Webová stránka Kubuntu je nedostupná kvôli chybe v konfigurácii SSL

Oficiálna stránka Kubuntu je momentálne nedostupná kvôli problému s nastavením HTTPS, ale skutočným problémom nie je samotný certifikát — ide o to, čo to vypovedá o reputácii projektu.

Technické problémy, či už k lepšiemu alebo horšiemu, sú niečo, s čím sa každý IT odborník skôr či neskôr stretne. Skutočne záleží na tom, ako ich riešime: zostať profesionálni, rýchlo problém opraviť a minimalizovať dopad na používateľov.

Spomínam to preto, lebo včera, keď som sa pokúšal navštíviť oficiálnu webovú stránku KDE-based verzie Ubuntu, Kubuntu (kubuntu.org), všimol som si, že používatelia dostávali chybové hlásenie o HTTPS pripojení. A hoci toto nie je hlavný problém, na chvíľu sa zastavím a podelím sa o niekoľko technických, nudných detailov—len aby to všetkým trochu objasnilo.

Doména kubuntu.org momentálne prezentuje HTTPS certifikát vydaný „Caddy Local Authority – ECC Intermediate“, pretože nejde o verejnú certifikačnú autoritu dôveryhodnú pre prehliadače. Namiesto toho je súčasťou interného systému certifikátov webového servera Caddy, používaného iba pre lokálne testovanie alebo interné prostredia.

Keď je server Caddy nesprávne nakonfigurovaný — napríklad keď je nastavený na použitie lokálnej certifikačnej autority namiesto verejne dôveryhodných autorít ako Let’s Encrypt, ZeroSSL a pod. — vydáva samopodpísaný certifikát, ktorý je platný iba niekoľko hodín (v tomto prípade presne 12 hodín).

Samozrejme, tento druh certifikátu nemôže byť overený žiadnym prehliadačom, pretože mu chýba dôveryhodný koreň v globálnom reťazci CA. Výsledkom je, že prehliadače zobrazujú varovanie „Vaše pripojenie nie je súkromné“ alebo „Nie je zabezpečené“ a blokujú prístup na stránku. To je všetko, čo sa týka technických aspektov.

Teraz k tej znepokojujúcejšej časti. Čo ma naozaj prekvapilo, je to, že aj o 24 hodín neskôr sa nič nezmenilo. To vyvoláva vážne otázky — predovšetkým, aký odkaz to vysiela používateľom projektu, ktorý má byť oficiálnou verziou Ubuntu?

Ešte pred viac ako dvoma týždňami bola kompromitovaná webová stránka ďalšej oficiálnej verzie Ubuntu, Xubuntu. Tlačidlo na stiahnutie, ktoré malo poskytnúť inštalačný ISO obraz, namiesto toho odkazovalo na súbor obsahujúci malware cielený na počítače s Windows.

Už uplynulo 24 hodín a Kubuntu stále nevyriešilo problém s certifikátom — aj keď, úprimne povedané, s celou úctou, je to niečo, čo by nemalo trvať viac ako dvadsať minút — získať platný podpísaný SSL certifikát od dôveryhodného verejného poskytovateľa, nastaviť naň konfiguráciu webového servera, reštartovať službu a hotovo.

Čo sa snažím povedať, je, že naozaj nemyslím, že tento prístup k problému, kedy sa po dobu 24 hodín neprijímajú kroky na jeho riešenie, je typ správy, ktorú by Ubuntu chcelo odoslať používateľom svojich oficiálnych verzií.

Samozrejme, ak hovoríme o mojej domácej laboratóriu, kde niekoľko služieb zdieľam s blízkymi priateľmi, to nie je veľký problém. Avšak toto je iné — hovoríme o distribúcii, ktorá nesie meno Ubuntu, jednej z najuznávanejších značiek v Linuxovom ekosystéme. Mať takýto prístup k niečomu tak dôležitému, ako je online prítomnosť, je, mierne povedané, neprijateľné.

A bez toho, aby sme vedeli, koľko slobody Ubuntu vlastne dáva svojim oficiálnym verziám robiť vlastné technické rozhodnutia, možno—naozaj myslím možno—je čas, aby Canonical zasiahlo a prevzalo aktívnejšiu úlohu v tom, ako jeho oficiálne verzie reprezentujú značku. Pretože bez ohľadu na to, ako sa na to pozriete, signály vysielané používateľom, a hovoríme o stovkách tisíc z nich, nie sú dobré.