Let's Encrypt har utstedt tusenvis av sertifikater til rene phishingsider

[hempkins]

Hvem som helst kan kjøpe ett wildcard-cert hos nesten alle utstedere. Da vil paypal.domain.com eller appleid.domain.com virke i over 99% av browsere uansett. Så dette er jo en ikke-sak.

[Rudde]

 

Dessuten har det vel alltid vært mulig å kjøpe et wildcard sertifikat fra de etablerte SSL-haiene på f.eks. *.phishing.com så da ville de uansett ikke ha klart å hindre f.eks. paypal.com.phishing.com

100% enig - merkelig at dette ikke blir kommentert av artikkelforfatter og alle andre nyhetssteder som er ute etter å lage click-bait nyheter.

 

LetsEncrypt gjør verden en tjeneste! Etter hvert som LetsEncrypt får fotfeste så kanskje nettleserne bør vurdere å droppe hengelåsen for ssl og heller ha røde varsler for rene http-sider istedenfor? Dermed vil man ikke få noen hengelås ved verken

paypal.com.site.with.ssl.from.letsencrypt.com

 

eller ved

paypal.com.site.with.wildcard.certificate.com

 

eller ved

https://www.digi.no/

 

 

Det blir i alle fall feil å skylde på LetsEncrypt for dette.

 

Wildcard fungerer kun for en dot da skal du ha for f.eks. www.www.example.com må du ha wildcard på *.www.example.com, da *.example.com ikke vil godkjennes i alle browsere.