błędny certyfikat SSL

Błędny certyfikat SSL to usterka bezpieczeństwa uniemożliwiająca prawidłową weryfikację szyfrowanego połączenia.

Jak działa certyfikat SSL/TLS i skąd bierze się błąd

Błędny certyfikat SSL oznacza, że przeglądarka nie może potwierdzić tożsamości serwera albo nie akceptuje parametrów szyfrowanego połączenia. Współczesne strony internetowe korzystają przede wszystkim z protokołu TLS, będącego następcą SSL, jednak określenie „certyfikat SSL” nadal jest powszechnie używane. Certyfikat zawiera między innymi nazwę domeny, nazwę urzędu certyfikacji, okres ważności oraz klucz publiczny. Podczas nawiązywania połączenia przeglądarka sprawdza te informacje i buduje łańcuch zaufania prowadzący do zaufanego certyfikatu głównego.

Komunikat może pojawić się po wejściu na stronę z wygasłym certyfikatem, certyfikatem wystawionym dla innej domeny albo certyfikatem podpisanym przez urząd, którego system lub przeglądarka nie uznaje za zaufany. Problem występuje również wtedy, gdy serwer wysyła niepełny łańcuch certyfikatów pośrednich. Sam fakt, że strona otwiera się pod adresem zaczynającym się od https://, nie potwierdza jeszcze prawidłowej konfiguracji certyfikatu.

Najczęstsze przyczyny ostrzeżenia w przeglądarce

Jedną z podstawowych przyczyn jest niezgodność nazwy hosta z nazwą zapisaną w certyfikacie. Certyfikat dla www.przyklad.pl nie musi obejmować automatycznie adresu przyklad.pl, subdomeny ani adresu IP. Zakres obsługiwanych nazw określa pole Subject Alternative Name. Błąd może być także skutkiem wygaśnięcia certyfikatu lub próby użycia certyfikatu przed początkiem jego okresu ważności. Przeglądarka ocenia te daty na podstawie zegara urządzenia, dlatego nieprawidłowa data, godzina albo strefa czasowa w laptopie może wywołać ostrzeżenie nawet wtedy, gdy konfiguracja serwera jest poprawna.

Nie każde ostrzeżenie pochodzi bezpośrednio z serwera odwiedzanej witryny. W publicznej sieci Wi-Fi połączenie może być najpierw kierowane do strony logowania, która przechwytuje żądanie HTTPS. Podobny efekt może wywołać filtr antywirusowy analizujący szyfrowany ruch, firmowy serwer proxy albo nieprawidłowo zainstalowany certyfikat pośredniczący. Jeżeli problem dotyczy wielu niezależnych stron, warto brać pod uwagę ustawienia systemu, sieć, oprogramowanie zabezpieczające lub lokalny magazyn zaufanych certyfikatów. Gdy ostrzeżenie pojawia się tylko dla jednej domeny, bardziej prawdopodobna jest jej konfiguracja lub chwilowa awaria po stronie serwera.

Bezpieczna weryfikacja połączenia HTTPS

Przed zaakceptowaniem ostrzeżenia należy sprawdzić dokładny adres strony, ponieważ literówka w domenie może prowadzić do zupełnie innego serwera. Nie powinno się ignorować błędu przy logowaniu, płatności ani przesyłaniu poufnych informacji. Kontynuowanie pracy mimo ostrzeżenia wyłącza istotną część ochrony zapewnianej przez TLS: przeglądarka nie potwierdza wtedy, że połączenie prowadzi do właściwego serwera. Sam symbol kłódki nie jest dowodem bezpieczeństwa całej witryny ani jej treści, ale prawidłowa walidacja certyfikatu jest konieczna do uwierzytelnienia szyfrowanego kanału.

Diagnostyka powinna rozpocząć się od porównania zachowania strony w innej przeglądarce i w innej sieci, sprawdzenia daty oraz godziny systemowej, a także ponownego wpisania adresu domeny. Następnie można wyłączyć na krótko funkcję inspekcji HTTPS w programie ochronnym, o ile jest aktywna, i sprawdzić, czy błąd znika. Takiej funkcji nie należy pozostawiać wyłączonej bez uzasadnienia. W przypadku strony należącej do użytkownika administrator powinien sprawdzić datę ważności certyfikatu, zgodność nazw domenowych, kompletność łańcucha certyfikatów pośrednich oraz konfigurację serwera dla aktualnych wersji TLS. Narzędzia diagnostyczne mogą pokazać szczegóły certyfikatu, ale nie zastępują oceny, czy dana domena rzeczywiście jest właściwym miejscem docelowym.

Naprawa problemu na laptopie lub komputerze PC

Zakres naprawy zależy od źródła błędu. Przy nieprawidłowym zegarze wystarczy skorygować ustawienia czasu i strefy czasowej oraz sprawdzić synchronizację z serwerem czasu. Przy problemie ograniczonym do jednej witryny użytkownik może jedynie przekazać informację administratorowi strony, ponieważ wymiana certyfikatu lub poprawa łańcucha zaufania wymaga dostępu do konfiguracji serwera. Jeżeli błąd występuje w każdej przeglądarce, należy sprawdzić ustawienia proxy, captive portal sieci bezprzewodowej, magazyn certyfikatów systemu i oprogramowanie przechwytujące ruch HTTPS.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów oraz komputerów PC, w tym problemów z przeglądarką, konfiguracją sieci, ustawieniami systemu i oprogramowaniem zabezpieczającym, gdy te elementy powodują błędną weryfikację certyfikatu. Podczas diagnozy można ustalić, czy ostrzeżenie wynika z ustawień konkretnego komputera, połączenia internetowego, czy konfiguracji odwiedzanej witryny. W tym ostatnim przypadku właściwym działaniem jest przekazanie administratorowi dokładnego komunikatu oraz nazwy domeny, bez akceptowania ostrzeżenia i bez podawania danych logowania.