Mozilla will HTTP ausrangieren

Bin dafür.

oder halt ein riesiger button der die seite dann doch öffnen lässt

Es ist die Zukunft, keine Frage. Jetzt muss nur noch dasselbe mit IPv6 gemacht werden. Weil SSL-Zertifikat bei Name-based Hosting braucht immer eine eigene IP pro Webseite und die werden langsam teurer als die Zertifikate selbst.

Und günstigere Wildcard-Zertifikate wären auch ein Hit.

Mit SNI kann man das umgehen, das muss allerdings der Web Server (nginx, Apache >= 2.2.12) und der Browser unterstützen. Aber du hast recht, heutzutage kann man für eine Webseite wie zB oc.at die Limitierung umgehen. Ein normaler Hoster wird wahrscheinlich noch abwarten.

Gut zu wissen, danke.

ich kann der idee auch nichts abgewinnen.
vorallem weil ja die CRLs ja großteils per http ausgeliefert werden.
da habens ein paar profis sitzen.

bei der zertifikatsvalidierung muss ich (ich weiß dass es google nicht mehr macht) die CRL abrufen. wenn die CRL per SSL abgerufen wird, muss ich auch das zertifikat der zugrundeliegenden SSL-verbindung für die CRL-file vorab validieren. das wird zum henne ei problem, außer ich truste dem signaturgeber der CRL file nur können dann nur noch die root-cas die crls signieren - die sind aber großteils offline und signieren ausschließlich die intermediates bzw. CRLs mit längerer gültigkeit.

edit:
abgesehen davon werden dann sachen wie SSL-inspection unabdingbar für viele unternehmen. der druck es zu erlauben wird ziemlich groß. im endeffekt ist dann die situation schlechter als sie aktuell ist. nur nur damit ein 0815 blogger, wikipedia und amazon auch per SSL ihren "schützenswerten" content ausliefern?
klar kann SSL die privacy schützen, das kann aber wohl kaum ihr anreiz sein: dann müssteich mozilla und google eine doppelmoral unterstellen, da sie genau mit diesen daten ihre produkte finanzieren.

bist du dir sicher dass crl abgelöst ist?
ich habe eher die befürchtung dass certificate revoking nicht ordentlich funktioniert, da es viele clients aus performance gründen nicht überprüfen, als dass OCSP CRLs tatsächlich ablösen wird.

edit:
abgesehen davon:
was bringt es eine CRL verschlüsselt zu übertragen? das ist public information, die man ohnehin nicht verheimlichen kann wenn dem eine SSL-handshake mit einer IP vorhergeht. die CRL ansich ist ja auch signiert - nur könnte man sie später nicht mehr per HTTP abholen.

bin dagegen, da dadurch nur noch viel mehr insecure CAs aus dem boden gestampft werden ohne einen mehrwert an sicherheit zu bieten.
es wird sogar noch unsicherer weil diese insecure CAs, dann aufgrund schlechter prüfungen ein zertifikat für von mir aus google.com ausstellen können. diese probleme muss man zuerst adressieren. hier wird durch die finanzierung von CAs blödsinnig geld verbraten.

das henne ei problem ist ja künstlich geschaffen, da man eine public information, die auch aus privacy sicht nicht abstreitbar ist, plötzlich ausschließlich über SSL verschicken will.

edit: abgesehen davon funktioniert OCSP aus dem von mir genannten grund genauso über http wie CRL.