Alex 🪗
http://deconte.ru могу расшарить код там примивный
Alex 🪗
и с базой не сложная логика
Alex 🪗
https://bitbucket.org/deconte/deconte/
yopp
https://yopp.in/12p8
yopp
ну вощем начало положено
yopp
X509 это вообще своя особая атмсофера. Но в монге конечно оно особенно колоритно смотрится.
mongo --ssl --sslCAFile /etc/ssl/certs/myca.pem --sslPEMKeyFile /home/username.pem --host foo42.dc1.example.net --username "C=CC,L=Local,O=Org,OU=MongoUsers,CN=username" --authenticationMechanism "MONGODB-X509" --authenticationDatabase "\$external"
yopp
я упорно не понимаю почему нельзя было просто сделать ключ -x509 /home/username.pem, который в том числе вытащит subject
yopp
и не понимаю почему монга не может в root-ca-store
yopp
ведь тогда было бы просто mongo --host foo42.dc1.example.net --x509 /home/username.pem
Anonymous
Вообще без root-ca-storage очень грустно, да.
Anonymous
Не только в MongoDB.
yopp
Мне вот лично гораздо проще свою ca вшить намертво в ось, чем вот это вот всё.
yopp
А потом они удивляются почему никто не хочет СЕКУРНО деплоить
Sergey
шифрование далеко не всем нужно, а сжатие в openssl выпилили везде где можно
Sergey
ну и в root-ca-storage куча сертификатов удостоверяющих центров же
yopp
шифрование далеко не всем нужно, а сжатие в openssl выпилили везде где можно
шифрование нужно далеко всем
yopp
вообще всем
yopp
гугл?
Sergey
два сервера в одной стойке в своём влане - зачем им шифрование?
Sergey
чтобы пинг был больше?
yopp
:)
yopp
пинг больше?
yopp
у меня к PKI одна претензия — UX просто феерически уёбищный
Sergey
помимо этого, шифрование нехилый лаг добавляет, особенно на установку нового соединения
yopp
в 2017 году даже в сраных esp32 уже есть аппаратная реализация почти всех алгоритмов, включая rsa
yopp
Sergey
угу, а 0-rtt нету до сих пор
Sergey
в 1.3 что-то такое обещают
yopp
ну так не надо соединение на каждый запрос устанавливать
yopp
оверхед в tls только на хендшейк
yopp
дальше AES с болчным режимом, твоему цпу ваще это похуй
Sergey
ну так не надо соединение на каждый запрос устанавливать
все равно обычно некоторый ограниченный пул
yopp
и?
yopp
ну потеряешь ты сумарно 100мс при популяции пула
yopp
и чо?
yopp
дальше шифрование ничего не стоит на фоне всего остального
Sergey
когда база отвечает за 10 мс, лишние 100мс - это много
yopp
и ещё ращ
yopp
ты при установке соединения делаешь хендшейк
yopp
ну и да, один раз 100мс. и всё
yopp
если пулл из 100 соединений — 100 запросов с чуть худшим сла. УЖАС КАКОЙ
Sergey
я всё еще не увидел аргументов за шифрование у двух серверов в соседних юнитах
yopp
это тебе повезло
yopp
точнее не повезло
yopp
я вот не знаю где железо стоит
Sergey
по интернету незашифрованный трафик гонять я не стал бы - это да
yopp
и железо ли там, в ряде случаев
Sergey
не, базу на виртуалку ставить - я не самоубийца.
yopp
пфф
Sergey
неизвестно когда она из-за соседей просядет
yopp
если io провизится, то нет никакой разницы особо
Sergey
он честно разве где-то провизится?
yopp
так не надо по помойкам шлятся
yopp
но это уже другой вопрос.
yopp
а чо, у вас данные не очень нужные?
Sergey
если у тебчя не виртуалка размером с физический сервер, где нет никого кроме тебя, - всё равно будут проблемы
yopp
что вы их в одной (!) стойке храните
Sergey
io
yopp
что io?
Sergey
что вы их в одной (!) стойке храните
я вообще не про себя говорил, у меня в 3х географичесик разных локациях данные лежат
yopp
без шифрования?
Sergey
шифрование уровнем ниже идёт
yopp
уровнем ниже чего?
yopp
ipsec тонель?
Sergey
это сетевиков надо спрашивать, что конкретно они используют
yopp
эт всё печально.
Sergey
что "всё"?
yopp
устал я чот!
Sergey
у меня в базе нет личных данныых людей, чтобы так параноить)
Sergey
да и сеть всё равно внутренняя
yopp
вот последнее — очень опасная логическая ошибка
Sergey
я не говорил про отсуттсвие авторизации
Sergey
она есть, естественно
yopp
если ssl нет, то от неё толку мало :)
Sergey
ну вообще монговцы заявляют, что она секурна
yopp
SCRAM-SHA-1 да, а вот CR нет