GodaddyのSSL証明書にドメイン認証の脆弱性があり8850件の証明書が失効された

エグゼクティブサマリ GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性は解消されている。 概要 GoDaddy社は米国のホスティング（レンタルサーバー）やレジストラの大手で、認証局（CA）の事業も手がけています。 GoDaddyが発行するドメイン認証証明書の認証手続きに不備があったとして報告されています。 In a typical process, when a certificate authority, like GoDaddy, validates a domain name for an SSL certificate, they provide a random code to the customer and ask them to p

[securecat]

確かに、ファイル名をコードと同一にしない設計というのは忘れがちな気もする

[junjun777]

「ファイル名？同じでいいんじゃない？」はやりがちな気がするのでブクマ

[ockeghem]

速報として日記書いた

[cms-kekato]

これ、GoDaddyのOEM的ブランドを利用していたら、連絡来ると同時に失効させられて対応が大変だった。ので、Let's Encryptに移行した。

[t_yamo]

いやいやいや。ないないない。 / ステータスコードチェック有無よりファイル名と中身が同じで中身の文字列が含まれるか否かでチェックという方がナシだと思う。リクエストを画面に出すケース沢山あるでしょ。

[Lewisik]

海外のサービスはクライアントに説明しづらいから使ってないけど、めも。

[misomico]

例えば、 https://www.checkpoint.co.jp が切れてる。iPhoneだとみれちゃうな

[y-kawaz]

別ファイル名やステータスチェックは紛れを減らす為の予防的対策ではあるが、本質的には「指定URL中のコード設置でドメイン認証する手法」の問題と思う。／GoogleAppsも似た問題があって昔記事書いた。＞http://bit.ly/2jlhNAy

[anoncom]

お粗末なチェック、というかこんなもんで通っちゃうものなのか（ステータスコードを見ていなかったのか）

[rryu]

「キーを記入したファイルを置く」じゃなくて「このファイルを置く」という認証にしておけば完全一致で比較できたのに……

[deep_one]

うちがよく使うところはドメインの管理者アドレス（rootとかpostmasterとか）にメールを送ってくるタイプの認証だな。…すごくがんばれば傍受で突破できる気がしている。

[TokyoIncidents]

"GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性は解消されている"

[Jxck]

ステータスコードをちゃんと確認しなかったことが問題なのか。

[chopapapa]

お粗末すぎて草生える

[sin20xx]

Godaddyは大規模な事業者でAPI経由での発行もできるので地味に利用者が多いんだよね。値段も安いしね。しかしやりがちなミスではあるなぁ。サイト認証とかでこの手の方法多いのだが、他の事業者は大丈夫なんだろうか？

[fashi]

「ステータス404なのに、レスポンス中にコードが含まれているために、認証は成功してしまう」

[rjge]

“バグが混入したのは2016年7月29日であり、2017年1月10日までに解消” 似たような認証システムちょいちょい見かけるから気をつけよ…

[wisboot]

ドメイン所有者の確認は、攻撃先Webサイトの実装によっては第三者が不正に認証を取得しうる可能性があったのか。確かに確認がザルすぎる／認証も自動化してたからだろうなー

[d6rkaiz]

レスポンスコードが200で且つファイル内容に規定の内容が入ってるかどうかをチェックしたらOKという内容なら書いたことあるけど、レスポンスコードを無視するのはありえん。

[kfujii]

なるほど。

[fujiyama3]

『ファイル名とファイルの中身の両方に同一の認証コードを含めるという設計』ひどいなコレ。バグってレベルじゃないぞ。使わんでよかったGodaddy。

[nikoli]

今時こんなお粗末な方法がまかりとおる脆弱性があったなんて…

[longroof]

ううーん(；´Д｀)…

[uunfo]

なるほどなあ

[manFromTomorrow]

ダディクール・・・

[mas-higa]

grep で認証してたんか?

[Haaaa_N]

こんな証明局!こんな!certbotに駆逐されてしまえ!

[mumincacao]

どめいん認証は基本的に DNS れこーど追加する方式でやってるけど単純にふぁいる名を内容に含めるだけだと Apache のでふぉえらーでも通るなぁ・・・ Nginx はせーふっぽい？（・ｘ【みかん

[hatomugicha]

こんな証明もあんのね

[koroharo]

“ファイル名とファイル中に記述する認証コードは別々に発行することで、仮にステータスのチェックが抜けていても脆弱性にならないような設計となります。このように、予防的な設計を心がけることが重要です。”

[vndn]

あ、なるほど。