Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Mozilla прекращает доверие к новым сертификатам WoSign и Sta..., opennews (??), 25-Окт-16, (0) [смотреть все] и это правильно, Аноним (-), 09:37 , 25-Окт-16, (1) +13 // похоже мазила только в этом отличается, УставшийОтФарэфокс (?), 18:56 , 25-Окт-16, (66) –15 как-то это не по-русски звучит может лучше перестаёт доверять или больше не , Нанобот (ok), 09:48 , 25-Окт-16, (3) // В связи с утратой доверия - во так надо по-русски, Джо (?), 10:58 , 25-Окт-16, (17) +12 Может таки перестанет доверять А то перестаёт как-то в процессе получает, A.Stahl (ok), 11:36 , 25-Окт-16, (21) +2 // Исключает из списка доверенных - технически верно и не ломает русский язык , тоже Аноним (ok), 12:02 , 25-Окт-16, (23) +3 я такая доверчивая, непредсказуемая такая PS что-то не припоминаю таких мет, Michael Shigorin (ok), 13:15 , 25-Окт-16, (44) // Комода по всем законам природы должна была ещё в 2011-м проследовать туда же, ку, KonstantinB (ok), 18:08 , 25-Окт-16, (62) +3 т е https opennet ru скоро превратится в тыкву , Нанобот (ok), 09:51 , 25-Окт-16, (4) +7 // В заголовке же написано, к новым , не , Pinkie Pie (?), 09:55 , 25-Окт-16, (5) // зато далее , fi (ok), 23:13 , 25-Окт-16, (74) И это правильно должна быть оценка A https www ssllabs com ssltest analyze , cvb (??), 10:47 , 25-Окт-16, (12) // Для А там HTTP 2 не нужен, а вот TLS 1 2 и набор шифров подкрутить да Плюс HST, xm (ok), 18:06 , 26-Окт-16, (95) хех в первые вижу на опёнке https пс врубите блин HSTS, Sw00p aka Jerom (?), 15:09 , 25-Окт-16, (53) +1 // если включить HSTS, то в ближайшие полгода ты не сможешь перейти обратно на рабо, Snaut (ok), 10:18 , 07-Ноя-16, (123) opennet ru - WoSignLOR - ComodoLetsEncrypt - да ну его , Z (??), 15:28 , 25-Окт-16, (54) +3 А я ведь предупреждал , Аноним (-), 20:37 , 25-Окт-16, (70) Он уже давно тыква, посмотрите отчет об уязвимостях https dev ssllabs com sslt, Snaut (ok), 10:07 , 07-Ноя-16, (121) // Это не уязвимости, а настройки HTTPS Не нужно слепо верить нагнетаемой вокруг H, Аноним (-), 10:15 , 07-Ноя-16, (122) Покажите хоть одну дыру в nginx 1 0 9, серьёзных дыр в нём не было А вот в бол, Аноним (-), 10:21 , 07-Ноя-16, (124) Ахахаха, anonimous (?), 09:56 , 25-Окт-16, (6) +1 // Не стреляйте в тапера, он играет как умеет Когда приспичит, переведут на вменяе, Тыквонимус (?), 10:00 , 25-Окт-16, (7) +1 // Нафига на сайте размещено 100500 статей о Let s encrypt Давайте еще форум на AS, Аноним (-), 09:55 , 26-Окт-16, (81) +2 Там SHA-256, поэтому действия Mozilla его не накроют , Аноним (-), 10:59 , 25-Окт-16, (18) Да ладно, Opennet доберется и прикрутить Let s Encrypt, да и все, проблема-то П, А (??), 12:52 , 25-Окт-16, (36) // Let s Encrypt на 3 месяца выдаёт, а WoSign на три годаLE идёт лесом, Аноним (-), 13:27 , 25-Окт-16, (49) –3 // Мечта тех, кто три года серве не апдейтит , Crazy Alex (ok), 14:05 , 25-Окт-16, (51) +4 вы во время каждого апдейта сервера отзываете сертификаты и регаете по новой , Sw00p aka Jerom (?), 23:00 , 25-Окт-16, (72) У меня есть инструменты для автоматизации апдейтов И то же самое относится к се, Crazy Alex (ok), 00:21 , 26-Окт-16, (75) +1 А есть разница Да хоть на неделю Разве что вы собрались их руками обновлять , Аноним (-), 15:06 , 25-Окт-16, (52) +2 а чем вы раньше обновляли япосмотрю как вы EV будете обновлять пс ждите, скор, Sw00p aka Jerom (?), 23:04 , 25-Окт-16, (73) Ну как бы вся идея IT в том, чтобы переложить ручной труд на машину А с EV - п, Crazy Alex (ok), 00:25 , 26-Окт-16, (76) +2 По поводу автоматизации, она нужна тем у кого парк серверов, сам ЛЕ расчитан на , Sw00p aka Jerom (?), 13:07 , 26-Окт-16, (86) Вот как раз на одиночных массовых