Hacker News Digest

Mozilla представила SSL Configuration Generator — инструмент для создания безопасных конфигураций SSL/TLS для различных серверных программ. Генератор поддерживает 22 популярных ПО, включая Apache, nginx, HAProxy, Tomcat, Postfix и другие. Пользователи могут выбрать один из трех уровней конфигураций: Modern для сервисов с поддержкой TLS 1.3, Intermediate для универсальных серверов и Old для устаревших клиентов. Интегрирована функция автоматического перенаправления на HTTPS, а также возможность копирования готовых конфигураций.

Инструмент предоставляет гибкие настройки в зависимости от окружения, включая версию сервера и OpenSSL. Mozilla предлагает дополнительные ресурсы для обеспечения безопасности: от собственных рекомендаций по TLS до тестирования серверов через Qualys SSL Labs. Проект открыт для сообщества — пользователи могут сообщать об ошибках или добавлять поддержку нового ПО. Генератор регулярно обновляется, что гарантирует актуальность конфигураций в условиях постоянно меняющихся угроз безопасности.

• Упомянуты инструменты для проверки безопасности: сканер заголовков безопасности (securityheaders.com), проверка TLS (ssllabs.com), CLI-сканер для локальных/автоматизированных проверок.
• Поднимается вопрос устаревания термина "SSL" в пользу "TLS", но аргументируется его сохранение из-за обратной совместимости, привычки и исторической преемственности (Mozilla).
• Критика инструментов: отсутствие поддержки mTLS, использование устаревших терминов (AWS ELB), риск "слепого" применения заголовков безопасности, вопрос о целесообразности кастомных конфигураций вместо улучшения настроек по умолчанию в ПО.
• Отмечена сложность и нишевость mTLS (требует клиентских сертификатов, часто своего CA), что объясняет его отсутствие в конфигураторе.

• Пользователи выражают сожаление по поводу прекращения поддержки ingress-nginx, называя его стабильным и работающим решением.
• Обсуждается необходимость миграции на Gateway API, но возникают вопросы о сроках (6 месяцев недостаточно) и совместимости с существующими настройками.
• Упоминаются альтернативы: Traefik (с поддержкой совместимости), HAProxy Gateway, Envoy Gateway, Istio, но подчеркиваются их недостатки и сложность перехода.
• Поднимается тема излишней сложности современных технологий и недовольства тем, что стабильные решения заменяются без достаточных оснований.
• Указывается, что проект долгое время поддерживался одним инженером, а после его ухода F5 (владелец NGINX) не взяла на себя обязательства.