Исходное сообщение
"Mozilla прекращает доверие к новым сертификатам WoSign и Sta..." Отправлено Sw00p aka Jerom, 26-Окт-16 17:45
> DANE/DNSSEC - тупая идея. Заставляет доверять не выбранной тобой сущности, а владельцу > домена верхнего уровня. Родили меня мои родители, а я им не доверяю )) Роди меня святой дух пжлста. (как указал выше там цепь доверия - иерархия, что логично) Certificate Pinning, HSTS это всё костыли, если реализовать безопасную схему ДНС(СЕК) то всё автоматом встанет на свои места. Умрут все CA, и валидно для сайта то, что прописано у него в домене. цитата из вики: Принцип работы Перед установлением безопасного соединения (HTTPS, TLS для любого поддерживающего протокола) клиент совершает ряд дополнительных DNS-запросов. В ответах на эти запросы клиенту передаются параметры сертификата или сам сертификат. При этом клиент устанавливает связь с сервером, адрес которого валидирован DNS-сервером клиента посредством DNSSEC. После открытия соединения клиент верифицирует ответ сервера при помощи имеющегося сертификата либо его цифрового отпечатка (fingerprint). а для всего этого достаточно ввести надёжный механизм получения этих данных из ДНС, что и есть ДНССЕК.