Пользователь
0,0
рейтинг
15 октября 2010 в 23:21

Администрирование → StartSSL или как избавиться от самоподписанных сертификатов

Мне по долгу работы пришлось предостаточно навозиться с самоподписанными SSL-сертификатами: это и разные панели управления, и почта, и серверы приложений. Вообще всего и не вспомнить, в большинстве случаев можно легко обойтись самоподписанными сертификатами, но даже в этих случаях напрягает постоянно импортировать их в браузер(иногда это нетривиально, как например в гугл хром) или почтовый клиент(как Mail App), а если говорить о почте например так там вообще полная засада, если у Вас много пользователей то некоторый процент обязательно позвонит к вам что бы сообщить что у них ошибка «что-то про сертификат». Конечно можно научить юзеров импортировать их, но на много приятней когда вообще ничего выше описанного не происходит. С другой стороны покупать сертификат не дешевое удовольствие, как минимум 15 баксов если поискать, это всегда меня останавливало, так как критичной необходимости в подписанном сертификате вроде бы и нет, и отдавать свои кровные не хочется. Так я вот жил на самоподписанных сертификатах с незапамятных времен.


Совсем вот недавно я наткнулся на сервис https://startssl.com. Вкратце, сервис позволяет получить валидный SSL-сертификат абсолютно бесплатно, такой сертификат распознается браузерами, почтовыми клиентами и даже мобильными устройствами(лично не проверял).
image
Как я уже сказал, выпускать сертификаты можно абсолютно бесплатно, но действуют некоторые ограничения, к примеру такие сертификаты нельзя использовать для финансовых операций и e-commerce. Также отзыв сертификата будет стоить вам денег. Нельзя создавать wildcard сертификаты а также сертификаты валидные для нескольких доменов/субдоменов.
В тоже время доступны и платные услуги, после уплаты некоторой суммы($49) и прохождения проверки личности, эти ограничения будут сняты(кроме оплаты отзыва сертификата), и Вы все еще сможете получать сертификаты бесплатно, и в них уже будут указанные ваши данные.

Как пользоваться их вебсайтом рассказывать я не буду, так как, там все достаточно просто.

Добавлю только что установка сертификатов иногда не тривиальна, но она того стоит.

Если кому надо помощь с установкой в postfix,dovecot буду рад помочь, пишите в личку.

Описание установки сертификатов в Apache и IIS есть у них на сайте.

Удачного перехода!
Юрий Андамасов @syncer
карма
40,2
рейтинг 0,0
Реклама помогает поддерживать и развивать наши сервисы

Подробнее
Реклама

Самое читаемое Администрирование

Комментарии (77)

  • +7
    пользуюсь с год наверное. Замечательный сервис. Как-то странно, что тут его не пропиарил еще никто )
    • 0
      Сам удивился, но вот собрался и написал, думаю многим пригодится. Несколько лет назад искал что-то подобное но тогда такого не было. Сейчас довольный как слон :)
    • +1
      Встрелил странную особенность с ними. Бывает что нет-нет попадаются клиенты/ жалобы, о том что сертификат в том же Google Chrome не поддерживается. Хотя на моей машине работает. Не попадалось?
      • 0
        пока не попадалось. Не уверен, но может быть хром не использует своей базы CA, а использует системную, и если там нет Starcom CA, то может быть такой вот косяк. Как я сказал это только мои догадки
        • 0
          Так, наверное.
          • 0
            В линуксе я так вставлял сертификат для вебмани, работает.
            Их сертификат я тоже поставил таким образом, но не работает
      • 0
        Пытался зарегится и мне сразу сказали, что на Хроме это не получится.
        • 0
          да есть такое дело, у хрома туго пока с авторизацией по клиентским сертификатам.
          хотя вебмани лайт работает, и на том спасибо
          • 0
            И так, по-доброму: «...please use an alternative browser!»
          • 0
            под линухом не работает авторизация по сертификатам (и в частности в WM Light) в хроме…
            под виндой когда проверял с год назад вроде тоже не работало, может уже и сделали…
            • 0
              Работает нормально, просто сертификат нужно импортировать в базу сертификатов
            • 0
              4 года под линухом сижу — все работает
              • 0
                насколько я помню про этот баг писали и даже не один багрепорт )
                раньше ошибку просто выдавало при попытке зайти в кипер лайт по сертификату, сейчас проверил — просто обратно на страницу логина возвращает
                • 0
                  о, а с хромиума зашел сейчас ) отлично.
            • 0
              работает все под linux норм.
              работало еще 2007-2008 году.

