Dotaz: Vypršelý certifikát abclinuxu.cz

[PetebLazar]

Vypadá to, že se včas neobnovil Let's Encrypt certfikát webu.

Datum vydání	úterý 25. května 2021 23:50:46
Konec platnosti	pondělí 23. srpna 2021 23:50:46

---

---

Odpovědi

[nemam]

Je to dost trapne, ze kluci ze zdejsiho portalu neumi nahodit cron a renew certu. To je fakt sila. Sorry jako. Dokonce ani v levem sloupci neumi nahodit spravne titulek Zpravicky a Pracovni nabidky. Tenhle portal je plny dobrych lidi, ale jinak to programuje nejaky lempl.

[ehmmm]

No vidis a ja zase nechapu, co je na abclinuxu tak intimniho, ze potrebuju https.

[nemam]

Ja taky nejsem tvrdy zastance https, coz o to, ale ze zdejsi provozovatel, ci admin tohoto serveru neumi nastavit cron a zrovna na tomhle webu, to je proste tragedie.

[Michal Kubeček]

To bude možná trochu souviset s tím, že se nepřihlašujete…

[ja osobne]

pride doba ked sa na web bez https nedostanes...

[_]

Bohužel, díky různým čůrákům a mašíblům

[Z]

Zadarmo ani kuře nehrabe, ábíčko Netmediu prodělává, tak je pochopitelné že se nesnaží. Max to spravuje ve volném čase.

[nemam]

Abicko je zadarmo? Ty reklamy tady jsou teda zdarma? Kam muzu zaslat svou reklamu, ktera tu bude vystavena zdarma? Kdyby to bylo zadarmo, tak tu ti inzerenti neinzeruji. Nebo je Max tak blbej, ze umisti reklamu a jeste to dela zdarma? To jsou nejake konspiracni teorie tohle.

I zadarmo se da delat web, jen clovek fakt nesmi byt lempl. Obchodni model se stejne drive nebo pozdeji najde. Minimalne reklamou, ktere je tu jak nasrate.

A vzhledem k tomu, ze tu jsou reklamy, tak IMHO obchodni model zde vynalezen uz byl. A nebo to tu fakt provozuji blbci. Jinak to neni mozny. Ze nejde ani nastavit cron, kterej funguje zdarma 24/7 a je pokoj jednou provzdy. Todle uz neni o zdarma nebo za penize, tohle uz je lemplovina. Tecka. O tom se jako fakt neda diskutovat.

[Z]

Jsou to veřejné údaje, tak si to prohrabej a udělej si závěr sám.

[moje koule]

vzhledem k vysi prijmu z tech jejich osmi pidiportalu je naprosto legitimni obchodni model na to srat a nechat si sro na odpocet dph. jestli daji maxovi par drobnych je od nich fajn, ale bez investic si nemohou dovolit ani jednoho vyvojare na plny uvazek.

[Max]

1) Neprogramuje ho nikdo
2) Problém nebyl způsoben nenastaveným cronem
Zdar Max

[Andrej]

Je to dost trapne, ze kluci ze zdejsiho portalu neumi nahodit cron a renew certu. To je fakt sila. Sorry jako.

Naopak by bylo velmi trapné, kdyby v roce 2021 (!) používali cron. Dnes se tahle věc jmenuje systemd timer.

Jinak bych ještě poznamenal, že správná rotace LetsEncrypt certifikátů je překvapivě netriviální problém. Jsou dvě možnosti:

1. Mít TLSA záznam à la 3 1 2 a … prostě aktualizovat certifikát, jako by se nech(u)melilo.
   • No jo, jenže pak se musí certbot nastavit, aby používal stále stejný veřejný klíč.
   • No jo, ale to pak znamená, že se musí používat pořád stejný soukromý klíč. Což tak z principu není dobře.
2. Mít TLSA záznam typu 3 0 2, jak to má ideálně být (byť to LetsEncrypt (naprosto pomýleně) nedoporučuje, vědoma si nejspíš povážlivé koncentrace idiotů mezi svými „klienty“), jenže pak je potřeba automaticky
   1. obnovit (klíče a) certifikáty v dostatečném předstihu,
   2. zveřejnit ihned nový TLSA záznam, ponechat také starý TLSA záznam a pár dnů ponechat starý certifikát,
   3. přejít na nový certifikát, ale ještě pár dnů nechat oba TLSA záznamy, a konečně
   4. odebrat starý TLSA záznam.
(Pravda, při dnešním způsobu fungování a obvyklém nastavení DNS(SEC) stačí s/dnů/hodin/, pokud správce ví, co dělá.)

Inu tak; skoro nikdy to není jenom nějaký systemd timer a skoro vždy to chce nějakou extra úvahu k tomu.

(Jo a samozřejmě ta rotace musí být implementovaná tak, aby (kvůli nově vydaným certifikátům) dokázala správně fungovat pro každý klíč+certifikát zvlášť. Je dobré mít možnost kdykoliv „bez obav“ přidat další certifikáty…)

Z tohoto hlediska jsou pak všechna ta hujerská tvrzení anonymů, že někdo zapomněl na to či ono, s největší pravděpodobností mimo mísu.

Ať tak nebo tak, je dobré nezapomenout.

[Aleš Kapica]

Dík. Je to úleva, číst opět po dlouhé době normální příspěvek od normálního člověka, ze kterého se lze dozvědět něco zajímavého.

[Petr Fiedler]

Díky za vysvětlení :)

[nemam]

No je zkratka videt, ze to tu spravuji lempli a vubec nad tim nepremysli. Vypadalo to prve, jako by to nejakej lempl delal snad rucne a proste na to zapomel. Navic jen napsal, ze cronem to nebylo. A ze tu vlastne nikdo spravu ci vyvoj tohohle serveru neresi, tak to tu hnije az to jednou uhnije uplne. Ani ty titulky Zpravicky a Pracovni nabicky vlevo ve sloupci nejakej lempl neumi dat na spravne misto. Proste lempli.

Zdar Lempl.

[Andrej]

Tak ono to visí na vlásku a na niti, dá se říct, protože kód (jestli si to správně pamatuju z různých blogpostů) cca od roku 2006 skoro nikdo nevyvíjí, kromě nouzových zásahů typu captcha proti vytapetování diskusí. To je dobrých 15 let.

Dnes by stačilo, kdyby se nějaký aktivní občan-udavač začal pídit po GDPR, cookies a dalších věcech, a celý tento webový skanzen by bohužel zanikl. Bohužel, protože — kam bych potom chodil trollovat???

[MP]

Tak ta varianta 2 zni jeste jako vetsi oser, nez klasicky certy...Zvlast v rozsahle automatizaci. A zrovna s automatizaci vydavani/nasazovani certifikatu mam nejvetsi problemy :/ - nemluvim o obycejnym primo pristupnym serveru z netu...

[Andrej]

Otázka je, co je klasické.

Rozumně častá změna certifikátů mi připadá v konečném důsledku jako mnohem menší oser, protože správce přiměje dát dohromady nějaký trvale udržitelný a 100% automatický systém rotace certifikátů a k nim příslušných TLSA záznamů.

S ročními (nebo dvouletými nebo jakými) certifikáty od „klasických“ autorit se stává, že se nic automatizovaně neřeší, protože si správce řekne: No a co, no tak budu mít jednou za rok/dva trochu manuální práce, a co má být; beztak to nemám jak testovat. Takový přístup je pak ovšem překvapivě náchylný k chybám. Neplatnost TLSA a/nebo dokonce neplatnost samotných certifikátů se už přihodila „větším“ webům než ABCLinuxu.

Častá rotace certifikátů se sice asi tak v prvních třech případech nepovede, někde je bug, musí se v tom zas a zas manuálně vrtat, ale potom je roky příjemný klid.

Nezbývá než doufat, že jednoho dne přijde 100% bezúdržbový mechanismus podobný dnssec-policy u BINDu (plus k tomu auto-dnssec "maintain" pro stejnou zónu v jiném pohledu, která má sdílet klíče vytvořené pomocí dnssec-policy) také do oblasti X509 certifikátů a LetsEncrypt. Je lepší, když to naimplementuje někdo jednou a pořádně, než aby to každý admin sám různě bastlil.

[Michal Kubeček]

S ročními (nebo dvouletými nebo jakými) certifikáty od „klasických“ autorit se stává, že se nic automatizovaně neřeší, protože si správce řekne: No a co, no tak budu mít jednou za rok/dva trochu manuální práce, a co má být; beztak to nemám jak testovat.

Nebo si to ani neřekne. Spíš je to tak, že ve chvíli, kdy už mu ten certifikát vypršel, je potřeba rychle vyřešit výměnu a není čas dávat dohromady systematické řešení. Jakmile krize pomine, je spousta času na to udělat to pořádně, ale nejdřív je potřeba se podívat na jiné věci, které jsou urgentní. A tak to jde celý rok, dokud není potřeba zase co nejrychleji vyměnit certifikát, který právě vypršel nebo za chvíli vyprší…