Neue Mozilla-Sponsoren: Thawte, Comode und RapidSSL

[Mudder]

Auch wenn SSL grundsätzlich gut ist, so habe ich einfach das Gefühl, dass hier einige SSL-Zertifizierer quasi im Kartell den Markt erobern. Schon die "Grüne Leiste" war/ist eine Abzocke, aber das nun quasi alles auf SSL Zwangsumgeleitet werden soll und damit jeder noch so simple Blog Geld für etwas ausgeben muss, dass in 95% aller Fälle überflüssig ist. Sorry Nein.

[DASPRiD]

Let's Encrypt ist kostenlos.

[Tobias Grund]

StartSSL bietet ebenfalls kostenlose Zertifikate.

Wobei ich der Meinung bin, dass die, die so unbedingt https only durchsetzen wollen, wie z.B. Mozilla, auch ruhig selbst kostenlose Zertifikate anbieten sollten - zumindest für Privatleute.

Ich halte es aber auch für fragwürdig, die Leute überhaupt zu zwingen. Warum führt man nicht eine Option ein, dass User auf Wunsch nur noch https Seiten aufrufen können. Oder eine Warnmeldung bei unverschlüsselten Seiten, welche sich aber dauerhaft deaktivieren lassen können sollte.



1 mal bearbeitet, zuletzt am 04.05.15 14:03 durch Tobias Grund.

[DASPRiD]

Tobias Grund schrieb:
--------------------------------------------------------------------------------
> StartSSL bietet ebenfalls kostenlose Zertifikate.
>
> Wobei ich der Meinung bin, dass die, die so unbedingt https only
> durchsetzen wollen, wie z.B. Mozilla, auch ruhig selbst kostenlose
> Zertifikate anbieten sollten - zumindest für Privatleute.

Tun Mozilla doch mit Let's Encrypt.

[Tobias Grund]

Ah okay, ich hatte nicht gesehen das Mozilla zu den Sponsoren gehört.

[FibreFoX]

Tobias Grund schrieb:
--------------------------------------------------------------------------------
> StartSSL bietet ebenfalls kostenlose Zertifikate.

Auch im Jahr 2015 kann ich nur von StartSSL abraten, IMHO nicht sind die nicht wirklich vertrauenswürdig, zumal diverse Probleme bei diesem Registrar existieren, alles bereits gepostet in einem alten Thema bzgl HSTS:
https://forum.golem.de/kommentare/security/hsts-google-fuehrt-liste-von-reinen-https-seiten/und-jetzt-bitte-noch-gratis-zertifikate-von-google/85283,3836884,3906107,read.html

[RipClaw]

FibreFoX schrieb:
--------------------------------------------------------------------------------
> Tobias Grund schrieb:
> ---------------------------------------------------------------------------
> -----
> > StartSSL bietet ebenfalls kostenlose Zertifikate.
>
> Auch im Jahr 2015 kann ich nur von StartSSL abraten, IMHO nicht sind die
> nicht wirklich vertrauenswürdig, zumal diverse Probleme bei diesem
> Registrar existieren, alles bereits gepostet in einem alten Thema bzgl
> HSTS:
> forum.golem.de

Gut, ich gebe zu das sich StartSSL nicht mit Ruhm bekleckert hat bei der Heartbleed Geschichte aber die meisten anderen Argumentationen gegen StartSSL sind nur Mimimi und nicht mehr.

Technisch gibt es an StartSSL nichts auszusetzen und sie halten sich wie andere Zertifikatsausteller auch an die Richtlinien des CA/Browser Forums:

https://cabforum.org/wp-content/uploads/BRv1.2.5.pdf

[marolu]

Das allerbeste darin ist, dass die ganze dyndns Fraktion von Webseitenbetreiber ausgeschlossen wird. Zumindest konnte ich bei einigen Zertifikatshersteller keines bekommen, weil ich ja kein Webmaster von z.B. dyndns.com bin - ein Zertifikat auf z.B. tralala.dyndns.com konnte ich nicht anfordern, obwohl ein mailserver bestand.

Kostenlose Zertifikate bekommt Admina auch hier: https://buy.wosign.com/free/

[Yoyo117]

Dann warst du beim falschen CA.

Nur für ein WildCard Zertfikat brauchst du Zugriff auf die Top-Domain (bzw. die "+1-Domain"). Waren auch deine MX-Einträge richtig eingetragen? Problem für einen MailServer ist natürlich auch, dass du normalerweise Reverse-IP brauchst, und ich bin mir nicht sicher ob das über DynDNS geht....

[marolu]

Auf die DNS Einträge habe ich extra drauf geachtet. Und es war kein wildcard-zert. https://freedns.afraid.org/ gibt auch die Möglichkeit einen MX Eintrag zu setzen. Und probiert hatte ich wosign und (glaube ich) comodo. Mit dyndns meinte ich stellvertretend alle dyndns Anbieter.



1 mal bearbeitet, zuletzt am 04.05.15 16:07 durch marolu.

[FreiGeistler]

> Warum führt man nicht eine Option ein, dass User auf Wunsch nur noch https Seiten aufrufen können.
Gibt es bereits. In der about:config
security.ssl.require_safe_negotiation
und
security.ssl.treat_unsafe_negotiation_as_broken
auf 'true' setzen.

[Tobias Grund]

FibreFoX schrieb:
--------------------------------------------------------------------------------
> Tobias Grund schrieb:
> ---------------------------------------------------------------------------
> -----
> > StartSSL bietet ebenfalls kostenlose Zertifikate.
>
> Auch im Jahr 2015 kann ich nur von StartSSL abraten, IMHO nicht sind die
> nicht wirklich vertrauenswürdig, zumal diverse Probleme bei diesem
> Registrar existieren, alles bereits gepostet in einem alten Thema bzgl
> HSTS:
> forum.golem.de

Also ich habe aktuell 4 oder 5 Zertifikate dort und benutze diese seit einem halben Jahr, hatte aber bisher nie irgendwelche Probleme.