  • 0
    Бесплатный вариант привлекателен, но зачем полтинник, когда есть rapidssl почти в два раза дешевле
    • +1
      Если не ошибаюсь, то там за каждый сертификат надо платить. А тут за проверку личности. сертификатов можно заказать сколько надо.
      • 0
        А вот это отличие! спасибо :)
  • 0
    Кстати их менюшки в Safari не работают, приходится свой ключик из кейчейна в фф перегонять. А вообще – замечательный сервис для заворачивания в ssl всяческий внутренних сервисов.
  • +2
    zanuda mode on
    «самоподписанный» пишется слитно
    zanuda mode off
    • 0
      Спасибо, поправил, спеллчекер хрома, думал иначе
      • 0
        Не полагайтесь на спеллчекеры — вот ещё несколько примеров: вообщем, навозиться, нетривиально… ;)
        • 0
          Ну в этом вопросе только на них полагаться и приходиться. Мои познания в русской грамматике минимальны
    • +1
      туда же:
      на возиться

      • +1
        Вот напишет кто-нибудь, то же самое, позже, но веткой повыше, сразу минуса. Господа минусующие, рядом сником комментатора стоит дата и время поста. Просто обидно в который раз получать минуса, якобы за баян.
  • +1
    А есть ли бесплатные сертификаты, которые воспринимаются Java?
    • +1
      Вроде бы они подходят
      forum.startcom.org/viewtopic.php?t=1390
      Но я не пробивал, врать не буду.
      • +1
        возиться на пользовательских машинах с keytool'ом?.. а как-нибудь это можно обойти?
        • +1
          почитал я тот тред про яву, для подписи апплетов надо пройти проверку личности, таковы требования.
          Code signing certificates which are used to sign applications require by the software vendors to be identity or organization validated. For more information see for example the Mozilla CA Policy section 7. For this reason Code Signing certificates are only available in the Class 2 settings and higher.
  • 0
    Хм… Поставил их серт на nginx на свой сервер. Хром и ФФ под Убунтой 10.04 ругаются на него, что не известный CA. Так и должно быть или я чего-то из статьи не понял?
    • 0
      до nginx у меня руки еще не дошли.
      Но думаю вы что-то не то сделали.
    • +2
      Специально для Вас
      установил на nginx
      https://ifolder.iuns.at/
      у меня хром и фф в opensuse 11.3 все как надо.
      • 0
        Chromium 6 в Ubuntu 10.04 тоже нормально. Здорово. Попробую.
      • 0
        На Win7 и Mozilla/5.0 (Windows; U; Windows NT 6.1; ru; rv:1.9.2.10) Gecko/20100914 Firefox/3.6.10

        ifolder.iuns.at использует недействительный сертификат безопасности.
        К сертификату нет доверия, так как сертификат его издателя неизвестен.
        (Код ошибки: sec_error_unknown_issuer)
        • +1
          наверное это тот случай о котором говорилось ранее.
          линукс все ок, что конечно странно


        • 0
          Та же проблема.

          Это главный минус всех новых центров сертификации, многие браузеры их не знают.
          • 0
            Только вот странно что один и тот же браузер ведет себя иначе в зависимости от платформы.
            Надо буде покопать на эту тему
            • 0
              Видимо в разных релизах сертификаты центров могут различатся, где-то добавили где-то нет.
              К томуже Chromium довольносильно отошел от Chrome для Windows.
              Да, марка одна, но фактически это разные браузеры, которыми занимаются разные люди.
              • 0
                Ну да для хромиума понятно, я про фаерфокс говорю.
                В линуксе то он считает этот сертификат валидным.
            • 0
              Браузер проверят сертификаты по системным наборам рутовых сертификатов. Т.е. все зависит от системы.
        • 0
          Извиняюсь. Я натупил с конфигурацией nginx(спать надо а не ссл по ночам к nginx прикручивать :)).
          Дело в том что в nginx нет отдельной директивы для подключения ca-bundle(цепочки сертификации).
          и надо конкатенировать сертификат и файл цепочки.

      • 0
        XP + safari = ok
        XP + chrome = ok
        XP + IE6 = ok
        XP + firefox = bad
        XP + firefox = ok для самого сайта https://startssl.com
        Ubuntu + firefox = ok
        Ubuntu + opera = ok
        Ubuntu + reconq = bad
        Ubuntu + reconq = bad для https://startssl.com
      • 0
        Opera Linux

        • 0
          тоже опера и тоже линукс


          у вас просто ошыбка ocsp, заглючило их ocsp видать
    • 0
      Когда в первый раз ставил сертификат с этого сайта на апач, забыл прописать в конфигах два сертификата самого StartSSL. Без этого не работало.
      • 0
        ca-bundle как правило везде надо, ну как минимум тот же godaddy требует указать его в конфиге апача.
        Как я писал, сначала оно вовсе не очевидно все, но как разберешься, то ставиться все достаточно быстро
  • 0
    Они еще выдают сертификаты для подписи/шифрования почты (S/MIME).
  • 0
    а где взять их ca-bundle?
    • 0
      www.startssl.com/certs/
      почитайте инструкции по установке у них на сайте.
      там вроде все понятно
  • +1
    некоторый процент обязательно позвонит к вам что бы сообщить что у них ошибка «что-то про сертификат».

    И хорошо. Это тот процент юзеров, которые не жмут тупо «да» во всех всплывающих сообщениях.

