SLY_G Sep 15 2015 at 21:06

Let’s Encrypt выдала первый бесплатный HTTPS сертификат

2 min

17K

Information Security *

+33

Comments 38

wtigga Sep 16 2015 at 04:26

А всем подряд (не-бетатестерам) начнут раздавать только через месяц-другой.

dunmaksim Sep 16 2015 at 15:36

Планируется начать 16 ноября. У них в блоге так написано.

MrJeos Sep 16 2015 at 17:07

У них в блоге было написано, что первый сертификат будет выдан на неделе от 7го сентября, а выдали только вчера.

ComputerPers Sep 16 2015 at 08:38

Главное чтобы сертификаты были доверенными, тогда RIP Комодо и ко.

Raegdan Sep 16 2015 at 10:06

Конечно будут, иначе какой вообще смысл создавать такой проект? Достаточно было бы юзер-френдли обвязки над easy-rsa. Мне кажется, этот CA просто подпишет один из существующих общепризнанных CA. Сертификаты же позволяют наследовать доверие через сколько угодно уровней, так что если получится договориться с одним из таких — мороки с введением нового корневого можно будет избежать.

UFO just landed and posted this here

ximaera Sep 16 2015 at 16:52

Они и заморочились. Их сертификат будет корневым как минимум в Firefox и Chrome. Но вот проблема: куча пользователей сидит на браузерах образца 2010 года и ничего на системе не обновляет. Поэтому подпись от IdenTrust необходима, иначе будет слишком много нареканий.

Эта проблема, собственно, была одной из самых сложных, остальное-то более-менее дело техники (даже непонятно, почему никто из существующих CA не сделал того же).

UFO just landed and posted this here

ximaera Sep 16 2015 at 17:04

Я имею в виду, почему нельзя было раньше сделать так, чтобы получение TLS-сертификата не было болью в заднице? Выучите man openssl, man csr, вышлите то, пропишите это. Всё же превосходно автоматизируется (пока вы не захотите EV-сертификат, конечно).

А так — да, конечно, динозаврам рынка CA придётся нелегко. Есть, конечно, те же EV, но вряд ли от них большой доход, уже даже не все банки покупают себе EV.

ApeCoder Sep 16 2015 at 12:56

У меня вопрос в таком случае — как они обеспечат воспринимаемую уникальность сертификатов (чтобы соединяясь с Райвффайзенбанком я полнимал, что это он, а не Raifaizenbank inc — индивидульаный предприниматель зарегестрированный в Нижней Шепетовке). Насколько я знаю, сейчас есть некая проверка при выдачи сертификата — или нет?

1x1 Sep 16 2015 at 13:58

Для привязки домена нужно пройти проверку, и только после неё можно запросить сертификат.

ApeCoder Sep 16 2015 at 14:04

А они сделают //бесплатную// проверку?

1x1 Sep 16 2015 at 14:35

Да, иначе сертификат не будет бесплатным. Проверяется только владение доменом, а это легко автоматизируется.

force Sep 16 2015 at 14:45

Владение доменом — унылая проверка. Куплю я домен paypai.co, и буду устраивать фишинг под PayPal, всё будет хорошее и зелёное.
А если они будут выдавать вилдкарт сертификаты, то вообще всё плохо будет paypal.com.someevilsite.com

1x1 Sep 16 2015 at 15:21

Вы и сейчас можете это сделать. Только проверки домена достаточно для получения множества сертификатов, в том числе и wildcard.

force Sep 16 2015 at 15:43

Да, но сами сертификаты платные. Причём не такие уж и дешёвые по сравнению с доменами. Т.е. для фишеров получение сертификата это дополнительная статья расходов, которая делает схему с покупкой https менее выгодной.

1x1 Sep 16 2015 at 15:55

Есть и триальные. Всё равно подобные сайты долго не живут.

ximaera Sep 16 2015 at 17:05

Да ладно, StartSSL, Comodo и WoSign годами выдавали сертификаты бесплатно. Не было такой статьи расходов.

force Sep 16 2015 at 18:35

StartSSL, насколько я помню, требовал много личной информации для выдачи, и были ограничения по использованию. WoSign — в рекламных целях. Comodo вроде бы только email-сертификтаы выдавал, хотя могу ошибаться.
Но с учётом того, что сказал 1x1 про триальные, я понял, что проблема в принципе не очень существенная, хотя слегка портит работу с сертификатами. Т.е. если платёжный шлюз берёт себе бесплатный или копеечный сертификат — деньги доверять ему не стоит, придётся теперь следить за этим.

sunnybear Sep 16 2015 at 22:43

WoSign выдает отличные сертификаты. С StartSSL были проблемы, с WoSign — никаких.

lexore Sep 16 2015 at 22:24

Сертификат стоит 10 долларов в год. Кстати, так же как и домен.
А некоторые лоукостеры за домен+сертификат дают неплохую скидку.
Если кто-то будет красть деньги, прикидываясь paypal, 20$ он наверное отобьет.

wrewolf Sep 16 2015 at 14:54

у них задача дать всем сертификаты, а не обеспечить валидацию.
Для банков будет выходом покупать сертификаты с красивыми плашками

ximaera Sep 16 2015 at 16:48

Ну дык, в статье же написано. Подпишет IdenTrust.

ComodoHacker Sep 16 2015 at 18:32

Это будет их собственный корневой CA, признанный браузерами.
Смысл проекта в том, чтобы перевести весть трафик на HTTPS, а не проводить валидацию. Для получения доверенных сертификатов нужно обращаться к другим CA.

Защита трафика от прослушки и проверка владельца сертификата — разные вещи. Проект Let's Encrypt нацелен на первую задачу.

Raegdan Sep 19 2015 at 15:43

Для решения первой задачи достаточно было бы сверстать красивый PDF с элементарной инструкцией вроде:

$ cd easy-rsa
$ source .vars
$ ./build-ca
$ ./build-key-server

Единственный его недостаток — палёность получившегося сертификата. Разве нет?

hardex Sep 16 2015 at 10:24

На картинке написано «чпокаются», а не «имеют отношения ».

UFO just landed and posted this here

achekalin Sep 16 2015 at 10:32

Я бы с удовольствием получил бы у них серт. уже сейчас. Что из CA будет доверенным — это вопрос времени, но все шансы за (хотя, конечно, все участники рынка не рады — им почти за воздух брать деньги всегда интересно), а начинать использовать хотя бы для своих целей вполне себе вариант.

Только бы они wildcard выдавали, а не только на конкретное hostname.

lexore Sep 16 2015 at 22:26

При бесплатности и автоматизации выдачи можно сделать и для кучи hostname.
Но если сервис подразумевает постоянную генерацию доменов, этот вариант не очень, согласен.

tendium Sep 16 2015 at 11:41

Кстати, кому прям не терпится, можно сделать https бесплатно с помощью cloudflare — они вас своим накроют. Но между вашим сервером и cloudflare трафик будет ходить нешифрованный.

blind_oracle Sep 16 2015 at 11:43

Есть проще — StartSSL

tendium Sep 16 2015 at 12:06

Проще? Проще чем просто зарегистрироваться на сloudflare и добавить свой сайт в список?

kachalov Sep 16 2015 at 20:59

Только он сразу выдает private key, генерируя CSR на своей стороне. Это немного не безопасно. Кроме того, отзыв сертификата и выдача более одного сертификата на домен — платно.
К слову, Let's Encrypt не обещает выдачу EV, CodeSign, Wildcard и не гарантирует великое множество зелени в качестве гарантии защиты сертификата. Некоторые промежуточные CA от Comodo, со сроком истечения в 2020 году и sha1, продают воздух по 3$/год. Так что «Динозавры» много не потеряют.
Тотальный ssl ускорит переход на IPv6, т.к. адресного пространства IPv4 не хватает на каждый блог (можно использовать несколько сертификатов на одном домене, но некоторые старые ОС и браузеры не умеют с ними работать + это не для shared хостинга).

BOPOHA Sep 17 2015 at 03:23

можно использовать несколько сертификатов на одном домене, но некоторые старые ОС и браузеры не умеют с ними работать + это не для shared хостинга

про браузеры: те браузеры, которые не поддерживают SNI уже не не используют(ся) в тестировании сайтов.
про шареды: если шаред древний на centos 5, то пожалуй да, более grade A без бубна не получить. полгода назад такая же беда была с centos 6, но сейчас все гуд, openssl > 1.0.1c. про deb-based я молчу, там все значительно лучше.
п.с. на одном IPv4 имею несколько доменов, ssllabs.com для всех выдает A+. ЧЯДНТ?

blind_oracle Sep 17 2015 at 08:06

Только он сразу выдает private key, генерируя CSR на своей стороне

Никто не мешает забросить им свой CSR, так что аргумент не катит.

ximaera Sep 16 2015 at 16:56

Ну, если вас устроит, что рядом с вашим сайтом в Subject Alt Name будет прописана порнуха, тогда да.

xandr0s Sep 17 2015 at 14:31

Раз уж тут про кф вспомнили, кто-нить смог на бесплатном тарифе подсунуть свой сертификат к домену за кф? Что-то у меня не выходит каменный цветок. То ли лыжи…

Dywar Sep 17 2015 at 20:56

А как тогда будут промежуточные IPS, IDS смотреть трафик с сайтов зараженных? Сертификаты то всем, проверять не будут тщательно (не справятся с потоком запросов), сейчас покупают по 200$ (и продают не спрашивая, платят и ладно), а так бесплатно, еще проще еще больше.