SSL-сертификаты

[buster 1827]

20 часов назад, Andruxa сказал:

А отсниффить вайфай сетку сейчас кто угодно может. 

Сейчас... Это было можно еще в начале тысячелетия

p.s. В бытностью мою работы в ISP, у нас была локалка на несколько районов, где шеф не хотел настраивать шифрование в PPTP. Мол, никак нельзя расколупать туннель в ethernet-сетке. Пара часов сидения со снифером и плагинами к нему, принесли мне его пароли. Что самое смешное, это его ничему не научило, потому что его ответ был таков: "ну и что, кроме тебя все равно никто не сможет это сделать".

[Andruxa 945]

Так я об этом уже писал  Кстати, прикрутить SSL и халявный сертификат от letsencrypt - работы на полчаса. 

1 minute ago, buster said:

где шеф не хотел настраивает шифрование в PPTP

Он и с шифрованием дырявый. Старый протокол, категорически не рекомендуется к использованию. 

[buster 1827]

6 минут назад, Andruxa сказал:

Он и с шифрованием дырявый. Старый протокол, категорически не рекомендуется к использованию. 

В начале двухтысячных он таким старым еще не был  Но там проблема была не столько в протоколе, сколько в архитектуре самой сети - дешевые свичи (по-началу даже хабы) без фильтрации по портам. Снифь - не хочу.

P.S. Шеф мне, кстати, не сразу поверил, что дешевый свич можно определенным образом (кажется, путем переполнения таблицы мак-адресов) перевести в режим хаба, когда он без разбора начинает слать данные для одного подписчика сразу по всем портам.

[GDV 10051]

8 минут назад, buster сказал:

ну и что, кроме тебя все равно никто не сможет это сделать

Таки да :). Ну и принцип Неуловимого Джи тоже никто не отменял 

Я, разумеется, шучу. 

8 минут назад, Andruxa сказал:

Так я об этом уже писал  Кстати, прикрутить SSL и халявный сертификат от letsencrypt - работы на полчаса. 

Если это ты про gid.cz, то поясни, действительно ли это нужно. И - главное - кто может прикрутить :). Ибо я в сертификатах не шарю. 

[buster 1827]

5 минут назад, GDV сказал:

Если это ты про gid.cz, то поясни, действительно ли это нужно. И - главное - кто может прикрутить :). Ибо я в сертификатах не шарю. 

В твоем случае ИМХО проще купить самый дешевый: https://www.namecheap.com/security/ssl-certificates/comodo/positivessl.aspx

Т.к. домен у тебя теперь всё на домене второго уровня, то его должно хватить.

P.S. Я не знаю, насколько тебе это важно, но https несколько повысит позиции в гугле.

[GDV 10051]

Позиция пофиг. Важнее, насколько это существенно для пользователей.

[buster 1827]

Ну, мне было бы спокойнее. И хотя у меня тут нет каких-то секретных данных, все же https есть https. Опять же потенциально поможет защитить нерадивых юзеров, у кого везде один и тот же пароль.

[GDV 10051]

Но для реальной опасности надо еще и ходить на форум через слабо защищенные сети, так? И не раз, и не два, а регулярно. 

8 минут назад, buster сказал:

 проще купить самый дешевый

$8.88/yr?..

Я правильно увидел? 

[buster 1827]

Ну так, достаточно ОДИН раз зайти во время снифа где-то. Регулярность повышает лишь вероятность. Вот приехал кто-то в гостиницу, сидит, флудит по вечерам, а потом бац и неприятно стало.

3 минуты назад, GDV сказал:

$8.88/yr?..

Я правильно увидел? 

Эээ... да, а это че, много?

[GDV 10051]

1 минуту назад, buster сказал:

да, а это че, много?

Ну да, придется заложить дом и продать мебель... 

Я думал, это нечто дорогое :).

Цитата

Вот приехал кто-то в гостиницу, сидит, флудит по вечерам, а потом бац и неприятно стало.

Эт прям я и есть :). И пароль у меня, хоть и не один, но нет такого, чтоб для каждой цели и каждого ресурса был отдельный...

[buster 1827]

2 минуты назад, GDV сказал:

Я думал, это нечто дорогое :).

Тебе в принципе нужно будет этот сертификат купить и передать хостеру. Не знаю, как у тебя с ними там это организовано, но в простейших случаях достаточно просто залить сертификат через некую форму и еще настроить, чтобы с http был принудительный редирект на https. Есть еще пара моментов, но этого в принципе достаточно для форума.

[GDV 10051]

Настроить редирект несложно. 
Ок, задам вопрос хостеру. Хотя полагаю, у него в факе это будет описано.

[Andruxa 945]

Google вроде грозился, что Chrome скоро будет кричать «это небезопасно» при открытии сайта без SSL, у которых есть форма для ввода пароля. Этот форум как раз подходит под этот критерий. Это уже вызовет отток части пользователей. Сертификат можно не покупать, есть бесплатные: 

https://letsencrypt.org/

Плюс, для них можно настроить скрипт, который будет их автоматом обновлять. 

У меня есть опыт прикручивания сертификата к nginx. Думаю, для других серверов оно тоже просто делается. 

[GDV 10051]

1 минуту назад, Andruxa сказал:

 Сертификат можно не покупать, есть бесплатные: 

О, надо же, халява существует?

1 минуту назад, Andruxa сказал:

Google вроде грозился, что Chrome скоро будет кричать «это небезопасно»

По-моему, этой угрозе уже пару лет. Же йо?

Понял, короче. Надо сделать.

[buster 1827]

2 минуты назад, Andruxa сказал:

Сертификат можно не покупать, есть бесплатные: 

https://letsencrypt.org/

Плюс, для них можно настроить скрипт, который будет их автоматом обновлять. 

У меня есть опыт прикручивания сертификата к nginx. Думаю, для других серверов оно тоже просто делается. 

Можно, но это когда ты сам сервер обслуживаешь. А когда кто-то другой, ИМХО проще купить (согласись, $9 в год это сумма, которая во многих случаях даже меньше, чем стоимость домена). По крайней мере мы letsencrypt используем только для девелопмент инфраструктуры, а для продакшна покупаем.