> К сожалению, для https он требуется постоянно. Простите?! Что именно вам требуется постоянно?! Приватный ключ сертификата? Зачем?! Пароль для сайта?! Ну в общем то что тырят нынче оптом. Парни, это вообще в памяти не должно было висеть. Так что одни бракоделы запалили и подставили толпу других бракоделов. Каскад FAILов :).
> Все, что можно - и так затирается
А что же тогда народ тырит оптом нынче? Типа паролей к онлайн банкам и прочей прелести.
> (если где-то не затирается - срочно присылай патч).
У меня пупок развяжется за всеми долбоклюями их обсироны подтирать.
> С выносом в отдельный процесс - вполне рабочее решение, хотя на хайлоаде
> оверхед на IPC может оказаться существенным. Решение Akamai этого оверхеда не
> имеет. Выглядит грязным хаком, каким и является - но это можно
> допилить, сделав человеческое api для специальной аллокации.
Костыли они такие. Что характерно, на безопасность все это повлияет мало. Если толпа ламеров будет и дальше "шифровать соединение", думая что за них все сделает мегаумная либа, а авторы либы к тому же нисколько не будут париться о том что с их ламерами-пользователями случится - оно и дальше будет как-то вот так. Я уже приводил эталоннейший пример: большинство софта отличного от браузера кладет болт на, допустим, фингерпринт сертификата сервера. Его увидеть то можно далеко не везде, не то что заметить что он изменился. Наиболее стойкие шифры как приоритетные указывает спасибо если каждый сотый долбоклюй, поэтому что там будет по факту использовано при конекте к "вон тому серверу" - лотерея полнейшая. Какая при этом безопасность? Ну я думаю понятно какая.
