- Sectigoの法務責任者Brian Hollandが、DigiCertの法律代理人Wilson Sonsiniから受け取った法的書簡を公開し、WebPKIの公開討論が萎縮しかねないという論争が拡大
- DigiCertは当初、競合他社による誤解を招く発言とフォーラム悪用の可能性を懸念した措置だったと説明したが、その後C&D送付が不適切だったことを認めた
- 議論の背景には、DigiCertによる大量証明書失効事件に関連するTROがあり、DigiCertはTROが1件の証明書にのみ影響し、公開記録に含まれていたと説明
- コミュニティとChrome Root Programは、WebPKIへの参加を萎縮させる行動はエコシステムの中核的価値に合わないと見なし、DigiCertは最終的にインシデント報告書と再発防止策を提出
- DigiCertは今後、進行中のBugzillaインシデントにおける技術・ポリシー上の争点を法的チャネルではなくBugzillaで扱い、法的措置が必要な場合は役員レビューと公開通知を適用し、オンブズマン・プログラムを運用する方針
Sectigoが公開したDigiCertのC&D書簡
- Brian Hollandは、DigiCertが以前のBugzillaコメントで「法務チームを責任回避の盾として使っていない」と述べていたが、実際にはDigiCertの法律代理人Wilson SonsiniからSectigo側の発言に関する書簡を受け取っていたと明らかにした
- その書簡は、SectigoのChief Compliance OfficerであるTim CallanがBugzillaで行った発言を問題視し、Sectigoに対して「Mr. Callanの発言が継続されず、Sectigo組織内の他のメンバーによって繰り返されないようにする」ことを求めていた
- 書簡にはLanham Act、deceptive trade practices、corporate disparagement、tortious interferenceが言及され、DigiCertが法的措置を取る可能性があるとの文言が含まれていた
- Hollandは2024年12月10日の返信で、問題とされた発言は質問または意見であり、WebPKIにおける重要な議論を促進するためのものなので、法的請求の根拠にはなり得ないと反論した
- Sectigoは、公開CAの慣行に対する監視と議論を萎縮させる法的威嚇は、CCADBのインシデント報告ガイドラインが求める透明な事後分析文化に合わないと見ている
DigiCertの初期対応とコミュニティの反応
- DigiCertは、BugzillaとCAコミュニティの理念を支持しており、この書簡は公開で誠実な対話を守る意図だったと回答した
- Entrust distrust以降、一部の参加者がBugzillaに誤解を招く情報や一面的な事実を投稿して世論を否定的に動かし、バグを必要以上に開いたままにしようとしているとの懸念も示した
- Sectigoの返信後には追加措置や対応を行っておらず、Sectigoがこの問題を再び公開するまでは事案は終了したと考えていたと説明した
- 複数のコミュニティ参加者は、書簡全体を法的威嚇として読むほかないと批判し、DigiCertが一部の過ちを認め、内部コミュニケーションを改善すべきだと求めた
- Mozilla側は、透明なコミュニティベースのプロセスが核心原則であり、議論への参加を萎縮させる行動は公開・非公開を問わずコミュニティに深刻な損害を与えると述べた
インシデント該当性とChrome Root Programの介入
- DigiCertは当初、この事案はコンプライアンス要件違反の主張ではないため、バグを閉じるべきだと要請した
- コミュニティ参加者はChrome Root Program Policyを引用し、Chrome Root Program Participantの完全性・信頼性・互換性に影響し得る状況もインシデントに該当し得ると指摘した
- Chrome Root Programは、コミュニティからのフィードバックが、DigiCertが信頼と善意を回復するためにどのような努力をするのか知りたいという強い要望を示していると見た
- 別途CCADBインシデント報告書を作成するよりも、このBugzillaでの議論の中でDigiCertがコミュニティの関心事項に直接対応する方が効果的だと判断した
- DigiCertはその後、この議論がコミュニティの懸念に対応する効果的な方法であることに同意し、追加質問に答えると表明した
DigiCertの認定とインシデント報告書
