Почему некоторые против HTTPS Everywhere?

А ты включи и попробуй. Почти все сервера только под http.

А ты включи и попробуй. Почти все сервера только под http.

Ну есть на некоторых ресурсах проблемы. Ну так сами себе виноваты.

Почти все сервера только под http

У нас тут прорыв из 2007 года!

Сама по себе идея такова - нет нужды шифровать все подряд. Например, есть публичная информационная страница, ее можно спокойно отдавать по http. Но другое дело, что сейчас все, кому не лень, включая провайдеров, тянут свои грязные руки к твоему трафику. Поэтому лучше все-таки иметь туннель между своей машиной и удаленным узлом.

Сертификат - это проприетарщина, как, впрочем, и домен. Принадлежат дяде. Потому и то и другое - НИНУЖНО.

Не знаю, обычно говорят что правила не выход, надо пытаться долбиться даже если не работает. Но тогда есть вариант лучше, можно отключить незащищённые соединения в HTTPS Everywhere, кроме того это дополнение будет тебе верифицировать серты, и регулярно подменяют на левые.

тянут свои грязные руки к твоему трафику

Проблема ещё не только в том, что они его смотрят (воруют данные), но и в том, что некоторые особо умные умудряются подменять траффик, вставлять свою рекламу или чего похуже. Я сам недавно был свидетелем, как в мой телефон МТС вместо 404 ошибки присылала оформленную в своём стиле страницу «404» с рекламой и прочими пирогами. Это ни в какие ворота не лезет.

Нет, это реальность 2019 года.

Верно, я именно подмену трафика и имел в виду!

а ты кто?

чья реинкарнация?

Сертификат - это проприетарщина, как, впрочем, и домен. Принадлежат дяде. Потому и то и другое - НИНУЖНО.

Не хочу задеть ни чьих чувств, но я лучше буду пользоваться сертификатом от дяди Сэма, нежели смотреть нашу отечественную копрорекламу.

а ты кто?
чья реинкарнация?

Я не верю в реинкарнацию.

В теории можно иметь TLS соединение с защитой целостности, но без шифрования. Т.е. подменять трафик и вставлять рекламу не смогут, видеть трафик смогут. Но это немэйнстримное решение и в TLS 1.3 наборы алгоритмов без шифрования трафика уже выпилили

Странная у тебя реальность, грибная какая-то

Уродская переадресация на страничку логина при подключении к вайфаю в аэропортах работает только с http. Остался один http-сайт на который я регулярно захожу, вот в аэропортах логинюсь через него. Что буду делать когда он на https перейдёт - не знаю.

Да, виноваты те, кто не смог настроить https на сервере (одну галочку поставить в веб-интерфейсе хостинга), а светить свои данные вынуждены пользователи этих ресурсов.

используй http://captive.apple.com/hotspot-detect.html, он не перейдёт.

Ну не буду же я ету херню специально в закладках держать, это унизительно как-то.

как альтернатива http://www.gstatic.com/generate_204

Потому что не на всех сайтах необходим HTTPS. Не на всех сайтах есть вообще поля для ввода каких-либо пользовательских данных.

Потому что существуют ещё активные HTTP-сайты в состоянии «поддержки», которые вряд ли когда-либо перейдут на HTTPS.

Потому что сайты на HTTPS часто просрочивают свои серты. Кто там виноват админ, хостер, или рептилоиды – мне похер, мне нужен доступ к инфе, а не глупые разбирательства.

Потому что при полном переходе на HTTPS твой сайт ооочень сильно проседает в поисковой выдаче.

Потому что это ещё один геморрой на голову системного администратора, особенно если у тебя wildcard-сертификат

Потому что других игроков кроме Let’s Encrypt – не видно.

Потому что: https://habr.com/ru/post/357308/

И т. д. Любая технология имеет свои плюсы и минусы. Я против HTTPS Everywhere и особенно против того, чтобы HTTP-сайты были отключены в ближайшие 10-20 лет.

Ок, начнём с ЛОРа.
Зайди в раздел job, и прогуляйся по сайтам местных «работодателей». У большинства проблемы, хотя казалось-бы...

Потому что не на всех сайтах необходим HTTPS

то есть встраивание javascript от провайдера или hotspot вас не волнует?

Потому что существуют ещё активные HTTP-сайты в состоянии «поддержки», которые вряд ли когда-либо перейдут на HTTPS.
Потому что сайты на HTTPS часто просрочивают свои серты. Кто там виноват админ, хостер, или рептилоиды – мне похер, мне нужен доступ к инфе, а не глупые разбирательства.

проблемы негров? ты думаешь что автоматизация и напоминание о https наисложнейшая проблема администрирования? если они не в состоянии следить за сертификатами, то со всем остальным такие-же проблемы.

Потому что при полном переходе на HTTPS твой сайт ооочень сильно проседает в поисковой выдаче.

c чего бы? даже наоборот https://www.sangfroidwebdesign.com/search-engine-optimization-seo/google-http...

Потому что это ещё один геморрой на голову системного администратора, особенно если у тебя wildcard-сертификат

dns challenge поддерживается плагинами, ну или трех строчным bash, админ, который это не осилил, не нужен

Потому что других игроков кроме Let’s Encrypt – не видно.

