10月13日に発生した証明書エラーについてのご報告

弊社のような認証局（CA）にとりまして失効に関する「通常業務」の一環として、ルート証明書（R2）から署名された証明書失効リスト（CRL）を10月7日に発行しました。そのリストにはシリアルナンバー「040000000001444ef0464e」のクロスルート証明書及び、シリアルナンバー「0400000000011256ad5fb2」の中間CA証明書を記載していました。シリアルナンバー「0400000000011256ad5fb2」の中間証明書は、寿命（EOL）を迎えた中間CAに対して発行されており、そのCAは以前SHA-1 EV SSLを発行していました。上記クロスルート証明書、中間CA証明書ともに、秘密鍵に関連するリスクもなく、通常の手順以外でCRLを発行する必要がなかったため、リーズンコードは双方で「運用停止」としていました。新しいCRLは弊社のCDNのフロントエンドを通して、そのまま利

[longroof]

お、おう(´・ω・｀)

[d-kotani]

クロスルート証明書の失効、ややこしいんやな (ところでこの文書もうちょっと段落を短くするとか小見出しをつけるとかして読みやすくしてほしい)

[kumoha683]

昨日ハマった案件

[shin0O]

こわい

[nikoli]

セコムのJPNIC事件のときも思ったけど、失効処理は恐ろしいな。今回はOCSPレスポンダ内のロジックの問題で、より複雑な事情。

[C_L]

うちのTLだと引っかかった人少なかったみたいだけどうちは通信暗号目的で訳す調達したKingSSLの証明書でもろ引っかかったぞ

[jovi0608]

SHA1対応用のクロス証明書をお役御免で失効させたらルート証明書と同じ公開鍵、DNで日付が新しかったのでルート配下の全中間証明書がOCSPレスポンダで失効状態になったとは、障害原因がすごい。

[yunohito]

「ChromeとSafariの問題の相関性が強まる」とは何ぞ？

[halfrack]

原因めっちゃ複雑やな… "OCSPレスポンダ内の(中略)ロジック"