Почему Let's Encrypt может выдать сертификат, недействительный в течение следующего часа или около того?

#lets-encrypt

Вопрос:

Я использую инструмент Let’s Encrypt с открытым исходным кодом, и он годами работал на некоторых серверах. В одном случае в США сертификат признан недействительным, потому что он «еще недействителен». «Действительный от» кажется разумным, возможно, через несколько часов, но UTC будет учитывать это.

Я подозреваю, что проблема заключается в проверке клиента, но приветствую любые мысли о специфике того, почему это может быть, чтобы мы могли копать глубже.

Ответ №1:

Без дополнительной информации я не могу быть уверен, но наиболее вероятной причиной является то, что часы сервера отключены на несколько часов. Если у вас есть контроль над этим сервером, убедитесь, что он правильно синхронизируется с сетевым сервером времени. Обычно это делается через NTP.

1. Спасибо — вы знаете, какой часовой пояс использует «действительный из»? Это UTC или это как-то связано с часами на запрашивающем сервере?

2. Временные метки не имеют часового пояса, связанного с ними. Каждая временная метка — это просто число, представляющее количество микро, милли или секунд с начала эпохи unix. Даты имеют часовые пояса, и они, очевидно, зависят от местоположения. Проверка сертификата использует разницу между двумя временными метками и поэтому не зависит от часового пояса.

Ответ №2:

Для записи это был веб-сервер, который загружал сертификат, который не учитывал часовой пояс. Из-за смещения от UTC он думал, что сертификат еще не запущен.