Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Let's Encrypt внедрил расширение для координации обновления сертификатов, opennews (?), 26-Мрт-23, (0) [смотреть все] Но при этом всё равно требуется запрашивать инфу с их серверов поллингом, судя п, BrainFucker (ok), 09:00 , 26-Мрт-23, (6) –1 // Нагрузка на веб-апи это ничто Вебапи можно заскейлить до космических масштабов п, Аноним (64), 13:36 , 26-Мрт-23, (64) +8 // могли бы просто дёргать URL на сайте через POST , Аноним (69), 13:53 , 26-Мрт-23, (69) –1 Не сам, а по крону клиент certbot или аналог слал запрос на сервер LE, тот в отв, BrainFucker (ok), 14:26 , 26-Мрт-23, (79) –2   // Несколько серверов чего именно REST API Их и так несколько Тормозит совершенн, Аноним (105), 17:21 , 26-Мрт-23, (105)   Почти бесплатно тут лишнее - до космических масштабов скейлится стоимостью кос, Tron is Whistling (?), 15:24 , 26-Мрт-23, (95) –3 // Ну давай прикинем хотя бы порядок этих 171 космических 187 денег Предположи, Аноним (105), 18:15 , 26-Мрт-23, (106) +13 Переиграл и уничтожил , anonym444 (?), 22:07 , 27-Мрт-23, (150) +3 Ды ладно Там как обычно - килобайт данных На сколь либо серьёзное применение , Tron is Whistling (?), 00:58 , 04-Апр-23, (176) А теперь увеличь килобайт до пары мегабайт, и давай посчитаем , Tron is Whistling (?), 00:56 , 04-Апр-23, (175) Ну и дураки Берём корневой сертификат, им подписываем N сертификатов для N серв, pashev.ru (?), 16:37 , 26-Мрт-23, (102) –1 // Локалхостов, так что ж ты им не объяснишь как надо-то Показал бы класс А то он, Аноним (105), 18:22 , 26-Мрт-23, (107) +4 Это какой-то позор, сервис, на который завязали половину интернета, держится на , Аноним (141), 12:39 , 27-Мрт-23, (141) +1 // При этом у них собралосьно весь бизнес висит на одной железке , Аноним (141), 12:51 , 27-Мрт-23, (142) +1 Там скорее всего и от второго сокета толку никакого Строго последовательная обра, пох. (?), 17:01 , 27-Мрт-23, (147) не хотите нагрузку - сделайте сертификаты на 25 лет, и никому не надо будет их о, Аноним (8), 09:17 , 26-Мрт-23, (8) // этак интернетом смогут пользоваться все, а не только кому дозволено , Аноним (11), 09:48 , 26-Мрт-23, (11) +10 // https www opennet ru opennews art shtml num 54206https www opennet ru openne, Аноним (83), 14:36 , 26-Мрт-23, (83) +2 // не вижу связи, не ставьте такой сертификат ca - , Аноним (133), 08:41 , 27-Мрт-23, (133) И сразу выкладывайте этот сертификат на 25 лет в общий доступ Нам нечего скры, Аноним (31), 12:04 , 26-Мрт-23, (31) +7 // И трусы от банковской карточки, Аноним (38), 12:31 , 26-Мрт-23, (38) +1 Анонимус не в курсе, что сертификаты, включая корневой, и так в открытом доступе, pashev.ru (?), 16:39 , 26-Мрт-23, (103) –2 Только сертификат - не парольНу обновляй все пароли на всех ресурсах через день , Бывалый Смузихлёб (??), 07:16 , 27-Мрт-23, (129) // именно кто контролирует выпуск сертификатов- контролирует интернет , Аноним (133), 08:42 , 27-Мрт-23, (134) Срок жизни сертификатов напрямую связан с безопасностью точно так же как и срок , Анон_облегчился (?), 16:41 , 27-Мрт-23, (145) Ну да, ну да - ручное обновление с контролем за ручками раз в три года - плоха, , пох. (?), 17:05 , 27-Мрт-23, (148) –1 Кроме сертбота полно других реализаций, но обычно реализация ACME нативно реализ, Аноним (31), 01:10 , 28-Мрт-23, (152) ну то есть вообще зашибись - сразу конечное приложение работает от рута или от е, пох. (?), 09:26 , 28-Мрт-23, (153) –1 Отлично запускается и не от рута Даже на одной машине он может быть не один, эт, К.