Resumo

  • A DigiCert reconheceu que algumas validações de domínio por CNAME rodaram sem o prefixo de sublinhado que o método exige — um defeito que, segundo ela, atingiu cerca de 0,4% das validações de domínio aplicáveis.
  • Em seguida aplicou a si mesma a regra de revogação em 24 horas do CA/Browser Forum, recalculou o prazo a partir de outro evento de disparo e adiou a revogação em até 120 horas, para 3 de agosto de 2024 às 19:30 UTC — um prazo que só ela podia mover.

A validação de controle de domínio é o instante em que um pedido deixa de ser alegação e vira certificado. A autoridade certificadora confere se o solicitante realmente controla o nome e então assina. Essa checagem é código: pode ser escrita corretamente, revisada corretamente e ainda assim divergir do que a norma manda fazer.

O caminho CNAME da DigiCert divergia. "Recently, we learned that we did not include the underscore prefix with the random value used in some CNAME-based validation cases", escreveu a empresa na própria página do incidente (página do incidente da DigiCert).

O sublinhado não é enfeite. Na validação por CNAME, o solicitante publica um valor aleatório num registro DNS sob um rótulo com prefixo, e a autoridade lê de volta; sem o prefixo, a checagem executada já não é a checagem especificada. A DigiCert situa o alcance em cerca de 0,4% das validações de domínio aplicáveis (página do incidente da DigiCert). Esse percentual é o número que a operadora publicou. Nenhuma contagem independente de certificados ou clientes afetados aparece no material examinado aqui.

Agora a parte que faz este dossiê valer a pena. A detecção foi da DigiCert. A divulgação também: na página da DigiCert, nas palavras da DigiCert. E a aplicação da regra, igualmente.

Em 29 de julho de 2024, às 02:17 UTC, a empresa protocolou um relatório preliminar do incidente; às 22:36 UTC do mesmo dia enviou o aviso de revogação, afirmando: "The 24-hour revocation rule applies in this circumstance as the issue impacts domain validation" (Mozilla Bugzilla 1910322). O texto dos Requisitos Basais do CA/Browser Forum não foi obtido para esta reportagem: a regra aparece aqui apenas como a DigiCert a caracteriza, e nada abaixo conclui que o adiamento tenha cumprido ou descumprido essa norma.

O documento seguinte torna o relógio visível e, no mesmo movimento, o transforma em decisão. "The 24 hours expired at 22:36 - 24 hours from when we had the serial numbers" (Mozilla Bugzilla 1910805). A frase fixa um prazo e revela que ele se apoia numa escolha: qual evento abre as vinte e quatro horas. O próprio relatório da DigiCert aponta a ambiguidade sem resolvê-la.

O que veio depois não foi um prazo perdido. Foi um prazo movido. O mesmo relatório registra a decisão de adiar a revogação em até 120 horas, tomada depois de discussões sobre impacto nos clientes, medidas judiciais e circunstâncias excepcionais (Mozilla Bugzilla 1910805). Nenhum terceiro aparece aprovando, ordenando ou derrubando essa decisão.

O prazo substituto caiu na página de status: "All certificates impacted by this incident, regardless of circumstances, will be revoked no later than Saturday, August 3rd 2024, 19:30 UTC" (DigiCert Status). O mesmo histórico registra que os certificados TLS identificados foram revogados em 3 de agosto de 2024, por volta de 19:30 UTC. São os horários da operadora. Não houve confirmação independente da revogação dos números de série afetados, e o registro de revogação aqui é, portanto, a palavra do obrigado sobre o trabalho do obrigado.

Há mais um artefato que merece segunda olhada, porque mostra o que uma página pública de incidente realmente é. A página foi publicada em 29 de julho de 2024, traz marca de atualização de 4 de agosto de 2024 e hoje pede aos clientes afetados que substituam certificados até 9 de agosto de 2024, às 20:30 UTC (página do incidente da DigiCert). Essa instrução é atualização posterior, não o prazo original. Quem a lê hoje vê a versão assentada de um documento reescrito enquanto o incidente estava em curso.

O que não está nesse dossiê é um veredicto externo. Nenhuma medida de programa raiz da Mozilla ou de fabricante de navegador, nenhuma votação e nenhuma consequência posterior aparece nos quatro documentos examinados para esta análise — a página do incidente da DigiCert, seus dois relatórios no Bugzilla e seu histórico de status — e este texto não afirma nenhum desfecho sancionatório.

As partes confiáveis deste conserto são reais. Um número de série revogado é observável, um certificado vencido não conecta, uma instrução de substituição pode ser seguida. As partes que não se conferem de fora são justamente as que decidiram o calendário: qual evento abriu o relógio, por que o adiamento chegou a cinco dias e não a um, e se alguma autoridade sobre a regra concordou. A DigiCert, Inc. tem uma entrada no diretório desta publicação; a entrada descreve uma presença institucional, não um juízo sobre práticas de validação.

O registro mostra uma operadora que divulgou rápido, defendeu seu caso em público e depois cumpriu o prazo que ela mesma escreveu. Mostra também que o prazo andou porque a parte obrigada o moveu.