Todo sobre Let´s encrypt - La CA segura y sin fines de lucro

[@emmanuelc04]

Los vengo usando desde 2015. En principio porque trabajaba en un lugar muy rasca que no queria pagarlo, pero a la larga lo terminé recomendando a todo el mundo por el CertBot. Me pasó de recomendarlo en una empresa grande (3000+ empleados, y 500k+ clientes) donde trabajé y tanto mi jefe como el CTO me bajaron el pulgar porque no lo conocían y desconfiaban porque era gratis. Asi que todos los años habia que renovar con el representante de digicert que te hacía la renovación por paloma mensajera, tardaba como tres semanas desde que le dabas el CSR hasta que te daba el certificado y encima después teníamos que actualizar ese wildcard asqueroso como en 20 servidores a mano.

[@LuisVazquez69]

Un genio Pelado, excelente explicación derribando mitos, poniendo por delante el conocimiento y mostrando el poder de las tecnologías y de los estándares abiertos ante los sembradores de "bluff" (de todos los colores y costados) que inundan las redes sociales.

[@javicarrara]

Algo súper importante a la hora de tener un certificado pago es, mas allá de que la validez es mayor, si ocurre una vulnerabilidad relacionada al certificado, quién te provee el certificado te paga y son miles de dólares, en cambio si pasa lo mismo con Let's encrypt nadie va a pagar nada obviamente. Para una empresa esto no es trivial, ya que la seguridad pasa por gestionar riesgos y eso termina en quién paga la cuenta. Por ejemplo, Sectigo paga entre 500 mil a 2 millones de dólares de warranty. Saludos!

[@diegoalvarez5727]

Gracias, eso no lo sabía. Justo pensé que iba hablar de eso en el video y al final me quedé con las ganas de saber la diferencia entre Let's encrypt y otro de pago

[@SrOsvaldo1]

Muchos host que te venden certificados, te venden "la gestión" de un Let'sEncrypt.

[@ezequielfalcon88]

En entornos automatizados como Kubernetes es elemental usar cert-manager en conjunto con LetsEncrypt. No todos los CA ofrecen automatización y en un entorno complejo tener que cambiar certificados a mano es complicado

[@a0z9]

Lo suyo es que Argentina tuviera una ca propia como en España (La casa de la moneda) de la que se ha hecho serie y película la casa de papel. Certificación Digital La FNMT-RCM, como Proveedor de Servicios de Certificación a través de CERES, ha implementado una serie de aplicaciones que permiten a la Administración, a los ciudadanos y a las empresas españolas realizar sus trámites a través de Internet de forma totalmente segura. Las nuevas soluciones de certificación y autentificación de identidad digital que ofrece la FNMT-RCM proporcionan validez y seguridad

[@f-s-r]

En el laburo lo usamos para algunas cosas, y la verdad que funciona de 10. Sólo en 1 ocasión hace varios años hubo una cuestión con versiones viejas de certbot, porque habían cambiado una de las CAs de Let's Encrypt. Pero si tenías un certbot actualizado, como dios manda, no ibas a tener ningún problema. En windows el soporte de certbot era algo limitado la ultima vez que lo revisé. Nosotros usamos win-acme como cliente en servidores windows, y la verdad que funciona muy bien.

[@Luisjg95]

Pelado Cuando vas mostrar tu home assistant ??

[@catupeloco]

Los inventos de los no me gusta son lo mejor de tus videos jajaja Te vas con información y una sonrisa

[@munozhoracio]

Super claro, excelente material, ni chat gpt te da así de claro 😂

[@MrTurnedNitrux]

Pelado buenas ! Cuando continuamos con más videos de argocd ¿? Gracias y saludos

[@ricardotrejoruiz5776]

La validación por servidor es lo que hace Google Analytics

[@jclm1rt]

Los firewalls de nueva generacion con UTM (por ejemplo fortigate) que hacen SSL INSPECTION bloquean el uso de Lets encrypt... lo consideran inseguro por algun motivo.

[@PauloRPDL]

El problema entonces es que muchas gente no sabe la funcion de los certificados en TLS y piensan que los certificados influyen en la encriptacion de la comunicación... cuando realmente solo influyen en el handshake

[@CavalloGuido]

Yo uso los certificados de cloudflare, me descargo los archivos, los apunto en el NGINX y listo.. la renovación se encarga cloudflare y te dan hasta 15 años sin tener que cambiarlo manualmente.

