Plötzlich SSL-Fehler

[fishbrain]

Hallo zusammen,

ich habe ein einfaches php-Skript auf einer Seite laufen, das lief bisher auch ohne Probleme.

Ohne dass ich irgendwas an dem Skript geändert hätte, bekomme ich nun diverse SSL-Fehler:


Warning: file(): SSL operation failed with code 1. OpenSSL Error messages: error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed in .php on line 149

Warning: file(): Failed to enable crypto in .php on line 149

Warning: file(https://www....): failed to open stream: operation failed in .php on line 149

Es scheint sich um die file - Operation zu handeln. Die Seite, die geladen werden soll exitiert und ist aufrufbar.

Hinweis: ich habe auf meiner Seite kein SSL.

Gab es da irgendwälche Änderungen die letzten Tage, die den Fehler im Skript jetzt hervorrufen könnten?

Gibt es irgendwwelche Einstellungen in der php.ini, die das Problem lösen könnten? Oder müsste ich jetzt auf SSL auf meiner Seite wechseln?

Grüße!

[fpielage]

Also, wenn es kein SSL gibt, solltest Du die Website auch nicht mit https aufrufen, sondern mit http .

Grüße
fp

[fishbrain]

Meine eigene Seite hat kein SSL. Die rufe ich auch nur per http auf. Die Webseite die ausgelesen werden soll ist aber eine https. Bisher lief das ohne Probleme.
Wurde da irgendeine Restriction strenger, dass das nicht mehr zulässig ist, wenn die eigene Seite kein ssl hat?

[[headcrash]]

Das könnte durchaus mit den TLS-Änderungen zu tun haben, die gerade durchgeführt werden.

[fishbrain]

Ich habe jetzt mal etwas rum gelesen. Es ist wohl so, dass php an der Stelle das ssl-Zertifikat der aufgerufenen Seite (aus file() ) nicht kennt oder akzeptiert.

Die Frage wäre jetzt, da ich ja an meinem Code nichts geändert habe, ob die Zielseite das Zertifikat geändert hat und das bei df noch nicht angekommen ist, oder ob es bei den php-Einstellungen bei df irgendeine verschärfung gegeben hat?

Und die zweite Frage wäre, was kann ich tun, um dem zu begegnen? Kann ich was in meiner php.ini ändern? Oder müsste ich was in meinem Code ändern? Wie sähe das bei df aus? Ich habe dazu nur Codeschnipsel gefunden, die sich auf openssl beziehen...

[Funbug]

Wir hatten gerade ein ähnliches Problem. Bei einem PHP-Script wird per cURL eine URL abgerufen. Der Verbose-Output ergibt, dass das SSL-Zertifikat der Gegenstelle abgelaufen sei, obwohl es noch über ein Jahr gültig ist. Wir umgehen das Problem nun vorübergehend, indem wir das SSL-Zertifkat nicht prüfen:

curl_setopt($handle, CURLOPT_SSL_VERIFYPEER, 0); 

[wecotec]

Genau diesen Fehler hatten wir Freitag auch, dem SSL_VERIFIER in cUrl zu deaktivieren war die Lösung.

Die Frage ist nur warum ist das passiert? @DF: Was wurde geändert?

[Funbug]

... und vor allem ohne Ankündigung.
Die Fehlersuche hat mich 3 Stunden Zeit gekostet. Hinzu kam die daraus resultierende Nacharbeit eines Scripts, das zeitkritisch zum letzten Tag eines Monats laufen muss.

[wecotec]

... und vor allem ohne Ankündigung.
Die Fehlersuche hat mich 3 Stunden Zeit gekostet. Hinzu kam die daraus resultierende Nacharbeit eines Scripts, das zeitkritisch zum letzten Tag eines Monats laufen muss.

ich hab die Mail vom Kunden nur durch Zufall entdeckt, hätte ich sie nicht entdeckt wäre ein Megaschaden entstanden, vor allem weil 3 Tage Wochenende vor der Tür standen.

Mein PVI hat mir dazu folgendes geschrieben, ggf kannst Du auch mal schauen:

Bitte prüfen Sie bei dem externen Server einmal ob hier ein nicht mehr gültiges Zwischenzertifikat von Sertico verwendet wird:

https://support.sectigo.com/articles...ng-May-30-2020

Ich lass das gerade prüfen, kann mir aber nicht vorstellen dass es da einen Fehler gegeben hat. Ansonsten wäre die halbe Bundesliga, die der Anbieter bedient, ohne CRM über Pfingsten gewesen ;-)

[wecotec]

Hier scheint die Ursache zu liegen

https://www.heise.de/news/AddTrust-P...t-4771717.html

[Funbug]

Danke. Comodo, ja. Ich habe die Gegenstelle informiert.

[fishbrain]

Jetzt war es auch in den Statusmeldungen:

Ausfall SSL-Zertifikate
Ticket eröffnet:
02.06.20, 18:41 Uhr
Behoben:
03.06.20, 07:16 Uhr
Derzeit sind mehrere bzw. ein zentraler Dienst nicht verfügbar. Davon betroffen sind:

- Bestellung / Verlängerung / Download von SSL-Zertifikaten

Diese Störung führt auch dazu das einzelne Zertifikate auf den Webservern nicht mehr funktionieren.

Wir arbeiten bereits mit Hochdruck an der Wiederherstellung der Systemstabilität und informieren Sie selbstverständlich, sobald uns weitere Informationen zur Verfügung stehen.

Wir bedauern diese Beeinträchtigung und bitten für die entstandenen Unannehmlichkeiten um Entschuldigung.

Letzte Aktualisierung: 03.06.20, 07:16 Uhr


Aber wirklich funktionieren tut es bei mir immer noch nicht!

[wecotec]

Aber wirklich funktionieren tut es bei mir immer noch nicht!

Technisch ist das eine andere Baustelle als das was oben beschrieben wurde. Obiges Problem war mal nicht die Schuld von DF

Ich frage mich gerade wie ein SSL-Zertifikat "ausfallen" kann.....ich befürchte es ist diese wirklich komplexe Verwaltungsstruktur fürs technische Rückgrat die DF da an den Hacken hat (irgendwas mit LDAP) und was irgendwie immer wieder Probleme bereitet :-(

[[headcrash]]

Ursache dürfte die DSGVO sein, seit dem gibt es jedes Jahr ab April bis Juni/Juli massive Probleme, da dann extrem viele Verlängerungen ausgelöst werden (und das nicht nur hier bei DF, sondern bei allen Konzernfirmen, die Starfield anbieten). Dass die Technik da immer noch nicht so umgebaut wurde, dass es zuverlässig läuft, ist natürlich extrem ärgerlich, da immer wieder Ausfälle bei Kunden durch dieses Problem passieren.

[wecotec]

Ursache dürfte die DSGVO sein, seit dem gibt es jedes Jahr ab April bis Juni/Juli massive Probleme, da dann extrem viele Verlängerungen ausgelöst werden (und das nicht nur hier bei DF, sondern bei allen Konzernfirmen, die Starfield anbieten). Dass die Technik da immer noch nicht so umgebaut wurde, dass es zuverlässig läuft, ist natürlich extrem ärgerlich, da immer wieder Ausfälle bei Kunden durch dieses Problem passieren.

Das ist auch eine interessante Info....böse Zungen würden ja jetzt schreiben dass man vielleicht die Preise für SSL anheben sollte damit Starfield seine Kapazitäten ausbauen kann ;-) Ich finde es noch interessanter, dass ich bei Lets-Encrypt keine Verzögerung bemerkt habe.....und ich habe nicht wenig dieses Frühjahr auf LE umgestellt.....