Názory k článku
Routery Turris mají rozbitou aktualizaci kvůli ukončení OCSP u Let's Encrypt (aktualizováno)

Proto ta záplava e-mailů od mých Turrisů v mailboxu...!
No, snad to brzy opraví.

strčil jsem do cesty http proxy s interním CA z vaultu, turris je spokojený, protože to má funkční OCSP. Také jsem si toho všiml hned večer a koukal na to chvilku, než mi došlo, že vývojáři prostě na tuhle změnu zapomněli.

To je asi možné řešení, ale já jich mám v provozu/správě několik, rozstrkaných po okolí. Trochu moc práce a málo času. ;-(

mám 4 kousky, tohle nebylo tolik práce, nebyl jsem si jistý, kdy to opraví a nechtěl jsem ráno při práci tohle řešit

Nápodobně, ráno 10 emailů.

Let's Encrypt to ukonceni podpory OCSP oznamil pred vice nez pul rokem.
Tohle se dost nepovedlo, protoze oprava se asi neobejde bez rucniho zasahu. To zamrzi u routeru s premiovou cenou, jehoz hlavni vyhodou proti levne konkurenci ma byt kvalitni softwarova podpora.

nebo vyměnit cert na https://repo.turris.cz, který OCSP podporuje. Koukám, že to pořád nemají vyřešené, zajímavé.

Myslím, že problém nebyl v času, ale v tom uvědomit si, že to bude mít takovéto důsledky. Zejména když lidé, kteří dělají validaci certifikátů při stažení aktualizace TurrisOS jsou pravděpodobně úplně jiní, než lidé, kteří řeší certifikáty pro web. Správci webu nejspíš informaci o zrušení OCSP u LE věděli, ale nevěděli, že to TurrisOS extra validuje. Vývojáři aktualizací TurrisOS zase vůbec nemuseli zaznamenat to zrušení OCSP u LE. Nebo možná používají nějakou knihovnu a ani si nemuseli být vědomi toho, knihovna takhle tvrdě vyžaduje OCSP i v případě, kdy není v certifikátu odkaz.

Ano, je nešťastné, že se to stalo. Naštěstí repo.turris.cz neobnovuje certifikáty na poslední chvíli, takže byl prostor udělat rollback a je ještě skoro měsíc na vyřešení problému. Ale vypnutí podpory OCSP v průběhu životnosti certifikátu autority je situace, která je k tomuto typu problémů náchylná. A bylo trochu zbytečné sýčkovat s tím, že to bude vyžadovat ruční zásah, když bylo velmi pravděpodobné, že bude stačit dát na server důvěryhodný certifikát s OCSP – i kdyby to znamenalo jednorázově certifikát koupit.

Mate pravdu, s tim pesimistickym ocekavanim jsem se unahlil.

Takže - vypnout emailové notifikace a vyčkávat?

Ve zprávičce je napsáno, že už je to opravené, je třeba číst až do konce.

Pre to sa v soerioznych veciach nespoliham na lets Encrypt, ktory neganarntuje nic a tancuje ako Google kaze.

Komerční certifikáty budou následovat.

Certifikační autority (CA) byly dříve organizací CA/Browser Forum povinny poskytovat službu OCSP, ale tento požadavek byl v srpnu 2023 zrušen a místo toho byly opět vyžadovány seznamy CRL.

a kdože něco garantuje? Zrovna OCSP se bude postupně asi rušit všude, je to slepá větev a v případě krátkých platností dává menší a menší smysl.

LE změnu ohlásil půl roku dopředu.

Google?! On u toho nebyl, hlasovali pro to všichni a google není členem cabu, proč myslíš, že za může právě on?

Je to tak, OCSP budou opouštět všichni. Google ale samozřejmě je členem CA/Browser fóra.

pardon, popletl se to, google tam samozřejmě je, ale mám dojem, že v tomhle případě nebyl a nehlasoval o tom.

Máte nějaký příklad toho, v čem Let's Encrypt tancuje jak Google káže?