[@randomsystems5787]

Ahora Cloudflare usa Let's encrypt para las cuentas free. Hasta hace 1 año atras te daban un certificado generado por ellos. Aun asi, es igual de seguro que cualquier otro issuer pago de certificados.

[@anoncrypt]

pelado y con el tema de cloudflare es lo mismo? he visto que algunos usan lets encrypt junto a clouldflare

[@victorhoyos7641]

Hola. Gracias por el contenido. Estoy corriendo mi sitio web con dominio desde un servidor propio iis se puede hacer automátizado o en ese caso es manual

[@jguille26]

gracias por la info. No vine por la polémica, vine porque estoy implementando seguridad en un servidor, aveces la gente afirma cosas ignorando sobre el tema (me refiero al mensaje de X). Debemos aprender a diferenciar que es dar una opinión y que es hablar afirmando cosas sin saber bien de que se esta hablando para no hacer el ridículo como el señor que hizo la publicación. Saludos y espero se encuentre bien.

[@davidcastillo7383]

Muchas gracias, siempre tuve mis dudas sobre instalar certificados gratuitos por 2 razones, la primera es la confianza en quien lo provee y la segunda es lo complicado de estar renovando cada 3 meses... gracias a tu video probé certbot y el proceso es muy sencillo, inclusive con un crontab puedo renovarlos automáticamente. Muchas gracias por la confianza que generas en las explicaciones que das.

[@juancapo2010]

No amigo, eso de renovar lo tenés que hacer de forma automática, hay muchas películas y series que ver, no se puede estar renovando cada tres meses.

[@davidcastillo7383]

@@juancapo2010 jajaja es verdad, ya lo dejé con renovación automática cada mes y esperemos a que pase el primer mes para ver si todo sale bien.

[@h.coronel7736]

A mí no me ah fallado y ya tengo como 1 año que se está renovando

[@pericote77]

tengo una curiosidad suponiendo que utilizo mi sitio web para hacer estafas pero utilizo lets encrypt el sitio seria seguro pero inseguro al mismo tiempo?? y eso podria generar un paradigma tiempo espacio donde yo podria verme a mi mismo como el gato de schrödinger sin saber si sigo vivo o estoy morido!!!!

[@alfredoolmedo744]

Un Certificado con el Escribano. Quien tambien provee de certificados es Cloudflare

[@uscunofficial4563]

Alguien sabe la ubicación geográfica de donde tiene lets encrypt los servidores? O las ips de los mismos para admitir en una lista para el firewall y así poder permitir renovación automática al pasar los 90 días? Un saludo

[@GustavoGil05]

Es un tema muy interesante... Te dejé el primer like del vídeo. Practica con trabalenguas para que no se te lengüe la traba.

[@kernelpanic3520]

Yo no uso certificados porque no tengo nada que ocultar y cuando tengo que firmar alguno lo hago con Adobe Sign, le saco un foto al .pem,, lo subo a Adobe, lo firmo y listo, si algun usuario le sale el error que el sitio no es seguro le mando por mail el pdf formado le digo mira!! ahi tenes, lo firme yo, es seguro, poner tu numero de tarjeta y pin, no hay problema.

[@Uno_cualquiera_u_otro]

No está hbalndo de firmas de documentos sino certificado de seguridad del servidor.

[@kiriitoh]

Es ironía, señor

[@javipaniagua2942]

​@@Uno_cualquiera_u_otro el humor te esquiva

[@derlisruizdiaz]

​@@kiriitoh sarcasmo*

[@kiriitoh]

@@derlisruizdiaz te equivocas, Busca la diferencia

[@anoncrypt]

bien ahiiiii con los guns pelado!!!

[@francodm214]

Pelado, estoy con una Macbook Pro, instale homebrew, certbot, todo barbaro. Genero el certificado, me creo una carpeta con los archivos .pem, pero cuando los quiero añadir arrastrandolos al llavero me tira error "no se pudo cargar el contenido del archivo" solo con el file de la key. Los demas archivos si, los carga. Haciendo eso resulta que no hay caso, no me aparece el certificado en la app (OsirixMD) que necesita verlo. Que puedo hacer? alguien me puede dar una mano? gracias che

[@mkhakk]

Pero hubiera sido lindo que tenga validacion extendida de comodo

[@MotinQ]

Seguramente por ahí hay facturados varios millones de dólares en certificados que luego consiguen gratuitamente.

