GoDaddy widerruft rund 400.000 Zertifikate wegen Dokumentationsfehler
GoDaddy widerruft rund 400.000 TLS-Zertifikate, weil ihre Angaben nicht mit der zum Ausstellungszeitpunkt gültigen Zertifikatsdokumentation übereinstimmen. Technisch fehlerhaft sind die Zertifikate laut dem Anbieter nicht. Für Kunden von Host Europe und DomainFactory bedeutet der Vorgang dennoch, dass sie prüfen müssen, ob für ihre Domains bereits ein Ersatz-Zertifikat eingerichtet wurde.
Betroffen ist nicht nur eine einzelne Zertifikatsreihe. GoDaddy nennt insgesamt acht Hierarchien. Den größten Anteil stellen domainvalidierte Zertifikate der zu GoDaddy gehörenden Zertifizierungsstelle Starfield Technologies: Mehr als 200.000 stammen aus der noch aktiv genutzten Hierarchie „Starfield R1 DV“, knapp 190.000 aus „Starfield G2 DV“.
Auslöser waren Object-Identifier-Nummern und Verweise auf Certificate-Policy-Dokumente in den Zertifikaten. Diese Angaben selbst waren korrekt; abweichend waren die Inhalte des zugehörigen CP/CPS-Dokuments. GoDaddy hat dieses Dokument inzwischen aktualisiert. Nach den Regeln des CA/Browser-Forums müssen in einem solchen Fall jedoch auch die Zertifikate zurückgerufen werden, die während der Gültigkeit der alten Dokumentation ausgestellt wurden.
Für betroffene Betreiber ist entscheidend, ob der Austausch automatisch erfolgt ist. GoDaddy erklärte gegenüber heise, für alle betroffenen Kunden von Host Europe und DomainFactory bereits neue Zertifikate ausgestellt und die alten, sofern möglich, automatisch ersetzt zu haben. Kunden, bei denen kein automatischer Tausch möglich war, wollte der Anbieter über verschiedene Wege erreichen.
Die reguläre Widerrufsfrist von fünf Tagen lief am 18. Oktober ab. Zu diesem Zeitpunkt hatte GoDaddy nach dem Incident Report weniger als die Hälfte der betroffenen Zertifikate widerrufen. Für Host-Europe- und DomainFactory-Kunden nannte der Anbieter den Abend des 21. Oktober als Frist für den Zertifikatsaustausch; ein für den 22. Oktober angekündigtes Fortschritts-Update lag im vorliegenden Bericht noch nicht vor. Betreiber sollten deshalb den Zertifikatsstatus ihrer betroffenen Domains und die erfolgreiche Installation eines Ersatzes kontrollieren, statt sich allein auf den angekündigten automatischen Austausch zu verlassen.