ข้อบกพร่องของใบรับรอง eMudhra ทำให้ผู้ให้บริการต่าง ๆ บล็อกใบรับรองและนำใบรับรองหลักออก

ข้อบกพร่องของใบรับรอง eMudhra ทำให้ Google, Mozilla, Apple และ Microsoft บล็อกใบรับรองที่ได้รับผลกระทบระหว่างวันที่ 17 ตุลาคมถึง 20 ตุลาคม 2026 หลังนักวิจัยกู้คืนคีย์ส่วนตัวสำหรับลงนามของใบรับรองระดับกลางได้ 8 ใบ นอกจากนี้ Google ยังประกาศแผนนำใบรับรองหลักของ eMudhra ออกในวงกว้าง โดยคาดว่าจะทยอยเผยแพร่ไปยังอุปกรณ์ที่ใช้ Chrome Root Store ในวันที่ 27 ตุลาคม

ประเด็นสำคัญ

• ใบรับรองระดับกลาง 8 ใบมีคีย์ส่วนตัวที่กู้คืนได้ง่าย โดย 6 ใบใช้รักษาความปลอดภัยเว็บไซต์ และอีก 2 ใบใช้ลงนามโค้ด
• ก่อน Chrome ดำเนินการบล็อก ไม่มีการบันทึกใบรับรอง TLS ที่เชื่อมโยงกับใบรับรองระดับกลาง 6 ใบที่ได้รับผลกระทบไว้ในบันทึกสาธารณะ ทั้งนี้ ยังไม่แน่ชัดว่ามีการเปิดเผยนอกเหนือจากการบังคับใช้ข้อกำหนดด้านความโปร่งใสของใบรับรองหรือไม่
• การนำใบรับรองหลักออกตามแผนของ Chrome อาจทำให้ใบรับรองที่ถูกต้องตามปกติใช้งานไม่ได้ด้วย ผู้ดำเนินการเว็บไซต์ที่ได้รับผลกระทบจึงต้องเปลี่ยนใบรับรอง

สารบัญ

• ข้อบกพร่องของใบรับรอง eMudhra บั่นทอนความน่าเชื่อถืออย่างไร
• การบล็อกฉุกเฉินทำอะไรได้บ้าง—and ไม่ได้ยืนยันอะไร
• การนำใบรับรองหลักออกในวงกว้างทำให้เกิดกำหนดเส้นตายในการเปลี่ยนใบรับรอง
• บทสรุป

ข้อบกพร่องของใบรับรอง eMudhra บั่นทอนความน่าเชื่อถืออย่างไร

คีย์ที่ได้รับผลกระทบของหน่วยงานออกใบรับรองซึ่งตั้งอยู่ในอินเดียถูกสร้างขึ้นเมื่อวันที่ 30 เมษายน 2025 Dennis Jackson วิศวกรของ Mozilla ระบุว่าคีย์ทั้ง 8 ชุดใช้จำนวนเต็มที่มีค่าน้อยกว่า 256 จึงกู้คืนได้แทบจะในทันที แทนที่จะมีความสุ่มตามที่คาดหวังจากคีย์เข้ารหัสที่ปลอดภัย

Mozilla กู้คืนคีย์ได้โดยอิสระเมื่อวันที่ 17 ตุลาคม ซึ่งเป็นการยืนยันผลการค้นพบของนักวิจัย การครอบครองคีย์ลงนาม TLS ที่ได้รับผลกระทบอาจเปิดทางให้ผู้โจมตีปลอมใบรับรองเพื่อสวมรอยเป็นเว็บไซต์ต่อไคลเอนต์ที่ยังคงเชื่อถือหน่วยงานเหล่านั้น

ในคำชี้แจงสาเหตุหลัก eMudhra ระบุว่าปัญหาเกิดจากสคริปต์สร้างคีย์ซึ่งสร้างคู่คีย์อีกชุดที่อ่อนแอกว่าและมีป้ายกำกับคล้ายกัน คู่คีย์ดังกล่าวถูกนำไปใช้กับคำขอลงนามใบรับรองโดยผิดพลาด โดยมีข้อผิดพลาดจากมนุษย์เกิดขึ้นในหลายขั้นตอนของกระบวนการ

การบล็อกฉุกเฉินทำอะไรได้บ้าง—and ไม่ได้ยืนยันอะไร

Chrome บล็อกกุญแจสาธารณะที่ได้รับผลกระทบผ่านกลไก CRLSet เพื่อคุ้มครองผู้ใช้โดยไม่ต้องอัปเดตหรือเริ่มเบราว์เซอร์ใหม่ Firefox ใช้การบล็อกผ่าน OneCRL ในวันเดียวกัน ขณะที่ eMudhra เพิกถอนใบรับรองทั้ง 8 ใบในเวลาต่อมา

