{"id":1631,"date":"2020-06-02T17:58:06","date_gmt":"2020-06-02T15:58:06","guid":{"rendered":"https:\/\/dev.buddydevs.com\/miguel\/ssl-fehler-30-mai-2020\/"},"modified":"2026-09-12T11:57:16","modified_gmt":"2026-09-12T11:57:16","slug":"error-de-ssl-30-de-mayo-de-2020","status":"publish","type":"post","link":"https:\/\/dev.buddydevs.com\/miguel\/es\/ssl-fehler-30-mai-2020\/","title":{"rendered":"Error SSL 30 de mayo de 2020"},"content":{"rendered":"<p class=\"wp-block-paragraph\">El 30 de mayo de 2020 vivimos una situaci\u00f3n rara en la infraestructura p\u00fablica de clave del Internet: dos de los certificados principales caducaron, siendo cada uno firmado por una de las otras entidades de verificaci\u00f3n SSL.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Te\u00f3ricamente, esto no es algo inusual. Los certificados caducan constantemente (normalmente en un a\u00f1o o incluso en 90 d\u00edas, si utiliza Let\u2019s Encrypt), y los certificados de las entidades de certificaci\u00f3n caducan despu\u00e9s de algunos a\u00f1os. Pero el 30 de mayo, la entidad de certificaci\u00f3n caducada abord\u00f3 un problema fundamental que hizo que nuestra API no estuviera disponible para algunos de nuestros clientes.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">El 30 de mayo, cuando expiraron los certificados de las autoridades de certificaci\u00f3n, recibimos solicitudes de soporte informando que hab\u00eda un problema con el certificado de nuestro servicio. Esta fue una noticia inesperada, ya que cuidadosamente verificamos si nuestros certificados eran v\u00e1lidos y no se iban a caducar en un futuro previsible. Una r\u00e1pida verificaci\u00f3n en el navegador tambi\u00e9n confirm\u00f3 que todo parec\u00eda estar bien y que la API estaba respondiendo correctamente.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Al analizar las estad\u00edsticas de nuestra infraestructura, observamos que el n\u00famero de solicitudes API ha disminuido, pero lejos de ser nulo, como se habr\u00eda esperado en caso de una interrupci\u00f3n completa del SSL. Cuando las cosas no funcionan completamente, a menudo es m\u00e1s f\u00e1cil detectar lo que no funciona que en situaciones en las que algunas cosas funcionan y otras no.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Una exhaustiva investigaci\u00f3n finalmente revel\u00f3 que tambi\u00e9n hab\u00eda problemas en otros servicios en Internet. En poco tiempo encontramos pistas sobre la causa: <a href=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/14.jpg\">https:\/\/support.sectigo.com\/articles\/Knowledge\/Sectigo-AddTrust-External-CA-Root-Expiring-May-30-2020<\/a><\/p>\r\n\r\n\r\n\r\n<figure class=\"wp-block-image size-large\"><img decoding=\"async\" class=\"wp-image-8848\" src=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/rtaImage.jpg\" alt=\"\" \/>\r\n<figcaption>Fuente: <a href=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/14.jpg\">https:\/\/support.sectigo.com\/articles\/Knowledge\/Sectigo-AddTrust-External-CA-Root-Expiring-May-30-2020<\/a><\/figcaption>\r\n<\/figure>\r\n\r\n\r\n\r\n<ul class=\"wp-block-list\">\r\n<li>El certificado de nuestra entidad de certificaci\u00f3n intermedia Sectigo RSA Organization Validation Secure Server CA era v\u00e1lido.<\/li>\r\n<li>En el camino 1, el certificado de ra\u00edz USERTrust RSA Certification Authority era v\u00e1lido y toda la cadena era v\u00e1lida.<\/li>\r\n<li>En el camino 2, el certificado de nuestra autoridad de certificaci\u00f3n principal, USERTrust RSA Certification Authority, se emiti\u00f3 el 30 de mayo a las 10:48 UTC.<\/li>\r\n<li>El certificado de la autoridad de certificaci\u00f3n de ra\u00edces AddTrust External CA Root, que cruz\u00f3 de forma simult\u00e1nea la firma del certificado de USERTrust RSA, expir\u00f3 el 30 de mayo a las 10:48 UTC.