Monitoring certyfikatów SSL: alerty o wygaśnięciu certyfikatów i domen

Wygasły certyfikat SSL to nie jedyny termin, który może wyłączyć witrynę - narzędzie HostTracker do sprawdzania terminu ważności domeny monitoruje status Twojej rejestracji równolegle z certyfikatami, bez dodatkowych opłat.

Monitor wygasania certyfikatu SSL bywa przedstawiany jako zwykłe przypomnienie kalendarzowe, a wygaśnięcie rzeczywiście jest najczęstszym powodem, dla którego certyfikaty przestają działać. Nie jest to jednak jedyny powód. Każde uruchomienie HostTracker otwiera prawdziwe połączenie TLS i ocenia certyfikat, który serwer faktycznie zwrócił - dzięki czemu wykrywane są awarie pojawiające się bez jakiejkolwiek zmiany daty.

Pod maską monitor certyfikatu to połączenie TLS z hostem i portem. Port domyślnie przyjmuje wartość 443, a Ty możesz podać inny - example.com:8443 - dzięki czemu brama API, alternatywny port HTTPS czy usługa na porcie z niejawnym TLS są obserwowane dokładnie w ten sam sposób. Nazwa hosta jest wysyłana przez SNI, więc serwer obsługujący kilka certyfikatów pod jednym adresem IP zwraca właściwy z nich.

Gdy serwer przestaje działać, odwiedzający widzi błąd przeglądarki i zwykle próbuje ponownie później. Gdy wygasa certyfikat, serwer nadal działa całkowicie sprawnie - odpowiada na każde żądanie - a przeglądarka odmawia pokazania tego, co wysłał. Ta różnica ma znaczenie na cztery sposoby, które łatwo zbagatelizować, dopóki nie doświadczy się ich osobiście.

• Ostrzeżenie ma celowo straszyć. Pełnoekranowy komunikat o niebezpiecznym połączeniu to ten sam ekran, który przeglądarka pokazuje przy próbie przechwycenia połączenia. Odwiedzający nie odczytują go jako „ich certyfikat wygasł”, tylko jako „ta strona nie jest bezpieczna”.
• Na witrynie z włączonym HSTS nie ma żadnego obejścia. Jeśli kiedykolwiek wysłałeś nagłówek Strict-Transport-Security - a powinieneś był - przeglądarki całkowicie usuwają opcję „przejdź mimo to”. Każdy odwiedzający jest twardo blokowany, dopóki certyfikat nie zostanie wymieniony.
• Maszyny zawodzą dotkliwiej niż ludzie. Twoja aplikacja mobilna, webhooki płatności, integracje partnerów oraz każdy klient API również walidują certyfikat, a żaden z nich nie ma przycisku, który pozwoliłby to obejść. Wygaśnięcie to pełna awaria integracji, a nie tylko witryny.
• Twoje własne monitorowanie może wyglądać na „zielone”. Test skonfigurowany tak, by ignorować problemy z certyfikatem, nadal zgłasza HTTP 200 z serwera, którego certyfikat wygasł godzinę wcześniej. Aplikacja niczego nie zauważyła. To dokładnie ta luka, którą ma wypełniać monitor certyfikatu.

Ta sama asymetria dotyczy wygasłej domeny, tylko wolniej i w sposób trudniejszy do odwrócenia: certyfikat można wystawić ponownie w kilka minut, podczas gdy domenę, która opuści okres odzyskiwania, może zarejestrować każdy.

Obserwowanie certyfikatów występuje w dwóch formach, a większość kont chce tej pierwszej.

Certyfikat nie zmienia się z minuty na minutę, więc żadna z tych form nie sprawdza go częściej, niż ma to sensowne zastosowanie. Sześć godzin oznacza, że w najgorszym przypadku między awarią certyfikatu a jej zauważeniem przez HostTracker mija kilka godzin - w sytuacji, która normalnie daje Ci 30 dni ostrzeżenia.

HostTracker wysyła przypomnienia 30 dni, 7 dni i 1 dzień przed datą wygaśnięcia - zarówno dla certyfikatów SSL/TLS, jak i rejestracji domen. Trzy szczeble zamiast jednego, ponieważ każdy wyłapuje inny rodzaj przeoczenia: 30 dni to wystarczające wyprzedzenie, by złożyć zamówienie zakupu lub naprawić zepsute zadanie odnawiające, 7 dni wyłapuje zgłoszenie, którym nikt się nie zajął, a 1 dzień to ostatni dzwonek, zanim przeglądarki zaczną ostrzegać Twoich odwiedzających.