впс-ках и нужна автоматизация - чтобы поднял и, Crazy Alex (ok), 13:37 , 26-Окт-16, (87) одиночные массовые впс-ки - никак не связаны друг с другом, из вашего предложени, Sw00p aka Jerom (?), 17:08 , 26-Окт-16, (91) Срок действия короток не от того, что он не продакшн реди , а секьюрности ради , xm (ok), 23:28 , 26-Окт-16, (101) уверены, что именно секурности ради а помоему, чтобы не держать кучу отозванных, Sw00p aka Jerom (?), 00:08 , 27-Окт-16, (103) Ну так тоже секурность - А я и так У меня скриптом на базе Let s Encrypt Авт, xm (ok), 00:40 , 27-Окт-16, (104) +1 А что мешает вирусописателям скриптом менять сертификаты , Аноним (118), 06:26 , 29-Окт-16, (118) Не понял смысла вопроса в приложении к дискуссии , xm (ok), 21:22 , 30-Окт-16, (120) С Let s Encrypt можно полностью автоматизировать всю возню с сертификатами Подн, Crazy Alex (ok), 03:16 , 27-Окт-16, (105) +1 Lets Encrypt, если не ошибаюсь, не выдает EV-сертификаты, поэтому их не придется, Аноним (-), 00:56 , 26-Окт-16, (78) Ну ясен пень, кто знаком с EV поймет, что просто по API его не получишь, и нуно , Sw00p aka Jerom (?), 12:52 , 26-Окт-16, (85) Механизм ожидания звонка И на кой это счастье Вообще - там, где кажется, что н, Crazy Alex (ok), 13:39 , 26-Окт-16, (88) Так и есть, всё на бумаге и официально Они чуть ли не в налоговую службу страны, Sw00p aka Jerom (?), 17:11 , 26-Окт-16, (92) Да просто на кой оно надо Если я крупные деньги перевожу - я и так договор со с, Crazy Alex (ok), 03:19 , 27-Окт-16, (106) Отлично, ну и куда мигрировать Стартком удобен был для личного почтового сервер, abi (?), 10:22 , 25-Окт-16, (8) // Let s Encrypt же , noname.htm (?), 10:32 , 25-Окт-16, (9) +3 // Разве он не требует http-сервер для валидации , abi (?), 10:35 , 25-Окт-16, (10) +1 // Mozilla прекращает доверие к новым сертификатам WoSign и Sta..., abi (?), 10:36 , 25-Окт-16, (11) Можно подтвердить владение через DNS, можно через HTTP А тем, кому python не по , cvb (??), 10:49 , 25-Окт-16, (13) +1 Неужели трудно запустить рядом с почтовым сервером и http-сервер В Let s Encryp, Аноним (-), 11:03 , 25-Окт-16, (19) Если у тебя нет http сервера, то какая тебе разница чему доверяет или не доверяе, angra (ok), 12:14 , 25-Окт-16, (25) –2 Браузер - никакой разницы, но Thunderbird будет в бешенстве, да и на спамоловках, abi (?), 10:33 , 26-Окт-16, (83) Корневой сертификат Let s Encrypt только в хранилище Mozilla В Google, Apple и, Аноним (-), 10:57 , 25-Окт-16, (15) +2 // Это не аргумент, поскольку он применим вообще к любому УЦ , Аноним (-), 12:50 , 25-Окт-16, (34) –1 Это аргумент, который применим к любому УЦ , Michael Shigorin (ok), 13:17 , 25-Окт-16, (45) +3 Окей, но это не аргумент против _конкретного_ УЦ , Аноним (-), 00:58 , 26-Окт-16, (79) +1 С китайцами вообще ничего не хорошо, кроме того, что давали одно времени на 3 го, А (??), 12:53 , 25-Окт-16, (37) Они будут в числе последних тогда, поскольку поддерживают инфраструктуру крупней, xm (ok), 18:13 , 26-Окт-16, (96) Давно пора , поледанныхотсутств (?), 10:50 , 25-Окт-16, (14) –5 Ну что ж, картель CA успешно потопил посмевших раздавать бесплатные сертификаты , rmrm (?), 10:57 , 25-Окт-16, (16) +6 // При этом дырявый comodo мозилла что-то не хочет убирать , pkdr (ok), 12:14 , 25-Окт-16, (27) +7 Да какой ещё тут корыстный умысел, тут обычный здравый смысл который иногда жес, arzeth (ok), 12:28 , 25-Окт-16, (30) –3 А вести дела добросовестно - не Или надо обязательно придерживаться принципа дя, Аноним (-), 12:51 , 25-Окт-16, (35) –1 // Это в принципе не про коммерческие CA, как мне кажется Также не про банки и ст, Michael Shigorin (ok), 13:21 , 25-Окт-16, (47) Расследование всех этих инцидентов инициировала и провела