Думаю, StartCom, так же, как и WoSign, получали множество вежливых, невежливых и всяких других намеков от браузеростроителей. И, раз уж они никак не внимали (простите за тавтологию) «последним китайским предупреждениям», дошло до такой точки. Казуистически говоря, перед пользователями все же виноваты не авторы браузеров, а CA, который, «давая зуб», что будет честным, обманул их доверие.
С другой стороны, а что Гуглу с Мозиллой было делать? Сказать «мы против обмана, но ради пользователей закроем глаза»? Тем более что и платных альтернатив хватает, и вот бесплатная, в лице LE, имеется и развивается.
Причем к последней приложили кошельки и руки многие «большие игроки», и есть какая-то надежда, что свое детище они (опосредованно, но все же) постараются держать как надо.
Кто против? Но для завоевания доверия нужно, таки, завоевывать доверие. Вот, китайские товарищи показали, как его можно потерять в таких масштабах, что даже Мозилла с Гуглом на них обиделись. Давайте спросим уважаемых ребят из Symantec, например, что они думают по поводу повышения доверия ко всем CA, что им принадлежат?
И, да, по поводу того, что одна компания контролирует несколько CA — это как раз похоже не на создание доверия, а на уменьшение числа конкурентов на рынке, что потенциально ведет к уменьшению веры в честность.
Все бы хорошо, но в мире, как кажется, маловато осталось CA, которым можно доверять на том основании, что они прошли аудит и за ними не числится ни одной откровенное некорректной операции — кроме LE.
Причем, если брать именно «больших ребят», то они точно не белые и пушистые, а цены за ими выпущенные сертификаты высоки.
Так что иногда торговля доверием похожа, увы, на торговлю воздухом.
Пока LE не появился, многие некоммерческие сайты работали с самоподписанными — и работали.
Другое дело что если меня на каждом сайте будут спрашивать поставить в моей сисеме чей-то корневой серт — лично я рад не буду.
Да, раньше многие пользовались. Более того, многие оплачивали у StartCom платные аккаунты (точнее, проходили платную проверку), тем самым формирую и себе лучшие условия, и проект подпитывая. Как так они умудрились удавить корову курицу, приносившую золотые яйца?
Опять вспоминаю картинку про буханку и троллейбус из нее. «Сделать-то можно, но зачем?»
Плохо не то, что шифрование есть или отсутствует, плохо, когда один (даже очень хороший) инструмент пытаются распространить совершенно везде. Попробуйте идти от другого: какую пользу вы преследуете, запрещая использовать нешифрованный трафик?
В чем польза от шифрования всего-всего? Есть достаточное число случаев, когда https-only создает существенные проблемы, не принося заметного выигрыша.
Да никак. Ничего подобного и для платных сертификатов не требуется (обычная проверка на владение доменом), а в данном случае, как вы могли заметить из текста поста, речь идет о проверке владения доменом через новую версию API (но — автоматизировано, в любом случае).
Чтобы не тратить много слов: вот неплохой пост по поводу http/2 (существует кривоватый русский перевод этого же поста). Написано некоторое время назад, но суть не поменялась.
Есть также FAQ по http/2, где, в частности, кратко сказано:
Does HTTP/2 require encryption?
No. After extensive discussion, the Working Group did not have consensus to require the use of encryption (e.g., TLS) for the new protocol.
However, some implementations have stated that they will only support HTTP/2 when it is used over an encrypted connection, and currently no browser supports HTTP/2 unencrypted.
RFC сейчас не буду цитировать, но суть та же: это хотелка авторов браузеров реализовать http/2 только поверх TLS.
Но при этом не обязательно должен использовать. Можно да, можно нет. Как мороженное с сиропом — кто не любит, покупает без сиропа, и мороженное от этого хуже не становится.
Еще раз — наличие крипто только хорошо, но оно не должно быть обязательным: кому надо, тот настроит и шифрование, в добавок к http/2, кому шифровать не надо, должен быть в состоянии использовать http/2 без шифрования.
И эта идея разбивается об то, что современные браузеры все как один не умеют работать с http/2 без шифрования.
