Vlákno názorů k článku
Platnost HTTPS certifikátů uživatelem přidaných CA je prakticky omezena na 2 roky
od Wasper - A pak se člověk diví, že na ILO...
-
DannyStříbrný podporovatelOno jim to moc nepomuze. Dokumentace rika, ze se to tyka vsech certifikatu.
-
Pomůže, protože chyba o neplatném certifikátu vyskočí na uživatele/admina tak i tak, a je jedno jestli kvůli tomu, že je self signed, nebo podepsaný propadlou autoritou.
Problém vidím jinde. A to v tom, že dneska na každou blbost člověk potřebuje certifikát, to je samozřejmě dobře, ale problém je v tom, že pokud to člověk chce všude udržet aktuální, sežere to spoustu clovekohodin, protože většinou v procesu je někde místo, které nejde automatizovat. A nebo sice certifikát vyměníte, ale něco přestane fungovat, a raději se udělá revert na selfsigned kde to fungovalo.
-
DannyStříbrný podporovatel
A cetl jste ten blog od Spacka ze zpravicky poradne...? :-) Protoze on tam popisuje trosku jine chovani, nez vy tady.
-
Filip JirsákStříbrný podporovatelSpousta věcí, kde je potřeba certifikát pro prohlížeč, a nejde je zautomatizovat, se dá schovat za reverzní proxy. Spousta také ne, ale třeba to vytvoří tlak na výrobce těchto zařízení, aby to navrhovali tak, že to za reverzní proxy dát půjde (což mi připadá podstatně užitečnější, než aby se pokoušeli implementovat ACME, a za 5–10 let životnosti toho zařízení se ukáže, že to stejně nestačí, protože přijde nová verze ACME protokolu, požadavky na silnější šifrování nebo něco jiného, a tahle zařízení budou zase v háji).
-
Tak zrovna pri ILO, a na klientskej strane vPro, nejde o to, že by to technicky za reverse proxy nešlo, ale o to, že to z podstaty veci nemá zmysel. Či už preto, že ILO je dostupné tak či tak len v admin VLAN, alebo preto, že reverse proxy by skončila na node, ktorý sa práve snažíte oddebugovať, v čom je problém , alebo kopec ďalších príčin.
Samozrejme, že tieto rozhrania nemajú verejnú doménu, preto by tam let'sencrypt nefungoval a acme alebo scep len voči internej CA. No a to už tam môžem dať certifikát platný do 2038, resp. počas doby odhadovanej životnosti železa a nemusím riešiť žiadne acme. A že sa to nejakému browseru nepáči? S tým väčšina adminov dokáže žiť.
-
Filip JirsákStříbrný podporovatel
To, že je admin rozhraní dostupné je z admin VLAN neznamená, že nemůže být schované z reverzní proxy. Na tom, že to rozhraní nemá veřejnou doménu, nic samozřejmého není. To, aby ta reverzní proxy běžela jinde, než je zařízení, které přes ni chcete administrovat, se jeví jako dobrý nápad, který snad napadne každého. No a pokud by to nebylo možné, pořád je tu ta možnost v případu nedostupnosti kontaktovat ten server přímo a vyřešit ten nedůvěryhodný certifikát. Akorát tedy není dobrý nápad dávat tomu certifikátu platnost shodnou s odhadovanou životností železa, chce to mnohem delší platnost. Aby vás nezaskočilo, že ten hardware přežije déle.
-
"Tak zrovna pri ILO"
Kdybys tomu rozumel, pouzivas http ... to je prece mnohem bezpecnejsi a zadnej browser proti tomu neprotestuje.
Vsak uz ted znam osobne 10+bfu, kteri pouzivaji stary browser, jednoduse proto, ze s tim aktualnim se na nejakou z tech domacich krabek nedostanou. A naprosto klidne z nej lezou i na verejny web, protoze oni si to prece nerozbili, rozbil jim to ten ... t, co vyviji browser....
A maji zcela 100% pravdu.
Podotykam, ze set starych verzi ruznych browseru pouziva dnes kazdej admin, protoze se bez toho nedostane ani k administraci firemniho HW. A je to cim dal horsi.
-
DannyStříbrný podporovatel
Me teda prijde podstatne bezpecnejsi pouzivat aktualizovany prohlizec a v nem povolit legacy crypto algoritmy. Stejne tak jde nastavi treba i nova Java - to ze neco "nefunguje" je casto jen dusledek vychozich konfiguraci a nikoliv toho, ze by to nutne z kodu fakt zmizelo. Aneb i dnes opravdu neni problem se pripojit novym prohlizecem na vec, co umi jako svuj vrchol kryptograficke "slavy" algoritmy typu DHE-RSA-AES256-SHA nad TLS1.0 (zde se bavime o praktickem prikladu vraku z roku cca 2010). Ale chapu, je to "moc prace" se nad tim trochu vic zamyslet, procist si trosku dokumentaci a prizpusobit nastaveni mistnim podminkam. Ale admin, ktery ale tohle nezvladne by si radsi mel najit jinou praci.