сама Mozilla А теперь, Аноним (-), 12:57 , 25-Окт-16, (39) // они топят конкурентов , Gemorroj (ok), 13:26 , 25-Окт-16, (48) Ну почему, самоподписанный в качестве полпожара Но ведь ещё на всякий HSTS под, Michael Shigorin (ok), 13:20 , 25-Окт-16, (46) –2 Пусть прикрывают Эти ребята изначально хотели всех насадить на свою систему, чт, Аноним (-), 16:42 , 25-Окт-16, (59) 1не прикроют, это член картеля Собственно, для него и старались или научиться , нах (?), 17:29 , 26-Окт-16, (93) –1 Mozilla, как учредитель Let s Encrypt, устраняет конкурентов Бесплатные сертифи, Аноним (-), 11:03 , 25-Окт-16, (20) +4   // Проблемы с почтой были во времена бета-тестирования Но если кто его собирается , Crazy Alex (ok), 12:31 , 25-Окт-16, (31) +1   и лучше бы устранил их всех вся этп продажа воздуха -- очень вредит конечным п, XXXasd (ok), 12:43 , 25-Окт-16, (33) –1   // DANE DNSSEC - тупая идея Заставляет доверять не выбранной тобой сущности, а вла, Crazy Alex (ok), 13:01 , 25-Окт-16, (41) +1   // Родили меня мои родители, а я им не доверяю Роди меня святой дух пжлста как, Sw00p aka Jerom (?), 17:45 , 26-Окт-16, (94)   Смешались в кучу кони, люди , xm (ok), 18:19 , 26-Окт-16, (97)   Чаво Все сводится к вайтлистингу самого домена hsts и его ключа certifiate p, Sw00p aka Jerom (?), 21:58 , 26-Окт-16, (98)   Я ничего против DANE не имею и даже планирую его реализовать на своих серверах в, xm (ok), 23:03 , 26-Окт-16, (99)   100500Костыли всё это MitM всё равно можно произвести Как в случае с HSTS так, Sw00p aka Jerom (?), 23:42 , 26-Окт-16, (102)   Начать лучше таки с учебника русского языка , Аноним (-), 20:12 , 28-Окт-16, (117)   ссылки не вижу, Sw00p aka Jerom (?), 17:22 , 29-Окт-16, (119)   А в случае с сертификатами TLS о ужас заставляет доверять владельцам сертифик, xm (ok), 23:16 , 26-Окт-16, (100)   Вопрос в другом Что бывает, когда ловят CA - мы знаем Что будет, когда поймают, Crazy Alex (ok), 03:27 , 27-Окт-16, (107)   На счет CA сделали демократию, позволили любому стать CA спокойно, зависимости , Sw00p aka Jerom (?), 12:21 , 27-Окт-16, (109)   Ну вот Certificate Transparency даёт возможность и спать спокойно и иметь выбор , Crazy Alex (ok), 12:38 , 27-Окт-16, (110)   Не будете спокойно спать, пример тому валварь вроде стакснета пример код сайнин, Sw00p aka Jerom (?), 16:59 , 27-Окт-16, (115)   Удобнее в краткосрочном плане В долгосрочном же 1 Можно забыть обновить серты , arzeth (ok), 13:48 , 25-Окт-16, (50) +3   // 1 Сам себе злобный буратино startcom уведомляет об истечении сертификата за 2 , alex53 (ok), 20:43 , 25-Окт-16, (71)   1 утёкшая база E-mail это, всё же, не выпуск задним числом и не выпуск на чужой, mva (??), 11:55 , 25-Окт-16, (22) +1 // https www globalsign com en ssl ssl-open-source , А (??), 12:54 , 25-Окт-16, (38) +2 Жадинаговядина Ь, Аноним (-), 12:58 , 25-Окт-16, (40) +1 Если кто-то использует старый браузер, где он может взять списки действительных , Аноним (-), 12:07 , 25-Окт-16, (24) // В нормальных ОСях используют пакет ca-certs, а не в каждом браузере список спис, Анонимус 223 (?), 12:36 , 25-Окт-16, (32) // А тот же файрфокс ими пользуется в результате Я вот смутно вспоминаю, что нет , Crazy Alex (ok), 13:02 , 25-Окт-16, (42) +1 // Вот, например https packages debian org stable ca-certificatesДействительно, к, Аноним (-), 15:30 , 25-Окт-16, (57) Проверяется просто Mozilla Firefox и его производные используют собственные вст, Ergil (ok), 17:23 , 25-Окт-16, (60) Спасибо А если кто-то использует старый Firefox, где он может взять списки дейст, Аноним (-), 18:44 , 25-Окт-16, (64) https wiki mozilla org CA IncludedCAsСмотрите отсюда и там дальше по ссылкам , Ergil (ok), 18:49 , 