- Sectigos Chief Legal Officer Brian Holland veröffentlichte ein juristisches Schreiben, das er von DigiCerts Rechtsvertretern bei Wilson Sonsini erhalten hatte, wodurch die Kontroverse darüber zunahm, dass öffentliche Diskussionen im WebPKI abgeschreckt werden könnten
- DigiCert erklärte zunächst, die Maßnahme habe Sorgen über irreführende Äußerungen eines Wettbewerbers und einen möglichen Missbrauch des Forums gegolten, räumte später jedoch ein, dass die Versendung des C&D unangemessen gewesen sei
- Hintergrund der Debatte war eine TRO im Zusammenhang mit dem Vorfall um den massenhaften Widerruf von Zertifikaten bei DigiCert; DigiCert erklärte, die TRO habe nur ein einzelnes Zertifikat betroffen und sei Teil der öffentlichen Akten gewesen
- Die Community und das Chrome Root Program sahen Verhaltensweisen, die die Teilnahme am WebPKI abschrecken, als unvereinbar mit den Kernwerten des Ökosystems an; DigiCert legte schließlich einen Incident Report und Maßnahmen zur Verhinderung einer Wiederholung vor
- DigiCert will technische und politische Fragen zu aktiven Bugzilla-Incidents künftig in Bugzilla statt über juristische Kanäle behandeln, bei rechtlichen Schritten eine Prüfung auf Führungsebene und öffentliche Mitteilung anwenden und ein Ombudsprogramm betreiben
Das von Sectigo veröffentlichte C&D-Schreiben von DigiCert
- Brian Holland erklärte, DigiCert habe in einem früheren Bugzilla-Kommentar gesagt, man habe „die Rechtsabteilung nicht als Schutzschild zur Vermeidung von Verantwortung verwendet“, tatsächlich habe Sectigo aber ein Schreiben von DigiCerts Rechtsvertretern bei Wilson Sonsini zu Äußerungen von Sectigo erhalten
- Das Schreiben beanstandete Aussagen, die Sectigos Chief Compliance Officer Tim Callan in Bugzilla gemacht hatte, und verlangte, dass Sectigo „sicherstellt, dass die Äußerungen von Mr. Callan nicht fortgesetzt und nicht von anderen Mitgliedern der Sectigo-Organisation wiederholt werden“
- In dem Schreiben wurden der Lanham Act, deceptive trade practices, corporate disparagement und tortious interference erwähnt, außerdem enthielt es Formulierungen, wonach DigiCert rechtliche Schritte einleiten könnte
- Holland widersprach in seiner Antwort vom 10. Dezember 2024 und erklärte, die beanstandeten Aussagen seien Fragen oder Meinungen gewesen und hätten wichtige Diskussionen im WebPKI fördern sollen, weshalb sie keine Grundlage für rechtliche Ansprüche sein könnten
- Sectigo ist der Ansicht, dass rechtliche Drohungen, die Aufsicht und Diskussionen über öffentliche CA-Praktiken abschrecken, nicht mit der von den CCADB-Richtlinien für Incident Reports geforderten Kultur transparenter Nachanalyse vereinbar sind
DigiCerts erste Reaktion und die Reaktion der Community
- DigiCert antwortete, man unterstütze die Ideale von Bugzilla und der CA-Community, und das betreffende Schreiben habe dem Ziel gedient, einen öffentlichen und ehrlichen Dialog zu bewahren
- Nach dem Entrust-Distrust sei auch die Sorge aufgekommen, dass einige Teilnehmer irreführende Informationen oder halbe Wahrheiten in Bugzilla veröffentlichten, um die öffentliche Meinung negativ zu beeinflussen und Bugs länger als nötig offenzuhalten
- Nach Sectigos Antwort habe man keine weiteren Maßnahmen oder Reaktionen vorgenommen und angenommen, die Angelegenheit sei beendet gewesen, bis Sectigo sie erneut öffentlich gemacht habe
- Mehrere Community-Teilnehmer kritisierten, dass das gesamte Schreiben nur als rechtliche Drohung gelesen werden könne, und forderten, DigiCert müsse eigenes Fehlverhalten teilweise eingestehen und die interne Kommunikation verbessern
