"Não podemos entrar em contato com todos, então começamos a entrar em contato com os maiores assinantes, contando-lhes sobre a situação, informando-os o mais possível", diz Aas. "E então trabalhamos com eles para que substituíssem seus certificados o mais rápido possível."

Depois que um operador do site renovar um certificado, o Criptografar poderá revogar com segurança o antigo. Nenhum dano aconteceria no site. O que parece ser uma solução bastante simples, mas nada é simples nesse tipo de escala.

As organizações maiores tiveram mais facilidade para resolver o problema, porque geralmente têm os recursos para monitorar quaisquer sinais de problemas que surjam e as ferramentas para automatizar o processo de renovação. "Se você tem uma dúzia ou duas dúzias de servidores ou algo assim, essa é uma alma pobre de olhos sonolentos no meio da noite em um teclado", diz White do MongoDB. “Reeditamos um pouco mais de 15.000 certificados [for clients], e fizemos isso em algumas horas. Houve algum trabalho envolvido, mas não foi catastrófico. Tínhamos medidas para poder girar rapidamente. ”

Os sites menores receberam uma grande ajuda da Electronic Frontier Foundation, que opera o Certbot, uma ferramenta de software gratuita que adiciona automaticamente os certificados Let's Encrypt aos sites e os renova a cada 60 dias. Somente nos últimos dois meses, o Certbot gerou certificados para 19,2 milhões de sites exclusivos. "Felizmente, tínhamos antecipado a necessidade de verificar os certificados revogados para renovação em 2015", diz o diretor de engenharia da EFF, Max Hunter. "Como o Let's Encrypt comunicou o problema com antecedência e o caminho do código para a consulta já estava em vigor, nosso trabalho foi relativamente direto". Na terça-feira, uma equipe da EFF, juntamente com voluntários em Paris e Finlândia, atualizou o Certbot para renovar quaisquer certificados revogados.

Enquanto isso, o Criptografar enviou um e-mail para todos os endereços que ele tinha no arquivo. Ele criou um banco de dados pesquisável de todos os domínios afetados, para que as empresas de hospedagem vejam se precisavam agir. "Marcamos esses certificados como vencidos em nosso sistema interno e, em seguida, nossos processos automatizados normais foram acionados para gerar e implantar novos certificados", diz Justin Samuel, CEO da Less Bits, uma startup que opera a empresa de hospedagem ServerPilot.

Na terça-feira à noite, 30 minutos antes do prazo, vamos criptografar outro anúncio. Dos 3 milhões de sites potencialmente impactados, 1,7 milhões conseguiram renovar seus certificados, um número surpreendente, dado o curto espaço de tempo. “Nenhuma outra CA chega perto de tornar a reemissão de certificados em larga escala não apenas viável, mas também rápida”, diz Samuel.

Esse sucesso também incentivou a Aas a fazer uma ligação difícil. Vamos criptografar os certificados restantes. "Decidimos que, em vez de quebrar mais de um milhão de sites, potencialmente, não iremos revogá-los até o prazo", diz Aas. "Achamos que é a decisão certa para a saúde da internet".

Era o equivalente na Internet de uma ligação do governador minutos antes da meia-noite. Vamos criptografar continuará revogando certificados se puder confirmar que os sites os renovaram, mas, caso contrário, está contente em deixá-los em sua forma um pouco quebrada. O risco de segurança é pequeno, diz Aas, e como os certificados Let Criptografar só são viáveis ​​por 90 dias, qualquer retardatário terá saído do ecossistema até o verão, o mais tardar.

"De qualquer forma, isso apenas reforça o fato de serem uma das autoridades de certificação modernas e mais transparentes do mundo", diz White, do MongoDB, que aponta para os snafus de certificados anteriores que empresas com fins lucrativos como a Symantec tiveram um mau uso. "É fácil poltrona quarterback. Mas acho que se as pessoas forem excessivamente críticas, isso será extraviado. "

Os meandros da infraestrutura da Internet geralmente são ignorados até que algo dê errado. Desta vez, porém, é útil refletir sobre o que deu certo. Pela primeira vez, a história é que nada quebrou.

Mais grandes histórias WIRED