Let's encrypt za 10 minut pro hotentoty (diskuse)

[Josef Kufner]

apt-get install letsencrypt

A není potřeba shazovat server. Ještě jednodušší je nastavit, aby /.well-known na všech virtualhostech šlo do adresáře .well-known v defaultním webroot webserveru a na tento webroot pak poslat letsencrypt. Nevyžaduje to žádnou interakci s webserverem a můžeš to spouštět z cronu co pár týdnů. Letsencrypt si tam vytvoří soubor v podadresáři acme-challenge, server autority to zkontroluje a je hotovo.

[Boris Dušek]

+1

[xvasek]

Já jsem to taky takto původně rozjel (po prvním získání certifikátu se --standalone), ale pak mi došlo, že pokud nastane problém a neobnoví se mi certifikáty, tak jsem v háji, protože http mám jenom permanent redirect na https a https v té chvíli nebude natolik funkční, aby mi dovolilo obnovit certifikáty. Při prošlém certifikátu od StartSSL opravdu Let's encrypt nefunguje - toto je ověřeno, je to tak dobře a je to vlastně důvod sepsání tohoto blogu. A pokud nebudou fungovat certifikáty, tak chci mít v té chvíli nějaké připravené řešení, jak si je ručně obnovit. Samozřejmě si můžu paralelně připravit script se --standalone, ale proč to dělat složitě, když to jde jednoduše.

To apt-get install letsencrypt samozřejmě beru jako lepší řešení než git, pokud je to ovšem v distribuci, u mě není.

[menphis]

-1. Dnes jsem generoval certifikat na webu s propadlym StartSSL certfikatem a generovani proslo, tak chyba bude asi nekde jinde ( Napr. konfigurace apache neumozni pristup do slozky /.well-known )

Spoustet skript na obnovu certifatu by jsi mel casteji nez jednou za dva mesice, protoze se muze stat, ze se z nejakeho duvodu nepodari certifikat vygenerovat a propadne ti. Na tohle varuje i dokumentace LE. Navic je mozne, ze LE bude v budoucnu vydavat certifikaty jeste s kratsi platnosti. Promin, ale tvuj blog muze nekomu zpusobit vic skody nez uzitku.

[xvasek]

A obnovoval jsi certifikát opravdu přes https s propadlým certifikátem, nebo přes paralelně běžící http?

...ale vždyť je to vlastně jedno. Tak mi jednou za dva měsíce ve čtyři v noci neběží asi deset sekund apache. Ty to vidíš jako problém, já ne, umím s tím žít.

Info o (ne)obnovení certifikátu ti přijde tak jako tak mailem z cronu, takže máš měsíc na to, abys v případě neúspechu podniknul nějakou akci.

Prakticky každá věc se dá udělat složitějším a o něco lepším způsobem. Místo /etc/passwd můžu mít LDAP server, místo PSK můžu použít RADIUS, místo ext4 můžu mít ZFS, místo shození web serveru na deset sekund při výměně certifikátu můžu změnit konfiguraci a udělat výjimu z redirectů a rewrite a server jenom reloadnout, místo spoléhání na info mail z cronu můžu udělat sofistikovaný systém, který najde certifikáty končící za X dní, pokusí se je obnovit a pokud se mu to Ykrát nepovede, začne řešit situaci eskalací na předem definovaný seznam e-mailů a založí ticket na jira / redmine... Když budu mít https serverů 50, určitě investuji hodinu a takové řešení najdu nebo vytvořím.

I přesto si ale myslím, že návody jak dělat věci nejjednodušším možným způsobem mají pořád smysl, já osobně hledám napřed takovéto.

(Stejně nakonec vznikne v rámci systemd nějaký letsencryptd, který poběží prostě pořád a bude si certifikáty i webservery hlídat v reálním čase. )

[Václav HFechs Švirga]

+1

[Nuphar]

Koukám, že to je i pro openSUSE, https://software.opensuse.org/package/letsencrypt Asi to budu muset někdy vyzkoušet.

[Boris Dušek]

Pro výměnu SSL klíče je potřeba apache shodit tak jako tak (opravdu, drží si jej v paměti, změna souboru nestačí)

mě vždy stačil "reload", tedy service apache2 reload (na apache 2.2.22).

Ještě nepamatuju si, jestli to po mě chtělo i při druhém a dalším spuštění, ale při prvním určitě a proto používám argument --agree-tos na souhlas s podmínkami služby, aby se to neptalo.

