พบใบรับรอง TLS 8 รายการเสี่ยงถูกใช้ปลอมเป็นเว็บที่เชื่อถือได้

วงการความปลอดภัยไซเบอร์ทั่วโลกเข้าสู่ภาวะเฝ้าระวังสูง หลังมีการค้นพบใบรับรอง TLS แบบ intermediate จำนวน 8 รายการที่มาพร้อมกุญแจส่วนตัวซึ่งอ่อนแอหรือถูกคอมโพรไมซ์จนมีความเสี่ยงสูงมาก ผู้ที่ครอบครองกุญแจดังกล่าวอาจสามารถออกใบรับรองปลอมที่เบราว์เซอร์และแอปต่าง ๆ มองว่าเชื่อถือได้ ทำให้เปิดช่องให้สร้างความน่าเชื่อถือปลอมให้กับเว็บไซต์แทบทุกแห่งบนอินเทอร์เน็ตได้ในทางทฤษฎี

รายงานระบุว่าใบรับรองทั้ง 8 รายการเป็นของ eMudhra Limited ซึ่งเป็นผู้ให้บริการออกใบรับรองจากอินเดีย และประเด็นนี้ถูกจุดชนวนจากการเผยแพร่ประกาศเชิงไม่เป็นทางการบนโดเมนที่ตั้งขึ้นเพื่อตรวจสอบปัญหา โดยมีข้อความสั้น ๆ ยืนยันว่าผู้รายงานถือครองกุญแจส่วนตัวของใบรับรองหนึ่งรายการอยู่จริง การพิสูจน์ดังกล่าวทำให้ผู้เกี่ยวข้องต้องเร่งดำเนินการ เพราะถ้ากุญแจส่วนตัวอยู่ในมือผู้ไม่หวังดี ก็สามารถใช้ลงนามใบรับรองที่ไม่ได้รับอนุญาตได้ทันที

หลังการเปิดเผย ปรากฏว่าเบราว์เซอร์รายใหญ่ รวมถึงบางแอปและภาษาโปรแกรมมิ่ง ได้เริ่มบล็อก intermediate certificates ทั้งหมดแล้วเพื่อลดความเสี่ยงในฝั่งที่ควบคุมได้เร็วที่สุด อย่างไรก็ตาม การอุดช่องโหว่นี้ไม่ได้จบแค่การอัปเดตในเบราว์เซอร์ เพราะยังต้องใช้เวลามากในการกระจายการยกเลิกหรืออัปเดตไปยังส่วนอื่นของระบบนิเวศอินเทอร์เน็ต เช่น ดิสโทรลินุกซ์ อุปกรณ์ฝังตัว และอุปกรณ์ IoT ที่มักอัปเดตช้าและมีวงจรชีวิตยาว

จนถึงช่วงเช้าของวันอังคาร ยังไม่มีรายงานว่ามีการนำกุญแจที่รั่วไหลไปใช้ในทางอันตรายจาก certificate transparency logs ซึ่งช่วยติดตามใบรับรองที่ออกให้เว็บไซต์ที่เบราว์เซอร์เชื่อถือได้ แต่ผู้เชี่ยวชาญยังไม่วางใจ เพราะแม้ยังไม่พบการใช้งานเชิงโจมตี ก็ไม่ได้แปลว่าความเสี่ยงหมดไป โดยเฉพาะเมื่อโครงสร้างพื้นฐานด้านการยืนยันตัวตนบนเว็บพึ่งพาใบรับรองและห่วงโซ่ความเชื่อถือเป็นวงกว้าง

เหตุการณ์นี้สะท้อนว่าปัญหาในระบบ PKI และการจัดการใบรับรองยังเป็นจุดเปราะบางสำคัญของอินเทอร์เน็ตสมัยใหม่ แม้ผู้ให้บริการหลักจะตอบสนองได้รวดเร็ว แต่การควบคุมผลกระทบให้ครอบคลุมทุกแพลตฟอร์มยังเป็นงานที่ซับซ้อนและกินเวลา ทำให้เหตุการณ์ครั้งนี้ถูกมองว่าเป็นหนึ่งในกรณีด้านความปลอดภัยของใบรับรองที่น่ากังวลที่สุดในช่วงหลัง