Let's Encrypt bude od ledna 2018 vydávat wildcard certifikáty (diskuse)

[alfonz]

Nejsem si úplně jistý, zda je to dobrý. Už jsem narazil na plno stránek, které díky zelenému klíčku snažily tvářit naprosto seriózně, ale opak byl pravdou. Všechny měly certifikát od Let's Encrypt. Tohle asi není úplně ta nejlepší cesta jakou bych si představoval.

[Ján Dráb]

Obyčajný Let's Encrypt ale nezaručuje "serióznosť", môže len garantovať, že komunikuješ len so serverom, ktorý pre túto doménu má platný certifikát a že spojenie je šifrované. Ak chceš naozaj serióznosť na to tu je EV SSL certifikát,nie?

[R]

Uplne seriozne sa moze tvarit lubovolna stranka - ak nechces let's encrypt, tak za par dolarov su platene certifikaty...

[Peter Golis]

Tvoje dohady si si potvrdil sám. Certifikačná autorita čo vydáva certifikáty každému zdarma, bez limitov a obmedzení je vhodná len aby zvýšila pocit serióznosti neserióznym stránkam.

[bigBRAMBOR]

ja myslel, ze serioznost stranky nema s domenou nic společného a letsencrypt pouze potvrzuje, ze cerfikát pro doménu byl vydán tomu kdo doménu nějakým zpusobem spravuje.

Naopak díky LE se šifrování tlačí i tam kde se na to prdělo a to je pro bezpečnost jenom dobře.

připomíná mi to člověka co mi tvrdil, že ze cert vydaný moji autoritou (pro moje interní potřeby) je uplne zbytečný a bezpečnost nijak neřesí, nějak nedokázal pochopit ze na šifrování to nemá vliv, a svoji CA věřím víc něž všem jiným. Nedávno tu někde proběhlo, že jakási, tuším čínská CA, na žádost o cert ze subdomény vydala cert pro doménu. Jestli takové placené CA mají zárukou serioznosti tak potěš koště.

[Peter Golis]

Užívateľov zaujíma len tá farbička pri adrese. Ak je zelená, tak je všetko v poriadku. Ak je červená, tak je to zlé. No, a Let's Encrypt to premaľováva na zeleno, takže tvrdí že napríklad predajca značkových hodiniek Lorex, tenisiek PLIMA a zázračných piluliek na chudnutie je tým pádom seriózny.

Z môjho pohľadu je ten Let's Encrypt rovnako zbytočná autorita ako každá iná samozvaná autorita. Nielen certifikačná. Ale páči sa mi ako tú autoritu obhajujú ľudia ktorí poznajú bezpečnosť len ako verejnú, rodinný podnik.

[JoHnY3]

Pro normalni lidi je stranka bez SSL stejne duveryhodna jako stranka s podporovanym certifikatem a zadnou duveru nebo neduveru to v nich nebudi. Pokud na ne browser neblika cervene, tak je jim to jedno.

[R]

Presne tak.

Najvacsia vyhoda Let's encrypt je v tom, ze umoznuje pouzit sifrovanie bez potreby platit nejakej "autorite" a bez toho, aby browser otravoval, pretoze certifikat je self-signed (nepouzitelne pre "normalnych" ludi).

[Jozef]

Nechcel som reagovat ale zlocinec ma peniaze na to aby si mohol kupit aj EV SSL cert. Co bude potom seriozne?? Priklad Banka si urcite bude kupovat ten naj certifikat a ten je nespochybnitelny. Ale tu ide vzdy o vlastnika domeny a aky obsah si da na stranku je jeho vec. Cize napisat ze som narazil na taku a taku stranku. Dovoluje to zakon?? Ak ano tak potom si davaj pozor kam klikas a kam ides. S tymto Letsencypt nema nic spolocne a ani ziadna CA. Ale pre bezne web stranky a pokial ich ma vlastnik pod kontrolou staci aj Letsencrypt. Obsah na stranke je vecou vlastnika domeny a pokial nebude osetrene zakonom co tam mozes mat za obsah je potom uplne jedno aky certifikat tam je. Najlacnejsi plateny RapidSSL overuju mailom. Je problem si mail zriadit ked vlastnim domenu?? K bezpecnosti tak tu by sa dalo debatovat ale len certifikat nestaci.

