forum.opennet.ru - "Релиз HTTP-сервера nginx 1.7.3" (25)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Релиз HTTP-сервера nginx 1.7.3"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Релиз HTTP-сервера nginx 1.7.3"	+/–
Сообщение от opennews (??) on 08-Июл-14, 23:43
Доступен (http://mailman.nginx.org/pipermail/nginx-announce/2014/00014...) новый выпуск основной ветки высокопроизводительного HTTP-сервера nginx 1.7.3 (http://nginx.org/), в котором продолжено развитие новых возможностей. В новой версии добавлена (http://nginx.org/en/CHANGES) директива ssl_password_file (http://nginx.org/ru/docs/http/ngx_http_ssl_module.html#ssl_p...) для определения файла с паролями от секретных ключей. При возможности для ревалидации кэша теперь используется HTTP-заголовок If-None-Match. При изменении ответа слабые ETag (http://ru.wikipedia.org/wiki/HTTP_ETag) теперь сохраняются, а сильные ETag преобразуются в слабые. URL: http://mailman.nginx.org/pipermail/nginx-announce/2014/00014... Новость: http://www.opennet.dev/opennews/art.shtml?num=40163
Ответить \| Правка \| Cообщить модератору

Оглавление

Релиз HTTP-сервера nginx 1.7.3, Аноним, 23:43 , 08-Июл-14, (1)

Релиз HTTP-сервера nginx 1.7.3, rob pike, 00:16 , 09-Июл-14, (2) –1

Релиз HTTP-сервера nginx 1.7.3, Аноним, 02:49 , 09-Июл-14, (3)

Релиз HTTP-сервера nginx 1.7.3, Аноним, 02:54 , 09-Июл-14, (4)

Релиз HTTP-сервера nginx 1.7.3, Аноним, 08:01 , 09-Июл-14, (5)

Релиз HTTP-сервера nginx 1.7.3, Аноним, 08:03 , 09-Июл-14, (6) +1

Релиз HTTP-сервера nginx 1.7.3, Аноним, 08:06 , 09-Июл-14, (7) +9
Релиз HTTP-сервера nginx 1.7.3, XoRe, 09:08 , 09-Июл-14, (11)
Релиз HTTP-сервера nginx 1.7.3, Аноним, 10:06 , 09-Июл-14, (14) –1

Релиз HTTP-сервера nginx 1.7.3, PyMonty, 12:08 , 09-Июл-14, (16)

Релиз HTTP-сервера nginx 1.7.3, the joker, 08:21 , 09-Июл-14, (8)

Релиз HTTP-сервера nginx 1.7.3, Аноним, 09:04 , 09-Июл-14, (9)

Релиз HTTP-сервера nginx 1.7.3, Andrey Mitrofanov, 10:02 , 09-Июл-14, (13)
Релиз HTTP-сервера nginx 1.7.3, Sw00p aka Jerom, 12:05 , 09-Июл-14, (15)

Релиз HTTP-сервера nginx 1.7.3, Аноним, 14:22 , 09-Июл-14, (19)

Релиз HTTP-сервера nginx 1.7.3, Sw00p aka Jerom, 14:29 , 09-Июл-14, (20)

Релиз HTTP-сервера nginx 1.7.3, Andrey Mitrofanov, 14:36 , 09-Июл-14, (22)

Релиз HTTP-сервера nginx 1.7.3, Andrey Mitrofanov, 14:32 , 09-Июл-14, (21)

Релиз HTTP-сервера nginx 1.7.3, Аноним, 09:06 , 09-Июл-14, (10)
Релиз HTTP-сервера nginx 1.7.3, XoRe, 09:15 , 09-Июл-14, (12) +2

Релиз HTTP-сервера nginx 1.7.3, Sw00p aka Jerom, 12:23 , 09-Июл-14, (17)

Релиз HTTP-сервера nginx 1.7.3, PyMonty, 12:46 , 09-Июл-14, (18)

