Symantec продаёт SSL-бизнес DigiCert

Ведь этот сертификатный бизнес - это миллионы из воздуха.

Так ты тоже замути такой бизнес и живи под пальмой на Гоа. Чё ты бабло в чужом кармане считаешь?

Любишь, чтобы за тебя другие думали. Думай своей головой хоть иногда. Выпуск сертификатов - занятие малозатратное.

Ну вот чтобы я без твоего одобрения делал.

Ну как сказать неплох. Мы берем wildcard ssl и у симантека это стоило 6-7 тыр в год. А тут беглый обзор показал цену 15 тысяч, что многовато.

Кроме того, если поляну зачистят, то они и цены поднимут. В общем посмотрим, полгодика еще есть, а там можт ишак или падишах сдохнут...

Я у них брал wildcard dv за что типа 70$/год, меня вполне устраивает. Естественно, не напрямую, иначе почти заград. тариф получается.

Эту историю не слышал, но про честного ахмеда крайне рекомендую почитать. Где-то в багтрекере Mozilla оно было после очередного скандала с выдачей левых сертификатов субординатом comodo

Например для EV. Например для сложных случаев, когда тебе надо выпускать сертификат другим устройствам (т.е. у тебя должен быть промежуточный сертификат). Например для того, чтобы выпустить сертификат года на 3, а не на 3 месяца.

Продажа полностью завершится к концу 2018 года.

Мда, я понимаю, большие корпорации неповоротливы, но полтора года продаваться...

что за анекдот?

DNSSEC может подтвердить подлинность самоподписного сертификата?

Вот только не надо сюда постить скан своей жопы!

В качестве ответа на санкции Google,
а не надо ли тут запятую?

Мда, я понимаю, большие корпорации неповоротливы, но полтора года продаваться...

антимонопольцы и прочие структуры должны одобрить.

Очевидно это анекдот про Ленина и ребенка, где он отказывает ребенку в резкой форме, а глаза такие добрые добрые. Или отказывает, а мог бы и бритовкой по горлу.

Будем иметь в виду. Просто кагда у этих контор брали, тоже казалось, что все надежно. Хрен их знает, может через пару месяцев очередная новость - гугель и мозилла больше не доверяют комодо...

Хорошо, что бизнес достанется DigiCert, за ним вроде пока ничего предосудительного замечено не было. А объём сертов, выпущенных Symantec не маленький, если бы их наказали как WoSign, у очень многих владельцев сайтов начался бы батхёрт.

Как там дела у WoSign кстати? Страдают? Или срать они хотели на возню за пределами Китая?

DNSSEC может подтвердить подлинность самоподписного сертификата?

Encrypted communication on the Internet often uses Transport Layer Security (TLS), which depends on third parties to certify the keys used. This document improves on that situation by enabling the administrators of domain names to specify the keys used in that domain's TLS servers. This requires matching improvements in TLS client software, but no change in TLS server software.

Сидит Владимир Ильич в Разливе в шалашике и бреется.

Тут к нему подходит маленькая девочка.

—Дедушка Ленин, а что ты делаешь?!

—А ну девочка пошла на $@# отсюда, чтоб я тебя не видел!

Девочка расплакалась, убежала. Рядом сидит Феликс Эдмундович и говорит

—Ай да, Владимир Ильич, ай да гуманист, а мог ведь девочку бритвочкой по горлышку и в Разлив!

А мог бы и 146% рынка.

Вариация на тему

Идет встреча школьников с ветераном революции.

Один мальчик спрашивает:

- Бабушка, а вы Ленина видели?

- Видела сынок, видела.

- А какой он Ленин-то?

- Добрый он дети, ох добрый.

- Случилось это зимой 18ого. Стою я на улице, совсем замерзла, голодная, а тут Владимир Ильич из булочной бежит.

Я ему говорю: «Здравствуйте Владимир Ильич»

- Здгавствуй бабушка.

- Hе дадите ли немного хлебца, а то совсем голодно

Он и отвечает «Пошла на х$@ стагая», а глаза у самого такие добрые-добрые...

Анекдоты 60-х

Уже отписал выше.

Тест на возраст)

бегут с тонущего корабля братцы

А почему это, вдруг она красивая, попа то!

Выпуск сертификатов - занятие малозатратное.

Ага, всего-то openssl заскриптовать и веб-интерфейс прикрутить. Делов на неделю.

StartSSL так и думали :)

Сарказм, да... Так или иначе, данное дело даже и близко не стоит по трудоемкости с например производством ПО.

Не удивительно...

