Názory k článku
Platnost TLS certifikátů bude v roce 2029 omezena na 47 dní

Doufám, že ty certifikáty taky zlevní (není vše od LE).
A určitě to byde znamenat dost podstatný zásah do (našich) korporátních procesů, protože aktuálně je obnova externího certifikátu akce na 4 týdny (požádat, nechat schválit obchoďákem, distribuovat na protistranu a vyměnit - to vše ukončit minimálně 10 dní před koncem platnosti) a navíc probíhá po fázích testovací - produkční prostředí.
A nesmí probíhat automaticky, protože:
a) stojí to peníze a nikdo ve firmě nedovolí, aby těch pár dolarů potvrzoval nějaký automat,
b) interní systémy, na kterých to probíhá, nemají přístup k internetu,
c) infrastruktura není zvenku dostupná pro běžné ověřování.
Ona není každá HTTPS komunikace pouhou webovou stránkou...

Čekal bych, že se rozdělí to objednávání a obnovování - zaplatíte na delší období, ale obnova může být automaticky bez dalších peněz, takže první argument padne.

Už jsem to někde viděl i teď (tři roky zaplaceno, a obnovuj po roce).

A jinak znám taky pár firem (... a úřadů) kde to bude nejspíš zábava.

Ten argument nepadne. Mas spousty systemu kde to znamena restart, a ten se da naplanovat jednou rocne, ale ne co tyden.

Stejne tak tem systemum nikdo nikdy neumozni se pripojovat kamkoli ven.

Vymena certifikatu na nekterych vecech vypada spis jako trojitej bajpas ... takze to ani nijak automaticky delat nejde, protoze musis nasledne overit 158 veci ze kterych se kazda jedna muze podelat.

A cena je za vydani/obnoveni ... takze kdyz to bude treba delat casto, tak ta cena se Xnasobne zvysi.

Takze dycky v patek vypnem ty uzasny statni pasystemy ... aby se do pondelka stihly povymenovat certifikaty ...

No nejde neexistuje :)

Ted vazne, stejne az bude paltnost jeste nizsi treba 14 dni nebo 6 atp. Tak o vyresit budes muset. Ted je mozna cas to otevrit a nastavit ty procesy zavcasu nez pak becet....

ad b) přístup k internetu přece není potřeba ani pro Le - můžete ověřovat pomocí DNS
ad c) je vlastně totéž
Ona není každá HTTPS komunikace pouhou webovou stránkou...
Ne, ale jakmile jednou mám obnovený certifikát, tak to snad jde nasadit automaticky (aspoň se vyhnete lidským chybám = opomenutí některého kroku ručního postupu).
Ale těch 47 dní mi přijde už dost šílené, pokud by se ACME mechanismy obnovovalo už v půlce platnosti - a když obnovíte příliš pozdě, může vás vypéct nějaký problém, který nestačíte vyřešit.
Asi se s tím korporáty budou muset popasovat. A nebo taky ne, při jakési nesrovnalosti u e-mailu u Ericssonu, když jsme zjistili, kde je ten problém (u nich), tak odpověděli, že je to nezajímá, oni jsou Ericsson a my se máme přizpůsobit.
Vždycky je ještě možnost pro interní firemní věci mít vlastní CA a kdo to potřebuje používat, má tuto CA v seznamu důvěryhodných na svém stroji.

Zapsat něco do DNS je poměrně procesně náročný proces, navíc tam spoustu věcí ani zapisovat nesmíme, aby to náhodou něco neprozradilo o architektuře a funkčnosti interních systémů. Sice je to tak trochu security through obscurity, ale tak to prostě chodí.

U většiny těch certifikátů je nutná nějaká ruční práce, protože se nasazují poměrně hluboko v interních systémech, které nejsou na automatizaci právě stavěné - a především nejsou stavěné na příliš časté zásahy, zvlášť, pokud to je spojené s restarty či přerušením komunikace.
A zhruba polovina jde de-facto k dodavateli, což je další korporátní firma...

