Názory k článku
Od 1. září se zkracuje platnost HTTPS certifikátů na jeden rok
-
Ohledně těch uniklých privátních klíčů... co jsem viděl, tak u hromady komerčních autorit to stejně fungovalo tak, že při obnovení po zaplacení jen přišel certifikát... s původním klíčem.
Ohledně LE, platnosti 90 dnů a nepředstavování problémů... na civilizovaném systému sice ne. Ale co jsem řešil bohužel nějaké aplikace nad Windows, tak jsem došel k tomu, že nejjednodušší je stejně si ten certifikát vydat jinde a přenést ho tam. Dále pak do řady "enterprise" aplikací nebo zařízení to také nelze snadno automatizovat (buď to nejde vůbec nebo jde, ale za cenu psaní a ladění expect scriptů a podobně).
-
Sice nikde expirovaný certifikát nemám, ale z direktivy SSLProxyCheckPeerExpire soudím, že ho ignorovat umí...
-
Filip JirsákStříbrný podporovatelOhledně těch uniklých privátních klíčů... co jsem viděl, tak u hromady komerčních autorit to stejně fungovalo tak, že při obnovení po zaplacení jen přišel certifikát... s původním klíčem.
To by ničemu nevadilo. Důležité je, zda znova proběhla validace, nebo zda se autorita alespoň přesvědčila, že držitelem domény je stále týž subjekt. -
To jsou podle mě dva různé problémy... ano, validace, jestli vlastníkem domény je stále ten původní vlastník je jeden z nich. Ale pokud to má bránit, jak je uvedeno ve zprávičce, i proti leaknutým klíčům (tedy druhý problém), tak se ten klíč musí přegenerovat. Pokud ze serveru uteče, bez vědomí správce, privátní klíč, tak sice stále nelze udělat veřejnou podvodnou stránku (vlastník je pořád stejný), ale už úspěšně lze ty stránky podvrhávat třeba někde na veřejné WiFi...
-
Filip JirsákStříbrný podporovatel
To už je ale věc toho majitele domény – buď si je dostatečně jistý, že klíč neunikl, pak klidně může požadovat následný certifikát pro stejný klíč. Nebo si tím jistý není a následný certifikát raději vystaví s novým klíčem. Ale upřímně řečeno, tenhle argument mi připomíná vynucenou pravidelnou změnu hesla – pokud nevíte, kudy uniká heslo nebo privátní klíč, nepomůže vám, když je budete měnit častěji.
-
Jan HrachStříbrný podporovatelLE taky nevynucuje použití nového klíče pro každý požadavek, a řekl bych, že většina lidí to nedělá (a certbot to nemá default) (a já teda taky vygeneruju klíč při instalaci serveru a pak už se na něj nesahá).
-
Ondřej CaletkaZlatý podporovatelMyslím, že certbot ve výchozím stavu vyměňuje privátní klíč při každém znovuvydání certifikátu. Ale záleží na tom, v jakém režimu je provozován. V manuálním režimu používá, kdy má na vstupu CSR, samozřejmě klíč vyměnit nemůže.
-
Ako to, že "prišel certifikát... s klíčem"?
Kľúč si máte predsa vygenerovať sami, a k nemu CSR. CSR zaslať CA, tá certifikát podpíše a pošle naspäť IBA certifikát. CA nemá žiadny dôvod ani potrebu kľúč vidieť, a v ideálnom prípade by nikdy nemal von zo zariadenia, ktoré ho používa, nieto ho ešte preháňať sieťou hore dole.
-
Filip JirsákStříbrný podporovatel
Certifikáty implikují asymetrickou kryptografii, tedy se používají dva klíče, soukromý a veřejný. V certifikátu je samozřejmě veřejný klíč.
-
Filip JirsákStříbrný podporovatel
Nikoli. Certifikát obsahuje veřejný klíč plus údaje, které je potřeba s tím veřejným klíčem svázat (např. název domény), to celé je podepsané certifikační autoritou.
