Bir SSL sertifikasının süresinin dolduğu nasıl kontrol edilir

Hızlı yol: asma kilit ve çevrimiçi bir kontrol

Herhangi bir tarayıcıda, adres çubuğundaki asma kilide tıklayın, sertifika ayrıntılarını açın, ve "geçerlilik başlangıcı" ile "geçerlilik bitişi"ni okuyun. Bu on saniye sürer ve size kendi tarayıcınızın ne gördüğünü söyler. Sınırlaması, yalnızca o anda ulaştığınız uç düğümden veya sunucudan, baktığınız anda size sunulan sertifikayı kapsamasıdır.

Çevrimiçi bir SSL kontrolü, ağınızın dışından aynı el sıkışmayı yapar ve süre bitiş tarihini, veren kuruluşu, sertifikanın kapsadığı adları ve sunulan zincirin eksiksiz olup olmadığını bildirir. Tarayıcılar bu son noktayı gizler, bu yüzden dış kontrol size asma kilidin söyleyemeyeceği bir şeyi söyler.

openssl ile elle yapılan yol

Tek bir komut geçerlilik penceresini yazdırır:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null   | openssl x509 -noout -dates -subject -issuer

-servername bayrağı SNI gönderir; bu önemlidir çünkü çoğu sunucu bir adreste birden fazla sertifika barındırır ve onsuz size yanlış olanı verir. Çıktı, UTC cinsinden notBefore ve notAfter'ı, ayrıca sertifikanın kimin için olduğunu ve kim tarafından verildiğini gösterir.

Yalnızca yaprak sertifikayı değil, sunucunun gönderdiği tüm zinciri görmek için:

openssl s_client -connect example.com:443 -servername example.com -showcerts < /dev/null

Üstteki "Certificate chain" bloğunu okuyun: yaprak sertifikayı, ardından bir veya daha fazla ara sertifikayı görmelisiniz. Bir "verify error: unable to get local issuer certificate" satırı, sunucunun ara sertifikayı göndermediği anlamına gelir; birçok tarayıcı bunu örtbas eder ama birçok API istemcisi, mobil uygulama ve eski sistem etmez.

Yaprak, zincir ve neyin süresi dolar

Normal bir HTTPS bağlantısında üç sertifika yer alır, ve her birinin kendi süre bitiş tarihi vardır:

• Yaprak sertifika alan adınız için verilen sertifikadır. Kısa ömürlü olanıdır, otomatik verilenlerde tipik olarak 90 gün, satın alınanlarda ise yaklaşık bir yıla kadar; ve insanların "sertifika" derken kastettiği budur.
• Ara sertifika yaprak sertifikayı imzalar ve sunucu tarafından onunla birlikte gönderilmelidir. Yıllarca sürer, ve tam olarak bu kadar nadir değiştiği için süresinin dolması ekipleri hazırlıksız yakalar.
• Kök sertifika sunucunuzda değil, istemcinin güven deposunda yaşar. Bir kök sertifikanın süresi dolduğunda veya güvenilmez hale geldiğinde, güncellemeyi hiç almamış eski cihazlar başarısız olmaya başlarken güncel olanlar sorunsuz çalışır; bu da kendi dizüstü bilgisayarınızdan imkansız görünen bir kesintiye yol açar.

Bu yüzden yalnızca yapraktaki tarihi değil, zinciri doğrulayın. Bozuk bir zincirde iki ay kalmış bir yaprak sertifika, bazı istemciler için zaten başarısız oluyordur.

Süre dolumu neden en yaygın önlenebilir kesintidir

Sertifika süresinin dolması alışılmadık derecede zararlı bir arızadır. Kademeli değil, tamamen başarısız olur, çünkü bir tarayıcı bağlantıyı tamamen reddeder ve site yerine tam sayfa bir uyarı gösterir. Bunun olacağı an, sertifikanın verildiği gün belirlenmişti, ve kimse o tarihi izlemiyordu. Ayrıca yalnızca web sitesini değil, o adı kullanan her şeyi aynı anda çökertir: API'ler, mobil uygulama arka uçları, webhook'lar ve entegrasyonlar. Başarısız ödeme geri çağırmaları (callback) ve bozuk entegrasyonlar genellikle görünür kesinti süresinden daha pahalıya mal olur.

Ayrıca tamamen önlenebilirdir; bu yüzden otomatik bir kontrolü en çok hak eden arızadır.

Otomatik yenileme yine de nasıl başarısız olur

Otomatik verme çoğu süre dolumunu ortadan kaldırdı ve görülmesi daha zor bir dizi arıza türü getirdi:

• Yenileme çalıştı ama hiçbir şey yeniden yüklenmedi. Yeni bir sertifika diskte dururken web sunucusu yeniden yüklenene kadar bellekteki eskisini sunmaya devam eder.
• Doğrulama sınaması bozuldu. Bir yönlendirme kuralı, bir güvenlik duvarı değişikliği veya kaynağın önündeki yeni bir CDN, HTTP sınama yolunu engeller; bu yüzden yenileme görünür bir belirti olmadan haftalarca başarısız olmaya devam eder.
• DNS doğrulaması kimlik bilgilerini kaybetti. Bir API token'ı döndürüldü veya süresi doldu, ve DNS sınaması artık kaydını oluşturamıyor.
• Yenileme zamanlayıcısı çalışmıyor. Bir konteyner, cron işi veya systemd zamanlayıcısı olmadan yeniden oluşturuldu, veya makine taşındı ve zamanlama onunla birlikte gelmedi.
• Yalnızca bir düğüm yenilendi. Bir yük dengeleyicinin arkasında, bir sunucuda yeni sertifika varken diğeri hala eskisini sunuyor; bu yüzden arızalar aralıklı görünür.
• Yenileme e-postaları ayrılan birine gitti. Aynı sorunun satın alınmış sertifika versiyonu.
• Sertifika yenilendi ama her ad için değil. Sonradan eklenen bir alt alan adı yeni sertifikada eksik, bu yüzden o tek ana bilgisayar adı başarısız olur.

Bunların her biri yenileme sisteminin içinden görünmezken dışarıdan bariz görünür. Bu, otomasyonun kendi günlüklerine güvenmek yerine gerçek el sıkışmayı kontrol etme gerekçesidir.

Kontrolü otomatikleştirme

Bir tarihi okumak size bugünün yanıtını verir, ve süre dolumunun tüm sorunu, kimsenin kontrol etmeyi seçmediği bir günde gelmesidir. Zamanlanmış sertifika izleme, dışarıdan belirli bir aralıkla gerçek el sıkışmasını gerçekleştirir, notAfter'dan belirlenmiş sayıda gün önce uyarır, ve bir takvim hatırlatıcısının asla yakalayamayacağı zincir ve ana bilgisayar adı sorunlarını yakalar. HostTracker e-posta, SMS, sesli arama, Slack, Telegram ve daha fazlasıyla uyarır, böylece uyarı süre dolumundan önce birine ulaşır. Alan adı ve TLS izleme kontrolü sürekli çalıştırır, SSL kontrol aracı tek seferlik bir kontrol yapar, ve bir portun açık olup olmadığı nasıl kontrol edilir bir sertifika teklif edilmeden önce başarısız olan bir el sıkışmasını ele alır.