Progres směrem k 100% využívání HTTPS (diskuse)

[j]

Jooo, to bude parada ... az za 10, 15 let nebudou krabky umet http ... a zaroven budou 5+ let stary, takze se k nim nikdo nijak nepripoji, protoze idioti delajici browsery prohlasej, ze je to nebezpecny. A tak tu budeme mit miliardy neaktualizovanych a neadministovatelnych krabek.

[kralyk z abclinuxu]

Co takhle posunutí systémového času nazpět?

[aceman]

No to na serioznom systeme nie je velmi vhodne riesenie, lebo to rozhodi rozne programy.

Mozno tak kvoli administracii takeho zariadenia nabootovat nachvilu z live CD. Ale velmi komfortne to teda nie je.

[Jendа]

Pomůže to když si to bude stahovat aktuální CRL? (OK, stahování CRL jde vypnout… ale to šlo dřív HSTS taky…) Nebudou se proti tomu superinteligentní prohlížeče bránit tím, že nedovolí nastavit čas starší než jejich release date?

[j]

A jak ti to pomuze, kdyz algoritmus podpisu nebude browser proste akceptovat? Viz aktualni stav se spoustou krabek. Podle tech idiotu je zjevne daleko bezpecnejsi (protoze to browseru neva) posilat hesla pres http.

[R]

Aspon Firefox ma whitelist pre taketo pripady (a nepouziva openssl), v Jave sa to da povolit. Dufam, ze tieto moznosti nejake hovado neodstrani. Uz dnes je problem napr. s DRAC4.

[Cabrón]

Ono je to pěkně na hovno už dneska s IoT krabičkama. Mikro implementace HTTP+TCP/IP (např. v ESP8266 a různých Ethernet shieldech) nemají prostor pro implementaci openssl a čím dál víc služeb (s webovou API) tak přestává fungovat kvůli nuceným přesměrováním na https, takže meteo staničky najednou nedosáhnou na JSON API, ze které tekly předpovědi počasí.

[the.max]

škoda, že certifikát je platný jen krátkou dobu a musí se obnovovat. Utilitu na automatické prodloužení sice mají, ale ne na všech distribucích a některých složitějších konfiguracích je použitelný. Druhý nedostatek je, že nelze použít certifikáty třeba i pro postfix/dovecot/etc... ale jinak je to fajn.

[R]

Ta utilita (certbot) je dost zabugovana, nahodne mi to pri automatickej obnove hadze nejake errory. Po poslednom upgrade v jessie-backports to prestalo fungovat, pretoze to je zle zabalene (chyba nejaka zavislost).

Certifikaty sa daju pouzit aj pre Postfix alebo Dovecot. Akurat sa to musi nastavit rucne.

[Roger]

Balik certbot v jessie-backports byl rozbity nekolikrat - ted uz to zase funguje, oni to natesti celkem ochotne opravuji. Ale na muj vkus se to rozbiji docela casto...

[R]

Ano, teraz tu zavislost opravili...

[Jendа]

Ten jejich defaultní klient je strašný. Používám https://github.com/diafygi/acme-tiny.