Ошибка в документации GoDaddy поставила под угрозу доступность даже правительственных сайтов. 22 октября власти Гибралтара подтвердили, что часть государственных ресурсов использовала сертификаты компании, попавшие под массовый отзыв. Посетители таких страниц могли увидеть предупреждение браузера о безопасности соединения или вовсе потерять доступ к сайту.
Причиной стала не кибератака, а несоответствие выпущенных TLS-сертификатов официальным правилам удостоверяющего центра. Сторонний заявитель обнаружил расхождения между сертификатами GoDaddy и Starfield и опубликованными правилами CP/CPS. Проблема затронула идентификаторы политик сертификатов и ссылки на документы, описывающие порядок выдачи.
TLS-сертификат помогает браузеру удостовериться в подлинности сайта и установить зашифрованное соединение. После отзыва прежний документ перестаёт считаться действительным, даже если сервер не взломан и технически продолжает работать. При проверке браузер может прервать подключение до тех пор, пока владелец ресурса не установит новый сертификат.
GoDaddy приостановила выпуск сертификатов, исправила опубликованные профили и возобновила выдачу. С 14 октября компания связывалась с клиентами, включая государственные учреждения, финансовые и медицинские организации. Завершить массовый отзыв к установленному сроку 18 октября не удалось. К тому моменту компания аннулировала 170 566 сертификатов.
Первоначально GoDaddy насчитала 404 607 проблемных сертификатов, однако затем уточнила масштаб. Согласно обновлению от 22 октября, в окончательный перечень вошли 403 643 документа. Из них компания отозвала 378 067, а срок действия остальных 25 576 уже закончился. Действующих сертификатов из проблемного перечня больше нет, хотя владельцам сайтов ещё требуется установить замену.
Департамент информационных технологий и логистики Гибралтара начал менять сертификаты на затронутых правительственных ресурсах. Власти отдельно указали, что предупреждения не связаны со взломом государственных сайтов. Сбой также не имеет отношения к уязвимости PHP, о которой британский Национальный центр кибербезопасности предупредил 21 октября. Исправления PHP устанавливают отдельно.
GoDaddy предупредила клиентов, что перевыпуска сертификата недостаточно, если сервер по-прежнему предъявляет старый документ. Владельцам сайтов предложили проверить состояние сертификатов и при необходимости установить обновлённые файлы. В мае похожий сбой в инфраструктуре доверия на несколько часов остановил выпуск новых сертификатов Let's Encrypt, хотя причины двух инцидентов различались.
Правительство Гибралтара рекомендовало не обходить предупреждения безопасности и не вводить личные или платёжные данные на проблемных страницах. Для доступа к государственным услугам нужно дождаться замены сертификата администратором ресурса. Адрес сайта советуют набирать вручную. Устанавливать дополнительные программы и менять настройки устройств пользователям не требуется.