Следом за переходом на использование HTTPS по умолчанию в адресной строке в браузер Chrome добавлена настройка, позволяющая принудительно использовать HTTPS при любых обращениях к сайтам, включая переходы по прямым ссылкам. При активации нового режима при попытке открытия страницы по "http://" браузер автоматически попытается вначале открыть ресурс по "https://", а если попытка окажется неудачной отобразит предупреждение с предложением открыть сайт без шифрования. В прошлом году аналогичная функциональность была добавлена в Firefox 83...Подробнее: https://www.opennet.ru/opennews/art.shtml?num=55405
Как бы тут приплести Rust Language, отработать свои 15 у.е.
Ну как обычно, сказать чтоб переписали.
> Как бы тут приплести Rust Language, отработать свои 15 у.е.А где это ты нашёл место, где платят 15 у.е. за приплетание rust'а? Я б поприплетал.
Меня всегда удивляло, что в хроме можно спокойно пользоваться http, а в фф нужно закрыть 3 окна с предупреждениями. Видимо, навёрстывают отставание.
А, ещё https не любой, в хроме по-моему tls 1.1 считался вполне норм, а в фф уже требовали 1.2 (1.3 на гитхабе не работал например, только 1.2)
Наоборот : в фоксе по прежнему можно включить 1.0 и 1.1 , а в хроме с 91 - фига .
TLS <1.2 всё.
Причём достаточно давно уже.
Только в России не знают что "давно уже" . Интернет медленный .
LibreWolf - только 1 страница с предупреждением и кнопкой перехода на HTTP.
Точно так же в фоксе . А в адресной строке можно включить-выключить постоянное исключение . С 90 уже и менеджер исключений .
> Точно так же в фоксе . А в адресной строке можно включить-выключить
> постоянное исключение . С 90 уже и менеджер исключений .В вольфе ещё и постоянная блокировка не-HTTPS есть в настройках.
В постоянной блокировке нет смысла , когда открытие https принудительное (автооткат на http в фоксе - опция и появится только в 90) . Всё равно без разрешения сайт не откроется , зато на 26,4% (на сегодня) сайтов не зайти .
хорошо когда секурненько, очень хорошо
И зачем? Какой в этом сакральный смысл?
Усложнить твою жизнь, тащмайор.
> Усложнить твою жизнь, тащмайор.упростить.
Чтобы старые сайты как можно скорее переставали показывать "устаревшие знания".
Все очень просто, на самом деле гуглу глубоко насра...ть на секьюрность, им нужна 100% идентификация всего что есть в интернете. SSL как нельзя лучше подходит для этой цели.
Получение даже халявного ССЛ сертификата связанно с верификацией овнершипа, что есть гарантийная привазка виртуального ресурса к пиплу. Посетители тоже стучат через OSCP своими браузерами в гугло-лог - кто куда ходил.
Какого овнершипа, ванька?Домен куплен на данные вбитые от балды у одного из американских регистраторов, оплачен gift card Visa купленной на Амазоне, сертификат получается через DNS Challenge, при этом API DNS-хостера дергается через Tor. Много верифицировал?
Ну по факту да.
У нас была такая волна, когда на левые кредитки полуботы (ну, капчу кто-то проходил) реально покупали хостинг с доменом, и с него просто спамили.
> Какого овнершипа, ванька?Обыкновенного, хам, - обыкновенного овнершипа, а не cпи3женнoго через детско-заумные пазлы
> Домен куплен на данные вбитые от балды у одного из американских регистраторов,С каких это пор американские регистрары стали на халяву регать домены без оплаты (оплата = преверенный платежный канал, который идентифицировал владельца), а халявные домены в NSA мышеловке типа TLD .gq - это работа для КГБ, ФБР и прочее их семейство, а не для гугла, которому нужны люди способные зарабатывать, а не красть
> оплачен gift card Visa купленной на Амазоне, сертификат получается через DNS
> Challenge, при этом API DNS-хостера дергается через Tor. Много верифицировал?Понятно, халявщик - вор...
Не, такие не гуглу нужны, такими как ты интересуются другие структуры и поверь твоя хитpoжoпaя цепочка вычисляется довольно просто. Все дело только в том, на сколько ты спер, чтоб тобой было интересно заниматься
Обычно браузер стучится по http, потом происходит редирект на https, если есть https и настроен редирект на сервере. А так, получается, что браузер сразу стучится по https, никаких лишних редиректов и потерей миллисекунд при загрузке страницы. А т.к. сейчас почти везде https, то страницы грузятся чуть быстрее, меньше задержек с редиректами и т.д.
Открою тебе секрет. Если выкинуть из веба 90% ненужного шлака который нагавнокодили обезьяны он вообще летать станет. И твои задержки есть ничто.
> Открою тебе секрет. Если выкинуть из веба 90% ненужного шлака который нагавнокодили
> обезьяны он вообще летать станет. И твои задержки есть ничто.Да, там миллисекунды. Но все равно.
Ну как же ж... "Мы старый мир разрушим... до основания, а затем..."
