กระบวนการออกใบรับรองดิจิตอลทุกวันนี้มีช่องว่างสำคัญคือหน่วยงานออกใบรับรองดิจิตอล (certification authority - CA) ทุกรายสามารถออกใบรับรองให้กับโดเมนใดๆ ก็ได้ ตอนนี้มาตรการเพิ่มเติมในการจำกัดสิทธิ์ของ CA ก็เตรียมบังคับใช้เดือนกันยายนนี้ หลังการโหวตมาตรฐาน Certification Authority Authorization (CAA) โดย CA/Browser Forum ผ่านไปแล้ว

CAA เป็นมาตรฐาน rfc6844 มาตั้งแต่ปี 2013 ระบุให้เจ้าของโดเมนสามารถล็อก CA ที่จะออกใบรับรองให้กับโดเมนของตนได้ ผ่าน Resource Record (RR) ใน DNS เช่น example.org. CAA 128 issue "letsencrypt.org" จะล็อกให้ Let's Encrypt เท่านั้นที่สามารถออกใบรับรองให้กับ example.com ได้

Let's Encrypt นอกจากจะเป็นหน่วยงานออกใบรับรองดิจิตอลฟรีแล้ว ยังออกแบบโปรโตคอล ACME สำหรับการยืนยันตัวตนของเจ้าของโดเมนเพื่อออกใบรับรองอัตโนมัติไปพร้อมกัน แม้ว่าจะเกิดมาคู่กันแต่โปรโตคอล ACME ก็สามารถนำไปใช้งานกับหน่วยงานออกใบรับรองอื่นๆ ที่อาจจะเก็บเงินก็ได้ ตอนนี้ GlobalSign ก็ประกาศรองรับ ACME บน Auto Enrollment Gateway (AEG) เกตเวย์สำหรับออกใบรับรองในองค์กร

กูเกิลส่งข้อเสนอเข้าไปยัง CA/Browser Forum ในการโหวตครั้งที่ 185 เสนอให้แก้ข้อกำหนดในเอกสาร Baseline Requirement (BR) เพิ่มเติม โดยกำหนดให้ใบรับรองทั้งหมดที่ออกหลังวันที่ 24 สิงหาคมนี้ ต้องมีอายุใช้งานไม่เกิน 398 วัน จากเดิมกำหนดอายุให้ 39 เดือน แต่หลังจากการโหวตมีทีท่าว่าจะไม่ผ่าน กูเกิลก็แสดงท่าทีว่าอาจจะบีบหน่วยงานออกใบรับรองด้วยการบังคับกฏนี้ใน Chrome เสียเอง

จากที่ได้มีการนำเสนอไปเมื่อสัปดาห์ที่ผ่านมาเรื่องที่ ไมโครซอฟท์ได้ให้การรับรอง root certificate จาก CA แห่งชาติของไทยคือ NRCA แล้ว อีกทั้งได้มีการนำเสนอ การทดสอบการติดตั้ง root certificate ตัวนี้บนเว็บเบราซ์เซอร์ซึ่งยังไม่ได้ให้การรับรองอย่าง Mozilla Firefox ไปแล้วเช่นกัน และได้มีการแสดงความคิดเห็นทั้งที่เห็นด้วยและไม่เห็นด้วยในการมี root certificate เป็นของไทยเอง และความกังวลว่ารัฐบาลอาจใช้ root certificate ตัวนี้เป็นเครื่องมือในการดักฟังหรือสอดแนมการสื่อสารทางเว็บ จนถึงขั้นที่มีการนำเสนอวิธีการลบหรือบล๊อค root certificate ตัวนี้ออกไปจากเครื่องนั้น ไมโครซอฟท์ดูเหมือนจะตกเป็นจำเลยอยู่กลายๆ

กูเกิลประกาศสร้าง root CA ของตัวเองสำหรับการเชื่อมต่อกับบริการของกูเกิลโดยใช้ชื่อว่า Google Trust Services ชื่อในใบรับรอง ได้แก่ GTS Root R1, R2, R3, และ R4