О. (?), 09:53 , 01-Апр-23, (166) –1 Наоборот, ни продвигают идею сокращения срока их жизни и более частого обновлени, Kuromi (ok), 14:27 , 26-Мрт-23, (81) +2 Они открыли для себя openssl x509 -dates , судя по примеру , Sadok (ok), 09:38 , 26-Мрт-23, (9) –5 // openssl не покажет, что сертификат будет досрочно отозван , Аноним (10), 09:40 , 26-Мрт-23, (10) +3 // да, не проснулся касаться вопроса какого карлика CA отзывает сертификат не б, Sadok (ok), 10:44 , 26-Мрт-23, (17) –1 // Каэшн не будем, ты ведь пишешь идеальный софт в котором не может быть уязвимосте, Аноним (38), 12:33 , 26-Мрт-23, (41) –1 сколько бесполезных слов и обвинений но не упоминается главного, Бывалый Смузихлёб (??), 07:27 , 27-Мрт-23, (130) –2 Ну почему не использовать стандартный URL, как в обновлении https example com , Аноним (12), 10:03 , 26-Мрт-23, (12) –2 // потому что wildcard, Sadok (ok), 10:46 , 26-Мрт-23, (18) –2 // Именно для единообразной обработки по wildcard и надо if string match lighty env, Аноним (12), 12:57 , 26-Мрт-23, (55) –3 Сообществом корпоратов , Анонус (?), 10:04 , 26-Мрт-23, (13) +2 // Мой комментарий снесли Кстати, а у кого ключ от корневого сертификата , pashev.ru (?), 10:46 , 26-Мрт-23, (19) +2 // для больших CA, ключ от корневого серта, вроде как, лежит в железе, без возможно, амоним (?), 11:51 , 26-Мрт-23, (24) // А потом, внезапно, узнаётся, что из железа, при очень большом желании, его тоже , Аноним (38), 12:34 , 26-Мрт-23, (43) +1 Ага, при помощи секретных нибируанских технологий Но только с благословления ве, Аноним (105), 20:13 , 26-Мрт-23, (113) Но ведь отзыв сертификата по инициативе УЦ, а не его владельца - это какой-то бр, Аноним (14), 10:04 , 26-Мрт-23, (14) –2 // CRL и OCSP не содержат подписей, сделанных самими сертификатами, что позволяет У, Аноним (15), 10:22 , 26-Мрт-23, (15) –2 // И мне ходить по сайтам и доверять корневому сертификату, подписанным тобой Ну уж, Sha4096 (?), 10:43 , 26-Мрт-23, (16) –1 // Подписанному Гуглом У Гуглага достаточно рычагов, чтобы отнять у CA возможность, Аноним (15), 10:47 , 26-Мрт-23, (20) За каким хером тянуть гугл туда где он не нужен Вот именно для этого и есть нек, Sha4096 (?), 10:58 , 26-Мрт-23, (21) –2 Гугл уже монополист со своим хромом, и может приструнить центры Mozillу же цент, Аноним (28), 11:55 , 26-Мрт-23, (28) –3 Жажда сапога в жoпe или что У нас есть замечательный некомерчнский центр сертифи, Аноним (31), 12:18 , 26-Мрт-23, (35) +5 Ключи на стороне клиента генерируются В таких случаях нужно сначала одновреме, Аноним (28), 12:31 , 26-Мрт-23, (39) –2 Подпись на стороне ца Конечный подписанный серт генерируется на стороне ЦА Мир , Аноним (31), 12:43 , 26-Мрт-23, (49) +3 У клиента может быть