Téma: Let's Encrypt

A letsencrypt csak a technikai titkosításért felel, semilyen biztosítékot nem ad. Még a csak domain validation fizetős ssl certek is adnak egy 10.000$ -os biztosítást, a komolyabb certek pedig 1.5-1.75M USD -és biztosítást is tartalmaznak. Igaz ezekért már komolyabban kell fizetni, és elég sok papir munkával jár.

De mivel kis hazánkban jelenleg senki nem foglalkozik ezzel, igy egy céges honlapra bőven jó, sőt akár webshopra is.

Helló,

Ahogy írtuk az emailbe is, ez elsősorban hobbi célú oldalakra van. Mint a CloudFlare SSL-e kb. (ott meg pl, az a baj, hogy ki tudja kivel kerülsz össze egy certbe...).

Rendes üzleti oldalra én ne sajnálnám azt a pár ezer forintot amennyibe egy comod vagy hasonló kerül. De akár 10 ezerért van EV-s cert is egy évre, kipróbálni, hogy milyen (és ha értékelik a látogaótk, akkor következő évbe persze mr30-40 ezer, de legalább lehet tudni, hogy kitermeli e az árát).

Átlagos használatra nem tudnék mondani olyan oldalt, aminek szüksége lehet a letsencrypt szintnél többre. Ha nem használsz banki API-t, hanem közvetlenül te gyűjtöd be a kártyaadatokat, akkor elgondolkoznék egy szinttel jobb tanúsítványon. Hogy technikailag mit lehet nézni egy tanúsítványon? Érdekes, mert sokszor gyakorlatilag csak az árat tudjuk. A drágábbaknál valószínűleg már kiírják, hogy pl. milyen elliptikus görbét használnak, és ez alapján rá lehet keresni, hogy az a konkrét megoldás mennyire biztonságos. Az extended validation certek meg tényleg csak akkor érik meg, ha a szolgáltatásod jellege miatt jelentős károd származna a phishing miatt.

szerk: itt utánanézhetsz magyarul is https://e-szigno.hu/tudasbazis/tanus...etesebben.html

earnnet eredeti hozzászólása

A drágábbaknál valószínűleg már kiírják, hogy pl. milyen elliptikus görbét használnak, és ez alapján rá lehet keresni, hogy az a konkrét megoldás mennyire biztonságos.

A kibocsájtó az csak alá írja az általad generált kulcsot, az hogy te milyen algoritmusokat támogatsz ahhoz semmi közük. Vannak bizonyos standardok amik előírják, hogy milyen típusú Ciper Suit-eket kell illetve nem szabad támogatnod. Kártyás tranzakcióknál pl a PCI-DSS szabja meg.

Sziasztok!

Ha már a téma szóba jött, akkor szeretnénk felhívni azon fórumosok (és nem fórumosok) figyelmét arra, hogy pár napja MINDEN (nem CPanel-es) tárhelyünkön aktiváltuk a Let's Encrypt SSL-t. Természetesen azoknak, akiknek saját SSL-jük volt, továbbra is azt használhatják. Az SSL kulcsokat a rendszer a lejárat előtt két héttel automatikusan megújítja, tehát ügyfél szinten ezzel nincs teendő. Minden újonnan hozzáadott domain a regisztrációtól, illetve átirányítástól számított pár órán belül automatikusan megkapja a saját SSL kulcsát. (A jelenleg legenerált kulcsok még nem fedik a www.<domainneve> formát, de hamarosan azokat is újrageneráljuk.

Fontos kiemelnem, hogy ez a lehetőség szigorúan teszt állapotú, illetve minden esetben függ a Let's Encrypt szabályzatától is, ettől függetlenül teszteljétek bátran és osszátok meg velünk a tapasztalataitokat! A titkosított kapcsolaton keresztül elérhető a SPDY, illetve újabb formájában a HTTP2 is.

Jó titkosítást kívánunk!

viacomkft eredeti hozzászólása

Sziasztok!

Ha már a téma szóba jött, akkor szeretnénk felhívni azon fórumosok (és nem fórumosok) figyelmét arra, hogy pár napja MINDEN (nem CPanel-es) tárhelyünkön aktiváltuk a Let's Encrypt SSL-t. Természetesen azoknak, akiknek saját SSL-jük volt, továbbra is azt használhatják. Az SSL kulcsokat a rendszer a lejárat előtt két héttel automatikusan megújítja, tehát ügyfél szinten ezzel nincs teendő. Minden újonnan hozzáadott domain a regisztrációtól, illetve átirányítástól számított pár órán belül automatikusan megkapja a saját SSL kulcsát. (A jelenleg legenerált kulcsok még nem fedik a www.<domainneve> formát, de hamarosan azokat is újrageneráljuk.

Fontos kiemelnem, hogy ez a lehetőség szigorúan teszt állapotú, illetve minden esetben függ a Let's Encrypt szabályzatától is, ettől függetlenül teszteljétek bátran és osszátok meg velünk a tapasztalataitokat! A titkosított kapcsolaton keresztül elérhető a SPDY, illetve újabb formájában a HTTP2 is.

Jó titkosítást kívánunk!

Ezt mi is tervezzük, de kicsit fázom tőle.
Ha automatikusan mindenkinek elérhető lesz az oldala https -el is az nem duplikált tartalom?