DigiCert é alvo de controvérsia por supostamente ameaçar medidas legais para silenciar discussões no Bugzilla
(bugzilla.mozilla.org)- A controvérsia aumentou depois que Brian Holland, diretor jurídico da Sectigo, divulgou uma carta jurídica recebida do representante legal da DigiCert, Wilson Sonsini, levantando preocupações de que discussões públicas sobre a WebPKI possam ser inibidas
- A DigiCert explicou inicialmente que a medida foi motivada por preocupações com declarações enganosas de uma concorrente e com o possível uso indevido do fórum, mas depois reconheceu que o envio da carta de C&D foi inadequado
- O pano de fundo da discussão envolvia uma TRO relacionada ao caso de revogação em massa de certificados da DigiCert, e a empresa afirmou que a TRO afetava apenas um certificado e constava em registros públicos
- A comunidade e o Chrome Root Program entenderam que ações que desestimulem a participação na WebPKI não combinam com os valores centrais do ecossistema, e a DigiCert acabou apresentando um relatório de incidente e medidas para evitar recorrência
- A DigiCert afirmou que, daqui para frente, tratará questões técnicas e de política de incidentes ativos no Bugzilla, e não por canais legais; quando medidas legais forem necessárias, aplicará revisão executiva e notificação pública, além de operar um programa de ombudsman
A carta de C&D da DigiCert divulgada pela Sectigo
- Brian Holland afirmou que, embora a DigiCert tenha dito anteriormente em comentários no Bugzilla que “não usou a equipe jurídica como escudo para fugir de responsabilidade”, na prática a Sectigo recebeu uma carta do representante legal da DigiCert, Wilson Sonsini, sobre declarações feitas pela empresa
- A carta questionava falas feitas no Bugzilla por Tim Callan, Chief Compliance Officer da Sectigo, e exigia que a Sectigo garantisse que “as declarações do Sr. Callan não continuem e não sejam repetidas por outros membros da organização Sectigo”
- A carta mencionava Lanham Act, deceptive trade practices, corporate disparagement e tortious interference, além de incluir texto indicando que a DigiCert poderia tomar medidas legais
- Em resposta enviada em 10 de dezembro de 2024, Holland rebateu dizendo que as declarações em questão eram perguntas ou opiniões e tinham como objetivo promover discussões importantes sobre a WebPKI, portanto não poderiam fundamentar reivindicações legais
- A Sectigo considerou que ameaças legais que desestimulem fiscalização e debate sobre práticas públicas de CAs não são compatíveis com a cultura transparente de análise pós-incidente exigida pelas diretrizes de relatórios de incidente da CCADB
Resposta inicial da DigiCert e reação da comunidade
- A DigiCert respondeu que apoia os ideais do Bugzilla e da comunidade de CAs, e que a carta tinha a intenção de preservar um diálogo público e honesto
- Após o distrust da Entrust, também foram levantadas preocupações de que alguns participantes estariam publicando no Bugzilla informações enganosas ou meias-verdades para influenciar negativamente a opinião pública e manter bugs abertos por mais tempo do que o necessário
- A empresa explicou que, depois da resposta da Sectigo, não tomou medidas adicionais nem deu continuidade ao caso, e acreditava que o assunto estava encerrado até que a Sectigo o tornasse público novamente
- Vários participantes da comunidade criticaram dizendo que a carta inteira só podia ser lida como uma ameaça legal, e pediram que a DigiCert reconhecesse parte do erro e melhorasse sua comunicação interna
- A Mozilla declarou que processos transparentes e baseados na comunidade são um princípio central, e que ações que desestimulem a participação nas discussões causam danos profundos à comunidade, sejam públicas ou privadas
Se era um incidente e a intervenção do Chrome Root Program
- A DigiCert pediu inicialmente que o bug fosse fechado, alegando que o caso não envolvia acusação de violação de requisitos de compliance
- Participantes da comunidade apontaram, citando a política do Chrome Root Program, que situações que possam afetar a integridade, confiabilidade ou compatibilidade de um participante do Chrome Root Program também podem ser consideradas um incidente
- O Chrome Root Program entendeu que o feedback da comunidade mostrava uma forte demanda para saber que esforços a DigiCert faria para recuperar confiança e boa-fé
- Também concluiu que seria mais eficaz a DigiCert tratar diretamente as preocupações da comunidade dentro desta discussão no Bugzilla, em vez de abrir um relatório de incidente separado na CCADB
- A DigiCert depois concordou que essa discussão era uma forma eficaz de lidar com as preocupações da comunidade e afirmou que responderia a perguntas adicionais
Reconhecimento da DigiCert e relatório de incidente
- A DigiCert afirmou que, inicialmente, entendeu o envio da carta como uma resposta a declarações enganosas de uma concorrente, mas depois reconheceu que a carta não estava alinhada com a transparência nem com o melhor interesse da comunidade
- Disse que usar o código de conduta do fórum Bugzilla e as diretrizes de participação da comunidade teria sido um caminho melhor, e que, se pudesse voltar a novembro de 2024, não enviaria a mesma carta