- Von Mozilla hieß es, transparente, communitygetragene Verfahren seien ein Kernprinzip, und Verhaltensweisen, die die Beteiligung an Diskussionen abschrecken, fügten der Community tiefen Schaden zu, ob öffentlich oder nichtöffentlich
Ob es sich um einen Incident handelte und das Eingreifen des Chrome Root Program
- DigiCert bat zunächst darum, den Bug zu schließen, da es sich hierbei nicht um den Vorwurf eines Verstoßes gegen Compliance-Anforderungen handle
- Community-Teilnehmer verwiesen auf die Chrome Root Program Policy und wiesen darauf hin, dass auch Situationen als Incident gelten könnten, die die Integrität, Vertrauenswürdigkeit oder Kompatibilität eines Chrome-Root-Program-Teilnehmers beeinflussen könnten
- Das Chrome Root Program sah im Feedback der Community ein starkes Bedürfnis zu erfahren, welche Anstrengungen DigiCert unternehmen werde, um Vertrauen und Goodwill wiederherzustellen
- Es kam zu der Einschätzung, dass DigiCert die Sorgen der Community wirksamer direkt in dieser Bugzilla-Diskussion adressieren könne als in einem separaten CCADB-Incident-Report
- DigiCert stimmte später zu, dass diese Diskussion ein wirksamer Weg sei, um die Sorgen der Community zu behandeln, und erklärte, man werde zusätzliche Fragen beantworten
DigiCerts Eingeständnis und Incident Report
- DigiCert erklärte, man habe das Schreiben zunächst als Reaktion auf irreführende Äußerungen eines Wettbewerbers betrachtet, räumte später jedoch ein, dass das Schreiben nicht mit Transparenz und dem besten Interesse der Community vereinbar gewesen sei
- Die Nutzung des Verhaltenskodex und der Richtlinien zur Community-Beteiligung in den Bugzilla-Foren wäre der bessere Weg gewesen; könnte man in den November 2024 zurückgehen, hätte man dasselbe Schreiben nicht versandt
- Später reichte DigiCert einen Full Incident Report ein und stufte den Vorfall, bei dem die Rechtsvertreter am 11. November 2024 ein C&D an Sectigo gesendet hatten, als Incident ein
- Der Bericht räumte ein, dass das C&D sich eng mit der Bugzilla-Diskussion überschnitten habe und deshalb öffentliche Debatten hätte abschrecken können; wahrgenommene Fehlinformationen wären im öffentlichen Bugzilla-Kontext angemessener zu korrigieren gewesen
- DigiCert erklärte ausdrücklich, das ursprüngliche Schreiben sei „eine Drohung gewesen, rechtliche Schritte auf Grundlage der Äußerungen von Tim Callan zu prüfen“, stellte aber zugleich fest, dass ein C&D in dieser Situation keine angemessene Reaktion gewesen sei
Als Ursachen genannte Faktoren
- DigiCert nannte als ersten beitragenden Faktor die Neuheit der TRO
- Der Massenwiderrufsfall in Bugzilla 1910805 sei für DigiCert ein bedeutender Vorfall gewesen, und in der Branche sei erneut bestätigt worden, dass es für Widerrufsfristen keine Ausnahmen gebe
- Im Verlauf dieses Widerrufsprozesses habe man verschiedene behauptete Ausnahmegründe gesehen, darunter die TRO; die TRO habe beim Widerruf nur eine begrenzte Rolle gespielt, sei aber aus Transparenzgründen offengelegt worden
- Der zweite beitragende Faktor war das Wettbewerbsverhältnis
- DigiCert und Sectigo seien direkte Wettbewerber, und die Beteiligung von Personen aus öffentlich vertrauenswürdigen CAs an Bugzilla könne Wettbewerbsspannungen erzeugen
- Von Tim Callans 24 Bugzilla-Kommentaren hätten sich 18 auf DigiCert-Bugs bezogen; DigiCert erklärte, man habe dies im Kontext wettbewerblicher Sensibilität betrachtet
