Let's Encrypt присоединился к западным санкциям против российских сайтов ()

suffix #:

А Вы клоуном работаете, да ? 

"Страна непуганных идиотов"

Уже на их глазах GS  и LE сертификаты обещаются больше не выдавать тем, кто под санкциями, а они продолжают верить в демократию и свободу слова Града на Холме.

Если бы браузеры поддерживали DANE, и внедрили-бы на своих сайтах DANE под DNSSEC какие-нибудь Сбер, Газпром и МО РФ, то тупо подпись всей зоны .ru DNSSEC отозвали бы и все дела. Верьте дальше в светлых эльфов :)

egel #:
Все Российские провайдеры и хостеры уже пару лет как обязаны брать записи, которые потом отдают клиентам оттуда,  а не с реальных корневых серверов Интернета.

egel #:

Очень интересная дискуссия с человеком, с человеком слабо представляющем как работает DNS и Интренет, и имеющим понимание на уровне любителя политических ток-шоу...

Ok, опущу дискуссию на твой уровень.  Если ты пишешь "тупо подпись всей зоны .ru DNSSEC отозвали бы и все дела", то по почему тогда не "уберут всю зону  с корневых серверов"? И про НСДИ слышал? Соловьев неужели об этом из ящика не рассказывал? Все Российские провайдеры и хостеры уже пару лет как обязаны брать записи, которые потом отдают клиентам оттуда,  а не с реальных корневых серверов Интернета. 

А для людей кто хоть немного понимает, как работат DNS,  если тут такие еще остались. Поясню, что в сценарии отключения .ru доменной зоны  от Интернета в текущем варианте "PKI с западными CA" TLS  в пролете,  а случае если бы внедрили DANE все можно было бы сохранить в работающем режиме с проверкой. Для поного сохранения работы для DANE + DNSSEC достаточно было бы чтобы Trusted Anchor у провайдеров на НСДИ был.

Все бы продолжило работать БЕЗ установки в систему "доверенных" корневых сертифкатов от всяких Минцифр, а для выпуска  TLS-сертификатов для сайтов не нужно было бы идти на поклон к ним же или кому-то еще. Не надо было бы компрометировать устройсктва установкой каких-то сомнительных корневых сертификатов в доверенные на устройства, никакие особенные браузеры тоже не надо ставить. И все работало бы. Никаких предупреждений о небезпасном соединении. Защита от MITM  явно не хуже, попытка подмены выявлется проще.

И сам процесс проще, генерируй сам сертификат и загружай в зону. Все бы работало из коробки. Никаких УЦ, каждый сам себе УЦ. Но видимо слижком "децентрализованная" схема,  Удостоверяющие центры потеряли бы власть, и есть много людей заинтересованных чтобы этого не случилось.

suffix #:

Клоун, сами решили кто в чём не разбирается и над этим смеётесь ? Это очень глупо выглядит, а не смешно.

У меня и к сайту и к почте TLSA DANE стоит, разумеется с DNSSEC (babai.ru)

Компанию immuniweb знаете ? 

https://www.immuniweb.com/ssl/about/

Меня упомянули:

"Acknowledgements

The following security experts helped us improve this free product:

• Alexander Falaleev, clubbabai"

egel #:

🤣🤣🤣

Мальчик, ну прекрати, не позорься дальше. И не позорь компанию.

Експэрты, которых мы заслужили... 😓