Przypomnienie to nie to samo, co alert o awarii, i HostTracker utrzymuje te dwie rzeczy osobno. Jeśli certyfikat jest w tej chwili faktycznie nieważny - wygasł, został unieważniony, prowadzi do niezaufanego urzędu root albo został wystawiony dla innej nazwy hosta - to nieudany test, który eskaluje przez Twoje standardowe kontakty do alertów o awarii, z opóźnieniem wybranym przez każdy z nich: natychmiast albo po 3, 5, 15, 30 lub 60 minutach, albo po 3, 6, 12 lub 24 godzinach.

Powiadomienia są wysyłane przez dziewięć kanałów obsługiwanych przez HostTracker - e-mail, SMS, połączenie głosowe, webhook, Slack, powiadomienie push w przeglądarce oraz komunikatory Telegram, Discord i Viber. Odnowieniami certyfikatów i domen zwykle zajmują się różne osoby, więc umieść obie na liście kontaktów: przypomnienie, które trafia tylko do skrzynki osoby, która skonfigurowała monitor, to przypomnienie, które zostanie przeoczone.

Powyższa drabina to dokładnie to, czym w praktyce jest śledzenie wygaśnięcia certyfikatu SSL. Co sześć godzin HostTracker ponownie odczytuje certyfikat, który twój serwer faktycznie podał, i przelicza pozostałe dni; do trzech z tych liczb podpięte jest przypomnienie.

Trzy szczeble są ustalone na 30, 7 i 1 dzień, a ta sama drabina obejmuje rejestracje domen tak samo jak certyfikaty. Przypomnienie jest informacyjne i samo w sobie nigdy nie oznacza monitora jako niedostępnego; certyfikat faktycznie nieważny - wygasły, unieważniony, wystawiony na inną nazwę hosta albo powiązany z niezaufanym korzeniem - to nieudana kontrola, która eskaluje jak każda inna awaria.

Jeszcze nie monitorujesz? Darmowa natychmiastowa kontrola SSL odczytuje ten sam certyfikat i podaje tę samą datę wygaśnięcia, wystawcę, łańcuch i wynegocjowaną wersję TLS - raz, od razu, bez konta. Śledzenie wygaśnięcia to ta sama kontrola w sześciogodzinnej pętli, z podpiętymi trzema przypomnieniami.

Opisany wyżej monitor certyfikatu odpowiada na pytanie „czy ten certyfikat jest ważny”. Osobny zestaw przełączników na monitorze dostępności HTTPS odpowiada na trudniejsze pytanie - „czy to połączenie spełnia nasz standard” - i każdy z nich jest opcjonalny, ponieważ włączenie ich wszystkich domyślnie dla każdego klienta spowodowałoby niepowodzenie wielu witryn, które działają dokładnie tak, jak zamierzyli ich właściciele.

• Wymagaj prawidłowego łańcucha certyfikatu. Domyślnie wyłączone, dzięki czemu certyfikat z podpisem własnym na wewnętrznym hoście nie powoduje niepowodzenia testu dostępności. Włącz tę opcję dla wszystkiego, co jest publiczne.
• Wymagaj silnego protokołu TLS. Test kończy się niepowodzeniem, gdy serwer negocjuje cokolwiek poniżej TLS 1.2 - przydatny przełącznik po projekcie wzmacniania zabezpieczeń, dzięki czemu cofnięta konfiguracja nie może po cichu przywrócić przestarzałego protokołu.
• Blokuj słabe szyfry. Test kończy się niepowodzeniem, gdy wynegocjowany szyfr jest słabszy niż 128-bitowy.
• Sprawdzaj unieważnienie certyfikatu. Dodaje zapytanie OCSP/CRL do samego testu dostępności.

Samodzielny monitor wygasania certyfikatu już domyślnie stosuje walidację łańcucha i sprawdzanie unieważnienia, bez żadnego z tych przełączników - istnieją one po to, aby Twój test dostępności mógł być tak rygorystyczny, jak wymaga tego Twoja polityka bezpieczeństwa, niezależnie od tego, co raportuje monitor certyfikatu.

