Od rana „na topie” jest Bartłomiej Misiewicz i jego nowa fucha w Polskiej Grupie Zbrojeniowej (choć gdy pisze te słowa, to już jest po ptakach, przynajmniej jeśli chodzi o zatrudnienie). Szukając materiałów na ten nośny temat (no co, w końcu odsłony nie tylko w przypadku techno-pudelków mają znaczenie ;-)) trafiłem do Biuletynu Informacji Publicznej Polskiej Grupy Zbrojeniowej, a tam na małą niespodziankę związaną z certyfikatem SSL/HTTPS.

BIP PGZ z „zapożyczonym” certyfikatem SSL

Ostatnio panuje (słuszna) „moda” na przerzucanie stron na połączenie szyfrowane (HTTPS). Jest to też jeden z pierwszych elementów które sprawdzam podczas różnych „audytów stron internetowych”. Dotyczy to często/również stron związanych z usługami z których korzystam i/lub wszelkiej maści urzędów Państwowych.

Stąd w przypadku Biuletynu Informacji Publicznej Polskiej Grupy Zbrojeniowej również postanowiłem ręcznie zmienić typ połączenia na połączenie szyfrowane:

https://bip.pgzsa.pl/

W tym momencie przeglądarka wyświetliła mi ostrzeżenie o tym, że połączenie ze stroną nie jest bezpieczne, czyli mamy tu prawdopodobnie jakiś problem z certyfikatem (ale samo połączenie z serwerem za pomocą SSL/HTTPS jest możliwe):

Postanowiłem jednak dla Was zaryzykować i dodałem odpowiedni wyjątek, dzięki czemu mogłem wyświetlić stronę… powitalną webserwera Apache HTTP, działającego pod kontrolą systemu CentOS:

This page is used to test the proper operation of the Apache HTTP server after it has been installed. If you can read this page it means that this site is working properly. This server is powered by CentOS.

Znalazła się tam również „mała rada” dla administratora:

Are you the Administrator?

You should add your website content to the directory /var/www/html/.

To prevent this page from ever being used, follow the instructions in the file /etc/httpd/conf.d/welcome.conf.

Ale dużo ciekawszy jest powód, dla którego przeglądarka internetowa wyświetliła mi ostrzeżenie o tym, że połączenie ze stroną nie jest bezpieczne. Certyfikat jest na serwerze jest zainstalowany i skonfigurowany. Jest też ważny – od 20 marca 2017 do 20 marca 2020, czyli został wygenerowany (lub przedłużony) i wgrany na serwer niecały miesiąc temu.

Wszystko wydaje się OK, tylko jak to często bywa – diabeł tkwi w szczegółach. Certyfikat został wydany przez COMODO CA Limited dla całkiem innej domeny:

Pod adresem przypisanym do certyfikatu znajduje się strona fotografa z Łodzi, na której możemy przeczytać:

zdjęcia ślubne i nie tylko

Chyba kluczowe w tym przypadku może być „i nie tylko”… Dla porządku dodam, że strona fotografa działa w ramach połączenia szyfrowanego, oczywiście z certyfikatem wykorzystywanym przez stronę Biuletynu Informacji Publicznej Polskiej Grupy Zbrojeniowej… ;-)