Здравствуйте, Евгений Музыченко, Вы писали:
ЕМ>Оказывается, CA/Browser Forum еще почти два месяца назад принял решение ограничить срок действия сертификатов подписания кода до 460 дней с марта 2026 г.
ЕМ>Неприятно. Но тем, кто тут с энтузиазмом выдумывает разные схематозы в этой области, неплохо бы понимать, что они тоже приложили к этому руку.
Это, всего навсего, признание порочности самой идеи сертификатов.
В идеальном сферическом мире, или в лаборатории на столе оно работает условно нормально, но в реальном мире... я по пальцам левой руки могу посчитать ПО, которое проверяет сертификат на отзыв/компрометацию.
Все проблемы от жадности и глупости
Re: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Stanislaw K, Вы писали:
SK>признание порочности самой идеи сертификатов.
Я правильно понимаю, что, совершая сделку один на один с незнакомым человеком, Вы не спрашиваете документов, удостоверяющих его личность, происхождение/качество товара, не проверяете основные признаки подлинности полученных от него денежных купюр?
SK>по пальцам левой руки могу посчитать ПО, которое проверяет сертификат на отзыв/компрометацию.
Это можно в любой момент внедрить в любое ПО. И будет внедрено, как только польза от этого превысит затраты.
Re[2]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Victor Ivanidze, Вы писали:
VI>какие такие схематозы
"Ищу, кто подпишет своим сертификатом мой софт", "давайте скинемся на общий сертификат", "как бы один раз подписать инсталлятор, чтоб потом десять лет ставить им неподписанные обновления" и т.п.
Re: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Евгений Музыченко, Вы писали:
ЕМ> ... тем, кто тут с энтузиазмом выдумывает разные схематозы в этой области, неплохо бы понимать, что они тоже приложили к этому руку.
Это вряд ли. Это чисто коммерческая жадность, желание всех перевести на подписки и потом задрать цены. Mark my words, типа. А чо там такое эти сертификаты бордам и CE/FO абсолютно пофиг.
Re[3]: Сокращение срока действия сертификатов подписания кода
VI>>какие такие схематозы
ЕМ>"Ищу, кто подпишет своим сертификатом мой софт", "давайте скинемся на общий сертификат", "как бы один раз подписать инсталлятор, чтоб потом десять лет ставить им неподписанные обновления" и т.п.
Это шалости, а не схематозы.
Re[2]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Евгений Музыченко, Вы писали:
ЕМ>Они могли еще десять лет назад ограничить срок до года и задрать цены. Но не сделали этого. Почему?
10 лет назад? Народ был не готов. Варить лягушек надо постепенно. Пару лет назад начали вводить подписки на серты, как опцию для богатых энтерпрайзов. В этом году digicert убрал опцию разовой покупки, оставил только подписки. Сейчас видимо дело дошло до насильной дойки бюджетных девелоперов — "всё равно теперь раз в год обновлять, давайте подписывайтесь". Банальные жадные сутенеры. Вот у кого схемы, а не у голозадых девелоперов
Re[3]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Евгений Музыченко, Вы писали:
SK>>признание порочности самой идеи сертификатов.
ЕМ>Я правильно понимаю, что, совершая сделку один на один с незнакомым человеком, Вы не спрашиваете документов, удостоверяющих его личность, происхождение/качество товара, не проверяете основные признаки подлинности полученных от него денежных купюр?
Зависит от сделки. в 99,5% случаев — нет, не спрашиваю.
SK>>по пальцам левой руки могу посчитать ПО, которое проверяет сертификат на отзыв/компрометацию.
ЕМ>Это можно в любой момент внедрить в любое ПО. И будет внедрено, как только польза от этого превысит затраты.
Это невозможно физически. И что даже ещё более важно (чем физические ограничения) — ЭТО НИКОМУ НЕ НУЖНО.
Все проблемы от жадности и глупости
Re[4]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, wantus, Вы писали:
W>В этом году digicert убрал опцию разовой покупки, оставил только подписки.
Что такое "разовая покупка"? Это "сделать софт, купить сертификат, подписать софт и полностью прекратить разработку любого софта"? Насколько распространена такая модель среди разработчиков?
