要約

  • DigiCert は、一部の CNAME 方式ドメイン検証で方式が要求するアンダースコア接頭辞を付けずに実行していたと認めた。同社によれば、影響は該当するドメイン検証のおよそ 0.4% にあたる。
  • そのうえで同社は CA/Browser Forum の24時間失効ルールを自らに適用し、別の出来事を起点に期限を計算し直し、失効を最大120時間先の 2024年8月3日 19:30 UTC まで延期した。動かせる立場にあったのは、当の義務者だけだった。

認証局によるドメイン支配の確認は、申請が「主張」から「証明書」に変わる瞬間だ。発行体は、申請者が本当にその名前を支配しているかを確かめ、それから署名する。この確認はコードである。だから正しく書かれ、正しくレビューされ、それでも仕様が求める動作と食い違うことがある。

DigiCert の CNAME 経路は食い違っていた。同社は自社のインシデントページにこう記した。「Recently, we learned that we did not include the underscore prefix with the random value used in some CNAME-based validation cases」（DigiCert インシデントページ）。

アンダースコアは飾りではない。CNAME 方式の検証では、申請者が接頭辞付きのラベルの下に乱数を DNS レコードとして公開し、認証局がそれを読み返す。接頭辞が抜ければ、実行された検査は仕様が定めた検査ではなくなる。DigiCert は影響範囲を該当するドメイン検証のおよそ 0.4% としている（DigiCert インシデントページ）。この比率は発行体自身が公表した数字であり、ここで参照した資料に影響を受けた証明書数や顧客数を独立に数えた記録はない。

ここからが、この記録を残しておく理由だ。発見は DigiCert 自身によるものだった。公表も DigiCert 自身が、自社のページで、自社の言葉で行った。そしてルールの適用もまた、同社自身だった。

2024年7月29日 02:17 UTC、同社は予備的なインシデント報告を提出し、同日 22:36 UTC に失効通知を送り、こう述べた。「The 24-hour revocation rule applies in this circumstance as the issue impacts domain validation」（Mozilla Bugzilla 1910322）。CA/Browser Forum のベースライン要求の当該条文そのものは今回の取材では取得していない。以下でこのルールは DigiCert が説明した形でのみ扱い、延期がルールに適合したかどうかの判断は行わない。

次の文書で時計は可視化され、同時に判断へと変わる。「The 24 hours expired at 22:36 - 24 hours from when we had the serial numbers」（Mozilla Bugzilla 1910805）。この一文は期限を定めると同時に、その期限が選択の上に載っていることを明かしている。24時間は、どの出来事から数えるのか。DigiCert 自身の報告はこの曖昧さを指摘し、解いてはいない。

その後に起きたのは期限の未達ではない。期限の移動だった。同じ報告は、顧客への影響、法的措置、例外的な事情をめぐる協議を経て、失効を最大120時間遅らせる決定を記録している（Mozilla Bugzilla 1910805）。この決定を承認した、命じた、あるいは覆した外部の当事者は記録されていない。

差し替え後の期限はステータスページに載った。「All certificates impacted by this incident, regardless of circumstances, will be revoked no later than Saturday, August 3rd 2024, 19:30 UTC」（DigiCert Status）。同じ履歴は、特定された TLS 証明書が 2024年8月3日のおよそ 19:30 UTC に失効されたと記している。これは発行体の刻んだ時刻である。対象のシリアル番号についての独立した失効確認は得ていない。したがってここでの失効記録は、義務者が自分の作業について語った言葉だ。

もう一点、二度見する価値のある記述がある。公開インシデントページとは何なのかが、そこに出る。このページは 2024年7月29日に公開され、2024年8月4日更新の表示を持ち、現在は影響を受けた顧客に 2024年8月9日 20:30 UTC までの証明書差し替えを求めている（DigiCert インシデントページ）。これは後からの更新であって、元の期限ではない。今日これを読む人は、インシデントが進行中のまま書き換えられた文書の、落ち着いた版を見ている。

この記録に無いのは外部の裁定だ。本稿が参照した四点、すなわち DigiCert のインシデントページ、二本の Bugzilla 報告、ステータス履歴のいずれにも、Mozilla のルートプログラムやブラウザベンダーによる執行措置、投票、その後の帰結は現れていない。本稿も執行上の結論は述べない。

この修復のうち信頼できる部分は実在する。失効したシリアル番号は観測でき、期限切れの証明書は接続できず、差し替え指示は実行できる。外部から確かめられないのは、日程を決めた部分そのものだ。どの出来事が時計を始めたのか、なぜ延期が一日ではなく五日になったのか、ルールについて権限を持つ誰かが同意したのか。DigiCert, Inc. は本誌のディレクトリ項目に登録されている。この項目は組織的な輪郭を示すもので、検証実務への評価ではない。

記録が示すのは、速く公表し、公の場で自説を述べ、そして自分で書いた期限を守った発行体だ。同時にそれは、期限が動いたのは義務者が動かしたからだということも示している。