[Peter Golis]

Podvodníci nebudú investovať do platených certifikátov ak im tie certifikáty zdarma a bez overenia vydá certifikačná autorita. Zločinci nepotrebujú certifikáty.

Let's Encypt len uľahčuje ... ale čo sa budem opakovať.

PS: Je rozdiel medzi overenou a samozvanou certifikačnou autoritou.

[Jozef]

No nazvat ich samozvanou certifikacnou autoritoou tak to je silna kava. Maju sponzorov a velkych hracov https://letsencrypt.org/sponsors/. Cize ak povazujes priklad cisco, facebook atd za samozvancov tak sa nemame o com asi bavit.

[Peter Golis]

Keď mi nejaká spoločnosť prehlási: "Božie slovo je nespochybniteľné", a sama sa pasuje do pozície nespochybniteľného boha, tak ju považujem za samozvanú.

[smazáno]

Za tento stav ale nemuzou CA ale vyvojari browseru, ktery povazuji TOFU za dilo dablovo.

[rastos]

Užívateľov zaujíma len tá farbička pri adrese. Ak je zelená, tak je všetko v poriadku. Ak je červená, tak je to zlé.

Tam niekde treba začať. Roky to bolo laikom vtĺkané do hlavy, až sa to podarilo. Kto je na vine, ak úsilie prinesie svoje ovocie?

[finch]

>Užívateľov zaujíma len tá farbička pri adrese

pevne verím, že ste sa opýtali aspoň milióna vašich užívateľov, čo ich skutočne zaujíma.

[M.]

Pockej, ty nam tady rikas, ze by se nemely vydavat certifikaty zadarmo, protoze nekteri pocitacove negramotni uzivatele nevedi co to znamena, kdyz jim prohlizec rika, ze ten certifikat je ok?

[Peter Golis]

Ja vravím "bez overenia", ty pochopíš "zadarmo". Aj ty nosíš služobný opasok krížom cez hruď tak ako to nosil tvoj otec?

[xkucf03]

serioznost stranky nema s domenou nic společného a letsencrypt pouze potvrzuje, ze cerfikát pro doménu byl vydán tomu kdo doménu nějakým zpusobem spravuje

Jen je celkem vtipné, jak se před vznikem LetsEncrypt mnozí pohoršovali nad komerčními CA, které umožňovaly snadno získat DV certifikát… (tím nemyslím tebe konkrétně)

Jinak souhlas.

• DV = vlastník certifikátu je správcem dané domény, nic víc
• OV = DV + v certifikátu je navíc informace o fyzické identitě vlastníka (jméno, firma) a CA tuto informaci nějak ověřila
• EV = OV + CA tuto informaci důkladněji ověřila

Ani jedno z toho nevypovídá nic o serióznosti nebo poctivosti vlastníka certifikátu/domény. Pokud budu mít třeba českou firmu LoginPayPal s.r.o. a budu vlastnit doménu login-paypal.cz, tak bych měl dostat i ten EV certifikát.

Jestli jde o podvodný web, rhybaření atd., to by se nemělo řešit na úrovni CA – od toho jsou zase jiné mechanismy, např. varování v prohlížečích nebo vyhledávačích. Případně pak soud, který může rozhodnout, zda se někdo dopouští podvodu.

[Kate]

Jen je celkem vtipné, jak se před vznikem LetsEncrypt mnozí pohoršovali nad komerčními CA, které umožňovaly snadno získat DV certifikát…

A nejsou to prostě ti samí co se pohoršují nad LE? :)

[marvn]

Akoratze LE nevydava kazdemu bez omezeni. Schvalne je zkus pozadat o certifikat na www.google.cz a dej vedet, jaks dopad ;)

[Peter Golis]

Myslím že ti postačí PayPal. A daj vedieť ako si dopadol s platením cez ten clearinghouse.

[Mrkva]

Proc bych nemel mit moznost mit certifikat na domenu "paypalhorrorstories.com" kde bych shromazdoval neprijemne zkusenosti s touhle sluzbou? To, jestli muzu mit v domenovem jmenu "paypal", "google", nebo "linux", by snad mel v pripade nejakeho sporu rozhodnout soud a ne CA, ne?

[Peter Golis]

A k tomu doménu login-paypal.com kde budeš zhromažďovať užívateľské mená, heslá a skúsenosti s nimi.