[@morelos1971]

Gracias por el aporte

[@ManuelEncarnacion07]

Quizas la queja de la persona de usar let's encrypt no es por un tema de seguridad, sino mas bien por un tema de costo. El entiende que como no estan gastando en cosas caras como certificados de pago, el dolar deberia estar barato jejej

[@Muferchus]

Yo el único problema que tuve fue hace cosa de un año, todas las pcs con windows 7 sp1 hacia atrás el certificado interno que tienen para validar el de let's encrypt se les venció, por lo que de un día para el otro bajó un 20% el tráfico al sitio. En ese momento de emergencia a registrar un certificado nuevo y pago obviamente. Si alguno al día de hoy tiene una solución a este problema me avisa. Saludos!

[@emmanuelc04]

Ese problema en realidad lo vas a tener con todos los CA. Justo se dio primero con el root certificate de let's encrypt, pero básicamente la raiz del problema radica en que el uso de Windows 7 se extendió más de lo que debería, sumado a que mucha gente tiene windows pirata sin actualizar hace mucho tiempo (porque de hecho, si tenias Windows 7 actualizado no pasaba nada). Eso hace que la base de los root certificate del SO quede desactualizada y de a poco van a ir cayendo todos si no instalan actualizaciones de Windows (muchos probablemente no actualicen por tener Windows pirata también). El problema se va a solucionar paulatinamente solo, a medida que esos Windows viejos vayan quedando fuera de servicio o actualizandose. Otra no queda. De lo contrario, como dije antes, en un equipo desactualizado a la larga van a ir cayendo todos los root certificate de a uno, incluídos los pagos. Por las dudas fijate que el de la CA que pagás ahora no sea el próximo!

[@atlialogic]

Me pregunto cómo se sostiene económicamente dicha infraestructura. Aunque soy usuario de estos servicios ñ, me preguntó si algúna organización de gran nivel, tiene acceso a las llaves privadas y por ende a descifrar el tráfico cifrado.

[@PLATONU]

está el boton "donar"

[@programmercito1812]

Hola el ca firma el certificado o llave pública de tu sitio no su llave privada por lo que el único que puede descifrar los datos recibidos y enviados son el server y el cliente el ca no tiene acceso lo único que podrían hacer el ca si alguien accede a sus privadas de ellos es generar otro o revocar tu certificado pero nunca descencriptar tus datos y de todas maneras lo mismo podrían hacer en uno de pago el pelado no lo dijo en su video de respuesta pero bueno le pondré tb este comentario en su video donde te respondió 😊 suerte

[@JeanPierreCasanovaFuentes]

buen video y mejor la polera!

[@julianjuan266]

¿Se podia automatizar esto? Yo llevaba la carta y estaba una hora esperando a que el tipo me saque la cuenta.

[@EligioMerino]

El tráfico seguro en Java no acepta Let's Encrypt porque no lo considera un CA válida. En esos casos, sí es necesario comprar uno $$$ para que las conexiones SSL/TLS externas las acepte Java como seguras.

[@mariomadera5754]

En realidad no . Podes crear un almacen de confianza personalizado y usar opciones de jvm para usarlo

[@EligioMerino]

Correcto, pero eso funcuona en llamadas HTTPS entre servicios locales. Cuando se hacen desde/hacia sistemas distribuidos entre nubes híbridas, el workaround del keystore no funcuona y se arrojan excepciones en Java al fallar el handshake. Es un escenario comprobado y ahí es necesario comprar un certificado “real”. Comparto este dato por si a alguien le fuese de utilidad al enfrentar la misma situación y así ahorrarse horas de un troubleshooting que es un callejón sim salida.

Yo uso JavaLin en el backend usando el plugin ssl y lo tengo con lets encript y funciona super bien...

