Компания Comodo, спустя восемь дней с момента обнаружения проблемы, опубликовала заявление в котором обобщила суть инцидента, в результате которого злоумышленникам удалось получить девять валидных HTTPS-сертификатов для ряда известных web-ресурсов. Используя данные сертификаты злоумышленники могли сформировать поддельный сайт, который был бы неотличим от настоящего и содержал не вызывающий подозрение SSL-сертификат. Перенаправить пользователя на подобные сайты можно используя, например, атаки man-in-middle или отравление DNS-кэша.

По данным Comodo, 9 обманных сертификатов злоумышленникам удалось сгенерировать в результате взлома пользовательского аккаунта в одном из доверенных регистрирующих центров (RA, Registration Authority). Инфраструктура удостоверяющего центра (CA) и первичные сертификаты, хранимые в HSM-модулях (Hardware Security Modules), не были скомпрометированы. Сертификаты были выписаны для следующих сайтов: mail.google.com, www.google.com, login.yahoo.com, login.skype.com, addons.mozilla.org, login.live.com. Также был создан не привязанный доменам сертификат "глобального доверия" ("global trustee"). Все выписанные обманным путем сертификаты были сразу отозваны и занесены в черные списки web-браузеров Firefox, Chrome/Chromium и Internet Explorer.

В связи с инцидентом критике подверглась используемая в настоящее время методика отзыва сертификатов, базирующаяся на оценке состояния списка отозванных сертификатов (CRL) или проверке статуса конкретных сертификатов с помощью протокола OCSP. Данные проверки выполняются путем обращения к специальному online-сервису, поддерживаемому каждым центром сертификации. Основная проблема связана с тем, что в случае невозможности осуществить проверочный запрос, браузеры не в состоянии определить отозван сертификат или нет, поэтому, в конечном счете, в случае сбоя проверки считают сертификат валидным.

В ситуации когда злоумышленник в состоянии вклинится в трафик жертвы и подменить содержимое сайта, он с тем же успехом может блокировать проверочные CRL/OCSP запросы. Более того, такой инструмент перехвата и подмены SSL-трафика как sslstrip уже включает в себя поддержку подобного рода атак. Поэтому, в ситуации появления обманных SSL-сертификатов, производители браузеров вынуждены обновлять локальный черный список. В качестве одного из вариантов решения проблемы называется создание производителями браузеров собственных кэширующих OCSP-серверов, способных выполнить проверку в случае недоступности OCSP-сервера удостоверяющего центра, а также пересмотр подхода к выводу предупреждений в случае проблем с выполнением проверки.

В случае, если бы злоумышленникам удалось получить закрытый ключ для сертификата UserTrust (UTN-USERFirst-Hardware) удостоверяющего центра Comodo, под угрозой оказалась бы безопасность более чем 85 тыс. сайтов, владельцам которых пришлось бы заново получать сертификаты. При таком развитии событий производители браузеров были бы поставлены перед непростой дилеммой: поместить в черный список все сертификаты скомпрометированного центра сертификации, нарушив нормальную работу десятков тысяч сайтов, или игнорировать проблему, сделав данные сайты потенциально уязвимыми.

Подобное развитие событий не исключено в силу неумеренного разрастания сети центров сертификации. Например, в настоящее время насчитывается уже около 1500 CA-сертификатов, контролируемых примерно 650 разными организациями. При каждом HTTPS/TLS-сеансе пользователь изначально доверяет всем имеющимся центрам сертификации, компрометация одного из CA приведет к коллапсу всей системы. В качестве одного из способов защиты от такого развития событий называется разработка и внедрение методов перекрёстной сертификации.