игроков во что? в сертификаты? так их море, а бесплатные сертификаты: тот же amazon/google если хостишься на AWS/GC.

Потому что: https://habr.com/ru/post/357308/

И до letsEncrypt фишинговые сайты получали https сертификаты бесплатно, там wildcard и не нужен был.

Это исключительно проблема пользователя который вбивает свои пароли и логины куда не поподя.

Это больше проблема браузеров. То, что они красят в БЕЗОПАСНЫЙ ЗЕЛЁНЕНЬКИЙ цвет https и рядовые юзеры увидев надпись Secure радостно вбивают пароль.

Вся суть в том, что вот это вот «HTTPS Everywhere» и доступность сертов каждому дало хорошее такое развитие фишингу, вместо ещё одной предполагаемой защиты и секурности, лол. Вся суть параноиков-внедренцев.

У нас тут прорыв из 2007 года!

Ты не повериш, но в 2019 году почти все репы пакетов Linux дистрибутивов идут через HTTP

• https://i.imgur.com/x45McGE.png

HTTPS Everywhere is a free and open-source browser extension. It automatically makes websites use a more secure HTTPS connection instead of HTTP, if they support it.

Какое-то не нужно. Если сайт прямой и поддерживает https, то ты будешь использовать https. Если этого нет, то расширением этого не исправишь, либо в весьма редких случаях, а в других сломаешь что-то.

Ты не повериш, но в 2019 году почти все репы пакетов Linux дистрибутивов идут через HTTP (скрин)

У Virtualbox, всё же, репа с https

https://www.virtualbox.org/wiki/Linux_Downloads

проблемы негров?

В данном случае это мои проблемы. Я не могу получить информацию или доступ к сервису. А какой там админ-негр в этом виноват или очередной параноик-внедренец меня не волнует. HTTPS – это ещё одна точка отказа в том случае, если я пользователь.

dns challenge поддерживается плагинами

Не у всех регистраторов есть API. Не для всех регистраторов есть плагины. Можно ли доверять сторонним плагинам, не от Let’s Encrypt? И т. д. и т. п.

юзеры увидев

Нет, большинство юзеров не предпологают, о существовании адресной строки, и вводят адреса сайтов (названия тоесть) в поисковики. Соответственно и зелёненького значка они не видят.

Вся суть параноиков-внедренцев.

Особенно умиляет, когда яростные защитники как раз анонимусы, которым будь ЛОР как и ранее мог бы отдаваться по http, то для них бы ничего не изменилось, кроме того, что не надо было бы напрягать свой комп и лоровский сервер шифрацией.

Мало того, когда провайдер заменяет сертификат запрошеный с https сайта на свой, и браузер на весь экран выводит предупреждение, что сертификат подменили в процессе передачи (на русском языке, крупными буквами) юзер находит кнопку «всё равно открыть, я понимаю риск» и грузит сайт с провайдерским сетрификатом.

Лишняя морока с sslbump и установкой доверенных сертификатов всем сотрудникам.

В данном случае это мои проблемы.

Предлагаешь всем сайтам перейти на http? Как просрочка сертификата связана с Https everythere?

Не у всех регистраторов есть API

Причём здесь регистраторы?

Можно ли доверять сторонним плагинам, не от Let’s Encrypt?

Плагины официальные.

и т. п.

Например?

Потому что других игроков кроме Let’s Encrypt – не видно.

Cloudflare дает сертификаты бесплатно тоже, причем их не надо продлевать постоянно.

Мало того, когда провайдер заменяет сертификат запрошеный с https сайта на свой, и браузер на весь экран выводит предупреждение, что сертификат подменили в процессе передачи (на русском языке, крупными буквами) юзер находит кнопку «всё равно открыть, я понимаю риск» и грузит сайт с провайдерским сетрификатом.

Здесь я вижу две проблемы. С одной стороны - разработчики браузера, которые должны по умолчанию обрывать соединение и ничего не передавать в таком случае, а не давать макаке поиграться с гранатой. С другой стороны - макаки, у которых мозг атрофировался настолько, что вместо текста у них пелена перед глазами и кнопка «ВСЁРАВНО АТКРЫТЬ!!!111»

Собственно, за макак я не вижу смысла волноваться, - это их половые проблемы. Если человек идиот - он не в интернетах должен сидеть, а овсянку безопасной ложкой в закрытом учреждении кушать. Возможно, разработчики брауров того же мнения, потому кнопку и оставили, что адекватный человек поймёт, что к чему, а макака сама себе виновата.

причем их не надо продлевать постоянно.

Что вы с этим продлением носитесь, как с писаной торбой? У вас крон кто-то отобрал? Одну строку лень набить?

анонимусы
для них бы ничего не изменилось

Если бы на всех околотехнических форумах можно было писать не отправляя открытым текстом свою почту, номер телефона, пароль... Можно было бы и с http нормально существовать. В моём случае, 3 из 4 сайтов на которые я регулярно хожу не имеют https.

Предлагаешь всем сайтам перейти на http?