- Nach dem Massenwiderrufsfall trat die für Compliance und Standards zuständige Führungskraft zurück, was die üblichen Compliance-Workflows und Freigabeprozesse beeinträchtigt habe
- In späteren Antworten erklärte DigiCert, das Legal-Team habe die Versendung des C&D mit dem Standards-/Compliance-Team besprochen; Mitglieder dieses Teams hätten Bedenken geäußert, das Legal-Team habe sich jedoch trotz internen Widerspruchs für den Versand entschieden
Maßnahmen zur Verhinderung einer Wiederholung
- DigiCert erklärte im Incident Report und in der Abschlusssummary, vier Maßnahmen abgeschlossen zu haben
-
Technical-First Dispute Resolution
- Technische Fragen, irreführende Formulierungen und Bedenken zu Compliance-bezogenen Richtlinienverstößen in der Incident-Berichterstattung werden nicht über juristische Kanäle, sondern im jeweiligen Bugzilla behandelt
- Wenn im Zusammenhang mit einem aktiven Incident rechtliche Schritte erforderlich sind, werden diese Entscheidung und die Maßnahmen im betreffenden Bugzilla offengelegt
-
Community Transparency Pledge
- Incident-bezogene Kommunikation wird in Community-Foren wie MDSP, CCADB, CA/B Forum und Bugzilla öffentlich behandelt, um Nachvollziehbarkeit sicherzustellen
- Auch die Kontaktaufnahme mit Verfassern von Kommentaren wird dem Incident-Kontext entsprechend dokumentiert und veröffentlicht, damit sie nicht als Vergeltung oder Überraschungsmaßnahme erscheint
-
Legal Review Gate
- Rechtliche Schritte, die sich mit einem Incident überschneiden, unterliegen einer Prüfung und Freigabe auf Führungsebene, einschließlich einer Analyse, warum die jeweilige Maßnahme angemessen ist
- Wenn eine sofortige öffentliche Mitteilung nicht möglich ist, wird das Root Program zunächst vertraulich informiert und später eine öffentliche Nachverfolgung bereitgestellt
-
Ombudsperson Role for WebPKI Concerns
- DigiCert will ein internes Ombudsverfahren schaffen, über das Bedenken zu Fairness, Offenheit und möglicher Abschreckung im WebPKI vertraulich eingebracht werden können
- Später stieß mit externer Unterstützung durch den unabhängigen Beteiligten Don Sheehy bei Bedarf eine Ergänzung zum Ombudsteam hinzu
Das Ombudsprogramm und die anschließende Kontroverse
- DigiCert kündigte zunächst an, dass das Ombudsteam aus Vertretern von Program Management, Compliance und Legal bestehe und über
transparency@digicert.comerreichbar sei - Community-Teilnehmer stellten infrage, ob ein ausschließlich intern besetztes Ombudsmodell hinreichend unabhängig sei; DigiCert erklärte, man werde die Einbeziehung externer Community-Mitglieder oder unabhängiger Personen prüfen
- DigiCert veröffentlichte die Arbeitsweise des Ombudsverfahrens
- Meldungen können über
transparency@digicert.comoderdigicert.com/transparencyformeingereicht werden - Das Verfahren umfasst Eingangsbestätigung, Vergabe einer Fallnummer, Klassifizierung und Routing, Untersuchung, Updates im 7-Tage-Rhythmus sowie die Erstellung eines Berichts
- Anonyme Einreichungen sind möglich, können jedoch bei fehlender Kontaktmöglichkeit sofort geschlossen werden, wenn eine zusätzliche Verifizierung erforderlich ist
- Meldungen können über
- DigiCert erklärte, man nutze die PhD-Arbeit von Frank Fowlie zum ICANN Ombudsman als Referenzmaterial und werde das Programm im Sinne kontinuierlicher Verbesserung betreiben
- Einige Community-Teilnehmer widersprachen DigiCerts Sichtweise, dass alle CAs einen Ombudsmann benötigten, und argumentierten, eine stärkere Sanktionierung von CAs, die rechtliche Drohungen einsetzen, wäre für das Vertrauen in WebPKI besser
