[said]

https://web.hinnavaatlus.ee suunas pöördudes ilmnes paar ebameeldivat probleemi.

a) sertifikaat aegus 20.05.2009,
b) sertifikaadi common name on hinnavaatlus.ee, mitte web.hinnavaatlus.ee
c) tegemist on endapoolt allkirjastatud sertifikaadiga.

Tulemuseks ebausaldusväärne leht, mille puhul pole üldse selge, mida antud lehega taotletakse, sest juhul kui leht, millega usaldust tõestetakse peaks siiski ka ise usaldatav olema, mitte kasutama ausõna baasil väljaantud valeidentiteeti.

[voyager_est]

Anna andeks, aga ma ei näe mingit põhjust, miks peaks kasutama mingit tasulist sertifitseerimise teenust.
Pole see mingilgi määral usaldusväärsem, kui HV enda loodud sertifikaadid.
HV defineerib oma identiteedi ikka ise ja võib vabalt ka endale sertifikaadi välja anda.
Kui sulle muidu HV on usaldusväärne, siis jääb arusaamatuks, mis probleem selle HV kodukootud sertifikaadiga on?

[said]

Huvitav, et viimane punkt loetelust äramärkimist leidis, pigem on mul kõigepealt küsimus aegumise ja common name mitteklappimisega.
Loomulikult võiks ma saada ka HinnaVaatluse CA sertifikaadi, et kontollida, kas on ikka tegu HinnaVaatluse sertfikaadiga, mida mulle pakutakse.
Kogu teema idee on sellest, et äkki teeb keegi mulle näituseks tünga ja korjab minu isikuandmeid sedasi kenasti kokku, kuigi mina ausa kodanikuna tahaksin kõnealuses keskkonnas tevitada, et ma olen päriselt ka olemas.

[Tanel]

said, sertifikaadi uuendamise/pikendamise teeme tänase päeva jooksul.

[nevermind]

said äkki selgitad, kuidas sa enda jaoks garanteerid, et CA poolt ostetud sertifikaatidega sait ei kogu sinu tundlikke andmeid ning ei tee nendega miskit pahandust.

vähemalt minul küll sellist turvatunnet ei teki ainult teadmisest, et saidi omanik on mõnesaja dollariga CA serdi ostnud...

[Tanel]

[3GHZ]

[said]

Oh teid, mina räägin lehe tuvastamisest, teie rahast.
Ega siis SSL ainult krüpteerimise jaoks ole, mida näiteks Riigiteataja puhul oleks tarvis krüpteerida? Samas huvitaval kombel suunatakse kasutajad plõksti krüpteerimata ühenduselt ümber krüptitud ühendusele.
Põhjus väga lihtne, vajadus tuvastada, kas ma ikka räägin õige serveriga või mitte ja lihtsuse mõttes on sinan paigaldatud sertifikaat, mille tuvastamiseks kõik vajalik on igal kaunil ja heal arvutikasutajalbrauseriga kaasas. Seega, kui pöörduda tagasi raha juurde, siis on raha eest ostetud sertifikaat selline indulgentsi moodi asi - hingeõnnistus läbi poetatud kopika, aga see pole ikkagi minu point. kui tehakse veebileht, mis peaks viimasel ajal arulagedalt kurja AKI arvates väga tundlike (khm) isikuandmeid töötlema, siis peaks ta olema piisavalt tuvatatav.
Antud juhul sai kes iganes ja mida iganes mulle serveerida ning mul polnud mingit võimalust otsustada kas ma ikka rääggin õige serveriga. Samas on õnneks krüptospetsialistid vaeva näinud ja surunud läbi selle, et vaikimisi ei ole krüpto vaid krüpto pärast vaid esmatähtis on ikkagi see kas klient üldse usaldab serverit või mitte, mis omakorda seab nõudmised serverile kolmes punktis a) sertifikaadi vastavust peab saama kontrollida (CA avaliku sertifikaadiga võrdlemine), b) antud juhul peab CN vastama hosti nimele ja c) sertifikaat peab olema kehtiv, vastasel juhul saadab klientprogramm käesurumise kurele ja küsib tihendilt rooli ja tooli vahel, et kas too on ikka endas kindel. Kahe viimase punktiga pole mingit probleemi, esimesega on kaks varianti, kas indulgents või siis oma "volituste" levitamine kasutajatele ja viimasega minuteada ei kaasne mingit probleemi kangastuvate kümnete tuhandetega.

[KillerXP]

tegelikult juhtisin sellele tähelepanu juba varem LINK

Praegu vaadates on sert kenasti uuendatud kuniks 29.06.2010 12:40:00 GMT ja asi ilusam... Ok tõepoolest kurdab, et tegu on self signed certiga kuid ma ei näe põhjust miks mitte HV-d ja Tanelit usaldada.