Довольно удобная фича в Firefox, избавляет от необходимости HTTPS Everywhere и подобных. HTTP-онли сайты тоже работают после нажатия одной кнопки (нет, ворнинг не страшный, как при самоподписанном/истёкшем сертификате, а просто информирует).
> Довольно удобная для белок-истеричек фича в Firefoxпоправил, не благодари
> избавляет от необходимости HTTPS Everywhere
нет никакой необходимости в cryptoshit everywhere.
То есть не было. Теперь будет.
> а просто информирует
просто информировал символ замка в статусной (когда-то, представляешь, была такая) строке браузера.
Для тех кому такая информация вообще зачем-то вперлась.А эта хрень - специально сделана чтобы сбить с толку и напугать пользователя, у которого вместо твоего сайта открылось незнамочто с надписью БЫР ПЫР ПЩА ПОПЯЧСА. Заметь - не в нормальном модальном диалоге, как нормальные пользователи привыкли, а именно ВМЕСТО.
Не будет он там нажимать ничего, он закроет вкладку ("сломалось что-то, наверное. Странно, вчера ж еще открывался") и пойдет на другой сайт. Гугль, например. Или вот - гугль. Больше ему уже особо-то и некуда.
> поправил, не благодариХочешь, чтобы вся твоя информация, куки, действия на странице не для "белок-истеричек" попала в открытый доступ или чтобы
> вместо твоего сайта открылось незнамочто с надписью БЫР ПЫР ПЩА ПОПЯЧСАа то и хуже?
> нет никакой необходимости в cryptoshit everywhere.
Дай угадаю - сидишь на XP (а если на линуксе, то облизываешься на эту систему?) Как же классно там сидеть с 2014 года, правда Microsoft выпускала внеплановые обновления безопасности от WannaCry и BlueKeep. Но это тебя никак не касается, ты же не белка-истеричка, правда?
> просто информировал символ замка в статусной (когда-то, представляешь, была такая) строке браузера.
Представляешь - там этот замок до сих пор есть, проверь на досуге.
> Заметь - не в нормальном модальном диалоге, как нормальные пользователи привыкли, а именно ВМЕСТО.
Настройка в Firefox (HTTPS-only) не включается по умолчанию, так что если ты нашёл её и включил, то можешь пропустить предупреждение, для этого особого ума не надо. Как можно внедрить в таком случае "нормальный модальный диалог", если соединение с сайтом уже произошло?
> Гугль, например. Или вот - гугль
Как ты нашёл этот сайт, если у тебя везде гугль открывается?
> Больше ему уже особо-то и некуда.
Полинтернета уже шифрует соединение по HTTPS, как и этот сайт, так что извини - не прокатит.
>Полинтернета уже шифрует соединение по HTTPS, как и этот сайт, так что извини - не прокатит.Для параноиков есть openvpn и тор например. Куда уж лучше шифрануть сразу всё, чем для каждого сайта отдельный костыль накручивать. К тому же и платный ещё.
Ключевое слово - для параноиков. К сожалению, уровень удобства и скорости у этих решений сильно отстаёт от HTTPS, хотя они и действительно безопаснее и при желании общественности могли бы развиваться быстрее.
> Ключевое слово - для параноиков.Причем глупых параноиков. Как ты проверишь что торовский сайт действительно тот, за кого себя выдает, а не товарищмайора?
Анонимность-то обоюдная.
> Хочешь, чтобы вся твоя информация, куки, действия на странице не для "белок-истеричек" попала в
> открытый доступ или чтобыменя совершенно ниипеет никакая информация с данной страницы, попавшая в открытый доступ. Даже наоборот, было бы весьма прельстиво посмотреть, что за х-й периодически копирует мой ник.
> Дай угадаю - сидишь на XP
Не угадал. В конкретную секунду это 2016server
Да, было, между нами, довольно забавно обнаружить, что на свежепоставленном MS овском сервере со всеми обновлениями - не работает установка NuGet. Из родного ее стора. То есть вот ты install, она тебе - средний палец! Блжад, потомушта НИСИСЮРНА! УЖАС, УЖАС - tls1.0 (в котором ни одной увизгвимости так и не предъявлено широкой публике). ТЫ МОЖЕШЬ ПОСТАВИТЬ НЕ ТОТ nuget! (Никто не знает как, но ВДРУГ!)
Ну то есть установка из powershell gallery тоже не работает. Пока руками не проделаешь магические пассы, разумеется, если где-то тебя осенит откровение, какие и почему.Так что наличием в МС таких же белок-истеричек ты явно кого-то не того пытался удивить. Это умных людей по пальцам пересчитать, а озабоченных идиотов миллиарды, не говоря уж о среде индусни.
> Представляешь - там этот замок до сих пор есть, проверь на досуге.
поздравляю, шарик, ты балбес. Перечитай еще раз что я писал - может дойдет. А в изуродованной адресной строке - да, есть, наверное, хер знает что там еще есть - там рябит от каких-то цветастых выcepов и загадочных символов, означающих хз что, а если туда ненароком мышью ткнуть, она еще и ВЗРЫВАЕТСО. До разглядывания ли каких-то замочков тут юзверю?!