Релиз HTTP-сервера nginx 1.7.3, Sw00p aka Jerom, 14:42 , 09-Июл-14, (23)

Релиз HTTP-сервера nginx 1.7.3, XoRe, 18:00 , 10-Июл-14, (25)

Релиз HTTP-сервера nginx 1.7.3, fi, 13:16 , 10-Июл-14, (24)

Сообщения по теме [Сортировка по времени | RSS]

1. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Аноним (??) on 08-Июл-14, 23:43

> При изменении ответа слабые ETag теперь сохраняются, а сильные ETag преобразуются в слабые.
Можно подробнее, голова не варит как это .... ETag преобразуются в слабые short-tag?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Релиз HTTP-сервера nginx 1.7.3" –1 +/–

Сообщение от rob pike on 09-Июл-14, 00:16

Тот редкий случай когда по-английски понятней не становится.
>Feature: weak entity tags are now preserved on response modifications, and strong ones are changed to weak.
Курить, вероятно, надо 13.3.3 http://www.w3.org/Protocols/rfc2616/rfc2616-sec13.html

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Аноним (??) on 09-Июл-14, 02:49

Вик етаг, когда он вычисляется приложением на основе данных. Например есть страница новости, можно на уровне контроллера приложения сделать что-то типа:
totaltimestamp = 0
@post.comments.each do { |comment| totaltimestamp += comment.updated_at.to_i }
weak_etag = Digest::SHA1.hexdigest( ( totaltimestamp + @post.updated_at.to_i ).to_s)
соответственно Weak ETag вычисляется только на основе семантически значимого содержимого.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Аноним (??) on 09-Июл-14, 02:54

Рефакторинг :))
totaltimestamp = @post.updated_at.to_i
@post.comments.each { |comment| totaltimestamp += comment.updated_at.to_i }
weak_etag = Digest::SHA1.hexdigest(totaltimestamp.to_s)

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Аноним (??) on 09-Июл-14, 08:01

Твои упражнения в кодерстве малоинтересны. Если ты хочешь поумничать - скажи что означает преобразование strong ETag -> Weak. Это как, например?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Релиз HTTP-сервера nginx 1.7.3" +1 +/–

Сообщение от Аноним (??) on 09-Июл-14, 08:03

> Тот редкий случай когда по-английски понятней не становится.
Родной язык основных разработчиков nginx - не английский. <offtopic> Кстати да, чего это они не захотели стартап в России забацать? </offtopoc>

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

7. "Релиз HTTP-сервера nginx 1.7.3" +9 +/–

Сообщение от Аноним (??) on 09-Июл-14, 08:06

Они что, сами себе враги?

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

11. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от XoRe (ok) on 09-Июл-14, 09:08

> Родной язык основных разработчиков nginx - не английский. <offtopic> Кстати да, чего
> это они не захотели стартап в России забацать? </offtopoc>
А вы знаете много примеров покупки платного nginx в России?

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

14. "Релиз HTTP-сервера nginx 1.7.3" –1 +/–

Сообщение от Аноним (??) on 09-Июл-14, 10:06

> Родной язык основных разработчиков nginx - не английский. <offtopic> Кстати да, чего
> это они не захотели стартап в России забацать? </offtopoc>
потому что тут все хотят на халяву и все бесплатно. А в США платят хорошие деньги и дают заработать.
что не понятно.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

16. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от PyMonty on 09-Июл-14, 12:08

Очевидно путем добавления "W/", указывающего, что они weak.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

8. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от the joker (ok) on 09-Июл-14, 08:21

> В новой версии добавлена директива ssl_password_file для определения
> файла с паролями от секретных ключей
Раньше, чтобы при старте вебсервер не останавливался для ввода пароля, люди сохраняли ключ без пароля, то теперь будут сохранять пароль в файл. ИМХО, с точки зрения безопасности это ничего не меняет.
Если есть другие мнения, интересно их послушать.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Аноним (??) on 09-Июл-14, 09:04

Для несанкционированного использования беспарольного ключа достаточно упереть сам ключ, в случае же файла с паролями нужно ещё и его умыкнуть. Т.е. усиление защиты есть, но [очень] незначительное по принципу "лучше, чем ничего".

