Lad os kryptere internettet! Gratis SSL certifikater!

[Spotten]

Hvor finder man noget info om dette "DANE" og hvordan man sætter det op?

Bump

[lath]

Man kan få gratis SSL certifikater fra Let's Encrypt nu.

• Let's Encrypt åbner beta: Nu kan alle få gratis HTTPS
  http://www.version2.dk/artikel/om-et-par-timer-kan-alle-faa-gratis-https-494559
• Let's Encrypt har udstedt over 100.000 gratis SSL-certifikater
  http://www.version2.dk/artikel/lets-encrypt-har-udstedt-over-100000-gratis-ssl-certifikater-505201

Relevant for ubuntudanmark.dk hvis vi(*) synes at det bør ubuntudanmark.dk bruge:
http://www.version2.dk/comment/321421#comment-321421
Det er om Apache opsætning - man kunne jo køre en lille test på en anden VPS. Enhver der har en Digital Ocean konto har en bunke digitale kuponer de kan give væk af, så man køre den test så godt som gratis.

*)
ad "vi": Jeg synes som bestyrelsesmedlem at der bør kigges på at bruge SSL certifikater fra Let's Encrypt (admins bør læse dette som en opfordring til en teknisk diskussion). Der ryger så vidt jeg husker en del penge fra foreningens pengekasse hvert år til et SSL certifikat, og vi har ikke rigtig nogen faste indtægter (af hvad jeg ved af) - så lad os bruge de fleste af pengene til server-drift.

Det forslag bør nok komme op på et bestyrelsesmøde engang i starten af næste år (2016).

/Lars

[AJenbo]

Er der nogen bagsider ved at bruge et certifikat der fra?

[NickyThomassen]

... Der ryger så vidt jeg husker en del penge fra foreningens pengekasse hvert år til et SSL certifikat ...

Alle forslag om at spare uden at forringe vores aktiver er jeg med på, men lige certifikatet er en ret lille del af driften. Vi bruger Gandi til 12€ ex. VAT om året (cirka 112,50,- danske kr.)
https://www.gandi.net/ssl/standard#single

Som AJ også er inde på, hvis der ikke er nogen ulemper med Lets Encrypt, så kan vi sagtens skifte for min skyld. Det nuværende certifikat løber til 09-2016.

Planen var også at sætte DANE op når GleSYS kommer så langt.

[lath]

Er der nogen bagsider ved at bruge et certifikat der fra?

Det certifikat der bruges nu er et DV(*) certifikat, og certifikater fra Let's Encrypt er også et DV certifikat.

Man skal fornye det senest hver 90. dag - det er et bevidst valg fra Let's Encrypt, så admin bliver nødt til at vedlige certifikatet ved at automatisere fornyelsen af certifikatet.
Et cron job kunne lave en fornyelse på den samme dag og tidspunkt hver 2. måned.

Der er ikke rigtig nogen ventetid på et certifikat, da processerne omkring verificering, udstedelse, nyudstedelse, og tilbagekalde certifikater er fuldautomatisk på Let's Encrypts servere.

Indtil DANE er slået igennem er et Let's Encrypt certifikat sikkert ganske udmærket.

ad) "DV certifikat":
OU værdien i certifikatet er Domain Control Validated

/Lars

[AJenbo]

Ok, hvis du sørge for at opdatere det.

[lath]

Ok, hvis du sørge for at opdatere det.

Kan jeg ikke!

Opdatering skal ske via et script (letsencrypt), der skal køre på VPSen, der hoster ubuntudanmark.dk - for ellers kan domænevalideringen ikke ske.
Når man kører letsencrypt programmet vil en af letsencrypts servere forsøge at få fat i en bestemt URL fra webserveren, og skal så svare rigtigt for at domænevalideringen vil lykkedes.

letsencrypt scriptet skal bare startes med de rigtige parametre af et cron job inden der er gået 90 dage - og i praksis er det nok nemmest at gøre det på en fast dag i måneder med enten et lige eller et ulige månedsnummer, så opdateringen sker hver 2. måned.

/Lars

[AJenbo]

Og det kan du ikke sætte op hvis du får adgang til serveren?

[lath]

Og det kan du ikke sætte op hvis du får adgang til serveren?

Det kunne jeg nok gøre, men er der noget information om hvornår DANE vil blive aktiveret hos Glesys?
Jeg mener, hvis de gør det i god tid før det nuværende certifikat udløber (den 15. september 2016), så er det jo ikke rigtig nødvendigt at bruge et certifikat fra Let's Encrypt.

/Lars

[NickyThomassen]

Næhh. Den oprindelige tidsplan var medio 2015, så den gik vist ikke.

Men jeg er faktisk ikke sikker, for de har i hvert fald fået DNSSEC op og køre. Så spørgsmålet er, om man (i deres system) overhovedet får adgang til de RRs som DANE bruger, før ens domæne(r) er underskrevet med DNSSEC.

Det får jeg lige fulgt op på.

[AJenbo]

Ok lad os se på det når vi kommer tættere på udløbsdato