DigiCert trekt certificaten in wegens ontbrekende underscore bij domeinvalidatie
Certificaatautoriteit DigiCert heeft klanten gewaarschuwd dat het bepaalde tls-certificaten gaat intrekken waarvan de controle of de ontvanger van het certificaat ook de eigenaar van het domein was niet volgens de regels is verlopen. Tls-certificaten worden gebruikt voor het opzetten van een versleutelde verbinding tussen websites en bezoekers en het identificeren van de website. Ze spelen dan ook een belangrijke rol en certificaatautoriteiten die certificaten uitgeven moeten aan allerlei regels van het CA/Browser Forum voldoen.
Voordat DigiCert een certificaat aan een klant uitgeeft controleert de certificaatautoriteit eerst of de klant ook de eigenaar is van de domeinnaam waarvoor het certificaat is aangevraagd. Deze validatie kan op verschillende manieren plaatsvinden. Bij één van de manieren moet een klant een DNS CNAME record toevoegen dat is voorzien van een willekeurige waarde die door DigiCert is verstrekt. DigiCert doet vervolgens een DNS-lookup voor het domein en kijkt of de waardes overeenkomen.
Er zijn verschillende manieren om een DNS CNAME record met de willekeurige waarde toe te voegen. Eén daarvan betreft dat de willekeurige waarde wordt voorafgegaan door een underscore karakter. De underscore prefix zorgt ervoor dat de willekeurige waarde niet kan botsen met een echte domeinnaam die dezelfde willekeurige waarde gebruikt. Onlangs ontdekte DigiCert dat het willekeurige waardes zonder underscore prefix heeft verstrekt terwijl dat wel had gemoeten. Domeinvalidaties waarbij de underscore ontbrak terwijl die wel aanwezig had moeten zijn, en waarbij het certificaat toch werd uitgegeven, zijn daardoor non-compliant.
Daarmee voldoen deze certificaten niet aan de regels die voor de uitgifte van certificaten gelden en moeten zonder uitzondering binnen 24 uur worden ingetrokken. Het gaat om 0,4 procent van de domeinvalidaties, aldus DigiCert. Klanten kunnen via hun online DigiCert-omgeving een nieuw certificaat laten uitgeven. DigiCert stelt dat de bug waardoor de underscore prefix ontbrak vijf jaar geleden bij het moderniseren van de validatiesystemen is geïntroduceerd en niet tijdens de controles is ontdekt.
Neem aan dat de extra kosten zullen worden vergoed.
Maar aangezien Let's Encrypt op het bord van elke (op security.nl vertoevende) websiteadmin mag scheiten, en de rest al helemaal niets van certificaten snapt ("Tls-certificaten worden gebruikt voor het opzetten van een versleutelde verbinding tussen websites en bezoekers en het identificeren van de website"), ga ik ervan uit dat niemand op deze site geïnteresseerd is in de details van mijn uitpluiswerk. Ik post ze wel elders...
Was dit wellicht bedoelt als een niche case voor klanten die afhankelijk zijn van beperkingen in wat ze via de web DNS editor van hun provider in DNS kunnen zetten?
Dit is natuurlijk fout omdat je het anders had willen doen, maar dit heeft natuurlijk geen enkele security consequentie. De enige reden van die underscore is een extreem kleine kans op conflicten met een dubbele naam te voorkomen. Het lijkt me niet dat je daarvoor certificaten moet gaan intrekken.
Dit is natuurlijk fout omdat je het anders had willen doen, maar dit heeft natuurlijk geen enkele security consequentie. De enige reden van die underscore is een extreem kleine kans op conflicten met een dubbele naam te voorkomen. Het lijkt me niet dat je daarvoor certificaten moet gaan intrekken.
Dat is geen natte vinger keuze, maar een harde eis waar een CA aan MOET voldoen .
In deze branch is de regels tot op de komma en underscore volgen een verplichting.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