[smazáno]

proc ne

[Kate]

Ano, klidně. To jako chceš po certifikační autoritě, aby zjišťovala jestli náááhodou nemáš doménu podobnou jako název nějakého jiného webu? Koukám že je volná doména mojebanka.cc, na tom by se perfektně prováděl phishing jedné naší banky. Žádná CA ovšem nemá ani kapacity, ani povinnost zjišťovat, které firmě v které zemi náleží obdobné jméno. Navíc jim nepřísluší vynášet nad tím jakékoliv soudy.

[biolog]

Certifikát je jako občanka - slouží k ověření kdo je kdo. Občanku neodebíráme ani těm největším grázlům, ze stejného důvodu se certifikáty dávají komukoliv u koho se podaří prokázat vlastnictví domény (DV - domain validated, nejčastější typ certifikátu i u placených autorit). Vůbec to není certifikát kvality.

[Peter Golis]

Problém je aj v tom, že certifikát ti na rozdiel od občianky vydá oveľa viacej subjektov. Dokázal by si zaplatiť za dopravný priestupok ak sa ti príslušník predstaví preukazom s nápisom Dopravná Polúcia?

[Conscript89]

Jo a za to muze ta tiskarna co vytiskla prukaz s napisem "Dopravná Polúcia". To dava naprosty smysl.

[Conscript89]

Coz mi pripomina doby kdy nebylo mozne vlastnit kopirku a veskere pouzivani existujicich legalnich kopirek bylo kontrolovano.

[Peter Golis]

Takže tie tisícky vydaných certifikátov používaných na phisting ...

[R]

phisting...to je nieco ako fisting?

[Ján Dráb]

Peter, buď ti stále uniká už toľkokrát opakovaná informácia, že platný ssl certifikát nepreukazuje tvoju dôverihosnosť, len vlastníctvo tej domény alebo to robíš preto, aby si si potvrdil platnosť svojho názoru a popieraš sám pred sebou známe fakty.

Veľmi rád by som videl, ako si niekto zaregistruje login-paypal.com s EV SSL certifikátom. Let's encrypt má svoju úlohu a robí ju dobre, dostať z webu plaintextové HTTP.

[Peter Golis]

Pravdepodobne ti uniká, že ja nehovorím o preukazovaní dôveryhodnosti pomocou ssl certifikátov. Ja hovorím o zakrývaní podvodných webov pomocou automaticky generovaných certifikátov kde na základe potvrdenia od samozvanej certifikačnej autority ti prehliadač potvrdí zeleným semafórikom že je všetko v najlepšom poriadku.

Ak chceš vidieť ako si niekto zaregistruje taký typ domény, tak si to kľudne prečítaj. Link máš v diskusii, aj s grafom koľko tisícok ich vydali každý mesiac. Teda, ak ti tento link náhodou neunikol.

[Kate]

Jenže ten zelený praporek prostě to že je vše v pořádku neznamená. To zas uniká tobě. Pro zvýšení bezpečnosti a povědomí na co se koukat je mnohem lepší co dělá třeba airbank u loginu na internetbanking.

[Peter Golis]

To neuniká mne. Hovoril som o bežnej populácii ktorú zaujíma len toľko, že zelené svetielko na semafóriku znamená "všetko je v poriadku".

A práve týmto je tento falošný pocit bezpečia nebezpečný.

[Kate]

Běžná populace se to učí špatně. Dovolím si tvrdit, že se drtivá většina ani nepodívá, jestli ten řádek není náhodou červený nebo bez zámečku. Jenže proto snad nebudeme měnit zásady přidělování certifikátů.

[xkucf03]

Příloha:

• airbank - prohlížeč.png (59574 bytů)

Co dělají? Já tam bohužel nic nevidím (viz příloha).

[Kate]

Příloha:

• Screenshot_20170708_111010.png (66785 bytů)

Vypnutý js?

[xkucf03]

Spíš User-Agent.

[Sid]

Stale dost dobre nechapem co ta vlastne zere? Kupit si certifikat pre domenu bola aj v casoch pred LE zalezitost zopar klikov. Cena zanedbatelna. Takze pre podvodnika nic co by ho nejako trapilo. Proste places na nespravnom hrobe. Tak ako si urcite % populacie kupi v teleshopingu blbost za xx eur tak urcite % sa necha oklamat na webe domenou aj keby tam bolo ukradnemvampeniaze-paypal.com.

[Peter Golis]

Ak to nechápeš, tak je to tvoj problém.