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Esta fue una situaci\u00f3n interesante. Hab\u00eda un camino v\u00e1lido hacia la autoridad de certificaci\u00f3n RSA de USERTrust, y tambi\u00e9n hab\u00eda un camino caducado. El navegador era capaz de encontrar la cadena v\u00e1lida, pero la herramienta no pudo encontrarla. El test realizado por Quality SSL Labs demostr\u00f3 que el sistema funcionaba y que la configuraci\u00f3n de certificados funcionaba correctamente.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Nuestro equipo comenz\u00f3 con la segunda modificaci\u00f3n de nuestro certificado p\u00fablico y intent\u00f3 restablecer el servicio para los clientes que quedaban, y poco despu\u00e9s del despliegue les confirm\u00f3 que podr\u00edan volver a acceder al servicio. El incidente hab\u00eda terminado finalmente, y el servicio fue restablecido para todos los clientes. Pero \u00bfpor qu\u00e9 algunos de nuestros clientes perdieron el acceso en primer lugar, si incluso el esc\u00e1ner SSL indica que el certificado es v\u00e1lido?<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">El certificado era, de hecho, v\u00e1lido, y toda la cadena de certificados fue generada de manera bastante correcta por la entidad de certificaci\u00f3n Comodo\/Sectigo (el uso de un certificado durante el fin de semana no es una buena pr\u00e1ctica). Lo que no estaba previsto era la forma en que las bibliotecas de clientes abordar\u00e1n esta situaci\u00f3n, principalmente OpenSSL, que es la que opera la gran mayor\u00eda de HTTPS en el mundo. Durante el an\u00e1lisis del incidente, nos topamos con un interesante error de OpenSSL de 2014 que dice lo siguiente:<\/p>\r\n\r\n\r\n\r\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\r\n<p><em>No utilice certificados caducados si es posible.<\/em><br \/><em>Al buscar el emisor de un certificado, si el candidato actual ha caducado, contin\u00fae buscando. Devuelva un certificado caducado solo si no se encuentran certificados v\u00e1lidos.<\/em><\/p>\r\n<cite>Fuente: <a href=\"https:\/\/github.com\/openssl\/openssl\/commit\/0930251df814f3993bf2c598761e0c7c6d0d62a2\">https:\/\/github.com\/openssl\/openssl\/commit\/0930251df814f3993bf2c598761e0c7c6d0d62a2<\/a><\/cite><\/blockquote>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Esto significa que antes de implementar este cambio, OpenSSL siempre declara el certificado como inv\u00e1lido cada vez que detecta un certificado inv\u00e1lido en la cadena. Despu\u00e9s de implementar este cambio, OpenSSL pasa por alto el certificado caducado y busca de manera correcta otros certificados adicionales que puedan demostrar que el certificado es v\u00e1lido. Este peque\u00f1o cambio se adapta a la forma de la cadena de certificados: una \u00fanica entidad de certificaci\u00f3n puede ser firmada por varias entidades de certificaci\u00f3n, algunas de las cuales a\u00fan son v\u00e1lidas y otras ya no lo son. Todo esto parece genial, \u00bfpor qu\u00e9 entonces las consecuencias?<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Si seguimos explorando, esta modificaci\u00f3n en OpenSSL solo es parte de OpenSSL 1.1.1 y no de OpenSSL 1.0.x. Esto significa, por ejemplo, que todas las versiones de Ubuntu 16.04 y anteriores, Debian 9 y anteriores, CentOS 7 y anteriores o RedHat 7 y anteriores est\u00e1n afectadas, pero todas ellas siguen siendo versiones generalmente soportadas, al menos desde el punto de vista de la seguridad.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Pero \u00bfpor qu\u00e9 los navegadores verificaron correctamente los certificados? Los navegadores se proporcionan con sus propias bibliotecas SSL\/TLS y sus propios m\u00e9todos para verificar la PKI. Chrome se proporciona con BoringSSL y Firefox con NSS, independientemente de las bibliotecas SSL\/TLS del sistema operativo subyacente; no tiene el mismo error y se actualiza mucho m\u00e1s a menudo.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Ahora finalmente tenemos una imagen completa de lo que sucedi\u00f3 y por qu\u00e9 solo algunas implementaciones de backend de algunos clientes fueron afectadas, adem\u00e1s de por qu\u00e9 algunos sistemas ten\u00edan almacenes de certificados obsoletos que requer\u00edan un certificado ra\u00edz mucho m\u00e1s antiguo.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">\u00bfQu\u00e9 sigue? Contactamos a los clientes afectados y les explicamos lo que ha sucedido. Mejoramos nuestra herramienta de verificaci\u00f3n de certificados para verificar el proceso en toda la cadena, y no solo nuestro certificado.<\/p>\r\n\r\n\r\n\r\n<h2 class=\"wp-block-heading\">FAQ<\/h2>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>\u00bfFue la indisponibilidad del servicio causada por un problema en los servidores de LOX24?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">No, el servicio sigui\u00f3 funcionando pero no estaba disponible para sistemas antiguos.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>\u00bfQu\u00e9 deber\u00eda hacer para evitar que en el futuro se produzca una situaci\u00f3n similar con LOX24 o con otros servicios?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Actualice su OpenSSL a al menos la versi\u00f3n 1.1.1 y LibreSSL a al menos la versi\u00f3n 3.2.0. Actualice tambi\u00e9n sus almacenes de certificados, en Linux a menudo como un paquete llamado \u201eca-certificates\u201c.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>\u00bfHa caducado el certificado de LOX24?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">No, el certificado de LOX24 no expir\u00f3 y sigue siendo v\u00e1lido. Lo que expir\u00f3 fue una de las 3 versiones de los certificados de CA de las entidades de certificaci\u00f3n que firmaron nuestro certificado.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>\u00bfSe vio afectado alg\u00fan otro proveedor o era el problema espec\u00edfico de LOX24?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Lamentablemente, tambi\u00e9n hab\u00eda otros proveedores afectados: Heroku, Stripe, kernel.org, Datadog, Gandi.net y muchos otros.<\/p>","protected":false},"excerpt":{"rendered":"<p>Am 30. Mai 2020 erlebten wir eine seltene Situation in der Public-Key-Infrastruktur des Internets, als zwei der Stammzertifikate ausliefen, eine von der anderen SSL Verifizierungsstelle jeweils gegengezeichnet. Theoretisch ist dies nichts Ungew\u00f6hnliches. Zertifikate laufen st\u00e4ndig ab (normalerweise in einem Jahr oder sogar in 90 Tagen, wenn Sie Let&#8217;s Encrypt verwenden), und die Zertifikate der Zertifizierungsstellen [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"slim_seo":{"title":"Error SSL 30 de mayo de 2020 - LOX24","description":"El 30 de mayo de 2020 vivimos una situaci\u00f3n rara en la infraestructura p\u00fablica de clave del Internet, cuando dos de los certificados principales caducaron, uno por el otro."},"_slim_seo_primary_term_category":0,"_slim_seo_primary_term_post_tag":0,"footnotes":""},"categories":[9,22,93],"tags":[72],"class_list":["post-1631","post","type-post","status-publish","format-standard","hentry","category-allgemein-es","category-sms-gateway","category-viejo","tag-ssl"],"acf":[],"_links":{"self":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/posts\/1631","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/comments?post=1631"}],"version-history":[{"count":1,"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/posts\/1631\/revisions"}],"predecessor-version":[{"id":1827,"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/posts\/1631\/revisions\/1827"}],"wp:attachment":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/media?parent=1631"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/categories?post=1631"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/es\/wp-json\/wp\/v2\/tags?post=1631"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}