DigiCert Kontroversial karena Diduga Mengancam Tindakan Hukum untuk Membungkam Diskusi Bugzilla

 (bugzilla.mozilla.org)
1 poin oleh GN⁺ 2025-02-26 | 1 komentar | Bagikan ke WhatsApp
  • Kontroversi meningkat setelah Brian Holland, kepala legal Sectigo, memublikasikan surat hukum yang diterimanya dari kuasa hukum DigiCert, Wilson Sonsini, karena hal itu dapat membuat diskusi publik WebPKI menjadi terhambat
  • DigiCert awalnya menjelaskan bahwa langkah tersebut diambil karena kekhawatiran atas pernyataan menyesatkan dari pesaing dan potensi penyalahgunaan forum, tetapi kemudian mengakui bahwa pengiriman C&D tidak tepat
  • Latar belakang diskusi ini adalah TRO terkait insiden pencabutan sertifikat massal DigiCert, dan DigiCert menjelaskan bahwa TRO hanya memengaruhi 1 sertifikat serta telah ada dalam catatan publik
  • Komunitas dan Chrome Root Program menilai tindakan yang menghambat partisipasi WebPKI tidak sejalan dengan nilai inti ekosistem, dan DigiCert akhirnya menyerahkan laporan insiden beserta langkah pencegahan agar tidak terulang
  • DigiCert berkomitmen bahwa ke depan, isu teknis dan kebijakan dalam insiden Bugzilla yang aktif akan ditangani di Bugzilla, bukan lewat kanal hukum; jika tindakan hukum diperlukan, akan diterapkan peninjauan oleh eksekutif dan pemberitahuan publik, serta menjalankan program ombudsman

Surat C&D DigiCert yang Dipublikasikan Sectigo

  • Brian Holland menyatakan bahwa DigiCert sebelumnya berkomentar di Bugzilla bahwa mereka “tidak menggunakan tim legal sebagai perisai untuk menghindari tanggung jawab”, tetapi kenyataannya Sectigo menerima surat dari kuasa hukum DigiCert, Wilson Sonsini, terkait pernyataan pihak Sectigo
  • Surat tersebut mempermasalahkan pernyataan Chief Compliance Officer Sectigo, Tim Callan, di Bugzilla, dan menuntut agar Sectigo memastikan “pernyataan Mr. Callan tidak berlanjut dan tidak diulangi oleh anggota lain organisasi Sectigo”
  • Surat itu menyebut Lanham Act, deceptive trade practices, corporate disparagement, dan tortious interference, serta memuat frasa bahwa DigiCert dapat mengambil tindakan hukum
  • Dalam balasan pada 10 Desember 2024, Holland membantah bahwa pernyataan yang dipersoalkan adalah pertanyaan atau opini, dan karena dimaksudkan untuk mendorong diskusi penting di WebPKI, pernyataan itu tidak dapat menjadi dasar klaim hukum
  • Sectigo menilai ancaman hukum yang menghambat pengawasan dan diskusi atas praktik CA publik tidak sejalan dengan budaya post-analisis yang transparan sebagaimana dituntut oleh pedoman pelaporan insiden CCADB

Respons Awal DigiCert dan Reaksi Komunitas

  • DigiCert menjawab bahwa mereka mendukung ideal Bugzilla dan komunitas CA, serta surat tersebut dimaksudkan untuk menjaga percakapan yang terbuka dan jujur
  • DigiCert juga menyampaikan kekhawatiran bahwa setelah distrust terhadap Entrust, sebagian peserta memasukkan informasi menyesatkan atau fakta setengah lengkap ke Bugzilla untuk menggerakkan opini publik secara negatif dan mencoba membuat bug tetap terbuka lebih lama dari yang diperlukan
  • DigiCert menjelaskan bahwa setelah balasan Sectigo, mereka tidak mengambil langkah atau respons tambahan, dan menganggap persoalan itu telah selesai sampai Sectigo kembali memublikasikannya
  • Beberapa peserta komunitas mengkritik bahwa keseluruhan surat itu tidak bisa dibaca selain sebagai ancaman hukum, dan meminta DigiCert mengakui sebagian kesalahan serta memperbaiki komunikasi internal
  • Pihak Mozilla menyatakan bahwa prosedur transparan berbasis komunitas adalah prinsip inti, dan tindakan yang menghambat partisipasi dalam diskusi, baik publik maupun privat, menyebabkan kerusakan mendalam bagi komunitas

