nixp.ru v3.0

19 марта 2024,
вторник,
07:01:46 MSK

7 мая 2015, 15:17

Mozilla Foundation предлагает объявить незашифрованный протокол HTTP устаревшим

6
Логотип Mozilla Foundation
Логотип Mozilla Foundation
Иллюстрация с сайта En.Wikipedia.Org

Mozilla Foundation продолжает работу по подготовке поэтапного отказа от использования незащищенного протокола HTTP, о котором было впервые объявлено в официальном блоге проекта в конце прошлого месяца.

В частности, опубликован подробный FAQ с ответами на вопросы о возможных проблемах в ходе перехода с HTTP на HTTPS. Наиболее сложной проблемой, для которой пока нет удовлетворительного решения, является использование сертификатов безопасности для веб-интерфейсов сетевых маршрутизаторов и других локальных устройств, которым невозможно выдать сертификат по аналогии с сайтом. Тем не менее разработчики Mozilla надеются, что эта проблема в скором будущем будет решена. Что касается проблемы получения сертификатов для небольших/личных сайтов, то в ответ на этот вопрос приводится список организаций, выдающих бесплатные сертификаты всем желающим, а также ссылка на генератор конфигурации HTTPS для выделенных серверов.

Разумеется, решение о полном переходе на HTTPS по-прежнему остается весьма спорным, но помимо Mozilla за него в последнее время высказались такие организации, как IETF, W3C и правительственные организации США.

Кроме того, Mozilla Foundation не так давно приняла еще одно достаточно спорное решение, на этот раз касающееся поддержки бинарных компонентов XPCOM в дополнениях к своим программным продуктам. С релизом стабильной версии Firefox 40 поддержка таких компонентов будет прекращена во всех продуктах Mozilla на основе Gecko. Принятие такого решения объясняется желанием повысить стабильность ПО. Следует отметить, что на данный момент такие компоненты уже практически не используются разработчиками дополнений.

Постоянная ссылка к новости: http://www.nixp.ru/news/13418.html. Aлександр по материалам The Mozilla Blog, Ghacks.Net.

fb twitter vk
xoy

про XPCOM даже лучше чем HTTP. Хотя отказ от HTTP тоже нужное дело! … пока не поздно…

fhunter

Ох как изумительно-то. То есть теперь с роутерами и тд будет как с superfish? Один сертификат на прошивку… и усё. Иллюзия безопасности. Как собственно и текущая реализация PKI. И чинить нужно именно её, в первую очередь.

Они приводят в пример startssl как предоставляющих бесплатные сертификаты. Но они, например, не работают с доменами от dyndns, потому что формально домен не принадлежит тому кто им пользуется. И тд.
А уж с инициативой let’s encrypt — с одной стороны хорошо, с другой стороны — все сертификаты в одном CA — это рай для спецслужб.

Получается очень спорная штука.

Кстати — вот есть устройство без UI и часов на нём. Как на нём поставить время без http и доступа этого устройства к интернету? (Учитывая то, что https при не правильном времени выкидывает изумительные ошибки связанные со сроком жизни сертификата).
Так же — ещё одна радость производителям устройств — давай «короткий» сертификат и устраивай запрограммированное устаревание роутеров и т.д.

Aleksdem

«Наши сертификаты продаются плохо. Пожалуйста, обновите браузеры»

Илья Смирнов

Звучит примерно так: «Мы заботимся о вашей свободе и безопасности, поэтому предлагаем вам свободное ПО, которое будет решать за вас, какой протокол вам использовать».

fhunter
Those who surrender freedom for security will not have, nor do they deserve, either one.


Да, я знаю, что эта цитата не про свободный софт, но уж очень подходит.