GoDaddy widerruft Hunderttausende Zertifikate aufgrund formaler Fehler

Der US-amerikanische Anbieter GoDaddy ruft aufgrund eines Formfehlers gut 400.000 Zertifikate zurück. Die Zertifikate weisen keine technischen Probleme auf, entsprechen aber nicht ihrer Dokumentation und müssen daher zurückgezogen werden. Betroffen sind unter anderem Kunden von Host Europe und DomainFactory, die beide zu GoDaddy gehören.

Gegenüber heise security erklärt der Anbieter, für alle betroffenen Kunden von Host Europe und DomainFactory bereits neue Zertifikate ausgestellt und – wo möglich – die alten automatisch ersetzt zu haben. Seit dem 16. Oktober kommuniziere man mit Kunden und versuche insbesondere solche, bei denen kein automatischer Tausch der Zertifikate durch den Anbieter möglich ist, auf verschiedenen Wegen zu erreichen.

Der weitaus größte Teil der betroffenen Zertifikate sind domainvalidierte (DV) Zertifikate der ebenfalls zu GoDaddy gehörenden Zertifizierungsstelle Starfield Technologies; vornehmlich gut 200.000 Zertifikate in der noch aktiv genutzten Hierarchie „Starfield R1 DV“ und fast 190.000 aus der Hierarchie „Starfield G2 DV“. Alle betroffenen Zertifikate enthalten Object-Identifier-Nummern (OID) sowie URLs, welche die zugehörigen Certificate Policies identifizieren und auf deren Dokumentation (Certificate Policy and Certification Practice Statement, CP/CPS) verweisen. Die Angaben in den Zertifikaten sind korrekt, doch ebendieses CP/CPS enthielt abweichende, falsche Angaben.

Acht Zertifikatshierarchien betroffen

Laut dem Incident Report des Anbieters wurde GoDaddy extern auf einige der Abweichungen hingewiesen und hat bei der folgenden Prüfung dann selbst noch weitere entdeckt. Insgesamt sind acht Zertifikatshierarchien betroffen. GoDaddy hat das CP/CPS-Dokument bereits aktualisiert, doch müssen in solchen Fällen auch alle Zertifikate zurückgerufen werden, die entstanden, als die alte Version des CP/CPS aktuell war – schließlich entsprechen sie nicht der zum Ausstellungszeitpunkt gültigen Dokumentation.

Gemäß den Baseline Requirements des CA/Browser-Forums müssen Zertifikate in so einem Fall innerhalb von fünf Tagen widerrufen werden. Diese Frist lief am 18. Oktober aus; zu dem Zeitpunkt hatte GoDaddy weniger als die Hälfte der Zertifikate widerrufen. Weil das absehbar war, eröffnete der Anbieter schon am 16. Oktober einen zweiten Incident Report, um den Verstoß gegen diese Frist zu dokumentieren.

Was der Grund für die Verzögerung ist, geht aus den noch vorläufigen Reports nicht explizit hervor, offenbar versucht GoDaddy aber möglichst viele Nutzer zu erreichen und auf neue Zertifikate zu migrieren, bevor die alten widerrufen werden. Gegenüber heise security erklärte der Anbieter, Kunden von Host Europe und DomainFactory sei bis gestern Abend (21. Oktober, 21:00 Uhr MESZ) Zeit eingeräumt worden, um die Zertifikate zu ersetzen. Ein für heute angekündigtes Update zum Fortschritt des Widerrufs steht aktuell noch aus.