Введение в TLS для п̶р̶а̶к̶т̶и̶к̶о̶в̶ Патриков (часть 1)

[suffix_ixbt]

Я надеюсь что Сэнди таки объяснит Патрику что совершенно необязательно валидировать сертификат через жадного мистера Крабса к которому нет особого доверия а необходимо и достаточно TLSA DANE под DNSSEC !

[stargrave2]

В этом случае жадный мистер Крабс будет отвечать за валидацию DNSSEC. Причём с ещё меньшим выбором CA. Только DNSCurve нам поможет (+DANE под ним).

[suffix_ixbt]

stargrave2

Причём с ещё меньшим выбором CA.

ИМХО доверие к какому-нибудь DigiCert таки меньше чем к ICANN

[stargrave2]

Лично по мне — одна фигня. Им недоверяю одинаково. Причём централизованной штуке я бы априори меньше доверял, ибо лакомый кусочек для контроля и атак.

[suffix_ixbt]

Так нет выбора-то.

DNSCurve за 10 лет так и не взлетело причём совсем не взлетело.

А TLSA DANE под DNSSEC хоть что-то но поддерживает из клиентов (понятно что не браузеров, но вот exim поддерживает — уже хоть что-то).

[goodvin1709]

Спасибо большое за статью, хотелось бы детальнее посмотреть в следующей статье на сам процесс проверки сертификатов, разных типов(X509,...) и как эффективно делать валидацию сертификата от губки Боба :)

[belzoya]

рады, что понравилось, stay tuned :)

[hugeous]

Спасибо за статью, очень понравилось :)
Жду вторую серию часть.

[belzoya]

Вторая серия :) habr.com/ru/company/plesk/blog/507094