    По существу, IMHO, поднять свой CA и импортировать один раз на всех машинах. Наверняка можно сделать MSI/DEB/RPM пакеты для этого и автоматизировать.
    • 0
      Согласен с вами по поводу юзеров.
      По поводу собственного CA, это правильно и приемлемо в пределах одной организации.
  • 0
    А где купить нормальный вайлдкард по вменяемой цене?
    • 0
    • 0
      Ну так у этих же и есть за 49$
    • 0
      у godaddy собирались купить wildcard, но потом забили и купили на один домен, стоило где-то $25 за год.
      • 0
        25$ за один сертификат.
        у этих 49$ за проверку личности, и можете себе наделать хоть wildcard хоть multi-domain. сколько надо.
  • 0
    Информация мега-полезная для меня! Автору огромное спасибо.

    А кто-нибудь проверял на postix, courier с клиентами Thunderbird, Outlook под разными виндами?
    И кто знает, в почтовых клиентах при SSL шифровании пароль шифруется?
    Просто никогда не прикручивал шифроване к почте…
    • +1
      я проверял dovecot+postfix правда только c Thunderbird
  • 0
    Использую их. Про позитивное уже много раз сказали. Из негатива — один раз не мог зайти за свой сайт по https, потому что их центр проверки (не знаю как правильно называется) не откликался. Прошло часа через полтора.
    • 0
      OCSP заглючило. Выше есть скриншот из оперы с этой ошибкой. но это не критично.
      Так или иначе за халяву приходиться платить :)
  • 0
    Эмм… А продление — тоже бесплатное?
    • 0
      Ну по идее да. по крайней мере ничего об его оплате я не нашел.
      Сертификат валиден 1 год, если прошли проверку личности то 2
    • 0
      продления как такового нет, выдается новый сертификат, никак не связанный с прежним.
      Другое дело, они могли бы на один домен давать только один бесплатный сертификат, так например делает COMODO со своим трехмесячным триалом
      • 0
        • 0
          однозначно хороший сервис, даже если бы он был без продления :)
  • 0
    не охота там сейчас регистрироваться, расскажите, они так же делают проверку по Administrative contact email домена? я только в godaddy покупал сертификат, и там обработка запроса заняла несколько часов. Вероятно, они вручную проверяли, не прошу ли я сертификат для чего-то типа m1cros0ft.com.

    Также можно упомянуть, что Extended validation (зеленая адресная строка) доступен в StartSSL за $150 за два года, что вроде бы тоже недорого. А дополнительные сертификаты расширенной проверки всего по $50 за штуку (не знаю много людей, которым может понадобиться несколько EV сертификатов, кроме мошенников, конечно)
    • 0
      Сначала проверяют домен, письмом на емейл hostmaster@ postmaster@ или Administrative contact email.
      При выпуске самого сертификата, там есть ручная проверка, до 3 часов, но как правило больше 1 часа у меня она не продолжалась. по поводу EV — проверяют компанию, а компания может уже выпускать сколько надо сертификатов.
  • 0
    >> Нельзя создавать wildcard сертификаты а также сертификаты валидные для нескольких доменов/субдоменов.

    А в чём у них разница?
    • 0
      wildcard валиден для *.example.com
      multi domain валиден например для www.example.com, webmail.example.net, my.example.org
  • 0
    а почему мне во всех браузерах при переходе на https://auth.startssl.com/ почти каждый раз отвечает
    «Ошибка 117 (net::ERR_BAD_SSL_CLIENT_AUTH_CERT): Недопустимый сертификат SSL для аутентификации клиента»

    это временная проблема или что-то не так у меня?
    • 0
      У Вас установлен клиентский сертификат?
      • 0
        видимо нет, я просто прошел регистрацию и пытаюсь авторизоваться. можете ткнуть где написано, что мне нужно сделать чтобы не получать такую ошибку?
        • 0
          какой браузер вы использовали для регистрации?
          После валидации вам должны были выдать клиентский сертификат, как на webmoney light например.
          его надо установить в браузер.

          • 0
            регистрируюсь в firefox'е (Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10.6; ru; rv:1.9.2.10) Gecko/20100914 Firefox/3.6.10) в какой момент мне должны выдать этот сертификат? просто мне сейчас пришел отлуп регистрации, видимо из-за того, что я попытался зарегистрировать свою контору :) хотя кроме как по имени/фамилии определить нельзя, довольно странно, вдруг у меня не стандартные фио :)
            • 0
              После регистрации должны выслать код, после ввода этого кода, должна быть процедура создания клиентского сертификата. Смутно помню если честно, но как-то так.
              • 0
                да, спасибо разобрался, сертификат устанавливается после подтверждения реги. все настроил, все работает, клево.
  • 0
    Народ, подскажите где искать ошибку.
    мне на команду openssl s_client -starttls smtp -showcerts -connect localhost:25 выдает ошибку:
    7320:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol:s23_clnt.c:601:

    Где искать причину?

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.