GoDaddy 重大事故！40 萬張 CP/CPS 憑證不符政策

GoDaddy 旗下 404,607 張網站憑證的政策欄位與自家 CP/CPS 不符，必須全數撤銷，5 天期限前只撤完約四成。
（前情提要：私鑰弱的離譜！印度 SSL 憑證商 eMudhra 被四大瀏覽器封殺後退出市場，還怪社群太吵）
（背景補充：Google Chrome警告中華電信「誠信缺失」：8/1起停止TLS憑證信任、大量網頁將無法讀取）

網域註冊商兼憑證頒發機構 GoDaddy 在 Mozilla 的 Bugzilla 事故追蹤系統提交報告。旗下 404,607 張 TLS/SSL 網站憑證與自家公開的憑證政策文件不符，必須全數撤銷。業界規定最晚 5 天內撤完，GoDaddy 在期限前只撤銷 170,566 張，約占四成二。

GoDaddy 台灣時間 10 月 23 日清晨更新延遲撤銷報告，表示受影響憑證已全部處理完。總數修正為 403,643 張，比最初公布的少 964 張，GoDaddy 沒有說明原因。其中 378,067 張被撤銷，25,576 張在撤銷前就已到期，仍有效的剩 0 張。完成時間比期限晚了將近 4 天。

出錯的是憑證裡的政策欄位

GoDaddy 表示，問題由第三方通報。旗下 Starfield Technologies 公開了一份憑證政策與認證實踐聲明（CP/CPS），寫明每種憑證應該包含哪些欄位內容。實際簽發的憑證在「憑證政策」欄位與文件對不上，包括 CA 自訂的政策識別碼（OID），以及指向 CPS 的網址。

GoDaddy 確認通報內容後先停止簽發，修正 CP/CPS 文件再恢復。自查時又在文件另外兩個章節發現落差，舊的 G2 憑證體系也有同樣問題。G2 目前沒有在簽發新憑證，所以不需要停止簽發。

受影響的憑證分屬 GoDaddy 與 Starfield 兩個品牌、8 個群組。只驗證網域控制權的 DV 憑證就有 396,055 張，約占 98%。需要驗證公司身分的 OV 憑證有 7,103 張，審核最嚴的 EV 憑證有 1,449 張。

5 天期限只撤完四成

CA/Browser 論壇的基本要求（Baseline Requirements） 4.9.1.1 節規範的就是這種情況。CA 得知憑證沒有依自家 CP 或 CPS 簽發，「應該」在 24 小時內撤銷，「必須」在 5 天內撤銷。GoDaddy 這次的期限是台灣時間 10 月 19 日上午 7 點 45 分。

GoDaddy 10 月 14 日開始聯繫客戶。10 月 17 日它另外送出一份延遲撤銷報告，先承認趕不上期限。理由是要和客戶協調換發與撤銷，需要協調的對象包括持有大量憑證的客戶，以及政府、金融、醫療相關的服務業者。直到台灣時間 10 月 19 日下午，撤銷數來到 227,422 張，約占 56%。

GoDaddy 後來成立專責工作小組，改用電子郵件、簡訊和電話聯繫還沒換憑證的客戶。今年 Bugzilla 上以 GoDaddy 為題的合規事故報告已有 7 份，其中 4 份在 10 月提出。9 月那份也是延遲撤銷，對象是用 SHA-1 簽章的中繼憑證，等於一個多月內第二次沒趕上撤銷期限。

Firefox 會擋，Chrome 不一定

憑證撤銷後，一般網路使用者的瀏覽器會不會跳出警告，要看它有沒有檢查撤銷狀態。Mozilla 表示，Firefox 桌面版從 137 版起啟用 CRLite。它會在本機比對憑證透明度日誌裡所有被撤銷的憑證，每 12 小時更新一次。

Chrome 一般不做線上撤銷檢查，主要靠 CRLSets 名單攔截緊急狀況。這份名單只收錄一部分撤銷憑證，Mozilla 估計約 1%。同一個還沒換憑證的網站，在 Firefox 桌面版可能打不開，在 Chrome 上卻可能照常顯示。

網站憑證若由 GoDaddy 或 Starfield 簽發，管理員可以先確認有沒有收到 GoDaddy 的通知。收到通知卻還沒換上新憑證，舊憑證已經被撤銷，需要盡快換發並重新安裝到伺服器。GoDaddy 表示，調查後會公布完整事故報告。報告將說明政策文件與實際憑證為何不一致、問題持續多久，以及之後怎麼防止。

📍相關報導📍

PHP、Node.js 連爆嚴重漏洞：最近上網要注意這 5 件事自保

知名部署平台 Railway 也遭駭！開發者環境變數與 API 金鑰恐外洩

Node.js 緊急修 Brotli 高危漏洞！三現行分支齊發安全版，EOL 版本也恐受影響