Monitorování SSL certifikátů: upozornění na vypršení certifikátů a domén

Vypršelý SSL certifikát není jediný termín, který může web odstavit – kontrola vypršení domény od HostTrackeru sleduje stav vaší registrace souběžně s certifikáty, bez příplatku.

Monitor pro vypršení SSL certifikátu se často prodává jako připomínka do kalendáře, a vypršení je opravdu nejčastější způsob, jakým se certifikáty rozbijí. Není to ale jediný způsob. Každý běh HostTracker otevře skutečné TLS spojení a vyhodnotí certifikát, který server skutečně poslal – a odhalí tak selhání, která přijdou, aniž by se změnilo jediné datum.

Pod kapotou je monitor certifikátu TLS spojení na hostname a port. Port se automaticky nastaví na 443, a můžete uvést i jiný – example.com:8443 – takže API brána, alternativní HTTPS port nebo služba na portu s implicitním TLS se sledují úplně stejným způsobem. Hostname se posílá přes SNI, takže server hostující více certifikátů na jedné IP adrese vrátí ten správný.

Když server spadne, návštěvník vidí chybu prohlížeče a obvykle to zkusí znovu později. Když vyprší certifikát, server je pořád naprosto zdravý – odpovídá na každý požadavek – a prohlížeč prostě odmítne zobrazit, co poslal. Rozdíl se projevuje ve čtyřech ohledech, které je snadné podcenit, dokud se to nestane.

• Varování je navržené tak, aby vystrašilo. Celoobrazovková vsuvka o nezabezpečeném spojení je stejná obrazovka, jakou prohlížeč zobrazuje při pokusu o odposlech. Návštěvníci si ji nepřečtou jako „platnost certifikátu vypršela“; přečtou si ji jako „tenhle web není bezpečný“.
• Na webu s HSTS není cesta ven. Pokud jste někdy poslali hlavičku Strict-Transport-Security – a měli byste – prohlížeče úplně odstraní možnost „pokračovat i tak“. Každý návštěvník je natvrdo zablokován, dokud se certifikát nevymění.
• Stroje selhávají tvrději než lidé. Vaše mobilní aplikace, platební webhooky, integrace partnerů i každý API klient certifikát rovněž ověřují, a žádný z nich nemá tlačítko na proklikání se dál. Vypršení je úplný výpadek celé integrace, ne jen webu.
• Vlastní monitoring může svítit zeleně. Kontrola nastavená tak, aby ignorovala problémy s certifikátem, i tak hlásí HTTP 200 ze serveru, jehož certifikát vypršel před hodinou. Aplikace si toho nikdy nevšimla. Přesně tuto mezeru má monitor certifikátu uzavřít.

Stejná nesouměrnost platí i pro propadlou doménu, jen pomaleji a méně vratně: certifikát lze znovu vydat během pár minut, zatímco doménu, která opustí ochrannou lhůtu, si může zaregistrovat kdokoli.

Sledování certifikátu má dvě podoby, a většina účtů chce tu první.

Certifikát se z minuty na minutu nemění, takže ani jedna z variant nekontroluje častěji, než má smysl. Šest hodin znamená, že nejhorší možný případ mezi rozbitím certifikátu a jeho odhalením HostTrackerem je pár hodin – u něčeho, co vám běžně dává 30 dní varování.

HostTracker posílá připomínky 30 dní, 7 dní a 1 den před datem vypršení – stejně u SSL/TLS certifikátů jako u registrací domén. Tři úrovně místo jedné, protože každá zachytí jiný typ přehlédnutí: 30 dní je dost času na vystavení objednávky nebo opravu nefunkční automatické obnovy, 7 dní zachytí tiket, kterého si nikdo nevšiml, a 1 den je poslední volání, než prohlížeče začnou vašim návštěvníkům zobrazovat varování.

Připomínka není totéž co upozornění na výpadek a HostTracker tyto dvě věci drží odděleně. Pokud je certifikát právě teď skutečně neplatný – vypršel, byl odvolán, řetězí se k nedůvěryhodnému kořeni nebo byl vydán pro jiný hostname – jde o neúspěšnou kontrolu, která se eskaluje přes vaše běžné kontakty pro upozornění na výpadek, se zpožděním, jaké si každý z nich zvolil: okamžitě, nebo po 3, 5, 15, 30 či 60 minutách, nebo po 3, 6, 12 či 24 hodinách.

Upozornění se odesílají přes devět kanálů, které HostTracker podporuje – e-mail, SMS, hlasový hovor, webhook, Slack, web push a messengery Telegram, Discord a Viber. Obnovu certifikátu a obnovu domény obvykle mají na starosti různí lidé, takže na seznam kontaktů dejte oba: připomínka, která dorazí jen do schránky toho, kdo monitor nastavil, je připomínka, která se přehlédne.

Výše popsaný žebříček je přesně to, jak sledování expirace SSL certifikátu vypadá v praxi. Každých šest hodin HostTracker znovu načte certifikát, který váš server skutečně poslal, a přepočítá zbývající dny; tři z těch čísel mají navázané upozornění.

