Zertifikat von embdev.net ist abgelaufen

[Gerd E. (robberknight)]

Das Zertifikat von embdev.net ist heute abgelaufen.

Da dort auch HSTS aktiv ist, komme ich z.B. mit dem Firefox gar nicht 
mehr drauf.

Ich würde mich freuen wenn das zeitnah erneuert werden könnte.

Außerdem würde ich anregen, soetwas mit einer automatischen 
Überwachungssoftware in Zukunft rechtzeitig vorher zu erkennen. Kann man 
entweder selbst aufsetzen, z.B. mit Icinga, Nagios,... oder als 
Dienstleistung einkaufen, z.B. Server-Eye.

[(prx) A. K. (prx)]

Da es von Letsencrypt ist, sollte sich der Renew automatisieren lassen.

[Gerd E. (robberknight)]

Auch bei der Automatisierung kann mal etwas schief laufen, eine 
Überwachung macht daher meiner Meinung nach in jedem Fall Sinn.

[Daniel F. (df311)]

hmm, das erinnert mich daran, was ich neulich im Büro erlebt habe:
ich habe an einem Projekt eine Änderung gemacht, getestet und 
eingespielt. Email an den Kunden geht raus, Meldung kommt zurück, dass 
die Webseite nicht funktioniert.
kurz aufgerufen, Zertifikat abgelaufen.

hmm, was ist das jetzt los?
- monitoring sagt, das Zertifikat ist ok
- händischer Check ob das Überwachungsscript richtig arbeitet auch ok
- vor 20 Minuten hats noch funktioniert

also wo zum Geier ist das Problem?

die Lösung war recht einfach: nginx lädt die Zertifikate nur einmal in 
den RAM. Wenn es dazwischen abläuft, dann ist es eben ungültig.
Die lösung war dann ein automatisierter reload wenn zumindest ein 
Zertifikat erneuert wurde.

[Frank M. (ukw) (Moderator)]

Daniel F. schrieb:
> Die lösung war dann ein automatisierter reload wenn zumindest ein
> Zertifikat erneuert wurde.

Den Reload muss man beim Apache auch machen.

[Daniel F. (df311)]

nach außen habe ich nur nginx. und die internen apachen sprechen nicht 
die sprache des verschlüsselten mannes ;-)

aber trotzdem gut zu wissen

[Andreas S. (andreas) (Admin)]

Daniel F. schrieb:
> die Lösung war recht einfach: nginx lädt die Zertifikate nur einmal in
> den RAM. Wenn es dazwischen abläuft, dann ist es eben ungültig.
> Die lösung war dann ein automatisierter reload wenn zumindest ein
> Zertifikat erneuert wurde.

Genau das war auch bei embdev.net das Problem. Ich allerdings bei 
letsencrypt damit gerechnet noch in das ein oder andere Problem dieser 
Art zu laufen, deshalb bin ich bei Mikrocontroller.net erst mal bei 
einem klassischen 3-Jahres-Zertifikat geblieben. Das muss allerdings 
demnächst wohl auch ersetzt werden, da Symantec bei Google und anderen 
in Ungnade gefallen ist...