V příspěvku bylo napsáno „přišel certifikát... s původním klíčem“. V certifikátu je vážně jen veřejný klíč. A původní veřejný klíč tam samozřejmě být může – při vystavení následného certifikátu není nutné měnit klíče.
Na certifikátu se změní hlavně doba jeho platnosti a sériové číslo. Z toho plyne i změna podpisu. Kdyby se žádné údaje na certifikátu nezměnily, nezmění se ani podpis.
-
Mě tedy přijde celé to atomatizované obnovování divné. Jde o to, aby byla data po ceste šifrovaná a nebo aby měl uživatel jakous takous jistotu, že data jsou šifrovaná a ještě mohl alespoň kvalifikovaně odhadnout s kým se baví?
Protože to první řeší kdejaký selfsign a to druhé v současné době v podstatě nic. Zkracování doby platnosti vede k jediné věci - vydávané certifikáty jsou tak slabé, jak jen to jde. Stejně tak klíče se generují (obvykle) relativně slabé.
Kdyby se chtělo, šlo by to vydávat bezpečně i na delší dobu přičemž "ušetřené" peníze by se daly vrazit do lepší validace.
-
Automatizace nemá nic společného s validací, vzájemně se to nevylučuje. Může klidně existovat autorita, která bude automatizovaně vydávat certifikáty až na základě platby a detailního ověření žadatele. Protokol ACME s tím počítá, kterákoliv komerční autorita ho může nasadit.
Automatizace je dobrá v tom, že se nemusíte o certifikáty starat a nedojde pak k tomu, že vám někde nějaký vyprší a přestane vám fungovat služba.
-
Nijak nezpochyňuji přínos automatizace jako takové, pouze nemám dobrý pocit ze situace, kdy automatizovaně nasazujeme certifikáty, generujeme klíče, čím dál tím méně o tom víme (neb to funguje "samo") a necháváme se ukolébávat pocitem bezpečí.
Jak říká jeden můj kolega, bezpečnost je drahá. My, ok ACME, směřuje k úspoře nákladů, k automatizované bezpečnosti - což podle mého názoru skončí dřívě či později těžkou kocovinou. -
No, jsme myslím u jádra. Zabezpečení by se imo mělo rozumět. Podle mého názoru je lepší, když služba selže než když má tak zásadní věc jako zabezpečení udělánou tak, že to vlastně pořádně nikdo neví jak.
Ono to šifruje a neřve to, tak je to v pohodě...Ne, opravdu si nemyslím, že by Venca měl jen tak něco naklikat, Venca by o tom měl něco vědět, protože se o svoji službu stará.
-
@Petr Krčmář
Praxe ukazuje leda tak houby. Nejcitlivější data přenášíme e-mailem, na kterém šifrování funguje oportunisticky. Největší slabinu jsme zdaleka neřešili, zato jsme se umanuli na řešení střípku bezpečnosti, který je "vidět" skrze ikonku zámečku v prohlížeči.
Naprosto "odborně" jsme se oddali tomu, že "co je vidět, to se počítá". Jako vedlejší efekt jsme naprosto devalvovali smysl vydávání certifikátů - tedy, že něco ověřuje. Nyní říkáme, že jsou "domain-validated" a zcela alibisticky neřešíme, že samotné přístupy ke správě domény jsou bídně zabezpečené - obvykle stačí kliknout na "zapomenuté heslo", které přijde e-mailem (který šifrovaně nejde).
Pravda, docílili jsme toho, že velké firmy doručí obsah uživateli, aniž by bylo možno nahlédnout byť jen do hlaviček. To jako "bonus" sebralo možnosti filtrovat obsah - což zejména firmy potřebují, i kvůli bezpečnosti.
Přínos k bezpečnosti je tedy víc než diskutabilní. Jediný zřejmý přínos je pro poskytovatele obsahu.