Vlastní CA infrastrukturu používáme na ty stovky certifikátů pro komunikační kanály, které vůbec nejdou mimo interní sítě.
Ale jak přibývá různých externích služeb (cloudy, AI...) a po internetu komunikujících zařízení, přibývá i těch externích certifikátů.

Zápis do DNS je samozřejmě možné také automatizovat, dokonce na to má protokol DNS standardizovaný opcode UPDATE, kterým je možné do zóny na dálku vkládat změny. Obvyklé nástroje pro ACME s tím počítají a umí to použít.

Rovnou zmíním, že samozřejmě není nutné automatům dávat práva k editaci celé zóny a všech jejich záznamů, ale je možné vybrat jen zvolené záznamy. Autorita hledá záznamy v subdoméně _acme-challenge. Psali jsme i o nástrojích, které slouží ke získání certifikátů přes DNS.

Netvrdím, že to nejde, jen, že je to procesně náročné.
Dostat do DNS nějaký záznam je u nás na několik týdnů (na několik dní, pokud na to je předschválený požadavek, který musí ale potvrdit dva lidé).
Jakákoliv automatizace tvrdě narazí na byrokracii.

Pořád tu z moha různých stran popisujete, že máte špatně nastavené procesy. Poněkud mi uniká, proč to tu tak košatě popisujete. Aby ostatní věděli, že někde mohou být špatně nastavené procesy? Myslím, že to ostatní vědí – a kdyby ne, stačilo to napsat v jednom komentáři? Abyste si postěžoval a ulevil si? To taky stačilo v jednom komentáři? Aby vám to někdo spravil? No to si musíte spravit sami – a to oznámení je takhle dopředu proto, abyste to věděli dostatečně dopředu, že už je nejvyšší čas to spravit.

Řekněme, že tajně doufám, že si to tu někdo z těch našich procesáků přečte, aby pochopil, že někdy je taky potřeba těm technickým záležitostem uhnout a ty procesy přizpůsobit, nikoliv jen naopak. ;-) Abychom pak nemuseli drobnou automatizaci dělat na tajňačku.
Ale hlavně se snažím upozornit, jak všechny tyhle IT záležitosti jsou ve vleku úplně jiných institucí a lidí: na jedné straně velké firmy, které se domluví na zkrácení platnosti certifikátů (protože to opravdu může zvýšit bezpečnost při prohlížení webů), a na druhé jiné velké firmy, které ty samé certifikáty používají pro zabezpečení jiného druhu komunikace, kde je to zkrácení spíše na škodu; a do toho vstupují korporátní procesy, kde o IT záležitostech rozhodují úředníci, kteří o tom příliš nevědí, a nechtějí vědět, protože jim management stanovil pravidlo: nesnažte se to pochopit, protože pak to nebudete řídit, ale necháte se tím ovlivnit.
Rok 2029 je zatraceně blízko - a mám vážnou obavu, že na tak radikální změny je ta doba prostě příliš krátká. Jednoduché nasazení ACME scriptu a pár zápisů do DNS totiž v mnoha případech stačit nebude...

Pokud Vám ty komentáře vadí, přeskakujte je. Já si rád přečtu odpovědi, které mne (nás) mohou nasměrovat. Myslím, že od toho tu ta diskuse je.
(Bagatelizace ve stylu: tak to prostě bude, nestěžuj si, co vrchnost činí, dobře činí..., ale moc nepomůže.)

No, to říká ten pravý, abychom šetřili počty komentářů.

Že to nuceně rozhýbe zkostnatělé korporáty a jejich mnohdy až nesmyslné procesy mi přijde pozitivní.

A vite, ze na svete jsou nejen korporaty? Korporaty na to maji aspon lidske a financni zdroje to nejak vyresit. Ale co male firmy?

