Let’s Encrypt

Electronic Frontier Foundation (EFF), Mozilla, Cisco, Akamai, IdenTrust a University of Michigan představují projekt Let’s Encrypt. Jedná se o projekt otevřené certifikační autority, jež bude od léta 2015 nabízet certifikáty pro servery rychle, bezpečně, transparentně a zadarmo. Pro správu certifikátů a automatické nastavování serverů je vyvíjen klientský software. Videoukázka na YouTube. Technické detaily na stránkách projektu. Popis použitého protokolu ACME (Automated Certificate Management Environment) na GitHubu. [Slashdot]

19.11.2014 04:04 | Ladislav Hagara | Zajímavý projekt

Komentáře

[R]

Nechapem tie snahy sifrovat uplne vsetko. Vacsina veci na webe je predsa verejne dostupna a tam to nema absolutne ziadny zmysel.

Ze provider nezisti, ci osoba XY prave na webe Noveho casu cita o nejakej celeb(v)rite alebo o vrazde, to je dobre naco? Ked to zisti Microsoft, Mozilla, Google a Facebook cez vselijake sledovacie sracky...

[jc]

Pokud ti nevadi smirovani (a nemusi jit jen o tveho providera), melo by ti vadit treba posilani hesel cleartextem. Stranek, ktere nemaji uzivatelskou zakladnu s prihlasovanim je cim dal mene a casto si to (nekdy i zbytecne) vynucuji.

Dalsi vec je, ze data nekdo po ceste muze podvrhnout. V takovem pripade pak nejde jen o bezpecnost informaci, ale take o bezpecnost pocitace.

[R]

Sifrovanie vsetkeho sposobi akurat falosny pocit bezpecia. Do webov su vlozene sledovacie sracky od Googlu a Facebooku, browser odosiela kazde URL na "kontrolu bezpecnosti" do Microsoftu alebo Googlu. Ale hlavne, ze to bude sifrovane...

Citlive veci ma kazdy rozumny clovek sifrovane uz davno.

[Jendа]

Citlive veci ma kazdy rozumny clovek sifrovane uz davno.

Jak, když web na druhé straně šifrování nepodporuje? A to chce právě tento projekt změnit.

[R]

A nie je lepsie taky web nepouzivat? Jednak bude mat aj dalsie bezpecnostne problemy a hlavne su taketo weby imunne voci akymkolvek zlepseniam, takze tento projekt na tom nic nezmeni.

[Chulda]

to je zajímavá dedukce - nepoužívá SSL = má i jiné bezpečnostní problémy.

vzhledem k chování prohlížečů při zobrazení stránky se self-signed certifikátem, spousta komunitních webů z neIT oblasti rezignovala na použití SSL anebo jej standardně nenabízí. Tenhle projekt to může změnit.

[j]

No vidis, ja asi tak o 10 radu vic duveruju strance se self cert, nez nekomu, kdo pouziva nejakou tu "duveryhodnou" autoritu, ktera vyda cert komukoli.

[pavlix]

Tady si někdo plete zabezpečení komunikace s důvěryhodností protistrany.

[j]

No jestli, tak leda ti pitomci, co vyrabej prohlizece.

[Jendа]

Proč? Chápu, kdybys je bral nastejno. Ale snížit důvěru na základě podpisu navíc mi přijde nesmyslné.

[j]

Jenze ten "duveryhodny" certifikat zcela neduveryhodne "atority" mi nekdo naprosto neduveryhodny (jako je mozilla a spol) vnucuje s kazdou aktualizaci prohlizece.

Tudiz je pro me o nekolik radu duveryhodnejsi certifikat, ktery si sam potvrdim, ze za duveryhodny povazovat hodlam.

Jinak vubec nechapu, proc pro https vyskakuje zcela libovolne hlaseni. Je to holej nesmysl. Duveryhodnost protistrany, jejiz certifikat sem neziskal idealne osobne z ruky doruky je zcela nulova. A na to, aby se komunikace nejak sifrovala, me certifikat protistrany naprosto nezajima. Ostane, postfix (a dalsi) taky v poklidu pouzije sifrovanou komunikaci, pokud se na ni s protistranou dohodne, a je mu zcela uprdele, ze pouziva expirovane klice.

