Расследование, проведённое Mozilla, показало, что китайский удостоверяющий центр WoSign (о бесплатных сертификатах которого был ряд статей на Хабре) за последние пару лет допустил вопиющее количество нарушений.
2015
Началось с мелочей: корпорация Google в ходе постоянного мониторинга сертификатов заметила неоднократный выпуск сертификатов с идентичными серийными номерами, что формально является нарушением стандартов. Были отмечены и другие небольшие отклонения от правил.
Казалось бы, ничего серьёзного. Но это уже само по себе — сигнал удостоверяющему центру обратить внимание на происходящее и наладить механизмы проверок. Однако политика выдачи сертификатов, применяемая WoSign, отстаёт от их же собственной практики. Изменения в политику вносились после инцидентов, чтобы задним числом сгладить и оправдать допущенные отклонения.
Кроме того, были обнаружены недочёты при проверке «является ли получатель сертификата владельцем домена, сертификат для которого он запрашивает». Сами по себе не критичные, они всё же могли упростить выдачу сертификата злоумышленникам. Например, подтверждение владения доменом можно было выполнить, используя динамические порты (выше 50000). В Mozilla же придерживаются мнения, что выдача сертификатов должна производится с использованием лишь привилегированных портов (1024 и ниже). При этом, WoSign не логгировала используемые номера портов, следовательно, масштаб проблемы невозможно оценить в полной мере.
Дальше последовали серьёзные уязвимости. Первая позволяла злоумышленнику, владеющему поддоменом, получить сертификат на весь домен. Обнаружившему это исследователю удалось получить фиктивные сертификаты GitHub (например, test.github.io), Microsoft и Alibaba. WoSign знала об уязвимости на протяжении 14 месяцев, но не исправила её, ограничившись отзывом сертификатов, содержащих «github» в имени домена. Выдача ошибочных сертификатов продолжалась. Оставшиеся проблемные сертификаты компания согласна отозвать лишь в случае обращений со стороны владельцев пострадавших доменов.
Вторая уязвимость оказалась воистину эпичной. После успешного прохождения проверки на владение доменом злоумышленник имел возможность добавить в список проверенных доменов любой посторонний домен. Абсолютно любой. Уже безо всякой проверки.
Словно этого было мало, WoSign втихомолку приобрела израильский удостоверяющий центр StartCom. Более того, когда ребята из Mozilla намекнули, что «так делать нехорошо» (и это мягко сказано, такое сокрытие нарушает политику Mozilla), WoSign принялась всё отрицать и пытаться предотвратить обнародование этих сведений.
Когда стало ясно, что шила в мешке не утаишь, компания выпустила пресс-релиз, признавшись в «осуществлении инвестиций в StartCom». При этом, единственным руководителем StartCom и, одновременно, CEO WoSign является один и тот же человек. Существуют и технические доказательства того, что StartCom (в настоящий момент) использует большую часть инфраструктуры WoSign. Многовато получается совпадений для компаний, которые, как гласит пресс-релиз WoSign, «действуют и управляются независимо друг от друга».
2016
Следующий год WoSign начала с того, что в середине января задним числом выпустила сертификаты SHA-1. Дату «отмотали» на месяц назад. Это позволило избежать блокировки сертификатов популярными браузерами, которые договорились с 2016 года принимать лишь сертификаты SHA-2, поскольку из-за роста вычислительных мощностей алгоритм SHA-1 уже сдаёт позиции и признан недостаточно стойким. В документации CAB Forum чётко регламентируется — с 2016 года удостоверяющие центры не должны выпускать сертификаты с использованием SHA-1:
Effective 1 January 2016, CAs MUST NOT issue any new Subscriber certificates or Subordinate CA certificates using the SHA?1 hash algorithm.
Три сертификата удалось разоблачить из-за невнимательности WoSign: внедрённые в три из них STC-метки (signed certificate timestamp) указывали на середину января 2016, из чего явно следует, что сертификаты не могли быть созданы раньше этого срока.
Ещё 62 сертификата выявили благодаря тому, что они были выданы в воскресенье. Это совершенно нехарактерно для WoSign — в выходной день сотрудники в Китае не работают и сертификаты не выдаются. Были и другие косвенные свидетельства подлога даты.
В июле отличилась уже StartCom со своим сервисом StartEncrypt, запущенном в качестве ответа популярному Let's Encrypt. Просто поменяв один параметр POST-запроса в конце автоматической проверки, можно было добиться того, что сертификат имел подпись не от «StartCom Class 1 DV Server CA», а «WoSign CA Free SSL Certificate G2» или даже «CA ?????» (ещё один корневой сертификат WoSign). Некоторые из из этих сертификатов, выпущенные StartCom и подписанные «WoSign CA Free SSL Certificate G2», к тому же, датировались задним числом.
Формально, выпуск задним числом не запрещён, но это порочная практика. WoSign всячески отрицала, что подделала дату выпуска этих сертификатов. Её представители утверждали, что к этому времени уже убрали с «боевых» серверов соответствующий код, который фальсифицировал дату. Но как же тогда парни из StartCom смогли использовать код, который даже сама WoSign уже использовать перестала?
В целом, этот эпизод демонстрирует безалаберность программистов — если в столь важном процессе, как выпуск сертификатов, оставить опасный код, то он рано или поздно «выстрелит». Что и произошло.
Кроме того остаётся открытым вопрос, как вообще StartCom так свободно может выпустить сертификат от имени WoSign? Ведь CEO WoSign уверял всех, что компании работают совершенно независимо.
Дальше — больше: в StartEncrypt обнаружили критические уязвимости. Одна позволяла в качестве подтверждения контроля над доменом указать путь к любому существующему файлу. Например, загрузить файл в Dropbox и указать путь к нему. Результатом стал бы выпуск сертификата для dropbox.com. С помощью другой уязвимости злоумышленник мог получить сертификат для любого сайта, поддерживающего OAuth 2.0 (google.com, facebook.com, paypal.com, linkedin.com, login.live.com).
И наконец, в сентябре 2016 года кто-то из сообщества заметил, что на скриншоте, приложенном к одному из отчётов WoSign, засветился вывод утилиты dig из пакета bind-utils. Версия этой утилиты — 9.7.3-8.P3.el6. «el6» означает «Red Hat Enterprise Linux 6». Конечно, поддержка RHEL6 оканчивается лишь в 2016 году, но вот актуальная версия bind-utils в ней — 9.8.2-0.47.rc1.el6. А «9.7.3-8.P3.el6» соответствует не обновлённому пакету прямиком из 2011 года. За эти пять лет в апстриме закрыли 19 уязвимостей. Пусть ни одна из них не была критической, невольно задаёшься вопросом — может, в WoSign за столько лет не удосужились обновить не только лишь один сервер, но и всю инфраструктуру?
И что в итоге?
Moziila решила на год перестать доверять новым сертификатам WoSign и StartCom. Выданные ранее, хорошо это или плохо, остаются в силе. За отпущенный год удостоверяющие центры должны исправить все недостатки, а потом пройти ряд проверок. Иначе, их сертификаты будут заблокированы навсегда.
Корпорация Apple, ознакомившись с отчётом, объявила что iOS и macOS на неопределённый срок прекращают доверять сертификатам, которые выпущены после 19 сентября 2016 года. Поскольку в продуктах Apple корневые сертификаты WoSign не предустановлены, забанят промежуточные сертификаты от StartCom и Comodo, используемые WoSign.
Реакция остальных крупнейших игроков на рынке браузеров (Google и Microsoft) пока неизвестна.
Дополнение от 11.10.2016: китайская компания Qihoo 360, владеющая обоими удостоверяющими центрами, согласилась полностью разделить WoSign и StartCom, после чего пройти все требуемые проверки. Кроме того, отстранён от должности глава WoSign.
Комментарии (75)
tmin10
05.10.2016 07:32+1Только недавно получил сертификаты для своего сайта до 2019 года, а тут такая новость. Я правильно понял, если у меня сертификат от StartCom Class 1 DV Server CA, StartCom Ltd., то их на заблокируют?
xMushroom
05.10.2016 09:26Выданные ранее, хорошо это или плохо, остаются в силе
tmin10
05.10.2016 12:26Я как раз недавно и получал… Один даже после 19 сентября, на несколько поддоменов.
С другой стороны, у меня cloudflare и мне важно, чтобы только SDN доверял сертификату...
grossws
05.10.2016 12:59Можно использовать let's encrypt. Если не сработает, то купить нужно количество каких-нибудь сертификатов от comodo.
SDN — software defined networking, если что. Content delivery network — CDN.
ChALkeRx
05.10.2016 18:19+4Комодо, вообще-то, те ещё товарищи. Если бы не too big to fail, их бы давно пора было забанить тоже.
А вообще, вспоминается честный Ахмед, как и всегда в таких случаях.
grossws
07.10.2016 20:38+2Вероятность что их таки забанят не сильно высока, а сертификаты у них достаточно дешевые. Есть ещё их subordinate CA, сертификаты которых ещё дешевле (~$40 за wildcard против ~$60 за Comodo PositiveSSL wildcard).
j-ker
08.10.2016 15:13да вообще весь этот фрауд надо банить — на паранойе и идиотизме кастомеров делаются какие-то несусветные миллиарды доллариев… грош цена этим всем сертификатам, что и доказали господа из восайна и стартССЛ
istui
05.10.2016 15:22В таком случае вам нужен Cloudflare Origin CA. Ему будет доверять CDN, и даже только ему — если включите соотвествующую опцию.
jiraff
06.10.2016 10:53Это, проситите, какую опцию?
В самой аккаунт-панели CloudFlare есть только четырёхпозиционный переключатель Off/Flexible/Full/Strict, где Strict — это когда валидными сертификатами будут только те, что подписаны общепринятыми доверенными CA + CloudFlare Origin CA.
По крайней мере, в бесплатном плане, никаких других опций по управлению доверием к сертификатам там нет.
Более того, их SSL termination point игнорирует заголовки типа HPKP, которыми, в теории, можно было бы указать SHA-256 пин Origin-сертификата, чтобы только он был доверенным.
Но на практике, до этого заголовка дело не доходит и валидность сертификата определяется на стадии TLS-хендшейка.istui
10.10.2016 14:03+1Да, проверил — публичные сертификаты тоже остаются доверенными, несмотря на origin.
На практике от возможного MITM до cloudflare можно защититься, проверяя клиентский сертификат cloudflare — чуть ниже есть и такая настройка.
AlexanderS
05.10.2016 08:58Типичный эффективный менеджмент. Не удивлюсь, если в руководстве нет ни одного человека с нормальными знаниями в IT области или, на худой конец, просто с техническим складом ума.
ValdikSS
05.10.2016 08:59+8Реакция остальных крупнейших игроков на рынке браузеров (Google и Microsoft) пока неизвестна.
Потому что не нужно было спешить со статьей и дождаться завтрашнего дня, где все и решится.
ksenobayt
05.10.2016 09:05+5Moziila решила на год перестать доверять новым сертификатам WoSign и StartCom.
Некорректно. Встреча мозилловцев с представителями WoSign состоится только завтра, и только после неё будет принято решение, убирать ли корневой сертификат StartCom (и, как следствие, WoSign) из доверенных. На сегодняшний день забанила WoSign только Apple, и в личном порядке.
TimsTims
05.10.2016 10:24+1Завтра в новостях: WoSign внесла $100 млн. в Mozilla Foundation для *развития самого лучшего браузера*
ChALkeRx
05.10.2016 09:22+2Ссылка в тему (касательно косяков CA вообще): https://git.cryto.net/joepie91/ca-incidents.
zunzon
05.10.2016 10:09Я может чего-то не понимаю, но тот же cloudflare, например, даёт домену сертификат от comodo.
Почему эта ситуация не считается опасной?
easyman
05.10.2016 10:54+4Потому что при использовании CloudFlare надо менять адреса NS для подтверждения прав на домен.
Что чутка надежнее, чем просто файлик, выложенный по HTTP
ChALkeRx
05.10.2016 18:22+3Сам Cloudflare, вообще-то, вполне себе опасен — в данный момент это глобальный MitM, работающий в обход https, который сожрал больше 10% от популярных сайтов.
istui
05.10.2016 18:30Все зависит от того, для чего его использовать. Если это обычный блог, то использование CF вполне оправдано (при этом пароли от админки вполне можно пускать в обход cloudflare). Для более-менее серьезного проекта служба ИБ просто не даст добро на использование сторонних фронтэндов/прокси.
mayorovp
05.10.2016 18:46+1Спросите службу ИБ повторно во время крупной DDoS-атаки :)
ChALkeRx
05.10.2016 23:12+2То, что Cloudflare это удобная и дешёвая защита от DDoS в 2016 году — это миф, примерно как о безопасности телеграма.
ChALkeRx
05.10.2016 23:27+5Разверну: мысль «я поставлю бесплатный Cloudflare и у меня будет защита от DDoS» — в корне неверна.
- Если вы не платите ему за Business план — вас за DDoS выпнут.
- Даже если вы платите ему за Business план — вы защитили только то, что закэшировано, и только по одному протоколу.
- Если ваш реальный адрес найдётся, или если ваш сервер какие-то другие службы держит, кроме https — ничего не будет мешать завалить ваш сервер DDoS-ом в обход Cloudflare.
- Активные запросы (то, что не кэшируется) — фильтровать-то никто не будет, и точно так же, как они посыпятся от DDoS к Cloudflare, они посыпятся от Cloudflare к вам. Даже если зарейтлимитить — пострадают «хорошие» запросы, которые должны были бы быть.
То есть, Cloudflare подходит вместо защиты от DDoS в одном случае: если у вас исключительно статика (в смысле — не активный, а хорошо кэшируемый контент) и при этом Business план. И это при его минусах и том, что он платный — так себе предложение.
Ссылка: http://cryto.net/~joepie91/blog/2016/07/14/cloudflare-we-have-a-problem/
P.S.: Если кто не понял аналогии с телеграмом: там «безопасность» тоже скорее хайп, и мысль «у меня Телеграм, мои сообщения в безопасности» — ровно так же в корне неверна. Безопасны только секрет чаты, и только при верификации ключей (о которой он даже не напоминает), обычные чаты (которыми пользуются подавляющиее большинство пользователей) работают так же как и во всех остальных популярных мессенджерах — открытый текст, логи на сервере телеграма. Чуть подробнее я проехался по мессенджерам в https://github.com/ChALkeR/whinings/blob/master/Instant-messaging.md.
P.P.S А присутствующий, но не работающий тег спойлера — это нормально? Хотел часть под телеграм спрятать, так как это слегка оффтопик здесь.
istui
10.10.2016 14:09Соглашусь, Cloudflare — это скорее способ убрать некоторые виды атак/спамеров, чуть снизить нагрузку на сайт за счет кэширования статики, скрыть реальный IP сервера (в некоторых случаях), и — при правильной настройке — повысить скорость для клиентов по всему миру (опять же, при настроенном кэшировании). От серьёзного DDoS нужны другие решения.
mayorovp
06.10.2016 10:59Я отвечал вот на эту мыслю: "Для более-менее серьезного проекта служба ИБ просто не даст добро на использование сторонних фронтэндов/прокси."
uterr
05.10.2016 11:35+2>>Moziila решила на год перестать доверять новым сертификатам WoSign и StartCom. Выданные ранее, хорошо это или плохо, остаются в силе.
>>Корпорация Apple, ознакомившись с отчётов, объявила что iOS и macOS на неопределённый срок прекращают доверять сертификатам, которые выпущены после 19 сентября 2016 года.
А если они снова выпустят сертификаты задним числом?
warner
05.10.2016 13:23+2В списке предложений Мозиллы было на этот счёт указано, что да, все выпущенные до определённого числа сертификаты остаются рабочими, но если в будущем будут обнаружены сертификаты, выпущенные задним числом, чтобы попадать под это условие, то за это сразу последует полный бан удостоверяющих центров.
romxx
05.10.2016 13:38+2Странно, что после всего такого, в течении многих лет, они не были заблокированы, причем сразу и навсегда, после первого же серьезного и доказанного нарушения.
Все ОК, удостоверяющий центр сертификации, воруй, убивай, *би гусей, выдавай поддельные сертификаты на google и github, мы только спустя несколько лет погрозим пальцем и на год приостановим вашу работу в некоторых браузерах.
Мне лично совершенно ясна злонамеренность и явный преступный умысел (или разгильдяйство, равное по смыслу этой злонамеренности).
Rampages
05.10.2016 13:59По сути самым надежным является самоподписной сертификат, т.к. его никакой удостоверяющий центр не передаст 3-ему лицу. Единственный минус в том, что браузеры будут пугать людей страшной страницей, и на фоне этой страницы ссылка с разрешением перехода на сайт теряется.
Chamie
05.10.2016 14:00+4По сути самым надежным является самоподписной сертификат, т.к. его никакой удостоверяющий центр не передаст 3-ему лицу.
Конечно, зачем его передавать, если третье лицо само себе такой же выпишет и «самоподпишет»?
vvadzim
05.10.2016 14:18+5Не совсем понял про надёжность — как браузеру или смотрящему в браузер отличить самодписанный сертификат от сертификата MITM?
istui
05.10.2016 15:27-2установить себе в систему СА, подписавшее «самоподписанный» сертификат, как доверенное. Включить certificate pinning каким-нибудь расширением браузера.
Под самоподписанным сертификатом чаще имеют в виду «свое СА, не входящее в списки глобально доверенных».vvadzim
05.10.2016 15:30Вариант. Но меня бы на много сайтов не хватило.
А вообще алгоритм очень напоминает то что сейчас и есть в браузерах. Только в чуть упрощённом виде.
mayorovp
05.10.2016 15:31+1Нет. Под самоподписанным сертификатом обычно имеют в виду одиночный сертификат, который не имеет отношений с другими (его никто не подписывал и он никого не подписывал).
«Свой СА, не входящий в списки глобально доверенных» называется "свой CA" и в некоторых случаях допустим.
istui
05.10.2016 15:41Не знаю как у вас, но в моем окружении в неформальном разговоре чаще всего самоподписанными называют именно ситуацию с СА, о чем я и написал выше. Одиночные сертификаты, не содержащие подписей, используют значительно реже из-за неудобств с их отзывом, поддержанием большого списка исключений в браузере и т.д. Лично я серт без ЦП от СА не видел уже давно…
И да, все люди при этом грамотные и «формально строгие» определения прекрасно знают :)mayorovp
05.10.2016 16:24Свой CA попросту довольно муторно делать. "Простой" самоподписанный сертификат делает однострочником или вообще в пару кликов мышкой — а тут надо кучу полей заполнять. Два раза.
KorDen32
06.10.2016 01:20easyrsa из OpenVPN очень удобен для этих целей, если настроить скрипты под себя — при генерации указать только fqdn нужно будет
mayorovp
06.10.2016 06:05+1Вот именно, надо настраивать. Потому что по умолчанию там надо вводить для каждого сертификата вот это:
- Country Name (2 letter code)
- State or Province Name (full name)
- Locality Name (eg, city)
- Organization Name (eg, company)
- Organizational Unit Name (eg, section)
- Common Name (eg, your name or your server's hostname)
- Email Address
Как вообще можно было назвать подобное словом Easy?
skyblade
12.10.2016 22:42В интерактивном режиме это всё клацается за пару минут. Куда уже проще? Запилить GUIёвину с одной кнопкой «Сбацать сертификат» что ли?
mxms
05.10.2016 22:16Key pining, вообще-то, включается на стороне сервера. Браузер лишь должен поддерживать эту технологию. Chrome/Vivaldi и FireFox могут точно.
mxms
05.10.2016 22:32+1Он, конечно, в этом смысле и есть самый надёжный. Но вопрос в том, кто будет ему доверять кроме вас.
Сама система выстроена именно на цепочке доверия — от корневых сертификатам к конечным. И тем она и хороша и плоха одновременно.
Rampages
05.10.2016 15:55Торговля воздухом процветает.
Вот все винят WoSign и StartCom, а мне интересно куда смотрели, те кто выдал статус CA этим организациям? Или у них сначала этих косяков не было, а со временем они откуда-то взялись?
sumanai
05.10.2016 16:45+2> Торговля воздухом процветает.
Так как раз WoSign и StartCom выдавали сертификаты бесплатно задолго до появления LetsEncrypt.Rampages
05.10.2016 16:59Ну обычные пользовательские сертификаты бесплатные, а всякие wildcard и для бизнеса у них платные.
Кстати у StartCom для входа в аккаунт нужен сертификат, так вот если вы его утеряете, то они делают вам новый. А старый сертификат (будь то сертификат для сайта или логина, разницы нет) отозвать можно только за деньги! Отзыв сертификата будет стоит $9,90.
Конечно сертификат необязательно отзывать, но меня например напрягает 10 левых сертификатов для входа в мой аккаунт…sumanai
05.10.2016 17:12Это понятно, что они зарабатывают другими способами.
> но меня например напрягает 10 левых сертификатов для входа в мой аккаунт…
А разве аккаунт не новый получается?
dartraiden
05.10.2016 22:15Аккаунт там привязывается к почте, емнип. А вот вместо пароля выступает сертификат.
donvictorio
06.10.2016 02:55А что мешает войти по одноразовому паролю, который падает на почту? 10 минут назад так вошёл и обновил верификацию домена.
Так же совершенно бесплатно аннулировал утерянный сертификат для входа.donvictorio
06.10.2016 03:01А, нет, действительно, 9,90$ за обнуление, кнопка изменилась через некоторое время. Но остальное в силе.
Rampages
06.10.2016 05:38+2где-то месяц назад или чуть более появился этот одноразовый пароль, до этого момента не было такого функционала, только сертификат, только хардкор ;)
mxms
05.10.2016 22:09«Бойтесь китайцев дары приносящих».
Безалаберность тут да, налицо, но главный вопрос — только ли она имеет место? Не сливаются ли на стороне WooSign закрытые ключи китайским силовикам…sumanai
05.10.2016 22:27> Не сливаются ли на стороне WooSign закрытые ключи китайским силовикам…
Там можно генерировать сертификат у себя, так что мимо.
Но с такой безалаберностью можно выпускать сертификаты на любой домен, что, впрочем, и было.mxms
05.10.2016 22:38Я имел ввиду закрытые ключи на их промежуточные сертификаты, конечно. Тут открываются интересные возможности.
artyums
05.10.2016 23:09+1… прекращают доверять сертификатам, которые выпущены после 19 сентября 2016 года...
Тот самый момент, когда побежал проверять дату выдачи сертификата собственного домена и оказалось, что выпустил его буквально за неделю до этого :)
А по сути поста — производители браузеров поступают, мне кажется, верно — халатность центров сертификации способна вообще ставить под вопрос уверенность в https.
selenite
05.10.2016 23:35+2Утверждение «из N центров сертификации у двух выявлены проблемы, мы закроем эти 2» звучит как-то странно. Чем обусловлено доверие остальным? Почему весь шум — вокруг WoSign?