уязвимая реализация гспч У центра уязвимая реализация - во, Аноним (28), 13:11 , 26-Мрт-23, (58) ЦА - это профессиональные обеспичители безопасности Им за это и платят - чтобы , Аноним (68), 13:49 , 26-Мрт-23, (68) –1 Касательно кейса с банками - как-то был опыт, что у банка одного стух сертификат, Kuromi (ok), 14:38 , 26-Мрт-23, (85) Как же вы задрали, мамкины экономисты На рынке сильно больше двух бесплатных бр, Аноним (48), 12:42 , 26-Мрт-23, (48) –1 telnet exe, например , Аноним (28), 12:53 , 26-Мрт-23, (54) +1 Не может Вообще никакого вляния не имеет Прежде чем нести чушь, разобрался бы , Аноним (105), 20:21 , 26-Мрт-23, (114) А зачем тебе при этом вообще корневой сертификат Доверяй self-signed - вообще-т, пох. (?), 11:36 , 26-Мрт-23, (22) –1 Расскажите об этом минцифры , Аноним (28), 11:53 , 26-Мрт-23, (27) +1 А им чем поможет, там же не только ру и рефе, они ж и com и любые другие домены , пох. (?), 12:32 , 26-Мрт-23, (40) +1 А зачем им что-то рассказывать Кто они вообще Может им ещё и доверять начать , Аноним (38), 12:43 , 26-Мрт-23, (50) Не вижу проблемы, если сертификатом минцифры будут подписаны только gov ru и , Аноним (28), 12:50 , 26-Мрт-23, (53) –1 Не вижу разницы между сертом минцифры и самоподписаным тобой Хотя вижу, к тебе , Аноним (56), 13:00 , 26-Мрт-23, (56) +3 Единственная разница между самоподписанными корневыми сертификатами - это то, ку, Аноним (62), 13:33 , 26-Мрт-23, (62) –2 Вся эта итерика с не продлят пока ниочем По тому что я наблюдаю организации в, Kuromi (ok), 14:48 , 26-Мрт-23, (86) –1 Разумеется, ни о чём Хотели бы - уже бы просто отозвали , Аноним (92), 15:04 , 26-Мрт-23, (92) Не ставил, не пользовался, не нужны Кому наплевать на приватность - могут ставит, Tron is Whistling (?), 15:26 , 26-Мрт-23, (96) Кому приходится получать зарплату на сбер - будет ставить Впрочем, там дальше в , пох. (?), 23:09 , 26-Мрт-23, (123) +1 Ды не, ну зачем жо В тухуслугах уже давно ничего не надо, а нало овой проще один, Tron is Whistling (?), 09:12 , 30-Мрт-23, (157) я рад за тебя, чувак без загранпаспорта А мне вот - надо Зарегистрировался кст, пох. (?), 11:51 , 01-Апр-23, (168) К счастью, успел загранник обновить в начале 2022, и даже шенген за пару недель , Tron is Whistling (?), 11:55 , 01-Апр-23, (169) С правами тоже проблем не было - просто чуть дольше ожидание Хотя в последний р, Tron is Whistling (?), 11:56 , 01-Апр-23, (170) А вот это - вообще тема Сейчас юзеры начнут огульно кликать установить сертифи, Tron is Whistling (?), 11:57 , 01-Апр-23, (171) Кстате да, с сертификатами у терминалов забавно получилос , Tron is Whistling (?), 09:13 , 30-Мрт-23, (158) Если бы было желание создать альтернативу западным CA, это не проблема Проблема, Аноним (104), 16:42 , 26-Мрт-23, (104) Это проблема Западные CA внезапно трастятся всем миром и сотоварищи А вот с мест, Tron is Whistling (?), 09:13 , 30-Мрт-23, (159) ну судя по требованиям, выкаченным Честному Ахмаду - в общем я бы на твоем месте, пох. (?), 12:00 , 01-Апр-23, (172) +1 Самым оптимальным был бы да, децентрализованный CA со строгими процедурами и нез, Tron is Whistling (?), 