Посты

☝️ Роскомнадзор массово банит Cloudflare

🤡 OCSP/CRL у сертификатов Letsencrypt на домене, который терминируется в Cloudflare

🚬 Кто понял эти слова — напряглись :)

Вынесу из каментов (спасибо). Что означают эти пугающие слова 🙂

Коротко:
Роскомнадзор начал выборочно (а кое-где «массово») резать IP-сети Cloudflare.
У Let’s Encrypt все сервисы проверки отозванных сертификатов — OCSP (o.lencr.org) и CRL (c.lencr.org) — раздаются через домен lencr.org, который технически «подвешен» на узлах Cloudflare.
Когда трафик к Cloudflare режется, браузер или другое ПО в РФ не может дотянуться до этих URL-ов и узнать, не отозван ли сертификат. Отсюда паникуют те, кто понимает, что написано в твите 😉

⸻

1. Что такое OCSP и CRL

Аббревиатура Для чего нужна Как работает
CRL (Certificate Revocation List) «Телефонный справочник» уже отозванных сертификатов Крупный файл по HTTP•HTTPS, обновляется периодически
OCSP (Online Certificate Status Protocol) «Справочная по одному номеру» — точечный онлайн-запрос статуса Лёгкий HTTP-запрос к o.lencr.org, ответ подписан CA

Оба механизма нужны клиенту, чтобы удостовериться, что сертификат сайта ещё действителен и его не скомпрометировали.

⸻

2. Почему блок Cloudflare = проблемы с Let’s Encrypt
1. lencr.org обслуживается Cloudflare. Запросы к OCSP/CRL идут через IP-адреса AS13335.
2. РКН режет эти IP. Пользователи в ряде регионов РФ уже замечают, что «не открываются сайты/игры», особенно через провайдеров, применяющих DPI-фильтры.
3. Клиент не получает ответ от OCSP → статус «unknown». Большинство современных браузеровSoft-fail’ят (просто продолжают соединение), но:
• старый Windows, Java, OpenSSL с жёсткой политикой, корпоративные прокси/IDS могут завалить соединение;
• TLS-конфигурации с флагом OCSP Must-Staple упадут сразу.

Итог — где-то это просто предупреждение, а где-то полный «SSL-error».

⸻

3. Насколько всё критично
• Для обычных браузеров — чаще всего заметите лишь задержку или отсутствие проблемы: Firefox/Chrome с 2012 г. делают soft-fail.
• Предприятия, банки, гос-системы с «строгой» проверкой уже фиксируют сбои (почтовые клиенты, АПКИБ, IDS).
• Серверы: если вы хозяин сайта и включите OCSP Stapling, клиенту ответ уже придёт в самом TLS-рукопожатии — запрос к Cloudflare не нужен.

⸻

4. Что можно сделать прямо сейчас

Для пользователей
* Подключить любой VPN/прокси, выводящий трафик за пределы РФ. * Во временном порядке отключить строгую проверку CRL/OCSP в антивирусе или прокси. *

Для администраторов сайтов
Включить OCSP Stapling и, при желании, резервный CA. * При жёстких требованиях перейти на CA, чьи OCSP-серверы не сидят на Cloudflare (например, Sectigo, DigiCert). * Следить за зеркалами lencr.org или кешировать OCSP локально.



⸻

5. А дальше?
• Let’s Encrypt уже объявил, что 6 августа 2025 полностью отключит свои OCSP-сервера; перед этим с 7 мая они перестанут вписывать OCSP-URL в новые сертификаты.
• Большинство браузеров перейдёт на механизм CRLite/OneCRL в фоновых обновлениях.
• Так что нынешняя проблема со временем «рассосётся» сама, но до августа сайты, требующие Must-Staple, останутся уязвимыми к блокировкам Cloudflare.
• РКН блокирует Cloudflare уже не впервые; предыдущие волны длились от часов до недель. Сейчас (середина июня 2025) блок всё ещё активен в Поволжье, Сибири и на Дальнем Востоке.

⸻

Главное

Твит пугает тех, кто знает термины, потому что цепочка выглядит так:

Блок Cloudflare → lencr.org недоступен → (OCSP/CRL) ревокация не проверяется → часть SSL-соединений падает.

Для рядового юзера это значит: используйте VPN или ждите, пока провайдеры (или РКН) откатят фильтр.
Для админов: включайте OCSP Stapling/CRLite или временно переключайтесь на иную CA, если сервис критичен.

💵 У меня локальный финансовый кризис

❤️ Посему покупайте мой VPN:
https://t.me/FarscapeBot

🧌 Потому что я красивый, а все остальные другие красивые

Там ПМЭФ сейчас

Петербуржцы жалуются на внезапное исчезновение мобильного интернета. Судя по сообщениям читателей, сбои касаются прежде всего Юго-Западной части города — в частности, Красносельского района и Стрельны.

«В Красносельском районе, там где над головой летают самолеты, с 23:00 вчерашнего дня нет мобильного интернета», — пишет один из читателей.

@fontankaspb

В современном мире, пожалуй, каждый интернет-пользователь, а в особенности создатель контента — вне зависимости от количества подписчиков, может называть себя блогером.

Как автор скромного по меркам Telegram канала, в Международный день блогера с радостью замечаю, как он самоочищается от ботов. Число подписчиков сокращается за счёт деактивации ботов. Их неоднократно насылали на канал — наверняка, с добрыми намерениями. Но я уверен, что количество не всегда означает качество.

Желаю каждому, кто может назвать себя блогером, осознавать свою ответственность перед читателями — время безнаказанности за неосторожно, а порой даже осознанно написанное слово, покрытое маской анонимности, уже позади. Нужно очень вдумчиво относиться к созданию и публикованию контента, чтобы ненароком не ввести людей в заблуждение и не стать соучастником распространения дезинформации.

❗️Россия в качестве ответной меры вводит ограничение доступа со своей территории к веб-ресурсам пятнадцати СМИ государств ЕС, заявили в МИД.

Такой прямо зайка. Поздравил угрозами, три тысячи чертей!!!

Не знаю кто такая и какую должность занимает некто Россия, которая вводит ограничения (ох уж эти одушевления абстракций), но вы знаете что делать —

https://t.me/FarscapeBot доступ к 15 ограниченным СМИ и мой обед!!

Роскомнадзор защитит духовно-нравственные ценности

Приняты изменения в Положение ‎о Роскомнадзоре (утв. постановлением от 16 марта 2009 г. № 228).
Функции Роскомнадзора дополнены новым полномочием -
- осуществляет мероприятия по обеспечению соответствия деятельности службы целям и задачам государственной политики по сохранению и укреплению традиционных российских духовно-нравственных ценностей.

Постановление от 26.06.2025 № 959
- http://publication.pravo.gov.ru/document/0001202506260036

Проект был размещен ранее -
- http://regulation.gov.ru/p/155828
- https://t.me/Telecomreview/13034

Экс-глава «Роскосмоса» Рогозин обиделся на шутку в КВН и пригрозил участникам команды отправкой на СВО.

По странной случайности, над сенатором Дмитрием Рогозиным пошутили участники команды «Негоден», которые выступали в 1/4 Высшей Лиги КВН. Эфир вышел 10 дней назад. Шутка, кажется, вышла вполне безобидной:

— Командир, я остаюсь, у меня тут девушка появилась.
— Парень, ты чего, космос на телку не меняют!
— Это кто сказал?
— Это было в докторской Рогозина.

Но Дмитрию Олеговичу юмор не зашел. В телеграм-канале он написал, что уже знает, к какому военкомату приписаны юмористы, а автора шутки назвал «бесталанным чмом».

Вместо унылого говна, в которое превратился КВН, мы им дадим настоящие КВНы – ударные дроны «Князь Вандал Новгородский», довезём до переднего края и пожелаем боевой удачи. А когда вернутся, вместе посмеёмся над их неудачной, несмешной и пошлой шуткой в эфире Первого канала.

❗ Подписывайтесь, это Baza