Bud schade, dass man Dich nicht zu macOS überreden kann.
Dafür verdiene ich eindeutig zu wenig 
Und tatsächlich mag ich keinen Kuchen 
Das längste Thema
-
fLoo -
23. Oktober 2009 um 12:55 -
Unerledigt
-
-
Funktionieren die Failover-IPs auch mit den ARM-Servern (mir ist klar, dass man unabhängig von der Architektur IPs konfigurieren kann, ich meinte eher, ob Netcup das, soweit nötig, in ihrer Infra unterstützt)?
-
Funktionieren die Failover-IPs auch mit den ARM-Servern (mir ist klar, dass man unabhängig von der Architektur IPs konfigurieren kann, ich meinte eher, ob Netcup das, soweit nötig, in ihrer Infra unterstützt)?
Ja, das funktioniert genau so wie bei den x86-Servern.
-
Bei den ganzen abgelaufenen Zertifikaten aktuell freue ich mich auf die Zukunft: https://heise.de/-10352867
-
Bei den ganzen abgelaufenen Zertifikaten
Wenn's nach mir ginge, würden die Schlüssel längst im DNS hinterlegt. DNSSEC wäre Voraussetzung, dass der Browser kein Ausrufezeichen dranmacht. Fast alle Zertifikate sind heute domainvalidiert. Was ist auch domainvalidiert? Die DNS-Einträge! Dieser ganze Eiertanz mit Zertifikaten ist ein völlig überflüssiger Kropf, der nur einen Single-Point-of-Sabotage erzeugt und nichts zur Sicherheit beiträgt. Aber: Solange die Browserhersteller nicht vernünftig werden, muss man den Kram eben automatisieren, und dann ist es egal, ob das Zertifikat drei Monate hält oder einen.
-
Schlüssel längst im DNS hinterlegt
was Du beschreibst ist doch DANE-EE?
muss man den Kram eben automatisieren
nicht nur, es bedarf eben auch eines entsprechenden monitorings. hier werden zb zertifikate 30 tage vor ablauf erneuert, verteilt und dann die daemons reloaded, schlägt dabei etwas fehl gibts eine notifikation. zusätzlich meckert dann ein externes monitoring 28 tage vor ablauf auf service (!) ebene.
ich denke, den letzten punkt hat netcup nicht oder mangelhaft umgesetzt.
-
was Du beschreibst ist doch DANE-EE?
Dass ich nicht der erste oder einzige bin, der auf die Idee gekommen ist, ist mir klar. Solange sich die Browserhersteller weigern, das umzusetzen, spielen Standards keine Rolle.
nicht nur
Ja, schon. Kommt eben drauf an, was man unter Automatisierung versteht. Ist ja auch nicht nur Netcup, wo sowas passiert. Meine Bank hatte das schon und das hier (Netcup nutzt in der Werbung "Socialhub", und deren Linkshortener, sohub.io, hat ein abgelaufenes Zertifikat*) ist auch nicht Netcup's Schuld. Diese Rube-Goldberg-Konstruktionen, die man heute in der Systemadministration überall sieht, weil niemand Lust, Zeit oder Geld hat, irgendwas grundsätzlich zu lösen, sondern immer nur eine Abstraktion obendrauf geschaufelt wird, sind eben nicht einfach zu managen. Daraus entstehen dann solche Forderungen, dass man Zertifikate stündlich auf Ablauf überprüfen soll. Naja, wenn's Spaß macht.
*) Deren Monitoring sagt übrigens "All Systems Operational".
-
Deren Monitoring sagt übrigens "All Systems Operational"
Hab denen mal eine Mail geschickt. Kann mir gut vorstellen, dass das da noch keiner bemerkt hat.
-
Dass ich nicht der erste oder einzige bin, der auf die Idee gekommen ist, ist mir klar. Solange sich die Browserhersteller weigern, das umzusetzen, spielen Standards keine Rolle.
sorry, ich wollte es nicht als kritik verstanden haben sondern es nur in anderen worten ausdrücken um zu verifizieren ob ich es richtig verstanden habe. und ja, völlig korrekt, wenn es die browser hersteller nicht unterstützen ist es auch als standard wertlos. es sind aber nich nur die browser die das unterstützen müßten, auch jeglicher andere client der TLS machen will.
Rube-Goldberg-Konstruktionen
TIL, danke.
Abstraktion obendrauf
hm? ob ich das zertifikat jetzt über eine CA oder lokal erneuere hat ja keinen einfluss auf die folgeprozesse der verteilung, reloads und verifikation? oder übersehe ich da etwas? ich seh bei DANE-EE sogar eher noch die herausforderung http server und dns synchron zu halten, gut, nimmt man halt DANE-TA.
Zertifikate stündlich auf Ablauf überprüfen soll
nuja, wenn man den prozess schon hat ists ja auch nur mehr die änderung eines parameters.
-
auch jeglicher andere client der TLS machen will
Natürlich dauert es, bis sowas so umgesetzt ist, dass man die alten Zöpfe abschneiden kann, aber das ist ja bei anderen Standards auch so.
ob ich das zertifikat jetzt über eine CA oder lokal erneuere hat ja keinen einfluss auf die folgeprozesse der verteilung, reloads und verifikation?
Mit direkt domainvalidierten Schlüsseln brauchst du nicht ständig neue Zertifikate, sondern änderst den DNS-Eintrag, wenn du den Schlüssel änderst, z.B. weil der kompromittiert wurde. Wenn du den alten Eintrag löschst, ist der alte Schlüssel unbrauchbar, nicht erst nach einem Jahr, drei Monaten oder einem Monat. Die Zertifikate könnten also problemlos viel länger laufen, bzw. man bräuchte eigentlich gar keine Zertifikate mit Ablaufdatum im klassischen Sinn. Man kann das weiterhin automatisieren, aber die Notwendigkeit wäre deutlich reduziert.
Dass heute fast das ganze Web davon abhängt, ob und wie Letsencrypt Zertifikate ausstellt, ist ein Unding.
-
Die meisten Websites bräuchten nicht mal HTTPS. Es gibt für fast jedes Problem, das HTTPS „löst“, hübschere Alternativen, und Transportsicherheit ist diesseits von Shops und Banken egaler als Google behauptet.
-
Transportsicherheit ist diesseits von Shops und Banken egaler als Google behauptet
Vor dem flächendeckenden Einsatz von HTTPS waren Eingriffe der Netzbetreiber in die übertragenen Daten fast schon der Normalfall. Deswegen ist HTTPS absolut notwendig und die Unterscheidung in schützenswerte und nicht schützenswerte Daten völliger Unfug.
-
Ich gehe davon aus, das ließe sich gesetzlich lösen. Oder ist schon.
-
Sehr witzig.
-
Pragmatisch. Das Wort, das du gerade nicht gefunden hast, lautet: Pragmatisch. Sich gegen Netzbetreiber wehren zu müssen als Selbstverständlichkeit betrachten zu wollen erscheint mir undurchdacht.
-
Gelegenheit macht nun mal Diebe. Völlig unabhängig davon, ob Diebstahl gesetzlich verboten ist oder nicht.
-
Im Sommer gehe ich auch immer nackt durch die Innenstadt. Ich habe ja schließlich nichts zu verbergen.
-
Community Event: Customer Editioncommunity.netcup.com -
-
die Aufforderung nackt auf dem Community Event zu erscheinen
Würd aber sicher im Eventvideo verewigt werden