Taky je možné použít skript letsencrypt-renewer, který projede všechny získané certifikáty a obnoví ty, které mají 30 dní do vypršení (použije identické argumenty, jako při prvním vystavení certifikátu, zaznamenává si je totiž do souboru).

Nakonec je potřeba si dát pozor, že v současné době je na jednu registrovanou doménu možné registrovat maximálně 5 certifikátů za posledních 7 dní (i když tyto limity mají kvůli rozjezdu a budou je postupně zvedat). Registrovaná doména je to, co si člověk registruje u registrátora (takže ne její subdomény), a do limitu pro jednu registrovanou doménu se počítá jakýkoliv certifikát, kde je použita daná registrovaná doména (ať už přímo, nebo jako subdoména). Takže pozor při experimentování s obnovováním (aneb hádejte, co se mi před 2 týdny stalo ). Pro experimentování lze použít testovací server vydávající neplatné certifikáty, který ale nemá prakticky žádné limity jako ten uvedený výše (parametr --test-cert).

[Boris Dušek]

Ještě doporučuju makro, které jsem si pro letsencrypt udělal (apt-get install libapache2-mod-macro; a2enmod macro, pokud je to Apache starší než 2.4):

<Macro LetsEncrypt $host>

SSLEngine On

SSLCertificateFile /etc/letsencrypt/live/$host/cert.pem

SSLCertificateKeyFile /etc/letsencrypt/live/$host/privkey.pem

SSLCertificateChainFile /etc/letsencrypt/live/$host/chain.pem

</Macro>

Dá se to dát např. do /etc/apache2/letsencrypt.local.conf

Pak už ve virtuálním hostu stačí jen: Use LetsEncrypt muj.server.cz

[Boris Dušek]

/etc/apache2/letsencrypt.local.conf

Vypadlo mi: /etc/apache2/conf.d/letsencrypt.local.conf

[xvasek]

Pěkné pěkné. Až jich tam budu mít kutu, tak to použiju.

[Heron]

SSLProtocol all -SSLv2
SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM

SSLv3 a RC4 nebrat!

Pokud chcete uspokojivé bezpečné nastavení pro většinu klientů, lze se řídit doporučením Mozilly: https://mozilla.github.io/server-side-tls/ssl-config-generator/

[xvasek]

Díky, opraveno v blogu i na serveru. Cítím se hned bezpečněji.

[Heron]

Supr

[alkoholik]

Nauc se pouzivat OCSP Stapling.
Normalni autorita ve chvili vydani noveho certifikatu revokuje stary a nacachovany staple na web serveru umozni staremu certifikatu, aby se jeste tu chvilku, nez ho vymenis, tvaril jako platny.

[xvasek]

Na to mám moc starou verzi apache. Samozřejmě beru, že existuje hodně metod, jak to celé vypiplat k mnohem větší dokonalosti a taky beru, že uvedený postup je blbý pro hodně zatížené weby. Toto je quick and dirty jednoduchá cesta pro server, kam chodí pár desítek / stovek lidí, prostě takové to domácí žvýkání.

[Josef Kufner]

Pokud vím, LetsEncrypt staré certifikáty nerevokuje. Ono stejnak moc dlouho neplatí, tak je to jedno a jen by to překáželo.

[limit_false]

LetEncrypt šlo cestou Revocation Doesn't Work, což si myslím, že je správné spolu s omezením platnosti certifikátu. OCSP ani Multi OCSP nebudou fungovat. Nikdo se ani nepokoušel RFC 6961 implementovat.

Heh, si vzpomínám jak jsem před 10 lety na zkoušce divil vůbec, jak by revokace mohla prakticky spolehlivě fungovat

No nefunguje v žádném protokolu, TLS, PGP ani jiném.

[alkoholik]

Ono to mozna bylo jedno az do Heartbleedu.

[:::]

> Let's encrypt za 10 minut...

Neco me to pripomina


Moe: The deep fryer's here. I got it used from the Navy. You could flash fry a buffalo in forty seconds.

Homer: Forty seconds? But I want it now!

[biolog]

To chcete říct, že 10 minut je zanedbatelný množství času? Je to velké zlepšení, vskutku. Ale 10 minut strávit operací, která je v principu ekvivalentní zaškrtnutí checkboxu "Nabízet HTTPS jako všichni", je stále práce hodně.

[:::]

To chcete říct, že 10 minut je zanedbatelný množství času?

nene, neni. Asi to bude znit blbe, ale ja v tomhle ohledu casto uvazuju stejne jako Homer