Nové verze Firefoxu a Chrome kvůli podvrhnutému certifikátu (diskuse)

[#]

a taky Seamonkey a kdo vi kdo jeste ... proc sou vlastne certy primo v baliku a nejdou nak vzdalene updatnout v pripade jako tento (ne ze by me nak vadila ta pulhodka kompilace seamoneky, ale kvuli takoveto "blbince")?

[Martin Stransky]

Protoze mozilla svuj system na stahovani certifikatu on-line oznacuje porad jako beta a nechce ho pouzivat (je to soucast NSS). Chrome to presto pouziva (v tom NSS).

[Pali]

Nemoze sa o to starat balickovaci system a mat na certifikaty jeden balik?

[Martin Stransky]

To uz je, v balicku NSS. Dalsi vylepseni je to on-line stahovani certifikatu, takze neni treba delat respin nss baliclu pokud se ty certifikaty zmeni. Jak jsem rikal, mozilla tuto fukcionalitu zatim nevyuziva z duvodu ne uplne doladenosti (na rozdil od Chrome ktere NSS take pouziva).

[čha čha čha]

to bude úžasné, až půjde oblafnout ten stahovač a pak si člověk dotáhne kdejaký certifikát.

[Filip Jirsák]

Má to opravdu sloužit k instalaci nových certifikátů, nebo jenom ke zneplatnění stávajících? Takové CRL pro lokální úložiště certifikátů?

[Martin Stransky]

Tu jsou detaily - Bug 682948 a Bug 642503.

[Filip Jirsák]

Díky. Pokud to bude konfigurovatelné, a bude moci správce určit, odkud se mají aktualizace stahovat (nebo to úplně zakázat), bylo by to užitečné.

[kyytaM]

Mozno blba otazka - to kazda aplikacia si taha a riesi vlastny zoznam certifikatov? Ci je to nejako riesene/riesitelne na urovni OS (podobne ako vo Win - aj ked tam je asi tiez kvantum apliacii, co si riesi certy po svojom).

[xm]

Pod Linuxem samozřejmě existuje centrální správa certifikátů pro celou distribuci - NSS (Mozilla Network Security Services) a k tomu balík certifikátů ca-certificates. Takové Chromium (a nejspíš tedy i Chrome) a pokud se nepletu tak i Firefox (a nejspíš i další Mozilla produkty) jí používá.

[pavlix]

samozřejmě

:)

[A]

a co debianovsky iceweasel? je OK?

[Delaunay]

Kdo nechce instalovat/kompilovat, může si znedůvěryhodnit certifikát autority (DigiNotar Root CA). Není nic snazšího.

[Ivan]

A nemel by certifikat CA obsahovat URL kde je mozne stahnout CRL?

[Mrkva]

Jenže v tomhle případě se neblacklistuje jeden certifikát ale rovnou celá CA.