Microsoft patcher, så britiske myndigheds-domæner kan tilgås uden HTTPS

Er vel at man kører Microsoft på serverne. Hvis man bruger Linux er det let at lade Lets Encrypt udstede gratis certifikater. Hvis man bruger CloudFlare, så udsteder Cloudflare gratis certifikater. Amazon hosting kan også udstede.

Men Microsoft er ikke helt oppe på beatet med det her nymoderne pjat med kryptering og certifikater.

Hvem siger at de kører på Microsoft-servere?

Hvis du kigger på gov.uk benytter de nginx med Fastly (Varnish) foran.

Kunne det tænkes at det kunne være på applikationsniveau at problemet ligger og ikke blot udstedelsen af certifikaterne?

Hvis det er ældre websites hvor HTTPS ikke er tænkt ind, kan det sagtens kræve en større overhaling for at få HTTPS understøttet.

Når det er sagt, så undrer det mig at offentlige myndigheder ikke prioriterer at få deres website bag HTTPS.

LE virker fint med IIS. Måske skulle du pakke fordommene væk og undersøge tingene?

Kunne det tænkes at have noget at gøre med at det britiske parlament, har foreslået at forbyde kryptering?

( For at hjælpe befolkningen til at blive bedre overvåget, så de blive næsten 0.001% mere sikker på ikke at blive udsat for terror! )

Det er vel rimeligt at offentlige sites går forrest, også med deres mere tåbelige forslag :)

Det sagt, er det en pest at MS nu er blevet så hellige, at man ikke kan regne med sende post til hotmail, hvis man bruger en mindre udbyder, der ikke er helt oppe på beatet, med spam fighting.

Mon ikke det der er sket, er at de har sat en HSTS header som de selv anbefaler her, uden at forstå konsekvenserne:

https://www.gov.uk/service-manual/technology/using-https

Det magiske her er "includeSubDomains; preload;". Det betyder at værdien kan bruges til alle subdomæner under gov.uk og at browserne gerne må distribuere den information.

Der er ingen tvivl om at det er en super god ide, men indstillinger giver det resultat de har fået her, hvis ikke alle gov.uk siden anvender TLS.

Men Microsoft er ikke helt oppe på beatet med det her nymoderne pjat med kryptering og certifikater.

Stop nu det Microsoft-bashing når ikke du ved noget om emnet og ikke gider bruge 10 sekunder på google. Se fx hvad lets encrypt selv siger: https://letsencrypt.org/docs/client-options/

Kører man i Microsoft azure cloud som har 2 datacentre i uk - så har både deres cdn og frontdoor automatisk ssl på dit eget domæne på ligefod med fx cloudflare.

Hvis man bruger Linux er det let at lade Lets Encrypt udstede gratis certifikater.

Hvis jeg tilgik et offentligt website og det havde et Let's Encrypt signet certificat, så ville jeg blive meget mistænkelig. Let's Encrypt er løsning på et meget lille problem. Desværre spildes der meget tid på netop det.

Det første grundlæggende spørgsmål man kan stille sig omkring Let's Encrypt er: Hvorfor er der grund til at stole på et Let's Encrypt signeret certifikat?