Portál AbcLinuxu, 4. května 2025 17:20
Diskuse byla administrátory uzamčena.
The certificate currently available on example.org is OK. It is not one of the certificates affected by the Let's Encrypt CAA rechecking problem. Its serial number is ...
řeší to admini co spravují servery, zákazník co ušetřil za certifikát ten čas nikdy nezaplatí.Zákazníkovi je toto řešení nabízeno stylem, pojďte k nám, u nás máte certifikáty k vašemu webu zdarma. Takže provozovatel o tom, že se něčím takovým může zabývat, nepochybně věděl a zakalkuloval si to do ceny.
Když budeš mít certifikáty za prachy a dojde k něčemu podobnému, tak svoji práci naúčtuješ zákazníkovi. A budeš k tomu mít podklad, protože vydavatel něco, něco..., mimo tvoji působnost... U certifikátů zadarmo, které jsi zákazníkovi vnutil, pravdapodobně nic neuhádáš, ani nenaúčtuješ. Pokud je náhodou požadoval zákazník, tak snad...Takže porovnáváš situaci, kdy zákazník požadoval komerční certifikát, se situací, kdy ty jsi zákazníkovi něco vnutil? Jo, to dává smysl.
A pokud to budou všechno tvoje certifikáty, tak nenaúčtuješ nikomu nic, budeš akorát nadávat a příště se zkusíš poohlédnout po jiném vydavateli certifikátů..To bych moc rád (ne kvůli tomuhle incidentu, ale protože se mi nelíbí ToS LE), ale žádného jiného jsem nenašel. Nápady? (pozn. jde řádově o jednotky soukromých domén a na každé jednotky subdomén, v práci pak o desítky. Kalkulace by s tím měla počítat a pokud vyjde, že navrhované certifikáty budou stát $2000 za rok, tak to fakt nepůjde)
Nevnucovat jim nic, a přesunout odpovědnost za rozhodnutí na ně.To u většiny use-case, se kterými jsem se potkal, nejde, protože oni tomu nerozumí.
Nebo jak jsi to myslel, když si říkal, že je můj problém, že jsem jim něco doporučil já, a teď jsou z toho náklady navíc, které bych chtěl proplatit.To jsem někde říkal?
s bezpečností to nemá nic společnýho, pokud se na webu nelze přihlásit nebo nakoupitA pokud tě nezajímá že někdo další uvidí na jakou stránku lezeš a pokud tě nezajímá že do toho půjde cestou cokoli injectnout a pokud…
A v tu chvíli není uniku.Souhlas, ale tohle je spíš na výrobce browserů a jejich dementní handlování HSTS.
Je to chyba té CA - ta celou situaci bagatelizuje tweety typu "simply solution", řeší to admini co spravují servery, zákazník co ušetřil za certifikát ten čas nikdy nezaplatí.Jednak by mě zajímalo jakou máš hodinovku, protože pro mě to znamenalo ten cronjob, který se spouští jednou za měsíc, spustit ručně (doslova se tam nasshčkovat, crontab -l, a pastnout do konzole), tedy asi tak minuta na server. A jednak by mě zajímal nějaký výpočet, protože když porovnám (cena ceritfikátu + to že se musí _ručně_ každé dva roky (teď už dokonce jenom každý rok) objednávat a instalovat) vs. automatické klienty pro LE, tak to prostě nemůže vyjít ani kdybychom počítali pouze ten čas a zanedbali, že komerční CA se může stát přesně totéž (a pak řešení není spustit jeden skript, ale ručně to všechno předělat).
to že se musí _ručně_ každé dva roky (teď už dokonce jenom každý rok) objednávat a instalovatOK, píšeš, že některé komerční CA už taky mají ACME. Nicméně furt je tam režie vůbec s tím řešit platbu.
...protože pro mě to znamenalo ten cronjob, který se spouští jednou za měsíc, spustit ručněTedy, ten můj cronjob obnoví certifikáty jenom tehdy, pokud mají platnost kratší, než něco. Pouští se sám každý den, takže by se spustil dneska taky, jenže by nic neobnovil. Aby obnovil certifikáty zrovna teď, když chci a není ještě ta správná doba, musím ho přemluvit. Pak obnoví všechny certifikáty, i ty, které obnovit není potřeba. A když takhle obnovoval včera certifikáty každý, kdo měl mezi tisícem certifikátů jeden vadný, měli v Letsencrypt dost zavařené servery. Kromě toho, ačkoliv se chyba měla týkat toho, že v LA špatně ověřovali CAA záznamy, zneplatnili šmahem i některé certifikáty, pro které žádné CAA záznamy neexistovaly.
zneplatnili šmahem i některé certifikáty, pro které žádné CAA záznamy neexistovalySamozřejmě, protože ta chyba byla o tom, že neověřovali ani existenci CAA záznamů. Nevědí tedy, že v době vydání certifikátu žádný CAA záznam neexistoval.
…je to projekt anarchistů budovaný stojící na individuálním zápalu pro věc. Jenže anarchisti nejsou dobří vývojáři spolehlivého softwaru. Tam je naopak potřeba tvrdá korporátní přísnost, pořádek, a pečlivé kalkulování....Tak tohle svého času říkali zástupci firem SCO, Sun, IBM apod. o konkurenčním projektu jednoho bláznivýho fina! A kde jsou dnes oni a jejich projekty…
Proto Let's encrypt nikdy nebude mít smysl pro jakoukoliv enterprise aplikaci.To je pravda, enterprise preferuje pristup ala Symantec kde bez problemov vydaju certifikat na lubovolnu domenu a ani ju nemusis vlastnit a este budu ten problem roky ignorovat kym ich Mozilla a Google neprinutili jednat.
Tam je naopak potřeba tvrdá korporátní přísnost, pořádek, a pečlivé kalkulování....Sorry, ale každý jednotlivý bod se naprosto vylučuje s korporátním přístupem
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.