Website do Kubuntu Inacessível Devido a Erro de Configuração SSL

O site oficial do Kubuntu está atualmente inacessível devido a um problema na configuração do HTTPS, mas a verdadeira preocupação não é o certificado em si — é o que isto diz sobre a reputação do projeto.

Contratempos técnicos, para o bem ou para o mal, são algo com que todo profissional de TI acaba por se deparar mais cedo ou mais tarde. O que realmente importa é como os gerimos: mantendo a postura profissional, resolvendo o problema rapidamente e minimizando o impacto sobre os utilizadores.

Menciono isto porque ontem, quando tentei visitar o site oficial da versão do Ubuntu baseada em KDE, Kubuntu (kubuntu.org), reparei que os utilizadores estavam a ser confrontados com uma mensagem de erro na ligação HTTPS. E embora esse não seja realmente o problema principal aqui, vou dedicar um momento para partilhar alguns detalhes técnicos e maçadores—apenas para ajudar a esclarecer um pouco as coisas para todos.

O domínio kubuntu.org está atualmente a apresentar um certificado HTTPS emitido pela "Caddy Local Authority – ECC Intermediate" porque esta não é uma CA pública confiável pelos navegadores. Em vez disso, faz parte do sistema interno de certificados do servidor web Caddy, usado apenas para testes locais ou ambientes internos.

Quando um servidor Caddy está mal configurado — por exemplo, quando está definido para usar a sua CA local em vez das publicamente confiáveis, como a Let’s Encrypt, ZeroSSL, etc. — ele emite um certificado autoassinado que é válido apenas por algumas horas (neste caso, exatamente 12 horas).

Claro, este tipo de certificado não pode ser validado por nenhum navegador porque não possui uma raiz confiável na cadeia global de CA. Como resultado, os navegadores exibem o aviso «A sua ligação não é segura» ou «Não seguro» e bloqueiam o acesso ao site. Isso é tudo no que diz respeito aos aspetos técnicos.

Agora vem a parte mais preocupante. O que realmente me surpreendeu é que, mesmo passadas 24 horas, nada mudou. Isso levanta algumas questões sérias — principalmente, que tipo de mensagem isto envia aos utilizadores de um projeto que supostamente é uma variante oficial do Ubuntu?

Há pouco mais de duas semanas, o site de outra distribuição oficial do Ubuntu, o Xubuntu, foi comprometido. O botão de download, destinado a fornecer a imagem ISO de instalação, apontava em vez disso para um ficheiro carregado de malware dirigido a computadores com Windows.

Já passaram 24 horas, e o Kubuntu ainda não resolveu o problema do certificado — embora, honestamente, com todo o respeito, é algo que não deveria demorar mais de vinte minutos a resolver — obter o certificado SSL assinado válido de um fornecedor público de confiança, apontar a configuração do servidor web para ele, reiniciar o serviço, e é tudo.

O que estou a tentar dizer é que realmente não acho que esta atitude em relação ao problema, com 24 horas sem tomar medidas para o resolver, seja o tipo de mensagem que a Ubuntu quer transmitir aos utilizadores das suas versões oficiais.

Claro, se estivermos a falar do meu laboratório caseiro onde partilho alguns serviços com amigos próximos, isso não é grande problema. No entanto, isto é diferente — estamos a falar de uma distribuição que leva o nome Ubuntu, uma das marcas mais respeitadas no ecossistema Linux. Ter este tipo de atitude em relação a algo tão importante como a presença online de alguém é, para dizer o mínimo, inaceitável.

E sem saber quanta liberdade o Ubuntu dá realmente às suas versões oficiais para tomarem as suas próprias decisões técnicas, talvez—e eu realmente quero dizer talvez—chegou a hora da Canonical intervir e assumir um papel mais activo na forma como as suas versões oficiais representam a marca. Porque não importa como se olhe para isso, os sinais enviados aos utilizadores, e estamos a falar de centenas de milhares deles, não são bons.