ใบรับรองสำหรับเว็บกูเกิลเองก่อนหน้านี้ออกใบรับรองผ่าน intermediate CA ของกูเกิลเอง ที่ชื่อว่า Google Internet Authority G2 (GIAG2) ที่ได้รับการรับรองจาก GeoTrust มาอีกที ตอนนี้กูเกิลระบุว่ายังคงใช้ GIAG2 ต่อไปแต่หลังจากนี้จะเริ่มกระบวนการย้ายมาใช้โครงสร้างของตัวเอง

ในช่วงเปลี่ยนผ่านที่กูเกิลยังไม่ได้เข้าไปอยู่ใน trusted root CA ของซอฟต์แวร์ต่างๆ ใบรับรองจะได้รับการ cross sign โดย root CA เดิม ได้แก่ GS Root R3 และ GeoTrust ดังนั้นสำหรับคนทั่วไปก็น่าจะเชื่อมต่อได้โดยไม่มีปัญหาใดๆ

หลังจากวันนี้มีข่าว root CA ของรัฐบาลไทยได้รับการเชื่อถือจากไมโครซอฟท์ ตอนนี้ผู้ใช้วินโดวส์จำนวนหนึ่งน่าจะได้รับอัพเดตที่มี root CA นี้เข้ามาในเครื่องแล้ว สำหรับคนที่ไม่ต้องการใช้งานน่าจะมีคนเขียนบทความจำนวนมากเพื่อแนะนำวิธีการถอนใบรับรองนี้ออกจากเครื่อง

ในทางกลับกันมีผู้ใช้จำนวนหนึ่งที่เชื่อใจรัฐบาลเป็นอย่างยิ่งและต้องการให้เข้ามาช่วยดูแลความปลอดภัย อาจจะต้องผิดหวังเพราะผู้ผลิตซอฟต์แวร์รายอื่นๆ ยังไม่รับรอง สำหรับ Chrome บน Windows นั้นไม่เป็นปัญหาเพราะใช้ฐานข้อมูล root CA ของวินโดวส์โดยตรง แต่กับไฟร์ฟอกซ์กลับใช้ฐานข้อมูลของตัวเองทำให้ใช้งาน root CA ตัวนี้ไม่ได้

คดี WoSign ออกใบรับรองผิดพลาดและควบรวมกับ StartCom โดยไม่แจ้งผู้ผลิตเบราว์เซอร์ให้รับทราบใกล้มาถึงบทสรุปเมื่อทางกูเกิลประกาศหยุดเชื่อถือใบรับรองจากทั้งสองบริษัทที่ออกหลังวันที่ 21 ตุลาคมที่ผ่านมา

กูเกิลแจ้งเตือนว่ากระบวนการตรวจสอบเพื่อให้แน่ใจว่าเบราว์เซอร์จะไม่เชื่อถือใบรับรองจากทั้งสองบริษัทที่ออกมาหลังเส้นตายอีกจะหนาแน่นขึ้นเรื่อยๆ ทำให้เว็บที่ใช้ใบรับรองจากหนึ่งในสองบริษัทอาจจะไม่สามารถใช้งานได้อีกหลังจาก Chrome 56 เป็นต้นไป และการเชื่อถือใบรับรองตอนนี้ก็เป็นมาตรการชั่วคราวเพื่อให้เวลากับผู้ดูแลเว็บได้มีเวลาเปลี่ยนใบรับรองเท่านั้น

กูเกิลผลักดันแนวทางให้ CA ทั้งหลายเปิดเผยการออกใบรับรองมาหลายปี ตอนนี้กูเกิลก็ออกมาประกาศว่าภายในเดือนตุลาคม 2017 จะเริ่มบังคับให้ CA ทุกรายต้องเข้ากระบวนการ CT (Certification Transparency กระบวนการที่ CA เปิดเผยรายการใบรับรองที่ออกสู่สาธารณะ) ทั้งหมด ไม่เช่นนั้น Chrome จะไม่เชื่อถือใบรับรองอีกต่อไป