Apakah Ini Insiden dan Keterlibatan Chrome Root Program

  • DigiCert awalnya meminta agar bug ditutup karena perkara ini bukan klaim pelanggaran persyaratan compliance
  • Peserta komunitas mengutip Chrome Root Program Policy dan menunjukkan bahwa situasi yang dapat memengaruhi integritas, keandalan, dan kompatibilitas Chrome Root Program Participant juga dapat tergolong sebagai insiden
  • Chrome Root Program menilai masukan komunitas menunjukkan tuntutan kuat untuk mengetahui upaya apa yang akan dilakukan DigiCert demi memulihkan kepercayaan dan itikad baik
  • Mereka menilai akan lebih efektif jika DigiCert menangani langsung perhatian komunitas di dalam diskusi Bugzilla ini daripada melalui laporan insiden CCADB terpisah
  • DigiCert kemudian menyetujui bahwa diskusi ini merupakan cara efektif untuk menangani kekhawatiran komunitas, dan menyatakan akan menjawab pertanyaan tambahan

Pengakuan DigiCert dan Laporan Insiden

  • DigiCert awalnya menganggap surat itu dikirim untuk merespons pernyataan menyesatkan dari pesaing, tetapi kemudian mengakui bahwa surat tersebut tidak sejalan dengan transparansi dan kepentingan terbaik komunitas
  • DigiCert menyatakan bahwa menggunakan kode etik forum Bugzilla dan panduan partisipasi komunitas adalah jalur yang lebih baik, dan jika bisa kembali ke November 2024, mereka tidak akan mengirim surat yang sama
  • Setelah itu, DigiCert menyerahkan Full Incident Report yang merangkum insiden pengiriman C&D oleh kuasa hukum kepada Sectigo pada 11 November 2024
  • Laporan tersebut mengakui bahwa karena C&D sangat berkaitan dengan diskusi Bugzilla, hal itu dapat menghambat diskusi publik, dan perceived misinformation lebih tepat dikoreksi langsung dalam konteks Bugzilla publik
  • DigiCert secara eksplisit menyebut surat awal itu sebagai “ancaman untuk mempertimbangkan tindakan hukum berdasarkan pernyataan Tim Callan”, namun menyatakan bahwa C&D bukan respons yang tepat dalam situasi tersebut

Faktor yang Disebut sebagai Penyebab

  • DigiCert menyebut kebaruan TRO sebagai faktor kontribusi pertama
    • DigiCert menjelaskan bahwa insiden pencabutan massal di Bugzilla 1910805 adalah peristiwa penting bagi mereka, dan industri menegaskan kembali bahwa tidak ada alasan pengecualian untuk tenggat pencabutan
    • Dalam proses pencabutan tersebut, DigiCert menghadapi beberapa klaim alasan pengecualian termasuk TRO, dan menyatakan bahwa TRO hanya berperan terbatas dalam pencabutan tetapi diungkapkan demi transparansi
  • Faktor kontribusi kedua adalah hubungan persaingan
    • DigiCert dan Sectigo adalah pesaing langsung, dan DigiCert menilai partisipasi individu dari CA tepercaya publik di Bugzilla dapat menciptakan ketegangan kompetitif
    • DigiCert menjelaskan bahwa 18 dari 24 komentar Bugzilla Tim Callan diarahkan ke bug DigiCert, dan mereka melihatnya dalam konteks sensitivitas persaingan
  • Setelah insiden pencabutan massal, eksekutif yang bertanggung jawab atas compliance dan standar mengundurkan diri, sehingga workflow compliance dan proses persetujuan yang biasa menjadi terganggu
  • Dalam jawaban berikutnya, DigiCert menjelaskan bahwa tim Legal membahas pengiriman C&D dengan tim Standards/Compliance, dan meskipun anggota tim tersebut menyampaikan kekhawatiran, tim Legal memutuskan untuk mengirimnya meski ada keberatan internal