Abschlusssummary und Status
- DigiCerts endgültige Abschlusssummary hält fest, dass die von DigiCert beauftragte Kanzlei am 11. November 2024 ein C&D an Sectigo gesendet habe und DigiCert die Auswirkungen des C&D auf die Kommunikation in Bugzilla und anderen Foren nicht ausreichend berücksichtigt habe
- Als Ursachen des Incidents werden wahrgenommene Fehlinformationen zur TRO, das Wettbewerbsverhältnis und eine Überreaktion genannt
- DigiCert nannte als Abhilfemaßnahmen eine formelle Entschuldigung gegenüber Sectigo und der breiteren WebPKI-Community, das Ombudsprogramm, die Hinzunahme unabhängiger Mitglieder und ein Prüfprotokoll für juristische Kommunikation
- Künftig will DigiCert technische Fragen, Missverständnisse und Policy-Probleme während aktiver Incidents im jeweiligen Bugzilla behandeln und, wenn der Einsatz juristischer Kanäle im Zusammenhang mit einem aktiven Incident für nötig gehalten wird, die Entscheidung und die Maßnahmen im betreffenden Bugzilla offenlegen
- Abschließend wurde ein final call mit der Bitte um weitere Kommentare oder Fragen veröffentlicht; darin hieß es, der Fall solle ungefähr am 17. September 2025 geschlossen werden
1 Kommentare
Meinungen auf Hacker News
Kurz gesagt: DigiCert hat mehrfach die Verzögerung der Zertifikatswiderrufung über das hinaus vorgenommen, was die Baseline Requirements erlauben; die jüngsten Fälle sind https://bugzilla.mozilla.org/show_bug.cgi?id=1896053 und https://bugzilla.mozilla.org/show_bug.cgi?id=1910805
Ersteres sieht so aus, als sei die Widerrufung verzögert worden, um einen bestimmten Kunden zu beschwichtigen; Letzteres war ein Fall, in dem der Widerruf wegen einer einstweiligen Verfügung (TRO) nicht rechtzeitig erfolgen konnte
Tim Callan von Sectigo kritisierte öffentlich, dass DigiCert in beiden Fällen den Kunden gegenüber nicht entschieden genug aufgetreten sei; besonders gibt es die Sorge, dass Mittel wie TROs künftig häufiger genutzt werden könnten, um Widerrufungen zu verzögern
Sectigo und andere Seiten des WebPKI-Ökosystems scheinen zu wollen, dass DigiCert den Kunden die Widerrufsrichtlinien sehr klar mitteilt und sicherstellt, dass Kunden Zertifikate tatsächlich rechtzeitig ersetzen können
Sectigo ist zwar am lautesten, aber offenbar nicht die einzige Seite, die fordert, DigiCerts verzögerte Widerrufungen unter Kontrolle zu bringen; deshalb ist die Eskalation mit rechtlichen Drohungen wirklich unangemessen, und DigiCert könnte wegen dieser Taktik erheblichen Gegenwind bekommen
Offenbar möchte man die Rechtsdokumente nicht so ändern, dass Kunden keine rechtlichen Schritte wegen Zertifikatswiderrufungen einleiten können, und bislang haben die rechtlichen Schritte zugunsten von DigiCert funktioniert
Für ein Unternehmen, dessen gesamtes Geschäft in der Validierung von Firmennamen und der Abwicklung von CA-Prozessen besteht, wirkt es ziemlich zurückhaltend, wenn es darum geht, eben diese Prozesse einzuhalten
Man wird technisch inkompetente Kunden wie Alegeus Technologies LLC nicht daran hindern können, eine TRO zu beantragen, aber es ist nicht das erste Mal, dass die richtigen Verfahren nicht eingehalten wurden
Negative Diskussionen per Gericht zu unterbinden, wirkt für eine CA ziemlich schäbig, und dass DigiCert, das bereits Gegenstand von Verdacht und Misstrauen ist, so etwas tut, sieht wie ein letzter Versuch aus, in der Defensive Kritik auszuweichen