Зато уже в то время боролись с подделками, и эти чеки, которые выдавал банк, были помечены изотопом углерода-14
Тогда вообще не мелочились: то вот чеки изотопом пометят, то систему противоракетной обороны спроектируют со сдуванием боеголовок ядерным взрывом в атмосфере.
Хочется спросить «и зачем?»
FMC — штука глобальная, интересная, но, как практика показывает, не такая и нужная. А для компаний (положа руку на сердце) сегодня ее внедрять смысла особого и нет.
Просто потому, что обойти мессанжеры ей вся тяжелее, а на любом телефона уже живет клиент VoIP (да и не один, если взять голосовые возможности тех же мессанджеров), который приносит на телефон столько функционала, сколько никакой FMC не даст.
Тем более брать FMC (и вообще сотовую связь) от МТТ — очень «своеобразное» решение. Понимаю, что на внедрение вы потратили кучу сил, и надеетесь отбить деньги и время, но уж очень быстро все меняется!
С другой стороны, а что Гуглу с Мозиллой было делать? Сказать «мы против обмана, но ради пользователей закроем глаза»? Тем более что и платных альтернатив хватает, и вот бесплатная, в лице LE, имеется и развивается.
Причем к последней приложили кошельки и руки многие «большие игроки», и есть какая-то надежда, что свое детище они (опосредованно, но все же) постараются держать как надо.
И, да, по поводу того, что одна компания контролирует несколько CA — это как раз похоже не на создание доверия, а на уменьшение числа конкурентов на рынке, что потенциально ведет к уменьшению веры в честность.
Причем, если брать именно «больших ребят», то они точно не белые и пушистые, а цены за ими выпущенные сертификаты высоки.
Так что иногда торговля доверием похожа, увы, на торговлю воздухом.
Другое дело что если меня на каждом сайте будут спрашивать поставить в моей сисеме чей-то корневой серт — лично я рад не буду.
коровукурицу, приносившую золотые яйца?Плохо не то, что шифрование есть или отсутствует, плохо, когда один (даже очень хороший) инструмент пытаются распространить совершенно везде. Попробуйте идти от другого: какую пользу вы преследуете, запрещая использовать нешифрованный трафик?
В чем польза от шифрования всего-всего? Есть достаточное число случаев, когда https-only создает существенные проблемы, не принося заметного выигрыша.
А то, прямо как в той шутке: если в слове «хлеб» сделать четыре ошибки, то получится «пиво».
А зачем вообще доки проверять, в чем смысл?
Есть также FAQ по http/2, где, в частности, кратко сказано:
RFC сейчас не буду цитировать, но суть та же: это хотелка авторов браузеров реализовать http/2 только поверх TLS.
Еще раз — наличие крипто только хорошо, но оно не должно быть обязательным: кому надо, тот настроит и шифрование, в добавок к http/2, кому шифровать не надо, должен быть в состоянии использовать http/2 без шифрования.
И эта идея разбивается об то, что современные браузеры все как один не умеют работать с http/2 без шифрования.
ДА, супер!
Тогда вообще не мелочились: то вот чеки изотопом пометят, то систему противоракетной обороны спроектируют со сдуванием боеголовок ядерным взрывом в атмосфере.
Хочется спросить «и зачем?»
FMC — штука глобальная, интересная, но, как практика показывает, не такая и нужная. А для компаний (положа руку на сердце) сегодня ее внедрять смысла особого и нет.
Просто потому, что обойти мессанжеры ей вся тяжелее, а на любом телефона уже живет клиент VoIP (да и не один, если взять голосовые возможности тех же мессанджеров), который приносит на телефон столько функционала, сколько никакой FMC не даст.
Тем более брать FMC (и вообще сотовую связь) от МТТ — очень «своеобразное» решение. Понимаю, что на внедрение вы потратили кучу сил, и надеетесь отбить деньги и время, но уж очень быстро все меняется!
Расскажите, если что-то найдете достойное!
Правда, чтобы ребут ловить при исчерпании памяти — с версии 1.хх общаюсь с ним, но такого не припомню.
А iso-ки привык через scp или wget загружать, так что про аплоад именно iso не подтвержу, а вот образы по полсотни метров грузили отлично.
Ну а на фоне других GUI для того же — это просто лайнер против планеров разной степени готовности.