[Tanel]

said, point on nüüd selles, kas usaldad meid või mitte, mingeid paarituhande dollariliseid sertifikaate üksikute kasutajate pärast me kindlasti soetama ei hakka
HV sertifikaadid on konkreetselt seotud meile kuuluvate serveritega ning on meie enda poolt välja antud, küsimus on vaid usalduses ja/või kahtluses, mida tasulise serdi ost kindlasti ei kõrdalda.

[secrgb]

Kes vana asja meelde tuletab ...

Kas on SSL rakendamise plaanides selgust saadud?

[Tanel]

Jah, see aasta on plaanis SSL tugi juurutada.

[secrgb]

Ma ikka vingun selle pisiasja (SSL) kallal aga aasta hakkab otsa saama.

[Dirty Harry]

https://letsencrypt.org/ - avalik beeta peaks ülehomme tulema.

[Tanel]

HV SSL serdid on juba novembris ostetud, lähevad järgmisel aastal uue HV platvormiga käiku.
Kannatust palun, kui tõesti praegust HinnaVaatlust ja HinnaVaatluse foorumit ei usalda

[Pailaps]

Ma kasutasin oma veebi jaoks WoSign oma. Kindlustus on 100 000$ peale.

Samm 1.
Registreeri https://login.wosign.com/reg.html ja lase saata emailile klient sertifikaat.
Samm 2.
Mine https://buy.wosign.com/DVSSL.html ja lisa SSL ostukorvi. Vajuta paar korda Next.
Samm 3.
Vajuta https://buy.wosign.com/memberuser/OrderList.html lehel Play nupu peale ja sisesta domeenid. Tõenda emaili või HTML vormi abiga serveris.
Samm 4.
Loo CSR ja kopeer-kleebi sisu HTML vormi veebiliideses.
Samm 5.
Saad emaili koos lingiga oma sertifikaadi .zip failile.

sinu-domaeen.ee.crt -> ca1_dv_free_2.crt -> ca1_xs_sc_new.crt

https://www.wosign.com/root/ca1_dv_free_2.crt
https://www.wosign.com/root/ca1_xs_sc_new.crt

Algne õpetus asub aadressil https://www.checkmyping.com/

Tulemuseks on tugeva krüptoga DV SSL.

Nüüd ei tohiks enam ühtki takisust olla HV.ee SSL turval. Kõik brauserid söövad alates FF kuni IE-ni.
Okei, vanematel XP-del tekkis raskusi, kuna juurserti pole nimetatute kirjas.

Milleks maksta rohkem ja kas ma unustasin lisada, et see on TASUTA?

[Tanel]

Pailaps, sa mu eelmist postitust jõudsid lugeda?

[Pailaps]

[Tanel]

Pailaps, jah, selle näpunäite võiks siis hiljem eraldi teemaks teha vms

[secrgb]

[wapper]

Kuulge mis juhtus HV SSL-ga? URLi realt vahib vastu "pole turvaline".
Paroolid postitakse lahtisel kujul üle võrgu, see on ju suur jama.
HVs on inimestel kontodel raha, inimesed autendivad end ID kaardiga aga ühendus on krüpteerimata. Aiaiai ebasoliidne

[pppd]

[Tanel]

[ufo56]

tasuta https://letsencrypt.org/ asi olemas ja ei kasuta see url.ee ega test.hv.ee seda, raske on siis paar minutit kulutada ja normaalne sert panna ilma et peaks erroreid nägema ?

[Tanel]

ufo56, sert on juba olemas ja tuleb LIVE's.

EDIT: ehh krt, testikeskkonna sert sai täna just läbi
Saab ehk varsti korda, annan siin teada.

[Renka]

[ufo56]

No reklaamiti välja url oü teeb tööd, otsisin siis ettevõtte kodulehte ja seal vaatab sama asi vastu. Vahet pole, ütlesin vaid.

[Renka]

[wapper]

[Mart352]

[Tanel]

Mart352, see ei ole ju sama baas, andmed replikeeriti nädal või kaks tagasi
Kui test millalgi LIVE'ks muutub, teeme värske dumpi ja siis toimuvad ka muud muudatused.

[RassK]

HTTPS cert ei ole mingi turvalisuse või identiteedi garanteerija. Päris paljudes kohtades reklaamitakse seda väga valesti. HTTPS on siiski ainult turvaliste ühenduste loomiseks.
Mingeid ulmelisi summasid CA'le on mõttetu maksta. letsencrypt.org võtke siit tasuta cert ükskõik millisele enda lehele, mugavuse huvides vajab automaatuuenduse scripti.

[Renka]

[avamander]

Äkki annaks nt. letsencrypti cert hankida ja see automaatselt cronjobiga uuendama ennast panna. Väga ebaturvaline on küsida kasutajanime ja parooli üle http.