> Настройка в Firefox (HTTPS-only) не включается по умолчанию,
включалась. Даже в релизе, не в найтли. В панике откатили в следующем релизе. Но это ж фуфлофокс. У него продвинутые юзвери, они правда, наверное, не читая (как обычно) что за бред там написан, тыкали в единственную кнопку посередь страницы - один хрен больше ничего не сделать.
А новость про хром. У него юзвери не продвинутые. Перепугаются и гугль откроют.
> Как ты нашёл этот сайт, если у тебя везде гугль открывается?
в истории застрял, с 2000го года. А нормальные юзеры только дискорд находят. Или там - фейсбук.
Тот самый что всю их личную жизнь сливает в бездонные закрома. Очень надежно, только моднейшими ssl протоколами. Чтоб кроме товарищей в штатском, никто не подглядывал.> Полинтернета уже шифрует соединение по HTTPS, как и этот сайт
проблемы истеричек. У меня там 'http' нарисовано. (ну да, немодный браузер, что ты хотел от 2016)
>> просто информировал символ замка в статусной (когда-то, представляешь, была такая) строке браузера.
> Представляешь - там этот замок до сих пор есть, проверь на досуге.Вот и выросло поколение, которое уже даже и не знает, что такое статусная строка (панель) в браузере (потому, что никогда её не видела).
Да, не вдуплил поначалу, что это, хотя и пользовался таким браузером.
Лучше спросить изначально, когда устанавливаешь браузер или обновление пришло. Только https или https с http. А то от того пока он поймет что https не работает, минута пройдет.
> А то от того пока он поймет что https не работает, минута пройдет.В Firefox это занимает секунду-две. Вряд ли тут будет иначе.
а если на сайте есть "http://" и "https:// то что?
Откроется https://, очевидно же
у меня на сервере стоит переадресация на https, по http заходить нельзя
держи нас в курсе, всем очень интересно это знать
Они Https пепишут на Rust?
Нет, на раст не могут. Там мозг нужен, это не про раст.
хром гонится за лисой
Пинком отправляет вперёд, тралить мины
Они оба гоняются друг за дружкой и скоро станут одним и тем же продуктом, но с разными логотипами.
Закладки в sidebar сделайте макаки и меню нормальное. Пользоваться эти убожеством невозможно.Впрочем как и лисой (но по другим причинам)
Интересно, а железяки и софт с web-интерфейсом уйдут в прошлое? А то вот у меня CUPS админится по http и роутер тоже.
> Интересно, а железяки и софт с web-интерфейсом уйдут в прошлое?уже ушли - перечитай новость про wd cloud.
> А то вот у меня CUPS админится по http и роутер тоже.
это совершенно нисиюрна, немедленно убери и прекрати! Хакер может сидеть в твоем сортире и безнаказанно перехватывать траффик!
Вот же ж как надо: "установите наше приложение тыр-пры-восемьдыр,всеравноненаберете - так что нате вам qr-код". И вот - убедитесь как легко и приятно вы получили доступ к настройкам вашего принтера через наше прекрасное облачко. Мы правда сперли вашу телефонную книжку - чисто так вдруг пригодится, заодно прихватив историю звонков и сообщений - это для вашей же безопастности - смотрите-смотрите - у нас все это уехало в нашу бигдейту, защищенное моднейшим tls 1.33, а не каким-то там устаревшим протоколом!
Или вот (петабайтные!) Jellyfish tower - all your data belongs to us, чай не веде какой там!
хоть на физическом - подставы, узнавания и прослушка. старые аббревиатуры это не исправляют, как и телефон от bq. утечка индивидуального счастья неизбежна и безальтернативна, но поза страуса от страха перед будущим решительно облегчает.
Вангую в 95 версии только через HTTPS а обычный HTTP объявят пережитком истории.Это в духе гугла.
Не, ну сначала-то надо мразиллу заставить это сделать.
Пусть здесь, что-ли, полежит до кучи... чтоб хоть где-то было.Короче, у кого сломался acme-tiny при работе с bypass.no (ОПЯТЬ, в смысле, сломался) - накатите на него PR254 (и 256 заодно, пригодится)
bypass перестал позволять бесконечные ре-авторизации одного и того же ключа. Т.е. не надо пытаться верифицировать уже верифицированный домен, не получится. Надо просто сразу идти за сертификатом - ага, его дадут. Просто так.
Ну и пытаться регистрировать уже зарегистрированную учетку тоже незачем (это 256), надо просто ей авторизоваться. Вывод в лог kid'а для следующих авторизаций уж сами себе добавьте.
Эх, сдох, похоже, его автор - ноль активности за два года.
P.S. насколько вообще хороша идея кэшировать верификацию домена - "your mileage may vary". То есть с моей точки зрения это дыра, и любой, кто знает kid, может перевыпустить твой сертификат без спросу (со своим ключом!). Но оно вот так - и у shitencrypt, и у bypass, по крайней мере. У первого вроде только для dns, у второго и для web.