Интересно, каким образом ты сделал такой вывод. Я за HTTPS в разумных пределах, а не в пределах фанатиков и их парадигмы – «HTTPS everywhere». Я предлагаю использовать HTTPS там где это нужно, а не носиться и пихать его во все дырки, создавая новые проблемы и точки отказа. Это адекватный подход. Если HTTP-сайт вообще статический, не хранит никаких пользовательских данных – то не нужно писать «No secure», или понижать его в поисковой выдаче, потому что он не HTTPS. Тем более нахер не нужно ограничивать доступ на такие сайты.

Причём здесь регистраторы?

Притом что у них есть свои DNS. И для этих DNS нет официальных плагинов Let’s Encrypt’а. Иногда есть неофициальные. Им можно доверять? Иногда и неофициальных нет.

Как просрочка сертификата связана с Https everythere?

Напрямую. Некоторые статические бложики, которые я читал, на волне хайпа перешли на HTTPS и спонтанно забывают продлить себе сертификаты. Этого бы не происходило, если бы с этим HTTPS не носились как с писаной торбой.

Для них целостность проверяется по-другому.

Если HTTP-сайт вообще статический, не хранит никаких пользовательских данных – то не нужно писать «No secure»

Так нет никаких гарантий что ты смотришь этот сайт, и браузеры пишут connection is not secure, это означает что контент мог быть подменена хз кем. HTTPS не только защита данных посылаемых от тебя, но и защита посылаемых к тебе данных от модификации.

Притом что у них есть свои DNS

И нах хостить днс у таких регистраторов?

Так нет никаких гарантий что ты смотришь этот сайт, и браузеры пишут connection is not secure, это означает что контент мог быть подменена хз кем. HTTPS не только защита данных посылаемых от тебя, но и защита посылаемых к тебе данных от модификации.

Это уже вопрос доверия цепочки ты-провайдер-интернет. Вот серьёзно, мы ведь как-то жили без HTTPS на многих сайтах лет 5 назад. Лично у меня ничего ни разу не подменяли и никакую рекламу мне не вставляли. И сейчас на HTTP-сайтах тоже всё чисто.

И нах хостить днс у таких регистраторов?

Идут «в комплекте», бесплатны и быстро обновляются. Нет лишних заморочек.

Это уже вопрос доверия цепочки ты-провайдер-интернет

и какое доверие у вас к левым hotspot?

Вот серьёзно, мы ведь как-то жили без HTTPS на многих сайтах лет 5 назад.

так и wifi в mcDonalds не было

Лично у меня ничего ни разу не подменяли и никакую рекламу мне не вставляли.

Если у вас не было, не значит что у остальных тоже, пример https://habr.com/ru/post/262631/ https://kirkizh.ru/2017/07/megafno-2/

Идут «в комплекте», бесплатны и быстро обновляются.

обычно они бесплатны первый год, потом платны и убоги, уж лучше cloudflare

быстро обновляются

обновляются? как это связано? обновляются куда? вы вообще настройку DNS видели? понимаете принципы работы?

Сама по себе идея такова - нет нужды шифровать все подряд.

так-то оно так, но проще шифровать тотально всё, чем в каждом случае разбираться насколько это актуально. А чем система проще, тем она надёжнее.

Зачем мне ходить по репам всяких кривых дистрибутивов, да ещё браузером?

Есть негодяи кладущие болт на безопасность. Из-за них https не может стать стандартом. Уязвимость в библиотеке шифрования? Дак проверяйте и исправляйте скажу я. Сделайте несколько видов, кому какая нравится. От использования http надо избавляться. Принципиально не выключаю расширение, приучился брать инфу из кэша или на других сайтах, так что неhttps тупо потеряли клиента в моем лице.

И да, в моём дистрибутиве https репы.

Только что увидел в местном чате:

https://forums.gamemag.ru/
у всех не работает?

Совпадение? Не думаю. Бгг.

Лулзы: https://forums.gamemag.ru/topic/129232-вопросы-предложения-замечания-по-работе-гейммага-часть-2/?page=44

(для тех, кто сможет получить инфу по ссылке, конечно)

Пользоваться публичным вай-фай, да хоть через ВПН - позор для специалиста. Что у нас нет интернета от обсосов с единой ценой по стране? Есть. Я ещё в дискуссии про MC всё про вас понял. Спасибо, что подтвердили.

по стране

этой страной мир не ограничен. Вот сейчас сижу в CIC, у них открытый публичный wifi, либо пользоваться VPN и иметь 300Mбит/с и безлимитный коннекшен, либо сидеть через опсоса с 10 мегабитами и 4Gb месячным лимитом.

В любом случае нужен короткий вариант.

У меня им пока выступает известный в узких кругах форум hlfx.ru. Но не знаю что будет, когда владелец заюзает https.

Что у нас нет интернета от обсосов с единой ценой по стране?

По какой стране, болезный? Аэропорты - они страны соединяют.

И откуда столько ущербных кривошеек, точно знающих, что позор, а что нет?

Я ещё в дискуссии про MC всё про вас понял.

Я тебя там обидел что ли? Ну прости меня, бедный.