Kunden mögen es gut finden, dass DigiCert den Zertifikatswechsel nicht zum festgelegten Zeitpunkt erzwingt; wenn es aber knallt und DigiCert aus den Trust Lists entfernt wird, stehen sie plötzlich vor der überraschenden Situation, sich einen anderen Zertifikatsanbieter suchen zu müssen
Sie wirkt ziemlich vernünftig
Das Web-PKI-Drama ist immer wieder erstaunlich, weil es praktisch einer der wenigen Bereiche weltweit ist, in denen Unternehmen, die „herumspielen“, meist sehr schnell die nüchterne „Quittung“ bekommen
Die verschiedenen Akteure, die entscheiden, welchen CAs vertraut wird, können im Grunde jedes CA-Geschäft weltweit fast sofort zerlegen
Wenn DigiCert dieses Spiel spielt und verliert, wäre es der bisher größte Verlierer; soweit ich weiß, ist DigiCert die größte CA im Internet
Wenn die größte CA des Internets aus den Trust Stores entfernt würde, wäre das ein starkes Signal und würde auch großes Chaos verursachen, aber es gibt keinen besonderen Grund, warum es unmöglich sein sollte
Natürlich halte ich diese Möglichkeit für gering, aber allein die Vorstellung, wie jemand bei DigiCert, der es für eine gute Idee hielt, hier die Rechtsabteilung einzuschalten, die Standpauke seines Lebens bekommt, ist schon befriedigend
Ich habe den betreffenden Thread gelesen; er sah für DigiCert nicht gut aus, und trotzdem halte ich diese Maßnahme für DigiCert für viel schädlicher als alles, was Collan gesagt hat
[1] https://bugzilla.mozilla.org/show_bug.cgi?id=647959
Bei einem Vertrauensentzug für eine CA dieser Größenordnung wäre es sinnvoller, neue Zertifikate, die nach einem bestimmten Datum ausgestellt wurden, nicht mehr zu akzeptieren
Dann haben bestehende Kunden Vorwarnung und erfahren die schlechte Nachricht zum regulären Verlängerungstermin, statt dass es plötzlich passiert, während die zuständige Person im Urlaub ist
Die jüngsten DigiCert-Threads riechen verdächtig ähnlich wie die Entwicklung, die zum Entrust-Debakel geführt hat
Wie viele Menschen würden, nachdem sie eine weitere Art gesehen haben, wie eine unbekannte gesichtslose Instanz etwas kaputtmachen kann, automatische Updates für immer abschalten und selbst entscheiden wollen, wem sie vertrauen?
Ein starkes Signal würde es sicher senden, aber wahrscheinlich nicht die beabsichtigte Botschaft
Am Ende würde es nur das Misstrauen gegenüber zentralisierter PKI insgesamt weiter verstärken
Laut Bugzilla liegt der eigentliche Grund für den Unterstrich darin, dass Dienste, bei denen Nutzer DNS-Records für Subdomains anlegen können – etwa dynamische DNS-Dienste –, die Registrierung von Subdomains, die mit einem Unterstrich beginnen, blockieren können, um die unerwünschte Ausstellung von Zertifikaten zu verhindern.
Das entspricht der Rolle von
/.well-knownbei abgestimmten Website-Änderungen sowie der Rolle von admin/administrator/webmaster/hostmaster/postmaster bei E-Mail-Adressen für Domain-Kontakte.Indem DigiCert DNS-Records ohne Unterstrich verwendet hat, hat das Unternehmen also eine sicherheitskritische Annahme gebrochen, auf die solche Dienste angewiesen waren.
Deshalb ist das wirklich ein schwerwiegender Sicherheitsvorfall und ein katastrophaler Fehler enormen Ausmaßes.
Bei so etwas weiß ich nicht, ob man DigiCert-Zertifikaten noch vertrauen kann.
Der Autor dieses Kommentars ist Andrew Ayer, der in seinem Blog auch hervorragende Beiträge zu CA-Vorfällen und -Verfahren schreibt: https://www.agwa.name/blog/index
Natürlich gibt es immer zwei Seiten der Geschichte, aber die Person bei DigiCert, die den Validierungs-Bug verursacht hat, ist dafür bereits zurückgetreten, und das ist für sich genommen schon extrem.