17:37 , 01-Апр-23, (173) Ну была такая инцииатива - Opportunistic Security, она и состояла в том чтобы да, Kuromi (ok), 14:50 , 26-Мрт-23, (87) +1 А, да, ошметки по сей день видны в старой паленой луне и еще где-то Казалось бы , пох. (?), 16:16 , 26-Мрт-23, (101) +1 Почему Какие-то ограничения в браузерах , Аноньимъ (ok), 02:26 , 27-Мрт-23, (127) Угу С селф-сайнед уже давно не работают всякие кросс-сайт штуки Даже с вручную , пох. (?), 07:47 , 27-Мрт-23, (131) CORS нет, выставлять заголовки, в случае с самоподписанным сертом не помогает -, пох. (?), 09:36 , 27-Мрт-23, (136) верьти нам, мы харошие А праведному Ахмеду так и не дали стать CA P S а владеле, пох. (?), 11:39 , 26-Мрт-23, (23) –2 // Ну отзыв фундаментально полагается на третьих лиц Которых придётся уговаривать , Аноним (28), 11:52 , 26-Мрт-23, (25) –1 // в блокчейн можно было бы напрямую добавлять запись об отзыве Но эта технология , пох. (?), 12:34 , 26-Мрт-23, (42) –1 Но заносить всей сети, путём нахождения блока уплаты transaction fee - обязатель, Аноним (28), 12:41 , 26-Мрт-23, (47) В блок можно заносить хеши от записи в DHT И не битком единым Вообще самая бол, Аноним (28), 12:46 , 26-Мрт-23, (51) беспринципными неолибералами, Аноним (63), 13:35 , 26-Мрт-23, (63) сложность в том, что владельцу нужно как-то доказать, что это его серт, и его ну, амоним (?), 12:01 , 26-Мрт-23, (30) –1 // Если серт утёк, то он должен быть отзыван Поэтому нет никакой проблемы, если ли, Аноним (28), 12:10 , 26-Мрт-23, (32) +2 получая серт, ты в принципе доверяешь весь свой трафик владельцам CA Запросы име, Аноним (28), 12:16 , 26-Мрт-23, (33) Не совсем Для этого им нужгы сообщники - хозяева каналов связи между тобой и са, Аноним (28), 12:17 , 26-Мрт-23, (34) ммм тебя совершенно не смущает тот факт что для получения того серта - ничего, пох. (?), 12:27 , 26-Мрт-23, (36) Ну вообще-то попросили доказать, что доменное имя ведёт к ним Это может владеле, Аноним (28), 12:37 , 26-Мрт-23, (45) Потом попросят предъявить право на вход в интернет , Аноним (72), 14:03 , 26-Мрт-23, (72) А сейчас даже веб-морда не нужна, на ужас ручных админов OCSP 8212 лажа уровн, Аноним (105), 20:31 , 26-Мрт-23, (115) Ага, не нужна - сп-ли у тебя сертификат - ну и что, сиди дальше надувай щеки, вс, пох. (?), 21:22 , 26-Мрт-23, (120) И как тут OCSP поможет А никак Он тебе скажет 171 серт годный 187 и ты это, Аноним (105), 01:13 , 27-Мрт-23, (125) А, ну так-то конечно ок Сертификаты с временем жизни в час всех спасут , пох. (?), 07:48 , 27-Мрт-23, (132) Во-первых, никто не может запретить праведному Ахмеду стать CA Скачал easy-rsa , Аноним (105), 18:42 , 26-Мрт-23, (108) // этот даже на троюродного племяша не тянет - Ахмед-то сразу сказал зачем ему быть, пох. (?), 20:49 , 26-Мрт-23, (118) Так уж получилось, что IP адрес одного из моих поддоменов в облаке оракла неизве, Аноним (-), 14:16 , 27-Мрт-23, (143) 8212 Слыш, пупкинбанк ком, смени сертификат 8212 пупкинбанк ком сгенериру, Аноним (26), 11:53 , 26-Мрт-23, (26) // Ну смена серта самим сайтом скомпрометировать его не должна, но вот расследовани, Аноним (28), 11:58 , 26-Мрт-23, (29) А