Priklad:
pro HA haproxy, bezici v rezimu primary/secondary - tedy provoz je smerovan jen na jednu. Primarni proxy si klidne automatizuje certifikaty pres http-01 acme. Ale co sekundarni? A s dns-01 na me nechodte, na te proxy jsou treba projekty s domenou zakaznika, do tech dns pristup neni.

Takze musi vzniknout centralni bod, ktery bude resit http/dns varianty a jeste bude muset spoustet rekonfiguraci CELE infrastruktury, protoze nebude vedet, kde ten certifikat je nasazeny, napr. v pripade wildcardu, nebo daneho certifikatu v HA prostredi na vice mistech.

A to se musi nejen automatizovat aktualizace, ale musi se "automatizovat" i orchestracni nastroj.

15. 4. 2025, 08:53 editováno autorem komentáře

A je takový problém to "švenknout" na záložní a nechat si vystavit nový certifikát přes http-01 nebo prostě ten vystavený certifikát rozkopírovat?

Kdysi jsme s kamarádem zkoušeli roztlačit vagón. Šlo to překvapivě dobře...
...ale nebylo v lidských silách ho zase zastavit.

Taková prkotina korporátní procesy nerozhýbe - jen nabobtnají a zduří.

No, ještě skoro nedávno když člověk potřeboval, tak šel do lesa a nebo do kadibudky. Tak nějak se to všechno vyvíjí.
S certifikáty to bude obdobně.
Jinak myšlenka že by něco zlevnilo je nesmyslná!
Mzdy rostou úplně všude, a každá cena jakéhokoliv produktu se odvíjí od podobných ukazatelů.
Ale jinak si myslím, že se zavede automatizace na obnovu certifikátů.

Mám podobný problém. Obnova 4 TLS certifkátů. Nakonec to dopadne tak, že si vyrobíme vlastní CA a TLS cert s platností 10 let a bude po ptákách.

Jen aby vám ty 10 let platné certifikáty zkousnul web browser.

Dnešní prohlížeče už 10 let nezchroustají. I s vlastní CA se dostaneš nejvýše na dva roky.

Pristi rok budu menit root interni CA. Skutecne plati, ze treba 5y koncovy interni certifikat jiz nelze pouzit? Kde se to doctu?

Myslím, že se to zkrácení týká opravdu jen veřejných, důvěryhodných CA.
Alespoň jsem nikde nezaznamenal informaci, že by se to mělo týkat privátních.
Koneckonců i teď aktuální verze Chrome nebo Firefoxu běžně přistupují na servery, kde má jejich lokálně přidaný kořenový cert. od interní CA platnost např. 10 let.

Tohle podle mě pořád platí
https://chromium.googlesource.com/chromium/src/+/master/net/docs/certificate_lifetimes.md#upcoming:~:text=Does%20this%20apply,trusted%20by%20default.

Nicméně to neznamená, že si to jiný software nebo OS nemůže dál zkrátit.
Třeba Safari (ne macOS samotný) má své omezení na 825 dní (wtf?).
https://www.michalspacek.com/validity-period-of-https-certificates-issued-from-a-user-added-ca-is-essentially-2-years
https://www.gradenegger.eu/en/chrome-and-safari-limit-ssl-certificates-to-one-year-2020/

Browsery akceptuju certifikaty internej CA s max. lehotou platnosti 825 dni.

Kde sa to da docitat? Rozlicne roztrusene... napr. https://support.apple.com/en-us/103769.

Non-browser certifikaty mozu byt aj dlhsie, tam zalezi na aplikaciach, co akceptuju.

V takovém případě je možná jednodušší použít interní autoritu/ nechat si vystavit wildcard certifikát přes DNS nebo tak něco.

