https://ns.opennet.dev/openforum/vsluhforumID3/112990.html Некоммерческий удостоверяющий центр Let&#8217;s Encrypt (https://letsencrypt.org), контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, опубликовал (https://letsencrypt.org/2017/12/07/looking-forward-to-2018.html) сообщение, обобщающее итоги 2017 года и рассказывающее о планах на следующий год. В 2017 году доля запросов страниц по HTTPS увеличилось с 46% до 67%. Проектом Let's Encrypt выдано (https://letsencrypt.org/stats/) 46 млн сертификатов, охватывающих около 61 млн доменов, что составляет (https://nettrack.info/ssl_certificate_issuers.html) примерно 37% от всех выданных сертификатов. В следующем году Let&#8217;s Encrypt намерен удвоить показатели и довести число выданных сертификатов до 90 млн, а число охваченных доменов до 120 млн.<br><br><br>В 2018 году также планируется представить вторую версию протокола ACME и обеспечить возможность использования сертификатов, охватывающих группу поддоменов по маске (например, *.example.com). Сертификаты с масками можно будет генерировать https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#67 Thu, 14 Dec 2017 11:37:04 GMT С разморозкой!<br> https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#66 Tue, 12 Dec 2017 02:39:11 GMT Ещё раз &#8211; чтобы OCSP-ответ сообщил пользователю, что "дело швах" *владелец сертификата* должен сообщить об этом CA.<br><br>Т.е. использование OCSP позволит клиенту узнать о проблеме только если о ней и так известно основным заинтересованным лицам (а не заинтересованный в чёрном пиаре админ просто забьёт на ревокацию).<br><br>Если о проблеме известно, а злоумышленник вволю "подсасывается к апстриму" и "отравляет DNS", то владельцу сайта нужно делать публичное заявление о взломе, а пользователю &#8211; искать политического убежища где-нибудь в Уганде.<br><br>А то ведь такой злоумышленник может и от управления сертификатом отлучит (и продолжать "подсосавшись к апстриму" получать новые сертификаты через HTTP -challenge CA). И через DNS перенаправить пользователя на свой сервак, для которого у него есть *валидный* сертификат.<br><br>И OCSP при этом поможет как мёртвому припарка.<br><br>Если ваш сайт интересен таким злоумышленникам, самый надёжный способ &#8212; раструбить про взлом и исправить причины. А OCSP &#8212; удобное о https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#65 Tue, 12 Dec 2017 00:09:56 GMT И что с того? Всё равно можно будет автоматизировать<br> https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#64 Mon, 11 Dec 2017 19:26:46 GMT &gt; не удивлюсь, если все закрытые ключи давно у америкосов в папочке лежат. <br><br>В мамочке же, вендодятел!<br> https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#63 Mon, 11 Dec 2017 18:02:22 GMT &gt; и как её сделать?<br><br>Очевидно, на пауэр шелле.<br> https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#62 Mon, 11 Dec 2017 17:59:39 GMT Безусловно, значит. Вопрос только в степени этого контроля.<br> https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#61 Mon, 11 Dec 2017 15:42:24 GMT &gt; Там комментарием выше перед тобой, как минимум, кроме единственно-верного ещё dehidrated<br>&gt; помянули как вполне работающий<br><br>если дурацкая лицензия действительно часть апи - то, значит, либо тоже "не забывайте обновлять, из другого репо", либо он там сам к чему-то делает запрос, что подсказывает ему, какая нынче лицензия правильная.<br><br>в общем, так себе идеология.<br><br><br> https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#60 Mon, 11 Dec 2017 13:55:50 GMT &gt; Ну будешь выбирать регистратора (или провайдера DNS) который это умеет. Если уж <br>&gt; тебе нужны вайлдкард-сернтификаты это в любом случае подразумевает некие объёмы и <br>&gt; разборчивость, а чаще - вообще свои DNS. Да и они зачешутся, <br>&gt; куда денутся. Или на худой конец будешь жить так, как живёш <br>&gt; сейчас, никто у тебя ничего не забирает.<br><br>Если они подтянутся, то будет здорово.<br>Да, я и сейчас нормально живу, только вместо нескольких десятков файлов на каждом сервере может быть только 3, а так сам вайлдкард мне и впрямь не нужен.<br> https://ns.opennet.dev/openforum/vsluhforumID3/112990.html#59 Mon, 11 Dec 2017 13:40:34 GMT Ну будешь выбирать регистратора (или провайдера DNS) который это умеет. Если уж тебе нужны вайлдкард-сернтификаты это в любом случае подразумевает некие объёмы и разборчивость, а чаще - вообще свои DNS. Да и они зачешутся, куда денутся. Или на худой конец будешь жить так, как живёш сейчас, никто у тебя ничего не забирает.<br>