- Depois disso, a DigiCert apresentou um Full Incident Report, classificando como incidente o envio, em 11 de novembro de 2024, de uma C&D à Sectigo por seu representante legal
- O relatório reconheceu que a C&D se sobrepunha fortemente à discussão no Bugzilla e, por isso, poderia desestimular o debate público, e que a perceived misinformation teria sido mais adequadamente corrigida no contexto público do Bugzilla
- A DigiCert declarou explicitamente que a carta original era uma “ameaça de considerar ação legal com base nas declarações de Tim Callan”, mas afirmou que, naquela situação, a C&D não foi uma resposta apropriada
Fatores apontados como causa
- A DigiCert citou como primeiro fator contribuinte a novidade da TRO
- Explicou que o incidente de revogação em massa do Bugzilla 1910805 foi um evento importante para a DigiCert e que, nesse caso, o setor reafirmou que não havia exceções ao prazo de revogação
- Disse que, durante esse processo, recebeu alegações de várias exceções, incluindo uma TRO, e que a TRO teve apenas um papel limitado na revogação, mas foi divulgada por razões de transparência
- O segundo fator contribuinte foi a relação competitiva
- A DigiCert e a Sectigo são concorrentes diretas, e a empresa avaliou que a participação no Bugzilla por indivíduos ligados a uma CA publicamente confiável pode gerar tensões competitivas
- Afirmou que, dos 24 comentários de Tim Callan no Bugzilla, 18 se dirigiam a bugs da DigiCert, e disse ter visto isso sob a ótica dessa sensibilidade competitiva
- A empresa informou ainda que, após o incidente de revogação em massa, o executivo responsável por compliance e padrões se desligou, o que abalou o fluxo de trabalho e o processo de aprovação normalmente usados em compliance
- Em respostas posteriores, explicou que a equipe jurídica discutiu o envio da C&D com as equipes de Standards/Compliance, que membros dessas equipes levantaram preocupações, mas que o time jurídico decidiu enviá-la apesar da oposição interna
Medidas para evitar recorrência
- A DigiCert afirmou, no relatório de incidente e no resumo de encerramento, que concluiu quatro medidas
-
Technical-First Dispute Resolution
- Durante o relato de incidente, questões técnicas, expressões potencialmente enganosas e preocupações de violação de política ligadas a compliance serão tratadas no Bugzilla correspondente, e não por canais legais
- Se alguma medida legal for necessária em relação a um incidente ativo, a decisão e a ação correspondente serão divulgadas no Bugzilla relacionado
-
Community Transparency Pledge
- Comunicações relacionadas a incidentes serão tratadas publicamente em fóruns da comunidade como MDSP, CCADB, CA/B Forum e Bugzilla para garantir rastreabilidade
- Contatos com autores de comentários também serão documentados e publicados de forma compatível com o contexto do incidente, para não parecerem retaliação nem abordagem-surpresa
-
Legal Review Gate
- Medidas legais que se cruzem com incidentes passarão por revisão e aprovação em nível executivo, incluindo uma análise de que tal medida legal é apropriada
- Quando não for possível fazer notificação pública imediata, haverá comunicação privada ao root program, seguida depois por uma atualização pública
-
Ombudsperson Role for WebPKI Concerns
- A DigiCert criará um processo interno de ombudsman para que preocupações sobre justiça, abertura e possível efeito inibidor na WebPKI possam ser levantadas em privado
- Depois, o membro externo e independente Don Sheehy passou a integrar a equipe de ombudsman para apoiar quando necessário
Programa de ombudsman e controvérsias posteriores
- A DigiCert anunciou inicialmente que a equipe de ombudsman seria formada por representantes de Program Management, Compliance e Legal, e que poderia ser contatada por
transparency@digicert.com - Participantes da comunidade questionaram se um ombudsman composto apenas por pessoal interno seria suficientemente independente, e a DigiCert disse que consideraria incluir membros externos da comunidade ou pessoas independentes
- A DigiCert divulgou o funcionamento do processo de ombudsman
- O envio pode ser feito por
transparency@digicert.comoudigicert.com/transparencyform - O processo inclui confirmação de recebimento, atribuição de número do caso, classificação e roteamento, investigação, atualizações a cada 7 dias e elaboração de relatório
- Envios anônimos são aceitos, mas, se for necessária confirmação adicional e não houver contato disponível, o caso pode ser encerrado imediatamente
- O envio pode ser feito por
- A DigiCert citou como referência uma tese de PhD de Frank Fowlie sobre o ICANN Ombudsman e disse que operará o programa em modelo de melhoria contínua
- Alguns participantes da comunidade discordaram da visão da DigiCert de que todas as CAs precisariam de um ombudsman e argumentaram que aplicar sanções mais duras a CAs que usam ameaças legais seria melhor para a confiança na WebPKI
Resumo de encerramento e status