Má toto zkracování vůbec nějaký smysl, tedy kromě hujeřiny a umělého vyvolávání problémů? Vždy když vyrábím certifikát a zároveň mám možnost to ovlivnit, tak zvolím platnost v desítkách let, abych to "na tomto konkrétním místě už nikdy nemusel řešit znovu"

Si precti clanek od Krcmy, tam pcohopis proc je to dobre..
https://www.root.cz/clanky/certifikaty-pro-https-zkrati-postupne-do-roku-2029-svou-zivotnost-na-47-dni/

a nebo taky ne :D

No, jenže pracujeme-li s premisou napsaného v části "proč je to dobré", pak se dostáváme k tomu, že ani 47 dní patrně nebude konečná. Protože vlastník se může změnit hned druhý den, a tudíž má k dispozici 46 dní k útoku. Lze tudíž předpokládat, že ta doba se bude vytrvale zkracovat...

No vždyť ano. Kolem mě už neexistuje moc lidí, co to nemají automatizované.

To je stejné jako se vším: mnoho čtenářů Roota má dojem, že svět se skládá z adminů, co nemají na práci nic jiného, než řešit a vytvářet dokonalou infrastrukturu a každý to přece potřebuje a kdo ne, je divný, ničemu nerozumí a není to člověk. Mnoho vydavatelů certifikátů má dojem, že...

(U nadšených třeba dřevorubců to nejspíš bude podobné také. Jenže těch moc není a lesním dělníkům je to obvykle jedno.)

Spíš je zarážející, že nejvíce proti tomu vystupují lidé z velkých korporátů, které ale právě mají týmy adminů, kteří vytvářejí a udržují dokonalou infrastrukturu. Nakonec se ale v diskusi ukáže, že blokem jsou interní pravidla těch korporátů a také snaha neautomatizovat, aby ty adminy někdo nevyhodil. Problém tedy není v tom, že by na to nebyli lidi, ale problémem jsou ti lidé samotní.

Admini by (obvykle) rádi automatizovali, protože jsou povahy líné, a co mohou dělat stroje, nemusí dělat lidé. (A o vyhazování nerozhoduje, kolik toho děláte, ale jak to vykazujete.)
Jenže nad adminy bdí ještě inkousti, správci těch procesů, kteří si svou důležitost sebrat nenechají.

Já ty lidi vpodstatě chápu.

Oni totiž dobře ví, jak daleko od ideálu jejich infrastruktura je. Jira tady, redmine tam, interní systém s formulářema, tuhle žábu na prameni je potřeba prudit třikrát týdně přes teamsy, a tady je výjimka jako prase, protože tohle dělá dodavatel a ne interní IT. Schvaluje přímý nadřízený, šéf IT a vlastník stroje. Ti lidé vidí problémy, které CA-B forum ze své takřka slonovinové věže ne, a netěší se, až je budou muset řešit, protože oni budou ti, co "ty změny" z venku přitáhnou a oni budou muset bojovat s procesním/kva­litou/atd.

Interní IT se totiž dost často pohybuje mezi stavy "všechno funguje, tak za co vás platíme" a "nic nefunguje, tak za co vás platíme". A pro korpo šéfa je stokrát snazší říct "poraď si" než "změníme".

A že ti lidi chtějí práci, aby měli kde bydlet a co jíst taky jako velkou záhadu nevidím...

Neznam nikoho kdo by mel tak malo prace aby se branil automatizaci a bal se o praci. To mi prijde zcestna domnenka.
Ja uz to resim pragmaticky. Bud necham dojet az nastane pruser nebo mam-li moznost upozornim predem. A pockam az to dostanem k reseni. Protoze at to dopadne jakkoliv tak to dostanem.
V labu reseni za tyden po ziskani pristupu( coz muze byt dalsi tyden), pro dalsi branche za dva az tri mesice.
Schvaleni security a korporatu cca rok az dva. Protoze i securitaci se zodpovidaji auditum od hipaa, automotive, aerospace a mame tu i stranu zelenych trenyrek. Kazdy ma nejaky regulativ do ktereho je treba se vejit. A pak jeste upravit smlouvy se zakazniky atd.
Ani netusim jak se zmeni podminky pro nase Private CA kterou mame podepsanou jednou root CA. A ta se tez musi auditovat. Jsou to nejake 50k $ kazdy rok a to zrejme je bez auditu.