GlobalSign ผู้ให้บริการออกใบรับรอง ที่มี root CA อยู่หลายรายปรับปรุงการทำ cross certificate ระหว่าง root CA โดยวางแผนล่วงหน้าแต่มีความผิดพลาดจนกระทั่ง Intermediate CA จำนวนหนึ่งไม่ได้รับความเชื่อถือจากเบราว์เซอร์

เว็บขนาดใหญ่ได้รับผลกระทบจากเหตุการณ์ครั้งนี้ เช่น Wikipedia เบราว์เซอร์จะขึ้นเตือนว่าใบรับรองไม่ถูกต้อง

ตอนนี้ทาง GlobalSign แก้ไขปัญหานี้แล้ว แต่กระบวนการอัพเดตแคชจะใช้เวลาไปอีกระยะ อาจจะถึง 4 วัน สำหรับผู้ใช้ทั่วไป GlobalSign แนะนำกระบวนการอัพเดตแคช OCSP

ที่มา - The Register

ปัญหาของ WoSign ที่เป็น CA จีน ทำให้ Mozilla ประกาศแผนจะบล็อคใบรับรองทั้งหมดที่ออกโดย WoSign และ StartCom แต่แอปเปิลที่ไม่ค่อยมีข่าวนักก็ประกาศบล็อคใบรับรองจาก "WoSign CA Free SSL Certificate G2" จาก iOS Trust Store ไปทันที

ตัว iOS Trust Store ของแอปเปิลไม่ได้มี root CA ของ WoSign อยู่ก่อนหน้านี้ อย่างไรก็ดี "WoSign CA Free SSL Certificate G2" ได้รับการ cross-sign โดย StartCom และ Comodo ทำให้ใช้กับผลิตภัณฑ์ของแอปเปิลได้ด้วย จนกระทั่งแอปเปิลประกาศบล็อคครั้งนี้

เหตุการณ์ CA จีน WoSign ออกใบรับรองผิดพลาด ถูกขยายผลต่อเนื่องมาถึงการควบรวมกิจการโดยไม่ได้แจ้งให้ผู้ผลิตเบราว์เซอร์รับทราบ ตอนนี้ทาง Mozilla ก็ออกมาแถลงถึงมาตรการต่อ WoSign แล้ว

เอกสารของ Mozilla ระบุว่ากำลังจะถอน WoSign และ StartCom ออกจากการเชื่อถือของเบราว์เซอร์เป็นเวลาอย่างน้อยหนึ่งปี โดยหากต้องการกลับเข้ามาเป็น root CA อีกครั้งจะต้องผ่านกระบวนการใหม่ทั้งหมด มาตรการเพิ่มเติมได้แก่

WoSign หน่วยงานออกใบรับรองดิจิตอลจากจีน ประกาศเข้าซื้อ StarCom CA จากอิสราเอลสำเร็จ โดยระบุว่ามีการเซ็นสัญญาทำความตกลงซื้อขายกันตั้งแต่กันยายนปี 2015

การประกาศนี้เกิดหลังจาก มอซิลล่าแถลงรายงานระบุว่า WoSign เข้าซื้อ StartCom ไปตั้งแต่ปีที่แล้ว และมีการใช้เสียงโหวตแยกกันใน CA/Browser Forum หลายครั้ง

แถลงการณ์การเข้าซื้อครั้งนี้ระบุว่า StartCom เข้าช่วยเหลือ WoSign ตั้งแต่ปี 2010 ในการทำ cross-sign และขอรับรอง WebTrust จนกระทั่ง WoSign ได้รับการรับรอง ทุกวันนี้เบราว์เซอร์จำนวนมากรวม WoSign ไว้ในตัว

หลังจาก CA จากจีน WoSign ออกใบรับรองโดยไม่ได้รับอนุญาต และไม่ได้รายงานเรื่องนี้ต่อ CA/Browser Forum ให้ถูกต้อง ทาง Mozilla ก็ออกรายงานสืบสวนว่า WoSign ได้เข้าซื้อ StartCom CA อีกรายของอิสราเอลที่ให้บริการในแบรนด์ StartSSL มาตั้งแต่ปี 2015

