Názory k článku Google a Cloudflare chtějí postkvantově zajistit certifikáty a nerozbít přitom web
-
Filip JirsákStříbrný podporovatelProblém není samotný objem, ale to, že se to musí přenést na začátku spojení před tím, než se přenese cokoli „užitečného“. Nebo-li když uživatel klikne na webu (třeba ve vyhledávači) na odkaz na jiný web, bude přesně o přenos těchto pár desítek kB navíc čekat déle, než se zobrazí stránka (posunou se o to všechny fáze zobrazení (první zobrazení, LCP, INP).
Velikost souborů můžete optimalizovat, můžete zmenšovat kritické CSS, můžete renderovat HTML na serveru, a tím vším urychlovat první zobrazení stránky. To, že se pak na pozadí přenášejí další velká data (další styly, skripty, obrázky) nevadí, pokud uživatel vidí co potřebuje a ideálně i může se stránkou interagovat. Pro další načítání z téhož webu si může prohlížeč držet otevřená spojení, může číst z cache, může si TLS spojení otvírat dřív, než uzavře staré spojení. Ale s úvodním navázáním spojení neuděláte nic, to tam musí být vždy. A zrovna je to kritická část, která výrazně ovlivňuje první dojem uživatele.
Proto je snaha to co nejvíce urychlit – proto prohlížeče řeší i rychlost dotazování DNS (a proto odmítají DANE), proto byl do DNS přidán HTTPS záznam (aby prohlížeč jednou odpovědí získal všechny potřebné informace a rovnou na první pokus se připojil správným způsobem), proto HTTP/3 používá UDP místo TCP (aby se obešlo pomalý TCP handshake následovaný TLS handshakem).
Jak vidíte, řeší se při tom navázání spojení jednotlivé pakety a jejich velikost, takže „pár desítek kB“ je opravdu citelná rána.
-
DannyStříbrný podporovatelDNSSEC stale nema potrebne pokryti. Bohuzel. Ceskych 66% je krasnych, v tomhle patrime mezi premianty... ale sami to nezachranime, staci se podivat na cisla .com/.net... A tvurci browseru to dobre vedi.
-
DannyStříbrný podporovatel
Nikoliv, realita je takova, ze my volbu nemame :) Nam nezbyva nez se prizpusobit tomu, jak se rozdaji karty jinde. Technicky mozna lepsi reseni uz mnohokrat... umrelo na neochote velkych hracu jej adoptovat. A my jsme male rybky... ;-)
-
Filip JirsákStříbrný podporovatel
Začít používat DANE ovšem neznamená úplně přestat používat certifikační autority. Pořád existují situace, kdy potřebujete vědět s kým komunikujete, ne s jakou doménou komunikujete. Že se na to teď kašle, protože nemáme pořádně zabezpečenou ani tu komunikaci s doménou, je jiná věc.
-
A přesně proto se ustoupilo od EV certifikátů (resp. zobrazení, že jsou EV, což tak nějak plus mínus více či méně zaručovalo, že víme, s kým se bavíme), a místo toho tu máme CA právě proto, abychom přesně věděli, že se bavíme s někým, kdo dokáže do DNS té domény dorvat jedno TXT (a/nebo do webu docpat jeden texťák do .well-known/acme/).
No to jsme si teda fakt pomohli...
-
DannyStříbrný podporovatel
EV bylo placebo, falesny pocit bezpeci. Vizuelni potvrzeni sice "pekne", ale problem je uz samotny fakt, ze to "pekny zeleny" obsahovalo text, co stejne bezny franta uzivatel nezkoumal... stejne, jako nezkouma tu cast v adresnim radku "za zameckem".
-
To je filosofická otázka kterou nechci rozebírat, rozebíralo se to 1000x a navíc je v tomto kontextu irelevantní.
Každopádně jsme se shodli, že situace cit. existují situace, kdy potřebujete vědět s kým komunikujete v rámci webu nenastává, tam opravdu stačí "vlastní DNS".A mimo web si jen velmi těžko představit, že by několikakilobajtové asn.1 pole byly vážný problém.
-
Filip JirsákStříbrný podporovatel
Situace, kdy potřebujete na webu vědět, s kým komunikujete, nastává. Třeba když chcete komunikovat se svou bankou. Nebo s veřejnými institucemi – ministerstva, úřady, obce, zdravotní pojišťovny, školy… To, že dnes spoléháme na to, že nějak trefíte správnou doménu a dál to neověřujete, není správně.
Je to podobná situace, jak s hesly. Potřebujeme bezheslovou autentizaci? Ano, potřebujeme. Když už se někde ještě ze setrvačnosti používají hesla, potřebujeme správce hesel? Ano, potřebujeme. Používá drtivá většina lidí bezheslovou autentizaci nebo aspoň správce hesel? Nepoužívá. Ale to, že se něco používá málo nebo prakticky vůbec, neznamená, že to nepotřebujeme – a že se do budoucna to používání nezlepší.
ČLÁNKY DO MAILU