25-Окт-16, (65) Спасибо, нашел, например, такой https packages debian org stable ca-certificat, Аноним (-), 15:28 , 25-Окт-16, (55) Вот здесь попробуйтеhttps crt sh , xm (ok), 21:41 , 27-Окт-16, (116) Зато в в Opera WoSign теперь будет самым доверенным - , Аноним (-), 12:14 , 25-Окт-16, (26) +1 Наш товарищ БерияВышел из доверияИ товарищ МаленковНадавал ему пинков частушка, Какаянахренразница (ok), 12:22 , 25-Окт-16, (28) +3 // Внедрение свободного ПО с 50-х годов , Аноним (-), 12:27 , 25-Окт-16, (29) +1 Так а Mozille никто не доверяет Как перестанет тормозить, так и сразу , tehnikpc (ok), 13:06 , 25-Окт-16, (43) –2 Е-моё Скоро Мозилла превратится в Оракл и начнет требовать бабло чтобы в нашем, Аноним (-), 16:37 , 25-Окт-16, (58) // Думаете как совок Другие браузеры тоже внедряют прозрачную валидацию и поддержи, Аноним (-), 18:13 , 25-Окт-16, (63) +2 // Но с аддонами они именно это и сделали - залочили все подписями, без возможности, Аноним (-), 11:23 , 27-Окт-16, (108) Гори в аду чертова Мозилла вместе с Let s Encrypt WoSign единственный CA который, CHERTS (??), 20:01 , 25-Окт-16, (67) –5 // Да что будет - найдут дыру и поправят А найдут быстро - на то есть pinning и CT, Crazy Alex (ok), 00:29 , 26-Окт-16, (77) Виновата не моззила, а WoSing Это как правильный пацан , который сначала по син, Адекват (ok), 15:07 , 27-Окт-16, (113) Всё-таки я не понял, StartCom - это тот самый, что выдаёт сертификаты на StartSS, FSA (??), 07:27 , 26-Окт-16, (80) // Да, тот самый, Влад (??), 10:24 , 26-Окт-16, (82) Они уже отреагировали, вот что в в их панели управления Mozilla decided to distr, Пользователь StartSSL (?), 11:29 , 26-Окт-16, (84) // Sounds good , Аноним (-), 14:20 , 27-Окт-16, (111) Меня неприятно удивляет количество комментаторов, для которых важен только срок , Аноним (-), 14:22 , 27-Окт-16, (112) +1 // А нам это не нужно, нам нужно, чтобы на моем джаббер-сервере были валидные серти, Адекват (ok), 15:09 , 27-Окт-16, (114) 1,3,4,6,8,14,16,20,22,24,26,28,43,58,67,80,84,112

Сообщения

[Сортировка по времени | RSS]

20. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+4 +/–
Сообщение от Аноним (-), 25-Окт-16, 11:03
Mozilla, как учредитель Let's Encrypt, устраняет конкурентов? Бесплатные сертификаты WoSign и StartCom значительно удоблее и не нужно раз в три месяца продлять. Какой-то однобокий подход, в Let's Encrypt тоже были проблемы и база email пользователей утекала. Из самого свежего https://dan.enigmabridge.com/lets-encrypts-vulnerability-as-.../
Ответить | Правка | Наверх | Cообщить модератору

	31. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+1 +/–
	Сообщение от Crazy Alex (ok), 25-Окт-16, 12:31
	Проблемы с почтой были во времена бета-тестирования. Но если кто его собирается применять для чего-то важного в течение хотя бы года ещё - ССЗБ. Понятно, что должно пройти время и быть выловлены косяки. А так - подкрутят/пофиксят, делов-то.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	–1 +/–
	Сообщение от XXXasd (ok), 25-Окт-16, 12:43
	> Mozilla, как учредитель Let's Encrypt, устраняет конкурентов? и лучше бы устранил их всех.. (вся этп продажа воздуха -- очень вредит конечным потребителям) ..а после внедрения DNSSEC (DANE) пусть и Letsencrypt тоже устранят
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	41. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+1 +/–
	Сообщение от Crazy Alex (ok), 25-Окт-16, 13:01
	DANE/DNSSEC - тупая идея. Заставляет доверять не выбранной тобой сущности, а владельцу домена верхнего уровня. Да и ключи там убогие. Единственное здравое зерно - возможность гвоздями прибить CA ещё до того, как клиент первый раз зашёл на сайт (потому что после это можно сделать через Certificate Pinning).
