DigiCert: Đe dọa hành động pháp lý nhằm kiềm chế thảo luận trên Bugzilla

Đe dọa hành động pháp lý của DigiCert

• Bối cảnh: DigiCert đang tìm cách kiềm chế các cuộc thảo luận trên Bugzilla thông qua đe dọa hành động pháp lý. Giám đốc tuân thủ của Sectigo đã nhận được cảnh báo từ luật sư của DigiCert liên quan đến nội dung đăng trên Bugzilla.

• Lập trường của DigiCert: DigiCert yêu cầu một số nhân viên cụ thể của Sectigo ngừng đưa ra các phát ngôn tiêu cực, qua đó tránh phải tiến hành biện pháp pháp lý. DigiCert hy vọng những phát ngôn này không phải là một phần của kế hoạch có tổ chức và mong Sectigo sẽ có hành động phù hợp.

• Phản ứng của Sectigo: Sectigo bác bỏ các cáo buộc của DigiCert, cho rằng những phát ngôn đó chỉ đơn thuần là bày tỏ quan điểm và không có vấn đề gì về mặt pháp lý. Công ty cũng nhấn mạnh rằng những cuộc thảo luận như vậy là thiết yếu đối với cơ chế tự điều chỉnh của cộng đồng PKI.

• Tầm quan trọng của cộng đồng PKI: Cộng đồng PKI đóng vai trò quan trọng trong việc nâng cao độ an toàn của các giao dịch trên internet và xác định các thông lệ tốt nhất để hiển thị trực quan cho người dùng những trang web an toàn. Để làm được điều đó, cần có các cuộc thảo luận cởi mở và tự do.

• Giải thích thêm từ DigiCert: DigiCert cho biết họ gửi lá thư với mục đích thúc đẩy đối thoại công khai và trung thực, đồng thời nhấn mạnh rằng các cuộc thảo luận giữa các đối thủ cạnh tranh phải công bằng và dựa trên sự thật.

• Kết luận: Cả DigiCert và Sectigo đều thừa nhận tầm quan trọng của các cuộc thảo luận cởi mở và trung thực trong cộng đồng PKI, nhưng đã xuất hiện lo ngại rằng các đe dọa pháp lý có thể làm suy giảm những cuộc thảo luận này. Đối với cơ chế tự điều chỉnh của cộng đồng PKI, các câu hỏi và thảo luận mang tính phản biện là điều không thể thiếu.

[GN⁺]

Ý kiến trên Hacker News

• DigiCert đã có các trường hợp thu hồi chứng chỉ sau nhiều lần vượt quá thời hạn được nêu trong Baseline Requirements
  • Các ví dụ gần đây gồm việc trì hoãn thu hồi để làm hài lòng một số khách hàng nhất định, hoặc việc thu hồi bị chậm do lệnh cấm tạm thời của tòa án (TRO)
• Tim Callan của Sectigo đã công khai chỉ trích sự chậm trễ của DigiCert
  • Có ý kiến cho rằng DigiCert cần làm rõ chính sách thu hồi với khách hàng và giúp khách hàng thay thế chứng chỉ đúng hạn
• Nhiều tổ chức đã bày tỏ lo ngại về vấn đề thu hồi chậm của DigiCert
  • Việc cố giải quyết vấn đề bằng đe dọa pháp lý là không phù hợp, và DigiCert có thể đối mặt với phản ứng dữ dội
• Drama web PKI luôn mang đến bất ngờ
  • Các tổ chức quyết định có tin cậy CA hay không có thể dễ dàng tháo dỡ hoạt động kinh doanh CA
  • Nếu DigiCert thua trong cuộc chơi này, với tư cách là CA lớn nhất trên Internet, điều đó có thể gây ra hỗn loạn lớn
• Phản ứng pháp lý của DigiCert ngược lại có thể gây thiệt hại lớn hơn cho chính họ
• Các trường hợp được nhắc đến trên Bugzilla
  • Đã có sự cố vi phạm một giả định quan trọng về bảo mật khi không sử dụng dấu gạch dưới trong bản ghi DNS
  • Điều này được xem là một sự cố nghiêm trọng đối với bảo mật
• Đe dọa pháp lý của DigiCert có vẻ là nỗ lực nhằm bịt miệng những người đóng góp cho web PKI
  • Đây là hành động đi ngược mục đích và mục tiêu của tổ chức, và có ý kiến cho rằng mọi thứ liên quan đến DigiCert nên bị thu hồi ngay lập tức
• Người gây ra lỗi xác minh của DigiCert đã từ chức
  • Người phía Sectigo đã cố giữ bug không bị đóng để có thêm câu trả lời
• Điều quan trọng là không nhắc đến các vấn đề pháp lý
  • Cần để các bộ phận pháp lý tự tranh luận với nhau
• Có nghi vấn vì sao DigiCert không phản đối lệnh của tòa án
  • Có khả năng họ đã đưa ra điều kiện đặc biệt cho một khách hàng cụ thể
• Phản hồi của DigiCert đã được công khai, và họ khẳng định ý định của mình là thúc đẩy đối thoại cởi mở và trung thực
• Có ý kiến cho rằng phản ứng pháp lý của DigiCert là một phán đoán sai lầm
  • Sectigo không bị thiệt hại khi xử lý công khai vấn đề này
• Các tổ chức chứng thực đang nắm giữ mức độ tin cậy rất lớn từ người dùng Internet và phải có trách nhiệm tương xứng
  • Baseline Requirements là tiêu chuẩn tối thiểu, và nếu không đáp ứng được thì không xứng đáng được tin cậy
  • Có thể hiểu được việc không thể thu hồi khoảng 70 chứng chỉ do TRO, nhưng những lần thất bại thu hồi khác là không thể chấp nhận được