-
Filip JirsákStříbrný podporovatel
Bezpečnost je drahá, ale to, že něco uděláte drahé, neznamená, že to bude bezpečné. Všechno na světě neustále zlevňuje, a je to především tím, že se to automatizuje. Není důvod, aby to u bezpečnosti bylo jinak. Lidské kapacity se pak mohou věnovat důležitějším věcem, než je obnova certifikátu. A když už existuje takový nesmysl, jako jsou DV certifikáty, ať nás alespoň zatěžuje co nejméně.
-
@Filip Jirsák
Smutné na tom je, že systém DV certifikátů a vůbec, volbu šifrování HTTP obsahu mohli řešit poskytovatelé obsahu sami, podle vlastního uvážení. Existují mnohem závažnější bezpečnostní témata, která by potřebovala pošťouchnout silou těch velkých - např. jsem zmiňoval šifrování elektronické pošty, kterou chodí daleko závažnější informace k chránění, nebo třeba i prosazování DANE. Jenže ono se spíš asi hodilo šlápnout do této oblasti. Není těžké si spočítat, že to milionům malých způsobuje často zbytečné problémy, zatímco velcí realizují úspory z rozsahu.
Není samozřejmě dokonalá pravda, že vše se srovná tím, že vše zlevňuje. Výpočetní technika sice pracuje efektivněji a hardware je čím dál levnější (jak relativně k výkonu, tak i absolutně). Přesto celkově roste spotřeba jak surovin na výrobu zařízení, tak i na výrobu energie, která výrobky hýbe.
Je poměrně únavné sledovat ten boj "za bezpečnost a soukromí", když jedno opatření vyvolá miliardu malých problémů (zdánlivě neviditelných), i to, že se vybírají témata, která se hlavně hodí do obchodních plánů těch, kteří je silou vynucují.
Osobně bych raději méně šifroval (a dle vlastního uvážení), než se účastnil tohoto trendu.
-
Filip JirsákStříbrný podporovatel
Jde o to, aby byla data po ceste šifrovaná a nebo aby měl uživatel jakous takous jistotu, že data jsou šifrovaná a ještě mohl alespoň kvalifikovaně odhadnout s kým se baví?
To první bez druhého nemá smysl. K čemu vám bude šifrování dat, když je bude dešifrovat útočník?Zkracování doby platnosti vede k jediné věci - vydávané certifikáty jsou tak slabé, jak jen to jde. Stejně tak klíče se generují (obvykle) relativně slabé.
Čemu říkáte „slabý certifikát“, když nejde o velikost klíče? Vy jste při automatizaci vydávání certifikátů začal používat slabší klíče? Proč? Proč si myslíte, že se tak zachoval i někdo jiný? Já jsem při automatizaci klíče nezkracoval, ani mne to nenapadlo.Kdyby se chtělo, šlo by to vydávat bezpečně i na delší dobu přičemž "ušetřené" peníze by se daly vrazit do lepší validace.
Myslím, že prodloužení doby platnosti certifikátů z 90 dní by to celé naopak prodražilo. Protože byste se už dostal do intervalu, kdy se něco může rozbít, aniž by se na to včas přišlo.Lepší validace se s automatizací nijak nevylučuje. A hlavně lepší validace DV certifikátů nic neřeší – DV certifikáty jsou nesmysl samy o sobě a bylo by potřeba je nahradit DANE. To bohužel prohlížeče nepodporují, takže nezbývá, než používat DV certifikáty – ale nic moc lepšího, než je ACME dns01 pro validaci DV certifikátů nevymyslíte. Takže jediné možné zlepšení by byla možnost zakázat ostatní metody validace certifikátů (HTTP, SNI, e-mail u jiných CA).
-
Neřešme konkrétní instanci, LE. Řešme princip. Automatizace je v mnoha případech nezpochybnitelně dobrá věc. Já mám problém s tím, že někdo třetí automatizovaně rozhoduje jaké šifrování, jaká délka klíče je "pro nás" dobrá. Stejně tak mám problém s fortelností validací (typicky nešífrovaným emailem, nepodepsanou doménou). Ano, zpřístupňuje to https v zásadě všem, nepochybně. Ale je to správná cesta?