Tři stupně jsou pevně dané na 30, 7 a 1 den a stejný žebříček platí pro registrace domén i pro certifikáty. Připomenutí je informativní a samo o sobě nikdy neoznačí monitor jako nedostupný; certifikát, který je skutečně neplatný - vypršelý, odvolaný, vystavený na jiné jméno nebo navázaný na nedůvěryhodný kořen - je selhaná kontrola a eskaluje jako každý jiný výpadek.

Ještě nemonitorujete? Bezplatná okamžitá SSL kontrola načte tentýž certifikát a ohlásí totéž datum expirace, vydavatele, řetěz i vyjednanou verzi TLS - jednou, hned teď, bez účtu. Sledování expirace je táž kontrola v šestihodinové smyčce, s navázanými třemi připomenutími.

Monitor certifikátu výše odpovídá na otázku „je tento certifikát platný“. Samostatná sada přepínačů na monitoru dostupnosti HTTPS odpovídá na tvrdší otázku – „splňuje toto spojení náš standard“ – a každá z nich je volitelná, protože zapnout je všechny pro každého zákazníka by shodilo velké množství webů, které fungují přesně tak, jak jejich majitelé chtějí.

• Vyžadovat platný řetěz certifikátu. Ve výchozím stavu vypnuto, aby self-signed certifikát na interním hostu neshodil kontrolu dostupnosti. Zapněte ho pro cokoli veřejného.
• Vyžadovat silný protokol TLS. Kontrola selže, pokud server vyjedná cokoli slabšího než TLS 1.2 – užitečný přepínač po zpřísnění konfigurace, aby vrácená nebo omylem obnovená konfigurace tiše znovu nezavedla zastaralý protokol.
• Blokovat slabé šifry. Kontrola selže, pokud je vyjednaná šifra slabší než 128 bitů.
• Kontrolovat odvolání certifikátu. Přidá k samotné kontrole dostupnosti dotaz OCSP/CRL.

Samostatný monitor pro expiraci certifikátu ověřuje řetěz i odvolání sám o sobě, bez těchto přepínačů – ty existují proto, aby bylo možné vaši kontrolu dostupnosti nastavit tak přísně, jak vyžaduje vaše bezpečnostní politika, nezávisle na tom, co hlásí monitor certifikátu.

Automatická obnova měla incidenty s vypršením ukončit, a z velké části se to povedlo. Změnila se tím spíš podoba těch zbývajících: místo toho, aby člověk zapomněl na termín, přestane fungovat kus automatizace a nikdo si toho nevšimne, protože fungující automatizace je tichá a nefunkční automatizace je tichá úplně stejným způsobem. Životnost certifikátů se v celém oboru dál zkracuje – široce používané bezplatné autority vydávají 90denní certifikáty a maximální životnost, kterou prohlížeče akceptují, se postupně snižuje – což znamená, že k obnově teď dochází mnohokrát ročně, a kterákoli z těchto obnov může být ta, která selže.

Selhání, o kterých se dozvídáme, vypadají takto:

• Úloha cron pro obnovu spadla už před měsíci. Certifikát, který naposledy obnovila, byl platný 90 dní, takže se selhání projevilo až devadesátý první den.
• Obnova proběhla, ale nic se znovu nenačetlo. Nový certifikát leží na disku, zatímco webový server, load balancer nebo kontejner dál z paměti servíruje ten starý. Každý záznam o obnově hlásí úspěch.
• Jeden uzel z několika se přehlédl. Za load balancerem dostane většina požadavků nový certifikát a zlomek dostane vypršelý – proto je přerušovaná chyba certifikátu typu „mně to funguje“ téměř vždy problém s nekonzistencí ve flotile.
• Okraj je v pořádku, origin ne. Vaše CDN prezentuje svůj vlastní platný certifikát, zatímco certifikát na originu pod ním vypršel. Cokoli, co komunikuje přímo s originem, se rozbije.
• Metoda ověření přestala fungovat. Uklidil se DNS záznam, cesta /.well-known/ se začala přesměrovávat, změnilo se pravidlo firewallu – a obnova, která na tom závisela, potichu přestala procházet.
• Wildcard certifikát nepokryl novou subdoménu. Wildcard certifikát pokrývá jednu úroveň, takže host přidaný na hlubší úrovni jím není pokrytý vůbec.

Každá z těchto situací je zevnitř vaší vlastní nasazovací pipeline neviditelná a zvenčí zjevná, což je celý argument pro externí sledování. Monitor, který se připojuje stejně jako prohlížeč cizího návštěvníka, vidí certifikát, který skutečně servírujete – ne ten, o kterém si vaše automatizace myslí, že ho nainstalovala.