НЕ ТО А НЕ ТО по сути все правильно, но это не просьба, а угроза Не сменишь -, пох. (?), 12:30 , 26-Мрт-23, (37) –1 // то есть plain http - лучше , Аноним (28), 12:39 , 26-Мрт-23, (46) +1 // Скрыто модератором, ivan_erohin (?), 13:33 , 26-Мрт-23, (61) Скрыто модератором, Аноним (66), 13:38 , 26-Мрт-23, (66) –1 Скрыто модератором, пох. (?), 14:03 , 26-Мрт-23, (73) –1 Лучше Никакой шиткрипт не сможет заблокировать доступ к твоему сайту , отозвав , пох. (?), 14:01 , 26-Мрт-23, (71) –1 при всем моем уважении это раньше ты на сайты ходил а сейчас просто через гугл , амоним (?), 14:11 , 26-Мрт-23, (76) которые, амоним (?), 14:12 , 26-Мрт-23, (77) ты не в курсе недавней истории как она рассеянским пропаган 0нам рассказала ин, пох. (?), 16:10 , 26-Мрт-23, (98) +1 ftfy, Аноним (111), 19:58 , 26-Мрт-23, (111) +1 я хотел бы купить реализацию rootCA interCA CRL AIA OCSP респондер на op, ivan_erohin (?), 10:56 , 27-Мрт-23, (139) Оборжаться Что ещё расскажешь , Аноним (105), 20:32 , 26-Мрт-23, (116) // а в чем проблема-то зеленых плашек с именем организации в адресной строке нет, пох. (?), 21:29 , 26-Мрт-23, (121) // Когда будут, тогда и обсудим Пока что это даже не гипотеза, так 8212 шёпот г, Аноним (105), 02:09 , 27-Мрт-23, (126) –1 сообществом кого , Аноним (57), 13:10 , 26-Мрт-23, (57) +1 А слабо по 7 дней сертификаты делать , Аноним (59), 13:23 , 26-Мрт-23, (59) –1 // Тебе никто не мешает менять сертификаты хоть каждый день , Аноним (72), 13:57 , 26-Мрт-23, (70) ну к этому все и идет ведь , пох. (?), 14:05 , 26-Мрт-23, (74) // всё идет к тому, что смертификаты будут выдавать на один час, и только если на, Аноним (59), 14:15 , 26-Мрт-23, (78) +3 // Ситауция с сертификататми вообще странная Все говорят надо бороться с слежкой, Kuromi (ok), 15:01 , 26-Мрт-23, (91) –2 Если у тебя нет TLS, то тебе можно инъектировать вредоносный JavaScript С экспл, Аноним (93), 15:11 , 26-Мрт-23, (93) Вот только примочки вроде WebUSB давно уже требует Secure Context и без HTTPS да, Kuromi (ok), 15:17 , 26-Мрт-23, (94) Тут же народ об обрезании функционала для сайтов без TLS ноет Совсем житья не д, Аноним (109), 19:31 , 26-Мрт-23, (109) –1 ну давай, инъектируй мне чего нибудь, прямо здесь, на этом сайте ты же можешь , Аноним (59), 15:57 , 26-Мрт-23, (97) +2 Скрыто модератором, Аноним (-), 14:20 , 27-Мрт-23, (144) я не смогу а вот опсосы из РФ вставляли рекламу клиентам в http успешно и провин, ivan_erohin (?), 07:52 , 31-Мрт-23, (163) Вот, я который раз и говорю мыши дохли, травились, но продолжали жрать бесплат, InuYasha (??), 10:35 , 27-Мрт-23, (138) Семь дней это дофигаВон mjg59 вообще задвигает что каждую минуту менять надоThe , Аноним (146), 16:44 , 27-Мрт-23, (146) // Тут скорее - не можешь победить - возглавь То есть чувак считает норм что в депл, пох. (?), 00:02 , 28-Мрт-23, (151) все уже придумано лет 5 как хашикорп ваулт безопастно выдает девопс-автоматике к, ivan_erohin (?), 07:58 , 31-Мрт-23, (164) скажу больше - какой-нибудь mesh в кластере может менять сертификаты гораздо чащ, амоним (?), 14:08 , 26-Мрт-23, (75) // Угу, потом пара десятков нод из него