Да, китайские сертификаты — не самая «элитная вещь». Но она работает. Она позволяет получить с юзерских машин доступ к собственному ресурсу, поднятому за 5 минут, при этом не прибегая ни к установке своего корневого сертификата, ни к мерзости letsencrypt (зависимости от сторонних сервисов с непонятным API — очень нужны, ага), ни к покупке платных сертификатов. Если не будет столь же доступного решения по выдаче простых удобных сертификатов, не заставляющего использовать ради минутных задач какую-то завязанную на третьих лиц трехэтажную конструцию — придется вернуться к решению с установкой своего серта на все юзерские устройства… если только в очередной версии фаерфокса не придется патчить код в 20 местах, чтобы избавиться от загрузки информации о том. кому что можно доверять, на свои же машины.
citius
06.10.2016 00:38+1Чем letsencrypt так неугодил то? Ну API, ну и что?
Как будто проще продираться руками через китайские интерфейсы. Оно еще и не особо быстро работает, как я понимаю, если хостится в самом Китае.
Помню была у меня когда-то попытка с WoSign что-то выпустить (бесплатные же они вроде выдавали?), терпения не хватило.
mxms
06.10.2016 00:45Понятно о каких «третьих лицах» может идти речь в случае с WoSign / StartCom, но совершенно непонятно что подразумевается в случае с Let's Encrypt.
FSA
06.10.2016 10:53Раньше пользовался startssl, но недавно решил разобраться с Letsencrypt. Очень удобная штука. Без заморочек получил сертификаты для сервера на FreeBSD и домашнего на Gentoo. Несколько команд в консоли сервера и у тебя действующий сертификат, который, к тому же, будет автоматически обновляться. Про API даже не задумывался. Оставил startssl только для своего jabber-сервера.
AgaFonOff
06.10.2016 12:49-2Голова: Letsencrypt (основной спонсор — Мозила) начали притеснять провайдеров бесплатных сертификатов?
Тролль внутри: Да не, Мозила — герои в белом, не может быть, фигня какая-то.mayorovp
06.10.2016 12:56И в чем же их выгода?
AgaFonOff
06.10.2016 13:09-1Как минимум у всех (даже бесплатных) стартапов плюсики — пользовательская база.
Я уверен, что сервис летсэнкрипт в базе никогда не будет платным, он отличный и полезный.
Но одно другому не мешает. «Just business» всегда имеет место быть.
istui
10.10.2016 14:20[humour corner]
А вот еще было бы интересно узнать мнение хабрасообщества по поводу https://www.sslforfree.com/. (в предположении что у нас современный браузер с поддержкой Web Crypto API).
Можно ли ему доверять? :)sumanai
10.10.2016 18:40Может быть и можно, но зачем? Используемый ими Letsencrypt выдаёт сертификаты на три месяца, а ходить каждые три месяца на какой-то сайт для генерации сертификата- путь к вечным проблемам.
istui
10.10.2016 18:56это само собой понятно:) здесь вопрос больше в том, не очередной ли это honest achmed
istui
По ссылке говорится, что Apple забанит только WoSign, про StartCOM ни слова.
Также интересно, что будет с платными сертификатами от StartCOM, исключат из списка доверенных или нет, — они, насколько я помню, подписаны другой цепочкой.
В целом — в прошлом году StartCOM приятно порадовал изменениями и политикой (стало возможным получать бесплатные сертификаты для коммерческих целей), не так давно стало понятно, с чем это связано…
Реакция Mozilla бесспорно важна, но финальным аргументом для CA, имхо, станет мнение Google. Если 2 популярных браузера перестанут доверять сертификатам, это должно заставить их задуматься.
dartraiden
Как я понимаю, поскольку корневых сертификатов WoSign в продуктах Apple нет, то будут забанены сертификаты от StartCom и Comodo, которые используются для подписывания сертификатов WoSign)
dartraiden
Переформулировал этот момент в статье.
ksenobayt
Про StartCom ни одного упоминания в решении Apple нет, и, как следствие, про их бан разговора не шло.
Технически вполне можно забанить лишь сам WoSign.
saipr
У нас Госуслуги седят на COMODO
и еще много кто.
У Китая есть (или уже был) признанный УЦ. А где наши? Я уж молчу про ГОСТ-вые УЦ
xztau
И с чем это связано?