Zusammenfassung

  • DigiCert räumte ein, dass einige CNAME-basierte Domain-Validierungen ohne das von der Methode verlangte Unterstrich-Präfix liefen — ein Fehler, der ihr zufolge rund 0,4 % der betroffenen Domain-Validierungen erfasste.
  • Danach wandte sie die 24-Stunden-Widerrufsregel des CA/Browser Forum auf sich selbst an, rechnete die Frist von einem anderen auslösenden Ereignis aus neu und verschob den Widerruf um bis zu 120 Stunden auf den 3. August 2024, 19:30 UTC.

Die Domain-Control-Validierung ist der Punkt, an dem aus einem Antrag ein Zertifikat wird. Die Zertifizierungsstelle prüft, ob der Antragsteller den Namen tatsächlich kontrolliert, und signiert dann. Diese Prüfung ist Code. Sie kann korrekt geschrieben, korrekt reviewed und trotzdem nicht das tun, was die Methode vorschreibt.

Der CNAME-Pfad von DigiCert tat etwas anderes. „Recently, we learned that we did not include the underscore prefix with the random value used in some CNAME-based validation cases“, schrieb das Unternehmen auf seiner eigenen Incident-Seite (DigiCert-Incident-Seite).

Der Unterstrich ist keine Zierde. Bei der CNAME-Validierung veröffentlicht der Antragsteller einen Zufallswert in einem DNS-Eintrag unter einem Label mit Präfix, und die Stelle liest ihn zurück; fehlt das Präfix, ist die ausgeführte Prüfung nicht mehr die vorgeschriebene. DigiCert beziffert den Umfang auf rund 0,4 % der betroffenen Domain-Validierungen (DigiCert-Incident-Seite). Diese Quote ist die vom Betreiber selbst veröffentlichte Zahl. Eine unabhängige Zählung betroffener Zertifikate oder Kunden findet sich im hier geprüften Material nicht.

Nun der Teil, der diesen Fall aufbewahrenswert macht. Die Erkennung kam von DigiCert. Die Offenlegung kam von DigiCert, auf DigiCerts Seite, mit DigiCerts Worten. Und die Durchsetzung der Regel ebenfalls.

Am 29. Juli 2024 um 02:17 UTC reichte das Unternehmen einen vorläufigen Incident-Bericht ein, um 22:36 UTC desselben Tages versandte es die Widerrufsanzeige mit dem Satz: „The 24-hour revocation rule applies in this circumstance as the issue impacts domain validation“ (Mozilla Bugzilla 1910322). Der Wortlaut der Baseline Requirements des CA/Browser Forum wurde für diese Recherche nicht abgerufen; die Regel erscheint hier nur so, wie DigiCert sie charakterisiert, und nichts im Folgenden stellt fest, ob die Verlängerung dieser Regel entsprach.

Das nächste Dokument macht die Uhr sichtbar und verwandelt sie zugleich in eine Entscheidung. „The 24 hours expired at 22:36 - 24 hours from when we had the serial numbers“ (Mozilla Bugzilla 1910805). Dieser Satz fixiert eine Frist und legt im selben Atemzug offen, dass sie auf einer Wahl beruht: welches Ereignis die vierundzwanzig Stunden startet. DigiCerts eigener Bericht benennt die Unklarheit, ohne sie aufzulösen.

Was folgte, war keine verpasste Frist. Es war eine verschobene. Derselbe Bericht hält die Entscheidung fest, den Widerruf um bis zu 120 Stunden zu verzögern, getroffen nach Gesprächen über Kundenauswirkungen, rechtliche Schritte und außergewöhnliche Umstände (Mozilla Bugzilla 1910805). Kein Dritter erscheint in der Akte als Instanz, die diese Entscheidung genehmigt, angeordnet oder verworfen hätte.

Die Ersatzfrist landete auf der Statusseite: „All certificates impacted by this incident, regardless of circumstances, will be revoked no later than Saturday, August 3rd 2024, 19:30 UTC“ (DigiCert Status). Dieselbe Chronik verzeichnet, dass die identifizierten TLS-Zertifikate am 3. August 2024 gegen 19:30 UTC widerrufen wurden. Das sind die Zeitstempel des Betreibers. Eine unabhängige Bestätigung des Widerrufs für die betroffenen Seriennummern wurde nicht erlangt; der Widerrufsnachweis ist hier deshalb das Wort der verpflichteten Partei über die Arbeit der verpflichteten Partei.

Ein weiteres Detail verdient einen zweiten Blick, weil es zeigt, was eine öffentliche Incident-Seite tatsächlich ist. Die Seite wurde am 29. Juli 2024 veröffentlicht, trägt den Vermerk einer Aktualisierung vom 4. August 2024 und verlangt heute von betroffenen Kunden den Austausch der Zertifikate bis zum 9. August 2024, 20:30 UTC (DigiCert-Incident-Seite). Diese Anweisung ist eine spätere Aktualisierung, nicht die ursprüngliche Frist. Wer sie heute liest, sieht die beruhigte Fassung eines Dokuments, das während des laufenden Vorfalls umgeschrieben wurde.

Was in dieser Akte fehlt, ist ein Urteil von außen. Keine Maßnahme eines Mozilla-Root-Programms oder eines Browserherstellers, kein Ballot und keine Folgeerscheinung taucht in den vier für dieses Briefing geprüften Dokumenten auf — DigiCerts Incident-Seite, ihre beiden Bugzilla-Berichte und ihre Statushistorie — und dieser Text behauptet kein Durchsetzungsergebnis.

Die belastbaren Teile dieser Reparatur sind real. Eine widerrufene Seriennummer ist beobachtbar, ein abgelaufenes Zertifikat verbindet nicht mehr, eine Austauschanweisung lässt sich befolgen. Nicht von außen prüfbar sind genau jene Teile, die den Zeitplan entschieden haben: welches Ereignis die Uhr startete, warum die Verlängerung fünf Tage statt einen erreichte und ob irgendjemand mit Regelkompetenz zugestimmt hat. DigiCert, Inc. führt einen Verzeichniseintrag in dieser Publikation; der Eintrag beschreibt eine institutionelle Präsenz, kein Urteil über Validierungspraxis.

Die Akte zeigt einen Betreiber, der schnell offenlegte, öffentlich für seine Position argumentierte und dann die Frist einhielt, die er sich selbst geschrieben hatte. Sie zeigt zugleich, dass diese Frist sich bewegte, weil die verpflichtete Partei sie bewegte.