การเข้าซื้อ CA ไม่ใช่เรื่องแปลก แต่ WoSign ไม่ได้แจ้งการเข้าซื้อครั้งนี้ต่อ CA/Browser Forum พร้อมกับปีที่ผ่านมา WoSign และ StartCom ออกเสียงโหวตมติต่างๆ แยกออกจากกันเป็นสองเสียง เมื่อถูกถามถึงความเป็นเจ้าของก็ปฏิเสธที่จะให้รายละเอียดเรื่อยมา

ทาง Mozilla มีนโยบายให้ CA ทุกรายจำเป็นต้องแจ้ง Mozilla เสมอเมื่อมีการเปลี่ยนความเป็นเจ้าของบริษัท

WoSign หน่วยงานออกใบรับรองจากจีนที่เพิ่งประกาศสนับสนุนการเปิดเผยการออกใบรับรองเมื่อกลางปีที่ผ่านมา กำลังถูกร้องเรียนว่าละเมิดข้อกำหนดความปลอดภัยของการทำหน้าที่หน่วยงานออกใบรับรองหลายประการ

เหตุการณ์เริ่มต้นตั้งแต่ปีที่แล้ว ที่ WoSign อนุญาตให้ยืนยันความเป็นเจ้าของโดเมนโดยใช้ "พอร์ตใดๆ" ในเครื่อง ทำให้ผู้ใช้ที่มีสิทธิ์ระดับต่ำสามารถใช้พอร์ตหมายเลขสูงๆ ขอใบรับรองของเครื่องออกมาได้ อย่างไรก็ดี ก่อนหน้านี้กระบวนการของ WoSign ไม่ได้ละเมิดข้อกำหนดการเป็น CA ก่อนการแก้ไขที่ 169

เมื่อวานนี้ CA Browser Forum องค์กรที่สร้างข้อตกลงร่วมกันระหว่างหน่วยงานออกใบรับรองดิจิตอล (certification authority - CA) และผู้ผลิตเบราว์เซอร์ ลงคะแนนเสียงการแก้ข้อบังคับ (baseline requirement) ฉบับที่ 169 ผ่านอย่างเป็นเอกฉันท์

การแก้ไขที่ 169 นี้ระบุรายละเอียดการตรวจสอบความเป็นเจ้าของโดเมนอย่างชัดเจน จากเดิมที่เปิดทางให้ CA สร้างแนวทางการตรวจสอบของตัวเอง แต่ข้อบังคับใหม่จะลงรรายละเอียดมากกว่าเดิม พร้อมกับปิดช่องทางที่อนุญาตให้ CA สร้างแนวทางการยืนยันตัวตนเป็นของตัวเอง (หัวข้อ 3.2.2.4 ข้อบังคับ 7)

มาตรฐาน Certificate Transparency (CT) ที่เริ่มต้นโดยกูเกิล เรียกร้องให้หน่วยงานออกใบรับรองดิจิตอล (CA) ทุกราย รายงานการออก CA ทุกใบ แต่การเปิดเผยข้อมูลเช่นนี้ทำให้ทุกคนรู้ว่า CA มีลูกค้ามากน้อยแค่ไหนทำให้ CA ส่วนมากมักจะยอมเปิด CT เฉพาะการออกใบรับรองแบบ Extended Validation (EV) เท่านั้น ยกเว้น CA ที่ออกใบรับรองฟรีอย่าง Let's Encrypt แต่ตอนนี้ WoSign ที่เป็น CA สัญชาติจีนก็ออกมาประกาศว่าจะส่งข้อมูล CT สู่สาธารณะเมื่อออกใบรับรองทุกใบแล้ว