> Neznam nikoho kdo by mel tak malo prace aby se branil automatizaci a bal se o praci.

Upřímně, vzal jsem argument od p. Krčmáře a vůči tomu jsem postupoval - neřešil jsem, jestli je v souladu s realitou, ale řekl jsem si "a i kdyby". Výtky proti kořenu prosím směřovat výš :)

A i kdyby, dovedu si živě představit, jak nějaký šéf šéfa šéfa řekne "Franto, vy jste teď hodně automatizovali, od příštího kvartálu vám škrtám čtyři lidi. Dva dostane Lenka, má teď rozjetý projekty a ty druhý dva použijeme k zaplácnutí slabšího zisku."

Jestli se to skutečně děje? Nevím. Ale vůbec by mě to nepřekvapilo.

(leda že by to nebylo na mě, v tom případě klidně neschválit a nezveřejnit, když by to bylo zbytečné)

16. 4. 2025, 17:45 editováno autorem komentáře

Je to tak.

Už jsem si kolikrát říkal, jaké je štěstí, že Vás tu máme, a jak to umíte vrátit zpátky na zem.
Včas vysvětlíte, že normální člověk nepotřebuje nový počítač, rychlejší internet, IPv6 ani vlastně zvonek ke dveřím (tam jsem, přiznám se, sám chvíli váhal, ale teď už mi to také zapadá do konceptu dokonalé infrastruktury).

Kolega RRŠ pak zas mívá případné poznámky, které se týkají realizace. Už kdyby se pro nějakou nevyžádanou novinku nedejbože někdo nadchnul nebo mu přišla užitečná, tak je dobré si připomenout, proč to nejde (většinou protože se něco buď musí, nebo naopak nesmí a to je dané, případně už se to teď dělá jinak).

Jste pro mě v podstatě takové dva pevné body v nekonečném diskusním prostoru, které když se propojí, tak vytvoří osu racionality. A ta je potřeba nejen u dřevorubců či lesních dělníků.. I když těm je to vlastně spíš jedno.

Jestli normální člověk potřebuje zvonek ke dveřím netuším. My ho nikdy nikde neměli a zvonky ostatních opravdu neřeším. Takže jak si to interpretujete je na vás :-D

Ale jinak děkuji za shrnutí, přesně to si myslím a opravdu se tím netajím.

15. 4. 2025, 16:42 editováno autorem komentáře

Tady je špatně jedna podstatná věc - klade se rovnítko mezi certifikát a web. (Web je ta nejvíce viditelná a užívaná část.) Hele, ok, ať prohlížeče odmítají starší certifikáty jak 47 dní. Tam, díky expozici BFU to může dávat smysl, navíc je to asi ta nejsnazší část na automatizaci. Ale jinde, kde to není vystavené přímo uživatelům, ať jsou certifikáty delší...

Jinak to celé zavání takovým tím klasickým dobroserstvím.

Zkušenost z našeho korporátu a procesama. Pokud s procesem bojujete, nebojujte přímo / křivo přes strukturu - získejte své vedení a pokud potřebujete, tlačte je aby získali své vedení.

Oni procesy přizpůsobí, když to přijde ze shora a pokud je vaše vedení neochotné se za vás postavit, kdy to potřebujete - opusťte tu práci, dokud je čas.

Asi tak "Beyond my pay grade..." Jinymi slovy. Nejsem vyssi manazer. Upozornim na problem a proberu na porade taky ale odbavte si to pak sami nebot jste od toho placeni. Ja tu nejsem abych na nekoho aktivne tlacil nebo loboval.
Mou povinnosti je dat ty veci nejakym komunikacnim kanalem najevo a udelat souhrn, navrh reseni, pripadne zorganizovat lidi k technicke implementaci a pozvat projektaka aby to ridil. Jenomze nademnou je vertikalne nejakych 10 levelu ktere se se sebou musi domluvit horizontalne s jinymi odelenimi.