Verlopen Let's Encrypt-certificaatfout treft miljoenen gebruikers

Het verlopen van Let's Encrypt's verouderde digitale root-beveiligingscertificaat DST Root CA X3 veroorzaakte fouten en fouten voor enkele miljoenen gebruikers. Een onbekend aantal diensten, websites en apps is niet op tijd voorzien van een nieuw certificaat.

Veel technologiebedrijven ondervonden op 30 september een storing omdat het IdentTrust DST Root CA X3-certificaat van Let's Encrypt is verlopen. Na het vooraf aangekondigde verlopen van het certificaat werden naar schatting verschillende diensten, browsers, games, websites en apps tijdelijk niet toegankelijk voor miljoenen gebruikers of werkten ze niet meer goed of veilig. In het ergste geval konden apparaten zelfs geen verbinding meer maken met internet.

De exacte omvang van het incident is niet bekend. Vooral oudere toestellen zoals de PlayStation 4 en Android 7.1.1 smartphones zouden last hebben van verbindingsproblemen, zeker als het bijbehorende besturingssysteem of de firmware al een tijdje niet geüpdatet was. Beveiligingsexpert Scott Helme waarschuwde een week geleden voor de problemen. Hij vertelt aan ZDnet dat hij vrijdag inderdaad meerdere diensten met storingen heeft gezien. Een exacte maat geeft hij niet aan. Onder andere Shopify en Heroku beschrijven op hun statuspagina's dat ze onlangs certificaatgerelateerde storingen hebben opgelost. Helme noemt ook Bluecoat, Cisco Umbrella, Catchpoint, Guardian Firewall, Monday.com, PFsense, Google Cloud Monitoring, Azure Application Gateway, OVH, Auth0, Shopify, Xero, QuickBooks, Fortinet, Heroku, Rocket League, InstaPage en Ledger.

Honderden miljoenen websites wereldwijd gebruiken certificaten die zijn uitgegeven door Let's Encrypt voor een veilige https-verbinding. Doorgaans bereiden bedrijven zich ruim van tevoren voor op het verstrijken van kritieke digitale certificaten voor een dergelijke tijd. Omdat intermediate- en rootcertificaten in korte tijd verlopen, werden veel servers, browsers en besturingssystemen niet op tijd bijgewerkt, legt Let's Encrypt CEO Josh Ass uit aan TechRadar.

De non-profitorganisatie Let's Encrypt is 's werelds grootste certificeringsinstantie en heeft de afgelopen jaren meer dan 2 miljard digitale certificaten uitgegeven. Het DST Root CA X3 certificaat is uitgegeven in samenwerking met IdentTrust en zorgt voor een versleutelde verbinding. Ondertussen moeten alle eerdere DST Root CA X3-services zijn gemigreerd naar IdenTrust Commercial Root CA 1 om zonder problemen te kunnen blijven functioneren.