eMudhra ถอนตัวจากธุรกิจ TLS หลังวิกฤตใบรับรองรั่วไหล

eMudhra บริษัทผู้ให้บริการออกใบรับรองดิจิทัลจากอินเดีย ประกาศจะยุติการทำธุรกิจใบรับรอง TLS ระดับโลก หลังถูกวิจารณ์อย่างหนักจากเหตุด้านความปลอดภัยที่ทำให้ชื่อเสียงเสียหายอย่างมาก โดยก่อนหน้านี้บริษัทเป็นผู้ออก intermediate TLS credentials จำนวน 8 รายการที่อ่อนแอผิดปกติ จนมีรายงานว่าบุคคลภายนอกสามารถสร้างใบรับรองสำหรับเว็บไซต์หรือเซิร์ฟเวอร์อีเมลใดๆ ได้เอง และหนึ่งในคีย์ส่วนตัวนั้นมีค่าต่ำจนเหลือเชื่อเพียง 4

กรณีดังกล่าวกลายเป็นประเด็นใหญ่ในวงการความปลอดภัยไซเบอร์ เพราะเกี่ยวข้องกับความน่าเชื่อถือของระบบ PKI ที่ใช้ยืนยันตัวตนเว็บไซต์และการสื่อสารเข้ารหัสบนอินเทอร์เน็ต เมื่อหน่วยงานออกใบรับรองทำผิดพลาดในระดับพื้นฐาน ความเสียหายไม่ได้จำกัดแค่ผู้ให้บริการรายนั้น แต่กระทบความเชื่อมั่นของระบบทั้งหมดที่ผู้ใช้และองค์กรพึ่งพาอยู่ทุกวัน

ประธานของ eMudhra ระบุว่าการทำธุรกิจ TLS มีต้นทุนด้านการปฏิบัติตามข้อกำหนดที่เพิ่มสูงขึ้นและซับซ้อนมากขึ้น ขณะที่ธุรกิจส่วนนี้สร้างรายได้เพียงประมาณ 1% ของบริษัทเท่านั้น จึงไม่คุ้มต่อการลงทุนเมื่อเทียบกับผลิตภัณฑ์และบริการด้านอื่นที่บริษัทมีอยู่ นอกจากนี้ยังชี้ว่าการมีผู้ให้บริการใบรับรองฟรีในตลาดยิ่งทำให้ผลตอบแทนจากธุรกิจ TLS ลดลงไปอีก

อย่างไรก็ดี บริษัทก็ยอมรับโดยนัยว่าแรงกดดันจากกระแสสังคมและสื่อได้ทำให้เรื่องนี้ถูกจับตามองมากกว่าผลกระทบทางธุรกิจโดยตรง eMudhra ระบุว่า หลังจากพิจารณาอย่างรอบคอบ คณะกรรมการบริษัทเห็นว่าการถอนตัวจากตลาด SSL/TLS ทั่วโลกเป็นทางเลือกที่เหมาะสมต่อบริษัทและผู้ถือหุ้น

การตัดสินใจครั้งนี้สะท้อนทั้งแรงกดดันด้านชื่อเสียงและภาระการกำกับดูแลที่หนักขึ้นสำหรับผู้ให้บริการใบรับรองความปลอดภัย ในเชิงอุตสาหกรรม เหตุการณ์นี้ยังเป็นตัวอย่างของความเสี่ยงเมื่อโครงสร้างพื้นฐานด้านความปลอดภัยผิดพลาด และตอกย้ำว่ามาตรฐานความรัดกุมของ CA ยังคงเป็นเรื่องสำคัญต่อความปลอดภัยของเว็บและอีเมลทั่วโลก