A pro ty co stale nechapou, prave a presne na tomhle podvrhu nazvem "duveryhodnost" je zalozen provoz proxy, mozna i vas chlebodarce neco takoveho provozuje, a vy to ani netusite. Proste proto, ze vas desktop duveruje jeho CA, a tudiz si on muze klidne vydat certifikat na google.com, a vas prohlizec ani nezaprotestuje. Kolik z vas se de podivat kdo realne vydal certifikat bankovnictvi? A kolik si jde alespon na web banky overit, ze je to ten spravny? Vsichni se spokojej s tim, ze prohlizec neprotestuje.

[Jendа]

Jenze ten "duveryhodny" certifikat zcela neduveryhodne "atority" mi nekdo naprosto neduveryhodny (jako je mozilla a spol) vnucuje s kazdou aktualizaci prohlizece.

Takže problém není v certifikátu protistrany, ale v tom, že používáš dementní prohlížeč/operační systém? Neboj, také takový používám. Žádný jiný totiž neexistuje, je totiž teprve rok 2014.

Tudiz je pro me o nekolik radu duveryhodnejsi certifikat, ktery si sam potvrdim, ze za duveryhodny povazovat hodlam.

Těm CA přece nemusíš věřit. Prostě si představuj, že tam ten podpis není a že je to selfsigned.

Jinak vubec nechapu, proc pro https vyskakuje zcela libovolne hlaseni.

Toto hlášení protlačila NSA, aby odradila lidi od šifrování by-default. Nikdo si nedovolí nasadit selfsigned certifikát, když se mu přes to uživatelé nedostanou. Více v této přednášce od 14:50.

A pro ty co stale nechapou

Nikoho takového jsem si tady v diskuzi nevšiml.

a presne na tomhle podvrhu nazvem "duveryhodnost" je zalozen provoz proxy, mozna i vas chlebodarce neco takoveho provozuje, a vy to ani netusite

Se self-signed certifikáty se MITM provozuje ještě snáz. Prostě si klíč vymyslíš, ani nemusíš svoji CA dávat uživatelům.

mozna i vas chlebodarce neco takoveho provozuje, a vy to ani netusite

Hm a jak to vlastně řešit, když dnešní software není schopen naimportovat CA a říct, že smí vydávat certifikáty pouze pro *.zaměstnavatel.cz?

[Jendа]

Uděláme takový malý pokus: dej si na všech počítačích, které používáš a které spravuješ, iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP, a v pátek odpoledne sem napiš svoje zkušenosti, OK?

[Jendа]

-A OUTPUT -p tcp --dport 80 -j DROP, pardon.

[biolog]

... a od té doby jsme od něj neslyšeli.

[Jendа]

To nebude tím, AbcLinuxu zrovna po HTTPS používám.

[Petr Ježek]

Nemá. Nebo je tak málo rozumných lidí?

[Jendа]

Ze provider nezisti, ci osoba XY prave na webe Noveho casu cita o nejakej celeb(v)rite alebo o vrazde, to je dobre naco? Ked to zisti Microsoft, Mozilla, Google a Facebook cez vselijake sledovacie sracky...

Ty lze blokovat.

[paul2no]

Pokud by se opravdu důsledně šifrovalo všechno a všude, tak si NSA a podobné organizace budou vybírat co jim stojí za tu námahu to dešifrovat (pokud se jim to vůbec podaří) a nebudou neustále sledovat všechno a všechny, protože je to tak snadné.

[R]

A myslis, ze NSA odchytava pakety, co idu od teba ku googlu? Nie, vypyta si od Googlu spracovane a vyfiltrovane data.

[Jendа]

Může to znít zvláštně, ale jsou lidé, kteří ještě pořád nepovažují Google za celý Internet.

[R]

To je sice pekne, ale samotny Google sa za cely internet povazuje a je obrovsky problem sa vyhnut sledovaniu od neho.

[Hans1024]

Nevim, odkdy je zablokovani par javascriptu "obrovsky problem". Na svete jsou opravdu mnohem vetsi problemy

[random]

Minimálně podle některých zaměstnanců Googlu to není pravda.

[Jendа]

Hlavně je šance, že se na to přijde (pokud budou třeba dělat MITM nebo hackovat servery, aby získali klíče).

[Filip Jirsák]

Nechapem tie snahy sifrovat uplne vsetko. Vacsina veci na webe je predsa verejne dostupna a tam to nema absolutne ziadny zmysel.

HTTPS nezajišťuje jen šifrování, ale také ověření identity serveru a to, že někdo nepodvrhne jiný obsah. I u té veřejně dostupné informace asi nechcete, aby vám kdokoli podvrhl jinou stránku. Jinak na spoustě stránek se používá třeba přihlašování, kde dnes jinak než šifrováním prakticky nejde zaručit bezpečnost. A obecně k šifrování - proč tu komunikaci nešifrovat, když je to prakticky zadarmo? Řekl bych, že to, že se internetová komunikace nešifruje, je jen dočasná anomálie.

[Petr Ježek]

Konečně někdo, kdo ví. Díky.

[andree]

Otazka je, ci sa po automatizacii nevyroji kopa scam domen typu https://goοgle.com/. Na druhej strane pochybujem ze by to aktualne nejak riesili sucasne autority, tie to asi tiez budu mat automatizovane...

Ostava teda dufat, ze Let's encrypt budu mat dostatocne zabezpecene vlastne kluce a nebude treba rucne mazat ich servery zo zoznamov po tyzdni... [conspiracy]Alebo to je od zaciatku trik NSA... [/conspiracy]

[CLX-Kuba]

Je sance ze tyhle certifikaty nebudou v IE rvat ze jsou od neduveryhodne CA?

[xm]

IE mě nezajímá, spíš moc moc doufám že Google přidá tuhle autoritu do Chrome a Androidu, to je nejdůležitější aby to mělo úspěch a nestalo se to jen trochu lepší obdobou CAcert.org (přijatou aspoň ve Firefoxu)...

[hydrandt]

Ja pouzivam StartSSL, spokojenost.

[xm]

Free nabídka StartSSL má ovšem dost velká omezení (třeba absenci wildcard certifikátů pro subdomény).

[hydrandt]

Jo, to jo. Ale je to zadarmo A ve všech rozšířených prohlížečích.

[David Jaša]

CAcert si IIRC za své nerozšíření může sama zákazem její root CA distribuovat.

[CiV]

Pohled člověka co dělal audit CACertu.

[xm]

No hurá! Něco takového jsem doufal že vznikne už celá léta! Tohle musí být noční můra všech předražených "důvěryhodných" CA

[Vlado]

Hm.

Čo keď mám web na hostingu, kde nemám shell? To mám asi smolu.

Čo keď mám shell, ale nielen že nie root, ale navyše silne obmedzený prístup. Napr. obyčajné

$ ls /etc/apache

/bin/ls: cannot open directory /etc/apache: Permission denied

To mám asi tiež smolu.

Bolo by fajn, keby existoval aj variant, ktorý bude "free", "open", ale bez "automated".

[pavlix]

Pokud to správně chápu, tak účelem toho software je nakonfigurovat server, což se tě jaksi asi netýká.

[Jendа]

Vyrobí to soubor a pošle HTTP request. To můžeš udělat ručně.

[Adam2]

Je to zadarmo a automatické.

Jak zabráníme scénáři, ve kterém si Pepa vygeneruje certifikát protože je to cool, někdo mu štípne soukromý klíč, tak si Pepa prostě vygeneruje nový, protože je to jednodušší. Útočník tím pádem má Pepův privátní klíč. Pepovi je to jedno, uživatelům je to jedno, ale budou takový bordel chtít prohlížeče?

[Erbureth]

Naprosto stejně jak u současných CA autorit

[Jendа]

Nijak, stejně jako tomu, že si Pepa nastaví na roota heslo root, protože se to dobře pamatuje.

[pavlix]

Nebo pavlix nastaví na roota heslo test u testovací mašiny. Ale náhodou to celých 24 hodin drželo bez zavirování.

[Filip Jirsák]

Tomuhle scénáři se snadno zabrání tak, že s vydáním nového certifikátu pro doménu se automaticky revokuje ten předchozí.

[j]

Kdyz sme u toho sifrovani:

Expiration date: 12.11.2014 21:37:56 (12.11.2014 20:37:56 GMT)

Tohle na me vyleze, kdyz vlezu sem. Si to spravte.

[j]

SN: 03:FC:8B:79:9B:72:55

[Jendа]

Ničeho jsem si nevšiml.

-----BEGIN CERTIFICATE-----
MIIEtTCCA52gAwIBAgIDAJWtMA0GCSqGSIb3DQEBCwUAMEcxCzAJBgNVBAYTAlVT
MRYwFAYDVQQKEw1HZW9UcnVzdCBJbmMuMSAwHgYDVQQDExdSYXBpZFNTTCBTSEEy
NTYgQ0EgLSBHMzAeFw0xNDExMTExMjIxMDZaFw0xNTExMTQxMjU2MTFaMIGUMRMw
EQYDVQQLEwpHVDYxNDQ1MTc1MTEwLwYDVQQLEyhTZWUgd3d3LnJhcGlkc3NsLmNv
bS9yZXNvdXJjZXMvY3BzIChjKTE0MS8wLQYDVQQLEyZEb21haW4gQ29udHJvbCBW
YWxpZGF0ZWQgLSBSYXBpZFNTTChSKTEZMBcGA1UEAxMQd3d3LmFiY2xpbnV4dS5j
ejCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBANPvb0BLfw1oQTLDG+2d
/vXM2dsQzwq6HhKiUqp45rokfqb9uRpbcLgrV1OE1kpq0lklckKy/wQIZ++eN+Pn
SbS+ttpchyzQr37G7ouiwXm0YgGmM+zI4QRloASNa0Oe04/wMH2d+PRS2T1kiemS
OXcon6zchpfYs0FCIKvATQ1Ltgv1E3sdIgvJ+fem2rI3V7O9GtxMQLSnjV/Do4Vo
3dzMHq7bSjvsMvqwi03lK/YoZcA5AN4wXumR4Iv0jSNroPyFL21QmbGyxD9Kc2vD
1GAEzldBNzA3bDXjcVtHf77qOkEKbCN0RozQ5gh2z90gUSi5nn6nyQkli6AVErhY
oQkCAwEAAaOCAVowggFWMB8GA1UdIwQYMBaAFMOc8/zTRgg0u85Gf6B8W/PiCMtZ
MFcGCCsGAQUFBwEBBEswSTAfBggrBgEFBQcwAYYTaHR0cDovL2d2LnN5bWNkLmNv
bTAmBggrBgEFBQcwAoYaaHR0cDovL2d2LnN5bWNiLmNvbS9ndi5jcnQwDgYDVR0P
AQH/BAQDAgWgMB0GA1UdJQQWMBQGCCsGAQUFBwMBBggrBgEFBQcDAjApBgNVHREE
IjAgghB3d3cuYWJjbGludXh1LmN6ggxhYmNsaW51eHUuY3owKwYDVR0fBCQwIjAg
oB6gHIYaaHR0cDovL2d2LnN5bWNiLmNvbS9ndi5jcmwwDAYDVR0TAQH/BAIwADBF
BgNVHSAEPjA8MDoGCmCGSAGG+EUBBzYwLDAqBggrBgEFBQcCARYeaHR0cHM6Ly93
d3cucmFwaWRzc2wuY29tL2xlZ2FsMA0GCSqGSIb3DQEBCwUAA4IBAQCq81JUNY78
W1qJykef3QBVwL+L+5F7gsqtRv8cIrq6Ts/YS1Cfw4UiVH9i+NZ/FDaS0fJjqz/I
FMvN4sLGM+tUaMFLzcRI/IzDh4ull7/0wKwyLnUC0C3WxDmNv1FcMLAkTr40gdI/
vcCC5/dOCZ7UZiwL0TQJuPN2tMN85ofbfAq6K3llwE6oZjv9OWVfHba7YbPYM3FQ
kkik14gG7jQqZOYsiYRqF1l1UDotExqEEftAqK36XbWxZp1zuCNd+C3K8ZpXGj4H
Gcp3Q5TDDxToygrmRyiHtuUg8MB1GN5f21yL07gEr0Zjfs/veYAHlkqqZo9uSfgT
pSeMkq9UdfdH
-----END CERTIFICATE-----

[j]

To si mozna vsimas blbe

Zkus abclinuxu.cz (= bez www).

[biolog]

https://abclinuxu.cz/

Technical Details

abclinuxu.cz uses an invalid security certificate. The certificate expired on 12.11.2014 21:37. The current time is 25.11.2014 20:43. (Error code: sec_error_expired_certificate)

Podle se měla zvednout vlna komentářů o tom, že správci abclinuxu si ani neumí nakonfigurovat dohled na vyprcháváním certifikátů. Podle mně je chyba v tom, že agent dohledového systému nebo nginx/0.7.67 (nebo vhodná nastavba) neumí ohlídat vypršení sám od sebe.