GoDaddy thu hồi hơn 400.000 chứng chỉ TLS do vi phạm tuân thủ

• Sự cố tuân thủ: GoDaddy thu hồi 404.607 chứng chỉ SSL/TLS do không khớp với hồ sơ CP/CPS đã công bố.
• Vi phạm thời hạn: Công ty đã không hoàn tất việc thu hồi trong khung thời gian 5 ngày theo quy định Baseline Requirements.
• Tác động kỹ thuật: Người dùng có thể gặp cảnh báo bảo mật trình duyệt nếu quản trị viên không cập nhật chứng chỉ thay thế kịp thời.

GoDaddy vừa chính thức xác nhận việc thu hồi hàng loạt 404.607 chứng chỉ SSL/TLS sau khi phát hiện các chứng chỉ được cấp phát không tuân thủ đúng các chính sách chứng chỉ (Certificate Policy) đã công bố. Sự cố này không chỉ gây ra gián đoạn dịch vụ mà còn đặt ra những câu hỏi lớn về quy trình quản trị hạ tầng khóa công khai (PKI) của một trong những nhà cung cấp chứng chỉ lớn nhất thế giới.

Phân tích nguyên nhân gốc rễ của sự cố

Theo báo cáo từ các chuyên gia an ninh mạng, sự cố bắt nguồn từ việc một bên thứ ba phát hiện sự khác biệt giữa các chứng chỉ đã cấp và các cấu hình được mô tả trong Certificate Policy (CP) và Certification Practice Statement (CPS) của Starfield. Đây là các tài liệu pháp lý và kỹ thuật quy định các quy tắc mà một Cơ quan cấp chứng chỉ (CA) phải tuân thủ nghiêm ngặt.

Các sai lệch kỹ thuật cụ thể bao gồm:

• Policy Object Identifiers (OIDs): Các định danh chính sách không khớp với hồ sơ đã đăng ký.
• CPS URI Policy Qualifiers: Các tham chiếu đến thực tiễn vận hành của CA không đồng nhất với dữ liệu thực tế trên chứng chỉ.

Các nhà nghiên cứu nhấn mạnh rằng đây là một lỗi tuân thủ quy trình (compliance failure) chứ không phải là một vụ tấn công đánh cắp khóa bí mật (private key theft). Tuy nhiên, việc sai lệch thông tin trong các trường định danh chính sách làm suy yếu tính tin cậy của chuỗi chứng chỉ, buộc GoDaddy phải tạm dừng cấp phát để điều chỉnh tài liệu và hệ thống.

Vi phạm thời hạn thu hồi theo Baseline Requirements

Sự cố trở nên nghiêm trọng hơn khi GoDaddy không đáp ứng được thời hạn thu hồi bắt buộc. Theo Section 4.9.1.1 của TLS Baseline Requirements, các chứng chỉ vi phạm chính sách phải được thu hồi trong vòng 24 giờ và tối đa là 5 ngày (trừ các chứng chỉ ngắn hạn). Lý do thu hồi được ghi nhận là superseded (đã được thay thế).

Mặc dù GoDaddy đã bắt đầu liên hệ với khách hàng từ ngày 14 tháng 10, nhưng đến thời hạn chót ngày 18 tháng 10, chỉ có 170.566 chứng chỉ được thu hồi. Phải đến ngày 21 tháng 10, toàn bộ số lượng chứng chỉ sai lệch mới được xử lý xong. Điều này cho thấy những thách thức lớn trong việc quản lý danh mục chứng chỉ khổng lồ của các tổ chức cung cấp dịch vụ hạ tầng mạng.

Khuyến nghị cho quản trị viên hệ thống

Đối với các quản trị viên đang quản lý hạ tầng máy chủ, việc kiểm tra lại trạng thái chứng chỉ là ưu tiên hàng đầu. GoDaddy cảnh báo rằng một chứng chỉ mới có thể đã được tạo trong tài khoản, nhưng nếu máy chủ vẫn đang sử dụng chứng chỉ cũ, người dùng cuối sẽ gặp lỗi bảo mật khi truy cập website.

⚠️ Cảnh báo quan trọng: Việc nhận được chứng chỉ thay thế không đồng nghĩa với việc website đã được bảo mật. Quản trị viên cần thực hiện tải xuống và cài đặt chứng chỉ mới ngay lập tức trên máy chủ web (Nginx, Apache, IIS) để tránh gián đoạn kết nối.

Để kiểm tra trạng thái chứng chỉ hiện tại, quản trị viên có thể sử dụng các công cụ dòng lệnh như openssl để xác minh thông tin:

# Kiểm tra thông tin chứng chỉ của domain bị ảnh hưởng 24/7 443 2>&1 | openssl x509 -noout -text

Việc quản lý chứng chỉ không chỉ dừng lại ở việc cài đặt, mà còn bao gồm việc giám sát tính tuân thủ của các chuỗi chứng chỉ (Certificate Chains). Các tổ chức nên tích hợp các giải pháp giám sát chứng chỉ tự động để phát hiện sớm các sai lệch cấu hình trước khi chúng trở thành các sự cố tuân thủ nghiêm trọng.