Doménová strana se ptá registru, ne serveru. HostTracker doménu vyhledá přes RDAP – moderního, strukturovaného nástupce WHOIS – přičemž z vlastního publikovaného adresáře IANA zjistí, který registr za vaši TLD odpovídá, a u TLD, které RDAP zatím nenabízejí, přejde na klasický dotaz WHOIS na portu 43. Vyhledávání běží v pevné kadenci šesti hodin a kontrola hlásí:

• datum vypršení, které eviduje registr – to autoritativní, ne to ve vašem fakturačním systému;
• stavové kódy registru u domény, tam kde je RDAP poskytuje – včetně toho, zda je zapnutý zámek proti přenosu;
• samostatné oznámení „datum vypršení se změnilo“ pokaždé, když se datum od registru liší od předchozí kontroly – tak poznáte, že se obnova skutečně provedla, a stejně tak zjistíte i o takové, kterou jste sami neschválili.

Právě to poslední je potichu nejužitečnějším signálem na této stránce. Obnova, za kterou jste zaplatili a která se k registru nikdy nedostala, vypadá stejně jako zdravá doména, až do chvíle, kdy se spustí 30denní připomínka. Sledování toho, jak se samotné datum mění, promění obnovu z něčeho, v co doufáte, na něco, co vidíte.

Chcete kompletní registrový záznam – registrátor, jmenné servery, datum vytvoření – hned teď a ne jako monitor? Spusťte bezplatné vyhledání WHOIS a expirace domény; bez přihlášení. Opakovaný monitor záměrně hlásí méně, protože to, co se mění, je právě vypršení a stav.

1. Doménu si nejprve vyhledejte pomocí bezplatné okamžité kontroly, ať víte, jaká jsou dnešní data vypršení, dřív než cokoli zautomatizujete.
2. Pokud už sledujete dostupnost webu, otevřete tento monitor a zapněte sledování certifikátu i vypršení domény. Žádný nový monitor, žádný požadavek navíc.
3. Pro cokoli, co dostupností nesledujete – poštovní hostitel, interní bránu, alternativní port – přidejte samostatný monitor Expirace certifikátu a zadejte mu host:port. Pokud port vynecháte, počítá se s portem 443.
4. Přidejte monitor Expirace domény pro každou doménu, kterou vlastníte, včetně obranných registrací a přesměrovacích domén. Právě ty totiž propadají nejčastěji, protože doménu bez webu na ní nikdo nehlídá.
5. Na seznam kontaktů dejte víc než jednu osobu. Certifikáty a domény obvykle spravují jiné týmy a připomínka, která dorazí jen k tomu, kdo monitor nastavil, je ta, která zůstane nepřečtená, jakmile tato osoba změní práci.
6. Všimněte si žebříčku připomínek – 30, 7 a 1 den – a ujistěte se, že se váš proces obnovy vejde do 30 dní. Pokud vystavení objednávky trvá šest týdnů, omezením není žebříček, ale samotný proces.

Bezplatné nástroje pro kontrolu SSL – včetně toho od HostTracker – jsou opravdu užitečné a odpovídají na jinou otázku. Tester vám řekne stav certifikátu ve chvíli, kdy jste se zeptali. Sledování vám řekne, kdy se tento stav změní ve chvíli, kdy se nedíváte, a to je jediný okamžik, kdy na tom skutečně záleží.

Vedle certifikátů stojí i další věci na doméně, které se mohou pokazit, aniž by se kdokoli dotkl vašeho serveru. Jakmile máte pod dohledem vypršení, obvyklými dalšími dvěma jsou příznaky malwaru a phishingu a zápisy na DNS blacklistech – oba tiché reputační problémy, po kterých web zůstane funkční, ale návštěvnost zmizí.

• Žádné STARTTLS. Kontrola se připojí a okamžitě zahájí TLS handshake, takže funguje na jakémkoli portu, který mluví přímo TLS. Protokoly, které začínají v čistém textu a uprostřed relace se povyšují – SMTP na 587, IMAP na 143, explicitní-TLS FTP – potřebují vyjednávání, které tato kontrola neprovádí. Namiřte ji místo toho na port s implicitním TLS.
• Dny připomínek jsou pevně dané na 30, 7 a 1. Aktuálně to není nastavení, které lze měnit pro jednotlivý monitor.
• Nedostupný respondér pro odvolání se hlásí, ne že by kontrola selhala. To je záměrné – výpadek OCSP certifikační autority není výpadek vašeho webu – ale znamená to, že pokrytí odvolání závisí na dostupnosti třetí strany.
• Certificate Transparency logy se nesledují. HostTracker vám řekne o certifikátu, který je právě servírován; nesleduje veřejné CT logy kvůli certifikátům, které pro vaši doménu vydal někdo jiný.
• Klientské certifikáty se nezkouší. Kontrola ověřuje certifikát, který předkládá server, ne oboustranný handshake mTLS.
• Pokrytí domén se řídí registry. Používá se RDAP tam, kde ho TLD publikuje, a klasický WHOIS tam, kde ne; malý počet neobvyklých TLD nenabízí dobře ani jedno, a kontrola v takovém případě nahlásí selhání vyhledání místo toho, aby předstírala, že datum zná.