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 26-Окт-16, 17:45
	> DANE/DNSSEC - тупая идея. Заставляет доверять не выбранной тобой сущности, а владельцу > домена верхнего уровня. Родили меня мои родители, а я им не доверяю )) Роди меня святой дух пжлста. (как указал выше там цепь доверия - иерархия, что логично) Certificate Pinning, HSTS это всё костыли, если реализовать безопасную схему ДНС(СЕК) то всё автоматом встанет на свои места. Умрут все CA, и валидно для сайта то, что прописано у него в домене. цитата из вики: Принцип работы Перед установлением безопасного соединения (HTTPS, TLS для любого поддерживающего протокола) клиент совершает ряд дополнительных DNS-запросов. В ответах на эти запросы клиенту передаются параметры сертификата или сам сертификат. При этом клиент устанавливает связь с сервером, адрес которого валидирован DNS-сервером клиента посредством DNSSEC. После открытия соединения клиент верифицирует ответ сервера при помощи имеющегося сертификата либо его цифрового отпечатка (fingerprint). а для всего этого достаточно ввести надёжный механизм получения этих данных из ДНС, что и есть ДНССЕК.
	Ответить | Правка | Наверх | Cообщить модератору

	97. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от xm (ok), 26-Окт-16, 18:19
	> Certificate Pinning, HSTS это всё костыли, если реализовать безопасную схему ДНС(СЕК) то всё автоматом встанет на свои места "Смешались в кучу кони, люди..."
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 26-Окт-16, 21:58
	Чаво? Все сводится к вайтлистингу самого домена (hsts) и его ключа (certifiate pinning) на стороне клиента, собственно браузера, аналогия с временами hosts файла когда не было dns, а раз уж есть dns и механизм защищенной передачи данных (dnssec) почемубы не хранить сертификаты, хеши публичных ключей и всякую хрень в самом dns? Dane как раз для этого и нужен
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от xm (ok), 26-Окт-16, 23:03
	Я ничего против DANE не имею и даже планирую его реализовать на своих серверах в ближайшей перспективе. Однако не вижу причин автоматической аннуляции использования HSTS и HPKP, каковые уже реализованы. Последние же, как вы верно подметили, реализуются на уровне клиента. То есть налицо ещё один уровень защиты, отнюдь не лишний.
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 26-Окт-16, 23:42
	>>Я ничего против DANE не имею и даже планирую его реализовать на своих серверах в ближайшей перспективе. +100500 >>То есть налицо ещё один уровень защиты, отнюдь не лишний. Костыли всё это. MitM всё равно можно произвести. Как в случае с HSTS так и с HPKP, главную роль тут играет "клиент в первые открывающий сайт". Инфу о 100500 сайтах вы же хранить у себя не будете. пс: хочу закончить всю эту полемику на хорошей ноте и посоветовать всем не полениться почитать вот эту книгу и собствеенно все остальные книги сего автора Шнайер, Брюс. Прикладная криптография!!!
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Аноним (-), 28-Окт-16, 20:12
	Начать лучше таки с учебника русского языка.
