Vlákno názorů k článku Let's Encrypt na web hostingu: firmy o něm vědí a připravují se od JD - Me osobne se moc nelibi vyhlidka, ze dojde...

Alespoň pro příště víte, jaké výrobky, nebo rovnou značku, nemáte kupovat.

Tohle je pořád dokola. S nástupem IPv6 se vyrojila spousta výrobků, které snad záměrně ipv6 neumí, s nástupem šifrování (což je trend posledních desetiletí a upřímně, http je snad poslední protokol, který jsem nucen používat nešifrovaný) se posledních několik málo let vyrojila hromada výrobků, která prostě odmítá šifrovat.

Jako chápu revoltu, ale to ty zkriplené výrobky těch neschopných výrobců kupujete schválně?

Dobře, nechcete šifrování, nechcete https. Fajn, máme tu výrobky, které se dají ovládat pomocí RS232 (nebo třeba industriální R485). Klidně můžete použít 30 let staré kabely (hodně stěstí s 30 let starým prohlížečem) a konektory a bude vám to spokojeně fungovat.

Jsi si jistý, že reaguješ na správný komentář?

O tom, jak ipv6 nejde nasadit se žvaní tak dlouho, že mezitím jsou všechny krabice 1-2x vyměněny. Jestli někdo v průběhu té doby pořídil krabice, které ipv6 neumí, je to jeho problém.

Totéž šifrování. Šifrování se zavádí od té doby, co bylo vymyšleno. Jestli se někdo v roce 2015 probudil, no tak nezbývá než popřát dobré ráno.

Tedy je to přesně naopak, ne, 3 roky staré auto opravdu do šrotu nedávám, nevím kde jsi to vzal v mém komentáři, kde hovořím o desítkách let.

Podobný problém např. nastává také u zařízení, využívajícich Javu. Applety totiž nebývají podepsané, a při zvýšeném zabezpečení prostě nejdou spustit. Třeba staré IBM servery, kde je applet použit pro vzdálenou plochu přes rozhraní RSA.

Nevím, jak jste přišel na to, že nějaké legacy zařízení musí být konfigurovatelné zrovna přes webový prohlížeč, který uživatel používá jako prohlížeč webu (sic). Já znám třeba zařízení, která se konfigurují z příkazového řádku přes SSH nebo Telnet, a netrvám na tom, že ve webovém prohlížeči musí být implementován SSH klient. A u těch zařízení, která se konfigurují přes Telnet, netrvám ani na tom, že se k nim musím připojovat přes SSH, které vnímám jako náhradu Telnetu. Pro správu takového zařízení si nainstaluju Telnet klienta a používám ho výhradně pro správu toho zařízení. Nemůžete to vy udělat s tím Legacy zařízením stejně? Nainstalovat si nějaký jednoduchý legacy webový prohlížeč, který nebude podporovat pluginy, HTTP/2 a všechny moderní vymoženosti, ale budete ho používat čistě jen pro správu toho legacy zařízení?

Pokud si uživatel neumí vybrat vhodný program pro svou práci, je chovat se k němu jako k nesvéprávnému idiotovi celkem odůvodněný přístup.

A v čem je přesně ten problém? Že si uživatel pro přístup k legacy zařízením nemůže vybrat jiný program, než ten od Mozilly nebo Google? Mám vám tu větu o uživatelích, kteří si neumí vybrat program vhodný pro svou práci, zopakovat?

Já od programu nazývaného „web browser“ nebo „webový prohlížeč“ očekávám, že bude sloužit k prohlížení webu. Současný web je plný webových aplikací, na současném webu jsou elektronická bankovnictví, e-shopy, webmaily, sociální sítě – tedy spousta webů, které nepochybně potřebuje dobré zabezpečení (a tomu zbytku stačí jen zabezpečení). Od webového prohlížeče očekávám, že tohle všechno bude zvládat. Moderní prohlížeče tohle podporují, a nepotřebujete jeden konkrétní prohlížeč.

To je naopak častá vlastnost těch obslužných programů legacy systémů, že jsou napsané na míru nějakému konkrétnímu prohlížeči a v moderním prohlížeči, který se chová podle standardů, fungují špatně nebo vůbec. Tak si holt pro správu toho jednoho systému někde zachováte ten jeden konkrétní prohlížeč. Obávám se, že to, že někdo takhle zprasil nějaký konfigurační nástroj, není vina autorů prohlížečů. Jak byste si to představoval vy? Že všichni autoři prohlížečů do nich budou implementovat podporu pro tyhle legacy konfigurační systémy a každý prohlížeč bude muset rozpoznat, že když komunikuje s webovým rozhraním routeru XY, musí věrně simulovat všechny chyby MSIE 6 nebo FF 1.5? K čemu by to bylo dobré?

V tom případě vám doporučuju navštívit sousední diskusi. Někteří se tam ironicky pozastavují nad tím, jak to že webový prohlížeč neobsahuje podporu pro ovládání garážových vrat a ovládání kávovaru. Můžete jim tam vysvětlit, že vy zcela vážně od prohlížeče očekáváte, že bude podporovat protokoly SSH a Telnet, protože se tím přece konfigurují některá zařízení. A pokud si to nemyslíte, měl byste vysvětlit, proč webový prohlížeč nemusí podporovat protokol SSH, který se na webu nepoužívá, ale proč v budoucnosti podle vás má podporovat protokol HTTPS nad SSLv3, který se na webu nebude používat.

No jo, když si uživatel neumí pro svou práci vybrat vhodný program… Já od webového prohlížeče očekávám, že s ním půjde prohlížet současný web. Takže v něm opravdu nepotřebuju podporu ani Gopheru, ani HTTP 0.9, ani SSL 2.0.

Ale zažil. A náležitě si to pokaždé užívám, protože toho mohu využít pro to, abych opět zopakoval: vidíte, x let vám říkám, že toto chce opravdu vyměnit, nastavit, apod. Za odměnu to vždy dostanu za úkol (asi jako trest nebo co). Což vždy nějak jde udělat, a když to nejde, tak co? Alespoň se třeba dotyční poučí (nebo zkrachují, což už se také nejednou stalo).

Nevím, proč si myslíte, že kdybych to (ne)zažil, tak bych jednal jinak. Jednám tak právě proto, že vidím následky.

Nehledě na to, že konkrétní problém nikdy nemá jen jedno řešení, takže pokud je jedna cesta odstřižena (třeba změnou v aktuální verzi prohlížeče a nějakým kouzlem z celého světa zmizí starší verze ;-) - jako o co jde? Když víte, že máte k síti SSLv3 zařízení, tak si nechte jeden konkrétní prohlížeč, kterým to budete konfigurovat, ne? Stejně se to tak dělá, i včetně provozu celého starého OS.), tak to lze vyřešit jinak.

Pokud prohlížeč podporuje i HTTP, oslabuje se tím bezpečnost HTTPS – protože vždy hrozí, že se útočníkovi podaří přepnout uživatele na protokol HTTP. Ony prohlížeče ještě dost dlouho HTTP podporovat budou, ale dlouhodobě je jediný důvod pro podporu HTTP zpětná kompatibilita a ta se nebude na úkor bezpečnosti udržovat věčně.

"Ako mi https zvysi bezpecnost blogu alebo stranky dobrovolnych poziarnikov z hornej-dolnej, kde nieje co zabezpecovat?"

No třeba tak, že když tam bude pozvánka na soutěž dobrovolných hasičů, tak vám (s dobře udělaným https) nějaký špímař nepřepíše datum a vy o tu akci nepřijdete.

Nechápu tu logiku "vždyť tam není co zabezpečovat". Pokud tam není co zabezpečovat, tak ty stránky ani nemusejí existovat, protože je vám přece jedno, zda tam uvidíte tu původní informaci, nebo nějak pozměněnou. Když jdete na konkrétní stránky, tak je přece chcete vidět v původní podobě, ne?

Odpověď na dotaz "jak https" podle vás s https nesouvisí? Zajímavé ;-)

diky za objasneni :-)