30 дней.
	Ответить | Правка | Наверх | Cообщить модератору

	103. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 27-Окт-16, 00:08
	>> а секьюрности ради. уверены, что именно секурности ради? а помоему, чтобы не держать кучу отозванных сертификатов в CRL в течении года, а их будет очень много, учитывая халявность - и поголовный переход вирусописателей на https домены, а такие домены рано или поздно блокируют, соответственно их сертификаты должны отзываться. пс: и каждые 30 дней будете менять HPKP )
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+1 +/–
	Сообщение от xm (ok), 27-Окт-16, 00:40
	Ну так тоже секурность. :-) > пс: и каждые 30 дней будете менять HPKP А я и так. У меня скриптом на базе Let's Encrypt. Автоматом.
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Аноним (118), 29-Окт-16, 06:26
	А что мешает вирусописателям скриптом менять сертификаты?
	Ответить | Правка | Наверх | Cообщить модератору

	120. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от xm (ok), 30-Окт-16, 21:22
	Не понял смысла вопроса в приложении к дискуссии.
	Ответить | Правка | К родителю #118 | Наверх | Cообщить модератору

	105. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+1 +/–
	Сообщение от Crazy Alex (ok), 27-Окт-16, 03:16
	С Let's Encrypt можно полностью автоматизировать всю возню с сертификатами. Поднял человек iRedMail - и автоматом шифрование для SMTP/IMAP встало. Поднял сайт - и он в дефолтной конфигурации имеет HTTP с корректным сертификатом. Вот зачем оно нужно для обычных VPS. Выкинул хостер - а у тебя Pinning настроен, как у приличного человека - кукуй. То же и с иссуером. Вот поймал ты CA на какой-то дряни - ушёл к другому, отозвал старый сертификат, поднял шум. Поймал на дряни RIPN - тебе, во-первых, домен придётся менять, а вторых - сделать с RIPN всё равно ничего не выйдет. Ну и чем тебя эти скрипты ужасают вместе с коротким периодом действия - я так и не понял.
	Ответить | Правка | К родителю #91 | Наверх | Cообщить модератору

	78. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Аноним (-), 26-Окт-16, 00:56
	Lets Encrypt, если не ошибаюсь, не выдает EV-сертификаты, поэтому их не придется обновлять руками.
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	85. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 26-Окт-16, 12:52
	Ну ясен пень, кто знаком с EV поймет, что просто по API его не получишь, и нуно ждать 3 дня звонка. А ЛЕ просто не осилило продумать этот механизм
	Ответить | Правка | Наверх | Cообщить модератору

	88. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Crazy Alex (ok), 26-Окт-16, 13:39
	Механизм ожидания звонка? И на кой это счастье? Вообще - там, где кажется, что нужен EV, по факту нужна дополительная механика аутентификации.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 26-Окт-16, 17:11
	> по факту нужна дополительная механика аутентификации. Так и есть, всё на бумаге и официально. Они чуть ли не в налоговую службу страны звонят, чтоб убедиться в том, что вы те за кого себя выдаёте.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Crazy Alex (ok), 27-Окт-16, 03:19
	Да просто на кой оно надо? Если я крупные деньги перевожу - я и так договор со своим банком заключил и брелок с ключами имею, или ещё что. В других серьёзных ситуациях - аналогично, всегда есть ещё какие-то каналы. Никто не ведёт дела по-ерупному с рандомным Васей, найденным в гугле. А раз так - то всё, что интересует клиента - чтобы он соединялся действиельно с тем доменом, который в браузере написан. Идентификация хозяина домена происходит совершенно отдельно и до того.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема