[SiMka]

letsencrypt.org on uus CA mis koostöös Mozilla, Akamai, Cisco ja teistega hakkab mid-2015 pakkuma tasuta SSL sertifikaate. SSL installeerimine linuxi all on kerge kui ABC ning hakkab koosnema ainult kahest käsust:

[dud66]

[serk]

Esmapilgul tundub, et apt'ga installeerid mingisuguse juraka endale masinasse, millele pead tulemüüri augu tegema. Ehk tegelt miskine tarkvara jupp, mis istub mingi pordi otsas ja pidevas suhtluses teise osapoolega. Mis juba eos tähendab turvariski. Muidugi huvitav oleks teada, et kuidas antud jupp on turvatud. Peaks rohkem lugema. Murdes lahti selle liikluse või protokolli on sisuliselt kellad. Keeruline ka hinnata, et mis taseme ettevõtted lubaks enda serveritesse sisuliselt musta kasti, mis automaagiliselt serte haldab. A teema huvitav, peaks rohkem süvenema ja lugema täis protokolli antud lahenduse kohta.

[-vodafone-]

Tasub jälgimist.

[2ndalpha]

[kussu]

Lõpuks saadaval!

https://letsencrypt.org/

[Platinet]

Kuidas see täpsemalt töötab?
Ütleme, et mul on zone.ee hostitud kodukas ja domeen.
Saab ise selle SSL kuidagi peale panna siis või?

[taf131]

Kui raha ei küsita, siis kus konks on?

[warwas]

[Toomas]

Kirjade järgi https://www.zone.ee/et/teenus/virtuaalserver/hinnad/ on Zones https-tugi alates II paketist.

Aga muidu kiiduväärt ettevõtmine, peab ka ära testima

[kussu]

Lugemiseks Andris Reinman blogist

http://www.andrisreinman.com/2015/12/lets-encrypt-tasuta-ssl-serdid.html

[BigBabba]

Zone virtuaalserveris on nüüd tasuta Let's Encrypt serdi tellimine paari klikiga võimalik.
https://www.zone.ee/blogi/2015/12/15/lets-encrypt-ja-tasuta-ssl/

[pepz]

Proovisin ka ära. Installisin Ubuntu 14.04 masinale kus Nginxiga veebiserver ülesse seadistatud. Algul tekkis probleem auto installeriga kuna

[Redikate]

Olen ka korduvalt kasutanud. Kuigi auto scriptid veel pole päris nii head kui võiks olla, siis ikkagi on kogu protsess oluliselt lihtsam kui vanasti.

Soovitan kõigile!

[ufo56]

Proovitud, töötab.

[UB]

Kuna serdid kehtivad ainult kolm kuud, siis teenusepakkuja poolt uuendatakse neid automaatselt. Minu kolm kuud sai aprilli alguses läbi ning pärast uuendamist avastasin, et arvuti brauseris toimis lehekülg suurepäraselt, aga mobiili omas näitas sertifikaadi viga. Probleem lahendati päevaga ning öeldi, et mingisugused vaheserdid olid puudu. Nii et kui kellelgi peaks uuendamisega samasugune probleem tekkima, siis teab milles asi ning kuidas asjad korda saab.

[mikk36]

Mobiili jaoks tuleb jah fullchain.pem faile kasutada.

[priitr]

Keegi klastris serverite puhul mingit automaatset uuendamist kah kuidagi kasutab? Häda nagu selles, et uuendamisel klient paneb oma tekitab challenge-response failid täpselt selle masina webroot'i, kus ta töötab. Lives (pilves) aga võib olla N veebiserverit, mille peale kontrollpäring võib maanduda...
Redirect/proxy kusagile mujale just nende konkreetsete päringute jaoks töötab?

[2ndalpha]

[LKits]

[priitr]

1 server 10€, 30 serverit 300€. 3 organisatsiooni x 30 serverit -> 90 erinevatel aegadel aeguvat sertifikaati. Mõnel pool saab aegumist jälgida poolautomaatselt, mõnel pole selleks midagi. Kui veel sertifikaadid ei kuulu ka otseselt minule on nende jälgimine, taotlemine ja asendamine väga õhukeste organisatsioonide tingimustes tõeline PITA ja ressursiröövel.
Selle poolest on letsencrypti iseuuenevad sertifikaadid tõeline taeva kingitus.

[mikk36]

DNS-kinnitus on ilmselt lahenduseks selles olukorras, pole aga jälginud, et kaugele nad sellega jõudnud on.

[LKits]

10€ aastas serveri kohta pole mingi lisakulu.
Lisaks saab ju alati tuimalt vana cerdi uue peale uuendada ehk siis kõik cerdid korraga. Sealt kaupleb võib-olla soodustuse ka välja.

Kui aga konfid LetsEncrypt uuendamise automaatseks, siis see on juba väga mugav.

[2ndalpha]

[mikk36]

Soovitatav uuendamistihedus on niikuinii kuu aega, siis on 2 kuud aega korda ajada asja.

[priitr]

[2ndalpha]

Eks see kõik sõltub jah kuidas infra on ülesse ehitatud. Ükshaaval masinates serte vahetada ja veebiserverit restartida on kindlasti tüütu.
Kui mõnda pilveteenust kasutada, siis saab serdi loadbanaceri panna ja vahet pole mitu serverit selle taga on.
Teine variant on sert kohe serveri imagesse sisse panna. Uue serdi puhul uus image ja tood uued serverid ülesse ja vanad seisma.
Mul selline lihtsustatud case ka. Puppeti ja Chefi mehed teavad paremini kuidas uut confi masinatele pushida.

[BigBabba]

[karu]

[BigBabba]

Tore näha, et HV ka Let’s Encrypt peal nüüd. Zones saab see kuu 10000 Let’s Encrypt kasutavat saiti täis.
Kõik, kellel veel koduleht "roheline" pole, tasuks see lüke ära teha. Enamus virtuaalserveripakkujatest seda juba toetab.