Certyfikaty SSL

[Poziomecki]

Właśnie w DA .htaccess jest nad vhostem (aliasem). Jeśli zablokujesz w .htaccess dostęp do .well-known to nie odczyta go.

 

@SomeGuy DVki można wygenerować na 3 lata nawet i masz spokój przez dłuższy czas.

[smarthost]

Różnica między DV a lets encrypt jest taka że masz gwarancję i nie pierdzielisz się co 3 miesiące z odnowieniem czy problemami, które mogą z niej wyniknąć i nagle jest przerwa w dostępie do strony. Naprawdę lets encrypt nie zawsze działa idealnie (samo odnowienie). Czasami zdarza się że weryfikacja jest nieudana przez htaccess sklepu, zdaje się że przy preście tak się czasem zdarza a przynajmniej ja na takie przypadki trafiłem.
 
Sklepy internetowe moim zdaniem też powinny mieć EV, ale większość ma DV albo właśnie lets encrypt do którego nie jestem przekonany.

Otóż podaj mi choć jedno określenie z dowolnego płatnego certyfikatu DV - czego dokładnie dotyczy gwarancja. Ona jest wymieniona jak częściej jako ikona ale znalezienie czego dokładnie dotyczy już nie jest takie łatwe.

Niemniej zamiast mówić o jakiejś hipotetycznej gwarancji - proszę - wklej kawałek informacji kiedy mamy szansę na wypłatę tej gwarancji :-)

[SomeGuy]

https://certyfikatyssl.pl/faq/podstawowe-informacje/w-jaki-sposob-zabezpiecza-mnie-gwarancja.html

 

[smarthost]

https://certyfikatyssl.pl/faq/podstawowe-informacje/w-jaki-sposob-zabezpiecza-mnie-gwarancja.html
 

Myślałem bardziej o jakimś info źródłowym tj. nie u pośrednika (że oni wypłacą). Ale że my wypłacimy w przypadku ABC. Oczywiście może być po angielsku :-)

[SomeGuy]

Przykład comodo wraz z ich regulaminem:

https://support.comodo.com/index.php?/Knowledgebase/Article/View/13/17/what-does-the-warranty-actually-mean

[nnd.newbie]

Czy ja dobrze z tego zrozumiałem, że jeśli jestem oszustem i użyję certyfikatu Comodo, a Comodo błędnie mnie zweryfikuje (co to dokładnie znaczy w przypadku DV i kiedy Comodo uzna że weryfikacja źle przebiegła z jego winy?), to klient końcowy którego ja oszukam i zrealizuje transakcję kartą płatniczą i poniesie stratę, może się ubiegać o odszkodowanie bezpośrednio od Comodo?

 

A jakie konkretnie korzyści z tego ubezpieczenia mam ja jako administrator, skoro wiem, że nie jestem oszustem i nie próbuję "wyłudzić" certyfikatu?

 

Bo ja widzę tylko jeden: jeśli w pełni świadomy klient, zdający sobie sprawę co to są certyfkaty i ich wystawcy, wiedzący o tym na czym polega ubezpieczenie Comodo i po sprawdzeniu, że na danej stronie jest taki zainstalowany, to nie opuści strony w panice tylko pogodnie i radośnie dokona zakupu, wiedząc, że chroni go Ubezpieczenie Comodo(!).

 

Wow. Już biegnę kupować, bo się mogą skończyć.

 

A na koniec zagadka!

 

1) Ilu użytkowników internetu wie co to certyfikat?

2) Ilu użytkowników internetu zna różnice między wystawcami certyfikatów DV?

3) Ilu użytkowników internetu zna zasady ubezpieczeń wystawców certyfikatów i korzyści jakie przynoszą?

4) Ilu użytkowników internetu wie jak sprawdzić szczegóły certyfikatu w przeglądarce Google Chrome? A w przeglądarkach mobilnych?

5) Ilu użytkowników to robi (czyli sprawdza wystawcę certyfikatu) i na tej podstawie podejmuje decyzję o dalszym działaniu?

 

Śmiem twierdzić ze ta liczba maleje od punktu 1) do 5) gdzie osiąga poziom bliski zeru. Śmiem twierdzić, że edukacja użytkownika internetu zatrzymała się na poziomie "zielonej kłódeczki", bo taką zresztą stosuje Google skutecznie ukrywając szczegóły certyfikatu, a zamiast tego ciekawemu użytkownikowi prezentując stronę https://support.google.com/chrome/answer/95617?visit_id=0-636433912526172915-1298696495&p=ui_security_indicator&rd=1

gdzie zapewnia, że Google dba o to żeby zielone kłódeczka była tylko dla wiarygodnych certyfikatów, więc "bądź klikaczu spokojny, porzuć troski, jak widzisz zieloną kłódeczkę zostaw szczegóły i klikaj dalej"

 

Więc zakończmy dyskusję o wyższości płatnych certyfikatów DV nad Let's Encrypt z punktu widzenia klienta czy bezpieczeństwa. Różnice są pomiędzy EV i DV , a także w sposobie uzyskiwania DV.  Jak ktoś ma problemy z Cetbotem, potrzebuje certyfikatu na 3 lata, albo ze względów wizerunkowych chce sobie walnąć logo Comodo na stronie - to proszę bardzo. Tylko przestańcie smęcić o ubezpieczeniach i innych pierdołach.

Edytowane 12 Października 2017 przez nnd.newbie

[smarthost]

@nnd.newbie - dokładnie !

cała gwarancja jest tylko bełkotem marketingowym, na podstawie wcześniej cytowanego Comodo należy doczytać szczegóły:

https://www.comodo.com/repository/docs/SSL_relying_party_warranty.php

 

Po pierwsze żadne odszkodowanie się nie należy, jak klient bierze jakkolwiek udział w procedurze oszustwa (nie wiadomo, czy świadomie, czy nie)

Po drugie wartość np. 50000$ dotyczy maksymalnej sumy, ale w przypadku większości tanich DV jest to kwota "realnej straty", którą poniósł użuytkownik, ale i tak limitowana po jedynczej transakcji, która nie może znowu przekraczać 1000$ ! Czyli poniosłeś stratę np. 10000 zł to dostaniesz i tak MAX 1000$ - pod warunkiem, że udowodnisz, że nie było tam twojej winy.

A po trzecie zawsze dobrze przeczytać sobie "wykluczenia", czyli dział 5 tego linku co dałem powyżej, w nim są takie zapisy jak: 

This Warranty does not apply to losses or damages of a Covered Person, caused wholly or partially by:

[...]

5. acts by any unauthorized individuals which impairs, damages, or misuses the services of any Internet Service Provider or telecommunications, cable, or satellite carrier, other common carrier or value-added services, including but not limited to, denials of service attacks and the use of malicious software such as computer viruses;

albo:

7.  failure of any services or equipment not under the exclusive control or ownership of Comodo or its partners, affiliates, and agents; or

 

zatem ... teoretycznie ubezpieczenie jest, ale w praktyce musisz iść do sądu w razie czego i uzyskasz z pojedynczej straty to co straciłeś, ale nie więcej niż 1000$ .... żenada....

 

Wojtek

[Poziomecki]

Wyraziłem swoją opinię jaką mam na temat darmowych certyfikatów. Źle mi się kojarzy LE.

Gwarancję na telefon też masz, ale nie od wszystkiego i nie na wszystko. Zrezygnujesz z niej jak będziesz musiał dopłacić parę złotych?

[SomeGuy]

@smarthost ale nikt nie każe tego używać, to jaki certyfikat wybierasz i jaką masz gwarancję zależy od Ciebie. Rozumiem, że teraz zrezygnujesz z GeoTrust dla https://www.smarthost.pl/ i weźmiesz darmowy certyfikat?

[smarthost]

mam na https://www.smarthost.pl wildcarda - nie ma bezpłatnych (będą od stycznia od Let's encrypt).  Ale na dniach i tak będziemy zmieniać na EV :-)

 

Wojtek

[Poziomecki]

Przecież możecie wygenerować LE na domenę i chyba do 20 subdomen. Nie ma problemu też w ustawieniem LE na subdomeny.

[smarthost]

Oczywiście, że możemy  wygenerować darmowe LE - ale na pewno sprawdziłeś (prawda?), że nasz wildcard dla smarthost.pl jest ważny od 04.2015 do 04.2018. Był kupiony na 3 lata i po prostu JEST ważny - zatem stosujemy podstawową zasadę w informatyce: jak działa, to nie ruszamy

 

Wojtek

Edytowane 12 Października 2017 przez smarthost

[SomeGuy]

Tylko po co płacić za EV skoro gwarancja to pic na wodę  

 

[smarthost]

Tylko po co płacić za EV skoro gwarancja to pic na wodę  
 

EV to nie kwestia gwarancji. To kwestia napisu przy "zielonej kłódce". W budżecie jako koszty marketingowe :-D

Wojtek

[otlet]

1 godzinę temu, smarthost napisał:

EV to nie kwestia gwarancji. To kwestia napisu przy "zielonej kłódce". W budżecie jako koszty marketingowe :-D

Wojtek

 

ale nie zaprzeczycie wtedy "prestiżu"  Taki duży guzik z nazwą firmy od razu powoduje, że typowy Janusz zaufa sprzedawcy (o ile oczywiscie zauważy kłódkę)  

[Espen]

Sporo tych Januszów zaczyna zwracać uwagę na zieloną kłódkę i czy nazwa zgadza się z tą na jakiej chcieli być. Kampanie uświadamiające w końcu zaczynają jakiś tam efekt przynosić.

[otlet]

Tutaj masz rację. Coraz więcej osób zwraca uwagę na to i jest to bardzo dobrze. Może i EV jednak ma sens?

[Espen]

Ma sens bo jak jesteś na stronach bankowych na przykład to masz tę prawie pewność że to bank a nie fake strona.

[liske1]

Spotkałem się z sytuacjami, że Letsencrypt nie był poprawnie autoryzowany przez niektóre przeglądarki mobilne (w szczególności w firmach co mają zaostrzone polityki bezpieczeństwa lub np. standardowa przeglądarka z systemu BlackBerry OS 10 ), co powoduje, że zamiast klient wejść na stronę dostaje komunikat, że strona jest niezabezpieczona i wtedy nasz potencjalny klient może odejść od naszej strony (strony klienta) i zrezygnować z usługi. No i po drugie spokój. Nie trzeba co 3 miesiące generować nowy certyfikat, a jedynie raz na 3 lata . Nie chcę robić reklamy, ale przykładowy certyfikat (nie wildcard) kosztuje 15$ na 3 lata (ok. 50zł), to chyba nie jest duży wydatek i warto go wydać i mieć spokój, że wszystkie przeglądarki (nawet te o bardziej zaostrzonym rygorze) będą przyjmować naszą stronę poprawnie. Nie wspominając o tym, że z tego co wiem, certyfikat Letsencrypt wg. wyszukiwarki google jest traktowany jako self-signed, a to powoduje, że nasza strona nie będzie wysoko pozycjonowana w wyszukiwarce. Jest to jednak tylko i wyłącznie moja opinia.

[Marek607]

Certyfikat na 3 lata będzie można wygenerować tylko do końca kwietnia  - później maksymalny okres to 2 lata.

Z tym "świętym spokojem" przy certyfikacie DV płatnym to też nie do końca prawda, bo sporo jest zawirowań wokół firm wydających certy.

Takie chrome za jakiś czas zablokuje niektóre trzylatki symanteca:

https://www.theregister.co.uk/2017/09/12/chrome_66_to_reject_symantec_certs/ 

[nrm]

11 godzin temu, liske1 napisał:

Spotkałem się z sytuacjami, że Letsencrypt nie był poprawnie autoryzowany przez niektóre przeglądarki mobilne (w szczególności w firmach co mają zaostrzone polityki bezpieczeństwa lub np. standardowa przeglądarka z systemu BlackBerry OS 10 )

 

BB10.3.3 już rozpoznaje LE. 

 

11 godzin temu, liske1 napisał:

Nie trzeba co 3 miesiące generować nowy certyfikat

 

Cały sens LE wynika z automatyzacji. Jego w ogóle nie trzeba "dotykać", "samosię" zrobi. 

 

11 godzin temu, liske1 napisał:

z tego co wiem, certyfikat Letsencrypt wg. wyszukiwarki google jest traktowany jako self-signed, a to powoduje, że nasza strona nie będzie wysoko pozycjonowana w wyszukiwarce. 

 

Nie. LE jest normalnie traktowany. Problemy o których piszesz mogą wynikać ze złej konfiguracji SSL, swego czasu był też taki problem, że google sprawdzało te certy przez nie-SNI bota i przy instalacjach na SNI właśnie częstowało takim rozpoznaniem. Niestety nie wiem czy ten problem dalej występuje, ale na żadnej mojej domenie na SNI nie dostałem jeszcze takiego ostrzeżenia.

[housemd]

Gdzieś znalazłem tweeta gościa z googla zagadnietego o wartość certyfikatu let's encrypt pod względem seo I odpowiedź była "good enough". Poza tym pytający wskazywał, że samo google swoje certyfikaty generuje na 60-90 dni w zależności od miejsca. Coś co jest darmowe i zautomatyzowane nie znaczy że jest gorsze. Poza tym w kwestii certyfikatów DV nie ma nic wartego większej debaty

[smarthost]

 
Nie. LE jest normalnie traktowany. Problemy o których piszesz mogą wynikać ze złej konfiguracji SSL, swego czasu był też taki problem, że google sprawdzało te certy przez nie-SNI bota i przy instalacjach na SNI właśnie częstowało takim rozpoznaniem. Niestety nie wiem czy ten problem dalej występuje, ale na żadnej mojej domenie na SNI nie dostałem jeszcze takiego ostrzeżenia.

Przecież SNI to sprawa serwera a nie klienta. Jak SNI nie zadziała to serwer zaserwuje zły certyfikat. Przeglądarce jest w zasadzie wszystko jedno byle na pytanie o domenę dostać domenę z certyfikatem pasującym do domeny. Wtedy jest ok. Bez wnikania czy to SNI czy dedicated IP

Wojtek

[blfr]

Klient też musi SNI wspierać, żeby działało.

[Poziomecki]

Chyba tylko stare IE i stare androidy nie wspierają SNI.