Jestli se certifikát má obnovovat po 90 dnech, dříve nebo později je podle mého nepodstatná technikálie. S dnešní technikou dovedeme velmi slučně odhadnout, jak dlouho muže trvat útok na klíč se známými parametry a tedy dovedeme stanovit dobu platnosti při vhodně zvolených parametrech velmi bezpečně. V případě principielní změny situace máme crl.
V současnosti mám prostě pocit, že data se nějak šifrují, běžný BFU po cestě se do nich nedostane, ale to je tak všechno.
-
Filip JirsákStříbrný podporovatel
Já mám problém s tím, že někdo třetí automatizovaně rozhoduje jaké šifrování, jaká délka klíče je "pro nás" dobrá.
Proč to tedy někomu třetímu dobrovolně odevzdáváte? Tohle přece vůbec nijak nesouvisí ani s automatizací, ani s LE, ale jenom s tím, co vy sám děláte.Stejně tak mám problém s fortelností validací (typicky nešífrovaným emailem, nepodepsanou doménou).
Zrovna LE validaci e-mailem nepodporuje, to je krok vpřed. Existuje CAA DNS záznam, kterým povolíte, které autority mohou vydávat certifikáty pro vaši doménu. Dejte si tam jenom ty autority, které podle vás validují dostatečně.Ano, zpřístupňuje to https v zásadě všem, nepochybně. Ale je to správná cesta?
Nepochybně je to správná cesta. Nejsnazší útok na HTTPS (sebelépe zabezpečené) je downgrade na HTTP. Tenhle útok bude možný do té doby, dokud prohlížeče budou podporovat HTTP. Takže je potřeba, aby všichni přešli na HTTPS. Že zůstane pár ňoumů, kteří budou mít sice HTTPS, ale děravé? To bude jejich problém. Ale těm, kteří chtějí mít HTTPS zabezpečené pořádně, to nic neudělá – na rozdíl od prohlížečů podporujících HTTP.S dnešní technikou dovedeme velmi slučně odhadnout, jak dlouho muže trvat útok na klíč se známými parametry a tedy dovedeme stanovit dobu platnosti při vhodně zvolených parametrech velmi bezpečně. V případě principielní změny situace máme crl.
To ovšem pořád vycházíte z předpokladu, že jediný důvod pro omezení doby platnosti certifikátu je možnost prolomení klíče. Jenže tohle nikdy žádný reálný důvod nebyl. A omezení platnosti certifikátu na 90 dní u LE má podle mne jeden hlavní cíl – tlak na automatizaci.V současnosti mám prostě pocit, že data se nějak šifrují, běžný BFU po cestě se do nich nedostane, ale to je tak všechno.
I kdyby to bylo opravdu všechno, je to pořád obrovský pokrok oproti situaci, kdy se citlivé údaje jako hesla nebo čísla platebních karet posílají nešifrovaně a může si je každý přečíst. -
BobTheBuilderStříbrný podporovatelKdyby se chtělo, šlo by to vydávat bezpečně i na delší dobu přičemž "ušetřené" peníze by se daly vrazit do lepší validace.
No nevím. V létě nastal problém u nějaké podřízené autority Digicertu, takže revokovali hromadu EV certifikátů. No a shodou okolností přes tuto autoritu vydává certifikáty CESNET, kde navíc v létě došlo k nějakému zpoždění komunikace - výsledek: ti, co si na servery dali "lepší" (EV) certifikáty, měli pár dní na výměnu - a vystavení EV trvá delší dobu. Ti s DV problém neměli (a kdyby, tak DV dostanou obratem).
Myslím, že pro běžné použití DV naprosto stačí, když nejste banka nebo tak něco.
A už vůbec délka platnosti nesouvisí s kvalitou (délkou klíče), naopak Let's Encrypt vás donutí v případě potřebhy přejít mnohem rychleji na bezpečnější klíče nebo cokoliv je potřeba. A díky automatizaci řešíte jen případné chyby (na řešení máte měsíc, když se obnova certifikátu zkouší poprvé měsíc před koncem platnosti).1. 9. 2020, 08:25 editováno autorem komentáře
-
-
Filip JirsákStříbrný podporovatel
Uznávané certifikační autority nebudou vydávat certifikáty s delší platností.
