Введение в TLS для п̶р̶а̶к̶т̶и̶к̶о̶в̶ Патриков (часть 2)

[amarao]

И всё это идёт к тому,
1) что ложится Один Сайт и всё остальное ложится вслед за ним. (всякие ocsp-провайдеры, LE валялся и не обновил сертификат)
2) Нельзя взять и создать устройство, способное проработать 20 лет. Потому что к этому времени: все CA, зашитые в устройство сгниют, все сертификаты устройства устареют, его шифроалгоритмы признают негодными и перестанут доверять, его версию TLS признают устаревшей и не будут поддерживать, а уж что с его мамой сделают страшно представить.

[edo1h]

а какие альтернативы? не использовать шифрование? увы, сегодня не особо приемлемо.
а что из текущего шифрования не будет легковзламываемым через 20 лет сложно предугадать, возможно, что вообще ничего.

[amarao]

Использовать trust on first visit модель (как у ssh). Вопрос first trust открыт, но если доверие установлено, дальше сертификат не важен, важен доверенный ключ.

[suffix_ixbt]

1. OCSP и exim (exim молодец) — конечно молодец, но ещё сторонняя приблуда запускаемая по крону нужна

   
   

2. Из "неохваченных тем" упустили ещё MTA-STS :)

   
   

3. Cпасибо за описание DANE (пусть неподробное, пусть не очень-то хвалебное но может хоть кто-то заинтересуется) — за эту технологию двумя руками !

   
   

[YourChief]

Про MTA-STS могу предложить мою статью: habr.com/ru/post/424961

Там и описание, и реализация на Postfix-е в обе стороны (публикация политики и применение политик других доменов).

[suffix_ixbt]

Спасибо — я вашу статью давно уже прочитал — и она всем хороша кроме того что она про прикручивание mta-sts к postfix а не exim :)

[YourChief]

Кто-то из системных администраторов хабра говорил, что знает как и говорили, что возможно напишут статью. Но не помню, кто.