La prueba de revocación causa que los navegadores y sistemas rechacen los certificados expedidos por GlobalSign.

Los usuarios alrededor del mundo tuvieron problemas para ingresar a algunos sitios con HTTPS debido a un error de GlobalSign, una de las autoridades certificadoras más grandes del mundo.

Como parte de un ejercicio planeado, GlobalSign revocó uno de sus certificados cruzados que permitían a los certificados de usuario final encadenarse para alcanzar a los certificados raíz. GlobalSign opera múltiples certificados raíz, los cuales son instalados por defecto en los navegadores de los sistemas operativos y se enlazan con los certificados cruzados.

La revocación de dicho certificado fue interpretada por algunos navegadores y sistemas como la revocación de los certificados intermedios que se encadenaban a él. Esta no fue realmente la intención de la compañía.

El bloque de certificados intermedios rompió la cadena de certificados y los usuarios comenzaron a recibir errores de validación de los certificados cuando estaban intentado ingresar a sitios con certificados expedidos por GlobalSign.

Parece que la revocación del certificado cruzado sucedió hace un tiempo, pero los fallos comenzaron a aparecer el jueves 13 de octubre, cuando GlobalSign comenzó a proporcionar la información de revocación sobre el Online Certificate Status Protocol (OCSP).

Mientras la CA inmediatamente tomó los pasos para reparar el fallo, los usuarios aún recibirán errores de certificado los días siguientes debido a que las respuestas de OCSP están almacenadas en memoria caché de los navegadores y servidores.

“El problema se corregirá por sí solo en cuatro días cuando las respuestas dadas por memoria caché expiren, lo que sabemos que no es ideal”, indicó GlobalSign en un reporte en su sitio web. “Sin embargo, al mismo tiempo, GlobalSign estará proporcionando una solución alternativa de CA para que los clientes la empleen, proporcionada por un certificado raíz diferente el cual no ha sido afectado por el certificado revocado, pero que ofrece la misma ubicuidad”.

Esto significa que los dueños de certificados afectados, podrán obtener nuevos de un certificado raíz distinto de GlobalSign que no tiene este problema.

La compañía proporcionó una guía para solucionar problemas de los diferentes tipos de certificados que emite, así como instrucciones para borrar la memoria caché de OCSP.