-
Filip JirsákStříbrný podporovatel
Za prvé, bez té změny v prohlížečích by se k tomu autority rozhoupávaly ještě několik let. Za druhé, říká se „důvěřuj, ale prověřuj“. Když prohlížeč může zkontrolovat platnost certifikátu, proč by to neudělal?
-
Za prvé, bez té změny v prohlížečích by se k tomu autority rozhoupávaly ještě několik let. Za druhé, říká se „důvěřuj, ale prověřuj“. Když prohlížeč může zkontrolovat platnost certifikátu, proč by to neudělal?
Ano, ano. Certifikační autority a jejich zákazníci jsou prostě nuly, které neumějí zvážit situaci. Takže to zachrání moudrý vendor prohlížeče. :)
Prohlížeč má kontrolovat platnost certifikátu, ale nemá kafrat do toho, že se dva subjekty (držitel certifikátu a CA) dohodli na nějaké platnosti. Technicky vzato, platnost certifikátu nemá být delší, než je předpokládaná životnost bezpečnosti použitého algoritmu. Zbytek už jsou jen obchodní čachry.
-
Filip JirsákStříbrný podporovatel
Miroslav Šilhavý: Mýlíte se. Uživatel rozhoduje, kterým certifikátům důvěřuje a kterým ne – a prohlížeč je nástroj, který k tomu uživatel používá. Držitel certifikátu ať se klidně dohodne s certifikační autoritou KLDR a nechá si vystavit certifikát používající MD2 s platností na tisíc let, ale to ještě neznamená, že já musím takovému certifikátu důvěřovat.
Platnost certifikátu rovná předpokládané životnosti algoritmu by mohla být v případě, kdy by bylo zaručeno, že údaje podepsané v certifikátu budou platné trvale (nebo alespoň po dobu životnosti toho algoritmu). Nevím ale o žádném typu certifikátu, kde by tahle podmínka byla splněna. Vlastník domény se může změnit, zástupce právnické osoby se může změnit, dokonce i jméno a příjmení se může změnit, případně může být člověk zbaven svéprávnosti.
-
@Filip Jirsák
Tyto extrémní situace (MD2 a tisíciletá platnost) se už řeší tím, které CA jsou přijaty do "klubu" výchozích důvěryhodných. Ale jako u všeho, restrikce mají zajišťovat nutné minimum, zabraňovat excesům. Optimum se má dosahovat přirozeným vývojem, konsensem nad vůlí zúčastněných stran. Ty mohou nejlépe posoudit konkrétní situaci. Jakkoliv dobře míněný (a v tomto případě dokonce pochybuji o tom, že dobré úmysly jsou na prvním místě) diktát z pozice síly, vždy z dlouhodobého hlediska vede k průšvihu.
Platnost certifikátu rovná předpokládané životnosti algoritmu by mohla být v případě, kdy by bylo zaručeno, že údaje podepsané v certifikátu budou platné trvale (nebo alespoň po dobu životnosti toho algoritmu).
Ne, to není vůbec podstatné. Certifikát říká, že údaje k datu vystavení platily a byly ověřeny. Obecně Vás zajímá pouze to, že víte, s kým komunikujete, kdo nese odpovědnost. To DV certifikáty značně oslabily a následné kroky vedou k úplné devastaci toho, že by certifikát ve skutečnosti něco certifikoval.
Daleko smysluplnější by bylo provádět kvalitnější ověřování a zachovat delší platnost. Dovedu si i představit, že DV certifikáty budou mít životnost měsíc, ale lépe ověřené certifikáty naopak delší. Jenže to se těžko provede, když do toho hodí vidle vendor prohlížeče.
Vlastník domény se může změnit, zástupce právnické osoby se může změnit, dokonce i jméno a příjmení se může změnit, případně může být člověk zbaven svéprávnosti.
