Vlákno názorů k článku SSLS straší před Let's Encrypt, ale používá klamné argumenty od Funtom - Zajímavé je také projít info o firmě. Jedna...
-
Crow (neregistrovaný)
Root.cz by pro jednou mohl udělat trochu té staré dobré investigativní novinářské práce a požádat SSLS o vyjádření k zjevně klamavému obchodnímu sdělení (které dost možná není ani vyžádáné - spam) a trochu je podusit :-)
Jak kolega nademnou poukázal na Panamu, možná by bylo zajímavé zašťárat (Panama papers někdo?) a zjistit co na ně vypadne :-)
Btw myslím si, že wildcard ssl certifikáty zbytečně zvyšují riziko zneužití a jejich absenci u LetsEncrypt naopak oceňuji.
-
Filip JirsákStříbrný podporovatelNebylo by spíš lepší, kdyby si SSLS dříve rozmyslelo, jestli budou šířit takovéhle nesmysly? Určitě je správně, že ten článek vyšel co nejdřív, protože za pár dní to bude passé. Pokud se někdo moc nevyzná v oboru a bude si na základě toho e-mailu zjišťovat další informace, bude si je zjišťovat teď a ne za týden.
-
Sten (neregistrovaný)
S wildcardy +1. Let's Encrypt to má tak automatizované, že nový certifikát je velmi snadné vygenerovat, kdykoliv je potřeba. A rozhodně se tak nestane, že někdo dostane wildcard na *.doména.cz (nebo dokonce *.co.uk), protože ovládá subdoménu a někde zpackali ověřování jako WoSign.
-
Martin Šoch (neregistrovaný)
A teď udělejte blogovací platformu, kde si každý může udělat blog na adrese
franta.superblogovaciplatforma.cz
Jasně, můžete při každé registraci měnit certifikát, ale stejně narazíte na limit počtu subdomén. Takže smůla, takovou službu s bez hvězdičky neuděláte. A právě k tomuto hvězdičky jsou.
-
Sten (neregistrovaný)
O SNI jste slyšel? Pak klidně můžete mít pro každý blogísek vlastní certifikát.
-
Ondřej CaletkaZlatý podporovatelA teď udělejte blogovací platformu, kde si každý může udělat blog na adrese
franta.superblogovaciplatforma.czTakové použítí je špatné už v návrhu. Hostname je v URI určeno pro různé hostitele, ne jako milion aliasů stejného hostitele. Obecně se dá říct, že každé řešení, které vyžaduje ať už žolík v DNS, nebo dokonce žolík v certifikátu, je špatné. Správně to má vypadat:
//superblogovaciplatforma.cz/franta/– tak je URI vymyšleno.Ale když už někdo tuhle chybu udělá, může doménu superblogovaciplatforma.cz nechat prohlásit za public suffix, čímž mj. lépe separuje jednotlivé subdomény od sebe a hlavně obejde rate-limity Let's Encrypt, takže nic nebude bránit samotnému certifikátu pro každého uživatele.
-
Ondřej CaletkaZlatý podporovatel
> každé řešení, které vyžaduje ať už žolík v DNS, nebo dokonce žolík v certifikátu, je špatné.
Co třeba sandboxy na SandStorm? I to je špatné?Vůbec netuším, co to je, ale i tak odpověď zní nejspíš ano.
„může doménu superblogovaciplatforma.cz nechat prohlásit za public suffix“
Co je k tomu potřeba? Nevyjde to nakonec dráž než wildcard?K tomu stačí jeden pull-request.
-
> Vůbec netuším, co to je
Sandstorm je platforma pro sandboxované webové aplikace. Jde do toho nainstalovat například upravený Wordpress. Pro administraci se použije náhodně vygenerovaná subdoména. Tím se ztíží různé útoky jako CSRF (byť subdoména někdy leakuje, například přes SNI) a pak se z toho vygeneruje static site (ta už samozřejmě není na náhodné subdoméně).
Sandstorm toho dělá mnohem víc a není to jen o Wordpressu (Sandsorm je platforma), ale toto je příklad, co by bez Wildcardu bylo problém. Vystavovat certifikáty on-the-fly – nehledě na různé praktické problémy – by vyžadovalo CA bez certificate transparency, jinak název subdomain leakne víc, než je nutné.
-
Ondřej CaletkaZlatý podporovatel
A co brání tomu, aby administrace místo na náhodné subdoméně byla na náhodné URI cestě? Je k tomu nějaký technický důvod, proč by to tak udělat nešlo, nebo je to takhle vymyšlené prostě proto, že subdomény jsou víc cool?
-
Good point. Přemýšlím proč.
Znamenalo by to uživatelům generovat fixní subdoménu ke každé aplikaci a k tomu dynamickou path.
Výhody:
* Neleakovalo by to dynamickou část URL přes DNS a SNI.
* Použitelnost s LE.Nevýhody:
* Aplikace musí počítat s tím, že poběží na proměnlivé path. Otázka je, kolik aplikací s tím počítá. (Příklad s WordPressem ukazuje, že ne vždy je aplikace rovnou vyvíjena s tím, že pojede pod Sandstormem.)
* Mohlo by to při troše nepozornosti umožnit zpětné či dopředné útoky na cookies. Možná ale nic reálně závažného.
* Změna zasahuje do zpětné kompatibility. -
Co si vzpomínám, je tam jak tajná subdoména, tak cookie nebo podobný způsob autentizace. Být tam pouze subdoména, leakovalo by to přes DNS nebo SNI. HTTP auth zase není prvek defense-in-depth, který by bránil CSRF a reflected XSS. Aplikace by se tomu měla bránit i sama o sobě, ale pokud se na to někde zapomnělo, sníží to zneužitelnost…
ČLÁNKY DO MAILU