abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

    dnes 13:55 | Komunita

    Na itch.io probíhá Linux Game Jam 2023. Zapojit se a přihlásit hru běžící na Linuxu lze do 6. června do 01:59. Zahrát si lze hry z loňského ročníku.

    Ladislav Hagara | Komentářů: 0
    včera 18:55 | IT novinky

    Na Steamu lze získat zdarma počítačové hry Warhammer 40,000: Gladius - Relics of War a Hue. Na Epic Games Storu počítačovou hru Fallout: New Vegas - Ultimate Edition.

    Ladislav Hagara | Komentářů: 8
    26.5. 08:00 | Komunita

    WordPress (Wikipedie), open source systém pro správu webového obsahu (CMS), zítra slaví 20 let. První verze byla vydána 27. května 2003.

    Ladislav Hagara | Komentářů: 19
    25.5. 21:44 | Nová verze

    Deno (Wikipedie), běhové prostředí (runtime) pro JavaScript, TypeScript a WebAssembly, bylo vydáno ve verzi 1.34. Přehled novinek v poznámkách k vydání. Od verze 1.6 lze pomocí "deno compile" sestavit ze zdrojových kódů binární spustitelný soubor. Nově "deno compile" podporuje také npm balíčky.

    Ladislav Hagara | Komentářů: 6
    25.5. 20:22 | Komunita

    Aktuálně posledním 14. open source filmem od Blender Studia je CHARGE (YouTube). Dokončuje se 15. film Pet Projects. Začíná se pracovat na 16. filmu s pracovním názvem Project Gold.

    Ladislav Hagara | Komentářů: 6
    25.5. 13:33 | Komunita

    Thunderbird má nové logo.

    Ladislav Hagara | Komentářů: 30
    24.5. 21:44 | Komunita

    Není zcela jednoduché rozchodit v Linuxu kameru IPU6 umístěnou v noteboocích Dell Latitude 9420, Lenovo ThinkPad X1 Carbon Gen 10, Lenovo ThinkPad X1 Nano Gen 2, Lenovo ThinkPad X1 Yoga Gen 7 a dalších. Ve Fedora Linuxu je to teď snadnější. Hans de Goede informuje o podpoře kamery IPU6 ve Fedora Linuxu pomocí balíčků umístěných na RPM Fusion.

    Ladislav Hagara | Komentářů: 24
    24.5. 17:33 | IT novinky

    Společnost AMD na YouTube představila a oznámila prodej grafické karty Radeon RX 7600. Cena začíná na 269 dolarech.

    Ladislav Hagara | Komentářů: 0
    24.5. 12:11 | Nová verze

    Podman Desktop dospěl do verze 1.0. Jedná se o grafickou nadstavbu nad nástrojem Podman, jenž umožňuje vytvářet a provozovat kontejnery, aniž by uživatel potřeboval práva roota.

    Ladislav Hagara | Komentářů: 0
    24.5. 11:33 | IT novinky

    V květnu 2020 Facebook oznámil, že kupuje Giphy s animovanými gify za 400 milionů dolarů. V říjnu 2022 britský Úřad pro hospodářskou soutěž a trhy (CMA) nařídil společnosti Meta (Facebook) službu Giphy prodat. Stalo se tak včera. Za 53 milionů dolarů ji koupil Shutterstock.

    Ladislav Hagara | Komentářů: 10
    Obnovovací frekvenci obrazovky (LCD) preferuji
     (71%)
     (22%)
     (4%)
     (2%)
    Celkem 701 hlasů
     Komentářů: 13, poslední 25.5. 07:25
    Rozcestník

    Dotaz: Celý certificate chain nebo jenom serverový SSL certifikát

    6.6.2014 01:29 majales | skóre: 29 | blog: Majales
    Celý certificate chain nebo jenom serverový SSL certifikát
    Přečteno: 585×
    Zdravím, řeším teď problém se připojením vzdálenho obsahu, který je servírovaný pomocí webového serveru s SSL certifikátem. SSL certifikát je nainstalovám v souladu s doporučeným postupem vydavatele - https://support.comodo.com/index.php?/Knowledgebase/Article/View/638/0/certificate-installation-java-based-web-servers-tomcat-using-keytool a přesto některé prohlížeče hlásí nedůvěryhodný certifikát. Typicky Firefox na nově instalovaném počítači s W7, ale většinou to funguje v Chrome či v IE. Podotýkám většinou. Tomcat servíruje pouze serverový certifikát s cestou kde je popsán root a intermediate certifikát. Validátory označují SSL certifikát jaki validní, bez chyb. A tak se ptám jaká je běžná praxe, či co se doporučuje... Měl by Tomcat servírovat celý cerificate chain, root certifikát, intermediate a serverový k tomu? To co podle mě dělá problémy je intermediate certifikát PositiveSSL CA 2 vydaný Commodo CA Limited. Root Certifikát je AddTrust External CA Root.