Langkah Pencegahan agar Tidak Terulang

  • Dalam laporan insiden dan ringkasan penutupan, DigiCert menyatakan telah menyelesaikan empat langkah

  • Technical-First Dispute Resolution

    • Selama pelaporan insiden, masalah teknis, ungkapan yang menyesatkan, dan kekhawatiran atas pelanggaran kebijakan terkait compliance akan ditangani di Bugzilla terkait, bukan melalui kanal hukum
    • Jika tindakan hukum diperlukan terkait insiden aktif, keputusan dan tindakan tersebut akan dipublikasikan di Bugzilla terkait

  • Community Transparency Pledge

    • Komunikasi terkait insiden akan ditangani secara publik di forum komunitas seperti MDSP, CCADB, CA/B Forum, dan Bugzilla untuk memastikan keterlacakan
    • Kontak terhadap penulis komentar juga akan didokumentasikan dan dipublikasikan sesuai konteks insiden agar tidak terlihat sebagai pembalasan atau tindakan mendadak

  • Legal Review Gate

    • Tindakan hukum yang beririsan dengan insiden akan melalui peninjauan dan persetujuan tingkat eksekutif, termasuk analisis bahwa tindakan hukum tersebut memang tepat
    • Jika pemberitahuan publik langsung tidak memungkinkan, root program akan diberi pemberitahuan nonpublik, lalu tindak lanjut publik akan disediakan kemudian

  • Ombudsperson Role for WebPKI Concerns

    • DigiCert akan membuat prosedur ombudsman internal untuk memungkinkan kekhawatiran terkait keadilan, keterbukaan, dan potensi chilling effect di WebPKI disampaikan secara privat
    • Kemudian, tokoh independen eksternal Don Sheehy bergabung dengan tim ombudsman dalam bentuk dukungan jika diperlukan

Program Ombudsman dan Perdebatan Lanjutan

  • DigiCert awalnya mengumumkan bahwa tim ombudsman terdiri dari perwakilan departemen Program Management, Compliance, dan Legal, serta dapat dihubungi melalui transparency@digicert.com
  • Peserta komunitas mempertanyakan apakah ombudsman yang hanya terdiri dari personel internal cukup independen, dan DigiCert menyatakan akan mempertimbangkan keterlibatan anggota komunitas eksternal atau tokoh independen
  • DigiCert memublikasikan cara kerja prosedur ombudsman
    • Pengaduan dapat diajukan melalui transparency@digicert.com atau digicert.com/transparencyform
    • Prosedurnya mencakup konfirmasi penerimaan, pemberian nomor kasus, klasifikasi dan routing, investigasi, pembaruan tiap 7 hari, serta penyusunan laporan
    • Pengajuan anonim dimungkinkan, tetapi jika diperlukan verifikasi tambahan dan tidak ada kontak, kasus dapat segera ditutup
  • DigiCert menyebut disertasi PhD Frank Fowlie terkait ICANN Ombudsman sebagai referensi, dan menjelaskan bahwa program akan dijalankan dengan pendekatan perbaikan berkelanjutan
  • Sebagian peserta komunitas menolak pandangan DigiCert bahwa ombudsman diperlukan untuk semua CA, dan berpendapat bahwa memberi sanksi lebih kuat kepada CA yang menggunakan ancaman hukum akan lebih baik bagi kepercayaan WebPKI

Ringkasan Penutupan dan Status

  • Ringkasan penutupan akhir DigiCert menyatakan bahwa pada 11 November 2024, firma hukum yang disewa DigiCert mengirim C&D kepada Sectigo, dan DigiCert tidak cukup mempertimbangkan dampak C&D terhadap komunikasi di Bugzilla dan forum lain
  • Penyebab insiden dirangkum sebagai perceived misinformation terkait TRO, hubungan persaingan, dan respons yang berlebihan
  • DigiCert menyajikan permintaan maaf resmi kepada Sectigo dan komunitas WebPKI yang lebih luas, program ombudsman, penambahan anggota independen, serta protokol peninjauan komunikasi hukum sebagai remediation
  • DigiCert berjanji bahwa ke depan, selama insiden aktif, isu teknis, kesalahpahaman, dan kebijakan akan ditangani di Bugzilla terkait, dan jika mereka menilai perlu menggunakan kanal hukum terkait insiden aktif, keputusan dan tindakan tersebut akan dipublikasikan di Bugzilla terkait
  • Pada akhirnya, final call yang meminta komentar atau pertanyaan tambahan dari komunitas telah diposting, dan diinformasikan akan ditutup sekitar 17 September 2025

Bacaan terkait

1 komentar

 
GN⁺ 2025-02-26
Opini Hacker News

  • Singkatnya, DigiCert beberapa kali melakukan penundaan pencabutan sertifikat melampaui batas yang diizinkan oleh Baseline Requirements, dan kasus terbaru adalah https://bugzilla.mozilla.org/show_bug.cgi?id=1896053 serta https://bugzilla.mozilla.org/show_bug.cgi?id=1910805
    Yang pertama tampaknya menunda pencabutan untuk menenangkan pelanggan tertentu, sedangkan yang kedua adalah kasus pencabutan tidak bisa dilakukan tepat waktu karena temporary restraining order (TRO)
    Tim Callan dari Sectigo secara terbuka mengkritik bahwa dalam kedua kasus itu DigiCert tidak cukup tegas menghadapi pelanggannya, dan ada kekhawatiran khusus bahwa sarana seperti TRO bisa makin sering dipakai untuk menunda pencabutan
    Sectigo dan pihak lain dalam ekosistem WebPKI tampaknya ingin DigiCert menyampaikan kebijakan pencabutan kepada pelanggan dengan sangat jelas, serta memastikan pelanggan benar-benar bisa mengganti sertifikat tepat waktu
    Meski Sectigo yang paling vokal, tampaknya bukan hanya Sectigo yang menuntut agar penundaan pencabutan DigiCert dikendalikan, jadi eskalasi menjadi ancaman hukum benar-benar tidak pantas, dan DigiCert bisa menghadapi reaksi balik yang cukup besar karena taktik ini

    • DigiCert tampak seperti bersembunyi di balik TRO untuk melindungi diri dari pelanggan yang marah sambil menjalankan prosedur yang memang harus mereka ikuti
      Mereka tampaknya tidak ingin mengubah dokumen hukum agar pelanggan tidak bisa mengambil langkah hukum terkait pencabutan sertifikat, dan sejauh ini langkah hukum itu bekerja menguntungkan DigiCert
      Untuk perusahaan yang seluruh bisnisnya adalah verifikasi nama perusahaan dan pemrosesan prosedur CA, mereka justru terlihat cukup pasif dalam mematuhi prosedur tersebut
      Mereka mungkin tidak bisa mencegah pelanggan yang secara teknis tidak kompeten seperti Alegeus Technologies LLC mengajukan TRO, tetapi ini bukan pertama kalinya prosedur yang tepat tidak diikuti
      Upaya membungkam diskusi negatif lewat pengadilan terlihat cukup murahan untuk sebuah CA, dan ketika DigiCert sudah menjadi sasaran kecurigaan dan ketidakpercayaan, tindakan seperti ini tampak seperti upaya terakhir dari pihak yang terpojok untuk menghindari kritik
      Pelanggan mungkin senang karena DigiCert tidak memaksa penggantian sertifikat pada waktu yang telah ditentukan, tetapi jika masalah meledak dan DigiCert dihapus dari daftar kepercayaan, mereka akan mendapati situasi mengejutkan: tiba-tiba harus mencari penyedia sertifikat lain
    • Jawaban terakhir Callan ada di sini: https://bugzilla.mozilla.org/show_bug.cgi?id=1910322#c73
      Sekilas terlihat sangat masuk akal
    • Apa tindakan yang benar ketika TRO memerintahkan sebuah perusahaan untuk tidak mencabut sertifikat? Apakah perusahaan seharusnya menunda pencabutan, tetapi mendorong sistem peradilan agar menyelesaikan masalah secepat mungkin?
    • Bukankah Sectigo itu Comodo? Jadi terasa makin ironis ketika pihak seperti itu melakukan ini

  • Drama Web PKI selalu mengejutkan karena ini adalah salah satu dari sangat sedikit ranah di dunia tempat perusahaan yang “macam-macam” biasanya langsung mengalami “bayar akibatnya” yang dingin dan tegas
    Berbagai pihak yang menentukan CA mana yang dipercaya pada dasarnya dapat membongkar hampir seketika bisnis CA mana pun di dunia
    Jika DigiCert kalah dalam permainan ini, mereka akan menjadi pecundang terbesar sejauh ini, dan setahu saya DigiCert adalah CA terbesar di internet
    Jika CA terbesar di internet dihapus dari trust store, itu akan mengirim pesan kuat dan juga menimbulkan kekacauan besar, tetapi tidak ada alasan khusus mengapa itu mustahil
    Tentu saya menilai kemungkinannya rendah, tetapi membayangkan seseorang di DigiCert yang memutuskan bahwa melibatkan tim hukum di sini adalah ide bagus mendapat omelan seumur hidup saja sudah terasa memuaskan
    Saya membaca thread tersebut, dan itu tidak terlihat baik bagi DigiCert; tetap saja, menurut saya tindakan ini jauh lebih merusak bagi DigiCert daripada apa pun yang dikatakan Collan

    • Kalau begitu pelanggan tidak punya pilihan selain menyerahkan bisnis mereka kepada Honest Achmed[1]
      [1] https://bugzilla.mozilla.org/show_bug.cgi?id=647959
    • Trust store, terutama browser, punya opsi selain sekadar menghapus CA
      Untuk proses pencabutan kepercayaan terhadap CA sebesar ini, pendekatan yang lebih masuk akal adalah tidak lagi menerima sertifikat baru yang diterbitkan setelah tanggal tertentu
      Dengan begitu pelanggan yang ada bisa mendapat pemberitahuan sebelumnya, dan bukannya terkena masalah mendadak saat penanggung jawab sedang cuti, mereka akan mengetahui kabar buruk itu pada waktu perpanjangan rutin
    • Menyegarkan melihat orang-orang yang tampaknya terbiasa bersembunyi di balik awan omong kosong dikuliti habis-habisan oleh orang-orang yang cukup paham untuk menembusnya serta punya waktu dan energi untuk mengikuti semua thread sampai tuntas
      Thread DigiCert belakangan ini berbau mencurigakan mirip dengan alur yang berujung pada kasus Entrust
    • Apakah ada opsi untuk mematikan kepercayaan terhadap semua sertifikat yang dibuat setelah tanggal tertentu? Idealnya sertifikat yang sudah ada tetap dibiarkan berfungsi, sementara hanya sertifikat baru yang tidak dipercaya
    • Jika CA terbesar di internet dihapus dari trust store, itu akan mengirim pesan kuat dan juga menimbulkan kekacauan besar, tetapi berapa banyak pihak yang akan menyetujui penghapusan itu?
      Berapa banyak orang yang, setelah melihat cara lain sebuah entitas tak dikenal tanpa wajah bisa merusak sesuatu, akan makin memilih mematikan pembaruan otomatis selamanya dan memutuskan sendiri apa yang akan dipercaya?
      Pesan yang kuat memang akan terkirim, tetapi kemungkinan bukan pesan yang dimaksudkan
      Pada akhirnya itu hanya akan makin memperbesar ketidakpercayaan terhadap PKI tersentralisasi secara keseluruhan

  • Menurut Bugzilla, alasan sebenarnya untuk garis bawah adalah agar layanan yang memungkinkan pengguna membuat record DNS pada subdomain, misalnya layanan DNS dinamis, dapat mencegah penerbitan sertifikat yang tidak diinginkan dengan memblokir pendaftaran subdomain yang diawali garis bawah.
    Ini sama seperti peran /.well-known dalam metode perubahan situs web yang disepakati, dan peran admin/administrator/webmaster/hostmaster/postmaster dalam email konfigurasi kontak domain.
    Dengan DigiCert menggunakan record DNS tanpa garis bawah, artinya mereka merusak asumsi keamanan inti yang diandalkan layanan-layanan semacam itu.
    Jadi ini benar-benar insiden keamanan yang serius, dan kesalahan fatal dalam skala sangat besar.
    Pada tingkat ini, saya tidak tahu apakah sertifikat DigiCert masih layak dipercaya.

  • Selalu ada dua sisi cerita, tetapi orang di DigiCert yang membuat bug validasi itu sudah mengundurkan diri karena kejadian tersebut, dan itu sendiri pun ekstrem.
    Orang dari pihak Sectigo berusaha agar bug itu tidak ditutup supaya bisa terus menuntut lebih banyak jawaban tentang respons DigiCert secara keseluruhan, dan secara subjektif caranya cukup ketus.
    Perdebatan bolak-balik sampai tingkat tertentu itu wajar dan bisa diduga, tetapi jika terus menekan pihak yang punya tim legal internal, pada akhirnya pihak itu akan mengobrol dengan tim legal di depan mesin kopi, lalu tim legal akan ikut melihat dan hal itu menjadi masalah mereka.
    Jadi prinsip pertama adalah jangan sampai menyebut kata legal sekalipun, kecuali memang ingin memanggil tim legal.
    Respons kali ini hanyalah surat yang meminta pihak lain mundur, dan alasan tim legal ada memang untuk membuat kedua pihak berdebat satu sama lain.
    Hanya saja, kasus ini bocor ke publik.
    Saya mengerti pandangan bahwa CA tidak boleh menanggung risiko hukum dalam proses diskusi, tetapi itu bertabrakan dengan fakta bahwa mereka adalah entitas komersial yang melindungi kepentingannya sendiri.
    Selama tidak semua CA bersifat nonkomersial, kita tidak bisa mendapatkan keduanya sekaligus, dan bahkan jika nonkomersial pun tetap ada batasnya.

    • Mungkin mereka juga seharusnya berbicara dengan departemen PR.
      Sama seperti dengan siapa pun yang bertanggung jawab atas strategi perusahaan.
      Karena tindakan tim legal itu berbalik merugikan.
    • Anda merangkumnya cukup rinci seolah sudah mengikuti cukup lama; bagaimana perasaan Anda tentang pengunduran diri itu? Apakah ia mundur secara sukarela, atau ini tipe kasus yang besar kemungkinan manajemen DigiCert menjadikannya kambing hitam?
    • Sebenarnya ia tidak mengundurkan diri.
      Ia tetap dipertahankan sebagai kontraktor, dan kemungkinan besar sedang menunggu untuk dipekerjakan kembali.
      Informasinya keliru.

  • Ini mengejutkan.
    Upaya menghentikan pernyataan sah para kontributor Web PKI melalui pelecehan hukum saja sudah sepenuhnya membalikkan tujuan dan sasaran organisasi, dan secara pribadi saya menganggapnya cukup untuk segera membuang segala sesuatu yang terkait DigiCert.

    • Seruan untuk segera membuang semua yang terkait DigiCert itu cukup ekstrem, dan tampaknya belum cukup memikirkan seperti apa konsekuensinya.
      Cara historis menangani CA bermasalah adalah menangani dampak langsungnya terlebih dahulu, lalu memblokir penerbitan sertifikat baru atau pembaruan.
      Ada banyak perusahaan sah yang menggunakan DigiCert, dan mereka seharusnya dapat berharap bisa tetap beroperasi dalam jangka pendek sambil mencari penyedia sertifikat lain.

  • Jika melihat laporan asli (https://bugzilla.mozilla.org/show_bug.cgi?id=1910322), terlihat beberapa pertanyaan yang tampaknya dihindari DigiCert.
    Dalam catatan publik Alegeus Technologies LLC v. DigiCert, tidak terlihat upaya untuk menggugat perintah pengadilan sebelum berakhirnya periode preferensi hampir 120 jam, padahal jika permohonan semacam itu diajukan, DigiCert mungkin bisa mencabut sertifikat beberapa hari lebih cepat.
    Selain itu, pertanyaan lain di comment 28 adalah klausul apa yang menentukan hak DigiCert untuk mencabut sertifikat Alegeus Technologies.
    DigiCert bolak-balik pada poin ini; awalnya mengisyaratkan bahwa klausul itu ada di situs web, tetapi kemudian menolak mengonfirmasi apakah klausul di situs saat itu berlaku untuk Alegeus Technologies.
    Dugaan saya, DigiCert mungkin telah memberikan ketentuan khusus kepada Alegeus dan pelanggan lain, dan mungkin tidak menggugat TRO di pengadilan karena tidak ada dasar kontraktual untuk itu.
    Selain itu, kontrak tersebut mungkin memiliki klausul kerahasiaan sehingga mereka tidak bisa membicarakannya.
    Cukup mengejutkan forum membiarkan isu ini ditutup meski pertanyaan-pertanyaan yang dikutip di atas belum terpenuhi, tetapi saya belum membaca seluruh isu terkait, jadi mungkin saja sudah dijawab di tempat lain.
    Sebagai tambahan, jawaban DigiCert di thread lain (https://bugzilla.mozilla.org/show_bug.cgi?id=1910805#c43) tampaknya bertentangan dengan dugaan ini.
    Terutama bagian yang menyatakan bahwa “TOU dan MSA DigiCert melarang tindakan Alegeus tersebut, tetapi setelah Alegeus mengajukan TRO dan pengadilan hampir segera mengabulkannya, tangan DigiCert terikat.”

    • Jadi hakim tidak membaca TOU sebelum menandatangani TRO?
      Saya penasaran apakah CAB Forum punya legal standing untuk menggugat Alegeus atau hakim tersebut karena mengganggu prosedur PKI dengan TRO yang tidak sah.

  • Apa yang terjadi selama sedikit lebih dari dua bulan sejak tanggal yang dirujuk oleh surat-surat ini?

  • Otoritas sertifikat menerima kepercayaan yang sangat besar dari semua pengguna internet, baik pengguna menyadarinya maupun tidak
    Sejalan dengan kepercayaan itu, mereka juga memikul tanggung jawab yang sangat besar, dan sesuai namanya, Baseline Requirements adalah standar minimum yang harus dipenuhi
    Jika mereka tidak mampu atau tidak mau mencabut sertifikat yang diterbitkan dalam waktu yang diwajibkan, mereka tidak layak menerima kepercayaan ini dan harus dikeluarkan
    Saya memahami bahwa TRO mencegah pencabutan sekitar 70 sertifikat, dan dalam kasus itu memang tidak ada hal lain yang benar-benar bisa dilakukan
    Namun kegagalan pencabutan lainnya tidak punya alasan pembenar

  • Bug tersebut telah diperbarui dengan jawaban dari DigiCert
    Silakan masing-masing menarik kesimpulan sendiri, tetapi saya benar-benar tertawa membaca kalimat DigiCert berikut
    “Faktanya, surat kami kepada Anda sejalan dengan keinginan kami untuk mendorong dialog yang terbuka dan jujur”

  • Bahkan jika kita menerima begitu saja gambaran percakapan dalam surat DigiCert, orang dari pihak Sectigo paling baik bisa dibilang menyulitkan, dan paling buruk mungkin sengaja melakukan trolling
    Saya tidak benar-benar berpikir demikian, tetapi jika memainkan peran sebagai devil’s advocate, begitulah kira-kira
    Tetap saja, bagaimana DigiCert bisa berpikir keterlibatan tim hukum akan berakhir baik?
    Sectigo tidak rugi apa-apa dengan mempublikasikannya ke CAB seperti yang dilakukan di sini dan mendapatkan efek publisitas, dan CAB juga bukan konselor pernikahan yang akan mendamaikan kedua perusahaan
    Selain itu, percakapan “um, sebenarnya” yang sangat sopan tetapi pasif-agresif seperti ini terjadi di semua diskusi insiden CAB
    Saya tidak tahu mengapa DigiCert begitu marah khusus pada kasus ini

    • Sebagai orang yang tidak banyak menelusuri laporan CAB, bagian itu cukup mengejutkan
      Langkah hukum DigiCert terlihat aneh, dan gagasan bahwa pelanggan perusahaan bisa menggunakan sistem hukum untuk mencegah perusahaan itu memenuhi kewajibannya kepada pihak lain tampak benar-benar bermasalah dan berbahaya
      Namun melihat adu argumen di thread tersebut, sulit melihat cara yang produktif untuk menanganinya
      Rasanya seperti menonton drama panggung berisi drone korporat tipikal dan geek IRC tipikal yang saling bertukar dialog; kedua pihak berputar-putar di sekitar topik yang menarik, tetapi karena sibuk saling serang, mereka tidak pernah benar-benar sampai ke inti persoalan