Bekijk Volledige Versie : Let's encrypt SSL
Goedemiddag,
Ik ben eigenlijk nieuwschierig naar de mening van de guru's.
Letsencrypt.org hebben jullie wellicht voorbij zien komen. Hoe kijken jullie hier tegen aan? Gebruiken jullie het bijvoorbeeld al?
Voor klanten lijkt me dit een interessante ontwikkeling qua hosting.
Ik ben benieuwd naar de reacties.
Het zit sinds kort ingebouwd in Laravel Forge, werkt hier prima.
Met 1 druk op de knop heb je een (gratis) SSL certificaat op je website.
systemdeveloper
08/01/16, 17:16
Wij hebben het op een aantal directadmin servers geïnstalleerd. Werkt wel lekker eigenlijk met de plugin voor da.
En hier ook gelijk een nadeel.
http://thehackernews.com/2016/01/free-ssl-certificate-malware.html
systemdeveloper
08/01/16, 17:29
En hier ook gelijk een nadeel.
http://thehackernews.com/2016/01/free-ssl-certificate-malware.html
Mja, er zijn ook genoeg betaalde certs die redelijk eenvoudig te verkrijgen zijn voor een paar euro en wat al dan niet fake gegevens. Het hebben van een beveiligde verbinding betekent niet dat je op een veilige website zit, al denken veel mensen dat wel nog steeds :(
Mja, er zijn ook genoeg betaalde certs die redelijk eenvoudig te verkrijgen zijn voor een paar euro en wat al dan niet fake gegevens. Het hebben van een beveiligde verbinding betekent niet dat je op een veilige website zit, al denken veel mensen dat wel nog steeds :(
Dat klopt maar heb je het stuk al wel gelezen? Vooral deze twee dingen zijn anders!
The issue is Let's Encrypt only checks the main domain against the Google's Safe Browsing API to see if a domain for which an SSL certificate is requested has been flagged for malware or phishing.
However, Let's Encrypt never check for shadow domains like in this case in which authors of the malvertising campaign easily requested and got approved for a Let's Encrypt certificate.
Moreover, Let's Encrypt has a policy not to revoke certificates. The organization explained in October that certification authorities are not equipped to police content and certificates issued by them 'say nothing else about a site’s content or who runs it'.
systemdeveloper
08/01/16, 17:46
Ik heb dat stuk inderdaad al gelezen en alhoewel dat 2 punten zijn die dubieus zijn, kan ik daar wel mee leven. DV certs stellen in feite toch niet veel voor en dat eerste punt is easy te omzeilen met een nieuwe domeinnaam.
Nu heb je ook veel sites die niet eens op https zitten (bv. nu.nl) en waar ook regelmatig malware via de ad publishers wordt getoond. In https sites zelfs vaak nog via het ssl cert van de ad publisher zelf.
Van de andere kant, als je klanten met 1 klik een gratis beveiligde verbinding kunt geven... why not? Het is weer een klein stapje in de goede richting om de stagiare bij kpn die met tcpdump speelt in de weg te zitten :)
Ik ben helemaal VOOR encryptie hoor. Nog even en ook WHT enkel op HTTPS. :)
mgielissen
08/01/16, 20:50
Wij hebben het op een aantal directadmin servers geïnstalleerd. Werkt wel lekker eigenlijk met de plugin voor da.
Waar is die DA plugin te vinden?
Hier nog bezig met ontwikkeling van een plugin voor DirectAdmin: https://github.com/Petertjuh360/da-letsencrypt
Wij hebben het op een aantal directadmin servers geïnstalleerd. Werkt wel lekker eigenlijk met de plugin voor da.
Plugin voor SSL op sites van klanten? Of wat ik zoek SSL voor het DA panel?
Ik gebruik nu nog startssl voor de panels zelf, maar het niet meer nodig zijn van handmatige acties lokt me wel.
systemdeveloper
09/01/16, 20:08
Plugin voor SSL op sites van klanten? Of wat ik zoek SSL voor het DA panel?
Ik gebruik nu nog startssl voor de panels zelf, maar het niet meer nodig zijn van handmatige acties lokt me wel.
Bekijk je die link van Peter hierboven even. Die werkt wel lekker op een paar kleine puntjes na.