Právní nástupce je vázán závazky předchůdce. Člověk zbavený svéprávnosti má v peněžence kreditní kartu do doby, než se banka dozví, že mu novou nemá vydávat. Je na odpovědnosti opatrovníka, aby to dal do pořádku. Ale my nechceme, aby vendor prohlížeče, nota bene, zároveň podstatný technologický hráč, nám dělal opatrovníka a tím si tvořil internet k obrazu svému; je to lehce zneužitelné. Je špatná praxe upozaďovat a vytlačovat občanskoprávní vztahy a přímou odpovědnost. Mimo jiné to vede k bezmyšlenkovitému, stádnímu chování (a hádejte, komu se hodí, když se publikum chová jako stádečko).
-
Filip JirsákStříbrný podporovatel
Tyto extrémní situace (MD2 a tisíciletá platnost) se už řeší tím, které CA jsou přijaty do "klubu" výchozích důvěryhodných.
Jendou z podmínek přijetí do „klubu“ je roční platnost vydávaných certifikátů.Optimum se má dosahovat přirozeným vývojem, konsensem nad vůlí zúčastněných stran.
To je pořád ta vaše obsese, že vám někdo něco diktuje. Se zkrácením platnosti přišel Apple, který nepochybně zastupuje podstatně víc zákazníků, než všechny certifikační autority.Certifikát říká, že údaje k datu vystavení platily a byly ověřeny.
Ne, na certifikátu jsou dvě data – datum, před kterým ty údaje nelze považovat za platné, a datum, po kterém ty údaje nelze považovat za platné. Certifikační autorita údaje samozřejmě ověří k nějakému okamžiku, ale po skončení platnosti certifikátu od toho dává ruce pryč úplně.To DV certifikáty značně oslabily
Dnes na webu v drtivé většině případů komunikujete s doménou, ne s firmou nebo osobou.následné kroky vedou k úplné devastaci toho, že by certifikát ve skutečnosti něco certifikoval
Které následné kroky? Jenom bych vám připomněl věc, na kterou rád zapomínáte – že ten, kdo ovládá DNS pro danou doménu, ovládá celou doménu. Bez ohledu na nějaké certifikáty.Dovedu si i představit, že DV certifikáty budou mít životnost měsíc, ale lépe ověřené certifikáty naopak delší.
Způsob ověření a doba platnosti jsou nezávislé věci. Např. to, že se změní statutární orgán firmy, je zcela nezávislé na tom, jak podrobně budete firmu prověřovat.Právní nástupce je vázán závazky předchůdce.
To je pravdivé tvrzení, ale nijak to nesouvisí s certifikáty. Trochu jste se v tom zamotal.Člověk zbavený svéprávnosti má v peněžence kreditní kartu do doby, než se banka dozví, že mu novou nemá vydávat.
Světe div se, platnost platebních karet je také omezena. A to je platební karta čistě soukromý vztah mezi bankou a jejím klientem.Ale my nechceme, aby vendor prohlížeče, nota bene, zároveň podstatný technologický hráč, nám dělal opatrovníka a tím si tvořil internet k obrazu svému; je to lehce zneužitelné. Je špatná praxe upozaďovat a vytlačovat občanskoprávní vztahy a přímou odpovědnost.
Ono se také nic takového v reálném světě neděje, to je jenom vaše utkvělá představa. -
Se zkrácením platnosti přišel Apple, který nepochybně zastupuje podstatně víc zákazníků, než všechny certifikační autority.
Jádro pudla. Já bych nikdy neřekl, že Apple své zákazníky zastupuje. Nijak neskrývaným zájmem Applu je svoje zákazníky vytěžit (i skrze online služby).
Dnes na webu v drtivé většině případů komunikujete s doménou, ne s firmou nebo osobou.