- DigiCertは当初、競合他社の誤解を招く発言に対応するため書簡を送ったと見ていたが、その後、この書簡が透明性とコミュニティの最善に沿うものではなかったと認めた
- Bugzillaフォーラムの行動規範とコミュニティ参加ガイドラインを使う方がより良い道筋であり、2024年11月に戻れるなら同じ書簡は送らなかっただろうと述べた
- その後DigiCertはFull Incident Reportを提出し、2024年11月11日に法律代理人がSectigoへC&Dを送った出来事をインシデントとして整理した
- 報告書は、C&DがBugzillaでの議論と密接に重なっていたため公開討論を萎縮させ得たこと、perceived misinformationは公開のBugzilla文脈で訂正する方がより適切だったことを認めた
- DigiCertは元の書簡が「Tim Callanの発言に基づいて法的措置を検討するという威嚇」だったと明記しつつも、この状況でC&Dは適切な対応ではなかったと述べた
原因として挙げられた要素
- DigiCertは第一の寄与要因としてTROの新規性を挙げた
- Bugzilla 1910805の大量失効事件はDigiCertにとって重要な事案であり、失効期限には例外事由がないという点が業界で再確認されたと説明した
- その失効プロセスでTROを含む複数の例外事由の主張に接し、TROは失効に限定的な役割しか果たさなかったものの、透明性の観点から公開したと述べた
- 第二の寄与要因は競合関係だった
- DigiCertとSectigoは直接の競合企業であり、公的に信頼されるCAに所属する個人のBugzilla参加が競争上の緊張を生み得ると見た
- Tim Callanの24件のBugzillaコメントのうち18件がDigiCertのバグに向けられていたとして、これを競争上のセンシティビティの文脈で捉えたと説明した
- 大量失効事件の後、コンプライアンスと標準を担当していた役員が辞任し、そのため通常のコンプライアンス・ワークフローと承認プロセスが揺らいだと明らかにした
- その後の回答では、LegalチームがStandards/ComplianceチームとC&D送付について協議し、同チームのメンバーが懸念を示したものの、Legalチームが内部の反対にもかかわらず送付を決定したと説明した
再発防止策
- DigiCertはインシデント報告書と終了サマリーで、4つの措置を完了したと述べた
-
Technical-First Dispute Resolution
- インシデント報告中の技術的問題、誤解を招く表現、コンプライアンス関連ポリシー違反の懸念は、法的チャネルではなく該当するBugzillaで扱う
- 進行中のインシデントに関連して法的措置が必要な場合は、その決定と措置を関連するBugzillaで公開する
-
Community Transparency Pledge
- インシデント関連のコミュニケーションは、MDSP、CCADB、CA/B Forum、Bugzillaのようなコミュニティフォーラムで公開処理し、追跡可能性を確保する
- コメント投稿者への接触も、報復や不意打ちに見えないよう、インシデントの文脈に合わせて文書化し投稿する
-
Legal Review Gate
- インシデントと交差する法的措置は役員レベルのレビューと承認を経て、その法的措置が適切であるという分析を含める
- 即時の公開通知が不可能な場合はroot programに非公開で通知し、その後に公開のフォローアップを提供する
-
Ombudsperson Role for WebPKI Concerns
- DigiCertは、WebPKIにおける公平性、開放性、萎縮の可能性などに関する懸念を非公開で提起できる内部オンブズマン手続きを作ることにした
- その後、外部の独立人物Don Sheehyが必要に応じて支援する形でオンブズマンチームに加わった
オンブズマン・プログラムとその後の論争
- DigiCertは当初、オンブズマンチームがProgram Management、Compliance、Legal部門の代表で構成され、
transparency@digicert.comで連絡できると発表した
- コミュニティ参加者は、内部人員だけで構成されたオンブズマンが十分に独立しているのか疑問を呈し、DigiCertは外部コミュニティメンバーまたは独立人物の参加を検討すると述べた
- DigiCertはオンブズマン手続きの運用方法を公開した
- 受付は
transparency@digicert.comまたはdigicert.com/transparencyformを通じて可能