    Odpovědi

    6.6.2014 04:35 Michal
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Já obvykle posílám všechno - serverový + všechny intermediate + Root, i když se jedná o běžnou CA která je ve všech prohlížečích. Není to sice optimální z hlediska přenesených dat, ale zase z toho kouká nejmíň problémů na straně uživatele. Asi by se celkem bez následků nechal odebrat Root cert, protože je v prohlížečích, ale když už to posílám celé, tak celé.
    6.6.2014 14:29 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Certifikát Root CA je zbytečný, protože pokud by jej prohližeč neměl, tak stejně je to nedůvěryhodný server, úplně steně jako když si udělám self-signed server.
    6.6.2014 17:03 Filip Jirsák
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    To ale předpokládáte, že uživatel spoléhá na to, co má předinstalované v prohlížeči, a žádný jiný certifikát akceptovat nebude. Pravda je, že pokud už dojde na ověření certifikátu uživatelem, odbouchá pravděpodobně uživatel cokoli - přesto nechávám posílat i kořenový certifikát, protože od něj certifikační cesta začíná, a pokud bude uživatel něco ověřovat, právě u kořenového certifikátu má největší šanci.
    6.6.2014 17:59 lertimir | skóre: 64 | blog: Par_slov
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Spíše to beru tak, že kořenové certifikáty bych měl ziskat nezávislou jinou cestou. Pro BFU to znamená, že bude věřit těm, které má předinstalované. Pokud jsem paranoidní, tak třeba zlikviduji všechny předinstalované, a nainstaluji si certifikáty kořenových CA, které si sám ověřím, a kterým věřím. V obou případech jsem ve stavu, kdy jsem získal certifikát kořenové CA jiným způsobem. I třeba posouzení řetězce z ssllabs pro daný server, při zaslaní certifikátu kořenové CA má lehké varování. Ale chápu že je to i v podstatě dost jedno. Pokud uživatel odbuší cokoliv tak ho stejně přítomnost nebo nepřítomnost kořene nezachrání. Pokud je paranoidní tak z certifikátů zjistí kdo byl kořenová CA a i když neměl přítomen kořenový certifikát tak si ho může opatřit nezávislou cestou.
    6.6.2014 18:37 Sten
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    +1 Navíc ten kořenový certifikát mohl být kompromitovaný a původním vydavatelem odvolaný. Ale to z certificate chainu nezjistíte.
    6.6.2014 18:50 Filip Jirsák
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Ano, ale které kořenové certifikáty získáte nezávislou cestou? Buď si někdy na začátku seženete všechny světové kořenové certifikáty a z nich si vyberete nějaké, které ověříte - to asi těžko. A nebo kořenový certifikát ověříte, až když ho potřebujete. Ověřit ho samozřejmě musíte jinou cestou, ale nejprve musíte vědět, který ten kořenový certifikát vlastně chcete ověřit. Jenom na základě podepsaného certifikátu se ten kořenový shání dost těžko.
    6.6.2014 20:10 Sten
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Shání se těžko, pokud neumíte přečíst položku Issuer z certifikátu. Což pokud ověřujete certifikáty ručně, je docela fail.
    6.6.2014 21:16 Filip Jirsák
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    V položce issuer je pouze jméno vydavatele. Takže ten název zkusíte vygooglovat a budete doufat, že ten kořenový certifikát někde na webu bude. A stejně se tak můžete dostat k několika kořenovým certifikátům, které mají stejné jméno, a budete muset ještě zjistit, který z nich je ten správný. Mně pořád připadá pohodlnější jen ověřit otisk certifikátu, než certifikát po všech čertech shánět a pak stejně ověřovat otisk.
    7.6.2014 03:23 Sten
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Dost by mě zajímalo, jak ověřujete otisk certifikátu bez toho, abyste našel vydavatele. A jak ověřujete ten certifikát, když ani nevíte, o který jde.

    Otisk certifikátu vydavatele je v X509v3 Authority Key Identifier (ve Firefoxu zobrazeno jako Certificate Authority Key Identifier).
    7.6.2014 08:05 Filip Jirsák
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Raději kontroluju celý certifikát vydavatele, ne jen jeden otisk. Mimochodem, Chromium pod Linuxem otisk vydavatele nezobrazuje. Já ten certifikát ale stejně zobrazuju v programu pro práci s certifikáty, který mi zobrazí všechny položky a vypočítá otisky několika algoritmy.

    Najít vydavatele a najít kořenový certifikát jsou dvě různé věci. Když nevím, o který certifikát jde, ověřuje se dost těžko. Právě proto jej raději posílám ze serveru také - pak je jasné, o který certifikát jde.

    Mimochodem, nevíte, zda se dají ze serveru poslat dva řetězce certifikátů (vy byste poslal tři, já pět certifikátů)? Když pro klíčovou dvojici mezilehlého certifikátu existují dva různé certifikáty podepsané dvěma různými kořenovými certifikáty - že by certifikát serveru byl ověřen, pokud prohlížeč zná alespoň jeden z těch kořenových certifikátů.
    6.6.2014 11:12 Sten
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Běžná praxe je posílat vše kromě rootu
    6.6.2014 13:00 alkoholik | skóre: 39 | blog: Alkoholik
    Rozbalit Rozbalit vše Re: Celý certificate chain nebo jenom serverový SSL certifikát
    Porad to same.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.