Спасибо, Let`s Encrypt. За год проникновение TLS в Рунете выросло в три раза

[Scratch]

c 14 числа (кое-где уже сегодня) должны впилить поддержку ddns, будет еще больше!

[farafonoff]

Кто именно должны впилить эту поддержку? Можно ссылку на детали?

[Scratch]

https://github.com/letsencrypt/boulder/pull/1969

[a553]

Спасибо, законотворцы. За год проникновение TLS в Рунете выросло в три раза

[vkegdzoy]

Что там, я со скайпа на tox перешёл. Поставил плагин https-everywhere. Раньше было плевать.

[vkegdzoy]

Сгущаются тучи. И скайп стал зависать.

[servermen]

Так это просто маршрутизацию «Усовершенствовали», выкинув из пиринга Level 3, вот регулярно теперь и стало отваливаться соединение с иностранными серверами. У трутней такая петрушка уже где-то с апреля месяца. Глянуть отчет по состоянию автономной системы можно тут: https://radar.qrator.net/as16345/providers#startDate=2016-04-04&endDate=2016-07-04&tab=left. То ли ещё будет!

[Mako_357]

Народ, подскажите. Использовал ли кто-нибудь из вас сертификат Let's Encrypt для серьёзных площадок, например, где производится онлайн оплата или закрытая часть с конфиденциальными данными?

[ZoomLS]

Используем. Всё ок.

[shteyner]

Да, совершенно ничего страшного в этом нет.
Но, есть один плюс коммерческих сертификатов — страховка, в некоторых местах она нужна что бы тылы прикрыть)

[chelaxe]

Будут ли они поддерживать домены в .onion и когда? Может кто знает как и где можно прикупить сертификат для домена в .onion?

[mayorovp]

Зачем в .onion вообще нужен HTTPS? Там же и без того несколько слоев шифрования.

[ivan386]

Видимо чтобы трафик шифрованный был и от браузера до прокси. Заодно зелёный замочек будет светится.

[chelaxe]

В проекте используются библиотеки openpgpjs и crypto-js. Некоторые браузеры (Chrome) не желают работать с этими библиотеками без https. Сейчас пока создан корневой сертификат и им подписан сертификат для домена.

[ivan386]

Приватный ключь надеюсь не сливается Let's Encrypt. Ато они такие добрые мы и сгенерируем его тебе и сертификат выдадем.

[mistiman]

Вам осталось совсем немного, чтобы понять как работает асинхронное шифрование, продолжайте
А если без сарказма, то приватный ключик никогда не попадает на серверы LE

[ivan386]

Let's Encrypt: получение сертификата по шагам

3. Запустите установку и генерацию с помощью

./letsencrypt-auto --agree-dev-preview --server \https://acme-v01.api.letsencrypt.org/directory -a manual auth

Вам будет предложено ввести электронную почту для восстановления в будущем.
Ключ -a manual позволит сгенерировать ключи в ручном режиме без их автоматической установки на веб-сервер.

[h31]

gethttpsforfree.com
Каждый шаг под вашим контролем. Держите на здоровье!

[shodan_x]

А есть еще Comodo PositiveSSL, 13.2 доллара за трехлетний сертификат, без гемороев как у летскриптов.

[magic4x]

Это каких же?

[Snowly]

Например я попробовал поставить на сетевое хранилище QNAP. Не осилил :( Пришлось взять сертификат в другом месте.

[zelenin]

не осилили что? запустить клиента? или прикрутить сертификат? процедура достаточно банальна, если понимать как это работает. Проблема может возникнуть максимум при автоматизации обновления сертфиката.

[xMushroom]

А без автоматизации зачем они нужны? Есть StartSSL, где бесплатно и на год.

[zelenin]

перечитайте коммент — он не про нужность автоматизации.

[xMushroom]

Вообще вся ветка комментов про геморрои у LetsEncrypt. Вы пишете, что геморроев нет, кроме как при автоматизации. Мой коммент про то, что автоматизация там и есть самая фишка, а без нее преимущества перед другими решениями нет, а есть недостаток — краткосрочный сертификат нужно часто обновлять вручную. А если с автоматизацией, то геморрои таки есть. Как-то так.

[zelenin]

нет, я пишу, что процедура проста, и максимум могут возникнуть сложности с автоматизацией, т.к. необходимо корректно все настроить и релоадить сервис, которому нужен сертификат.
Лично у меня с этим гемороя не было и нет — я пользуюсь клиентом на go lego. Поставил на крон что-то типа lego --renew && nginx reload раз в месяц.
Ну а с тезисом, что «если нет автоматизации, то зачем оно нужно», я согласен.

[Snowly]

Запустить клиента

[zelenin]

согласен. Питоновская поделка что-то с чем-то.
https://github.com/xenolf/lego не благодарите)

[navion]

GGSSL ещё дешевле.

[Lindon_cano]

Эх, им бы еще поддержку OpenNIC'овских зон(впрочем тикет про это есть, думаю впилят).
А я вот сижу и думаю нужна ли хаброкоммунити статья про автоматическое генерирование сертификатов при первом обращении к домену с использованием lua-resty-auto-ssl или нет. Только что закончил допилку пакета openresty под Ubuntu Trusty для работы с этим делом(и все лежит в отдельном ppa), но вот стоит ли писать статью в песочницу или те кому надо и так разберутся для меня пока вопрос.

[WingedRat]

Поставил сертификат на свой почтовый сервер после прочтения статьи.
Спасибо за напоминание о Let's Encrypt! :)

[old_bear]

Поясните нубу плиз. По новым мега-законам все, кто поставил себе сертификат на личный nas или почтовый сервер, должны обеспечить органы ключами? [даже если это технически невозможно]

[Lindon_cano]

Нет, вы не обязаны. Это операторы связи обязаны предоставить ваши ключи. В РФ эти горе-законы клепают идиоты настолько далекие от IT, что они вообще не понимают о чем пишут.

[old_bear]

Ну ок, пусть предоставляют. :D
Хотя печаль в том, что в наших реалиях подправить закон совсем недолго. Небольшое «уточнение формулировки» и мы все станет должны органам.