Automatyczne odnawianie miało zakończyć incydenty związane z wygasaniem i w większości tak się stało. To, co się zmieniło, to charakter tych, które nadal się zdarzają: zamiast człowieka zapominającego o terminie, przestaje działać jakiś element automatyzacji i nikt tego nie zauważa, ponieważ działająca automatyzacja jest cicha, a zepsuta automatyzacja jest cicha dokładnie w ten sam sposób. Czas życia certyfikatów w całej branży wciąż się skraca - powszechnie używane darmowe urzędy wystawiają certyfikaty na 90 dni, a maksymalny akceptowany przez przeglądarki czas życia jest stopniowo zmniejszany - co oznacza, że odnowienie zdarza się teraz wiele razy w roku, i każde z tych odnowień może być tym, które zawiedzie.

Zgłaszane nam awarie wyglądają zwykle tak:

• Zadanie cron odpowiedzialne za odnawianie przestało działać miesiące temu. Ostatni odnowiony przez nie certyfikat był ważny przez 90 dni, więc awaria stała się widoczna dopiero 91. dnia.
• Odnowienie się powiodło, ale nic nie zostało przeładowane. Nowy certyfikat leży na dysku, podczas gdy serwer WWW, load balancer albo kontener nadal serwuje stary z pamięci. Każdy log odnowienia pokazuje sukces.
• Jeden z kilku węzłów został pominięty. Za load balancerem większość żądań dostaje nowy certyfikat, a część - wygasły, dlatego sporadyczny błąd certyfikatu typu „u mnie działa” niemal zawsze jest problemem spójności całej floty serwerów.
• Brzeg sieci jest w porządku, źródło - nie. Twój CDN prezentuje własny, ważny certyfikat, podczas gdy certyfikat źródła pod spodem wygasł. Wszystko, co łączy się bezpośrednio ze źródłem, przestaje działać.
• Metoda walidacji przestała działać. Uporządkowano rekord DNS, ścieżka /.well-known/ zaczęła przekierowywać, zmieniła się reguła zapory sieciowej - i zależne od tego odnowienie po cichu przestało przechodzić.
• Certyfikat wildcard nie obejmował nowej subdomeny. Certyfikat wildcard obejmuje jeden poziom, więc host dodany pod głębszą etykietą w ogóle nie jest przez niego objęty.

Każda z tych sytuacji jest niewidoczna z wnętrza Twojego własnego procesu wdrożeniowego, a oczywista z zewnątrz, co jest całym argumentem za zewnętrznym obserwatorem. Monitor, który łączy się tak, jak robi to przeglądarka nieznajomego, widzi certyfikat, który faktycznie serwujesz - a nie ten, który Twoja automatyzacja uważa, że zainstalowała.

Strona domenowa pyta rejestr, a nie serwer. HostTracker sprawdza domenę przez RDAP - nowoczesnego, ustrukturyzowanego następcę WHOIS - ustalając, który rejestr odpowiada za Twoją domenę najwyższego poziomu (TLD) na podstawie oficjalnego katalogu publikowanego przez IANA, a dla TLD, które nie publikują jeszcze usługi RDAP, sięga po klasyczne zapytanie WHOIS na porcie 43. Wyszukiwanie odbywa się w stałej częstotliwości co sześć godzin, a test raportuje:

• datę wygaśnięcia zapisaną w rejestrze - autorytatywną, a nie tę z Twojego systemu rozliczeniowego;
• kody statusu domeny nadawane przez rejestr, tam gdzie udostępnia je RDAP - w tym informację, czy włączona jest blokada transferu;
• osobne powiadomienie „data wygaśnięcia się zmieniła” za każdym razem, gdy data w rejestrze różni się od poprzedniego sprawdzenia - w ten sposób potwierdzasz, że odnowienie faktycznie dotarło do rejestru, i w ten sposób dowiadujesz się o odnowieniu, którego nie autoryzowałeś.

Ten ostatni sygnał jest właściwie najbardziej użytecznym elementem tej strony. Opłacone odnowienie, które nigdy nie dotarło do rejestru, wygląda identycznie jak zdrowa domena aż do momentu, gdy uruchomi się 30-dniowe przypomnienie. Obserwowanie samej zmiany daty zamienia odnowienie z czegoś, co masz nadzieję się wydarzyło, w coś, co możesz zobaczyć.

Chcesz od razu, a nie w formie monitora, zobaczyć pełny rekord rejestru - rejestratora, serwery nazw, datę utworzenia? Uruchom bezpłatne wyszukiwanie WHOIS i wygasania domeny; logowanie nie jest wymagane. Cykliczny monitor celowo raportuje mniej, ponieważ to właśnie wygaśnięcie i status się zmieniają.