выпадут, а взлетать придётся руками Хотя од, Tron is Whistling (?), 09:17 , 30-Мрт-23, (160) +1 // Угу , вторую неделю не могли провести рутинную операцию в кластере этих ляпнутых, пох. (?), 13:42 , 31-Мрт-23, (165) +1 Надевает он гамаши, говорят ему - не Ваши Надевает он пальто, говорят ему - не , Ыкспёрт опённета (?), 14:27 , 26-Мрт-23, (80) // Скрыто модератором, Аноним (-), 14:53 , 26-Мрт-23, (90) минут Ишь чего захотел, 30 дней , пох. (?), 16:12 , 26-Мрт-23, (99) и чем это упрощает жизнь Может тогда еще внедрят по 30 дней в каждом месяце В, Аноним (88), 14:50 , 26-Мрт-23, (88) // не тебе же а летсшиткрипту Вот ты и бесишься , пох. (?), 16:13 , 26-Мрт-23, (100) С letsencryptom не знаком, потому прошу консультации, люди добрые Можно ли вы, Чукча (?), 20:42 , 26-Мрт-23, (117) // нет Нужно подтвердить что ты владеешь доступом к домену или сайту ну например , пох. (?), 20:56 , 26-Мрт-23, (119) +1 // Спасибо, но понимания больше не стало То ли я туп, то ли Вы - плохой разсказщик, Чукча (?), 15:33 , 30-Мрт-23, (161) // вообще-то этот сайт давно уже годится только для троллинга, а не просветительско, пох. (?), 18:56 , 30-Мрт-23, (162) +1 gt оверквотинг удален Спасибо за ответ Углублюсь в тему на досуге , Чукча (?), 14:21 , 18-Апр-23, (177) Непонятно что значит сообществом , подскажите пожалуйста -1 что это за сообще, Аноним (-), 23:41 , 26-Мрт-23, (124) –3 // 8211 2 - неужели мой вопрос такой сложный пусть оно не имеет названия, л, Аноним (-), 15:52 , 28-Мрт-23, (154) // Ну, как тебе попроще вот смотри, теравады одно из самых старых и респектабел, пох. (?), 22:21 , 28-Мрт-23, (155) // А эту вот карму , КТО контролирует - Тоже сообщество Ну типа - садятся и р, Аноним (156), 22:42 , 29-Мрт-23, (156) Вот какая заботливая компания, всё для людей , Аноним (128), 04:56 , 27-Мрт-23, (128) 6,8,9,12,13,14,26,57,59,80,88,117,124,128

Сообщения

[Сортировка по времени | RSS]

	79. "Let's Encrypt внедрил расширение для координации обновления ..."	–2 +/–
	Сообщение от BrainFucker (ok), 26-Мрт-23, 14:26
	> Нагрузку создаёт генерация новых сертификатов, раньше пользователь по крону генерил сам в удобное время ему. Теперь будет генерить в удобное для ЦА время. Не сам, а по крону клиент certbot или аналог слал запрос на сервер LE, тот в ответ слал ответный запрос для валидации и потом выдавал подписанный ими сертификат. > У летсенкрипт серевер генерации в единственном экземпляре и заскейлить его очень проблематично. Не вижу проблемы. Там уже есть API https://acme-v02.api.letsencrypt.org/directory через который происходит запрос нового сертификата, поднять несколько серверов и распределить нагрузку не проблема. Сдаётся мне что статью просто перевели криво и дело не в нагрузках.
	Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

	105. "Let's Encrypt внедрил расширение для координации обновления ..."	+/–
	Сообщение от Аноним (105), 26-Мрт-23, 17:21
	> поднять несколько серверов и распределить нагрузку не проблема Несколько серверов чего именно? REST API? Их и так несколько. Тормозит совершенно в другом месте.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема