Vlákno názorů k článku Let's Encrypt zablokoval nebezpečnou validaci pomocí self-signed certifikátu od madloki - Za mne je tu zasadni problem s hysterii...

Devalvovali jsme získání a držení certifikátu jakožto instrumentu ověření identity výměnou za šifrování.
Nikoli, šifrování nijak hodnotu certifikátů nedevalvuje. Ostatně je standardizované řešení, které pro ověření domény důvěryhodnou certifikační autoritu vůbec nepotřebuje (DANE). Takže ta devalvace není nevyhnutelný důsledek šifrování.

Druhá ztráta je, že se hrozby přesunuly jen do jiných oblastí, které nejsou na SSL závislé
To ovšem není žádná ztráta, právě naopak. Proto se každé bezpečnostní opatření dělá, abychom předešli nějakému typu útoku – útočník pak musí použít jiné metody, které jsou nákladnější, takže se to méně vyplatí.

To, že všichni plýtváme výkonem - jsou to nenávratně spálené tuny uhlí a uranu.
To máte nějak změřené? Já si myslím, že výkon potřebný navíc je neměřitelný. Když už to budete porovnávat, nezapomeňte také započítat náklady na řešení následků toho, že je komunikace nešifrovaná, a někdo ji odposlechne nebo modifikuje. A také náklady na to, aby se ty útoky vůbec odhalily.

No a nakonec, samotné vystavení DV certifkátu po ověření přes DNS (vůbec ACME), přesunulo ten nejslabší článek na zabezpečení DNS správy.
Nikam se nic nepřesunulo, DNS bylo vždy součástí toho řetězce důvěry, už jen z toho prostého důvodu, že DNS je autoritativním zdrojem dat pro překlad jmen na IP adresy – při převodu jmen ho nemůžete vynechat. Naopak by bylo správně další články (jako ověření přes HTTP nebo e-mail) vynechat, protože ty přidávají do celého procesu jen další nejistotu.

Celé to úsilí mi připomíná snahy EU "zlepšovat naše životy za každou cenu", a to tak, že se nestačíme už divit, jak vysoké životní náklady máme na to, abychom ráno vstali, přes den pracovali a večer si šli v klidu a míru lehnout.
To vám sice připomíná hezky, ale nic takového reálně neexistuje. Akorát je v ČR módní být proti EU, bez ohledu na jakákoli fakta, tak to také opakujete. Všimněte si, že jste neuvedl jediný konkrétní argument – jen jakási obecné dojmy.

aby byl přínos slepého zavádění "tak trochu" diskutabilní
Nejde o žádné slepé zavádění. Je to jednoduchá úvaha – každá komunikace, která může být modifikována, je pro příjemce zcela zbytečná (když můžu dostat jakoukoli informaci, je úplně jedno, když nedostanu žádnou – pokud by mi chyběla, můžu si ji vytvořit třeba z /dev/random). Takže nezbytná komunikace musí být vždy šifrována.

Ostatně je standardizované řešení, které pro ověření domény důvěryhodnou certifikační autoritu vůbec nepotřebuje (DANE). Takže ta devalvace není nevyhnutelný důsledek šifrování.

Ano, ale v praxi došlo k té devalvaci. V praxi bylo něco možná trohcu s horkou hlavou "vylepšeno", ale to druhé zavedeno se stejnou vehemencí nebylo.

Proto se každé bezpečnostní opatření dělá, abychom předešli nějakému typu útoku – útočník pak musí použít jiné metody, které jsou nákladnější, takže se to méně vyplatí.

Ano, a toto si myslím, že bylo špatně odhadnuto a vyhodnoceno. Přínos v praxi velký není (důležité služby už dávno SSL zavedly), nedůležité jsou přinucovány. Ale ten přesun útoků / útočníků jinam jim sebral méně energie, než si myslíte. Podobné je to s našimi zákony. Vždy něco zalátáme, abychom se nakonec dozvěděli, že gauneři našli další, a ještě méně odhalitelný a ještě méně řešitelný a postihnutelný způsob kradení. Viz např. kauza nehorázně drahého tisku jízdenek pro pražskou MHD - kdy soudy skončily na tom, že není s čím porovnat, jestli ta cena je při takové zakázce přiměřená, či není, a DPP neměl povinnost to lépe soutěžit.

DNS bylo vždy součástí toho řetězce důvěry, už jen z toho prostého důvodu, že DNS je autoritativním zdrojem dat pro překlad jmen na IP adresy

Rád uvádíte, že přínosem HTTPS je, že nikdo uprostřed, v kompromitované přenosové síti, nemůže podvrhnout obsah. Ale ono to tak úplně. Už jen tím, že můžete podvrhnout DNS odpovědi, máte v kompromotované síti obrovskou moc. Jediným řešením by byl 100% přechod na HTTPS a úplné vypnutí HTTP. To není v příštích, dovolím si tvrdit, patnácti letech reálné. Podívejte, že doposud jsme nevyřešili ani šifrovaný přenos pošty, který by byl jistě prospěšnější, nebo jsme se nezbavili prehistorického FTP.