- O resumo final de encerramento da DigiCert afirma que, em 11 de novembro de 2024, o escritório de advocacia contratado pela DigiCert enviou uma C&D à Sectigo e que a empresa não considerou adequadamente o impacto que a C&D poderia ter sobre comunicações no Bugzilla e em outros fóruns
- A causa do incidente foi resumida como perceived misinformation sobre a TRO, relação competitiva e reação excessiva
- Como remediation, a DigiCert apresentou um pedido formal de desculpas à Sectigo e à comunidade WebPKI em geral, o programa de ombudsman, a adição de membro independente e um protocolo de revisão de comunicações legais
- A empresa prometeu que, no futuro, durante incidentes ativos, questões técnicas, de mal-entendidos e de política serão tratadas no Bugzilla correspondente e que, se considerar necessário usar canais legais em relação a um incidente ativo, divulgará essa decisão e a ação correspondente no Bugzilla relacionado
- Por fim, foi publicado um final call solicitando comentários ou perguntas adicionais da comunidade, com indicação de encerramento previsto por volta de 17 de setembro de 2025
1 comentários
Opiniões no Hacker News
Em resumo, a DigiCert adiou algumas vezes a revogação de certificados além do que os Baseline Requirements permitem, e os casos recentes são https://bugzilla.mozilla.org/show_bug.cgi?id=1896053 e https://bugzilla.mozilla.org/show_bug.cgi?id=1910805
No primeiro, parece que a revogação foi adiada para apaziguar um cliente específico; no segundo, não foi possível revogar no prazo por causa de uma ordem de restrição temporária (TRO)
Tim Callan, da Sectigo, criticou publicamente a DigiCert nos dois casos por não ter enfrentado os clientes com firmeza suficiente, e há uma preocupação especial de que instrumentos como TROs possam passar a ser usados com mais frequência para atrasar revogações
A Sectigo e outros lados do ecossistema WebPKI parecem querer que a DigiCert comunique de forma muito clara sua política de revogação aos clientes e garanta que os clientes realmente consigam substituir os certificados dentro do prazo
Embora a Sectigo seja a voz mais alta, não parece ser a única a exigir que os atrasos de revogação da DigiCert sejam controlados; por isso, escalar para ameaças legais é realmente inadequado, e a DigiCert pode enfrentar uma reação bem forte por causa dessa tática
Ela não parece querer alterar seus documentos jurídicos para impedir que clientes tomem medidas legais contra revogações de certificados, e até agora essas medidas legais têm funcionado a favor da DigiCert
Para uma empresa cujo negócio inteiro é validar nomes de empresas e lidar com procedimentos de CA, ela parece bastante relutante justamente em cumprir esses procedimentos
Talvez não seja possível impedir que um cliente tecnicamente incompetente como a Alegeus Technologies LLC solicite uma TRO, mas esta não é a primeira vez que a DigiCert deixa de seguir o procedimento adequado
Tentar bloquear discussões negativas por meio dos tribunais parece bastante mesquinho para uma CA, e, considerando que a DigiCert já se tornou alvo de suspeita e desconfiança, isso parece uma última tentativa desesperada de evitar críticas quando está encurralada
Os clientes podem gostar do fato de a DigiCert não forçar a substituição dos certificados no prazo estabelecido, mas, se algo der errado e a DigiCert for removida das listas de confiança, eles de repente terão a surpresa de precisar encontrar outro fornecedor de certificados
À primeira vista, é bastante razoável
O drama da Web PKI sempre surpreende porque é uma das poucas áreas no mundo em que empresas “aprontam” e, em geral, logo em seguida sofrem um frio e direto “pagamento do preço”
As várias entidades que decidem em quais CAs confiar podem, na prática, desmantelar quase instantaneamente qualquer negócio de CA no mundo
Se a DigiCert entrar nesse jogo e perder, será a maior perdedora até agora; até onde sei, a DigiCert é a maior CA da internet
Se a maior CA da internet for removida dos repositórios de confiança, isso enviaria uma mensagem forte e causaria grande confusão, mas não há nenhum motivo específico para ser impossível
Claro que acho essa possibilidade baixa, mas só de imaginar alguém na DigiCert, que decidiu que envolver o jurídico aqui era uma boa ideia, levando uma bronca que vai lembrar pelo resto da vida, já dá uma certa satisfação
Li a thread em questão e ela não pintava a DigiCert de forma favorável; ainda assim, acho que essa medida é muito mais prejudicial à DigiCert do que qualquer coisa que Collan tenha dito
[1] https://bugzilla.mozilla.org/show_bug.cgi?id=647959
Para um processo de retirada de confiança de uma CA desse porte, faria mais sentido deixar de aceitar novos certificados emitidos após uma determinada data
Assim, os clientes existentes poderiam ser avisados com antecedência e receberiam a má notícia no momento da renovação regular, em vez de algo explodir de repente enquanto o responsável está de férias
As threads recentes sobre a DigiCert têm um cheiro suspeitamente parecido com o fluxo que levou ao caso da Entrust
Quantas pessoas, ao verem mais uma forma pela qual uma entidade sem rosto que elas nem conheciam pode quebrar algo, passariam a desativar atualizações automáticas para sempre e decidir por conta própria em que confiar?