Die Person von Sectigo wollte verhindern, dass der Bug geschlossen wird, um weiter mehr Antworten zur allgemeinen Reaktionsfähigkeit von DigiCert einzufordern, und subjektiv betrachtet tat sie das auf ziemlich schroffe Weise.
Ein gewisses Hin und Her ist in Ordnung und zu erwarten, aber wenn man eine Gegenseite, die ein eigenes Legal-Team hat, immer weiter unter Druck setzt, landet die Sache irgendwann vor der Kaffeemaschine beim Legal-Team, und sobald die Juristen hineinschauen, wird es zu ihrem Problem.
Deshalb lautet ein Grundprinzip: Wenn man nicht will, dass die Rechtsabteilung eingeschaltet wird, sollte man nicht einmal das Wort rechtlich in den Mund nehmen.
Diese Reaktion hier ist lediglich ein Schreiben mit der Aufforderung, zurückzutreten, und genau dafür gibt es Rechtsabteilungen: damit die Seiten miteinander streiten können.
Nur ist dieser Fall eben öffentlich geworden.
Ich verstehe die Sichtweise, dass eine CA im Diskussionsprozess keinem rechtlichen Risiko ausgesetzt sein sollte, aber das kollidiert mit der Tatsache, dass es sich um kommerzielle Akteure handelt, die ihre eigenen Interessen schützen.
Solange nicht alle CAs nichtkommerziell sind, kann man nicht beides gleichzeitig haben, und selbst wenn sie nichtkommerziell wären, gäbe es Grenzen.
Genau wie mit allen, die für die Unternehmensstrategie verantwortlich sind.
Denn die Maßnahme der Rechtsabteilung hat nach hinten losgegangen.
Er wurde als Contractor behalten und wartet vermutlich auf eine Wiedereinstellung.
Das war eine Fehlinformation.
Das ist schockierend.
Allein der Versuch, legitime Äußerungen von Web-PKI-Mitwirkenden durch juristische Schikanen zu unterbinden, stellt Zweck und Ziele der Organisation vollständig auf den Kopf; persönlich fände ich es gerechtfertigt, alles, was mit DigiCert zu tun hat, sofort auszusortieren.
Der historische Umgang mit problematischen CAs besteht darin, nach der Behandlung des unmittelbaren Schadens die Ausstellung neuer Zertifikate oder Verlängerungen zu blockieren.
Es gibt viele legitime Unternehmen, die DigiCert nutzen, und sie sollten erwarten können, kurzfristig weiterarbeiten zu können, während sie einen anderen Zertifikatsanbieter suchen.
Wenn man sich den ursprünglichen Bericht (https://bugzilla.mozilla.org/show_bug.cgi?id=1910322) ansieht, gibt es einige Fragen, denen DigiCert offenbar ausweicht.
In den öffentlichen Akten zu Alegeus Technologies LLC v. DigiCert ist kein Versuch zu erkennen, gegen die gerichtliche Anordnung vorzugehen, bevor die bevorzugte Frist von nahezu 120 Stunden ablief, obwohl DigiCert die Zertifikate bei einem entsprechenden Antrag möglicherweise einige Tage früher hätte widerrufen können.
Eine weitere Frage in comment 28 lautete, welche Formulierung DigiCert das Recht einräumte, die Zertifikate von Alegeus Technologies zu widerrufen.
DigiCert schwankte an diesem Punkt: Zunächst wurde angedeutet, die Formulierung stehe auf der Website, später verweigerte man die Bestätigung, ob die damalige Formulierung auf der Website auf Alegeus Technologies anwendbar war.
Meine Vermutung wäre, dass DigiCert Alegeus und anderen Kunden möglicherweise Sonderbedingungen eingeräumt hat und dass man die TRO vor Gericht vielleicht nicht angefochten hat, weil dafür keine vertragliche Grundlage bestand.
Außerdem könnte dieser Vertrag Vertraulichkeitsklauseln enthalten haben, sodass man darüber nicht sprechen durfte.
Es ist überraschend, dass das Forum das Issue geschlossen hat, obwohl die oben zitierten Fragen nicht erfüllt waren; ich habe allerdings nicht das gesamte verlinkte Issue gelesen, daher ist es möglich, dass sie an anderer Stelle beantwortet wurden.