Právní vztahy uzavíráte s osobou, ne s doménou. Osoba ručí za obsah (např. dezinformace, šíření poplašných zpráv, ...), je odpovědná za uskutečnění obchodu (e-shopy a další on-line nákupy, ... Ověřená doména je možná přivádí k extázi ajťáka, ale běžný člověk v běžném životě potřebuje znát s kým jedná.
Světe div se, platnost platebních karet je také omezena. A to je platební karta čistě soukromý vztah mezi bankou a jejím klientem.
Světe div se, pokud bance nedáte vědět, že jste pozbyl svéprávnosti, pošlou Vám novou kartu automaticky. Nechají Vás odesílat příkazy z účtu (a tam už žádné omezení není vůbec.
Ono se také nic takového v reálném světě neděje, to je jenom vaše utkvělá představa.
Děje, jen buďto nevnímáte salámovou metodu, nebo ji vnímat nechcete.
-
Filip JirsákStříbrný podporovatel
Já bych nikdy neřekl, že Apple své zákazníky zastupuje. Nijak neskrývaným zájmem Applu je svoje zákazníky vytěžit (i skrze online služby).
Říkat si o tom můžete co chcete, ale zákazníci si Apple volí dobrovolně.Právní vztahy uzavíráte s osobou, ne s doménou.
Jenže těch právních vztahů je na webu menšina. A i tam, kde vznikají právní vztahy, je často důležitejší doména – nakupuju na CZC.cz, bez ohledu na to, že se ta firma přejmenovala.Ověřená doména je možná přivádí k extázi ajťáka, ale běžný člověk v běžném životě potřebuje znát s kým jedná.
Nikoli. Běžný člověk jde na Google.com, Seznam.cz, Mapy.cz, CZC.cz, a je mu úplně jedno, jak se jmenuje firma, která za tím stojí. On jde za tou doménou. Ta firma ho zajímá v případě, kdy znal nejdřív tu firmu z reálného světa – třeba banka. -
Říkat si o tom můžete co chcete, ale zákazníci si Apple volí dobrovolně.
Proto se tomu říká salámová metoda. Na jedné straně nabídnete něco lákavého, co Vás moc nestojí. Na druhé straně ukrojíte maličko z toho, co je důležité.
Jenže těch právních vztahů je na webu menšina. A i tam, kde vznikají právní vztahy, je často důležitejší doména – nakupuju na CZC.cz, bez ohledu na to, že se ta firma přejmenovala.
Právní vztahy vznikají vždy a všude. I zobrazením reklamy někdo nese odpovědnost za její obsah. Spor nepovedete s doménou, ale s konkrétní osobou (fyzickou nebo právnickou=firmou).
Běžný člověk jde na Google.com, Seznam.cz, Mapy.cz, CZC.cz, a je mu úplně jedno, jak se jmenuje firma, která za tím stojí. On jde za tou doménou. Ta firma ho zajímá v případě, kdy znal nejdřív tu firmu z reálného světa – třeba banka.
To pochopitelně, to je brand name. Jenže brand se spojuje s tím, komu patří. Pokud má k něčemu certifikát být, tak právě k tomu.
Mimochodem, opět, komu se asi hodí, že se do popředí dostává brand (doménové jméno) a do pozadí provozovatel? Kdo může lépe budovat značku? Malý, nebo velký?
Podle mě si prostě jen nechcete připustit, že tyto kroky vedou ke škodě nás všech. Šifrujeme 99% nehodnotných sraček na internetu, ale chrochtáme si v tom, že ani nevíme, s kým máme tu čest.
Já nepopírám, že šifrování všeho je nutně špatně. Jen se to dělá v nevhodném pořadí. Neřeší se důležitější problémy, ale řeší se jen ty, které slouží ke zvýšenému prospěchu menšiny gigantů. To si prostě chválu nezaslouží.
-
Filip JirsákStříbrný podporovatel
Jenže brand se spojuje s tím, komu patří. Pokud má k něčemu certifikát být, tak právě k tomu.
