{"id":1631,"date":"2020-06-02T17:58:06","date_gmt":"2020-06-02T15:58:06","guid":{"rendered":"https:\/\/dev.buddydevs.com\/miguel\/ssl-fehler-30-mai-2020\/"},"modified":"2026-09-12T11:57:16","modified_gmt":"2026-09-12T11:57:16","slug":"ssl-error-30-maja-2020","status":"publish","type":"post","link":"https:\/\/dev.buddydevs.com\/miguel\/pl\/ssl-fehler-30-mai-2020\/","title":{"rendered":"B\u0142\u0105d SSL 30 maja 2020"},"content":{"rendered":"<p class=\"wp-block-paragraph\">30 maja 2020 roku zaobserwowali\u015bmy niezwyk\u0142\u0105 sytuacj\u0119 w infrastrukturze publicznego klucza internetu: dwa z g\u0142\u00f3wnych certyfikat\u00f3w wygas\u0142y jednocze\u015bnie, co oznacza\u0142o, \u017ce ka\u017cda z certyfikuj\u0105cych jednostek SSL wygas\u0142a.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Zasadniczo nie jest to nic niezwyk\u0142ego. Certyfikaty wygasaj\u0105 stale (zwykle w ci\u0105gu roku lub nawet w 90 dni, je\u015bli u\u017cywasz us\u0142ugi Let\u2019s Encrypt), a certyfikaty organ\u00f3w certyfikacji wygasaj\u0105 po kilku latach. Jednak 30 maja wygasaj\u0105ca certyfikacja ujawni\u0142a podstawowy problem, kt\u00f3ry spowodowa\u0142, \u017ce nasza API nie by\u0142a dost\u0119pna dla niekt\u00f3rych naszych klient\u00f3w.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">30 maja, gdy wygas\u0142y certyfikaty wydane przez organy certyfikacji, otrzymali\u015bmy zg\u0142oszenia od u\u017cytkownik\u00f3w, \u017ce wyst\u0105pi\u0142 problem z certyfikatem naszego serwisu. To by\u0142a niespodziewana wiadomo\u015b\u0107, poniewa\u017c starannie sprawdzamy, czy nasze certyfikaty s\u0105 aktualne i nie wygasn\u0105j\u0105 w najbli\u017cszej przysz\u0142o\u015bci. Szybka kontrola w przegl\u0105darce potwierdzi\u0142a r\u00f3wnie\u017c, \u017ce wszystko wydawa\u0142o si\u0119 normalne i \u017ce API dzia\u0142a\u0142o poprawnie.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Przegl\u0105daj\u0105c statystyki naszej infrastruktury, zauwa\u017cyli\u015bmy, \u017ce liczba wywo\u0142a\u0144 API spad\u0142a, ale wcale nie by\u0142a ona zbli\u017cona do zeru, jak mog\u0142oby si\u0119 spodziewa\u0107 w przypadku ca\u0142kowitego awarii SSL. Gdy rzeczy nie dzia\u0142aj\u0105 w pe\u0142ni, cz\u0119sto \u0142atwiej jest zauwa\u017cy\u0107, czego nie ma, ni\u017c w sytuacjach, gdy niekt\u00f3re rzeczy dzia\u0142aj\u0105, a inne nie.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Pe\u0142na analiza w ko\u0144cu wykaza\u0142a, \u017ce podobne problemy wyst\u0105pi\u0142y r\u00f3wnie\u017c w innych serwisach internetowych. Wkr\u00f3tce uda\u0142o nam si\u0119 ustali\u0107 przyczyn\u0119: <a href=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/14.jpg\">https:\/\/support.sectigo.com\/articles\/Knowledge\/Sectigo-AddTrust-External-CA-Root-Expiring-May-30-2020<\/a><\/p>\r\n\r\n\r\n\r\n<figure class=\"wp-block-image size-large\"><img decoding=\"async\" class=\"wp-image-8848\" src=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/rtaImage.jpg\" alt=\"\" \/>\r\n<figcaption>\u0179r\u00f3d\u0142o: <a href=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/14.jpg\">https:\/\/support.sectigo.com\/articles\/Knowledge\/Sectigo-AddTrust-External-CA-Root-Expiring-May-30-2020<\/a><\/figcaption>\r\n<\/figure>\r\n\r\n\r\n\r\n<ul class=\"wp-block-list\">\r\n<li>Certyfikat naszej jednostki certyfikuj\u0105cej Sectigo RSA Organization Validation Secure Server CA by\u0142 wa\u017cny.<\/li>\r\n<li>W \u015bcie\u017cce 1 certyfikat root USERTrust RSA Certification Authority by\u0142 wa\u017cny, a ca\u0142y \u0142a\u0144cuch by\u0142 wa\u017cny.<\/li>\r\n<li>W ramach etapu 2 certyfikat naszej g\u0142\u00f3wnej jednostki certyfikuj\u0105cej, USERTrust RSA Certification Authority, wygas\u0142 w dniu 30 maja o godzinie 10:48 UTC.<\/li>\r\n<li>Certyfikat Root Certificate Authority AddTrust External CA Root, kt\u00f3ry krzy\u017cowo podpisywa\u0142 certyfikat firmy USERTrust RSA, wygas\u0142 w dniu 30 maja o godzinie 10:48 UTC.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">By\u0142o to ciekawe zagadnienie. Istnia\u0142 prawid\u0142owy spos\u00f3b dost\u0119pu do certyfikowanej przez USERTrust RSA Authority, a tak\u017ce nieaktualny spos\u00f3b dost\u0119pu. Przegl\u0105darka by\u0142a w stanie znale\u017a\u0107 prawid\u0142ow\u0105 sekwencj\u0119, ale certyfikator nie by\u0142 w stanie jej znale\u017a\u0107. Test przeprowadzony przez Quality SSL Labs wykaza\u0142, \u017ce system dzia\u0142a\u0142 poprawnie, a konfiguracja certyfikatu by\u0142a prawid\u0142owa.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Nasz zesp\u00f3\u0142 rozpocz\u0105\u0142 drug\u0105 zmian\u0119 naszego publicznego certyfikatu i pr\u00f3bowa\u0142 przywr\u00f3ci\u0107 us\u0142ug\u0119 dla pozosta\u0142ych klient\u00f3w; zaraz po wdro\u017ceniu potwierdzi\u0142 im, \u017ce mog\u0105 ponownie j\u0105 uzyska\u0107. Incydent w ko\u0144cu si\u0119 zako\u0144czy\u0142 i us\u0142uga zosta\u0142a ponownie dost\u0119pna dla wszystkich klient\u00f3w. Ale dlaczego niekt\u00f3rzy z naszych klient\u00f3w w og\u00f3le stracili dost\u0119p, skoro nawet skaner SSL stwierdza, \u017ce certyfikat jest wa\u017cny?<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Certyfikat by\u0142 rzeczywi\u015bcie wa\u017cny, a ca\u0142y \u0142a\u0144cuch certyfikacji zosta\u0142 do\u015b\u0107 prawid\u0142owo wygenerowany przez certyfikacj\u0119 Comodo\/Sectigo (rozpoczynanie wa\u017cno\u015bci certyfikatu w weekend nie jest dobrym rozwi\u0105zaniem). To, czego nie przewidywano, to spos\u00f3b, w jaki biblioteki klienta b\u0119d\u0105 radzi\u0107 sobie z t\u0105 sytuacj\u0105 \u2013 przede wszystkim OpenSSL, kt\u00f3ry obs\u0142uguje zdecydowan\u0105 wi\u0119kszo\u015b\u0107 HTTPS na \u015bwiecie. Podczas analizy incydentu natkn\u0119li\u015bmy si\u0119 na interesuj\u0105cy b\u0142\u0105d OpenSSL z 2014 roku, kt\u00f3ry brzmi nast\u0119puj\u0105co:<\/p>\r\n\r\n\r\n\r\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\r\n<p><em>Nie u\u017cywaj wygas\u0142ych certyfikat\u00f3w, je\u015bli to mo\u017cliwe.<\/em><br \/><em>W przypadku wyszukiwania emitenta certyfikatu, je\u015bli aktualny kandydat wygas\u0142, nale\u017cy kontynuowa\u0107 wyszukiwanie. Warto\u015b\u0107 certyfikatu wygas\u0142ego zostanie zwr\u00f3cona jedynie w przypadku braku wa\u017cnych certyfikat\u00f3w.<\/em><\/p>\r\n<cite>\u0179r\u00f3d\u0142o: <a href=\"https:\/\/github.com\/openssl\/openssl\/commit\/0930251df814f3993bf2c598761e0c7c6d0d62a2\">https:\/\/github.com\/openssl\/openssl\/commit\/0930251df814f3993bf2c598761e0c7c6d0d62a2<\/a><\/cite><\/blockquote>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Oznacza to, \u017ce przed wdro\u017ceniem tej zmiany program OpenSSL, ka\u017cdorazowo, gdy wykryje w \u0142a\u0144cuchu nieprawid\u0142owe certyfikaty, uznaje je za nieprawid\u0142owe i odmawia po\u0142\u0105czenia. Po wdro\u017ceniu tej zmiany program OpenSSL pomija wygas\u0142y certyfikat i szuka dalej dodatkowych certyfikat\u00f3w, kt\u00f3re mog\u0105 potwierdzi\u0107 jego wa\u017cno\u015b\u0107. Ta niewielka zmiana dostosowuje si\u0119 do struktury \u0142a\u0144cucha certyfikat\u00f3w \u2013 jedna certyfikacja mo\u017ce by\u0107 podpisana przez kilka certyfikuj\u0105cych organ\u00f3w, z kt\u00f3rych niekt\u00f3re s\u0105 nadal wa\u017cne, a inne ju\u017c nie. Wszystko wygl\u0105da \u015bwietnie, dlaczego wi\u0119c ma to konsekwencje?<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Je\u015bli si\u0119 poszerzymy, to ta zmiana w OpenSSL to jedynie cz\u0119\u015b\u0107 wersji 1.1.1, a nie cz\u0119\u015b\u0107 wersji 1.0.x. Oznacza to, \u017ce dotyczy to wszystkich wersji systemu Ubuntu 16.04 i starszych, Debian 9 i starszych, CentOS 7 i starszych lub RedHat 7 i starszych, ale wszystkie te wersje s\u0105 nadal og\u00f3lnie wspierane, przynajmniej z punktu widzenia bezpiecze\u0144stwa.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Ale dlaczego przegl\u0105darki poprawnie weryfikowa\u0142y certyfikaty? Przegl\u0105darki s\u0105 dostarczane z w\u0142asnymi bibliotekami SSL\/TLS oraz w\u0142asnymi metodami weryfikacji PKI. Chrome jest dostarczane z BoringSSL, a Firefox z NSS, niezale\u017cnie od bibliotek SSL\/TLS wbudowanego systemu operacyjnego; nie ma on tego samego problemu i jest aktualizowany znacznie cz\u0119\u015bciej.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">A teraz wreszcie mamy pe\u0142ny obraz tego, co si\u0119 wydarzy\u0142o i dlaczego dotyczy\u0142y one jedynie implementacji bazy danych niekt\u00f3rych klient\u00f3w oraz dlaczego niekt\u00f3re systemy mia\u0142y przestarza\u0142e pliki certyfikat\u00f3w, kt\u00f3re wymaga\u0142y znacznie starszego podstawowego certyfikatu.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Co dalej? Kontaktujemy si\u0119 z dotkni\u0119tymi klientami i wyja\u015bniamy, co si\u0119 sta\u0142o. Poprawiamy nasze narz\u0119dzie do sprawdzania certyfikat\u00f3w, aby sprawdzi\u0107 procedury w ca\u0142ej \u0142a\u0144cuchu, a nie tylko nasze w\u0142asne certyfikaty.<\/p>\r\n\r\n\r\n\r\n<h2 class=\"wp-block-heading\">FAQ<\/h2>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>Czy niedost\u0119pno\u015b\u0107 us\u0142ugi by\u0142a spowodowana problemami na serwerach LOX24?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Nie, us\u0142uga nadal dzia\u0142a\u0142a, ale nie by\u0142a dost\u0119pna dla starszych system\u00f3w.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>Czego powinienem zrobi\u0107, aby w przysz\u0142o\u015bci nie powt\u00f3rzy\u0107 podobnej sytuacji z LOX24 lub innymi us\u0142ugami?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Aktualizuj OpenSSL do co najmniej wersji 1.1.1 i LibreSSL do co najmniej 3.2.0. Aktualizuj r\u00f3wnie\u017c swoje pliki certyfikat\u00f3w, w systemie Linux cz\u0119sto pod nazw\u0105 \u201eca-certificates\u201c.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>Czy certyfikat od firmy LOX24 wygas\u0142?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Nie, certyfikat firmy LOX24 nie wygas\u0142 i nadal jest wa\u017cny. To, co wygas\u0142o, to jedna z trzech wersji certyfikat\u00f3w CA wydanych przez certyfikuj\u0105ce organy, kt\u00f3re zatwierdzi\u0142y nasz certyfikat.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>Czy dotyczy\u0142o to jakiego\u015b innego dostawcy lub czy problem dotyczy\u0142 wy\u0142\u0105cznie platformy LOX24?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Niestety, istnia\u0142o r\u00f3wnie\u017c wiele innych dostawc\u00f3w, kt\u00f3rych to dotyczy\u0142o: Heroku, Stripe, kernel.org, Datadog, Gandi.net i wiele innych.<\/p>","protected":false},"excerpt":{"rendered":"<p>Am 30. Mai 2020 erlebten wir eine seltene Situation in der Public-Key-Infrastruktur des Internets, als zwei der Stammzertifikate ausliefen, eine von der anderen SSL Verifizierungsstelle jeweils gegengezeichnet. Theoretisch ist dies nichts Ungew\u00f6hnliches. Zertifikate laufen st\u00e4ndig ab (normalerweise in einem Jahr oder sogar in 90 Tagen, wenn Sie Let&#8217;s Encrypt verwenden), und die Zertifikate der Zertifizierungsstellen [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"slim_seo":{"title":"B\u0142\u0105d SSL 30 maja 2020 - LOX24","description":"30 maja 2020 roku do\u015bwiadczyli\u015bmy rzadkiej sytuacji w infrastrukturze publicznego klucza internetu, gdy dwa z g\u0142\u00f3wnych certyfikat\u00f3w wygas\u0142y, a drugie z nich zosta\u0142o wygaszone."},"_slim_seo_primary_term_category":0,"_slim_seo_primary_term_post_tag":0,"footnotes":""},"categories":[9,22,93],"tags":[72],"class_list":["post-1631","post","type-post","status-publish","format-standard","hentry","category-allgemein-es","category-sms-gateway","category-viejo","tag-ssl"],"acf":[],"_links":{"self":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/posts\/1631","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/comments?post=1631"}],"version-history":[{"count":1,"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/posts\/1631\/revisions"}],"predecessor-version":[{"id":1827,"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/posts\/1631\/revisions\/1827"}],"wp:attachment":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/media?parent=1631"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/categories?post=1631"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pl\/wp-json\/wp\/v2\/tags?post=1631"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}