A mensagem forte certamente seria enviada, mas há uma boa chance de não ser a mensagem pretendida
No fim, isso só aumentaria ainda mais a desconfiança em relação à PKI centralizada como um todo
Segundo o Bugzilla, o verdadeiro motivo do sublinhado é permitir que serviços nos quais usuários podem criar registros DNS em subdomínios, como serviços de DNS dinâmico, bloqueiem o registro de subdomínios que começam com sublinhado para evitar a emissão indesejada de certificados.
Isso é equivalente ao papel que
/.well-knowndesempenha no método acordado de alteração de sites, e ao papel de admin/administrator/webmaster/hostmaster/postmaster nos e-mails de configuração de contato de domínio.Ao usar registros DNS sem sublinhado, a DigiCert quebrou uma premissa de segurança essencial da qual esses serviços dependiam.
Portanto, isso é de fato um incidente de segurança grave, um erro fatal de escala enorme.
A esse ponto, não sei se dá para confiar em certificados da DigiCert.
O autor desse comentário é Andrew Ayer, que também escreve no blog excelentes textos sobre incidentes e procedimentos de CAs: https://www.agwa.name/blog/index
Sempre haverá dois lados da história, mas a pessoa na DigiCert que criou o bug de validação já pediu demissão por causa disso, o que por si só é extremo.
A pessoa da Sectigo estava tentando impedir que o bug fosse fechado para continuar exigindo mais respostas sobre a capacidade geral de resposta da DigiCert e, subjetivamente, fez isso de uma forma bem áspera.
Algum grau de debate de ida e volta é aceitável e esperado, mas, se você continuar pressionando alguém que tem um departamento jurídico próprio, em algum momento essa pessoa vai acabar conversando com o jurídico na frente da máquina de café, e, quando o jurídico olha para o assunto, ele passa a ser problema deles.
Portanto, o primeiro princípio é nem sequer mencionar a palavra legal se você não quer chamar o jurídico.
Esta resposta é apenas uma carta para recuar, e o motivo de existir um departamento jurídico é justamente fazê-los discutir entre si.
Só que, neste caso, isso acabou vindo a público.
Entendo a visão de que uma CA não deveria assumir risco jurídico durante o processo de discussão, mas isso entra em conflito com o fato de que elas são entidades comerciais protegendo seus próprios interesses.
Não dá para ter as duas coisas ao mesmo tempo enquanto nem todas as CAs forem não comerciais; e, mesmo que fossem não comerciais, isso teria limites.
Assim como com qualquer pessoa responsável pela estratégia da empresa.
Porque a ação do jurídico teve efeito contrário.
Foi mantido como contratado e provavelmente está aguardando ser reintegrado.
Isso foi entendido de forma errada.
Isso é chocante.
Só a tentativa de bloquear, por meio de assédio jurídico, falas legítimas de colaboradores da Web PKI já inverte completamente o propósito e os objetivos da organização; pessoalmente, acho que isso justificaria descartar imediatamente tudo relacionado à DigiCert.
A forma histórica de lidar com uma CA problemática é tratar o dano imediato e depois impedir novas emissões ou renovações de certificados.
Há muitas empresas legítimas que usam a DigiCert, e elas deveriam poder esperar continuar operando no curto prazo enquanto procuram outro fornecedor de certificados.
Ao olhar o relatório original (https://bugzilla.mozilla.org/show_bug.cgi?id=1910322), há algumas perguntas das quais a DigiCert parece estar se esquivando.
Nos registros públicos de Alegeus Technologies LLC v. DigiCert, não aparece nenhuma tentativa de contestar a ordem judicial antes do fim do período preferencial de quase 120 horas, embora, se tal pedido tivesse sido feito, a DigiCert pudesse ter revogado os certificados alguns dias antes.
Além disso, outra pergunta no comment 28 era qual cláusula determinava o direito da DigiCert de revogar os certificados da Alegeus Technologies.
A DigiCert foi vacilante nesse ponto: primeiro insinuou que a cláusula estava no site e depois se recusou a confirmar se o texto do site vigente à época se aplicava à Alegeus Technologies.
Especulando, é possível que a DigiCert tenha oferecido condições especiais à Alegeus e a outros clientes, e talvez não tenha contestado a TRO no tribunal por não ter base contratual para isso.
Também é possível que esse contrato tivesse uma cláusula de confidencialidade que a impedisse de falar sobre o assunto.
É surpreendente que o fórum tenha deixado essa issue ser fechada sem que as perguntas citadas acima fossem atendidas, embora eu não tenha lido a issue vinculada inteira, então é possível que tenham sido respondidas em outro lugar.
Além disso, uma resposta que a DigiCert deu em outra thread (https://bugzilla.mozilla.org/show_bug.cgi?id=1910805#c43) parece contradizer essa especulação.
Em especial a parte: “embora os TOU e o MSA da DigiCert proibissem a ação em questão da Alegeus, quando a Alegeus solicitou a TRO e o tribunal a concedeu quase imediatamente, a DigiCert ficou de mãos atadas”.
Fico me perguntando se o CAB Forum teria legitimidade jurídica para processar a Alegeus, ou esse juiz, por interferir nos procedimentos da PKI com uma TRO inválida.
O que aconteceu nesses pouco mais de dois meses desde as datas indicadas por essas cartas?
Isso contradiz claramente a ameaça legal contra a Sectigo
Por isso a Sectigo abriu o bug Threat of legal action, para informar à comunidade o que a DigiCert realmente fez
Se a DigiCert não tivesse feito aquele comentário, talvez a Sectigo também tivesse ficado em silêncio
Autoridades certificadoras recebem uma confiança enorme de todos os usuários da internet, quer eles saibam disso ou não
Junto com essa confiança vem uma responsabilidade enorme, e, como o próprio nome diz, os Baseline Requirements são o padrão mínimo a ser alcançado
Se uma autoridade não consegue, ou não está disposta a, revogar certificados emitidos dentro do prazo exigido, ela não merece essa confiança e deve ser removida
Entendo que a TRO impediu a revogação de cerca de 70 certificados e que, nesse caso, de fato não havia muito mais a fazer
Mas as outras falhas de revogação não têm desculpa
O bug foi atualizado com a resposta da DigiCert
Cada um pode tirar suas próprias conclusões, mas a seguinte frase da DigiCert me fez rir de verdade:
“Na verdade, nossa carta a você estava alinhada ao nosso desejo de promover um diálogo aberto e honesto”
Mesmo aceitando ao pé da letra a descrição da conversa nas cartas da DigiCert, a pessoa da Sectigo foi, na melhor das hipóteses, difícil; na pior, talvez estivesse trollando de propósito
Não acho que tenha sido isso de fato, mas, fazendo o papel de advogado do diabo, seria esse o argumento
Ainda assim, como a DigiCert achou que envolver a equipe jurídica daria certo?
A Sectigo não tinha nada a perder ao levar isso a público no CAB, ganhando visibilidade, como fez aqui, e o CAB não vai agir como terapeuta de casal para reconciliar as duas empresas
Além disso, esse tipo de conversa extremamente educada e passivo-agressiva de “bem, na verdade” acontece em todas as discussões de incidentes do CAB
Não sei por que a DigiCert ficou tão irritada especificamente com este caso
A ação legal da DigiCert parece estranha, e a ideia de que um cliente de uma empresa possa usar o sistema jurídico para impedir essa empresa de cumprir suas obrigações perante outras entidades parece realmente perigosa
Mas, vendo o bate-boca na thread, não fica claro como tratar isso de forma produtiva
Parece assistir a uma peça em que drones corporativos típicos e geeks típicos de IRC trocam falas no palco; ambos os lados giram em torno de um tema interessante, mas, de tanto trocar golpes, nunca chegam ao ponto central