Zusätzlich scheint eine Antwort von DigiCert in einem anderen Thread (https://bugzilla.mozilla.org/show_bug.cgi?id=1910805#c43) dieser Vermutung zu widersprechen.
Insbesondere die Passage: „DigiCerts TOU und MSA untersagten die betreffende Maßnahme von Alegeus, aber als Alegeus eine TRO beantragte und das Gericht diese fast sofort gewährte, waren DigiCert die Hände gebunden.“
Ich frage mich, ob das CAB Forum klagebefugt wäre, gegen Alegeus oder den Richter vorzugehen, weil sie mit einer ungültigen TRO PKI-Verfahren behindert haben.
Was ist in den gut zwei Monaten seit den Daten passiert, auf die diese Briefe verweisen?
Das steht offensichtlich im Widerspruch zu den rechtlichen Drohungen gegen Sectigo.
Deshalb hat Sectigo den Bug Threat of legal action angelegt, um die Community darüber zu informieren, was DigiCert tatsächlich getan hat.
Hätte DigiCert diesen Kommentar nicht geschrieben, wäre Sectigo vielleicht ebenfalls still geblieben.
Zertifizierungsstellen genießen ein enormes Vertrauen aller Internetnutzer – ob diese sich dessen bewusst sind oder nicht.
Mit diesem Vertrauen geht auch eine enorme Verantwortung einher, und die Baseline Requirements sind, wie der Name sagt, die Mindestanforderungen, die erfüllt werden müssen.
Wenn sie nicht in der Lage oder nicht willens sind, ausgestellte Zertifikate innerhalb der vorgeschriebenen Frist zu widerrufen, verdienen sie dieses Vertrauen nicht und sollten entfernt werden.
Ich verstehe, dass die TRO den Widerruf von etwa 70 Zertifikaten verhindert hat und dass man in diesem Fall tatsächlich nichts anderes tun konnte.
Aber für die anderen fehlgeschlagenen Widerrufe gibt es keine Entschuldigung.
Der Bug wurde mit einer Antwort von DigiCert aktualisiert.
Jeder kann seine eigenen Schlüsse ziehen, aber bei folgendem Satz von DigiCert musste ich wirklich lachen:
„Tatsächlich stand unser Schreiben an Sie im Einklang mit unserem Wunsch, einen offenen und ehrlichen Dialog zu fördern.“
Selbst wenn man die Darstellung des Gesprächs in DigiCerts Briefen wörtlich nimmt, war die Person auf Sectigo-Seite im besten Fall schwierig und im schlechtesten Fall vielleicht absichtlich am Trollen.
Ich glaube nicht, dass es wirklich so war, aber als Advocatus Diaboli könnte man es so sehen.
Trotzdem: Wie konnte DigiCert glauben, dass eine Einschaltung der Rechtsabteilung gut ausgehen würde?
Sectigo kann es, wie hier geschehen, öffentlich vor das CAB bringen, PR-Effekt mitnehmen und hat nichts zu verlieren; das CAB wird die beiden Unternehmen auch nicht wie ein Eheberater versöhnen.
Außerdem findet diese extrem höfliche, passiv-aggressive „Nun, eigentlich“-Art von Gespräch in jeder CAB-Incident-Diskussion statt.
Ich verstehe nicht, warum DigiCert ausgerechnet bei diesem Fall so verärgert war.
DigiCerts rechtliches Vorgehen wirkt merkwürdig, und die Vorstellung, dass Kunden eines Unternehmens das Rechtssystem nutzen können, um dieses Unternehmen daran zu hindern, seinen Verpflichtungen gegenüber anderen Stellen nachzukommen, scheint tatsächlich ein gefährliches Problem zu sein.
Aber wenn man sich das Hin und Her im Thread ansieht, ist schwer zu erkennen, wie man das produktiv behandeln könnte.
Es wirkt wie ein Theaterstück, in dem typische Unternehmensdrohnen und typische IRC-Nerds auf der Bühne ihre Zeilen aufsagen: Beide Seiten kreisen um ein interessantes Thema, kommen aber vor lauter gegenseitigem Schlagabtausch nicht zum Kern.