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

13. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Andrey Mitrofanov on 09-Июл-14, 10:02

>"лучше, чем ничего".
ничего, которое ничем не лучше. //fixed

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

15. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Sw00p aka Jerom on 09-Июл-14, 12:05

Если уперли приватный ключ, значить и файлик с паролями рядом, тоже самое и с уязвимостями типа хертблид

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

19. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Аноним (??) on 09-Июл-14, 14:22

> Если уперли приватный ключ, значить и файлик с паролями рядом, тоже самое и с уязвимостями типа хертблид
Ну, смотря как софтину сделать. Можно, например, приватные ключи хранить в памяти шифрованными, а файлик с паролями при загрузке тоже шифровать случайным ключом, генерируемым при запуске, и расшифровывать всё это дело только при необходимости (расшифровали -> попользовались -> затёрли рашифрованные данные). Если при этом [постараться] сделать так, чтобы участки памяти с приватными ключами, паролями и ключом для паролей были подальше друг от друга, то вероятность успешной компрометации при аналоге heartbleed-а несколько снизится.
Но, опять же, такое усиление безопасности, где пароли хранятся открытым текстом в отдельном файле, весьма условно. Классическая проблема "безопасность vs. удобство".

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

20. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Sw00p aka Jerom on 09-Июл-14, 14:29

опять таки приватный ключ с правами 777 лежать не будет - и нужен как минимум рут, систему рутать нуно, а если порутали то кранты ничего не спасёт.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

22. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Andrey Mitrofanov on 09-Июл-14, 14:36

> нуно, а если порутали то кранты ничего не спасёт.
NSA спасает! Ну, то есть SElinux. B) Там, где включён. И настроен.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

21. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Andrey Mitrofanov on 09-Июл-14, 14:32

> Ну, смотря как софтину сделать. Можно, например, приватные ключи хранить в памяти
> шифрованными, а файлик с паролями при загрузке тоже шифровать случайным ключом,
> для паролей были подальше друг от друга, то вероятность успешной компрометации
> при аналоге heartbleed-а несколько снизится.
Хацкеры из скайпа ещё, если правильно помню, широуют код, расшифровывая его перед исполнением, загружают куски корабля-ностителя (сервера хозяев), перемешивают это всё указателями на функции и повторением всего вышеперечисленного и взбалтыванием.
А ещё еcть волшебные буквы drm/tpm.
Какое это всё имеет отношение к безопасности? Примерно такое же, как покупка голограмы-наклейки. Никому ж нельзя верить.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

10. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Аноним (??) on 09-Июл-14, 09:06

лучше доступ к хранилищу ключей ldap, одноразовый токен..

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

12. "Релиз HTTP-сервера nginx 1.7.3" +2 +/–

Сообщение от XoRe (ok) on 09-Июл-14, 09:15

> Если есть другие мнения, интересно их послушать.
Можно подумать про подмонтировать папку по sshfs, а после запуска - отмонтировать.
Хотя куча ssl сертификатов с ключами - узкое применение.
Наверное это актуально всяким хостерам/cdn/anti ddos сервисам, у которых куча ssl сертификатов от клиентов.
"сделать клиентские сертификаты безпарольными" - это снижение безопасности, за которое а-та-та.
А "подставлять пароли из файла" - разумная альтернатива, особенно если папку с паролями монтировать только на время запуска.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

17. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Sw00p aka Jerom on 09-Июл-14, 12:23

