nieaktualny certyfikat SSL

Nieaktualny certyfikat SSL powoduje ostrzeżenia w przeglądarce i uniemożliwia nawiązanie zaufanego połączenia szyfrowanego.

Jak działa termin ważności certyfikatu SSL

Określenie „nieaktualny certyfikat SSL” zwykle oznacza certyfikat cyfrowy, którego okres ważności już się zakończył albo jeszcze się nie rozpoczął. Certyfikat zawiera między innymi nazwę podmiotu, dla którego został wystawiony, nazwę domeny, klucz publiczny oraz daty graniczne zapisane jako „Not Before” i „Not After”. Przeglądarka porównuje bieżącą datę z tym zakresem. Jeżeli certyfikat wygasł, nie może zostać uznany za aktualne potwierdzenie tożsamości serwera.

SSL jest nazwą historyczną, natomiast współczesne połączenia internetowe są zazwyczaj chronione przez protokół TLS. Certyfikat nie szyfruje danych samodzielnie. Służy do uwierzytelnienia serwera i przekazania jego klucza publicznego podczas ustanawiania połączenia TLS. Przeglądarka sprawdza certyfikat, buduje łańcuch zaufania do urzędu certyfikacji i weryfikuje, czy nazwa odwiedzanej domeny znajduje się w polu Subject Alternative Name. Dopiero poprawny wynik tych kontroli pozwala kontynuować bez ostrzeżenia.

Objawy widoczne w przeglądarce i systemie

Połączenie z wygasłym certyfikatem może skutkować komunikatem o niezabezpieczonej stronie, błędem typu „NET::ERR_CERT_DATE_INVALID” w przeglądarkach opartych na Chromium albo odpowiednikiem komunikatu o nieważności certyfikatu w innych przeglądarkach. Użytkownik może zostać zatrzymany przed wyświetleniem strony, a formularz logowania, panel administracyjny lub aplikacja webowa mogą odmówić działania. Program pocztowy, klient synchronizacji albo aplikacja korzystająca z HTTPS również może przerwać połączenie, ponieważ biblioteka TLS traktuje certyfikat poza okresem ważności jako niespełniający kontroli bezpieczeństwa.

Nie każde ostrzeżenie oznacza jednak rzeczywiste wygaśnięcie certyfikatu. Ten sam rodzaj komunikatu może pojawić się, gdy komputer ma nieprawidłową datę lub godzinę, serwer wysyła certyfikat dla innej domeny, brakuje pośredniego certyfikatu urzędu certyfikacji albo certyfikat został wystawiony przez niezaufany urząd. Problem może też dotyczyć tylko jednej nazwy hosta, na przykład subdomeny, podczas gdy certyfikat dla domeny głównej jest prawidłowy. Z tego powodu należy sprawdzić dokładny adres odwiedzanej strony, czas systemowy oraz pełny komunikat przeglądarki, a nie tylko ogólne określenie „błąd SSL”.

Weryfikacja przyczyny i prawidłowe odnowienie

Pierwszym krokiem diagnostycznym na laptopie lub komputerze PC jest porównanie problemu w kilku przeglądarkach oraz sprawdzenie daty, godziny i strefy czasowej systemu. Jeżeli ostrzeżenie występuje wyłącznie na jednym urządzeniu, przyczyną może być lokalna konfiguracja zegara, nieaktualny magazyn zaufanych urzędów certyfikacji albo oprogramowanie analizujące ruch HTTPS. Jeżeli taki sam błąd pojawia się na wielu urządzeniach i w różnych sieciach, bardziej prawdopodobna jest nieprawidłowa konfiguracja serwera lub wygasły certyfikat po stronie witryny.

Właściciel domeny powinien odnowić certyfikat u wystawcy, a następnie zainstalować nowy certyfikat wraz z właściwym kluczem prywatnym i kompletnym łańcuchem certyfikatów. Po zmianie trzeba sprawdzić każdą używaną nazwę domenową, przekierowania HTTP do HTTPS oraz wszystkie usługi korzystające z tego samego certyfikatu. Przydatne jest również sprawdzenie daty wygaśnięcia w panelu serwera lub narzędziem diagnostycznym TLS, na przykład poleceniem openssl s_client -connect example.com:443 -servername example.com. Parametr -servername wymusza wysłanie nazwy SNI, co ma znaczenie na serwerach obsługujących wiele domen pod jednym adresem IP. Ostrzeżenia nie należy omijać przez trwałe dodanie wyjątku, ponieważ pozwala to na kontynuowanie połączenia mimo braku prawidłowej weryfikacji tożsamości serwera.

Znaczenie problemu dla komputera używanego na co dzień

Na samym laptopie lub komputerze wygasłego certyfikatu witryny nie da się naprawić przez wyczyszczenie pamięci podręcznej przeglądarki. Można natomiast usunąć lokalne przyczyny błędu: ustawić automatyczną synchronizację czasu, zaktualizować system i przeglądarkę, sprawdzić magazyn certyfikatów oraz wyłączyć wadliwą inspekcję HTTPS w programie zabezpieczającym tylko na czas kontrolowanego testu. Nie należy instalować przypadkowych certyfikatów głównych znalezionych w internecie ani wpisywać danych logowania na stronie, której tożsamość nie została prawidłowo potwierdzona.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z przeglądarką, ustawieniami systemu, zegarem oraz lokalną walidacją połączeń TLS. Podczas diagnostyki można rozdzielić usterkę urządzenia od błędu występującego na serwerze: jeżeli certyfikat jest nieważny dla wszystkich użytkowników, konieczna jest jego wymiana po stronie administratora domeny, natomiast gdy problem pojawia się tylko na jednym komputerze, należy przeanalizować jego konfigurację i zainstalowane oprogramowanie.