Mýlíte se. Lidé chodí na Google, Mapy.cz, Seznam, Alzu, CZC, Youtube, Instagram, a je jim úplně jedno, zda to provozuje Alphabet, Alzasoft, Facebook Inc. nebo Seznam a. s.Mimochodem, opět, komu se asi hodí, že se do popředí dostává brand (doménové jméno) a do pozadí provozovatel? Kdo může lépe budovat značku? Malý, nebo velký?
Já pamatuju dobu, kdy Google vznikl. Pamatuju i dobu, kdy Seznam byl lokální český katalog. I tyhle malé projekty začínaly jako čistě internetové, takže budovaly svou značku na doméně, na na firmě.Podle mě si prostě jen nechcete připustit, že tyto kroky vedou ke škodě nás všech.
Nikoli. Já pouze žiju v jiném světě, než vy.Šifrujeme 99% nehodnotných sraček na internetu, ale chrochtáme si v tom, že ani nevíme, s kým máme tu čest.
Nikoli. Nešifrovat znamená usnadňovat útoky na ty, kteří šifrují. Rozhodovat o tom, co je a co není hodno šifrování, je plýtvání časem. Když se bude šifrovat vše, ušetříte si to zbytečné rozhodování, navíc odstraníte jeden podstatný vektor útoků. S kým máme tu čest víme – chci komunikovat s doménou a certifikát je určitá záruka, že komunikuju s tou doménou. Jsou výjimečné případy, třeba banky nebo státní správa, kdy chci vědět, s jakou institucí komunikuju. Ty by měly mít OV certifikáty (s validací na úrovni EV).Jen se to dělá v nevhodném pořadí. Neřeší se důležitější problémy
Dělá se to v tom pořadí, v jakém se to dá realizovat. A upřímně řečeno, na dnešním internetu jsou dva vážné problémy – nešifrovaná komunikace, a nedostatek IPv4 adres. Ty se ale nijak neovlivňují, takže nemá smysl s řešením jednoho problému čekat na jiný.řeší se jen ty, které slouží ke zvýšenému prospěchu menšiny gigantů
Šifrování je ku prospěchu všech. Firmy typu Google nebo Apple z toho nemají žádný prospěch, právě naopak. Dříve mohl Google jako své plus uvádět to, že nikdo nemůže odposlouchávat, co hledáte – protože nákup certifikátu pro něj byl pakatel, na rozdíl od nějakého začínajícího vyhledávače, který by běžel jen na HTTP. Jenže dnes bude mít i ten začínající vyhledávač HTTPS zadarmo díky Let's Encrypt, takže Google o svou konkurenční výhodu přišel. -
... a díky automatizovanému procesu to pro správce nepředstavuje žádný problém.
Jo, to je pěkná teorie. Praxe je taková, že je to problém kdekoliv, kde se je větší než malý problém k výměně toho certifikátu dostat. A to nemluvím o malých soukromých serverech, kde má člověk tři čtyři weby, kde ten certifikát má jen kvůli tomu, aby prohlížeče neměly kecy o tom, že spojení není zabezpečené (i když to na nich vůbec k ničemu není) a jak vůl pak navíc musí co měsíc a půl výměnu certifikátů řešit nebo na to mít skripty nebo cokoliv ale infrastrukturu si tím prostě komplikovat.
Tohle zobecňování typu "na 85 % cest stačí elektromobil takže stačí všem" celkově prostě miluju. Jedno z velkých zel moderní doby.
-
L.Stříbrný podporovatel
Mám malý soukromý server, na něm jeden web zabezpečený HTTPS. Přesto výměnu certifikátů "co měsíc a půl" řešit nemusím. Co dělám špatně?
-
Ondra Satai NekolaZlatý podporovatelTak zase pokud jich mas stovky, tak ten restart snad uz nemuze byt problem?
-
L.Stříbrný podporovatel
Jenže martinpoljak psal právě o "malých soukromých serverech, kde má člověk tři čtyři weby".
-
Filip JirsákStříbrný podporovatel
Neplatí. Pouze pro ty všeobecně uznávané CA, jejichž seznam se distribuuje s OS nebo s prohlížečem.
