El problema único inducido por el certificado de falla dura es que introduce un punto de estrangulamiento adicional fuera del control del propietario del sitio, pero en la ruta crítica para la función del sitio, uno que generalmente no está particularmente bien dotado.
Dado que todos los sitios seguros requieren certificados TLS, y dado que la mayoría de los certificados son emitidos por una de las pocas CAs, estas CA representan un objetivo muy atractivo para las personas interesadas en causar interrupciones. Y además, estas CA están en casi todos los casos particularmente mal equipadas para defenderse de un ataque avanzado de denegación de servicio, especialmente en comparación con los sitios que protegen.
Mientras la mayoría la gente deje deshabilitada la verificación de CRL / OCSP, las CA no serán atacadas porque el daño de tal ataque sería mínimo. Pero si alguna vez la verificación estricta se convierte en la opción predeterminada en un navegador, un ataque contra Verisign o RapidSSL o Comodo podría eliminar franjas enteras de hosts seguros, causando enormes daños.
Los ataques de denegación de servicio a menudo se usan para enmascarar o habilitar un ataque más avanzado y dirigido. Pero en el caso examinado aquí, el verdadero objetivo de tal ataque puede que nunca sea conocido. El daño colateral sería tan grande que sería imposible rastrear a una sola víctima. Sería como desconectar la energía eléctrica de una ciudad entera para robar una única joyería. Pero si la compañía eléctrica es un objetivo más fácil que la joyería, entonces tal ataque sería plausible.
Como otra analogía, si la verificación era la predeterminada, eliminar el servicio de verificación en línea de DigiCert o Verisign sería muy parecido a eliminar todo el registro DNS .com . Muchas empresas dependen de ello y su protección está fuera de su ámbito de influencia.
En este momento, por ejemplo, DigiCert es la CA utilizada por Facebook. Y mientras que Facebook tiene múltiples centros de datos dispersos en todo el mundo, DigiCert no. Facebook tiene los recursos para resistir un ataque más grande de lo que nadie haya visto. Pero DigiCert no lo hace. Si la verificación del certificado de disco duro fuera la predeterminada, entonces un atacante no necesita atacar a Facebook para tener éxito, solo tendrá que eliminar DigiCert.