Google ระบุว่า ก่อนดำเนินการบล็อก ไม่พบใบรับรอง TLS ที่เชื่อมโยงกับใบรับรองระดับกลาง 6 ใบที่ได้รับผลกระทบในบันทึก Certificate Transparency ดังนั้น Google จึงระบุว่าไม่อาจนำใบรับรองปลอมจากหน่วยงานเหล่านั้นไปโจมตีไคลเอนต์ที่บังคับใช้ข้อกำหนดการบันทึกดังกล่าว ซึ่งรวมถึง Chrome ได้

ข้อค้นพบนี้ไม่ได้ยืนยันว่ามีการนำคีย์ไปใช้ในทางที่ผิดที่อื่นหรือไม่ ซอฟต์แวร์ที่ไม่ใช่เบราว์เซอร์อาจไม่ได้บังคับใช้ Certificate Transparency หรือได้รับการอัปเดตบล็อกที่เทียบเท่ากัน จึงยังไม่ทราบขอบเขตการเปิดเผยก่อนหน้านี้

การนำใบรับรองหลักออกในวงกว้างทำให้เกิดกำหนดเส้นตายในการเปลี่ยนใบรับรอง

ประกาศของ Google เรื่องการคุ้มครองผู้ใช้ Chrome และ Androidยังกล่าวถึงการนำ emSign ECC Root CA – G3 ออกจาก Chrome Root Store ด้วย โดยคาดว่าจะเผยแพร่ในวงกว้างวันที่ 27 ตุลาคม 2026 และจะเปิดให้ใช้งานก่อนหน้านั้นในช่องทางเวอร์ชันก่อนเผยแพร่

มาตรการที่กว้างขึ้นนี้มีความสำคัญ เพราะใบรับรองที่ถูกต้องตามปกติบางส่วนซึ่งเชื่อมโยงกับใบรับรองหลักดังกล่าวจะหยุดทำงานใน Chrome ด้วย Google ระบุว่าผู้ดำเนินการเว็บไซต์ที่ได้รับผลกระทบต้องขอและติดตั้งใบรับรอง TLS ทดแทนจากลำดับชั้นอื่นที่อยู่ใน root store ของบริษัท และ eMudhra ให้คำมั่นว่าจะช่วยผู้ใช้บริการย้ายระบบ

Google ยังระบุด้วยว่ากำลังตรวจสอบว่าควรให้หน่วยงานออกใบรับรองที่เหลือของ eMudhra อยู่ใน Chrome Root Store ต่อไปหรือไม่ การตรวจสอบนี้ยังดำเนินอยู่ ไม่ใช่การนำหน่วยงานของ eMudhra ทั้งหมดออกเสร็จสิ้นแล้ว

บทสรุป

การบล็อกใบรับรองในทันทีช่วยจัดการคีย์ที่อ่อนแอซึ่งเป็นที่ทราบแล้ว แต่การแก้ไขปัญหาในวงกว้างยังอยู่ระหว่างดำเนินการ กำหนดการสำคัญถัดไปคือการทยอยนำใบรับรองหลักออกจาก Chrome ในวันที่ 27 ตุลาคม ซึ่งอาจส่งผลกระทบต่อเว็บไซต์ที่ถูกต้องตามปกติและยังไม่ได้เปลี่ยนใบรับรองที่เชื่อมโยงกับใบรับรองหลักซึ่งจะถูกนำออก

อ่านข่าวเพิ่มเติม

ข่าวเพิ่มเติมจาก FinanceVelix

ข้อจำกัดความรับผิดชอบ

บทความ FinanceVelix นี้ให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางการเงิน การลงทุน กฎหมาย หรือภาษีที่ปรับให้เหมาะกับแต่ละบุคคล ราคาตลาด อัตราดอกเบี้ย และภาวะเศรษฐกิจอาจเปลี่ยนแปลงได้ การลงทุนมีความเสี่ยงที่จะขาดทุน ข้อเท็จจริงสะท้อนข้อมูลที่มีอยู่ ณ เวลาที่เผยแพร่และอาจเปลี่ยนแปลงได้ โปรดตรวจสอบข้อมูลสำคัญด้วยตนเองและปรึกษาผู้เชี่ยวชาญที่มีคุณสมบัติเหมาะสมเมื่อจำเป็น การกล่าวถึงสินทรัพย์ บริษัท หรือบริการใดไม่ถือเป็นการรับรอง