- 受領確認、案件番号の付与、分類・ルーティング、調査、7日ごとの更新、報告書作成手続きが含まれる
- 匿名提出は可能だが、追加確認が必要な際に連絡先がない場合は即時終了となることがある
- DigiCertはICANN Ombudsmanに関するFrank FowlieのPhD論文を参考資料として挙げ、継続的改善の方式でプログラムを運用すると説明した
- 一部のコミュニティ参加者は、オンブズマンがすべてのCAに必要だというDigiCertの見方に反対し、法的威嚇を用いたCAをより強く制裁する方向の方がWebPKIの信頼にとって望ましいと主張した
終了サマリーとステータス
- DigiCertの最終終了サマリーは、2024年11月11日にDigiCertが雇用した法律事務所がSectigoへC&Dを送り、DigiCertがC&DがBugzillaや他のフォーラムでのコミュニケーションに及ぼす影響を十分に考慮していなかったと整理した
- インシデントの原因は、TROに関するperceived misinformation、競合関係、過剰反応と整理された
- DigiCertはSectigoとより広いWebPKIコミュニティへの公式謝罪、オンブズマン・プログラム、独立メンバーの追加、法的コミュニケーションのレビュープロトコルをremediationとして提示した
- 今後、進行中のインシデント中の技術・誤解・ポリシー問題は該当するBugzillaで扱い、進行中のインシデントに関連して法的チャネルを使う必要があると判断した場合は、その決定と措置を関連するBugzillaで公開すると約束した
- 最終的に、コミュニティからの追加コメントや質問を求めるfinal callが投稿され、およそ2025年9月17日に終了予定だと案内された
1件のコメント
Hacker News のコメント
要するに、DigiCert は Baseline Requirements が許容する範囲を超えて、何度か証明書失効の遅延を行っており、最近の例は https://bugzilla.mozilla.org/show_bug.cgi?id=1896053 と https://bugzilla.mozilla.org/show_bug.cgi?id=1910805 である。
前者は特定の顧客をなだめるために失効を遅らせたように見え、後者は一時的差止命令（TRO）のために期限どおり失効できなかったケースである。
Sectigo の Tim Callan は、どちらの場合も DigiCert が顧客に対して十分に強く対抗しなかったと公に批判しており、特に TRO のような手段が失効を遅らせるために今後より頻繁に使われるのではないかという懸念がある。
Sectigo や WebPKI エコシステムの他の関係者は、DigiCert が顧客に失効ポリシーを非常に明確に伝え、顧客が実際に期限内に証明書を差し替えられるよう保証することを望んでいるようだ。
Sectigo が最も声高ではあるものの、DigiCert の失効遅延を管理するよう求めているのは Sectigo だけではないようで、そのため法的脅しへとエスカレートしたのは本当に不適切であり、DigiCert はこの戦術によってかなり大きな反発を受ける可能性がある。
顧客が証明書失効について法的措置を取れないように法務文書を修正したがっていないようで、これまでは法的措置が DigiCert に有利に働いてきた。
会社名の検証と CA 手続きの処理が事業のすべてである会社が、肝心のその手順を守ることにはかなり消極的に見える。
Alegeus Technologies LLC のような技術的に無能な顧客が TRO を申し立てること自体は防げないだろうが、適切な手順に従わなかったのは今回が初めてではない。
否定的な議論を裁判所で封じようとするのは CA としてはかなり下品に見えるし、すでに疑念と不信の対象になっている DigiCert がこのようなことをするのは、追い詰められて非難を避けようとする最後の試みに見える。
顧客は DigiCert が決められた時点で証明書の差し替えを強制しないことを喜ぶだろうが、問題が起きて DigiCert が信頼リストから削除されれば、突然ほかの証明書プロバイダーを探さなければならないという驚くべき状況に直面することになる。
見たところ非常に妥当である。
Web PKI のドラマがいつも驚くべきなのは、世界中で企業が「調子に乗った」結果、たいていすぐに冷徹な「ツケを払う」ことになる、ほぼ唯一の領域の一つだからだ。
どの CA を信頼するかを決める複数の主体は、事実上、世界中のどんな CA 事業でもほぼ即座に解体できる。
