Flare 1.10

почему в нём ограничение 90 дней? это как то технически обоснована или это что бы завлечь клиентуру и на больший срок выдавать уже на платной основе?

мегафон вот вроде крупный а такое себе позволяет что б они падлюки обанкротились со своей идиотской рекламой. ну просто бесит когда на каждой мелочи начинают бабло пытаться срубить. им ведь не за это платят.

Мегафон не является CA, так что я не понял причем тут это.

Не исключено.

ты сказал критерий для включения в списки браузеров - крупный бизнес. ну, не подходит разве под определение?

Hidden services в торе уязвимы к MITM? Серьезно? Ну и новости!

Онион-адрес содержит в себе публичный ключ. Он уже в адресе, если тебе уже известен адрес - CA для сверки не нужны!

мда, на юристов никакой надежды нет. что за дебилы эти законы пишут. прицепились к каким то несчастным кукам а тут такое позволяют подмену сертификатов и считай атаку на собственных юзеров.

но неужели нет какого то хитрового способа без третьих лиц? почему же к примеру для ssh подписывать сертификат не надо?

Пельмешка, ты сам то в это играешь?

Вообще как по мне идеальный вариант – это когда для всех важных сайтов (банки, крупные интернет-магазины, etc) можно сходить и получить их публичный ключ от официального представителя лично, в руки, под его роспись. Так и только так можно добиться гарантированной безопасности соединения с ним.

Как раз можно получать так онион-адреса из тора.

Let's Encrypt не выдаёт платных сертификатов. А 90 дней — это очень много, даже слишком много. Никто не обновляет их вручную.

Играл раньше. Даже прошёл до конца и создал об этом тред на ЛОР'е, 6 лет назад: Прохождение Flare.

С тех пор — нет.

не логичнее ли выдавать до конца срока на который зарегистрирован домен? зачем им лишняя работа? но вобще полезная тема, теперь заюзаю этот let's encrypt если понадобится какой сайт поднять.

Да, но пока нет.

В том же DII их целый ворох.

И много в Д2 его было, этого геймплея? Ну первые разы было еще интересно, а потом на скорость пробегали тупо.

Заморачиваться с https на мелком вебсервере? Там делов на пару минут настройки, и ни чего не просрачивается.

Зачем его шифровать? Зачем лишние прослойки?

Ни разу не ловил рекламу от провайдеров, которые внаглую вклиниваются в не шифрованный www-трафик?

Ну закроется и что? Откроется еще кто-то. Протокол их открыт и свободен, даже RFC уже есть по нему.

Как будто игры 97 года плохие.

А поцыент и не сравнивает качество игр (с которым, кстати, могут оказаться проблемы). Он сравнивает интерфейс и графоний. Вот они-то уровня 1997 года вот-вот и достигнут, если не врет.

Проблема в том, что те условные 90% перешедшие на Let’s encrypt свои сертификаты обновлять не помнят и 50% от этих сайтов какое-то время в году недоступны по причине просроченного сертификата. Хз, вроде бы там есть сейчас уже инструменты для автоматического обновления. Видать не все в курсе.

Шта? Они не осилили крон? Да не смеши. Обычно факапаются по сертификату как раз простые 10-баксовые на год – т.к. админ за год забывает что там у него (а напоминалки на почту не читают, даже если есть), и которые, внимание!, высылают по почте открытым текстом чаще всего.

Графоний не главное в игре. Мы же про игры тут, а не про демки.

Первая со второй отличаются даже сильнее чем сабж от д2.

Главную багу-то исправили? Возрождение убитых монстров при повторном входе в локацию. Если нет - в унитаз поганую поделку.

Это не баг, а фича.

Ты проспал как дропнули лидеров рынка?

Firefox и Chrome полностью прекратят доверие к CA Symantec – вот не много, остальное сам нагуглишь.

мой быдлокод на пыхе будет работать хоть по http хоть по https

А при чем тут твой код? Ты же не веб-сервер пишешь.

Скорее всего, когда достаточно народу свалит к ним, начнется та же дребедень (ибо хозяин один и тот же)

Не скорее всего, а точно. Яркий пример: еле2 – после продажи и выхода на рынок мск и мо скатились с гиперскоростью до уровня большой тройки со всем возможным говном: у меня, например, модем сам подписался на платный сервис какого то говна типа гороскопов. Хорошо быстро заметил.

сам не знаю. у товарища выше возникли вопросы почему то.

Ну закроется и что? Откроется еще кто-то. Протокол их открыт и свободен, даже RFC уже есть по нему.

да но выше писали что браузеры включают в списке доверенных только крупные корпорации. а вдруг корпорасты не захотят бесплатно подписывать.

И кому твой тор будет доступен? Ладно я, например – одна команда в терминале, а обычный вася?

модем сам подписался на платный сервис какого то говна типа гороскопов

почему какие то куки несчастные слабоумные законодатели требуют явно показывать какое то всплывающее говно а вот такую наглость позволяют

До LE была другая контора CA с бесплатными сертификатами, скопытилась, т.к. корпорасты и были. Многие пострадали тогда, но спасло то, что были это в основном энтузиасты. хайпа еще не было. LE и появилась как открытая, свободная реализация в ответ на прежний факап.

так и что LE на какие деньги существует? что значит открытая? типа как фонд GNU?

Потому что рука руку моет.

Сервис Let’s Encrypt предоставляется публичной организацией Internet Security Research Group[en] (ISRG).

Основные спонсоры проекта: Electronic Frontier Foundation >(EFF), Mozilla Foundation, Akamai, Cisco Systems.

Партнёрами проекта являются центр сертификации IdenTrust[en], University of Michigan (U-M), Stanford Law School[en], Linux Foundation[18]; Stephen Kent (из Raytheon/BBN Technologies[en]) и Alex Polvi (из CoreOS)[7].

https://ru.wikipedia.org/wiki/Let%E2%80%99s_Encrypt

Скорее как Linux Foundation – на деньги спонсоров, без такого идеологического подтекста как GNU.

но это же коррупция. почему бы не написать об этом путлеру и навальному.

похоже годная контора. спасибо этой теме а то как раз есть идеи сайт поднять а платить за сертификаты не охота. только я видел их почему то до сих пор продают $200 с чем то. какие лохи покупают? какие преимущества у платных?

90 дней – это компромисс между нагрузкой на CA и безопасностью. Чем длиннее срок действия – тем выше риски при возможной компрометации.

Тор браузер же есть и вроде в фаерфокс собираются тор включить.

я как то давно пробовал этот тор. через него очень медленно скачивать. хотел заюзать вроде для скрэпинга ссайта который банит по IP на какой то период после определённого количества запросов. и ещё живя в стране с цензурой страшнова то этим тором пользоваться а вдруг кто через него с твоего IP напишет чего про религиознутых мракобесов охраняемых законом о защите верующих или ещё о ком таком.

но это же коррупция. почему бы не написать об этом путлеру и навальному

Ну у нас антимонопольщики там что-то пытаются им сделать, но там такие косяки, что эта просто детский сад, руки не доходят.

похоже годная контора. спасибо этой теме а то как раз есть идеи сайт поднять а платить за сертификаты не охота. только я видел их почему то до сих пор продают $200 с чем то. какие лохи покупают? какие преимущества у платных?

Есть разные типы сертификатов:

• подтверждение владением доменом и не более – DV, доступен физ.лицам и юр.лицам. LE проверяет контролирует ли администратор вебсервер, на который указывает DNS запись домена. Проще говоря – разместить предоставленный файл с содержимым на веб-сервере и открыть для него права на чтение.

• подтверждение компании, простое и расширенное – OV и EV сертификат, доступен только юр.лицам. LE не работает с такими, тут идет проверка документов людьми (от регистратора, хостинга, от государственных контор и т.п.), за это и берут деньги.

Отдельно стоит сказать про Wildcard – это сертификат не на конкретное имя домена, а на область, например на *.amalofeev.ru. LE проверяет что администратор контролирует файл зоны. Проще говоря – требуется добавить TXT записи DNS.

Для LE написаны куча ботов, т.к. всё открыто и свободно. Один из официально рекомендуемых, наиболее популярный и функциональный, это certbot – https://certbot.eff.org/, прилагается куча документации от уровня домохозяйки, до уровня разработчика.

Ну и коммерческие CA и их партнеры берут деньги именно за проверку – от простейшей за DV (обычно $10 примерно в год) до хрен знает какой, в основном там уже маркетологи загоняются, для простых людей это тупо избыточно и нахрен не нужно.

ну а зачем эти все юр.лица нужны если без них браузер никаких warningов не показывает и юзер чуствует себя спокойно? бессмыссленные понты получается.

Рядом с «замочком» популярные браузеры выводят название компании.

По идее не плохо – это некая гарантия того, что сайт принадлежит именно той конторе, от имени которой и представлен сайт.

Простейший пример – фишинг. Регистрируем похожее имя сайта как у какого-то банка, получаем сертификат, делаем сайт-заглушку интернет-банка и получаем контроль над счетами не пуганных пользователей.

А похожее имя сегодня зарегистрировать как два пальца обоссать – доменных зон стало как грязи. Да и раньше было относитьне не сложно подобрать нечто похожее.

так это юзер ССЗБ, смотреть надо куда заходишь. а если не смотрит так и на похожее имя компании можно сертификат сделать.

Это другой, отдельный браузер. Для васи и мани это сложна.

Для файфокса – даже если добавят поддержку, с его долей пользователей будет не решение, в 90% это для васи и мани опять второй браузер, а им сложна.

В том то и дело, что EV сертификаты – это проверка подлинности компании и её сайта. Для CA это бизнес, который теряется вместе с репутацией очень быстро, пример я приводил с сумантеком/нортоном, так что проверять будут.

Ну а от дурака, конечно, защиты на 100% не бывает, потому фишинг и прочие подобные атаки ни когда наверное не умрут.

Ну и последнее – https стал мейнстримом, уже сейчас браузеры ругаются если поля ввода на сайте для логина/пароля. В планах – ругань на любое поле ввода без шифрования. В не далеком будущем, но пока нет в планах – думаю ругань на любой не шифрованный трафик.

Да, и замечал наверное предупреждение о смешанном содержимом – тебе как сайтописателю стоит иметь в виду, если https в идеале ни какое внешнее содержимое не должно подгружаться по http. Пока с этим особо не борятся, «зеленый замочек» меняется на «желтый треугольник с восклицательным знаком» – но это пока, скоро тупо блочится будет (специальные аддоны для браузеров уже делают это).

Ну и сам почитай про hsts, проксирование и т.п. – это уже как админ вебсервера.

у меня с этим проблем нету я просто делаю в файле который везде вкладывается что то типа

if (!IN_SCRIPT) {
  $www_proto = (isset($_SERVER["HTTPS"]) && $_SERVER["HTTPS"] === "on") ? "https" : "http";
  $www_base = "{$www_proto}://{$www_host}{$www_path}";
}

и потом везде где надо вставить чего или ссылку соответственно что то типа <img src=«<?php h(»{$www_base}/path"); ?>" />

h это ф-ция определённая как

function e($str) { print($str); }
function t2h($str) { return htmlspecialchars($str, ENT_QUOTES, 'UTF-8'); }
function h($str) { e(t2h($str)); }

Ни разу не ловили рекламу от провайдеров, которые нагло подменяют шифрованый трафик?