Кратко

  • DigiCert признала, что часть проверок домена по схеме CNAME выполнялась без префикса-подчёркивания, которого требует сама схема; по её данным, дефект затронул около 0,4 % применимых проверок домена.
  • Затем она применила к себе правило отзыва за 24 часа от CA/Browser Forum, пересчитала срок от другого начального события и отложила отзыв на срок до 120 часов — до 3 августа 2024 года, 19:30 UTC.

Проверка контроля над доменом — это момент, когда заявка перестаёт быть заявкой и становится сертификатом. Удостоверяющий центр убеждается, что заявитель действительно управляет именем, и подписывает. Проверка эта — код. Его можно написать правильно, проверить правильно и всё равно получить не то, что предписывает методика.

Маршрут CNAME у DigiCert давал не то. «Recently, we learned that we did not include the underscore prefix with the random value used in some CNAME-based validation cases», — написала компания на своей же странице об инциденте (страница инцидента DigiCert).

Подчёркивание здесь не украшение. При проверке через CNAME заявитель публикует случайное значение в записи DNS под меткой с префиксом, а центр считывает его обратно; без префикса исполняемая проверка перестаёт быть проверкой, описанной в методике. DigiCert оценивает охват примерно в 0,4 % применимых проверок домена (страница инцидента DigiCert). Эта доля — цифра, опубликованная самим оператором. Независимого подсчёта затронутых сертификатов или клиентов в изученных здесь материалах нет.

Дальше начинается то, ради чего этот случай стоит сохранить. Обнаружение было делом DigiCert. Раскрытие тоже: на странице DigiCert, словами DigiCert. И применение правила — тоже.

29 июля 2024 года в 02:17 UTC компания подала предварительный отчёт об инциденте, а в 22:36 UTC того же дня отправила уведомление об отзыве со словами: «The 24-hour revocation rule applies in this circumstance as the issue impacts domain validation» (Mozilla Bugzilla 1910322). Текст Baseline Requirements форума CA/Browser Forum для этого материала не запрашивался: правило приводится здесь только в том виде, в каком его описывает DigiCert, и ниже нет вывода о том, соответствовала отсрочка правилу или нет.

Следующий документ делает часы видимыми и превращает их в решение. «The 24 hours expired at 22:36 - 24 hours from when we had the serial numbers» (Mozilla Bugzilla 1910805). Эта фраза фиксирует срок и в том же движении показывает, что он держится на выборе: какое событие открывает двадцать четыре часа. Отчёт DigiCert сам отмечает эту неоднозначность и не снимает её.

То, что произошло дальше, было не пропущенным сроком, а передвинутым. Тот же отчёт фиксирует решение отложить отзыв на срок до 120 часов, принятое после обсуждений влияния на клиентов, возможных судебных действий и исключительных обстоятельств (Mozilla Bugzilla 1910805). Никакая внешняя сторона в документах не одобряет это решение, не предписывает его и не отменяет.

Новый срок появился на странице состояния: «All certificates impacted by this incident, regardless of circumstances, will be revoked no later than Saturday, August 3rd 2024, 19:30 UTC» (DigiCert Status). Та же хроника сообщает, что выявленные TLS-сертификаты были отозваны 3 августа 2024 года около 19:30 UTC. Это отметки самого оператора. Независимого подтверждения отзыва по затронутым серийным номерам получено не было, поэтому запись об отзыве здесь — слово обязанной стороны о работе обязанной стороны.

Ещё одна деталь заслуживает второго взгляда, потому что показывает, чем на самом деле является публичная страница инцидента. Страница опубликована 29 июля 2024 года, несёт отметку об обновлении 4 августа 2024 года и сейчас требует от затронутых клиентов заменить сертификаты до 9 августа 2024 года, 20:30 UTC (страница инцидента DigiCert). Это указание — более позднее обновление, а не исходный срок. Тот, кто читает его сегодня, видит успокоенную версию документа, который переписывали, пока инцидент продолжался.

Чего в этом деле нет, так это внешнего вердикта. Ни одного действия корневой программы Mozilla или производителя браузера, ни голосования, ни последующего следствия не встречается в четырёх документах, изученных для этого материала, — странице инцидента DigiCert, двух её отчётах в Bugzilla и её хронике состояния, — и текст не утверждает никакого результата принудительных мер.

Надёжные части этого исправления реальны. Отозванный серийный номер наблюдаем, истёкший сертификат не соединяется, указание о замене можно выполнить. Непроверяемыми извне остаются именно те части, которые решили расписание: какое событие запустило часы, почему отсрочка достигла пяти суток, а не одних, и согласился ли кто-либо, обладающий полномочиями по правилу. У DigiCert, Inc. есть запись в справочнике этого издания; запись описывает институциональное присутствие, а не суждение о практике проверок.

Запись показывает оператора, который раскрыл сведения быстро, публично защитил свою позицию и затем выдержал срок, который сам себе написал. Она показывает и другое: срок сдвинулся потому, что его сдвинула обязанная сторона.