Názory k článku
Google odstraní podporu HPKP hlaviček z Chrome
-
Radim (neregistrovaný)
Nejbližší odpověď je v odkazovaném článku:
"U klíčů není nijak stanoveno, kde se v PKI řetězci musí nacházet. Je takto možné zapinovat kořen autority, libovolný klíč v mezilehlém certifikátu nebo až v tom koncovém. ... třeba Google využívá vlastní mezilehlou autoritu, takže by mohl ji stanovit jako pevný bod." -
Nassir (neregistrovaný)
Riesi sa to tak, ze do hlavicky davas hash kluca, nie certifikatu. A mozes ich dat hned niekolko.
Takze ak nemenis privatny kluc, tak sa stranka nemeni, podpis sedi aj ked zmenis certifikat.
Ak koli katastrofe prides o kluc (pretoze ten musi byt na serveri), tak ho nahradis novym klucom zo skupiny a pregenerujes certifikaty. Stranka sa stale nemeni (obsahuje rovnake hashe) a vsetko funguje. Len si asi odstranis hash kompromitovaneho kluca...
