Ahoj, dostal jsem úžasný email od ssls.cz ohledně Lets encrypt. Já jsem si samozřejmě vědom cílů a omezení Lets encrypt, ale tohle považuju za nefér FUD nejhrubšího zrna. Dostal jste to ještě někdo? Pokud jste někdo jejich zákazníkem, možná by neškodilo jim to trošku osvětlit. Jejich marketingové oddělení očividně panikaří, asi jim klesají zisky z certifikátů pro nedůležité služby. Martin Sivák ---------- Přeposlaná zpráva ---------- Od: SSLS.CZ - Upozornění &lt;info(a)ssls.cz&gt; Datum: 27. listopadu 2016 11:21 Předmět: Upozornění: Zabezpečení domény (moje.marsik.org) Komu: mars(a)montik.net Vážený zákazníku, dovolte, abychom Vás upozornili na *nedostatečné* zabezpečení (HTTPS) Vaší domény: moje.marsik.org Aktuálně máte na serveru nainstalován SSL certifikát *Let's Encrypt*, který je sice zdarma, ovšem za cenu celé řady *vážných nedostatků*, mj. absenci finanční záruky, pečetě, diskutabilní podpoře prohlížeči a v neposlední řadě *nulové prestiži a důvěryhodnosti* v očích Vašich zákazníků. Důležité je mít na paměti i skutečnost, že jsou certifikáty Let's Encrypt hojně zneužívané na nebezpečných stránkách, které se snaží *šířit škodlivý kód* nebo získat *přístupové informace do internetového bankovnictví* či konají jinou *trestnou činnost*. Hrozba pro běžného uživatele v souvislosti s Let's Encrypt je proto velmi aktuální téma (článek <http://timehosting.cz/hackeri-zneuzili-bezplatne-ssl-certifikaty-lets-encrypt/> ). Aby toho nebylo málo, v zákulisí se navíc pomalu začínají objevovat hlasy volající po nedůvěřování certifikátům Let's encrypt podobně, jako se tomu chystá u certifikátů StartCom a WoSign (více zde <https://blog.mozilla.org/security/2016/10/24/distrusting-new-wosign-and-startcom-certificates/>). *Webové stránky se přestanou zobrazovat*. Namísto toho prohlížeč zobrazí varování o nedůvěryhodném certifikátu. *Proč nepoužívat Let's Encrypt* Let's Encrypt PositiveSSL Comodo EV Platnost certifikátu jen 3 měsíce 1-3 roky 1-2 roky Podpora prohlížečů a zařízení ? 99.9% 99.9% Podpora 256 bit ECC (silné šifrování) [image: ne] [image: ano] [image: ano] [image: HTTPS] Zobrazuje zelený adresní řádek <https://www.ssls.cz/zeleny.html?utm_source=nslt&utm_campaign=le1&utm_medium=email&utm_content=greenbar_bottom> [image: ne] [image: ne] [image: ano] Finanční záruka <https://www.ssls.cz/zaruka-ca.html?utm_source=nslt&utm_campaign=le1&utm_medium=email> [image: ne] [image: ano] $10,000 [image: ano] $1,750,000 Vhodný pro komerční či firemní web, eshop [image: ne] [image: ano] [image: ano] Podpora IDN (domény s diakritikou) [image: ne] [image: ano] [image: ano] Podpora wildcard <https://www.ssls.cz/certifikaty/wildcard/?utm_source=nslt&utm_campaign=le1&utm_medium=email> (zabezpečí ∞ subdomén) [image: ne] [image: ano] [image: ne] Možnost získat před spuštěním serveru [image: ne] [image: ano] [image: ano] Ochrana proti vystavení pro podvodný web [image: ne] [image: ano] [image: ano] Prestižní značka certifikátu [image: ne] [image: ano] [image: ano] Neomezený počet vystavených certifikátů [image: ne] [image: ano] [image: ano] Možnost zneplatnění certifikátů [image: ne] [image: ano] zdarma [image: ano] zdarma Pečeť pro vyšší důvěryhodnost [image: ne] [image: ano] statická [image: ano] dynamická Stabilní ekonomický model CA [image: ne] [image: ano] [image: ano] Zákaznická podpora [image: ne] [image: ano] 24H [image: ano] 24H Více… <https://www.ssls.cz/certifikaty/positivessl/?utm_source=nslt&utm_campaign=le1&utm_medium=email> Více… <https://www.ssls.cz/certifikaty/ev/?utm_source=nslt&utm_campaign=le1&utm_medium=email> *Jak situaci vyřešit* Dotčeným zákazníkům důrazně doporučujeme *používat pouze důvěryhodné SSL certifikáty prověřených certifikačních autorit*, které uvedené nedostatky nemají a mají pro Vás i Vaše zákazníky důležitou přidanou hodnotu, mj.: - AlpiroSSL <https://www.ssls.cz/certifikaty/alpiro/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - GlobalSign <https://www.ssls.cz/certifikaty/globalsign/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - PositiveSSL <https://www.ssls.cz/certifikaty/positivessl/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - Comodo <https://www.ssls.cz/certifikaty/comodo/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - SpaceSSL <https://www.ssls.cz/certifikaty/spacessl/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - Certum <https://www.ssls.cz/certifikaty/certum/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - Symantec <https://www.ssls.cz/certifikaty/symantec/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - Thawte <https://www.ssls.cz/certifikaty/thawte/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - GeoTrust <https://www.ssls.cz/certifikaty/geotrust/?utm_source=nslt&utm_campaign=le1&utm_medium=email> - RapidSSL <https://www.ssls.cz/certifikaty/rapidssl/?utm_source=nslt&utm_campaign=le1&utm_medium=email> Vyřešit nyní › <https://www.ssls.cz/chci-https.html?utm_source=nslt&utm_campaign=le1&utm_medium=email> Hledáte-li *levné, ale kvalitní a spolehlivé řešení*, můžeme doporučit: *AlpiroSSL* — zabezpečí jednu doménu/subdoménu již za *139 Kč* / rok Koupit <https://www.ssls.cz/certifikat/alpirossl.html?utm_source=nslt&utm_campaign=le1&utm_medium=email> *AlpiroSSL Wildcard* — zabezpečí doménu a ∞ subdomén již za *990 Kč* / rok Koupit <https://www.ssls.cz/certifikat/alpirossl-wildcard.html?utm_source=nslt&utm_campaign=le1&utm_medium=email> *Comodo EV SSL* — zobrazuje zelený adresní řádek <https://www.ssls.cz/zeleny.html?utm_source=nslt&utm_campaign=le1&utm_medium=email&utm_content=greenbar_table> již za *1490 Kč* / rok Koupit <https://www.ssls.cz/certifikat/ev-promo.html?utm_source=nslt&utm_campaign=le1&utm_medium=email> Více SSL certifikátů… <https://www.ssls.cz/certifikaty.html?utm_source=nslt&utm_campaign=le1&utm_medium=email> Ceny uvedeny bez DPH. Potřebujete-li v souvislosti s tímto incidentem poradit, popř. pomoci s výběrem nejvhodnějšího certifikátu, neváhejte se na nás kdykoliv obrátit na této e-mailové adrese. Děkujeme za Vaši důvěru. S úctou a přáním pěkného dne, [image: SSLs.cz] *SSLS.CZ <http://SSLS.CZ>* SSL certifikáty | www.ssls.cz <https://www.ssls.cz/?utm_source=nslt&utm_campaign=le1&utm_medium=email> _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

