Kubuntu-webbplatsen otillgänglig på grund av SSL-konfigurationsfel

Den officiella Kubuntu-webbplatsen är för närvarande otillgänglig på grund av ett problem med HTTPS-konfigurationen, men det verkliga problemet är inte själva certifikatet — det är vad detta säger om projektets rykte.

Tekniska problem, vare sig det är till det bättre eller sämre, är något som alla IT-proffs stöter på förr eller senare. Det som verkligen spelar roll är hur vi hanterar dem: att hålla oss professionella, åtgärda problemet snabbt och minimera påverkan på användarna.

Jag tar upp detta eftersom jag igår, när jag försökte besöka den officiella webbplatsen för Ubuntus KDE-baserade variant, Kubuntu (kubuntu.org), märkte att användare möttes av ett felmeddelande om HTTPS-anslutning. Och även om det egentligen inte är huvudproblemet här, tar jag ett ögonblick för att dela med mig av några tekniska, tråkiga detaljer—bara för att göra saker lite tydligare för alla.

Domänen kubuntu.org visar för närvarande ett HTTPS-certifikat utfärdat av "Caddy Local Authority – ECC Intermediate" eftersom detta inte är en offentlig CA som är betrodd av webbläsare. Istället är det en del av Caddy-webbserverns interna certifikatsystem, som endast används för lokal testning eller interna miljöer.

När en Caddy-server är felkonfigurerad – till exempel när den är inställd på att använda sin lokala CA istället för offentligt betrodda som Let’s Encrypt, ZeroSSL osv. – utfärdar den ett självsignerat certifikat som endast är giltigt i några timmar (i det här fallet exakt 12 timmar).

Självklart kan den här typen av certifikat inte valideras av någon webbläsare eftersom det saknar en betrodd rot i den globala CA-kedjan. Som ett resultat visar webbläsare varningen „Din anslutning är inte privat” eller „Inte säker” och blockerar åtkomst till webbplatsen. Det var allt om de tekniska aspekterna.

Nu till den mer oroande delen. Det som verkligen överraskade mig är att, även 24 timmar senare, har ingenting förändrats. Det väcker vissa allvarliga frågor—främst, vilket budskap skickar det till användarna av ett projekt som ska vara en officiell Ubuntu-variant?

För drygt två veckor sedan blev webbplatsen för en annan officiell Ubuntu-variant, Xubuntu, komprometterad. Nedladdningsknappen, som skulle ge installations-ISO-filen, länkade istället till en fil fylld med skadlig programvara riktad mot Windows-datorer.

Det har gått 24 timmar nu, och Kubuntu har fortfarande inte fixat certifikatproblemet — även om det, ärligt talat, med all respekt, är något som inte borde ta mer än tjugo minuter att ordna — skaffa ett korrekt signerat SSL-certifikat från en pålitlig offentlig leverantör, peka webbserverns konfiguration mot det, ladda om tjänsten, och det är allt.

Det jag försöker säga är att jag verkligen inte tror att denna inställning till frågan, med 24 timmar utan att ta några steg för att lösa den, är typen av budskap som Ubuntu vill skicka till användare av sina officiella versioner.

Självklart, om vi pratar om mitt hemmlabb där jag delar några tjänster med nära vänner, är det ingen stor grej. Men det här är annorlunda — vi pratar om en distribution som bär Ubuntu-namnet, ett av de mest respekterade varumärkena i Linux-ekosystemet. Att ha den här typen av inställning till något så viktigt som ens online-närvaro är, milt uttryckt, oacceptabelt.

Och utan att veta hur mycket frihet Ubuntu egentligen ger sina officiella versioner att fatta egna tekniska beslut, kanske — och jag menar verkligen kanske — är det dags för Canonical att kliva in och ta en mer aktiv roll i hur dess officiella versioner representerar varumärket. För hur man än ser på det, är de signaler som skickas till användarna, och vi talar om hundratusentals av dem, inte särskilt positiva.