Проект Mozilla разослал всем удостоверяющим центрам, корневые сертификаты которых поставляются в составе Firefox и других продуктов Mozilla, письмо с требованием отозвать все выданные сторонним организациям вторичные корневые сертификаты.

В последнее время входят в обиход случаи генерации вторичных корневых сертификатов для обеспечения работы систем, направленных на транзитный перехват и расшифровку SSL-трафика, например систем корпоративного отслеживания утечек данных. Генерируемые для подобных систем вторичные корневые сертификаты позволяют создать корректный и не вызывающий подозрения сертификат для любого сайта в сети, без привлечения удостоверяющего центра, авторизированного на выполнение подобных операций.

Mozilla публично осудила такую практику и считает действия по выдачи вторичных корневых сертификатов недопустимыми, даже если подобные сертификаты используются в закрытой сети, только для внутренних корпоративных нужд. В частности, это подрывает основной принцип сертификации — когда удостоверяющий центр является единственным первичным звеном, полностью контролирует процесс и несёт полную ответственность за все подписанные сертификаты. Поэтому нельзя допустить, включение в цепочку утверждения сертификатов сторонних и неподконтольных удостоверяющему центру компаний.

В связи с этим, Mozilla предъявила удостоверяющим центрам несколько требований:

Отозвать все выданные сторонним лицам вторичные корневые сертификаты и уничтожить используемые для хранения этих сертификатов HSM-модули.
Опубликовать серийные номера данных сертификатов и сигнатуры корневых сертификатов, используемых для их подписи. Подобная информация позволит Mozilla и другим заинтересованным лицам определить и блокировать все сертификаты, созданные с использованием вторичных корневых сертификатов.

Удостоверяющие центры должны выполнить данные требования до 27 апреля. Если требования не будут выполнены, Mozilla удалит из списка корневых сертификатов, поставляемого в составе своих продуктов, сертификаты удостоверяющих центров, уличённых в практике продажи вторичных корневых сертификатов. В частности, речь ведётся об удостоверяющем центре Trustwave. После удаления сертификата из списка корневых сертификатов Mozilla, все другие сертификаты, подписанные данным удостоверяющим центром, будут отображаться в Firefox как не заслуживающие доверия.