โครงการ Let's Encrypt แจกใบรับรองดิจิตอลฟรีสร้างผลกระทบให้กับวงการธุรกิจออกใบรับรองเป็นวงกว้าง ตอนนี้ "กลุ่มผู้เสียผลประโยชน์" อย่าง Comodo ก็ยื่นจดทะเบียนเครื่องหมายการค้า Let's Encrypt สามรายการ ได้แก่ "Let's Encrypt", "Let's Encrypt with Comodo", และ "Comodo Let's Encrypt" อย่างไรก็ตาม ท่าทีล่าสุดของ Comodo มีแนวโน้มว่าจะปล่อยการยื่นจดทะเบียนนี้ให้หมดอายุไปในที่สุด

ทาง Comodo ยื่นจดทะเบียนตั้งแต่ช่วงเดือนตุลาคมปีที่แล้ว หลังจาก Let's Encrypt เริ่มออกใบรับรองทดสอบหนึ่งเดือน เกือบหนึ่งปีหลังการประกาศจัดตั้ง Let's Encrypt

AWS เปิดบริการ AWS Certificate Manager ทำให้ลูกค้าที่ใช้ Elastic Load Balancing และ CloudFront สามารถให้บริการเว็บเข้ารหัสได้โดยไม่ต้องเสียเงินค่าใบรับรองเพิ่มเติมอีก

เมื่อปีที่แล้วอเมซอนยื่นเรื่องขอเป็น root CA ในฐานข้อมูลของมอซิลล่าและแอนดรอยด์ แต่ระหว่างนี้ใบรับรองจะได้รับการรับรองโดย "Amazon Root CA 1" ที่ถูกรับรองโดย "Starfield Services Root Certificate Authority - G2" ต่อมาอีกที

หน่วยงานออกใบรับรองแห่งรัฐบาลคาซัคสถาน (Root Certification Authority of the Republic of Kazakhstan - root.gov.kz) ยื่นความจำนงขอให้มอซิลล่ารวมเอา root CA ของรัฐบาลเข้าไว้ในฐานข้อมูลเพื่อให้ใบรับรองที่ออกโดยรัฐบาลได้รับความเชื่อถือ

Let's Encrypt โครงการออกใบรับรอง TLS/SSL ฟรีเปิดบริการตั้งแต่ต้นเดือนที่ผ่านมา ผ่านไปเพียงไม่ถึงเดือนทางโครงการก็ระบุว่าตอนนี้ออกใบรับรองไปแล้วถึงสองแสนใบ

ใบรับรองใบที่สองแสนของ Let's Encrypt คือเว็บ redey.net หมายเลขซีเรียลใบรับรอง 01:ba:0c:0e:4e:11:2b:53:26:30:bc:20:94:d8:15:2d:c9:b7

ใบรับรองทั้งสองแสนใบไม่ได้ออกในช่วงเดือนที่ผ่านมาทั้งหมด เพราะช่วงทดสอบวงปิดมีการออกใบรับรองไปแล้ว 26,000 ใบ

ที่มา - @letsencrypt_ops

โครงการใบรับรองดิจิตอลฟรี Let's Encrypt เพิ่งเปิดให้บริการต่อสาธารณะไม่กี่วัน กลุ่มอำนาจเก่าผู้เสียผลประโยชน์ อย่าง GoDaddy และ Namecheap ก็ออกมาเคลื่อนไหว

ฝั่ง Namecheap นั้นออกมาเขียนบล็อกโจมตี ระบุข้อเสียของใบรับรองดิจิตอลฟรี ระบุว่าใบรับรองฟรีนั้นเพียงแค่เพิ่มการเข้ารหัสท่านั้น และไม่ได้ตรวจสอบผู้รับใบรับรองก่อนที่จะมอบใบรับรอง (ซึ่งไม่จริง เพราะ Let's Encrypt นั้นตรวจสอบผู้ถือครองโดเมน)

ขณะที่ GoDaddy ก็ออกหน้าเปรียบเทียบใบรับรอง และระบุว่าการทำเว็บเพื่อการค้านั้นต้องใช้ใบรับรองแบบ Extended Validation เท่านั้น