1. Najpierw sprawdź domenę za pomocą bezpłatnego natychmiastowego testu, aby znać dzisiejsze daty wygaśnięcia, zanim cokolwiek zautomatyzujesz.
2. Jeśli już monitorujesz dostępność witryny, otwórz ten monitor i włącz obserwowanie certyfikatu oraz obserwowanie wygasania domeny. Żadnego nowego monitora, żadnego dodatkowego żądania.
3. Dla wszystkiego, czego nie monitorujesz pod kątem dostępności - hosta pocztowego, wewnętrznej bramy, alternatywnego portu - dodaj samodzielny monitor Wygasanie certyfikatu i podaj mu host:port. Gdy pominiesz port, przyjmowany jest port 443.
4. Dodaj monitor Wygasanie domeny dla każdej posiadanej przez Ciebie domeny podlegającej rejestracji, w tym rejestracji obronnych i domen przekierowujących. To właśnie one najczęściej wygasają, bo nikt nie obserwuje domeny, na której nie ma żadnej strony.
5. Umieść na liście kontaktów więcej niż jedną osobę. Certyfikatami i domenami zwykle zajmują się różne zespoły, a przypomnienie, które trafia wyłącznie do osoby, która skonfigurowała monitor, to przypomnienie, które pozostanie nieprzeczytane, gdy ta osoba zmieni pracę.
6. Zwróć uwagę na drabinę przypomnień - 30, 7 i 1 dzień - i upewnij się, że Twój proces odnawiania mieści się w 30 dniach. Jeśli złożenie zamówienia zakupu zajmuje sześć tygodni, to nie drabina przypomnień jest Twoim ograniczeniem, tylko sam proces.

Darmowe narzędzia do sprawdzania SSL - w tym własne narzędzie HostTracker - są naprawdę użyteczne i odpowiadają na inne pytanie. Sprawdzacz mówi Ci, w jakim stanie jest certyfikat w chwili, gdy o to zapytasz. Monitorowanie mówi Ci, kiedy ten stan się zmienia, gdy nie patrzysz - a to jedyny moment, w którym ma to znaczenie.

Certyfikaty to jedna z kilku rzeczy związanych z domeną, które mogą pójść nie tak bez ingerencji w Twój serwer. Gdy strona wygasania jest już obserwowana, zwykle kolejne dwie to oznaczenia malware i phishingu oraz wpisy na czarnych listach DNS - obie to ciche awarie reputacji, które zostawiają witrynę działającą, ale bez ruchu.

• Brak obsługi STARTTLS. Test łączy się i od razu rozpoczyna uzgadnianie TLS, więc działa na każdym porcie mówiącym TLS bezpośrednio. Protokoły, które zaczynają się w postaci czystego tekstu i uaktualniają się w trakcie sesji - SMTP na porcie 587, IMAP na 143, FTP z jawnym TLS - wymagają negocjacji, której test nie wykonuje. W takim przypadku skieruj go zamiast tego na port z niejawnym TLS.
• Dni przypomnień są ustawione na stałe na 30, 7 i 1. Obecnie nie jest to ustawienie konfigurowalne dla poszczególnych monitorów.
• Nieosiągalna usługa sprawdzania unieważnień jest raportowana, a nie traktowana jako niepowodzenie. To celowe - awaria OCSP urzędu certyfikacji nie jest awarią Twojej witryny - ale oznacza to, że pokrycie sprawdzania unieważnień zależy od dostępności strony trzeciej.
• Dzienniki Certificate Transparency nie są monitorowane. HostTracker informuje Cię o certyfikacie, który jest faktycznie serwowany; nie obserwuje publicznych dzienników CT pod kątem certyfikatów wystawionych dla Twojej domeny przez kogoś innego.
• Certyfikaty klienckie nie są wykorzystywane. Test waliduje certyfikat prezentowany przez serwer, a nie uzgadnianie mutual-TLS.
• Pokrycie domen zależy od rejestrów. RDAP jest używany tam, gdzie TLD go publikuje, a klasyczny WHOIS tam, gdzie nie - niewielka liczba mało popularnych TLD nie publikuje żadnego z nich dobrze, a test w takim przypadku raportuje niepowodzenie wyszukiwania zamiast udawać, że zna datę.