GoDaddy revoca 378.000 certificados; incluso sitios gubernamentales quedaron en riesgo
Los navegadores empezaron a alertar de peligro incluso en sitios donde no había atacantes.
Un error en la documentación de GoDaddy puso en riesgo la disponibilidad incluso de sitios gubernamentales. El 22 de octubre las autoridades de Gibraltar confirmaron que parte de los recursos públicos utilizaba certificados de la empresa que fueron objeto de una revocación masiva. Los visitantes de esas páginas podían ver un aviso del navegador sobre la seguridad de la conexión o incluso perder el acceso al sitio.
La causa no fue un ciberataque, sino la no conformidad de los certificados TLS emitidos con las normas oficiales del organismo de certificación. Un tercero presentó una reclamación que detectó discrepancias entre los certificados de GoDaddy y Starfield y las normas CP/CPS publicadas. El problema afectó a los identificadores de políticas de certificados y a los vínculos a los documentos que describen el procedimiento de emisión.
Un certificado TLS ayuda al navegador a verificar la autenticidad de un sitio y a establecer una conexión cifrada. Tras la revocación, el certificado anterior deja de considerarse válido, incluso si el servidor no ha sido comprometido y sigue funcionando técnicamente. Al comprobarlo, el navegador puede interrumpir la conexión hasta que el propietario del recurso instale un certificado nuevo.
GoDaddy suspendió la emisión de certificados, corrigió los perfiles publicados y reanudó la emisión. Desde el 14 de octubre la empresa se puso en contacto con clientes, incluidas instituciones gubernamentales, organizaciones financieras y sanitarias. No logró completar la revocación masiva antes del plazo fijado del 18 de octubre. Para entonces la empresa había anulado 170 566 certificados.
Inicialmente GoDaddy contabilizó 404 607 certificados problemáticos, pero luego aclaró la magnitud. Según la actualización del 22 de octubre, en la lista final figuraron 403 643 documentos. De ellos la empresa revocó 378 067, y la vigencia de los restantes 25 576 ya había expirado. No quedan certificados vigentes en la lista problemática, aunque los propietarios de sitios todavía deben instalar sustitutos.
El Departamento de Tecnologías de la Información y Logística de Gibraltar empezó a cambiar los certificados en los recursos gubernamentales afectados. Las autoridades señalaron por separado que las advertencias no están relacionadas con un compromiso de los sitios gubernamentales. La falla tampoco guarda relación con la vulnerabilidad de PHP que el Centro Nacional de Ciberseguridad del Reino Unido advirtió el 21 de octubre. Las correcciones de PHP se aplican por separado.
GoDaddy advirtió a los clientes que la reemisión del certificado no basta si el servidor sigue presentando el certificado antiguo. Se recomendó a los propietarios de sitios comprobar el estado de sus certificados e instalar los archivos actualizados si fuera necesario. En mayo, una falla similar en la infraestructura de confianza detuvo durante varias horas la emisión de nuevos certificados de Let's Encrypt, aunque las causas de ambos incidentes eran distintas.
El gobierno de Gibraltar recomendó no eludir las advertencias de seguridad y no introducir datos personales ni de pago en las páginas afectadas. Para acceder a los servicios gubernamentales hay que esperar a que el administrador del recurso sustituya el certificado. Se aconseja teclear la dirección del sitio manualmente. No es necesario que los usuarios instalen programas adicionales ni cambien la configuración de sus dispositivos.