شرکت GoDaddy پس از شناسایی عدم تطابق گواهی‌های صادر شده با سیاست‌های منتشر شده خود، اقدام به ابطال گسترده ۴۰۴,۶۰۷ گواهی SSL/TLS کرده است. این شرکت همچنین با تأخیر در انجام فرآیند ابطال، با چالش دوم عدم انطباق (Compliance) مواجه شد. طبق اطلاعیه‌های جدید، گواهی‌های صادر شده به اشتباه در تاریخ ۲۱ اکتبر ۲۰۲۶ ابطال شده‌اند.
جزئیات حادثه و دلایل فنی
بر اساس گزارش‌های منتشر شده، یک شخص ثالث تفاوت‌هایی را میان گواهی‌های صادر شده و پروفایل‌های تعریف شده در Certificate Policy (CP) و Certification Practice Statement (CPS) شرکت Starfield شناسایی کرده است. این اسناد، قوانین و چارچوب‌هایی هستند که مرجع صدور گواهی (Certificate Authority) باید در هنگام صدور گواهی‌ها از آن‌ها پیروی کند.
این تفاوت‌ها شامل اطلاعات مربوط به سیاست‌های گواهی، از جمله Object Identifiers (OIDs) و CPS URI policy qualifiers بوده است. این فیلدها وظیفه شناسایی سیاست‌های گواهی و ارجاع به شیوه‌های منتشر شده توسط مرجع صادرکننده را بر عهده دارند. لازم به ذکر است که این حادثه یک نقص در انطباق (Compliance failure) محسوب می‌شود و شواهدی مبنی بر سرقت کلیدهای خصوصی (Private Keys) وجود ندارد.
دامنه تأثیرگذاری و اقدامات لازم
این حادثه بر گواهی‌های صادر شده تحت زنجیره‌های (Chains) GoDaddy و Starfield تأثیر گذاشته است. بخش عمده‌ای از گواهی‌های آسیب‌پذیر از نوع Domain Validated (DV) هستند؛ به طوری که ۱۸۷,۱۵۹ گواهی مربوط به Starfield G2 DV و ۲۰۸,۸۹۶ گواهی مربوط به Starfield R1 DV بوده است. همچنین تعداد محدودی گواهی‌های از نوع Organization Validated (OV) و Extended Validation (EV) نیز تحت تأثیر قرار گرفته‌اند.
- هشدار امنیتی: کاربران و مدیران سیستم که همچنان از گواهی‌های متاثر استفاده می‌کنند، ممکن است با هشدارهای امنیتی مرورگر یا مشکلات دسترسی به وب‌سایت مواجه شوند.
- اقدام فوری: مدیران شبکه باید بخش SSL در حساب کاربری GoDaddy خود را بررسی کرده و بلافاصله گواهی‌های جایگزین (Replacement) را دانلود و نصب کنند.
- نکته مهم: صرف دریافت گواهی جدید به معنای فعال‌سازی آن در دامنه نیست؛ حتماً باید فرآیند نصب روی سرور تکمیل شود.