Сертификаты они выдают, доля Firefox и Chrome в Китае минимальная, а популярные в Китае браузеры произведены в Китае, и насколько я знаю, поддержку WoSign из них не выпилили. А вот любители шаровых сертификатов из СНГ страдают, так как до сих пор многие владельцы малопосещаемых сайтов не в курсе, что наиболее используемые в странах СНГ браузеры не любят WoSign:)

Firefox и Chrome полностью прекратят доверие к CA DigiCert

Это слишком хорошо звучит, чтобы быть правдой.

полтора года продаваться
Symantec: 11 тысяч сотрудников в 35 странах

Полтора года — это очень быстро.

Да.

DNSSEC может подтвердить подлинность самоподписного сертификата?

Да. Но сначала надо пройти квест с dnssec.

данное дело даже и близко не стоит по трудоемкости с например производством ПО

«Данное дело» включает в себя разработку ПО, использование хардвари и массу мероприятий по ИБ. Ты даже близко себе не представляешь инфарструктуру и сложность крупного CA. Что, правда, не отменяет их концептуальную ненужность в данной реализации.

Нет там никаких квестов, кроме поиска вменяемого софта под онтопик для менеджмента ключей (hint: его не существует и надо писать самостоятельно. Нет, OpenDNSSEC не вменяемый, извините). Говорю как человек внедряющий DNSSec для почти 1700 зон.

Вот таким как ты навешают на уши про невиданную сложность этих мероприятий, так вы и ведетесь. И потом еще другим эти басни перерассказываете.

А куда так много?
В моём случае было надо просто найти подходящего регистратора для конкретной зоны, и зона была не com (и т.д., более-менее распространённое).

Для того, чтобы выпускать сертификаты, нужно произвести ПО, выпускающее сертификаты :)

То есть я ставлю на свой сайт самоподписной сертификат, настраиваю dnssec, прописываю у себя в resolv.conf nameserver поддерживающий dnssec, захожу на свой сайт и браузер не ругается, что сертификат самоподписной?

что именно входит в фазу «настраиваю dnssec»?
а так, да, верно, но и у других днс серверы тоже должны быть с поддержкой днссек.

настраиваю dnssec

А схема доверия DNSSEC сильно отличается от TLS? Не выйдет ли, что ты меняешь шило на мыло?

А схема доверия DNSSEC сильно отличается от TLS?

Тебе никто ничего не подписывает. Просто регистратор публикует в зоне твои DS записи потому что ты хозяин домена. То есть фактически каждый владелец домена сам себе СА.

Нет, это не так работает. В роли CA выступает владелец корневого NS сервера. Например, с .ру доменом сейчас ssl у тебя может быть от какого-нибудь Verizon. А будет от cctld.ru.

Смысл в том, что ты и так зависишь от них (по желанию правой пятки левой ноги домен могут забрать). Так почему бы ещё и новый уровень зависимости не добавить.

А схема доверия DNSSEC сильно отличается от TLS? Не выйдет ли, что ты меняешь шило на мыло?

Вместо сотни CA, каждый из которых может выписать «поддельный» сертификат, DANE даёт 1го для каждой зоны. А корневой ключик у правительства США. Так что таки шило на мыло.

Нет, это не так работает. В роли CA выступает владелец корневого NS сервера.

Ключ у меня. DS запись генерирую тоже я. Владелец корня её только размещает.

и кто за ней стоит.

А ты не догадываешься?

Ключ у меня. DS запись генерирую тоже я.

А в случае с CA, можно подумать, ключ не у тебя? Важен не этот факт, а то, что CA в любой момент может выписать любое количество альтеративных сертификатов для твоего домена. Так же и здесь. Есть цепочка. Главный ключик у IANA (.), потом домены 1го уровня (ru., com., net., ly., etc.), потом ты. Соответственно, подразумевается, что ты доверяешь вышестоящим. 1 IANA и 1 регистратор, конечно, лучше сотни CA. Но мы вообще-то в центральный ledger научились уже лет 8 как. Можно было бы IANA отправить в ANUS и с доменами и с сертификатами, было бы желание у браузерописателей.

Да, случае с СА ключ может быть не только у тебя. Как впрочем, и в случае с dane. Можно всех послать, но и это может не спасти от подмены dns ответа.

Проще хостинг продавать

Продавать проще, а вот покупать не проще. Что мы и видим на примере популярности youtube и подобных сервисов, где реклама основной способ монетезации. Будущее так сказать.

Что мы и видим на примере популярности youtube и подобных сервисов, где реклама основной способ монетезации

Проблема в том что если банеры можно вырезать, то вырезать столь же легко рекламу из статьи или из видео нельзя. А заказные статьи как были так и остаются в оффлайне тоже

Продавать проще, а вот покупать не проще

Примут закон «о хостинге на наших серверах» и будет примерно как с ПД в одной стране