Szoftveres baki miatt kellett 9000 tanúsítványt visszavonni

​A GoDaddy megközelítőleg kilencezer tanúsítványt vont vissza, miután fény derült egy szoftveres hibára.
 

A GoDaddy tavaly július 29-én változtatott azon folyamatán és szoftverein, amelyek a tanúsítványok ellenőrzését szolgálják. Ennek a folyamatnak a része a az is, hogy az új tanúsítványok kibocsátásakor a domain név ellenőrzésére is sor kerül a webszervereken elhelyezett, megfelelő állományok lekérdezésével. 

Korábban a validáló alkalmazás úgy működött, hogy e fájlok meglétének ellenőrzésekor a 200 (sikeres) HTTP állapotkód esetén érvényesítette a tanúsítvány igénylést. Ha nem a 200-as kódot kapta vissza, akkor hibaüzenetet adott. A tavaly nyáron módosított szoftver azonban akkor is helyesnek ítélhette meg a domain ellenőrzéseket, ha nem a 200-as kódot kapta vissza. Amennyiben az ellenőrzött webszervert korábban úgy konfigurálták, hogy az 404-es hiba esetén a nem létező URL-t is visszaadja, akkor a GoDaddy mindezt valamiért úgy konstatálta, hogy a szükséges fájl létezik. Így aztán úgy is ki lehetett állítani bizonyos domainekre tanúsítványt, hogy a domain használója nem lett megfelelően ellenőrizve. 

A szoftveres probléma fél éven keresztül senkinek sem tűnt fel, mígnem a Microsoft rájött, hogy valami nincs rendben. A felfedezését rögtön jelezte a szolgáltatónak, aki az eset kivizsgálása után megállapította, hogy 8951 darab tanúsítvány kiállítása nem megfelelően kontrollált módon történt. Ez a 2016 július 29-ét követően kiállított tanúsítványok két százalékának felel meg, és összesen 6100 ügyfelet érint. 

A GoDaddy intézkedett a tanúsítványok visszavonásáról, és azok újbóli kiadásáról. Természetesen az új tanúsítványokat ingyenesen bocsátotta az érintett ügyfelek rendelkezésére. A vállalat közölte, hogy a tanúsítványcsere fennakadást nem okoz, viszont a cserével járó technikai teendőket minél előbb érdemes elvégezni, mert a böngészők - noha titkosítják az adatforgalmat - figyelmeztetést jeleníthetnek meg a felhasználók számára. A GoDaddy a zökkenőmentesebb átállás érdekében a Google-t és a Mozillát is értesítette a történtekről.