Vlákno názorů k článku
Apple podal návrh na postupné zkracování platnosti certifikátů pro HTTPS od kamui - Škoda že není větší tlak na plošné zavedení...

Škoda že není větší tlak na plošné zavedení DNSSEC + DANE. Spousta webů by žádné certifikáty nepotřebovala.

Dnssec rozbiji provoz, jestli chces priklad, tak s tim nefunguje IPv6 only sit, ktera by chtela komunikovat do Ipv4 site. Protoze tam musi DNS vracet IPv4 prelozenou do IPv6 prostoru.

Dane prozmenu brani smirovani, browser se pak nebude ptat nejakyho seznamu certifikatu jestli zrovna tenhle zna.

A mimochodem https://bugzilla.mozilla.org/show_bug.cgi?id=14328

25let. To souvisi s tim DANE.

Dnssec rozbiji provoz, jestli chces priklad, tak s tim nefunguje IPv6 only sit, ktera by chtela komunikovat do Ipv4 site. Protoze tam musi DNS vracet IPv4 prelozenou do IPv6 prostoru.

To není fundamentální problém, řeší ho např. RFC7050. Kdyby byla vůle, tak technické problémy jsou řešitelné.

Skutečný důvod je, že by se tím decentralizovala moc, a to korporátní ilumináti nechtějí.

To je hodne izolovany case, koncove resolvery (na klientech) moc nevaliduji tak jako tak. A validaci na mezilehlem resolveru (toho, ktereho se ti klienti ptaji) jde vyresit i s DNS64. Mimoto, je tu i dalsi mozna cesta skrze IPv6 mostly, t.c. ve fazi draftu. Aneb cesticky tu jsou, kdyz se chce.

A certifikační autority nebudou mít co žrát...

Na hračkoidní weby by TLSA stačil, ale browsery to nepodporují.

Protoze DANE zabiji CAcka a ty se tomu velmi, velmi brani. Vzdyt by si pak kterejkoliv admin mohl vystavit certifikat na 100 let, rict "tomuhle certifikatu verim" a CAcka by prisly o penizky. To nikdy nesmi projit.

V dobe, kdy tu existuje vicero poskytovatelu vydavajici certifikaty bezplatne tento argument s penizky taky uz jaksi pada...