GoDaddyは、GoDaddyとStarfieldの証明書階層にまたがる404,607件の証明書に関するコンプライアンス上のインシデントを受け、誤って発行されたSSL/TLS証明書を失効させました。
同社の顧客向け通知によると、失効は2026年10月21日に実施されました。代替の証明書をインストールしなければ、ウェブサイトにアクセスできなくなる恐れがあると警告しています。この問題の調査は現在も続いており、MozillaのCA証明書コンプライアンスプログラムでBug 2082703として扱われています。
調査により、証明書ポリシー情報の不一致が判明しました。具体的には、CA固有のポリシーオブジェクト識別子(OID)と、CPS URIポリシー修飾子に関するものです。
当初は第三者が、複数の証明書プロファイルに不整合があると報告しました。GoDaddyはこれを確認して証明書の発行を停止し、調査の過程でさらに別の不整合も見つけました。
同社は、公開しているCP/CPSで影響を受けたR1プロファイルを修正したうえで、発行を再開しました。その後の調査では、すでに証明書を発行していない旧Starfield G2階層にも、同様の不整合があることがわかりました。
影響を受けた証明書には、ドメイン検証(DV)、組織検証(OV)、拡張検証(EV)の各証明書が含まれます。内訳を見ると、Starfield R1のドメイン検証証明書が208,896件、Starfield G2のドメイン検証証明書が187,159件でした。
残りの証明書は、GoDaddyとStarfieldの組織検証プロファイルおよび拡張検証プロファイルに分布しています。公表された問題は証明書ポリシーへの準拠に関するものです。秘密鍵が侵害されたという報告はありません。
GoDaddyによると、今後の調査では、不整合が生じた経緯と、それが続いていた期間を検証します。あわせて、ドキュメント、発行設定、発行済み証明書の間で乖離が生じるのを防ぐ管理策も検討するとしています。
失効作業は、適用されるコンプライアンス上の期限も超過しました。GoDaddyは別のインシデントレポートで、10月18日23:45(UTC)の時点で失効できていた証明書は170,566件にとどまっていたと明らかにしています。
この数は10月19日5:29(UTC)までに227,422件へ増えました。その後の顧客向け通知では、誤発行された証明書を10月21日に失効させたとしています。
GoDaddyは影響を受けた証明書を再発行していますが、重要なのはサーバーへの適用です。顧客アカウント内に代替の証明書があっても、ウェブサイトが失効済みの旧証明書を提示し続けていれば、サイトの可用性は守れません。
GoDaddyは、管理者が新しい証明書をインストールするまで、訪問者にセキュリティ警告が表示されたり、アクセスできなくなったりする可能性があると警告しています。顧客はGoDaddyの製品ページを開き、「SSL証明書」の横にある「Manage All」を選択して、各証明書を確認する必要があります。
画面には「Action required: Install your new certificate」「We couldn’t check your website」「This certificate needs your attention」といったアラートが表示されます。対象の証明書については、「Download Zip File」(Deluxe Automated SSLの場合は「Download Certificate」)を選んで代替の証明書を入手し、サーバーにインストールするよう案内しています。
「No action needed」と表示された証明書は、更新の必要がありません。GoDaddyは、証明書の状態を確認できるSSL Status Checkツールも提供しています。まず優先すべきなのは、再発行が完了したことだけでなく、訪問者に実際に提供されている証明書が代替のものになっていることを確かめる作業です。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を減らしています。自社チームでの活用を検討する
翻訳元: https://cyberpress.org/godaddy-revokes-over-400000-ssl-certificates/
