חדשות PKI · המקורות נבדקו ב־8 בנובמבר 2026
D-Trust מדווחת שביטלה 858 תעודות TLS מסוג אימות מורחב (EV) לאחר שגילתה שבתעודות שהנפיקה חסרים שדות בנושא התעודה שהובטחו בהצהרת נוהלי ההסמכה שלה (CPS). למפעיל אתר שתעודתו מושפעת, המשימה המיידית היא לוודא שהתעודה החלופית אכן מוצגת ללקוחות, ולא להסתפק בהזמנה מוצלחת של תעודה.
מה השתנה
עדכון ההשלמה שפורסם ב־7 בנובמבר בשעה 21:36 UTC מציין שהביטול הסתיים ב־6 בנובמבר בשעה 17:22:56 UTC, לפני תום חלון חמשת הימים שדווח. מתוך 866 תעודות מושפעות, שמונה כבר פגו או בוטלו קודם לכן. D-Trust מציינת שרשימות הביטול (CRL) ושירות OCSP אישרו לאחר מכן את כל 858 הביטולים. לא חזרנו על הבדיקות באופן עצמאי.
הדוח הראשוני מתאר היעדר של השדות localityName, streetAddress ו־postalCode, שנדרשו בסעיף 3.1.4 של CSM CPS בגרסה 5.5. D-Trust גילתה את הפער ועצרה הנפקת תעודות EV ב־2 בנובמבר. הרשויות המנפיקות המושפעות הן D-TRUST EV CA 1-20-1 2020 ו־D-TRUST EV CA 2-23-1 2023.
החלפת תעודה מחייבת בדיקת פריסה
הרשימה הבאה היא המלצה תפעולית, ולא דיווח על כשלים נוספים ב־D-Trust או אצל לקוחותיה. התחילו ממלאי התעודות שלכם ומהנחיות הספק למקרה המסוים.
- זהו את התעודה במדויק. תעדו את המנפיק והמספר הסידורי, טביעת האצבע מסוג SHA-256, תאריך התפוגה והאחראי לשירות. שם המנפיק לבדו אינו מוכיח שתעודה מסוימת מושפעת.
- מפו כל מקום שמציג אותה. כללו מאזני עומסים, שרתי reverse proxy, הגדרות CDN ונקודות קצה לשעת גיבוי. בדקו את שם המארח הרלוונטי ואת המקום שבו מסתיים חיבור ה־TLS; קובץ התעודה המקומי בשרת היישום אינו בהכרח התעודה שהלקוחות מקבלים.
- אמתו את התעודה החלופית שנפרסה. השוו את התעודה שכל נקודת קצה מציגה לתעודה החלופית המתוכננת. בדקו התאמה לשמות המארחים, תוקף ושרשרת אמון באמצעות סוגי הלקוחות שהשירות תומך בהם. השאירו את אימות התעודות הרגיל פעיל.
- תעדו תוצאות ופערים שנותרו. רשמו את נקודת הקצה שנבדקה, מועד הבדיקה, טביעת האצבע שנצפתה והתוצאה. העבירו לטיפול נקודת קצה שעדיין מציגה את התעודה הישנה. נקודת קצה שאינה נגישה היא בדיקה שלא הושלמה, ולא הצלחה.
טעינה מוצלחת של דף היא בדיקת שירות שימושית, אבל אינה מתעדת שכל נקודות הקצה עברו לתעודה החדשה. סיימו את הפריסה רק כאשר כל ההיקף המתוכנן מתועד, כולל חריגים שאושרו והאחראים לטיפול בהם.
מה עדיין פתוח
D-Trust מציינת שהדוח המלא, כולל רשימות התעודות, יפורסם עד 16 בנובמבר. העדכון הנוכחי מאשר את השלמת הביטול לפי דיווח החברה; הוא אינו מספק ניתוח מלא של גורמי השורש ואינו מאמת את מצב הפריסה אצל הלקוחות.
הנחיות הדיווח של CCADB דורשות הסבר ברור של הגורמים ופעולות תיקון מדידות. אלה שאלות ההמשך המועילות: איזו בקרה החמיצה את הפער מול ה־CPS, מה יזהה אותו מוקדם יותר, ואילו ראיות יראו שהשינוי עובד?