mboost-dp1
No Thumbnail
Jeg fik klikket på linket til den komplette liste, som jeg troede var en side, men det var en fil på over 300mb som gik lystigt i gang med at downloade til min stakkels overfyldte telefon.
#1 https://checkhost.unboundtest.com/ virker fint.
Ingen af mine domæner er ramt.. selvom ArsTechnica artiklen https://arstechnica.com/information-technology/202... formulerede det som "most if not all" ville være ramt.
Ingen af mine domæner er ramt.. selvom ArsTechnica artiklen https://arstechnica.com/information-technology/202... formulerede det som "most if not all" ville være ramt.
larsp (2) skrev:#1 https://checkhost.unboundtest.com/ virker fint.
Ingen af mine domæner er ramt.. selvom ArsTechnica artiklen https://arstechnica.com/information-technology/202... formulerede det som "most if not all" ville være ramt.
Det skal nok forstås som at alle domæner kunne være ramt. Folk kunne sagtens udgive sig for at være dit domæne, og der var ikke noget du ville kunne gøre ved det.
#2
De har misforstået noget.
Følger man links kommer man til https://community.letsencrypt.org/t/revoking-certa... som siger at 3 millioner certifikater er påvirket.
(og per forsiden er der 190 certifakter i brug)
De har misforstået noget.
Følger man links kommer man til https://community.letsencrypt.org/t/revoking-certa... som siger at 3 millioner certifikater er påvirket.
(og per forsiden er der 190 certifakter i brug)
Det minder mig om noget jeg altid har undret mig over ved Lets-Encrypt modellen. Hvad forhindrer en DNS hi-jacker i at flytte DNS for et domæne over på en anden IP, og så lave et nyt lets-encrypt certifikat dér i en fart?
Så vidt jeg kan forstå vil browseren ikke vise det som noget problem. Jeg har selv prøvet at migrere en server og kunne lave et nyt certifikat fra den nye server uden at det gav problemer. Det betyder så bare at LetsEncrypt + https ikke giver nogen garantier om identiteten af modparten. Oder was?
Så vidt jeg kan forstå vil browseren ikke vise det som noget problem. Jeg har selv prøvet at migrere en server og kunne lave et nyt certifikat fra den nye server uden at det gav problemer. Det betyder så bare at LetsEncrypt + https ikke giver nogen garantier om identiteten af modparten. Oder was?
#6
https://letsencrypt.org/about/
siger selv:
Så deres formål er at få krypteret trafikken ikke at sikre at sitet er hvam de siger.
Med hensyn til spoofing, så:
Intet er sikkert i denne verden.
Let's Enrcypt er vel ca. lige så sikkert som DV certifikater men betydeligt mindre sikre end EV certifikater.
https://letsencrypt.org/about/
siger selv:
We give people the digital certificates they need in order to enable HTTPS (SSL/TLS) for websites, for free, in the most user-friendly way we can. We do this because we want to create a more secure and privacy-respecting Web.
Så deres formål er at få krypteret trafikken ikke at sikre at sitet er hvam de siger.
Med hensyn til spoofing, så:
Intet er sikkert i denne verden.
Let's Enrcypt er vel ca. lige så sikkert som DV certifikater men betydeligt mindre sikre end EV certifikater.
#10 Tankevækkende, og godt tip.
Men det handler ikke om min browser, men om den generelle risikoprofil for brugere.
Det undrer mig at det ikke som udgangspunkt er lavet ligesom ssh hvor host authentification bliver cachet. Hvis den ændrer sig kommer der en grim advarsel om possible man in the middle attack.
Men det ville måske føre til en masse bøvl i den virkelige verden.
Men det handler ikke om min browser, men om den generelle risikoprofil for brugere.
Det undrer mig at det ikke som udgangspunkt er lavet ligesom ssh hvor host authentification bliver cachet. Hvis den ændrer sig kommer der en grim advarsel om possible man in the middle attack.
Men det ville måske føre til en masse bøvl i den virkelige verden.
#11
Ja. Jeg forstår ikke hvorfor den ikke er true som standard.
SSH er lidt anderledes. Normalt er det et begrænset antal hosts man connecter til. Man bruger HTTPS til et meget stort antal sites. Og SSL certifikater udløber og udskiftes hele tiden. Hvis folk fik 2-3 advarsler om ugen fordi certifikater var udløbet og erstattet, så ville de nok blive uopmærksomme.
Ja. Jeg forstår ikke hvorfor den ikke er true som standard.
SSH er lidt anderledes. Normalt er det et begrænset antal hosts man connecter til. Man bruger HTTPS til et meget stort antal sites. Og SSL certifikater udløber og udskiftes hele tiden. Hvis folk fik 2-3 advarsler om ugen fordi certifikater var udløbet og erstattet, så ville de nok blive uopmærksomme.
Chucara (13) skrev:
LetsEncrypt er bogstaveligt talt et DV cert. De validerer domæneejerskabet, og intet andet. De gør det bare gratis og med kort udløb ift. resten.
Ja. Jeg mener bare ikke at de kalder det for et DV certifikat.
Chucara (13) skrev:
Jeg kan ikke se hvordan man kan lave OV eller EV certifikater gratis.
Enig.
Men netop fordi der er så stor forskel kunne man godt mene at browsere burde vise forskellen!
#2
Det var ikke linket. Men dette: "ligesom en komplet liste kan findes her". Klik på "her" og du downloader en moppedreng på over 300mb - uden at du får at det står i teksten.
For øvrigt er vi nok mange der kan takke LetsEncrypt for at der nu findes så mange krypterede sider.
Det var ikke linket. Men dette: "ligesom en komplet liste kan findes her". Klik på "her" og du downloader en moppedreng på over 300mb - uden at du får at det står i teksten.
For øvrigt er vi nok mange der kan takke LetsEncrypt for at der nu findes så mange krypterede sider.
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund