mkcert, https na localhostu snadno a rychle (diskuse)

[Tomáš Marný]

Utilita zajímavá. Ale koknul jsem na zdojáky a marně přemýšlím, k čemu autor potřebuje přes 30 000 řádků kódu...

Je pravda, že většina toho je v adresáři vendor, takže tam zřejmě nakopíroval nějaké knihovny a nepsal to sám (BTW: v Go se nepoužívají sdílené knihovny?), ale i tak tam zbývá asi tisíc řádků v jazyce Go, které tvoří samotný program mkcert.

Takovéhle věci se snad běžně píšou v shellu, ze kterého se provolá třeba příkaz openssl a pak se něco někam nakopíruje nebo se zavolá jiný příkaz, ne? Odhadem by se takový skript měl vejít na jednu obrazovku. Na co těch tisíc řádků? Asi nejsem ten správný vývojář z Go týmu společnosti Google, když tomu nerozumím

[Josef Kufner]

Já na tohle používám skript, který má 53 řádků, ale zas pokud chceš udělat trochu robustní nástroj, který bude fungovat na různě nastavených strojích, bude řešit všelijaké obskurnější případy a bude konfigurovatelný, tak se na tisícovku dostaneš velmi snadno.

[pavele]

Kam se kopíruje klíč CA, když to potom funguje pro všechny prohlížeče?

Jak se to potom odstraňuje?

[Josef Kufner]

Jsou dvě možnosti. Buď si naimportuješ certifikát svojí autority do prohlížeče, nebo ho naimportuješ do systémového úložiště certifikátů (/etc/ssl/...). Druhá možnost zdůvěryhodní tvoje certifikáty ve všech programech, první jen v tom prohlížeči.

Pak už to je jen o přegenerování certifikátu (tj. dvě volání openssl) a reloadnutí HTTP serveru, když ti přibude další virtualhost v konfiguraci.

[pavele]

Also, unlike OpenSSL, it does the right thing by default, instead of forcing you to use a dozen flags and materialize a config file for each certificate. (That is, it uses Subject Alternative Names, instead of the 20-years-deprecated Common Name.)

Chtěl bych jen doplnit, že pokud se nepoužije při generování "Subject Alternative Names", tak není šance zobrazit "zelenou ikonku" v prohlížeči - webový prohlížeč to prostě "nezkousne".

Píši to jen proto, že drtivá většina návodů na tvorbu certifikátů s tímto nepočítá.

A taky se mi stalo, že ve Windows to Edge "neskousnul", pokud bylo v "Subject Alternative Names" localhost.

Škoda, že v linuxu není žádné GUI pro práci s certifikáty jako ve W10.

[Cert GUI]

Zkus raději psát do Google, než něco takového vypustíš do komentáře. Namátkou: EJBCA, XCA, OpneCA, TinyCA

Já na tohle používám skript, který má 53 řádků

Ten ale určitě nemá podporu emoji!

[m.]

No, jestli ti to prijde moc, tak jim posli patch.

[Cabrón]

> v Go se nepoužívají sdílené knihovny?

Není to už horká novinka (sdílené knihovny Go začal podporovat ve verzi 1.5, tj. druhá polovina 2015), ale pořád je adopce prakticky nulová, ABI stabilita mizerná, funkčnost není na všech platformách (i některé amd64 to zatím nemají).