tiphareth: верхний пост

(Читать комментарии) - (Добавить комментарий)

rednyrg721
2016-09-03 01:09 (ссылка)

Тут пишут, что StartCom перекупили китайцы в 2016, причем не просто китайцы, а с дурной репутацией (выдавали сертификаты от балды, например). Так что есть вероятность, что браузеры со временем перестанут доверять сертификатам от StartCom.

Пока, правда, всё ещё только начинается, в мажорных новостях ещё не было:

http://www.percya.com/2016/09/wosigns-secret-purchase-of-startcom.html

https://news.ycombinator.com/item?id=12411870

http://www.percya.com/2016/08/chinese-ca-wosign-faces-revocation.html

https://news.ycombinator.com/item?id=12389573

Я хз, конечно, стоит ли дергаться в данный момент, но так, для сведения.

(Ответить) (Ветвь дискуссии)

	tiphareth 2016-09-03 01:20 (ссылка)
	спасибо, ага ну я им денег не плачу, так что при необходимости съеду без особых проблем (Ответить) (Уровень выше) (Ветвь дискуссии)

rednyrg721
2016-09-28 03:14 (ссылка)

подвижки: Mozilla новым сертификатам планирует перестать доверять на год, но старые работают, чтобы людям простым не гадить

https://docs.google.com/document/d/1C6BlmbeQfn4a9zydVi2UvjBGv6szuSB4sMYUcVrR8vQ/preview

"Conclusions

From the above observations about the Tyro certificates, we believe we can draw the following conclusions:

StartCom are using WoSign’s infrastructure (the same or a clone);

Certificates on this infrastructure with a notBefore of 2015-12-20 (China time) are indeed back-dated - this further confirms our suspicions about the Macau certificates we saw issued by WoSign; and

StartCom’s hierarchy has been directed by management to mis-issue “WoSign-style”.

...

Taking into account all the issues listed above, Mozilla’s CA team has lost confidence in the ability of WoSign/StartCom to faithfully and competently discharge the functions of a CA. Therefore we propose that, starting on a date to be determined in the near future, Mozilla products will no longer trust newly-issued certificates issued by either of these two CA brands.

We plan to distrust only newly-issued certificates to try and reduce the impact on web users, as both of these CA brands have substantial outstanding certificate corpuses. Our proposal is that we determine “newly issued” by examining the notBefore date in the certificates. It is true that this date is chosen by the CA and therefore WoSign/StartCom could back-date certificates to get around this restriction. And there is, as we have explained, evidence that they have done this in the past. However, many eyes are on the Web PKI and if such additional back-dating is discovered (by any means), Mozilla will immediately and permanently revoke trust in all WoSign and StartCom roots.

This distrust would remain for a minimum of 1 year. After that time, WoSign/StartCom may be readmitted to the Mozilla trust program, under the following conditions:
..."

У Витуса ещё обсуждается, но, видимо, только Let's Encrypt остался из бесплатных:

http://vitus-wagner.livejournal.com/1227425.html

(Ответить) (Уровень выше) (Ветвь дискуссии)

	tiphareth 2016-09-28 03:31 (ссылка)
	ага, спасибо придется менять, очевидно можно и платно, в принципе, оно не бесконечно дорого вроде (Ответить) (Уровень выше)

	tiphareth 2016-09-28 03:31 (ссылка)
	но пусть сначала истечет, что ли (Ответить) (Уровень выше)

(Читать комментарии) -