Vlákno názorů k článku Domény v .GOV budou mít povinně HTTPS, vynutí to prohlížeče od VM - Takže: 1. nový FF bude zbytečně obsahovat politiky pro...

1) Kdyby se tam přidala celá TLD, přidaly by se tam 3 znaky. Proč si pořád něco vymýšlíte, místo abyste si přečetl alespoň zprávičku, pod kterou diskutujete? Všechny domény pod .gov se do HSTS přidávat nebudou, pouze nové. Přechází se na něco lepšího – postupně se eliminuje HTTP, a až se přestane používat úplně, HSTS se mohou zahodit.
2) A nebo se k tomu zařízení přihlásí telnetem. Když to někomu vyhovuje…
3) Mohl byste mi ukázat nějakého uživatele, který chce dát výjimku na daný certifikát? To se jako ráno probudí a řekne si „dneska je venku hezky, dneska si přidám tři výjimky na certifikáty“?

Já jsem četl i zprávičku, i váš komentář. Vy jste napsal „teď se přidá jedna celá TLD“. Kdyby se přidala celá TLD gov, jsou to tři znaky. Jenže jak sám píšete, nebude se přidávat teď celá doména, ale budou se postupně přidávat nové domény. Chápete, že „postupně jen nové“ je něco úplně jiného, než „teď celá“?

Úplně zrušit HTTP není nesmysl, naopak k tomu dříve (doufejme) či později dojde. Dříve se ke konfiguraci takových zařízení používal třeba telnet, a dneska rozhodně není telnet klient v běžné výbavě každého uživatele. Zkrátka internetové protokoly také zastarávají a přestávají se používat. To, že dneska nějaké zařízení neumí HTTPS, neznamená, že taková zařízení budou i za deset let. Ostatně před deseti lety taková zařízení neuměla ani HTTP a konfigurovala se přes telnet nebo proprietárním nástrojem.

Bez funkční sítě se k tomu zařízení ani nepřipojíte, takže nepotřebujete řešit nějaký certifikát.

HTTP je také workaround a není moc user-friendly, některý HW ho také „neumí“ (rovnou vás přesměruje na HTTPS). Síťový HW, firemní servery, vlastní web – to vše může mít certifikát, kterému bude prohlížeč důvěřovat.

Proč byste si pro něj vyřizoval certifikát vy? Uživatelsky přívětivé nastavení routeru rozhodně nevypadá tak, že uživatel bude někam zadávat nějakou IP adresu. Vypadá spíš tak, že uživatel klikne na odkaz v e-mailu, který dostal, nebo načte QR kód nebo přinejhorším opíše nějakou webovou adresu.

Certifikační autorita nevydává certifikáty na IP adresy, ale na jména.

Stávající HW, co HTTPS neumí, mohou lidé klidně nastavovat stávajícím prohlížečem, který umí HTTP. Ale není důvod, proč by to tak mělo být i za deset let. A pokud tou dobou někdo pořád bude mít zařízení, které se bude konfigurovat přes HTTP, není žádný důvod, aby ten protokol podporoval běžný webový prohlížeč určený pro práci na webu. Některá zařízení se i dnes konfigurují přes telnet, SSH nebo třeba přes sériový port, a neznamená to, že tohle všechno musí podporovat webový prohlížeč.

Varianta č. 1, pravděpodobnější: zařízení se připojí do domácí sítě a ohlásí se routeru, že je tu nové a přeje si býti nakonfigurováno. V rozhraní routeru (něco jako Amazon Echo, Google OnHub, Apple Home – můžete hádat, proč zrovna tyhle firmy najednou řeší domácí routery) uvidíte, že máte v síti nové zařízení, třeba „webkamera D-Link 999L“. Zadáte PIN ze štítku na kameře, čímž se autorizujete, povolíte zařízení přístup do sítě, pojmenujete ho, umístíte ho na plánku, a pak případně budete pokračovat jeho konfigurací. V okamžiku „povolíte přístup do sítě a pojmenujete ho“ ten router vytvoří certifikát pro to zařízení a pošle mu ho spolu s dalšími údaji o síťové konfiguraci. Certifikát router uloží do DANE, takže ani není potřeba řešit certifikační autoritu. A nebo ta komunikace může jít vždy přes router a autentizaci si zajistí router, a klidně pak ta komunikace se zařízením může jít přes SSLv2 a MD5 certifikát a router to přeloží do něčeho, co bude ochoten akceptovat uživatelův prohlížeč.

Varianta č. 2, kterou se budou snažit prosadit ti výrobci zařízení, kteří nebudou mít vlastní domácí routery: certifikát se vystaví na 987hjasawd787­.router.cisco­.com, buď přes ACME, nebo ho může vystavit intermediate certifikační autorita Cisca. Až se router někde připojí do internetu, oznámí svou interní IP adresu, která se nastaví do toho DNS záznamu, a stáhne si příslušný certifikát. Jediný „problém“, že podle RFC by IP adresy z privátních rozsahů neměly být ve veřejném DNS, ale Ciscu to nikdo vyčítat nebude, případně se to RFC změní na těch pár let, co ještě budou mít domácí zařízení běžně privátní IPv4 adresu. Nevím, zda už některý z poskytovatelů služeb dynamického DNS umožňuje ověřit pro ACME certifikát, pokud ano, můžete si to takhle udělat hned zítra.

Varianta č. 3, která se používá už dnes – k zařízení se připojujete přes nějaký portál myvyrobcezari­zeni.com, hostname je pořád stejné, takže na něj má certifikát výrobce toho zařízení. Zařízení komunikuje s tím portálem nějakým interním protokolem, když chcete něco nastavit třeba na NASu, jde příkaz na cloud poskytovatele a zase zpět do vaší sítě. Je to padlé na hlavu, ale IPv6 je zlé ošklivé a NATy vládnou světu, takže máme, co jsme chtěli.

jediné štěstí že to tak kdysi nedopadlo i s kamenými tabulkami na psaní

Na tohle je v Cimrmanově Českém nebi krásná scéna s Komenským a Husem ;-)

Vztaženo k IT: nemusí se na zcela úplně všechno nutně používat http(s). Oni ten router se nechá nastavit i jinak.

Nebo ... lol ... pred mesicem zprovozneny osvetleni

Asi není nutné to okamžitě rozflákat, spíš by bylo více než vhodné, kdyby u toho nákupu taky někdo přemýšlel (a třeba za to byl taky i odpovědný).

I přes SMS se dají posílat elektronicky podepsaná data. A je to rozhodně lepší, než když si budou s osvětlením hrát puberťáci ze širokého okolí.

To už záleží na každém soudruhovi, jestli považuje za jednodušší zadat do prohlížeče kamera-garáž nebo 3ffe:1900:454­5:3:200:f8ff:fe21:67cf. A jestli mu připadá jednodušší hledat v nastavení routeru IP adresy připojených zařízení a hledat mezi nimi ten nový NAS, nebo jestli je jednodušší si prostě jen vybrat ze seznamu zařízení podle jejich výrobce a názvu.

ACME protokol už se nějaký ten pátek používá a certifikáty tak zvládají vytvářet i skripty v cronu. Není to žádná raketová věda.