DigiCert がこのゲームをして負けるなら、これまでで最大の敗者になるだろうし、私の知る限り DigiCert はインターネット上で最大の CA である。
インターネット最大の CA が信頼ストアから削除されれば、強いメッセージを送り、大きな混乱も生むだろうが、不可能である理由は特にない。
もちろんその可能性は低いと思うが、ここで法務チームを巻き込むのが良い考えだと判断した DigiCert の誰かが、一生分の叱責を受ける場面を想像するだけでも痛快だ。
当該スレッドを読んでみたが、DigiCert に好意的には見えなかったし、それでもこの措置は Collan が言ったどんな言葉よりも DigiCert にとってはるかに致命的だと思う。
[1] https://bugzilla.mozilla.org/show_bug.cgi?id=647959
この規模の CA に対する信頼撤回手続きなら、特定の日付以降に発行された新しい証明書を受け付けない方式のほうが妥当である。
そうすれば既存顧客は事前に知ることができ、担当者が休暇中のときに突然発生するのではなく、定期更新のタイミングで悪い知らせを知ることになる。
最近の DigiCert スレッドは、Entrust 事件につながった流れと怪しいほどよく似たにおいがする。
知りもしなかった顔の見えない主体が何かを壊せる、また別の方法を目にして、自動更新を永久に切り、何を信頼するかを自分で決めようとする人がどれほど増えるだろうか。
強いメッセージを送るのは間違いないが、意図したメッセージではない可能性が高い。
結局、中央集権型 PKI 全般への不信をさらに大きくするだけだ。
Bugzillaによると、アンダースコアの本当の理由は、ユーザーがサブドメインにDNSレコードを作成できるサービス、たとえば動的DNSサービスが、アンダースコアで始まるサブドメインの登録を防ぎ、望まない証明書発行を防止できるようにするためだという
これは、合意されたウェブサイト変更方式における
/.well-knownの役割、ドメイン連絡先設定メールにおける admin/administrator/webmaster/hostmaster/postmaster の役割と同じであるDigiCertがアンダースコアのないDNSレコードを使ったことで、こうしたサービスが依拠していたセキュリティ上の重要な前提を壊したということになる
だからこれは本当にセキュリティ上重大なインシデントであり、途方もない規模の致命的なミスだ
このレベルだと、DigiCertの証明書を信頼してよいのか分からない
そのコメントの投稿者はAndrew Ayerで、CAのインシデントと手続きに関する優れた記事もブログに書いている: https://www.agwa.name/blog/index
いつでも双方に言い分はあるだろうが、DigiCertで検証バグを作った人はすでにその件で辞任しており、それ自体も極端だ
Sectigo側の人はバグがクローズされないようにして、DigiCertの全般的な対応性についてさらに多くの回答を求め続けようとしており、主観的にはかなり刺々しいやり方だった
ある程度の応酬は問題なく、予想できることでもあるが、社内法務部門を持つ相手を押し続ければ、結局その相手はコーヒーマシンの前で法務部門と話すことになり、法務部門がのぞき込んで、それが彼らの問題になる
だから第一原則は、法務部門を呼び込みたいのでないなら、法的という言葉すら持ち出さないことだ
今回の対応は引き下がれという手紙にすぎず、法務部門が存在する理由はまさに互いに論争させるためにある
ただ今回はそれが公開の場に漏れただけだ
CAが議論の過程で法的リスクを負うべきではないという見方は理解できるが、それは彼らが自らの利益を守る商業主体であるという事実と衝突する
すべてのCAが非営利でない限り、両方を同時に得ることはできず、たとえ非営利でもその限界はある
会社戦略を担う誰かとも同じだ
法務部門の措置が逆効果になったのだから
契約者として維持されており、おそらく復職を待っている可能性が高い
誤解だったということだ
これは衝撃的だ
Web PKIの貢献者たちの合法的な発言を法的嫌がらせで封じようとするだけでも、組織の目的と目標を完全にひっくり返す行為であり、個人的にはDigiCertに関連するものをすべて即座に廃棄するに値すると思う
問題のあるCAを扱う歴史的な方法は、差し迫った被害に対処したうえで、新しい証明書の発行や更新を止めることだ
DigiCertを使っているまともな会社も多く、彼らには別の証明書プロバイダーを探すあいだ、短期的には営業を続けられるという期待があるべきだ
