Let's Encrypt: получение сертификата по шагам

[Evengard]

Блин, я даже не знал что они запустили бету, а где зарегистрироваться?

[MalcolmReynolds]

Здесь

[Evengard]

Спасибо!

[Yahweh]

Сертификат можно получить только на www.example.com/example.com или на other.example.com тоже можно?

[MalcolmReynolds]

Тут есть немного информации, но пока в бете выдали на домен с www и без www (хотя мы запрашивали только на один без www).

[Anakros]

Можно.

[Anisotropic]

90 дней это ограничение для беты, или запустится сервис с таким же ограничением?

[MalcolmReynolds]

Вот тут написали, что на запуске будет тоже 90 дней. Они считают, что администраторы за год могут забыть про сертификат, а настроив автоматизацию один раз можно избавиться от многих проблем.

[Anisotropic]

Ясно. Так и знал, что где-то подвох.

[blind_oracle]

90 дней — не интересно.

WoSign мне выдал на три года без всяких проблем.

А использовать какую-то приблуду на сервере, которая работает под рутом и будет периодически лазить за сертификатом, лазить в конфиг моего веб-сервера для настройки веб-сайта для подтверждения валидности, а затем для подмены сертификата…

Зачем мне это всё? Зачем так сложно?

[farcaller]

Ну, объективно говоря, приблуда на сервере на должна работать от рута, и не должна менять конфиг сервера каждый раз. А смысл как раз в том чтобы настроить раз и забыть.

[blind_oracle]

Лично мне проще раз в три года сходить за сертификатом по напоминалке в календаре, чем такое городить.
Затем уже этот сертификат каким-нибудь Ansible/Puppet/etc раскидать куда надо.

А их клиент (ACME) мне напомнил какой-то продукт для админов локалхоста, которое всё делает за тебя.
Поэтому, хоть инвайт на бету и прислали, пользоваться им пока нормальный срок действия сертификатов не введут не собираюсь пока…

[farcaller]

Мне кажется что LE вообще строго говоря и предназначен для админов локалхоста.

У меня на проде два nginx, и LE'шная схема получения сертификатов действительно несколько попаболь. Пишу вот обвязку на го для мониторинга и самостоятельного перевыпуска, попробую пару доменов все же перенести на LE.

[blind_oracle]

Ну, могли бы и для админов просто добавить какой-нибудь более удобный способ выпустить себе сертификаты. Надеюсь, в будущем это будет доступно.

[hryamzik]

Весь инструментарий уже есть, надо просто один раз подготовить в том же ansible конфиги nginx и крон задачу. =) Да, сперва придется поиграться с командной строкой, а потом уже всё автоматизировать. Выглядит очень разумно, хотя я и не доволен описанием процедуры генерации без автоматических правок конфигов.

[wrewolf]

ну менять конфиг сервера не обязательно как раз, достаточно обновить файлы сертификатов, а это реализуемо от не привелигированного юзера

[ivlis]

У меня вебсервер в докер-контейнере с read-only файловой системой. Так что придётся и контейнер пересобрать и перезапустить его.

[hryamzik]

Надо просто пробросить два каталога на хост систему: один с валидационными файлами, второй с сертификатами.

[ValdikSS]

Вы используете DNSSEC? Как миритесь с еженедельными переподписями зон?

[blind_oracle]

Пользую. Я генерирую ключи (KSK/ZSK) на каждую зону один раз, дальше за меня всё делает BIND автоматом.

[Pulse]

Но есть проблема — сертификаты от Wosign 1 января 2017 SHA-1 станут красными. :(

[blind_oracle]

У меня вся цепочка (кроме корня, который StartCom, но это и не важно) — SHA256, так что никаких проблем.

[Pulse]

А что к корневому это не относится?

[blind_oracle]

Не относится:

SHA-1-based signatures for trusted root certificates are not a problem because TLS clients trust them by their identity, rather than by the signature of their hash.

googleonlinesecurity.blogspot.ca/2014/09/gradually-sunsetting-sha-1.html

[pred8or]

Я бы добавил, что в автоматическом режиме ещё генерируется конфиг для веб-сервера, практически готовый к активации.

После настройки https очевидным было протестировать при помощи Qualys SSL Server Test. Результат меня удивил. A без каких-либо дополнительных телодвижений.

[landy]

И A+ тоже, но с небольшим телодвижением :)
для апача например в виртуальные хосты добавить:

                <IfModule mod_headers.c>
                        Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains; preload"
                </IfModule>

ну и включить модуль headers.

[grossws]

Использование secure в куках чуток улучшает ситуацию в данном кейсе.

[aivus]

Когда нужен static.domain.tld — просто создаете еще один сертификат

[Gendalph]

max-age=0 -> редирект куда и как надо -> отдача правильного HSTS (если всё еще на SSL)

[Gendalph]

Этот костыль опробован и работает на основных браузерах и платформах (крутится в продакшене на одном сайте средней популярности).

[Lockal]

А кто-нибудь может подсказать, где IP-адреса регистрирующих машин «will be publicly logged»? Зачем это вообще и что делать пользователям CloudFlare?

[istui]

Для cloudflare можете все равно поставить сертификат, для защиты трафика между вашим сервером и origin pull-сервером (Full SSL — Strict)

Кроме того, cloudflare обслуживает только определенные порты, если ваш сервер нуждается в защите других портов — вам все равно пригодится LE.

[Lockal]

Это понятно. Я про то, что для машин за CloudFlare не допускается утечка IP-адреса. По этому скриншоту из статьи можно предположить, что где-то в интернете в открытом доступе есть пары IP-domain, некоторые из которых раскрывают реальные IP-адреса машин за экранами.

[istui]

Насколько я понял, записывается IP машины, с которой был запрошен сертификат.

Берете любой VPS на пару дней на тест и выходите в этот момент в сеть через него.

[la0]

7. Скопируйте их на Windows-машину.
8. Теперь пришло время сконвертировать их в родной .pfx формат.
Для этого установим OpenSSL, распакуем его, добавим в эту же папку наши ключи и запустим от имени администратора:

Я бы поменял пункты местами и конвертил бы линуксовым OpenSSL(команды идентичны)

[istui]

как вариант — делать все в cygwin

[MalcolmReynolds]

Спасибо! Действительно, лишний шаг с установкой openssl в Windows. Обновил инструкцию.

[izac]

Могу ли я использовать letsencrypt на коммерческом сайте?

[istui]

в отличие от startssl, да

[grumbler66rus]

Их скрипт работает только в некоторых дистрибутивах GNU/Linux. В частности, в дистрибутивах с RPM требует Yum или DNF.
Это очень большой минус.

[sibvic]

Если у вас сервер на Windows (с поддержкой Razor Views, аналогично и с MVC), то самый простой способ создания правильного ответа:

Для azure я немного по-другму поступил. В app service можной зайти в консоль, а дальше
mkdir ".well-known"
cd ".well-known"
mkdir "acme-challenge"
cd "acme-challenge"
echo ваш_ключ>файл
+ web.config залить туда