-
Ty toho nechapes... sifrovaci algoritmy jsou jen nepatrna soucast vsech problemu. A ukaz mi, kde si v chromu/foxu bfu uzivatelsky neco takoveho zapne ... kdyz tam uz ani nejde nikde nastavit, aby se defaultne nenacitalo po spusteni nic a je na to treba instalovat addon ... lol.
A japa si uzivatel nastavi, ze vazne chce ignorovat to, ze ten certifikat je uz 20 let expirovanej. Jo ja vim, ma zahodit tu krabici (treba ovladani kotle) a za 100k si koupit novou. To aby ji za rok moh vymenovat znova.
-
DannyStříbrný podporovatel
Rec je ale o adminech, ne o radovych BFU. A admin by nemel mit problem s tim otevrit about:config... a pokud v tom kotli nejde ani vymenit certifikat, tak je tam neco hodne sakra spatne uz v jejim navrhu ;-) Pokud si takovej ausus kupujete, je to vas boj.
-
DannyStříbrný podporovatel
Zrovna v tomto se orientovat clovek muze treba podle toho, jestli vyrobce toho kotle poskytuje nejake aktualizace. Pokud prodava "smart" kotel a pritom nikde ani nejde stahnout zadny update software, tak by to melo byt varovani samo o sobe - tech problemu tam casem muze byt vic nez jen expirovany certifikat. A predstava, ze si BFU bude resit nejakou segmentaci sve domaci site a firewalling mezi segmenty je take tak trochu z kategorie sci-fi, ze? ;-)
-
"Zrovna v tomto se orientovat clovek muze treba podle toho, jestli vyrobce toho kotle poskytuje nejake aktualizace."
Tys nekdy vzivote provozoval byt jen zarovku? Kazdej totiz sni o tom, ze uprostred zimy se mu opatchuje kotel, a prestane topit. Vsak uzivatele Turise si to mohli vyzkouset hned nekolikrat ze?
Pokud se vubec tyhle veci patchujou, tak vyhradne v situaci, kdy neco vazne nefunguje vubec, nebo opravdu hodne spatne. A typicky si na to musis zavolat servis. Pricemz mas tak 50% ze ti rovnou vymenej celou elektroniku, protoze je to jednodussi nez neco nekde patchovat. Je to mesic, co mi takhle vymenovali kompletne krabku na tankovacce. A bylo to kvuli aktualizaci SW, ktery zapricinoval, ze to ve zhruba 30% pripadu odmitalo tankovat ...
-
DannyStříbrný podporovatel
No tak revize a cisteni kotle taky typicky nechcete delat v puli zimy, ze? ;-) Tak proc to nespojit s aktualizaci firmware, ty zarovko. Ze se stalo bezne na to kaslat neznamena, ze to je v poradku.
-
Protože při revizi nechcete riskovat, že něco rozbijete. Navíc se ta aktualizace taky nemusí projevit hned.
Od STKčka taky nečekáte, že vám aktualizují firmware v autě, že?
Vyvíjet firmware tak, aby byl podobně spolehlivý jako zbytek toho kotle, je šíleně drahé. A rozdíl nejspíš poznáte až dávno po tom, co toho poctivého výrobce převálcuje konkurence. -
DannyStříbrný podporovatel
STK neni servis. A cisteni kotle nemuzete prirovnat k STK, ale prave k navsteve autoservisu. A tam vam ten firmware aktualizuji. A nektera auta uz dnes zvladaji i OTA updaty. Samozrejme se nebavime o vasi ctvrtstoleti stare Felicii :-)
-
"A tam vam ten firmware aktualizuji."
Ne
V servisu aktualizuji SW auta pouze v pripade, ze to po nich chce vyrobce. Alternativne, pokud si to vyslovne (a na vlastni riziko) vyzada zakaznik.
Na dalku se neakualizuje SW auta, ale tak maximalne SW entertaimentu, ktery kdyz chcipne, tak to auto bude jezdit bez nej. A je tam vzdy s 30 vykricniky napsano, ze se prave to muze stat. Presne stejne jako u vsech ostatnich firmware ze? Biosy a dalsi komponenty kazdeho PC, ze?
-
Tesla je známá tím, že spoustu věcí dělá úplně jinak než tradiční automobilky. A taky díky tomu řeší (a majitelé tesel taky) trochu jiné problémy : https://www.reuters.com/legal/tesla-owners-sue-over-impact-software-update-ev-batteries-2023-05-12/
-
Tak jestli je to z důvodu, že dodatečně zjistili, že může baterie začít hořet, tak ať mi trochu kapacitu sníží. USA vlastníci aut od koncernu VW by mohli vyprávět (taky se jim snížil výkon, aby dodatečně splňovaly limity). Vlastně vlastníci aut koncernu VW by byly rádi, kdyby updaty už konečně fungovaly vzdáleně.
