Vlákno názorů k článku
Let's Encrypt nevytlačil ze státní správy komerční certifikáty od K> - Jo to mi povidejte. V nasi instituci jsou...

Jo to mi povidejte. V nasi instituci jsou ajtaci tak dokonali, ze si plati firmu, ktera koupi certifikat od jine firmy.
Navic jsou tak dokonali, ze zvorou i tu vymenu certifikatu jednou za pul roku a uz se mi stalo ze muj emailovy klient hlasil podezreni na utok, protoze novy cerifikat emailoveho serveru byl psany ne na nasi firmu, ale na tu firmu co nam certifikat preprodava. Za 5 hodin to opravili, aniz by cokoliv dali komukoliv vedet. Tou dobou to uz samozrejme v outlooku vetsina uzivatelu odklikla jako ze souhlasi, aniz by si tu hlasku precetli.

Stejně ve školství. Dodáváme nějaké technologie do škol, většina kontaktu s IT je právě kvůli jejich certifikátům. Je tam odpor k automatizaci, freewarové [sic] let's encrypt je určitě podvod, certifikát koupený od geantu je bezpečnější (přestože mají i privátní klíč a posílají jim ho mailem) a vydrží delší dobu, každý rok v jiném formátu, atd :D

Uz jen z letmeho pohledu do certificate transparency logu je zrejme, ze to neni systemovy problem - tech LE certu tam i na skoly najdete hromadu, ale spis je to v konkretnich lidech na konkretnich mistech - asi stejne jak u te statni spravy. Nekde vam holt drepi ten sedesat+letej ajtak, co se to nejak pred roky naucil a nehodla na svych postupech zhola nic menit. Je to o lidech. I zde na rootu najdete po diskuzich "linuxaky ze skol". Takze kdyz se chce....

Ono LE vydava certifikaty pro mezilehly CA? Od kdy?

Takze jako vzdy blabolis o vecech o kterych nemas paru.

Prosím, přestaňte útočit a raději začněte rozumně argumentovat a diskutovat. Třeba mě by zajímalo, proč by měl Let's Encrypt vydávat certifikáty pro mezilehlé CA a jak to souvisí s tématem? Děkuji za objasnění.

Koukam, ze pejska ad hominem utoky stale bavi :-) O tom, o cem ja (ne)mam paru ale vite kulovy. Kolik tech takto vydanych certifikatu je skutecne mezilehlych certifikatu s moznosti vydavat certifikaty dalsi, hmmm...? :-) Vetsina jich takovych neni.

Ten typek z Alpiro @Lupa mj. viditelne spojuje ACME s LE, coz je samo o sobe blabol. ACME je standardizovany protokol, ktery podporuje vicero CA, vc. tech komercnich. Pritom ani to Alpiro nabizi jen wildcard a nebo s vicero alt-name, coz ale jaksi neni ten vas "mezilehly", zeano.

O šedesátileté ajťáky bych se moc neotíral - často toho v praxi umí mnohem více, než třicetiletí mladí, dynamičtí a progresivní borci, kteří marně bádají, proč je to HTTPS tak složité - vždyť zkoušku na vejšce zvládli, tak to přece umějí. (Což berte jako poznatek z praxe.)

V IT obecne je potreba mit schopnost se neustale ucit a umet aplikovat moderni technologie. Ti, o ktere se otiram tuhle schopnost postradaji. A minimalne v me socialni bubline prevladaji ti, kteri se ucit moc nechteji, nejak se to snazi doklepat do penze a hlavne se u toho hlavne moc nepredrit, takze nic noveho se ucit nechteji, naopak vymysli tisic a jeden duvod, prod pri zivote drzet cosi obskurdniho. Ano, znam i par starsich moudrych panu v oboru, kteri maji mysl otevrenou... ale je jich malo.

Jo, tak u nas to opravdu neni problem 60+ letych ajtaku. Ale problem je bezpochyby v tech lidech.

Tak u toho placení firmy na nákup certifikátu je otázka, jestli je to výmysl ajťáků nebo důsledek korporátní politiky, kdy zaplatit to nejde jinak, než fakturou s půlroční splatností, schvaluje to 150 lidí, takže se to taky může protáhnout na měsíce (a většina vyžadatelů nedá certifikát před zaplacením) a vyžaduje se k tomu dalších 100 byrokratických nesmyslů. Pak se celkem nedivím, že to radši koupí od někoho dalšího, kdo sbírá bakšiš na tom, že trpí tyhle byrokratické průtahy a může to koupit sám kreditkou :-)

Vis jak to s tema korporatnima politikama obcas je. Obcas je tam neco napsano a nikdo vlastne nevi proc. Ale metodou ctrl-c - ctrl-v to tak nejak preziva...

Jsem mel za to ze se bavime o certificatech Let's Encrypt, ktere jsou zdarma?
A neni to tak, nakup jde v nasi instituci vyridit za 2 dny (nez si vsimne manazer jedna ze ma neco podepsat, a nez si vsimne druhy, pripadne kdyz za nima zajdu tak je to do 5 minut), a pravidelne opakovane nakupy neni potreba opakovane schvalovat.

Aha, já z věty, že to koupí od firmy co koupí certifikáty pochopil, že používají nějaké komerční placené (ne let's encrypt).

No, u mě ten nákup něčeho takového od někoho cizího je hromada psaní všude možně, vysvětlování, ... kdybych byl nucen kupovat komerční certifikáty, tak to snad taky radši vezmu s marží od někoho, kdo napíše, že to byl balík stahovacích pásek. Takže díky bohu za let's encrypt, že je o další věc méně, kterou je potřeba objednávat... Teda, většinou. Už mi sem přišla jednou jedna firma s tím, že se stará o nějaké MS řešení, že tam LE certifikát dávat nebudou, protože má platnost jenom 3 měsíce a že vyměnit ten certifikát za nový je práce na 3 dny :-)

LE certifikát mám na Windows serveru a je na to free appka, která to nainstaluje a mění, v IIS i všude a zařídí si to - IIS není podmínkou. Zkrátka ACME script, akorát že ve Windows by to s tím, jako skriptem, moc nešlo, tak je to appka běžící jako service (teď za to nedám ruku do ohně, možná se spouští přes plánovač úloh).

28. 2. 2025, 08:38 editováno autorem komentáře

Ano, nas institut kupuje komercni certifikaty od nejakeho preprodejce certifikatu.
A ja zase z tohoto: "nebo důsledek korporátní politiky, kdy zaplatit to nejde jinak...a vyžaduje se k tomu dalších 100 byrokratických nesmyslů" pochopil ze si myslis ze v nasem institutu je problem s nejakou extra byrokracii. Coz rozhodne neni. Teda neni v cenove hladine certifikatu, kdyby staly o 3 rady vic tak je to samozrejme hromada extra byrokracie a vysvetlovani. Ale nakup za par tisic neni problem ani od zahranicni firmy. Nejaka uctarka bude brblat, ale to brblaji vzdycky kdyz se jim objevi prace.

Jenže to zase musíš vedení vysvětlit jak je možné, že ty certifikáty jsou zdarma když za to do teď platili tisíce. Když jde o security, tak najednou nic nechtějí riskovat.

Jasne, koupime si drahou "krabici" a to nam bezpecnost magicky samo vyresi.... akorat ze vubec :-)