บริษัท Comodo ผู้ให้บริการด้านความปลอดภัย และเป็นผู้ให้บริการรับรองตัวตน (certificate) สำหรับการเข้ารหัสแบบ SSL ได้แจ้งข่าวว่าบริษัทได้ออกใบรับรองแก่ผู้ไม่หวังดีไปจำนวน 9 ใบ ทำให้ผู้ใช้อาจถูกหลอกลวงให้เข้าเว็บปลอมได้

ระบบการเข้ารหัสแบบ SSL ต้องการใบรับรองตัวตนที่ได้รับการรับรองจากหน่วยงานที่เชื่อถือได้ (Trusted Root Certification Authorities) ไม่เช่นนั้นเบราเซอร์จะแจ้งเตือนผู้ใช้เมื่อผู้ใช้พยายามเข้าเว็บที่มีการเข้ารหัสแบบ SSL ว่าใบรับรองตัวตนของเว็บนั้นไม่ถูกต้อง โดยระบบปฎิบัติการต่างๆ จะมีรายชื่อของหน่วยงานให้บริการรับรองที่เชื่อถือได้แตกต่างกันไป

แต่ความผิดพลาดนี้เกิดขึ้นเมื่อทาง Comodo ซึ่งเป็นหน่วยงานที่ได้รับการเชื่อถือในวินโดวส์ทุกรุ่น ได้ออกใบรับรองโดยไม่ตรวจสอบข้อมูลของผู้ยื่นขอใบรับรองให้ครบถ้วน ทำให้มีใบรับรองของเว็บดังเช่น login.live.com, mail.google.com, login.yahoo.com, login.skype.com, และ addons.mozilla.org หลุดออกมา

หากแฮกเกอร์นำใบรับรองเหล่านี้ไปใช้งาน จะทำให้พวกเขาสามารถปลอมแปลงหน้าเว็บ และหลอกผู้ใช้ว่าเป็นเว็บจริงได้โดยเบราเซอร์ไม่เตือนอันตรายใดๆ และยังยืนยันกับผู้ใช้ว่าข้อมูลได้รับการเข้ารหัสอย่างถูกต้อง

วิธีการแก้ไขคือการอัพเดตรายการยกเลิกใบรับรอง (Certificate Revocation List - CRL) ในทันที เพื่อให้เบราเซอร์แจ้งเดือนเมื่อมีการเข้าใช้เว็บที่ถูกปลอมแปลงใบรับรองเหล่านี้

ผู้ใช้ฝั่งวินโดวส์คงไม่ต้องทำอะไรนอกจากรอวินโดว์อัพเดตรายการเหล่านี้โดยเร็ว โดยรายงานล่าสุดเว็บ login.yahoo.com นั้นเริ่มถูกโจมตีเป็นเว็บแรกแล้ว

ที่มา - Microsoft, Comodo