Re[4]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Stanislaw K, Вы писали:
SK>при каждой проверке должен быть сделан запрос в CA, на предмет отзыва/компрометации. Никакое кэширование невозможно в принципе.
Как из этого вытекает физическая невозможность?
Re[7]: Сокращение срока действия сертификатов подписания кода
SK>>при каждой проверке должен быть сделан запрос в CA, на предмет отзыва/компрометации. Никакое кэширование невозможно в принципе.
ЕМ>Как из этого вытекает физическая невозможность?
(скрытое — каждый запрос, особенно к CDN генерирует несколько запросов валидности от frontend на предмет валидности сертификата backend, backend в свою очередь валидирует сертификаты DB & etc, etc, etc..)
* при переходе на следующую страницу цикл полностью повторяется, потому что за те 3,75 секунд что пользователь потратил на просмотр страницы любой из тех сертификатов мог быть скомпрометирован и отозван.
В разрезе шаровары — операционная система обязана проверить сертификат запускаемой программы/драйвера. Программа/драйвер обязана проверить сертификат вызываемой сторонней .DLL. При каждом вызове.
Не сложно посчитать сколько таких действий компьютер(смартфон) выполняет в минуту и умножить на количество устройств, для приблизительного представления о том, какая инфраструктура и каналы связи должны быть у AC.
Все проблемы от жадности и глупости
Re[5]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Евгений Музыченко, Вы писали:
ЕМ>Здравствуйте, wantus, Вы писали:
W>>В этом году digicert убрал опцию разовой покупки, оставил только подписки.
ЕМ>Что такое "разовая покупка"? Это "сделать софт, купить сертификат, подписать софт и полностью прекратить разработку любого софта"? Насколько распространена такая модель среди разработчиков?
Oh, common, dude. Тут чего, форум лингвистов? Зачем к словам придираться, если смысл понятен по контексту.
Re[8]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Stanislaw K, Вы писали:
SK>за те 3,75 секунд что пользователь потратил на просмотр страницы любой из тех сертификатов мог быть скомпрометирован и отозван.
То есть, про "физически" Вы привычно болтнули ради вящего эффекта.
Re[6]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, wantus, Вы писали:
W>Зачем к словам придираться, если смысл понятен по контексту.
Мне "по контексту" смысл непонятен. Мне понятно, что в любой мало-мальски систематической деятельности по разработке ПО, модель приобретения сертификатов, имеющих конечный срок действия, может быть исключительно подписной. Смысл в "разовой покупке" сертификата я могу усмотреть только в различных мутных комбинациях, которые имеют отношение в основном к продаже софта, но лишь косвенное — к его разработке и поддержке.
Re[9]: Сокращение срока действия сертификатов подписания кода
SK>>за те 3,75 секунд что пользователь потратил на просмотр страницы любой из тех сертификатов мог быть скомпрометирован и отозван.
ЕМ>То есть, про "физически" Вы привычно болтнули ради вящего эффекта.
Вы, как обычно, когда нет аргументов, смешно пытаетесь торопливо оскорбить.
Все проблемы от жадности и глупости
Re[10]: Сокращение срока действия сертификатов подписания кода
Здравствуйте, Stanislaw K, Вы писали:
SK>Вы, как обычно, когда нет аргументов, смешно пытаетесь торопливо оскорбить.
Вот делать мне больше нечего, кроме как кого-то оскорблять.
То, что Вам кажется "оскорблениями" — просто указание на то, что Ваши утверждения слишком явно противоречат или установленным фактам, или другим Вашим же утверждениям, сделанным в другое время или в другом месте. Нередко именно по причине той самой торопливости.
Когда говорят "невозможно физически", это означает, что не существует известного способа это сделать. Еще это употребляется по отношению к отдельно взятой личности или небольшой группе, когда способ имеется, но он настолько сложен/затратен, что под силу лишь большой организованной группе людей, которой доступны значительные ресурсы.
В данном случае вполне очевидно, что ничего подобного нет. Клиент волен проверять валидность сертификата с любой разумной частотой, поэтому напирать на магические величины вроде 3.75 с можно лишь с целью достижения дешевого эффекта. Равно как и из того, что не представляется разумным проверять сертификат при каждом вызове, делать уверенный вывод о том, будто его "невозможно проверять вообще" и "сертификат бесполезен".