>> Если есть другие мнения, интересно их послушать.
> Можно подумать про подмонтировать папку по sshfs, а после запуска - отмонтировать.
> Хотя куча ssl сертификатов с ключами - узкое применение.
> Наверное это актуально всяким хостерам/cdn/anti ddos сервисам, у которых куча ssl сертификатов
> от клиентов.
> "сделать клиентские сертификаты безпарольными" - это снижение безопасности, за которое
> а-та-та.
> А "подставлять пароли из файла" - разумная альтернатива, особенно если папку с
> паролями монтировать только на время запуска.
Ну и берешь убиваешь процесс и ждешь када подмонтируется фс, а то и сам подмонтируй, конечно если рут

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

18. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от PyMonty on 09-Июл-14, 12:46

Зачем такие сложности, когда в случае рута ключ можно и из памяти nginx достать.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

23. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от Sw00p aka Jerom on 09-Июл-14, 14:42

> Зачем такие сложности, когда в случае рута ключ можно и из памяти
> nginx достать.
ну и смысл всего этого ? типа холивара - зачем хранить в файле пароли )))
а шо типа /etc/shadow не файл с хешами ?

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

25. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от XoRe (ok) on 10-Июл-14, 18:00

> Ну и берешь убиваешь процесс и ждешь када подмонтируется фс
Необязательно автоматом, руками.
> , а то
> и сам подмонтируй, конечно если рут
Я про сетевую папку.
Можно примонтировать папку с отдельного сервера по sshfs, с авторизацией по паролю, или по ключу (с пробросом ключа с девелоперской машины, через ssh agent).
Т.е. все заводится на группу лиц, у которых есть права на доступ к хранилищу паролей.
Практический смысл - представьте, у вас 100-1000 ssl сертификатов и каждый будет запрашивать пароль.
Во первых, веб сервер будет стартовать долго, пока все пароли введете.
Во вторых, эти пароли надо откуда-то копипастить - все равно дырка.
Лучше держать их в отдельном месте, куда имеют доступ по ключу нужные люди.
И логировать каждое подключение, или монтирование.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

24. "Релиз HTTP-сервера nginx 1.7.3" +/–

Сообщение от fi (ok) on 10-Июл-14, 13:16

Это опять Systemd !!! :))
в общем хотелки пользователя:
http://trac.nginx.org/nginx/ticket/433

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Релиз HTTP-сервера nginx 1.7.3"	+/–
Сообщение от Аноним (??) on 08-Июл-14, 23:43
> При изменении ответа слабые ETag теперь сохраняются, а сильные ETag преобразуются в слабые. Можно подробнее, голова не варит как это .... ETag преобразуются в слабые short-tag?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Релиз HTTP-сервера nginx 1.7.3"	–1 +/–
	Сообщение от rob pike on 09-Июл-14, 00:16
	Тот редкий случай когда по-английски понятней не становится. >Feature: weak entity tags are now preserved on response modifications, and strong ones are changed to weak. Курить, вероятно, надо 13.3.3 http://www.w3.org/Protocols/rfc2616/rfc2616-sec13.html
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	3. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Аноним (??) on 09-Июл-14, 02:49
	Вик етаг, когда он вычисляется приложением на основе данных. Например есть страница новости, можно на уровне контроллера приложения сделать что-то типа: totaltimestamp = 0 @post.comments.each do { \|comment\| totaltimestamp += comment.updated_at.to_i } weak_etag = Digest::SHA1.hexdigest( ( totaltimestamp + @post.updated_at.to_i ).to_s) соответственно Weak ETag вычисляется только на основе семантически значимого содержимого.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	4. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Аноним (??) on 09-Июл-14, 02:54
	Рефакторинг :)) totaltimestamp = @post.updated_at.to_i @post.comments.each { \|comment\| totaltimestamp += comment.updated_at.to_i } weak_etag = Digest::SHA1.hexdigest(totaltimestamp.to_s)
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	5. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Аноним (??) on 09-Июл-14, 08:01
	Твои упражнения в кодерстве малоинтересны. Если ты хочешь поумничать - скажи что означает преобразование strong ETag -> Weak. Это как, например?
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	6. "Релиз HTTP-сервера nginx 1.7.3"	+1 +/–
	Сообщение от Аноним (??) on 09-Июл-14, 08:03
	> Тот редкий случай когда по-английски понятней не становится. Родной язык основных разработчиков nginx - не английский. <offtopic> Кстати да, чего это они не захотели стартап в России забацать? </offtopoc>
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	7. "Релиз HTTP-сервера nginx 1.7.3"	+9 +/–
	Сообщение от Аноним (??) on 09-Июл-14, 08:06
	Они что, сами себе враги?
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	11. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от XoRe (ok) on 09-Июл-14, 09:08
	> Родной язык основных разработчиков nginx - не английский. <offtopic> Кстати да, чего > это они не захотели стартап в России забацать? </offtopoc> А вы знаете много примеров покупки платного nginx в России?
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	14. "Релиз HTTP-сервера nginx 1.7.3"	–1 +/–
	Сообщение от Аноним (??) on 09-Июл-14, 10:06
	> Родной язык основных разработчиков nginx - не английский. <offtopic> Кстати да, чего > это они не захотели стартап в России забацать? </offtopoc> потому что тут все хотят на халяву и все бесплатно. А в США платят хорошие деньги и дают заработать. что не понятно.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	16. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от PyMonty on 09-Июл-14, 12:08
	Очевидно путем добавления "W/", указывающего, что они weak.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору

8. "Релиз HTTP-сервера nginx 1.7.3"	+/–
Сообщение от the joker (ok) on 09-Июл-14, 08:21
> В новой версии добавлена директива ssl_password_file для определения > файла с паролями от секретных ключей Раньше, чтобы при старте вебсервер не останавливался для ввода пароля, люди сохраняли ключ без пароля, то теперь будут сохранять пароль в файл. ИМХО, с точки зрения безопасности это ничего не меняет. Если есть другие мнения, интересно их послушать.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	9. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Аноним (??) on 09-Июл-14, 09:04
	Для несанкционированного использования беспарольного ключа достаточно упереть сам ключ, в случае же файла с паролями нужно ещё и его умыкнуть. Т.е. усиление защиты есть, но [очень] незначительное по принципу "лучше, чем ничего".
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	13. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Andrey Mitrofanov on 09-Июл-14, 10:02
	>"лучше, чем ничего". ничего, которое ничем не лучше. //fixed
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	15. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Sw00p aka Jerom on 09-Июл-14, 12:05
	Если уперли приватный ключ, значить и файлик с паролями рядом, тоже самое и с уязвимостями типа хертблид
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	19. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Аноним (??) on 09-Июл-14, 14:22
	> Если уперли приватный ключ, значить и файлик с паролями рядом, тоже самое и с уязвимостями типа хертблид Ну, смотря как софтину сделать. Можно, например, приватные ключи хранить в памяти шифрованными, а файлик с паролями при загрузке тоже шифровать случайным ключом, генерируемым при запуске, и расшифровывать всё это дело только при необходимости (расшифровали -> попользовались -> затёрли рашифрованные данные). Если при этом [постараться] сделать так, чтобы участки памяти с приватными ключами, паролями и ключом для паролей были подальше друг от друга, то вероятность успешной компрометации при аналоге heartbleed-а несколько снизится. Но, опять же, такое усиление безопасности, где пароли хранятся открытым текстом в отдельном файле, весьма условно. Классическая проблема "безопасность vs. удобство".
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	20. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Sw00p aka Jerom on 09-Июл-14, 14:29
	опять таки приватный ключ с правами 777 лежать не будет - и нужен как минимум рут, систему рутать нуно, а если порутали то кранты ничего не спасёт.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	22. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Andrey Mitrofanov on 09-Июл-14, 14:36
	> нуно, а если порутали то кранты ничего не спасёт. NSA спасает! Ну, то есть SElinux. B) Там, где включён. И настроен.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	21. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Andrey Mitrofanov on 09-Июл-14, 14:32
	> Ну, смотря как софтину сделать. Можно, например, приватные ключи хранить в памяти > шифрованными, а файлик с паролями при загрузке тоже шифровать случайным ключом, > для паролей были подальше друг от друга, то вероятность успешной компрометации > при аналоге heartbleed-а несколько снизится. Хацкеры из скайпа ещё, если правильно помню, широуют код, расшифровывая его перед исполнением, загружают куски корабля-ностителя (сервера хозяев), перемешивают это всё указателями на функции и повторением всего вышеперечисленного и взбалтыванием. А ещё еcть волшебные буквы drm/tpm. Какое это всё имеет отношение к безопасности? Примерно такое же, как покупка голограмы-наклейки. Никому ж нельзя верить.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	10. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Аноним (??) on 09-Июл-14, 09:06
	лучше доступ к хранилищу ключей ldap, одноразовый токен..
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	12. "Релиз HTTP-сервера nginx 1.7.3"	+2 +/–
	Сообщение от XoRe (ok) on 09-Июл-14, 09:15
	> Если есть другие мнения, интересно их послушать. Можно подумать про подмонтировать папку по sshfs, а после запуска - отмонтировать. Хотя куча ssl сертификатов с ключами - узкое применение. Наверное это актуально всяким хостерам/cdn/anti ddos сервисам, у которых куча ssl сертификатов от клиентов. "сделать клиентские сертификаты безпарольными" - это снижение безопасности, за которое а-та-та. А "подставлять пароли из файла" - разумная альтернатива, особенно если папку с паролями монтировать только на время запуска.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	17. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Sw00p aka Jerom on 09-Июл-14, 12:23
	>> Если есть другие мнения, интересно их послушать. > Можно подумать про подмонтировать папку по sshfs, а после запуска - отмонтировать. > Хотя куча ssl сертификатов с ключами - узкое применение. > Наверное это актуально всяким хостерам/cdn/anti ddos сервисам, у которых куча ssl сертификатов > от клиентов. > "сделать клиентские сертификаты безпарольными" - это снижение безопасности, за которое > а-та-та. > А "подставлять пароли из файла" - разумная альтернатива, особенно если папку с > паролями монтировать только на время запуска. Ну и берешь убиваешь процесс и ждешь када подмонтируется фс, а то и сам подмонтируй, конечно если рут
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	18. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от PyMonty on 09-Июл-14, 12:46
	Зачем такие сложности, когда в случае рута ключ можно и из памяти nginx достать.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	23. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от Sw00p aka Jerom on 09-Июл-14, 14:42
	> Зачем такие сложности, когда в случае рута ключ можно и из памяти > nginx достать. ну и смысл всего этого ? типа холивара - зачем хранить в файле пароли ))) а шо типа /etc/shadow не файл с хешами ?
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	25. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от XoRe (ok) on 10-Июл-14, 18:00
	> Ну и берешь убиваешь процесс и ждешь када подмонтируется фс Необязательно автоматом, руками. > , а то > и сам подмонтируй, конечно если рут Я про сетевую папку. Можно примонтировать папку с отдельного сервера по sshfs, с авторизацией по паролю, или по ключу (с пробросом ключа с девелоперской машины, через ssh agent). Т.е. все заводится на группу лиц, у которых есть права на доступ к хранилищу паролей. Практический смысл - представьте, у вас 100-1000 ssl сертификатов и каждый будет запрашивать пароль. Во первых, веб сервер будет стартовать долго, пока все пароли введете. Во вторых, эти пароли надо откуда-то копипастить - все равно дырка. Лучше держать их в отдельном месте, куда имеют доступ по ключу нужные люди. И логировать каждое подключение, или монтирование.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	24. "Релиз HTTP-сервера nginx 1.7.3"	+/–
	Сообщение от fi (ok) on 10-Июл-14, 13:16
	Это опять Systemd !!! :)) в общем хотелки пользователя: http://trac.nginx.org/nginx/ticket/433
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору