{"id":1631,"date":"2020-06-02T17:58:06","date_gmt":"2020-06-02T15:58:06","guid":{"rendered":"https:\/\/dev.buddydevs.com\/miguel\/ssl-fehler-30-mai-2020\/"},"modified":"2026-09-12T11:57:16","modified_gmt":"2026-09-12T11:57:16","slug":"erro-ssl-30-maio-2020","status":"publish","type":"post","link":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/ssl-fehler-30-mai-2020\/","title":{"rendered":"Erro SSL 30 de maio de 2020"},"content":{"rendered":"<p class=\"wp-block-paragraph\">No dia 30 de maio de 2020, vivenciamos uma situa\u00e7\u00e3o rara na infraestrutura p\u00fablica-chave da Internet: dois dos certificados principais expiraram, sendo cada um deles emitido pela outra autoridade de verifica\u00e7\u00e3o SSL.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Te\u00f3ricamente, isso n\u00e3o \u00e9 nada incomum. Os certificados expiram constantemente (normalmente em um ano ou at\u00e9 mesmo em 90 dias, se voc\u00ea usar o Let\u2019s Encrypt), e os certificados das entidades de certifica\u00e7\u00e3o expiram ap\u00f3s alguns anos. Mas em 30 de maio, a entidade de certifica\u00e7\u00e3o que estava prestes a expirar abordou um problema fundamental que fez com que nossa API n\u00e3o estivesse dispon\u00edvel para alguns de nossos clientes.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">No dia 30 de maio, quando os certificados das autoridades de certifica\u00e7\u00e3o expiraram, recebemos pedidos de suporte informando que havia um problema com o certificado do nosso servi\u00e7o. Essa foi uma not\u00edcia inesperada, pois n\u00f3s verificamos cuidadosamente se nossos certificados estavam v\u00e1lidos e n\u00e3o estavam prestes a expirar em um prazo razo\u00e1vel. Uma verifica\u00e7\u00e3o r\u00e1pida no navegador tamb\u00e9m confirmou que tudo parecia estar normal e que a API estava respondendo corretamente.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Ao analisar as estat\u00edsticas da nossa infraestrutura, percebemos que o n\u00famero de chamadas \u00e0 API diminuiu, mas isso estava longe de ser zero, como seria de esperar em caso de falha completa do SSL. Quando as coisas n\u00e3o funcionam completamente, \u00e9 frequentemente mais f\u00e1cil identificar o que n\u00e3o funciona do que em situa\u00e7\u00f5es em que algumas coisas funcionam e outras n\u00e3o.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Uma an\u00e1lise abrangente revelou, finalmente, que tamb\u00e9m outros servi\u00e7os na Internet apresentaram problemas. Rapidamente descobrimos as causas: <a href=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/14.jpg\">https:\/\/support.sectigo.com\/articles\/Knowledge\/Sectigo-AddTrust-External-CA-Root-Expiring-May-30-2020<\/a><\/p>\r\n\r\n\r\n\r\n<figure class=\"wp-block-image size-large\"><img decoding=\"async\" class=\"wp-image-8848\" src=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/rtaImage.jpg\" alt=\"\" \/>\r\n<figcaption>Fonte: <a href=\"https:\/\/dev.buddydevs.com\/miguel\/wp-content\/uploads\/2026\/09\/14.jpg\">https:\/\/support.sectigo.com\/articles\/Knowledge\/Sectigo-AddTrust-External-CA-Root-Expiring-May-30-2020<\/a><\/figcaption>\r\n<\/figure>\r\n\r\n\r\n\r\n<ul class=\"wp-block-list\">\r\n<li>O certificado da nossa entidade de certifica\u00e7\u00e3o intermedi\u00e1ria, a Sectigo RSA Organization Validation Secure Server CA, era v\u00e1lido.<\/li>\r\n<li>No caminho 1, o certificado de raiz USERTrust RSA Certification Authority era v\u00e1lido e toda a cadeia era v\u00e1lida.<\/li>\r\n<li>No caminho 2, o certificado da nossa autoridade de certifica\u00e7\u00e3o principal, a USERTrust RSA Certification Authority, expirou em 30 de maio \u00e0s 10:48 UTC.<\/li>\r\n<li>O certificado da Autoridade de Certifica\u00e7\u00e3o de Raiz AddTrust, que cruzou a assinatura do certificado do USERTrust RSA, expirou em 30 de maio \u00e0s 10:48 UTC.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Esta foi uma situa\u00e7\u00e3o interessante. Existia um caminho v\u00e1lido para a Autoridade de Certifica\u00e7\u00e3o RSA do USERTrust, e tamb\u00e9m existia um caminho expirado. O navegador era capaz de encontrar a cadeia v\u00e1lida, mas a ferramenta n\u00e3o conseguiu encontr\u00e1-la. O teste da Quality SSL Labs mostrou que o sistema funcionava e que a configura\u00e7\u00e3o de certificado funcionava perfeitamente.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Nossa equipe iniciou a segunda altera\u00e7\u00e3o de nosso certificado p\u00fablico e tentou restaurar o servi\u00e7o para os clientes remanescentes, e pouco depois do seu lan\u00e7amento confirmou a eles que poderiam retomar o servi\u00e7o. O incidente havia finalmente terminado, e o servi\u00e7o foi restaurado para todos os clientes. Mas por que alguns de nossos clientes perderam o acesso em primeiro lugar, quando at\u00e9 mesmo o verificador de SSL afirma que o certificado \u00e9 v\u00e1lido?<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">O certificado era, de fato, v\u00e1lido, e toda a cadeia de certificados foi gerada de forma razoavelmente correta pela certificadora Comodo\/Sectigo (o armazenamento de certificados durante o fim de semana n\u00e3o \u00e9 uma pr\u00e1tica recomend\u00e1vel). O que n\u00e3o estava previsto era a forma como as bibliotecas de clientes lidar\u00e3o com essa situa\u00e7\u00e3o, principalmente o OpenSSL, que \u00e9 utilizado pela grande maioria do HTTPS no mundo. Ao analisar o incidente, descobrimos um interessante erro do OpenSSL de 2014 que diz:<\/p>\r\n\r\n\r\n\r\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\r\n<p><em>N\u00e3o use certificados com data de validade vencida, se poss\u00edvel.<\/em><br \/><em>Ao procurar o emitente de um certificado, se o candidato atual tiver expirado, continue a procurar. Retorne apenas um certificado expirado se n\u00e3o forem encontrados certificados v\u00e1lidos.<\/em><\/p>\r\n<cite>Fonte: <a href=\"https:\/\/github.com\/openssl\/openssl\/commit\/0930251df814f3993bf2c598761e0c7c6d0d62a2\">https:\/\/github.com\/openssl\/openssl\/commit\/0930251df814f3993bf2c598761e0c7c6d0d62a2<\/a><\/cite><\/blockquote>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Isso significa que antes da implementa\u00e7\u00e3o dessa altera\u00e7\u00e3o, o OpenSSL, sempre que detecta um certificado inv\u00e1lido na cadeia, declara o certificado inv\u00e1lido e rejeita a conex\u00e3o. Depois que essa altera\u00e7\u00e3o foi implementada, o OpenSSL ignora o certificado vencido e continua procurando certificados adicionais que possam comprovar que o certificado \u00e9 v\u00e1lido. Essa pequena altera\u00e7\u00e3o se adapta \u00e0 forma da cadeia de certificados \u2013 uma \u00fanica autoridade de certifica\u00e7\u00e3o pode ser assinada por v\u00e1rias autoridades de certifica\u00e7\u00e3o, algumas das quais ainda s\u00e3o v\u00e1lidas e outras n\u00e3o mais. Tudo parece \u00f3timo, ent\u00e3o por que as implica\u00e7\u00f5es?<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Se voc\u00ea continuar a pesquisar, essa altera\u00e7\u00e3o no OpenSSL \u00e9 apenas uma parte do OpenSSL 1.1.1 e n\u00e3o parte do OpenSSL 1.0.x. Isso significa, por exemplo, que todas as vers\u00f5es do Ubuntu 16.04 e posteriores, do Debian 9 e posteriores, do CentOS 7 e posteriores ou do RedHat 7 e posteriores est\u00e3o afetadas, mas todas elas ainda s\u00e3o vers\u00f5es amplamente suportadas, pelo menos do ponto de vista da seguran\u00e7a.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Mas por que os navegadores verificaram corretamente os certificados? Os navegadores s\u00e3o fornecidos com suas pr\u00f3prias bibliotecas SSL\/TLS e seus pr\u00f3prios m\u00e9todos para verificar a PKI. O Chrome \u00e9 fornecido com o BoringSSL e o Firefox com o NSS, independentemente das bibliotecas SSL\/TLS do sistema operacional subjacente, n\u00e3o apresenta o mesmo problema e \u00e9 atualizado com muito mais frequ\u00eancia.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">E agora finalmente temos uma imagem completa do que aconteceu e por que apenas algumas implementa\u00e7\u00f5es de back-end de alguns clientes foram afetadas e por que alguns sistemas apresentaram armazenamento de certificados desatualizado, necessitando de um certificado principal muito mais antigo.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Como proceder? Estamos contactando os clientes afetados e explicando o que aconteceu. Estamos a melhorar a nossa ferramenta de verifica\u00e7\u00e3o de certificados para verificar o processo em toda a cadeia, e n\u00e3o apenas o nosso certificado.<\/p>\r\n\r\n\r\n\r\n<h2 class=\"wp-block-heading\">FAQ<\/h2>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>A indisponibilidade do servi\u00e7o foi causada por um problema nos servidores do LOX24?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">N\u00e3o, o servi\u00e7o continuou a funcionar e s\u00f3 estava dispon\u00edvel para sistemas antigos.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>O que deveria eu fazer para evitar que uma situa\u00e7\u00e3o semelhante ocorra no futuro com o LOX24 ou outros servi\u00e7os?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Atualize seu OpenSSL para pelo menos a vers\u00e3o 1.1.1 e o LibreSSL para pelo menos a vers\u00e3o 3.2.0. Atualize tamb\u00e9m seus reposit\u00f3rios de certificados, no Linux muitas vezes chamado de pacote \u201eca-certificates\u201c.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>O certificado do LOX24 j\u00e1 expirou?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">N\u00e3o, o certificado da LOX24 n\u00e3o expirou e ainda est\u00e1 v\u00e1lido. O que expirou foi uma das 3 vers\u00f5es dos certificados de CA das entidades certificadoras que assinaram nosso certificado.<\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\"><strong>Algum outro fornecedor foi afetado ou o problema era espec\u00edfico do LOX24?<\/strong><\/p>\r\n\r\n\r\n\r\n<p class=\"wp-block-paragraph\">Infelizmente, tamb\u00e9m havia outros fornecedores afetados: Heroku, Stripe, kernel.org, Datadog, Gandi.net e muitos outros.<\/p>","protected":false},"excerpt":{"rendered":"<p>Am 30. Mai 2020 erlebten wir eine seltene Situation in der Public-Key-Infrastruktur des Internets, als zwei der Stammzertifikate ausliefen, eine von der anderen SSL Verifizierungsstelle jeweils gegengezeichnet. Theoretisch ist dies nichts Ungew\u00f6hnliches. Zertifikate laufen st\u00e4ndig ab (normalerweise in einem Jahr oder sogar in 90 Tagen, wenn Sie Let&#8217;s Encrypt verwenden), und die Zertifikate der Zertifizierungsstellen [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"slim_seo":{"title":"Erro SSL 30 de maio de 2020 - LOX24","description":"No dia 30 de maio de 2020, vivenciamos uma situa\u00e7\u00e3o rara na infraestrutura p\u00fablica-chave da Internet: dois dos certificados principais expiraram, deixando o outro como o \u00fanico autorizado a emitir certificados."},"_slim_seo_primary_term_category":0,"_slim_seo_primary_term_post_tag":0,"footnotes":""},"categories":[9,22,93],"tags":[72],"class_list":["post-1631","post","type-post","status-publish","format-standard","hentry","category-allgemein-es","category-sms-gateway","category-viejo","tag-ssl"],"acf":[],"_links":{"self":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/posts\/1631","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/comments?post=1631"}],"version-history":[{"count":1,"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/posts\/1631\/revisions"}],"predecessor-version":[{"id":1827,"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/posts\/1631\/revisions\/1827"}],"wp:attachment":[{"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/media?parent=1631"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/categories?post=1631"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dev.buddydevs.com\/miguel\/pt-br\/wp-json\/wp\/v2\/tags?post=1631"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}