หลังจากเลื่อนมาหลายรอบ วันนี้ก็เป็นวันแรกที่ Let's Encrypt บริการออกใบรับรองดิจิตอลสำหรับเว็บที่ให้บริการฟรี เริ่มให้บริการต่อสาธารณะ จากช่วงบริการในวงปิดที่มีโดเมนต่างๆ ใช้งานอยู่ก่อนแล้วกว่า 26,000 โดเมน หลังจากเปิดบริการไม่ถึงวัน ตอนนี้ทางโครงการก็ออกใบรับรองไปแล้วกว่า 36,000 โดเมน

รายชื่อโดเมนที่ออกใบรับรองโดย Let's Encrypt เปิดเผยผ่านกระบวนการ Certificate Transparency โดยโพสอยู่ที่ crt.sh

SEC Consult ที่ปรึกษาด้านความปลอดภัยรายงานผลการวิจัยพบว่าผู้ผลิตอุปกรณ์เครือข่ายจำนวนมากไม่ได้สร้างกุญแจลับสำหรับการเข้ารหัสเว็บและ SSH ขึ้นใหม่ แต่ใช้กุญแจตัวอย่างจากชุดพัฒนาโดยตรงทำให้อุปกรณ์เหล่านี้เสี่ยงต่อการถูกคั่นกลางการเชื่อมต่อ (man-in-the-middle attack)

กุญแจที่ตรวจสอบมีทั้งหมด 580 ชุด มีการใช้ซ้ำกันจำนวนมาก เช่นกุญแจสำหรับเข้ารหัสเว็บประมาณ 150 ชุดมีการใช้ซ้ำในอุปกรณ์ถึง 3.2 ล้านเครื่อง ขณะที่กุญแจ SSH ประมาณ 80 ชุดมีการใช้งาน 0.9 ล้านเครื่อง ตัวอย่างกุญแจจาก Broadcom SDK ถูกใช้งานโดยไม่ได้สร้างกุญแจใหม่ และฝังอยู่ในเฟิร์มแวร์ของ Actiontec, Aztech, Comtrend, Innatech, Linksys, Smart RG, Zhone, และ ZyXEL

ปัญหาโน้ตบุ๊ก Dell แอบติดตั้งใบรับรอง Root CA ยังไม่จบง่ายๆ หลังการค้นพบ Root CA ชื่อ eDellRoot จนเป็นข่าวใหญ่ไปทั่วโลกเมื่อวานนี้ วันนี้มีคนค้นพบว่าแอพอีกตัวของ Dell จะติดตั้งใบรับรองอีกใบด้วยเหมือนกัน

โชคดีว่าแอพตัวนี้ไม่ถูกติดตั้งมากับเครื่อง แต่ถ้าผู้ใช้เข้าเว็บ Dell Support แล้วเลือกให้เว็บตรวจสอบว่าเครื่องที่ใช้เป็นรุ่นอะไร เว็บจะขอให้ผู้ใช้ติดตั้งแอพชื่อ Dell System Detect (DSD) ซึ่งจะมาพร้อมกับใบรับรองชื่อ DSDTestProvider

หลังจากเมื่อวานนี้มีรายงานพบใบรับรอง root CA ที่ชื่อว่า eDellRoot ในคอมพิวเตอร์เดลล์หลายรุ่น และทางโฆษกของเดลล์ออกมาให้สัมภาษณ์นักข่าวบางสำนัก ตอนนี้ทางเดลล์ก็เขียนบล็อกเรื่องนี้เป็นทางการ โดยทางเดลล์ชี้แจงว่าติดตั้งใบรับรองนี้เพื่อส่งค่า service tag กลับไปยังระบบซัพพอร์ตของเดลล์

ทางเดลล์แก้ปัญหาครั้งนี้ด้วยการ ออกเอกสารแนะนำขั้นตอนการถอนใบรับรองออกจากระบบ และสำหรับคนที่ติดตั้ง Dell Updates จะมีอัพเดตใหม่ที่ตรวจสอบ root CA นี้และถอนการติดตั้งให้กับผู้ใช้โดยอัตโนมัติ