元の報告書（https://bugzilla.mozilla.org/show_bug.cgi?id=1910322）を見ると、DigiCertが回避しているように見える質問がいくつかある
Alegeus Technologies LLC v. DigiCertの公開記録には、そのような申立てがあればDigiCertは数日早く証明書を失効できたはずなのに、ほぼ120時間に近い優先期間が終わる前に裁判所命令に異議を申し立てようとした形跡が見えない
またcomment 28の別の質問は、Alegeus Technologiesの証明書を失効させるDigiCertの権利を定める文言が何か、というものだった
DigiCertはこの点で態度が揺れ、最初はその文言がウェブサイトにあると示唆したが、後には当時のサイト上の文言がAlegeus Technologiesに適用されたか確認することを拒んだ
推測すると、DigiCertがAlegeusや他の顧客に特別条件を提供していた可能性があり、その契約上の根拠がないためTROを法廷で争わなかったのかもしれない
また、その契約に秘密保持条項があり、その件について話せなかった可能性もある
上記で引用された質問が満たされていないにもかかわらず、フォーラムがこのイシューをクローズするのを許したのは驚きだが、リンクされたイシュー全体をすべて読んだわけではないので、別の場所で回答されている可能性はある
さらに、DigiCertが別スレッドで行った回答（https://bugzilla.mozilla.org/show_bug.cgi?id=1910805#c43）は、この推測と矛盾しているように見える
特に「DigiCertのTOUとMSAはAlegeusの当該行為を禁じていたが、AlegeusがTROを申請し、裁判所がほぼ即座にそれを認めたため、DigiCertは手を縛られた」という部分だ
CAB Forumが、無効なTROでPKIの手続きを妨げたAlegeusやその裁判官を相手に訴訟を起こす法的資格を持つのか気になる
これらの書簡が指している日付から2か月強の間に、何が起きていたのか？
これはSectigoに対する法的脅しと明らかに矛盾している
そのためSectigoは、DigiCertが実際に何をしたのかをコミュニティに知らせるために、Threat of legal actionバグを投稿したのだ
DigiCertがそのようなコメントをしていなければ、Sectigoも黙っていたかもしれない
認証局は、すべてのインターネットユーザーから非常に大きな信頼を受けている。ユーザーがその事実を知っているかどうかにかかわらずだ
その信頼に見合う大きな責任も負っており、名前の通りBaseline Requirementsは満たすべき最低基準である
要求された時間内に発行済み証明書を失効できない、あるいはその意思がないのであれば、この信頼を受ける資格はなく、排除されるべきだ
TROが約70件の証明書失効を妨げ、その場合には実際に他にできることがなかったのは理解している
しかし、その他の失効失敗には弁解の余地がない
バグはDigiCertの回答で更新された
各自で結論を出せばよいが、DigiCertの次の一文には実際に笑ってしまった
「実際、あなたに送った当社の書簡は、オープンで誠実な対話を促進したいという当社の願いと一致していました」
DigiCertの書簡にある会話の描写をそのまま受け入れたとしても、Sectigo側の人物は、よく言って扱いにくく、悪く見れば意図的にトロールしていた可能性もある
実際にそうだったと思っているわけではないが、悪魔の代弁者を務めるならそういうことだ
それでもDigiCertは、法務チームの介入がうまくいくとどう考えたのだろうか？
SectigoはここでやったようにCABに公開して広報効果を得られ、失うものはないし、CABが結婚カウンセラーのように両社を仲直りさせるわけでもない
それに、この種の極めて丁寧な受動攻撃的な「ええと、実は」式のやり取りは、CABのあらゆるインシデント議論で起きている
DigiCertがなぜこの件だけに腹を立てたのか分からない
DigiCertの法的措置は奇妙に見えるし、同社の顧客が法制度を利用して、その会社が他の主体に対する義務を果たせないよう妨げられるという発想には、実際に危険な問題があるように見える
しかしスレッドでの応酬を見ると、それを生産的に扱う方法はあまり見えてこない
典型的な企業ドローンと典型的なIRCギークたちが舞台上で台詞を交わす芝居を見ているようで、両者とも興味深いテーマの周辺を回っているが、互いにやり合うばかりで肝心の核心には到達していない