Отозвали SSL сертификат. Какой выбрать?

Question

[iBird Rose]

У кого купить SSL сертификат, который хотя бы в теории нормально будет работать и никто не будет отзывать и т.д.? Может кто уже сталкивался или знает 100% вариант?

Comments

[CityCat4]

Выпускающий CA всегда может отозвать сертификат. Наскольок я знаю, все у кого отозвал LE - перевыпускались в GlobalSign

[galaxy]

CityCat4, хмм, а с чего вообще LE отзывает? По политическим мотивам (не считая случаев типа ВТБ - их очень мало) - я не слышал. Нарушение правил?

[CityCat4]

galaxy, По политическим мотивам. Три первых - потому что под санкциями, последний - потому что про Путина. Да и просто потому что русские. С чего например русских кошек не принимают на выставке? Кошки точно ни при чем.

[d-stream]

Притом интересная фигня: собственно сертификат лишь позволяет убедится что при обращении к xxx.yyy ответ пришел оттуда, а не от Васи Пупкина посерёдке... А всё остальное - политес на другом конце, котики или порно - это вне этой компетенции

[shurshur]

d-stream, нет, сертификат позволяет убедиться в том, что ответ от "Васи Пупкина" действительно пришёл от настоящего Васи Пупкина, а не от безвестного индуса, который подписался таким же именем.

[d-stream]

shurshur, 2*2=4, нет 2*2=4)
Я ровно об этом и сказал - сертификат подтверждает другую сторону, а не её политические убеждения или ещё что-то.

В той самой фигне с сертификатами банков произошло ровно наоборот - там по политическим мотивам начали дезинформировать...

[shurshur]

d-stream, никто не начал деизинформировать. Просто гарант подписи сказал, что больше не гарантирует её верность. Утверждать, что подпись стала неправильная, он не стал.

[d-stream]

shurshur, и revoke ога)
Тонко)

[ValdikSS]

CityCat4, ни у кого не отозвали сертификат по политическим мотивам, не вводите людей в заблуждение. Отзывали сертификаты только у организаций, которые попали в санкционный лист США.

[CityCat4]

ValdikSS, Хи-хи, а попали они в этот список не по политическим мотивам, да? Я-то как раз никого в заблуждение не ввожу.

[ValdikSS]

CityCat4, В санкционный список попали организации, а не домены. По политическим мотивам сертификаты не отзывают — регистраторы руководствуются CA/B: https://cabforum.org/baseline-requirements-documents/

The CA SHOULD revoke a certificate within 24 hours and MUST revoke a Certificate within 5 days if one or more of the following occurs: [...]
10. Revocation is required by the CA’s Certificate Policy and/or Certification Practice Statement;

[CityCat4]

ValdikSS, И какой же пункт нарушил например Банк ВТБ?

Answer 1

[galaxy]

100% вариант сейчас вряд ли может быть. Ставьте Letsencrypt, по крайней мере, деньги не потеряете

Comments

[CityCat4]

Так скорее всего LE и отозвали :)

[iBird Rose]

CityCat4, Был не LE

[CityCat4]

iBird Rose, Ну все равно, LE не советую. LE был у Сбера, ВТБ, Центробанка (хи-хи) и сайта "Путин сегодня". Всем пришлось перевыпускаться, так как LE их отозвал.

[Adamos]

CityCat4, честно говоря, затрудняюсь представить, с чего LE заморачиваться с каким-то российским сайтом, у которого такой бэкграунд, что вопросы о сертификате задаются здесь.
А если вдруг будет взбрык и отзыв всех российских вообще - ну, так "езжайте туда, где упавшее небо не причинит вам вреда" (с). От подобных форс-мажоров предусмотрительность не помогает, и не этот сертификат тогда будет главной проблемой, подозреваю...

[d-stream]

Ну le - это The Internet Security Research Group (ISRG) is a Californian public-benefit corporation which focuses on Internet security и собственно подчиняется калифорнийским законам

[CityCat4]

Adamos, LE плевать на российские сайты все вместе взятые, но нифига не плевать на американское законодательство - потому и отозвал

[d-stream]

CityCat4, ну или не в меру ретивый сотрудник, возможно постарался)

кстати на днях-таки пришлось прикинуться "тюльпаном" дабы не получать оттуда "обождите, всё занято")

[CityCat4]

Мы с 9-го будет прикидываться тюльпанами для некоторых сайтов, которые, как некогда в Америке, пишут "s/черным/русским/g не входить!"

[ValdikSS]

CityCat4, приведите пример отозванного сертификата Let's Encrypt.

[CityCat4]

ValdikSS, Ох, ну от Вас такого криогена не ожидал :) 1 марта LE отозвал сертификаты разом у нескольких российских сайтов - сейчас я точно могу назвать только сайт Центробанка и ВТБ (хотя там была пачка побольше). Этим же днем все, кому отозвали перевыпустились в GlobalSign.

[galaxy]

CityCat4, вы неправы, сертификаты отозвал DigiCert - https://vc.ru/flood/372667-u-vtb-ru-otozvali-ssl-s...
https://www.rbc.ru/newspaper/2022/03/04/621f8b8e9a...

[ValdikSS]

CityCat4, Вы пример приведёте? Сертификаты все действующие:
https://crt.sh/?id=6262455940 — vtb.ru
https://crt.sh/?id=6266585677 — open.ru
https://crt.sh/?id=6296609634 — cbr.ru
https://crt.sh/?id=6198077049 — psbank.ru

Answer 2

[RoundRobin]

GlobalSign (и их дочерние бренды) - наиболее надежный вариант. Но абсолютно надежного сейчас ничего не существует.

Answer 3

[Alexander Kalinin]

100%-го варианта нет, но если нужен именно платный сертификат, берите у GlobalSign, неамериканской конторы, с которой никаких споров и "конфликтов", как сейчас у digicert, не было и надеюсь не будет.

либо бесплатный let's encrypt, там частенько отзывали сертификаты пачками из-за каких-либо ошибок, которые они там в их системе находят, но за то выдача автоматическая.