abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 06:00 | Zajímavý software

OMG! Ubuntu! představuje emulátor terminálu Hyper (GitHub) postavený na webových technologiích (HTML, CSS a JavaScript). V diskusi k článku je zmíněn podobný emulátor terminálu Black Screen. Hyper i Black Screen používají framework Electron, stejně jako editor Atom nebo vývojové prostředí Visual Studio Code.

Ladislav Hagara | Komentářů: 10
dnes 06:00 | Zajímavý článek

I letos vychází řada ajťáckých adventních kalendářů. QEMU Advent Calendar 2016 přináší každý den nový obraz disku pro QEMU. Programátoři se mohou potrápit při řešení úloh z kalendáře Advent of Code 2016. Kalendáře Perl Advent Calendar 2016 a Perl 6 Advent Calendar přinášejí každý den zajímavé informace o programovacím jazyce Perl. Stranou nezůstává ani programovací jazyk Go.

Ladislav Hagara | Komentářů: 4
3.12. 16:24 | Nová verze

Byla vydána Mageia 5.1. Jedná se o první opravné vydání verze 5, jež vyšla v červnu loňského roku (zprávička). Uživatelům verze 5 nepřináší opravné vydání nic nového, samozřejmě pokud pravidelně aktualizují. Vydání obsahuje všechny aktualizace za posledního téměř půldruhého roku. Mageia 5.1 obsahuje LibreOffice 4.4.7, Linux 4.4.32, KDE4 4.14.5 nebo GNOME 3.14.3.

Ladislav Hagara | Komentářů: 10
3.12. 13:42 | Pozvánky

V Praze probíhá konference Internet a Technologie 16.2, volné pokračování jarní konference sdružení CZ.NIC. Konferenci lze sledovat online na YouTube. K dispozici je také archiv předchozích konferencí.

Ladislav Hagara | Komentářů: 0
2.12. 22:44 | Komunita

Joinup informuje, že Mnichov používá open source groupware Kolab. V srpnu byl dokončen dvouletý přechod na toto řešení. V provozu je asi 60 000 poštovních schránek. Nejenom Kolabu se věnoval Georg Greve ve své přednášce Open Source: the future for the European institutions (SlideShare) na konferenci DIGITEC 2016, jež proběhla v úterý 29. listopadu v Bruselu. Videozáznam přednášek z hlavního sálu je ke zhlédnutí na Livestreamu.

Ladislav Hagara | Komentářů: 25
2.12. 15:30 | Zajímavý projekt

Společnost Jolla oznámila v příspěvku Case study: Sailfish Watch na svém blogu, že naportovala Sailfish OS na chytré hodinky. Využila a inspirovala se otevřeným operačním systémem pro chytré hodinky AsteroidOS. Použita je knihovna libhybris. Ukázka ovládání hodinek na YouTube.

Ladislav Hagara | Komentářů: 8
2.12. 14:15 | Nová verze

Byla vydána verze 7.1.0 skriptovacího jazyka PHP používaného zejména k vývoji dynamických webových stránek. Jedná se o první stabilní verzi nejnovější větvě 7.1. Přehled novinek v dokumentaci. Podrobnosti v ChangeLogu. K dispozici je také příručka pro přechod z PHP 7.0.x na PHP 7.1.x.

Ladislav Hagara | Komentářů: 4
2.12. 12:55 | Nová verze

Google Chrome 55 byl prohlášen za stabilní. Nejnovější stabilní verze 55.0.2883.75 tohoto webového prohlížeče přináší řadu oprav a vylepšení (YouTube). Opraveno bylo také 36 bezpečnostních chyb. Mariusz Mlynski si například vydělal 22 500 dolarů za 3 nahlášené chyby (Universal XSS in Blink).

Ladislav Hagara | Komentářů: 4
2.12. 11:55 | Pozvánky

Máte rádi svobodný software a hardware nebo se o nich chcete něco dozvědět? Přijďte na 135. sraz spolku OpenAlt, který se bude konat ve čtvrtek 8. prosince od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Sraz bude tentokrát tématický. Bude retro! K vidění budou přístroje jako Psion 5mx nebo Palm Z22. Ze svobodného hardwaru pak Openmoko nebo čtečka WikiReader. Přijďte se i vy pochlubit svými legendami, nebo alespoň na pivo. Moderní hardware má vstup samozřejmě také povolen.

xkucf03 | Komentářů: 1
2.12. 00:10 | Nová verze

Byla vydána verze 3.2 svobodného systému pro detekci a prevenci průniků a monitorování bezpečnosti počítačových sítí Suricata. Z novinek lze zmínit například podporu protokolů DNP3 a CIP/ENIP, vylepšenou podporu TLS a samozřejmě také aktualizovanou dokumentaci.

Ladislav Hagara | Komentářů: 0
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 772 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: Celý certificate chain nebo jenom serverový SSL certifikát

6.6.2014 01:29 majales | skóre: 20 | blog: Majales
Celý certificate chain nebo jenom serverový SSL certifikát
Přečteno: 381×
Zdravím, řeším teď problém se připojením vzdálenho obsahu, který je servírovaný pomocí webového serveru s SSL certifikátem. SSL certifikát je nainstalovám v souladu s doporučeným postupem vydavatele - https://support.comodo.com/index.php?/Knowledgebase/Article/View/638/0/certificate-installation-java-based-web-servers-tomcat-using-keytool a přesto některé prohlížeče hlásí nedůvěryhodný certifikát. Typicky Firefox na nově instalovaném počítači s W7, ale většinou to funguje v Chrome či v IE. Podotýkám většinou. Tomcat servíruje pouze serverový certifikát s cestou kde je popsán root a intermediate certifikát. Validátory označují SSL certifikát jaki validní, bez chyb. A tak se ptám jaká je běžná praxe, či co se doporučuje... Měl by Tomcat servírovat celý cerificate chain, root certifikát, intermediate a serverový k tomu? To co podle mě dělá problémy je intermediate certifikát PositiveSSL CA 2 vydaný Commodo CA Limited. Root Certifikát je AddTrust External CA Root.

Odpovědi

6.6.2014 04:35 Michal
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Já obvykle posílám všechno - serverový + všechny intermediate + Root, i když se jedná o běžnou CA která je ve všech prohlížečích. Není to sice optimální z hlediska přenesených dat, ale zase z toho kouká nejmíň problémů na straně uživatele. Asi by se celkem bez následků nechal odebrat Root cert, protože je v prohlížečích, ale když už to posílám celé, tak celé.
6.6.2014 14:29 lertimir | skóre: 58 | blog: Par_slov
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Certifikát Root CA je zbytečný, protože pokud by jej prohližeč neměl, tak stejně je to nedůvěryhodný server, úplně steně jako když si udělám self-signed server.
6.6.2014 17:03 Filip Jirsák
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
To ale předpokládáte, že uživatel spoléhá na to, co má předinstalované v prohlížeči, a žádný jiný certifikát akceptovat nebude. Pravda je, že pokud už dojde na ověření certifikátu uživatelem, odbouchá pravděpodobně uživatel cokoli - přesto nechávám posílat i kořenový certifikát, protože od něj certifikační cesta začíná, a pokud bude uživatel něco ověřovat, právě u kořenového certifikátu má největší šanci.
6.6.2014 17:59 lertimir | skóre: 58 | blog: Par_slov
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Spíše to beru tak, že kořenové certifikáty bych měl ziskat nezávislou jinou cestou. Pro BFU to znamená, že bude věřit těm, které má předinstalované. Pokud jsem paranoidní, tak třeba zlikviduji všechny předinstalované, a nainstaluji si certifikáty kořenových CA, které si sám ověřím, a kterým věřím. V obou případech jsem ve stavu, kdy jsem získal certifikát kořenové CA jiným způsobem. I třeba posouzení řetězce z ssllabs pro daný server, při zaslaní certifikátu kořenové CA má lehké varování. Ale chápu že je to i v podstatě dost jedno. Pokud uživatel odbuší cokoliv tak ho stejně přítomnost nebo nepřítomnost kořene nezachrání. Pokud je paranoidní tak z certifikátů zjistí kdo byl kořenová CA a i když neměl přítomen kořenový certifikát tak si ho může opatřit nezávislou cestou.
6.6.2014 18:37 Sten
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
+1 Navíc ten kořenový certifikát mohl být kompromitovaný a původním vydavatelem odvolaný. Ale to z certificate chainu nezjistíte.
6.6.2014 18:50 Filip Jirsák
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Ano, ale které kořenové certifikáty získáte nezávislou cestou? Buď si někdy na začátku seženete všechny světové kořenové certifikáty a z nich si vyberete nějaké, které ověříte - to asi těžko. A nebo kořenový certifikát ověříte, až když ho potřebujete. Ověřit ho samozřejmě musíte jinou cestou, ale nejprve musíte vědět, který ten kořenový certifikát vlastně chcete ověřit. Jenom na základě podepsaného certifikátu se ten kořenový shání dost těžko.
6.6.2014 20:10 Sten
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Shání se těžko, pokud neumíte přečíst položku Issuer z certifikátu. Což pokud ověřujete certifikáty ručně, je docela fail.
6.6.2014 21:16 Filip Jirsák
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
V položce issuer je pouze jméno vydavatele. Takže ten název zkusíte vygooglovat a budete doufat, že ten kořenový certifikát někde na webu bude. A stejně se tak můžete dostat k několika kořenovým certifikátům, které mají stejné jméno, a budete muset ještě zjistit, který z nich je ten správný. Mně pořád připadá pohodlnější jen ověřit otisk certifikátu, než certifikát po všech čertech shánět a pak stejně ověřovat otisk.
7.6.2014 03:23 Sten
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Dost by mě zajímalo, jak ověřujete otisk certifikátu bez toho, abyste našel vydavatele. A jak ověřujete ten certifikát, když ani nevíte, o který jde.

Otisk certifikátu vydavatele je v X509v3 Authority Key Identifier (ve Firefoxu zobrazeno jako Certificate Authority Key Identifier).
7.6.2014 08:05 Filip Jirsák
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Raději kontroluju celý certifikát vydavatele, ne jen jeden otisk. Mimochodem, Chromium pod Linuxem otisk vydavatele nezobrazuje. Já ten certifikát ale stejně zobrazuju v programu pro práci s certifikáty, který mi zobrazí všechny položky a vypočítá otisky několika algoritmy.

Najít vydavatele a najít kořenový certifikát jsou dvě různé věci. Když nevím, o který certifikát jde, ověřuje se dost těžko. Právě proto jej raději posílám ze serveru také - pak je jasné, o který certifikát jde.

Mimochodem, nevíte, zda se dají ze serveru poslat dva řetězce certifikátů (vy byste poslal tři, já pět certifikátů)? Když pro klíčovou dvojici mezilehlého certifikátu existují dva různé certifikáty podepsané dvěma různými kořenovými certifikáty - že by certifikát serveru byl ověřen, pokud prohlížeč zná alespoň jeden z těch kořenových certifikátů.
6.6.2014 11:12 Sten
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Běžná praxe je posílat vše kromě rootu
6.6.2014 13:00 alkoholik | skóre: 35 | blog: Alkoholik
Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
Porad to same.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.