-
Vlastnikum aut VW v US byla (narozdil od tech v EU) nabidnuta 100% cenova vratka, bez ohledu na stari/najete km. Spousta z nich to samozrejme vyuzila, protoze jen blazen by nevymenil klidne i jen 1/2 roku stare auto za nove.
Kazdy je urcite povine nadsen z toho, ze si koupil kubikovou nadrz, do ktere se po aktualizaci vejde jen 500l ...
-
Snížení výkonu motoru a zmenšení kapacity baterie bylo daleko k polovině. A ano, jistě, proč nevyužít nabízené možnosti. Tady v EU dýcháme pěkný sračky kvůli VW a pravidlům, které v EU prolobovali. Např. https://twitter.com/diagon_swarm/status/1692614214588731609
-
DannyStříbrný podporovatel
BFU na nejake iLO nepoleze :-) A ze admin svou praci nedela poradne je jinej pribeh. Aneb mozna byste si mel namisto vykecavani na rootu jit vymenit certifikaty... :P
-
BFU si chce nastavit ten kotel, chce si otevrit garaz, rozsvitit si ve sklepe, zkontrovat kameru ... a na to vsechno ma doma i desitky vsemoznych krabek, ktere typicky maji nejake http(s) rozhrani, ktere ovsem typicky umi tak maximalne 3des, a vymena certifikatu obtasi obrad krvave magie za uplnku a lidskou obet.
Proc by to mel delat?
-
Jan HrachStříbrný podporovatelJá jsem na tyhle věci vždycky lezl tak, že jsem si udělal SSH tunel do cílové sítě (byla tam síť jen pro ten management a nešlo se tam dostat zvenku -- což je potřebné vzhledem k děravosti managementů). Takže teď už jenom sehnat prohlížeč, co nedělá Zagorku a prostě se připojí a transport pod tím považuje za bezpečný z definice…
-
Jan HrachStříbrný podporovatel
> Pomůže, protože chyba o neplatném certifikátu vyskočí na uživatele/admina tak i tak, a je jedno jestli kvůli tomu, že je self signed, nebo podepsaný propadlou autoritou.
V článku se nepíše o propadlé autoritě, ale o tom, že certifikát podepsaný CA (nevím jestli i self-signed) platný déle než 825 dní způsobí, že se Safari odmítne připojit a neexistuje žádné tlačítko „přesto mě tam pusť“ (což je fakt bizár, zatímco když TLS úplně stripnu, tak to funguje :)). To už je fakt na to aby si člověk dal před prohlížeč nějaký rozumnější TLS frontend a provozoval to tak… A pak řešil různé přepisování URL a websockety, předpokládám :(.
(ano, píšu v podstatě totéž, co Danny, ale předpokládám, že po posledních diskuzích Dannyho mnoho lidí ignoruje/blokuje, tak to píšu i já :)
-
ono je to vlastně dobře, přistupovat přímo v prohlížeči k těmhle prvkům nikdy nebylo správné. Aspoň se občas nad tím někde zamyslí a udělá k tomu bránu/proxy a certifikát na zařízení použije jen pro autorizaci daného zařízení, platnost je na něm.
Zrovna iLO a další věci se dají dobře automatizovat a nahrazovat certy přes ssh, i to tak děláme s pravidelným rotováním.
-
Jan HrachStříbrný podporovatel
> Aspoň se občas nad tím někde zamyslí a udělá k tomu bránu/proxy
Proč bych dělal nějakou aplikační bránu/proxy (kterou stejně nechci vystrkávat do internetu, takže se _na ni_ musím nějak soukromě dostat - SSH tunel, VPN), když si můžu udělat SSH tunel/VPN rovnou ústící na to zařízení?
Mimochodem při použití sshuttle to celé funguje i pro transparentní přesměrování provozu virtuálu - takže se takhle dají adminovat i věci co vyžadují Internet Explorer na starých Windows, která mám ve virtuálu.
21. 8. 2023, 19:20 editováno autorem komentáře
-
iLo umí vpn nebo ssh tunelování? To jsem si ještě nevšiml... Stejně potřebuješ nějakou bránu, kde ti bude viset ta vpn.
Jeden z hlavních důvodů pro proxy je čím složitější podpora různých ssl verzí u těhle krabic, nezřídka kdy máme ještě podporavané zařízení, které má sotva ssl 1.0 a tohle prostě nechceš pouštět ani do interní sítě, natož do internetu. Stejně tak nechceš tyhle zařízení vystavit přímému dotyku pracovních stanic, protože víme, jak často jsou cílem útoků a v jaké jsou kondici.
Proxy s SSO, která ten provoz monitoruje, audituje začíná být takový must have.
Je taky rozdíl, jestli se bavíme o domácím labu, firemých serverech nebo farmě serverů v korporátu. Doma si to asi řeš jak chceš, tvoje odpovědnost. Ve firmě bych ale rozhodně nedoporučoval pouštět iLo a podobné mngm konzole volně do interní sítě
