Kubuntu web stranica nedostupna zbog pogreške u SSL konfiguraciji

Službena stranica Kubuntua trenutno je nedostupna zbog problema s HTTPS postavkama, ali pravi problem nije sam certifikat — već ono što ovo govori o reputaciji projekta.

Tehnički problemi, htjeli mi to ili ne, nešto su s čime se svaki IT stručnjak prije ili kasnije susreće. Ono što stvarno ima značaja jest kako ih rješavamo: ostati profesionalan, brzo popraviti problem i minimizirati utjecaj na korisnike.

Spominjem ovo jer sam jučer, kada sam pokušao posjetiti službenu web stranicu Ubuntuove KDE varijante, Kubuntu (kubuntu.org), primijetio da se korisnici susreću s porukom o pogrešci HTTPS veze. I iako to zapravo nije glavni problem ovdje, odvojit ću trenutak da podijelim nekoliko tehničkih, dosadnih detalja—samo da stvari malo jasnije budu za sve.

Domena kubuntu.org trenutno prikazuje HTTPS certifikat izdan od „Caddy Local Authority – ECC Intermediate“ jer ovo nije javni CA kojem vjeruju preglednici. Umjesto toga, dio je internog sustava certifikata web poslužitelja Caddy, koji se koristi samo za lokalno testiranje ili unutarnja okruženja.

Kada je Caddy poslužitelj pogrešno konfiguriran — na primjer, kada je postavljen da koristi svoj lokalni CA umjesto javno priznatih poput Let’s Encrypt, ZeroSSL itd. — izdaje samopotpisani certifikat koji vrijedi samo nekoliko sati (u ovom slučaju točno 12 sati).

Naravno, ovakva vrsta certifikata ne može biti potvrđena od strane bilo kojeg preglednika jer nema pouzdanog korijena u globalnom CA lancu. Kao rezultat, preglednici prikazuju upozorenje „Vaša veza nije privatna“ ili „Nije sigurno“ i blokiraju pristup web-mjestu. To je sve što se tiče tehničkih aspekata.

A sada za zabrinjavajući dio. Ono što me stvarno iznenadilo je da, čak ni 24 sata kasnije, ništa nije promijenjeno. To postavlja ozbiljna pitanja—prvenstveno, kakvu poruku ovo šalje korisnicima projekta koji bi trebao biti službeni Ubuntu okus?

Prije nešto više od dva tjedna, web stranica još jedne službene distribucije Ubuntua, Xubuntua, bila je kompromitirana. Gumb za preuzimanje, koji je trebao omogućiti ISO sliku za instalaciju, umjesto toga vodio je na datoteku prepuno zlonamjernog softvera koji je ciljao Windows računala.

Prošlo je već 24 sata, a Kubuntu još uvijek nije riješio problem s certifikatom — iako, iskreno, uz svu dužnu poštovanje, to je nešto što ne bi trebalo trajati više od dvadeset minuta da se riješi — dobiti valjani SSL certifikat s potpisom od pouzdanog javnog davatelja, usmjeriti konfiguraciju web poslužitelja na njega, ponovno pokrenuti servis i to je to.

Ono što pokušavam reći je da stvarno ne mislim da je ovaj stav prema pitanju, s 24 sata bez poduzimanja koraka za njegovo rješavanje, poruka koju Ubuntu želi poslati korisnicima svojih službenih verzija.

Naravno, ako govorimo o mojoj kućnoj laboratoriji gdje dijelim nekoliko usluga s bliskim prijateljima, to nije veliki problem. Međutim, ovo je drugačije — govorimo o distribuciji koja nosi ime Ubuntu, jednog od najcjenjenijih brendova u Linux ekosustavu. Imati takav stav prema nečemu što je toliko važno kao nečije online prisustvo je, blago rečeno, neprihvatljivo.

I bez da znamo koliko slobode Ubuntu zapravo daje svojim službenim verzijama da donose vlastite tehničke odluke, možda — i stvarno mislim možda — je vrijeme da Canonical intervenirati i preuzme aktivniju ulogu u tome kako njegove službene verzije predstavljaju brend. Jer bez obzira kako to gledali, signali koji se šalju korisnicima, a govorimo o stotinama tisuća njih, nisu dobri.