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 29-Окт-16, 17:22
	ссылки не вижу
	Ответить | Правка | Наверх | Cообщить модератору

	100. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от xm (ok), 26-Окт-16, 23:16
	> DANE/DNSSEC - тупая идея. Заставляет доверять не выбранной тобой сущности, а владельцу домена верхнего уровня А в случае с сертификатами TLS (о ужас!) заставляет доверять владельцам сертификатов более высокого уровня. И да, прибивать CA идея хреновая, потому что, например, с его помощью (до дефекту реализации, как это случилось у WoSign и иже с ним или по злому умыслу) может выпустить левый сертификат для вашего домена. Так что прибивать надо leaf'ы.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	107. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Crazy Alex (ok), 27-Окт-16, 03:27
	Вопрос в другом: Что бывает, когда ловят CA - мы знаем. Что будет, когда поймают за руку RIPN? Обычно всё же CA и владельцы доменов первого уровня сильно различаются по "весу" (Verisign - мрачное исключение). Опять же - не надо давать держателям доменов первого уровня лишний соблазн - CA поменять просто, а в другой домен уйти - морока гораздо большая. А что прибивать надо leaf-ы - согласен, конечно.
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 27-Окт-16, 12:21
	На счет CA сделали демократию, позволили любому стать CA  спокойно, зависимости в одной точке нет, что и порождает всякие неприятные и не доверительные доводы. В случае с DNS все иерархично от одного корня и вниз по дереву, что порождает обязательную цепочку доверия, любые казусы на любом уровне можно пресечь, не на корневом уровне, хотя я сталкивался с казусом когда все это произошло на одном из корневых зеркал отвечающих за мой TLD, возникает вопрос - с кого спрашивать за это? Альтернативы нет, без так называемого вакуумного доверия подругому не построиш систеиу. Как по мне лучше бы CA также организовали от одного корня,
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Crazy Alex (ok), 27-Окт-16, 12:38
	Ну вот Certificate Transparency даёт возможность и спать спокойно и иметь выбор.
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от Sw00p aka Jerom (?), 27-Окт-16, 16:59
	Не будете спокойно спать, пример тому валварь вроде стакснета (пример код сайнинг сертификата). В случае с DANE можно в какойто степени спать спокойно, ибо есть централизованная иерархичная система DNS в которой буду хранится ключи, отпечатки, хеши и тд. и спокойно проверть валидность по цепочке доверия, браузеру не нужно хранить всё о всех у себя, пример тому HSTS, HPKP и тому подобные костыли, браузеру достаточно хранить root.key как в случае с DNSSEC. И всякие Certificate Transparency созданы для тех сливок общества вроде гугла и прочих. Обычные сайты их не волнуют.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+3 +/–
	Сообщение от arzeth (ok), 25-Окт-16, 13:48
	> Бесплатные сертификаты WoSign и StartCom значительно удоблее и не нужно раз в три месяца продлять. Удобнее в краткосрочном плане. В долгосрочном же: 1) Можно забыть обновить серты. Люди постоянно забывают что-нибудь, даже если на почту слать письма. Let's Encrypt эту *уязвимость* (когда коммерческий сайт не доступен, деньги не появляются, следовательно это уязвимость) у Homo Sapiens Sapiens частично исправляют тем, что дают нам возможность это автоматизировать И создают нам мотивацию настроить крон. 2) Надо каждый N лет заходить на сайт CA и выкачивать серт для каждого домена. У меня 40 доменов, я же замучаюсь. А ведь ещё можно попасть в больницу/запой/армию; или интернет отключат на неделю, пока находишься в глухой деревне. 3) Наверное, это у меня такое было, но я зашёл в декабре 2015 на сайт StartCom, хотел обновить серт (за день до истечения), а авторизоваться не смог, потому что StartCom не принимал их специальный серт для авторизации (несколько браузеров пробовал и всё обгуглил), хотя раньше принимал. > Какой-то однобокий подход, в Let's Encrypt тоже были проблемы и база email пользователей утекала. Косяков не делает тот, кто ничего не делает. И если косяки и негигантские, и признаются, и исправляются быстро, то такому CA доверять стоит.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	71. "Mozilla прекращает доверие к новым сертификатам WoSign и Sta..."	+/–
	Сообщение от alex53 (ok), 25-Окт-16, 20:43
	1. Сам себе злобный буратино. startcom уведомляет об истечении сертификата за 2 недели. 2. У startcom недавно появился API. Теперь все можно скриптовать. 3. См п.1
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема