Newsgroup: it.comp.os.linux.sys
Titolo: CA economica - detrust di startssl

Buongiorno,
fin'ora ho utilizzato con successo StartSSL come CA per i siti il cui 
certificato non era di fondamentale importanza (in sostituzione del self 
signed, per intenderci).
 
Tutto è andato bene fin quando Google (ma anche mozilla) ha deciso di 
mandare in de-trust la CA di startSSL, quindi ora il certificato è 
paragonato ad un self signed.
 
Qualcuno conosce una CA economica ma trustata sui vari 
chrome/firefox/safari/edge?
 
Anticipo i ringraziamenti.


In realtá é stata Mozilla a de trustare StartSSL, seguita da altri big.
Lo hanno fatto a ragion veduta, se ti leggi la storia di come sono
andate le cose la StartCom ha operato in modo non del tutto trasparente.
 
Ottima alternativa[1]: Let’s Encrypt is a free, automated, and open
certificate authority brought to you by the non-profit Internet Security
Research Group (ISRG).
 
Sembrerebbe gestita molto meglio della StartCom, io sono migrato.
 
[1] 
https://letsencrypt.org
 
 
-- 
g4b0, linux user n. 369000
http://brosulo.net
 


Molto interessante.
In sostanza invece della solita procedura genera certificato -> carica 
certificato, lui ti propone di automatizzare l'operazione.
 
Non mi è chiaro cosa mi impedisca di generarmi un certificato 
www.microsoft.com
, però ammetto di aver appena iniziato ad approfondire.
 
Cosa usi per la generazione? Certbot? A me non trova correttamente i 
domini nemmeno a pagarlo.

 
www.microsoft.com
, però ammetto di aver appena iniziato ad approfondire.
 
Usano le Google Safe Browsing API per verificare che il dominio non sia 
di phishing, ma a parte quello, puoi anche registrare il certificato, ma 
va abbinato al dominio, quindi a meno che tu non hackeri anche il DNS 
della Microsoft (o il loro webserver), quel certificato non ti servira` 
a molto. :)
 
Bye.
 
 


A dire il vero immaginavo uno scenario diverso in cui avviene un MitM, 
ad esempio su LAN.
 
Mi sfugge il meccanismo di protezione se ho potere di farti un redirect 
DNS (perchè sono in the middle), registrarmi un bel certificato verde e 
mandarti sul mio server clone.
 


Perché se *let's encrypt* non trova nella root del sito del quale di
spacci proprietario il file che si aspetta non ti genera il certificato.
Quindi per fregarmi devi fare MIM a me e a let's encrypt.
Ma a questo punto ti meriti di rubarmi qualche informazione :D



ok, chiaro, grazie.
 
Usi Certbot quindi? A me ha fatto solo casini.

 Usi Certbot quindi? A me ha fatto solo casini.
 
Si, ma mi sono fatto solo scaricare i certificati, poi li ho installati
a mano, anche perché nginx non é contemplato, mi pare.



Un difetto di Let’s Encrypt è che la durata dei certificati è di tre mesi* (e non supporta le wildcard), e manualmente va bene se hai pochi domini.
 
* Sicuramente avrà un buon motivo che non conosco.


però supporta, a differenza di startssl, le procedure di rinnovo 
automatiche del protocollo ACME. tutto sommato così non è male. Salvo 
non ti capiti il server datato che non puoi aggiornare... e li sono 
casini. sto impazzendo perchè ho una versione di curl vecchia (che non 
posso togliere)...
 

 automatiche del protocollo ACME. tutto sommato così non è male.
 
I difetti che ho elencato sono tali solo se devi aggiornare a mano, altrimenti chi se ne accorge?


In effetti non ci avevo fatto caso, devo capire come fare ad aggiornare
automaticamente con certbot. Avete qualche info?



Con certbot è banale, metti un cron
 
05 06 01 * *    sudo /dove/si/trova/certbot-auto renew --quiet 
--no-self-upgrade
 
ed ogni mese ti fa il nuovo certificato.


 
In effetti ho migrato tutto, è così ben gestita che ho persino integrato 
sul nostro software un rinnovo "oneclick" del certificato.
 

 sul nostro software un rinnovo "oneclick" del certificato.
se li dovessi utilizzare per il mailserver? Ci vedi controindicazioni?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 chrome/firefox/safari/edge?
 
in realtà il mondo intero usa letsencrypt: 
https://letsencrypt.org/
 
Il problema di Letsencrypt è che i certificati scadono ogni 3 mesi (o 4, 
non ricordo), ma puoi usare letsencrypt insieme a qualche tool che 
effettua il rinnovo automatico dei certificati.
Posso dirti per certo che esistono moduli puppet per il rinnovo di 
certificati letsencrypt, ma confido nel fatto che esistono anche moduli 
Ansible e probabilmente anche script.
 
TUTTI DIPENDE DAL'USO. Se devi fare il portale di Unicredit, direi che 
non va bene :) Per uso interno, o per sitarelli o per piccole 
organizzazioni, direi che va benone.
 


 
http://www.dmpro.it/index.php/approfondimenti/features-recenti-e-roadmap
 
 
Lo scopo è stato proprio quello. Però confinato alla parte webmail. A 
momenti farò dei test sulla parte imaps/pop3s con tutti i client 
possibili ed immaginabili. Ti faccio sapere.
 

 possibili ed immaginabili. Ti faccio sapere.
grazie, sarebbe davvero comodo avere l'autorenew dei certificati del 
mailserver



Con thunderbird, imaps/pop3s ti chiede di accettare il certificato la 
prima volta, anche se è il certificato firmato con la super-CA che usa 
google.
Il problema a questo è che ogni 3 mesi all'utente sarà richiesto di 
accettare il certificato (con thunderbird, con altri client non saprei 
dire).
 
 
 

 google.
 
A quel punto non ha senso in quanto l'accettazione è identica sia per un 
selfsigned sia per una CA autorevole. Quindi tanto vale fare un 
selfsigned di durata decennale, a quel punto la violazione genererà 
un'eccezione ed avrà un senso quel messaggio. Se gli utenti si abituano 
a cliccare su continua, viene meno tutto il meccanismo.


in realta' (provato adesso) con thunderbird e gmail il sistema' e' cambiato. 
Si apre una pagina HTML, ti chiede la conferma con i codici sul cellulare 
android e la conferma del certificato non c'e' piu'. 
bisognerebbe qualche altro provider (per chi ha voglia).