Let's Encrypt nově validuje žádosti o vystavení certifikátů z několika míst současně

Otevřená certifikační autorita Let's Encrypt v příspěvku na svém blogu informuje, že žádosti o vystavení certifikátů nově validuje z několika míst současně (Multi-Perspective Validation). Další informace v diskusním fóru.

20.2.2020 06:00 | Ladislav Hagara | IT novinky

Komentáře

[j]

Coz je sice uplne knicemu, ale budeme se tvarit, ze pro hentu bezpecnost jako neco delame, ze?

A opet jeden malej krasnej priklad ... active24 bez ptani a pekne vsem nahodili na hosting prave le certy a nastavili redirect z http. Provozovatel/drzitel domeny o tom defakto ani nemusi vedet a predpokladam, ze v 90% pripadu ani nevi (expost posilali maily, kterych vetsina skoncila ve spamu). Ze mu tam trebas bezi neco co z technickych duvodu nemuze pouzivat https vubec ... nezajem.

Mno hlavne ze sprava toho hostingu se dela pres nesifrovany ftp. At zije bezpecnost.

A samo, racte tuhle https://sectigo.com/, jestli mate na domene mail, jeji (jak jinak nez "duveryhodny") cert je vas.

[bigBRAMBOR]

a jak to vsechno souvisi s tim ze LE bude validovat pristup z nekolika mist soucasne?

[j]

Tak nekteri jsou gramotni, ty zjevne nikoli. Procpak to delaji? Aby si o cert nemoh rict nekdo neopravneny. AC24 je krasnej priklad, jak si nekdo neopravneny o cert vpohode rekne. A tohle tomu nijak nezabrani.

Pritom tim nekym muzou byt dalsi nejmin stovky subjektu, protoze at chteji nebo ne, budou to "overovani" delat z predem znamych rozsahu IPcek, takze si staci nekde cestou zaridit, aby na chvili pakety mirily tam, kam chci. Ve skutecnosti si toho nemusi vubec nikdo ani vsimnout, protoze jde tak max o par sekund.

Duveryhodnost jakyhokoli certifikatu kterej sem si nevydal sam je totiz presne 0.

[Harvie.CZ]

Tak pokud nasmerujes svoji domenu na neci IP adresu, tak je jasny, ze muze spracovat trafic pro ni. A pro ty ucely si i vystavi LE certifikat. Nesmyslny fnukani. To je pointa toho celyho. Proc ti vadi, ze si vystavujou certifikaty, kdyz na ne smerujes trafic?

Pokud nechces, aby si nekdo vystavoval LE certifikaty na tvoji domenu, mas dve moznosti:

1.) Nesmerovat svoji domenu na jeho server 2.) Zakazat si letsencrypt pres CAA zaznam v DNS

[bigBRAMBOR]

Zakazat si letsencrypt pres CAA zaznam v DNS

to je fakt, melo active24 tohle osetrene? nebo by skoncili ve smycce zadosti? Nebo by si na chvilku CAA vypnuli? Nebo do kazde domeny automaticky pridaji CAA na LE, ani to pak nemusis videt v administraci.

[bigBRAMBOR]

to ze active pouziva FTP nema nic spolecneho s LE, to ze AC24 vydalo natvrdo pro vsechny hostingy nema nic spolecneho s LE, ale ty to nablejes ke zprave ze LE bude overovat pristup na server z vice IP a jeste pak urazis. Takze co ty výblitky o active24 mají spolecneho se zmenou overovani LE?

to že si usalašíš web u AC24 je proste tak se vsema vedlejsima vecma, i s tim ze si AC24 dokaze pro ten web vydat i cert. Spousta lidi nadava na LE, ale pritom nadavaji na neco co LE nikdy nedelalo a delat nebude a nemel bys to od nich ani cekat.

Náš administrátor shledal tento komentář závadným.

Komentář bude skryt, protože: vulgarity a napadání

Zobrazit komentář

[bigBRAMBOR]

takovy krasny prispevek to byl.

jiste ze to nejem tusime, ale i vime, narozdil od tebe, ale od toho nic jineho necekame. Kdyz si hostujes web u nekoho, tak kdyby jsi se na hlavu postavavil, ten clovek proste k tomu webu ma pristup, pokud ti nekdo spravuje DNS, tak ti muze pridat i odebrat zaznam, zase s tim nic neudelas, stejne jako kdyz si das penize do banky, tak banka ti ty penize muze klidne preposlat na nekoho jineho. Ty si pak muzes stezovat, branit se, ale fakticky muze. A protoze mas pocit, ze LE tomu nezabrani, tak pak tady ze sebe delas kasparka. LE neoveruje drzitele, neoveruje legalnost, neoveruje obsah ani mravni vhodnost, snazi se vydat cert pro domenu kde pak bude pouzit. Ber nebo nech bejt.

[omg]

jeden malej krasnej priklad ... active24 ...

Mno hlavne ze sprava toho hostingu se dela pres nesifrovany ftp.

To jako fakt? A já mám výčitky, že jsem na našem pidiservříku, který hostuje několik úplně nezajímavých webů, ještě nezavedl něco jiného.

[j]

Jo, to jako fakt, sifrovanej neni ani login. A podotykam, ze nejde o zadnej zadarmo hosting, je to placeny.

A jo, az tu zas nekdo zacne blabolit, muzes si tam nastavit IPcka, ze kterych se lze pripojit. Coz je sice platny jak mrtvymu zimnik, ale tu moznost mas.