zřejmě tomu chybí kořenový certifikát autority, který ale server (AFAIK) posílat nemá

Dne 28.11.2016 v 12:45 Jirka Bourek napsal(a): Určitě ho posílat nemá, protože je v každém případě zbytečný. Buď ho už klient má v prohlížeči a pak mu věří, nebo ho nemá a i on pak bude při poslání viset v nedůvěryhodném vakuu a je to k ničemu. Oni neposílají mezilehlý. Vydavatelem je „thawte SHA256 SSL CA“, ale to není kořenový certifikát. Musí existovat mezilehlá autorita vydaná „thawte Primary Root CA - G3“. Ale to je klasický problém, protože pro admina je to obvykle neviditelné. Když má admin v prohlížeči naučený mezilehlý odjinud (což je obvyklé, protože on třeba navštívil web té samotné autority a ta mu mezilehlý ukázala), pak mu jeho špatně nakonfigurovaný web funguje a on má pocit, že je všechno v pořádku. -- Petr Krčmář vpsFree.cz _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Ahoj, Dne 30. listopadu 2016 8:34 Jaroslav Týc &lt;jaroslavtyc(a)atlas.cz <mailto:jaroslavtyc@atlas.cz>> napsal(a): Ahoj, řešíme souběžné nasazení MySQL (respektive MariaDB) a PostgreSQL, ovšem náš poskytovatel nás od toho opakovaně zrazuje s následujícími argumenty, kterým příliš nevěřím, rád bych se vás zeptal na praktické zkušenosti * PostgreSQL lze replikovat pouze v rezimu Master-Slave s tim, ze Slave je vzdy read-only o přitom pouhou namátkou najdu dlouhý seznam nástrojů <https://wiki.postgresql.org/wiki/Replication,_Clustering,_and_Connection_Pooling>, které nabízí spoustu možností Každá z těch možností má svá pro a proti, nic z toho není ve smyslu vzít a nasadit bez přemýšlení (to je asi jen ta varianta master slave kterou má postgre přímo v instalaci). Tzn. jde to ale je to náročnější na provoz a údržbu. o * PostgreSQL ma vyrazne vyssi naroky na systemove prostredky oproti MySQL (predevsim RAM a rezie spojena s pouzivanim shared memory) a na CPU (PostgreSQL se vzrustajicim poctem requestu casteji forkuje) o nevěřím, že pro stejná data a stejné queries spotřebuje Postrgres výrazně více systémových prostředků To nedokážu posoudit, spíše je otázka co potřebujete z DB funkcí, co mysql nemá? Jak to vidíte vy? Díky, Jarda _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz <mailto:Community-list@lists.vpsfree.cz> http://lists.vpsfree.cz/listinfo/community-list <http://lists.vpsfree.cz/listinfo/community-list> David Linux server specialist/Heavy Ansible user www.karban.eu <http://www.karban.eu/> _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz <mailto:Community-list@lists.vpsfree.cz> http://lists.vpsfree.cz/listinfo/community-list

On 11/30/2016 08:51 AM, David Karban wrote: Ahoj, Dne 30. listopadu 2016 8:34 Jaroslav Týc &lt;jaroslavtyc(a)atlas.cz&gt; napsal(a): Každá z těch možností má svá pro a proti, nic z toho není ve smyslu vzít a nasadit bez přemýšlení (to je asi jen ta varianta master slave kterou má postgre přímo v instalaci). Tzn. jde to ale je to náročnější na provoz a údržbu. To nedokážu posoudit, spíše je otázka co potřebujete z DB funkcí, co mysql nemá? David Linux server specialist/Heavy Ansible user www.karban.eu _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Říkal jsem si že to bude hlavně náročnost nasazení, co poskytovatele odrazuje (že to ztíží i údržbu mě netrklo) - po zkušenostech s nimi s nestandardními požadavky zůstanu raději u základní verze, víc zatím nepotřebujeme. PostgreSQL potřebujeme hlavně kvůli geolokaci (PostGIS), protože MySQL to neumí rozumně indexovat a jiné technologie (Redis, ElasticSearch) by se mi obtížněji propojovaly s dalšími daty v relační databázi. On 11/30/2016 08:51 AM, David Karban wrote: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz <mailto:Community-list@lists.vpsfree.cz> http://lists.vpsfree.cz/listinfo/community-list <http://lists.vpsfree.cz/listinfo/community-list>

Velice jednoduchý a stručný přehled vhodnosti databází je tady: http://howfuckedismydatabase.com/ Jinak osobně doporučuju místo MySQL používat Perconu - jejich XtraDB engine (InnoDB na steroidech) je výkonem někde trochu jinde a běžně používáme M2M konfiguraci, která ale neni balancovaná, tj. DB běží jako M2M, ale aplikace je v režimu failover s tím, že každá instance aplikace používá jiný master. Zní to hrozně, ale je to jednodušší než to vypadá :) Akorát je třeba ošetřit věci typu auto_increment a provozujeme to všechno v jednom DC, ideálně co nejblíž u sebe. M2M mezi datacentrama už je v případě MySQL/MariaDB/Percona na nasazení Galera Clusteru. K postgersu se nevyjadřuju, sice ho trochu používam, ale jen v jedné instanci bez nějaký zásadní konfigurace.. -miky. November 30 2016 8:38 AM, "Jaroslav Týc" &lt;jaroslavtyc(a)atlas.cz&gt; wrote: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list

Ahoj, řešíme souběžné nasazení MySQL (respektive MariaDB) a

od toho opakovaně zrazuje s následujícími argumenty, kterým

na praktické zkušenostiPostgreSQL lze replikovat pouze v rezimu

vzdy read-onlypřitom pouhou namátkou najdu dlouhý seznam

PostgreSQL ma vyrazne vyssi naroky na systemove prostredky

spojena s pouzivanim shared memory) a na CPU (PostgreSQL se

forkuje)nevěřím, že pro stejná data a stejné queries spotřebuje

prostředků Jak to vidíte vy? Díky, Jarda

Vo fetlife.com <http://fetlife.com/> aktualne pouzivame Perconu v jednoduchom master slave setupe (1 master a 1 slave) a handlujeme v priemere 67k web requestov za minutu, co je v priemere 1.6M sql callov za minutu podla New Relic. A to aktualne ani nebalancujeme read requesty, cize vsetky requesty idu priamo na mastera. Oba servery maju 2x 3GHz Intel Xeon-IvyBridge (E5-2690-V2-DecaCore) a 256GB RAM. Aktualne vyuzitie RAM na masterovi je 76% a priemerny CPU load je 0.14 Zaujimave clanky, ktore opisuju rozdiely medzi MySQL a Postgres a vhodnost pouzitia na rozdielne usecasy su este <https://eng.uber.com/mysql-migration/>https://eng.uber.com/mysql-migration/ <https://eng.uber.com/mysql-migration/> a https://www.postgresql.org/message-id/579795DF.10502@commandprompt.com <https://www.postgresql.org/message-id/579795DF.10502@commandprompt.com> (email thread). Rene 2016-11-30 14:32 GMT+01:00 &lt;kuba(a)ufiseru.cz <mailto:kuba@ufiseru.cz>>: Velice jednoduchý a stručný přehled vhodnosti databází je tady: <http://howfuckedismydatabase.com/>http://howfuckedismydatabase <http://howfuckedismydatabase/>.com/ Jinak osobně doporučuju místo MySQL používat Perconu - jejich XtraDB engine (InnoDB na steroidech) je výkonem někde trochu jinde a běžně používáme M2M konfiguraci, která ale neni balancovaná, tj. DB běží jako M2M, ale aplikace je v režimu failover s tím, že každá instance aplikace používá jiný master. Zní to hrozně, ale je to jednodušší než to vypadá :) Akorát je třeba ošetřit věci typu auto_increment a provozujeme to všechno v jednom DC, ideálně co nejblíž u sebe. M2M mezi datacentrama už je v případě MySQL/MariaDB/Percona na nasazení Galera Clusteru. K postgersu se nevyjadřuju, sice ho trochu používam, ale jen v jedné instanci bez nějaký zásadní konfigurace.. -miky. November 30 2016 8:38 AM, "Jaroslav Týc" < <mailto:jaroslavtyc@atlas.cz>jaroslavtyc@atlas.cz <mailto:jaroslavtyc@atlas.cz>> wrote: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz <mailto:Community-list@lists.vpsfree.cz> http://lists.vpsfree.cz/listinfo/community-list <http://lists.vpsfree.cz/listinfo/community-list> _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz <mailto:Community-list@lists.vpsfree.cz> http://lists.vpsfree.cz/listinfo/community-list <http://lists.vpsfree.cz/listinfo/community-list>

On 1. Dec 2016, at 16:59, Jaroslav Týc &lt;jaroslavtyc(a)atlas.cz <mailto:jaroslavtyc@atlas.cz>> wrote: Hmm, tak to je zajímavé shrnutí PostgreSQL problémů, díky za to. On 12/01/2016 01:49 PM, René Klačan wrote: _______________________________________________ Community-list mailing list Community-list(a)lists.vpsfree.cz <mailto:Community-list@lists.vpsfree.cz> http://lists.vpsfree.cz/listinfo/community-list