Bekijk je die link van Peter hierboven even. Die werkt wel lekker op een paar kleine puntjes na.
Als je de kleine puntjes wil toelichten, of hier een issue voor wil aanmaken, graag :) Dan verbeteren we dat!
systemdeveloper
10/01/16, 01:05
Als je de kleine puntjes wil toelichten, of hier een issue voor wil aanmaken, graag :) Dan verbeteren we dat!
Done by pm ;)
eXtreme Service
10/01/16, 19:31
Mooi initiatief. Alleen de vereiste dat composer geïnstalleerd moet zijn vind ik wat jammer. Php is namelijk niet standaard geïnstalleerd via de repository maar custombuild en composer wilt een hele reeks php modules voor composer installeren. Kan dit zonder? Een eerste test wees aan van niet door het ontbreken van een vendor/... file.
Mooi initiatief. Alleen de vereiste dat composer geïnstalleerd moet zijn vind ik wat jammer. Php is namelijk niet standaard geïnstalleerd via de repository maar custombuild en composer wilt een hele reeks php modules voor composer installeren. Kan dit zonder? Een eerste test wees aan van niet door het ontbreken van een vendor/... file.
Dit is alleen vereist als je de plugin wil installeren en gebruiken tijdens de ontwikkelingsfase. Alle stable en officiële releases zullen de vendor files al bevatten, waardoor je composer niet meer nodig hebt.
Je kan Composer eenvoudig gebruiken aan de hand van volgende instructies: https://getcomposer.org/doc/00-intro.md
mgielissen
11/01/16, 00:35
Vanuit de shell is het zeer eenvoudig om een site te beveiligen. Geen CSR's en key's meer kopieren/plakken :rolleyes:
Ik voorzie een omzetdaling bij Dolphin :D
Voor de mensen die de gratis Let's Encrypt SSL's voor cPanel willen gebruiken zijn er op het moment drie manieren.
Hier de tutorial van een cPanel medewerker:
https://forums.cpanel.net/threads/how-to-installing-ssl-from-lets-encrypt.513621/
Via de volgende tutorial (semi automatisch) kun je automatisch voor al de aanwezige domeinnamen op de server een SSL installeren:
https://bitbucket.org/webstandardcss/lets-encrypt-for-cpanel-centos-6.x/overview
De meest bruikbare optie is een commerciële plugin ($150 voor een bedrijfslicentie of $30 per server):
https://letsencrypt-for-cpanel.com/
Lets Encrypt certificaten werken prima, Ik heb ze inmiddels op meerder websites in gebruik. Griet voordeel is dat ik ze met een klik heb geïnstalleerd en de certificaten tegen het einde van hun looptijd automatisch vernieuwd worden. Na installatie heb je er dus geen omkijken meer na :-)
Voor de gemiddelde internet gebruiker is een slotje een slotje en zal niet gaan kijken door welke authority het certificaat is ondertekend.
Werkt inderdaad erg netjes allemaal, heb die DirectAdmin module van Peter in gebruik..
Sent from my Samsung Galaxy S5 using webhostingtalk mobile app
Ik denk dat dit de standaard gaat worden voor de meeste servers met daarnaast natuurlijk de EV certs met een degelijke controle. Maar voor gewone websites is dit meer dan voldoende en ik voorzie dan ook een behoorlijke daling van inkomsten bij de SSL boeren.
Niet dat ze dit niet zagen aankomen, het was fijn zolang het duurde.
Kans is wel aanwezig dat op termijn de standaard DV certificaten dalen in waarde qua vertrouwensstatus en dat EV meer in trek komt. Maar dat is speculatie.
Mijn mening: Een hoop gedoe om een paar euro te besparen.
Verder wat Domenico zei :-)
mgielissen
13/01/16, 11:38
Misschien dat de betaalde certificaten goedkoper worden.
Ik verwacht eigenlijk dat die gratis certificaten geen groen slotje meer krijgen maar een grijs slotje ofzo.
Een domein validatie is nog redelijk. Je moet toegang hebben tot de webruimte of tot de e-mail om die validatie te kunnen doen en de gegevens van de aanvrager worden bekeken.
Bij de gratis certificaten is dat niet het geval. Het is bijna net zo "erg" als self signed...
Als blijkt dat het niet veilig is zullen browsers je dat laten weten....
Geen 100% zekerheid maar een voorspelling :-)
Vervelend als je het dan net overal uitgerold hebt en je klant daarna moet gaan vertellen dat SSL weer uit gaat (want bezoekers vertrouwen het niet) of ze moeten alsnog gaan betalen.
Ik zou de gok niet nemen. De prijs? Een certificaat kost € 25,00 per jaar verkoop advies bij sommige. De inkoop is lager als je even goed zoekt.. :-)
We hebben het dus niet eens over een whopping € 2,50 per maand!
Automatische verlenging zou mooi zijn :-)
Aan de andere kant: iets.crt uploaden en server config reloaden. Ook weer niet heeeeeel veeel werk.
Hostingwalk
13/01/16, 12:13
Tuxis_IE: Google Chrome + Firefox zijn juist Platinum Sponsor, omdat ze beiden graag HTTPS EVERYWHERE zien.
"Bij de gratis certificaten is dat niet het geval." er wordt bij Lets Encrypt wel degelijk bestands-validatie uitgevoerd.
Axel Polfliet
13/01/16, 12:55
Ik denk eerder dat we zullen zien dat de betaalde DV certificaten langzaam aan zullen verdwijnen en dat SSL aanbieders enkel OV en EV aan blijven bieden. Het gebeurt hier in ieder geval steeds vaker dat men een EV certificaat wil hebben, hoewel prijs vaak nog wel een tegenhoudende factoor is. Ligt natuurlijk ook een beetje aan het soort klant.
Hier hebben we in ieder geval zowel op onze DirectAdmin servers en ons Plesk platform Let's Crypt aan klanten beschikbaar gesteld.
Tuxis_IE Je bagatelliseert de kosten en het gedoe van de 'reguliere' certificaten wel aardig.
Laten we even uitgaan dat je als hoster graag je klanten standaard https wilt kunnen bieden. Als je slechts 1000 sites hebt kost dat je bij een inkoop van 5 euro al 5000 euro per jaar.
Als je de certificaten los verkoopt voor 10-20-50 euro p/j, dan kun je zeggen: dat zijn de kosten niet - maar dat is vergeleken met de gemiddelde prijs van een hostingpakket al best veel (http://www.ispam.nl/archives/55828/wat-is-de-gemiddelde-prijs-van-webhosting/). Overtuig de klant maar eens van de noodzaak.
Reken daarbij dan ook nog even de effort die je moet doen om klanten uit te leggen wat SSL nou precies is, welke smaken je hebt, hoe het zit met verlengen, validatie etc., etc. Hoe vaak ik al wel niet gehoord heb "Oh, dus als ik een certificaat koop, dan hoef ik mijn Wordpress ook niet meer te beveiligen/updaten?"
Als je de certificaten nu handmatig regelt zit er ook nog x minuten werk in om e.e.a. aan te vragen, te installeren, administreren. Support requests als een certificaat verlopen is en het er doorheen geglipt is. En herhaal dat elk jaar weer.
Automatiseren kan nu natuurlijk ook wel, maar weinig partijen zullen het by default doen voor alle klanten, hoe 'goedkoop' een certificaat ook is.
Met Lets Encrypt kun je zonder kosten en relatief weinig effort alles in 1 keer regelen voor al je klanten. In 1 klik je site SSL beveiligd, zonder kosten! Lijkt me een mooie propositie.
Dit lijkt me juist een goede kans voor al die kleine huisje-boompje-beestje sites in de low-range hosting business. Natuurlijk zijn er ook klanten die wel EV willen of een andere certificaatboer, en daar ook wel voor willen betalen. Dan is je marge ook veel hoger en kun je het 'gedoe' er makkelijk bij incalculeren.
Skredd Begrijp me niet verkeerd: Ik ben voor SSL.
We zijn het ook niet helemaal oneens maar zitten in een ander marktsegment denk ik. Vandaar dat ik niet tegen het kosten probleem aanloop.
Er is echter een valkuil. Die probeerde ik te noemen.