Buďte trochu realista. Já Vám přiznávám idealistické vnímání vývoje technologií, ale nejen nihilisté, ale i přílisní idealisté bývají zaseklí na stejném místě.

To vám sice připomíná hezky, ale nic takového reálně neexistuje. Akorát je v ČR módní být proti EU

Já vůbec nejsem proti EU! Jsem naopak příznivcem federalizace, sjednocení předpisů a zjednodušení a zefektivnění EU. Jsem jedině proti překomplikované EU, která vydává směrnice pro desítky států, které mají na tolik odlišnou kulturu - od Balkánu až po vlny Atlantiku -, žč nejdou v praxi implementovat bez většího výčtu výjimek, než je prvotní myšlenka samotné normy.

Takže nezbytná komunikace musí být vždy šifrována.

Nesouhlasím.

Ano, ale v praxi došlo k té devalvaci.
Akorát že ta devalvace není důsledkem šifrování. DV certifikáty se vydávají už mnoho let, dávno před tím, než přišel současný boom šifrování.

V praxi bylo něco možná trohcu s horkou hlavou "vylepšeno"
Proč s horkou hlavou, proč vylepšeno v uvozovkách? Máte snad lepší nápad, jak zvýšit bezpečnost na internetu?

Přínos v praxi velký není (důležité služby už dávno SSL zavedly), nedůležité jsou přinucovány.
Přece vás nikdo nenutí to šifrování používat. Ty nedůležité služby si klidně můžete číst /dev/random, šifrovat nic nemusíte, a na výsledek máte stejné spolehnutí, jako na ty nešifrované služby.

Už jen tím, že můžete podvrhnout DNS odpovědi, máte v kompromotované síti obrovskou moc.
Proti tomu se dá bránit pomocí DNSSEC. Nemůžete chtít, aby se mávnutím kouzelného proutku vyřešily všechny problémy najednou – problémy se řeší postupně, nezávisle na sobě.

Jediným řešením by byl 100% přechod na HTTPS a úplné vypnutí HTTP.
Ano, to je cíl. Jenže k tomu cíli se nedostaneme jinak, než postupným zvyšováním podílu HTTPS.

To není v příštích, dovolím si tvrdit, patnácti letech reálné.
Já si myslím, že na webu to půjde mnohem rychleji. Ale i kdyby to trvalo patnáct let, budeme mít od teď za 15 let veškerý web šifrovaný. Jak byste to řešil vy? Čekal byste deset let, za deset let bychom začali s tím samým, co se dělá dnes, řešili bychom stejné problémy, a pak by za dalších patnáct let by byl přechod dokončen? Jaký by byl rozdíl v tom, že bychom to celé udělal i úplně stejně, se stejnými problémy, akorát o deset let později?

Podívejte, že doposud jsme nevyřešili ani šifrovaný přenos pošty, který by byl jistě prospěšnější, nebo jsme se nezbavili prehistorického FTP.
I ten šifrovaný přenos pošty se v posledních letech zlepšuje, a řekl bych, že právě díky zavádění HTTPS. Ale i kdyby ne. Brání to nějak nasazování HTTPS? Nebo nasazování HTTPS naopak zpomaluje nasazování šifrování pošty nebo ukončování FTP? Mimochodem, je dost možné, že náhradou FTP bude WebDAV, protože SFTP je přeci jen trochu jiná technologie. A pro šifrovaný WebDAV potřebujete zase HTTPS.

Buďte trochu realista. Já Vám přiznávám idealistické vnímání vývoje technologií, ale nejen nihilisté, ale i přílisní idealisté bývají zaseklí na stejném místě.
Buďte trochu realista. Konzervativní postoj je užitečný, ale nejde se zaseknout na místě, ani tvrdit, že když něco nevyřeší všechny problémy světa, nemáme se vůbec snažit o zlepšení.

Já vůbec nejsem proti EU!
Taková deklarace nevypovídá vůbec o ničem. Miloš Zeman taky tvrdí, že nevede žádnou kampaň.

Jsem jedině proti překomplikované EU, která vydává směrnice pro desítky států, které mají na tolik odlišnou kulturu - od Balkánu až po vlny Atlantiku -, žč nejdou v praxi implementovat bez většího výčtu výjimek, než je prvotní myšlenka samotné normy.
Opět jen nicneříkající obecné tvrzení. Jak mám vědět, jaká směrnice je pro vás překomplikovaná, když neuvedete žádný příklad? Naopak takové tvrzení jenom vzbuzuje podezření, že o žádné takové směrnici nevíte a akorát něco papouškujete.

Nesouhlasím.
Pokud vám nevadí, že přenášený obsah může být změněn, čtěte si ta nešifrovaná data z /dev/random. Vždyť na tom přece podle vás nezáleží, jestli čtete to, co web server odeslal, nebo něco jiného.

Ano, prostě se nedá věřit žádnému obsahu na HTTP. O to jde.

Děkuji oběma za další příklady. Změnit popisu je sice jedna možnost útoku, ale uznávám, přesměrování na jiný eshop může být účinnější :)