Site Web de Kubuntu inaccessible en raison d'une erreur de configuration SSL

Le site officiel de Kubuntu est actuellement inaccessible en raison d’un problème de configuration HTTPS, mais la vraie inquiétude ne concerne pas le certificat lui-même — c’est ce que cela dit sur la réputation du projet.

Les problèmes techniques, pour le meilleur ou pour le pire, sont quelque chose que tout professionnel en TI rencontre tôt ou tard. Ce qui compte vraiment, c'est la manière dont nous les gérons : rester professionnel, résoudre le problème rapidement et minimiser l'impact sur les utilisateurs.

J’aborde ce sujet parce qu’hier, lorsque j’ai essayé de visiter le site officiel de la déclinaison de Kubuntu basée sur KDE d’Ubuntu (kubuntu.org), j’ai remarqué que les utilisateurs rencontraient un message d’erreur de connexion HTTPS. Et bien que ce ne soit pas vraiment le problème principal ici, je vais prendre un moment pour partager quelques détails techniques et ennuyeux—juste pour aider à clarifier un peu les choses pour tout le monde.

Le domaine kubuntu.org présente actuellement un certificat HTTPS émis par « Caddy Local Authority – ECC Intermediate » car ce n’est pas une autorité de certification publique reconnue par les navigateurs. Il fait plutôt partie du système de certificats interne du serveur web Caddy, utilisé uniquement pour des tests locaux ou des environnements internes.

Lorsqu’un serveur Caddy est mal configuré — par exemple, lorsqu’il est configuré pour utiliser sa propre autorité de certification locale au lieu de celles reconnues publiquement par Let’s Encrypt, ZeroSSL, etc. — il émet un certificat auto-signé qui n’est valable que quelques heures (dans ce cas précis, exactement 12 heures).

Bien sûr, ce type de certificat ne peut pas être validé par un navigateur car il ne dispose pas d'une autorité de certification racine reconnue dans la chaîne CA globale. En conséquence, les navigateurs affichent l’avertissement « Votre connexion n’est pas privée » ou « Non sécurisé » et bloquent l’accès au site. C’est tout pour les aspects techniques.

Passons maintenant à la partie plus préoccupante. Ce qui m’a vraiment surpris, c’est que, même 24 heures plus tard, rien n’a changé. Cela soulève des questions sérieuses — principalement, quel genre de message cela envoie-t-il aux utilisateurs d’un projet censé être une variante officielle d’Ubuntu ?

Il y a un peu plus de deux semaines, le site web d’une autre déclinaison officielle d’Ubuntu, Xubuntu, a été compromis. Le bouton de téléchargement, destiné à fournir l’image ISO d’installation, pointait plutôt vers un fichier contenant des logiciels malveillants ciblant les ordinateurs Windows.

Cela fait maintenant 24 heures, et Kubuntu n’a toujours pas résolu le problème de certificat — même si, honnêtement, avec tout le respect que je leur dois, c’est quelque chose qui ne devrait pas prendre plus de vingt minutes à régler — obtenir le certificat SSL valide signé par un fournisseur public de confiance, pointer la configuration du serveur web vers celui-ci, recharger le service, et c’est tout.

Ce que j’essaie de dire, c’est que je ne pense vraiment pas que cette attitude face au problème, en laissant passer 24 heures sans prendre de mesures pour le résoudre, soit le genre de message qu’Ubuntu souhaite envoyer aux utilisateurs de ses variantes officielles.

Bien sûr, si nous parlons de mon laboratoire à la maison où je partage quelques services avec des amis proches, ce n’est pas un gros problème. Cependant, c’est différent — nous parlons d’une distribution qui porte le nom d’Ubuntu, l’une des marques les plus respectées dans l’écosystème Linux. Avoir ce genre d’attitude envers quelque chose d’aussi important que sa présence en ligne est, pour dire le moins, inacceptable.

Et sans savoir à quel point Ubuntu laisse réellement ses saveurs officielles libres de prendre leurs propres décisions techniques, peut-être—and je dis vraiment peut-être—il est temps pour Canonical d'intervenir et de jouer un rôle plus actif dans la façon dont ses saveurs officielles représentent la marque. Parce que peu importe comment on le regarde, les signaux envoyés aux utilisateurs, et nous parlons de centaines de milliers d'entre eux, ne sont pas bons.