Als het nl niet veilig wordt mag ik hopen dat Firefox en Chrome niet braaf groene slotjes blijven tonen. Anders krijgen we natuurlijk weer een ander probleem :-)
Alle websites zouden SSL moeten doen. Google straft je al af als je dat niet doet. En als klanten één ding heeel belangrijk vinden is het wat Google met je site doet.
Wij hebben het uitrollen van certificaten behoorlijk geautomatiseerd. In 2 min. staat hij er en vernieuwen is niet eens noemenswaardig.
Met Lets Encrypt kun je zonder kosten en relatief weinig effort alles in 1 keer regelen voor al je klanten. In 1 klik je site SSL beveiligd, zonder kosten! Lijkt me een mooie propositie.
En ja, dat is ook wel wat wij willen..
Want rijk worden we niet van die certificaten. Dat dan weer niet.
Maar dit is ook wel erg slecht nieuws: http://thehackernews.com/2016/01/free-ssl-certificate-malware.html
En dan:
Vervelend als je het dan net overal uitgerold hebt en je klant daarna moet gaan vertellen dat SSL weer uit gaat (want bezoekers vertrouwen het niet) of je klanten moeten alsnog gaan betalen.
M.a.w. misschien even afwachten?
Vanmiddag op een test DA bak de tool van Peter en dus Let's encrypt getest.
Moet zeggen dat het goed verliep (na activeren SNI) certificaten worden goed opgepakt en lijken net zo geaccepteerd te worden als de PositiveSSL die we nu nog wel is gebruiken.
Skredd
Maar dit is ook wel erg slecht nieuws: http://thehackernews.com/2016/01/free-ssl-certificate-malware.html
En dan:
M.a.w. misschien even afwachten?
In dat artikel staat alleen dat ook hackers verbindingen encrypten met Let's encrypt. Dit komt dan ook helemaal niet als een verrassing. Let's encrypt heeft daar een standaard set maatregelen tegen en die kunnen indien nodig altijd worden bijgeschaafd, voor zover dat hun verantwoordelijkheid is. Zeker niet iets wat dit project op het spel zou zetten.
Tuxis_IE
Reken daarbij dan ook nog even de effort die je moet doen om klanten uit te leggen wat SSL nou precies is, welke smaken je hebt, hoe het zit met verlengen, validatie etc., etc. Hoe vaak ik al wel niet gehoord heb "Oh, dus als ik een certificaat koop, dan hoef ik mijn Wordpress ook niet meer te beveiligen/updaten?"
Als je de certificaten nu handmatig regelt zit er ook nog x minuten werk in om e.e.a. aan te vragen, te installeren, administreren. Support requests als een certificaat verlopen is en het er doorheen geglipt is. En herhaal dat elk jaar weer.
Automatiseren kan nu natuurlijk ook wel, maar weinig partijen zullen het by default doen voor alle klanten, hoe 'goedkoop' een certificaat ook is.
Een kwartier tot een half uur werk voor een certificaat is echt niet onlogisch. Behalve installaties heb je ook het risico tot reissue (heartbleed) en mogelijke telefoontjes over ssllabs ratings, rewriterules of HSTS om standaard https te doen, etc.
mgielissen
15/01/16, 10:05
Ik heb de DA plugin van Petertjuh geïnstalleerd maar krijg deze melding bij het aanmaken van een certificaat:
Fatal error: Class 'Crypt_RSA' not found in /usr/local/directadmin/plugins/da-letsencrypt/includes/lib/Account.php on line 94
Niet voor niks een beta/alpha natuurlijk
Ik heb de DA plugin van Petertjuh geïnstalleerd maar krijg deze melding bij het aanmaken van een certificaat:
Fatal error: Class 'Crypt_RSA' not found in /usr/local/directadmin/plugins/da-letsencrypt/includes/lib/Account.php on line 94
Je kan het beste een issue aanmaken op Github. Alle support zal via Github verlopen. Zie ook de volgende gerelateerde issue: https://github.com/Petertjuh360/da-letsencrypt/issues/64
Bekijk je die link van Peter hierboven even. Die werkt wel lekker op een paar kleine puntjes na.
Ik heb inmiddels deze op een server met een paar familiedomeinen geinstalleerd, maar ik kan nergens de optie vinden om het cert van het panel zelf aan te vragen/te updaten. Denk dan dat je mijn vraag gewoon niet goed gelezen hebt.
Originele vraag was:
Plugin voor SSL op sites van klanten? Of wat ik zoek SSL voor het DA panel?
stefantriep
16/01/16, 19:30
Ik heb inmiddels deze op een server met een paar familiedomeinen geinstalleerd, maar ik kan nergens de optie vinden om het cert van het panel zelf aan te vragen/te updaten. Denk dan dat je mijn vraag gewoon niet goed gelezen hebt.
De let's encrypt plugin is voor de SSL op sites die op de DirectAdmin server staan, niet voor DirectAdmin zelf. Op github staat namelijk "for your domain managed by DirectAdmin". In jou geval SSL op sites van klanten.
Ik heb inmiddels deze op een server met een paar familiedomeinen geinstalleerd, maar ik kan nergens de optie vinden om het cert van het panel zelf aan te vragen/te updaten. Denk dan dat je mijn vraag gewoon niet goed gelezen hebt.
Originele vraag was:
Is een open issue voor: https://github.com/Petertjuh360/da-letsencrypt/issues/52
Let's Encrypt automated free SSL certificate installs (SKINS)(LANG)
http://www.directadmin.com/features.php?id=1828
Het betreft sinds update 1.50 nu een onderdeel van het panel, zonder een aparte plugin.
Werkt bij ons prima met 1.50 inderdaad.
Let's Encrypt automated free SSL certificate installs (SKINS)(LANG)
http://www.directadmin.com/features.php?id=1828
Het betreft sinds update 1.50 nu een onderdeel van het panel, zonder een aparte plugin.
Zeer goed nieuws! Ik ga het zo gelijk even testen met een nieuwe DA installatie :D.
PimEffting
20/10/16, 16:40
Een kleine, maar terechte (in mijn ogen ;-), bump van dit onderwerp.
Inmiddels is Let's encrypt uit beta en zijn ze flink bezig met het uitgeven van certificaten.
Hoe zien jullie de toekomst van Let's encrypt?
Is het stabiel genoeg om aan te bieden aan je klanten?
Zo ja, gratis of betaald? Ben je bang voor kannibalisatie van je huidige SSL sales?
Zelf denk ik dat SSL zoiets wordt als een spamfilter: zonder is je dienst niet meer goed bruikbaar.
Kannibalisatie in de huidige SSLs zie ik als kort termijn probleem, want Let's encrypt kent ook nadelen.
Nadat de websites geschikt zijn gemaakt voor SSL (bv mixed content) is de upsell naar een "echte" SSL of een EV een veel kleinere stap.
Dat maakt het omzetverlies op de productgroep SSL waarschijnlijk wel weer goed.
In één zin: laten we het Internet veiliger maken!
Het is niet altijd stabiel, er zijn uitzonderingen.
Wij hanteren -> Zakelijke belangen, dan gewoon die paar euro uitgeven per jaar. Geen belang, dan is het een prima idee.
Richard.77
22/10/16, 10:30
Eens met Bart, zo verkopen wij ze ook.
Je ziet vooral een verschuiving bij de stichtingen die vaker voor dit soort initiatieven gaan, vaak vanuit budget oogpunt.
Ramon Fincken
24/10/16, 11:13
Wij krijgen ook aardig wat vragen, en hebben daarom een vergelijking gemaakt tussen Let's Encrypt en Comodo (al kun je hier ieder ander commercieel bedrijf voor invullen).
Hier staat onze vergelijking:
https://www.managedwphosting.nl/ssl-vergelijken/
Hier eigenlijk hetzelfde verhaal als bij Bart. Bedrijven zijn in de meeste vallen gewoon bereid om een paar tientjes per jaar uit te geven aan een betaald certificaat. Klanten met wat kleinere websites nemen genoegen met een Let's Encrypt certificaat. De verschillen worden uitgelegd en het is aan de klant om te beslissen. Let's Encrypt certificaten bieden we gewoon kosteloos aan als extra service. Maar bij ons wordt in de meeste gevallen nog steeds gekozen voor een betaald certificaat.