[Sid]

Zaujimave ze podobnu odpoved neaplikujes na seba. Lebo kazdy to chape len ty objavujes ameriku uz asi 20 prispevok.

[pavlix]

On je výjimečný.

[Peter Golis]

Najprv to vysvetlím, a potom prídeš ty s tým že to nechápeš. A potom tvrdíš že to každý chápe.

[R]

On je len obycajny troll.

[Peter Golis]

To je obdivuhodné tvrdenie od anonyma. Pozdravuj mamičku za to že ti tak dobre radí.

[Kate]

Obávám se, že to myslí vážně a je prostě jen pomalejší :/

[Peter Golis]

Máš pravdu. Baví ma robiť si srandu od miestnych pohrobkov policajného režimu čo tvrdia že Let's Encrypt a iné samozvané autority posilnia dôveryhodnosť akejkoľvek stránky tým že ukážu zelenú farbičku v prehliadači. A v inom vlákne odporučia nainštalovať si certifikačnú autoritu ministerstva vnútra ktorá to prekryje rovnakým spôsobom.

Certifikát bez overenia subjektu je len placebo. A nehať overenie na subjekt ktorý sa overením nezaoberá je také prehľadné. Asi ako učni starej školy ŠTB ktorá žiaľ stále smrdí v bývalých krajinách vzniknutých po rozpade ČSSR.

[Martin Mareš]

A nejsou ty vaše názory také poněkud samozvané?

Ale trochu vážněji: Jakýkoliv DV certifikát (ať už od Let's Encrypt nebo kohokoliv jiného) potvrzuje pouze to, že komunikujete s legitimním vlastníkem dané domény. Ať už je to kdokoliv či jeho pes. Pokud je protistrana podvodník, máte zaručeno, že bezpečně komunikujete s tímto konkrétním podvodníkem. Vůbec tedy nejde o důvěryhodnost, nýbrž o zabezpečení komunikace.

Existují i jiné druhy certifikátů (třeba EV), které se snaží potvrzovat i nějaký druh fyzické identity vlastníka. Těžko říci, o kolik víc důvěry v ně můžeme vkládat. Pokud mi například certifikát tvrdí, že patří firmě PayPal Inc. se sídlem na Cookových ostrovech, je to podvodník, nebo jenom firma PayPal formálně přesídlila do daňového ráje?

Souhlasím, že uživatelé mezi tím obvykle nerozlišují (a v horším případě si ani nevšimnou, jestli stránka vůbec používá HTTPS). Jenže to nevyřešíte prohlašováním certifikačních autorit za samozvané (nejsou tak nějak všechny, snad kromě China Telecomu? ;)), nýbrž trpělivým učením uživatelů. Před časem se lidé museli naučit zamykat své domy a neotvírat každému, kdo zaklepe; teď se holt musí naučit podobné zásady pro digitální svět.

[Kate]

O nějakém posílení důvěryhodnosti tu mluvíš jen ty. Ostatní se to snaží vysvětlit, že o ní vůbec nejde a nikdy nešlo. Certifikát bez ověření subjektu zaručuje, že provoz bude šifrovaný a že provozovatel služby je stejný, jako majitel domény. Nic víc, nic míň.

[Conscript89]

To nema smysl. Bylo mu to receno uz nekolikrat a stale tu vytrubuje svou "samozvanou" predstavu.

[R]

V tom pripade je to na psychiatra, urcite by sa tam nejaka diagnoza nasla...

[Peter Golis]

Dokázal by si tvoje tvrdenie aspoň raz v živote doložiť, a to bez urážky?

[Martin Mareš]

A nechcete raději reagovat na fakta?

[R]

Ano.

[Peter Golis]

Tak to teda dolož, a to bez urážky.

[Sten]

Občanku taky vydává víc subjektů. Jednu vydává Státní tiskárna cenin Praha, jinou Bundesdruckerei (v několika verzích), další Österreichische Staatsdruckerei, jiné DLRS Group, …

[pavlix]

To je ale partitioning (každý patříme k jinému úřadu) spíše jako u DNSSEC než konkurence jako u CA.

[lazywriter]

Certifikát není jako občanka. Tečka.

[michi141]

Ale možná jo. Dokazuje, že tvůj obličej patří k zalistovanýmu jménu a rodnýmu číslu, který ti někdo schválil. Ale to neznamená, že nakonec nejseš pěknej parchant.