[@santidev_]

TREMENDO 🎉

[@iam.p3p0]

Excelente comentario... TODAS las empresas deberían usar este tipo de certificados que son perfectamente aceptados en todos los entornos seguros, democratizan el acceso a canales seguros y eliminan la dependencia de oligopolios que ponen precios ridículos sobre su validación de certificados. Pienso que debería ser legislación que las empresas del estado usen este tipo certificados (vivo en Ecuador).

[@joshuaandresblancojerez6455]

Pero el hecho de que se vean los logs de los revocados o asignados no creo que sea un beneficio en términos de seguridad para una organización.

[@tatiplatinum]

me parece bien que se use eso en los certificados de sitios de gobiernos, de esta manera son seguros y no le cuentas dinero al pueblo, que al final de cuentas es siempre quien lo paga.

[@jphvnet]

Así tienen unos dólares extra para gastarlos en sus viajes, cáterings, y salas de masajes.

[@pmorah]

Me gustaría saber qie ganan por repartir esto gratuitamemte. Vamos que hay costos de su lado y alguien los paga.

[@gmat78]

Muy buen video!! Tenes alguna idea @pelado porque cuando consumo Api's por https con certificado de Lets encrypt desde la JavaVirtualMachine me veo obligado a agregarlo con la keytool en el truststore de Java? Con otros CA no me sucede lo mismo... 🤷‍♂ si al final del dia los "navegadores" modernos SI aceptan la CA de Lets Encrypt!

[@Emi-fg7fn]

Esta respuesta la dio otro usuario más arriba (Eligio Merino): El tráfico seguro en Java no acepta Let's Encrypt porque no lo considera un CA válida. En esos casos, sí es necesario comprar uno $$$ para que las conexiones SSL/TLS externas las acepte Java como seguras. Otro usuario comento que se debe de hacer lo que tu mencionas

[@gmat78]

@@Emi-fg7fn entiendo lo que mencionas. En algún punto me pregunta iba orientada, a entender porque los navegadores actuales (Chrome, Firefox, etc) Si aceptan a Lets Encrypt como una CA como valida, mientras que Java No. No termino de entender las razones técnicas bajo las cuales Java no podría en una actualización agregar el CA dentro de su truststore. O tal vez la hay pero desconozco la misma o tal vez es un motivo no técnico, del estilo políticas corporativas de ponerle palos en la rueda ?

[@anyeos]

@@gmat78 y qué versión de java sería porque la open java usa los certificados del sistema. La java privativa capaz que no lo incluye por un tema de cobrártelo después, anda a saber, cuando se trata de negocios las cosas no suelen tener otra razón más que comercial.

[@ivans_corner]

@@gmat78 Concuerdo con @anyeos , y agrego que para mí es un tema monetario.

[@jorgerojas4402]

Buenísimo tu humor absurdo jajajaja..... gracias por este video, excelente.

[@martincho2861]

IM-PRE-SIO-NAN-TE!

[@Natsu7Dragonil]

Sos la ostia Pelao... saludos

[@nelsonjavieravila1082]

jja pela sos un capo

[@nandofg2010]

Trabajo para una empresa de hosting, y me mata los clientes que tiene disponible en el panel de hosting un botón que dice "configurar ssl gratuito" y los HDP van y compran uno con el proceso de validación más engorroso, csr emitir el certificado validar por correo el dominio y instalarlo. Les voy a mandar este video

[@anyeos]

Lo de pagar un certificado es un seguro. Las empresas que te cobran por un certificado te están ofreciendo un seguro que te cubre sobre ciertas violaciones de seguridad. Tendría que leer que ofrecen ahora, o sea, cuáles son las condiciones bajo las cuales te cubriría el seguro. Y se supone que cuanto más caro es que te cubre un monto mayor o porque abarca más subdominios. La gracia de pagar es esa, si usas uno gratis no tenés el seguro pero hay que ver cuál es el criterio de ese seguro ya que al menos hace muchos años desde que recién empezaba lets encrypt las condiciones para que te cubra el seguro eran muy difíciles que se den, porque todo lo que te cubría era con respecto, obviamente, al certificado, si a través de una falla con el certificado había algún robo de datos privados y cosas así. Pero ahora la verdad no sé qué cubriría, por eso habría que leer cuál es el nuevo criterio.

[@LuisVazquez69]

He instalado certificados en más de 200 sitios (pagos, autofirmados, gratuitos, tipo 1, tipo2, etc) y esto es totalmente falso. Si emitis un certificado de dominio (que solo requiere que crees una cuenta en un navegador, respondas con OK a un correo o a un script en tu dominio y luego descargues la clave privada y el certificado) no tenes ningún seguro por ninguna violacion de seguridad que vaya más alla de la validación del certificado, lo cual esta garantizado por la tecnología PKI de TLS y solo implica que vos tenes control de tu cuenta de correo (y por lo tanto de tu domino). Eso es exactamente lo mismo que valida el protocolo de Let's Encrypt y media decena de otros sitios que implementan el protocolo ACME que se usa para esto. Si no sabes nada de SSL/TLS, PKI o ACME es muy facil tirar estos bolazos y que parezcan razonable, aunque técnicamente no tienen ningun sentido.

[@facundocastro6752]

Pelado: "Sacame uno" Editor: "No te saco nada. 3 Errores." JAJAJAJAJA como soy tan feliz con tan poco

[@MikeS70]

Para cerrarle la boca a los que hablan sin saber... Que en internet hay muchos. Criticar es facil no?

[@juantaday]

Buena Argentina

[@carlos84708]

igual con lo del peso esta en lo correcto 🤣

[@eduardogamez1985]

el ministerio de interior de venezuela no tiene certificado ni siqueira jejeje, de hecho casi niguna pagina del gobierno venezolano tiene certificado ni let's encrypt

[@joseriffo]

Creo que deberías haber mencionado a otro institución o empresa en lugar del Ministerio del Interior de Argentina. Habría generado más incentivos a adoptar Lets Enceypt si hubieses dicho que lo usas en alguna empresa tuya. 😂😂😂.

[@bpbrainiak]

Son de la EFF

[@cristiangiambruni4210]

Qué paseo al que subió el tweet jajajajjajaja😅..seguro es de esos que repite y repite lo que escucha

[@crismc7]

“Vamos a ver si Lets encrypt usa Lets encrypt para validar sus certificados” jajaja menos mal que si 🧐

[@OscarKlee]

Lo que no me quedo muy claro es si es tan fácil que cualquiera pueda tener un certificado de let's encrypt porque una página maliciosa no podría estar certificada? Como hacen para controlar eso y que los sistemas operativos no los saquen de sus listas de certificadores reconocidos

[@PeladoNerd]

Que sea maliciosa no lo pueden controlar, incluso los pagos tampoco. Lo que sí hacen es checkear con dominios parecidos (tienen listas de palabras que no son fáciles de certificar) Por ejemplo, seguramente no puedas hacer un certificado que tenga el nombre de un banco o tarjeta de crédito en el dominio.

[@OscarKlee]

@@PeladoNerd oh estaba mal interpretando el uso de un certificado, pensaba que aseguraba que el sitio era confiable, pero es cierto que no analizan código fuente ni nada de eso, es más para garantizar la encriptación de punto a punto, ok gracias

[@PeladoNerd]

Correcto

[@williamlopez9416]

Me estas diciendo de que puedo tener un pretexto para poder viajar cada 3 meses? jajaja ntc

[@lcolmano]

Infobae, Clarín y La Nación usan Let´s encrypt.

[@paulmess]

Mi estimado Sr. Fredrikson, estoy de acuerdo que en que ese certificado es seguro y "Good enough", pero creo que lo que apuntaba el mensaje es que hay varias entidades argentinas, con la capacidad de emitir certificados, entre otros el ministerio de Modernización y la ONTI - Oficina Nacional de Tecnologías de Información, es bueno tener entidades gubernamentales que hagan estas cosas, pero en la práctica vemos que son tan burocráticas que ni sus propios administradores las usan, ahora hay que pensar: qué hacemos? mejorar estas entidades y sus procesos o practicando un poco de Lean, las eliminamos y usamos Let's encrypt ...

[@joseysusamigos]

se lo mando en carta en bicicleta, jajaja c mamó XD

[@ricardopertuz9387]

Let's Encrypt no es autofirmado!

[@PeladoNerd]

Tal vez me expresé mal, no quise decir que LE es autofirmado. Es autofirmado cuando creas una CA nueva

[@anyeos]

@@PeladoNerd ahí me fijé y no, un certificado autofirmado es sin CA. Si creas una CA aunque nadie la conozca ya estás usando la CA para firmarlo. autofirmado es como dice la palabra se firma a sí mismo sin usar una CA, es eso.

[@PeladoNerd]

Tenés razón 👍

[@yamillazzari6611]

Automáticamente Massa después de ver este video , "reducimos en un 60% el gasto público usando el candadito Open source "

[@baphomet9435]

Milei: "El software libre es de zurdos!!!"

[@jonayamaha3215]

tema aparte, y que no tiene nada que ver con el video, ni con peladonerd, ni nada, pero lo tengo que decir, es lo que habran facturado por un certificado gratuito...

[@Sheyk871]

El que posteo ese mensaje no entiende claramente

[@Fercho47123]

8:59 jajajaj, no te saco nada

[@7x7-s1s]

Pero de seguro un funcionario cobro extra por "comprar el certificado"

[@EnanoKolosal]

La única desventaja de Let´s Encrypt es que incrementas tu superficie de ataque. Si alguien se hace con el control de tu dominio, también puede generar certificados haciéndose pasar por tu organización. Todo lo demás son ventajas :)

[@joseysusamigos]

el certificado sea o no letsencrypt si alguien toma control de tu web valiste mrd igual.

[@LuisVazquez69]

En realidad esto se aplica a cualquier certificado que tenga validación solo de dominio o de sitio, y esto aplica al 99% de los emitidos por CA comerciales que se usan en los sitios de Internet, especialmente para certificados glob como el ejemplo que introduce el video, además de que como dice otro comantario si alguien toma el control de tu DNS tu problema es MUCHO mas grave que una validacion de SSL. Como bien explica el pelado, solo los certificados con validación extendida o certificado de Organizacion no tienen este riesgo, y esos solo se usan solo en sitios muy sensibles (bancos, e-commerce) o de empresas muy grandes (en general multinacionales) pues son muchisimo más burocraticos y caros. Me preocuparía mucho más saber que versión obsoleta de Windows, antivirus o Active Directory estan usando en las oficinas de ese ministerio (donde he visto cosas impresentables), a saber si están usando Let's Encrypt, lo cual por el contrario muestra que al menos tienen a alguien con conocimiento básicos de las tecnologías y protocolos abiertos en Internet y no solo empleados públicos autómatas que piden pagar cientos o miles de dolares para poder descargar un certificado de un sitio web sin tener que pensar un minuto (lo cual por cierto, no suma ni resta nada de merito al gobierno de turno).

[@RicardoBird92]

Creo que no entendiste amigo

[@diegomoster]

¿Ya no trabajas?

La principal razón de que cosas como Let’s Encrypt existen es precisamente que es más costoso que existan sitios inseguros que dar gratis un proceso para facilitar los certificados.

[@juanandresmolina9704]

Iba a dar like pero yo mando mis certificados físicos para que los firmen también a mano... Entonces un dislike. Pero igual gran video. 👍

[@new_artiko]

primero primericimo!

[@vargasbj]

Pelado... saludos desde Costa Rica URGENTE POR FAVOR!!!!! HAZTE UN CURSO DE CÓMO UTILIZAR COMPUTADORAS MAC CON TECNOLOGÍAS DE MICROSOFT Soy programador en Java y también de tecnologías de Microsoft... por ejemplo mi sueño sería poder andar en mi mochila únicamente una iPad y poder programar en Java y también en c# usando visual studio net core!!! y poder instalar alguna base de datos etcétera

ay este nacho jaja no te saco nada jaja `eles telible`

[@GiovanniEspinozaCh]

Pelado , ¿Por qué nunca te vemos tomar mate?

[@PeladoNerd]

No tomo mate

[@T0berius]

CA pagos ... meh... uso Let's Encrypt.

[@devtao]

ahahahhahahah despues de 3 meses se te vencio el certificado xD

[@oojacko]

tercer coment

[@ZReChannel]

a ese alfajor le hace falta relleno

[@ssupercrack]

Hola querido Sr Pelado, puedes hablar sobre ssl a travez de CloudFlare porfavor. Gracias.

[@domingotatis5889]

GRUPIENTO ajajaja

[@_PulpoPaul]

Alfajor carioca se recibió de pelotudo! Felicitaciones!