Certificados SSL GlobalSign parecían estar causando problemas a muchos usuarios recientemente.

Los usuarios de todo el mundo que estaban accediendo a sitios web HTTPS protegida con certificados SSL de GlobalSign estaban teniendo problemas para acceder a estos sitios debido a un error que ha ocurrido ... un error de revocación.

La cuestión se hizo visible el pasado jueves ya que los usuarios que trataron de acceder a sitios web con certificados SSL de GlobalSign empezó a recibir los errores de validación de certificación. Esto sucedió cuando algunos navegadores y sistemas interpretaron la revocación de uno de los certificados cruzados de GlobalSign también como una revocación de los certificados intermedios que encadenan de nuevo a él.

GlobalSign opera múltiples raíces, todos de confianza en los navegadores y sistemas operativos y unidos entre sí a través de estos certificados cruzados. Un informe de incidente publicado por GlobalSign explica cómo se produjo el error de revocación. Dice-

"En un ejercicio de revocación que debería haber sido" como de costumbre "de una autoridad de certificación (CA) como GMO GlobalSign, hemos publicado una lista de revocación de certificados (CRL) el 7 de octubre firmado por la entidad emisora ​​raíz R2, que aparece de un certificado cruzado con número de serie 040000000001444ef0464e junto con otro certificado subordinada con el número de serie 0400000000011256ad5fb2. Siendo este último un fin de vida (EOL) CA subordinada como se muestra a continuación haber emitido previamente certificados SSL de validación de SHA1 extendido uno - Los códigos de razón en ambos casos se establece en "Cese de la operación" ya que no había riesgos asociados a las claves privadas y sin requisitos de Publicación fuera de los procedimientos normales. La nueva herramienta sigue estando disponible, a través de nuestra interfaz de red de distribución de contenidos en http://crl.globalsign.com/root-r2.crl. No se observó efecto alguno sobre cualquier cliente como el AC revocación efectivamente no fueron utilizados por otras partes dependientes. El CRL anterior habría expirado el 15 de octubre ... A las 08:00 GMT del día 13 de octubre, el delegado Online Certificate Status Protocol (OCSP) de base de datos de respuesta, que sirve respuestas delegados de la AC Raíz 2 (R2) en http: // ocsp2.globalsign.com/rootr2 fue actualizado para incluir los números de serie que se incluyeron en la CRL. Aquí es donde el problema que creó la interrupción de nuestros clientes provino ... Diputado respondedores de revocación incorrectamente determina que toda entidad emisora ​​raíz R1 intermedios se "malo" debido al certificado cruzado de ser revocado por la entidad emisora ​​raíz R2 como la cruz tenía la misma clave pública y Asunto Nombre detalles con una fecha más reciente ".

El informe del incidente, además, que aunque la situación se revierte, algunos usuarios retenido la respuesta "malo", mientras que muchos otros todavía "tenían las anteriores respuestas" buenas "de las interacciones anteriores con GMO GlobalSign SSL sitios web habilitados."

GlobalSign tomó rápidamente medidas para corregir el problema, pero muchos usuarios de todo el mundo seguiría teniendo como errores de certificado OCSP (Online Certificate Status Protocol) las respuestas se almacenan en caché en los navegadores y servidores. Las respuestas de caché general expiran en 4 días. GlobalSign también ha elaborado una alternativa para sus clientes, que podrían obtener nuevos certificados de una propiedad raíz-GlobalSign diferente que no está afectada por este problema.

Una guía para resolver problemas más frecuentes de revocación de OCSP errores también se ha puesto a disposición de los clientes de GlobalSign.

Fuente:Comodo