DigiNotarはハッカーに531枚の偽証明書を発行させ、10週間で破産した

DigiNotarは、すべての主要ブラウザから信頼されていたルート認証局の一つであり、オランダ政府サービスの証明書の発行元でもあった。2011年6月、侵入者がウェブサーバーの未修正のソフトウェアを通じてそのネットワークに入り込み、証明書発行を隔離するはずだった分離されたシステム間を横方向に移動した。7月10日、侵入者はgoogle.comの偽造証明書を発行した。DigiNotarの定例監査は7月19日に不正な証明書を発見し、それらを取り消して調査し、月末までに問題は解決したと考えた。しかし、すべてを発見していたわけではなかった。

8月27日、イランのGmailユーザーが、Google自身のブラウザであるChromeが接続を拒否するのを目にした。Googleは実際に購入した証明書を「ピン留め」していたため、DigiNotarが発行したgoogle.comの証明書は即座に異質なものとして浮かび上がった。Googleは8月29日に公表し、イランのユーザーに対する中間者攻撃を警告した。調査担当者は後に、aol.com、microsoft.com、cia.gov、mossad.gov.ilなどのドメインに対する531枚の不正な証明書と、約298,000の固有IPアドレス（その95パーセントがイラン国内）が、Gmailのパスワードを収集しうる偽のGoogleページにアクセスしていたと数えた。

崩壊は迅速かつ完全だった。ブラウザメーカーはDigiNotarを信頼ストアから削除し、9月14日にはオランダの規制当局OPTAが証明書発行者としての登録を終了させ、ハールレム地方裁判所は2011年9月20日に破産を宣告した。最初の不正な証明書が発行されてから10週間、侵害が公表されてから3週間後のことだった。所有者のVasco Data Securityは2011年の10-Kで、6.1百万ドルの非継続事業損失と5.2百万ドルの減損を報告し、証明書事業を永久に閉鎖した。

DigiNotar B.V.は2011年9月20日に破産し、所有者のVascoは6.1百万ドルの非継続事業損失と5.2百万ドルの減損を計上し、CA事業から撤退した

インターネットに面したウェブサーバーの未修正のソフトウェアが、それ以外は厳重に防御されたネットワークへの侵入者に入口を与えた。

7月の内部監査は、他に不正な証明書が存在しないことを証明することなく、インシデントを終結したと宣言した。致命的なgoogle.comの証明書は、ユーザーのブラウザがそれを拒否したときに初めて表面化した。

認証局の唯一の資産は信頼である。Chrome、Firefox、Microsoftがその証明書を尊重しなくなった時点で、保護すべき収益は残っていなかった。

DigiNotarは公共の安全に関わるインシデントを、静かに封じ込めるべき私的なIT問題として扱った。CAの侵害は、証明書が保証するすべての者を巻き込む。

製品が信頼であるなら、あらゆる侵害は存亡に関わる。「修正した」と内部監査の後に宣言することは、侵害が終わったことと同じではない。見逃された偽の証明書1枚が会社を終わらせうる。

誰も捕まっておらず、起訴もされていない。報道は証拠なしにイラン国家の関与を推測してきた。オランダ政府はDigiNotarの業務を引き継ぎ、Fox-ITの「Black Tulip」事後調査を委託した。このインシデントは業界をGoogleのCertificate Transparency、より広範な証明書ピン留め、厳格なCAベースライン要件へと押し進めた。これらの変更の提唱者はDigiNotarを名指しで挙げている。後にOneSpanへとブランド変更したVascoは証明書事業に再参入せず、FTCの非公開調査は申し立てなしに終了した。