ลาก่อยไมโครซอฟท์ แค่ประเทศเล็กคุณยังยอมแล้วคุณจะมองหน้าบริษัทอื่นๆยังไง?

ปล. VPN โลด

ถามตำเดียว uninstall ตรงไหน

ไม่มีความรู้เรื่องพวกนี้เลย แต่อยากถามว่าจะเลี่ยงยังไงดีครับ อย่าใช้edge?

เปลี่ยนไปใช้โปรดัคของค่ายอื่น ลาก่อย

ยังดี ตอนนี้ Ubuntu เป็นหลัก

คอมโบกับพรบ.คอมฉบับใหม่ด้วยก็สบายล่ะครับทีนี้

ผมลองตามวิธีนี้ ก็ยังไม่เจอนะครับ (Windows 10 64-bit) ใครมีวิธีอื่นหรือเจอบอกด้วยนะครับ

หึ แค่นี้ยังไม่สาแก่ใจอีแม้นอีกรึ

ยังไงโลกออนไลน์ก็ไม่ได้มีความเป็นส่วนตัวอยู่แลัว!~

ถ้าทุกเจ้ายอมรับ ผมจะเลิกใช้ internet

ตั้งแต่ปลายที่ผ่านมา -> ตั้งแต่ปลายปีที่ผ่านมา
หรือเปล่าครับ

อ่าน comment แล้วสงสัยว่าทำไมถึงคิดว่าทาง MS ไม่ควรยอมรับ root CA, เพราะเป็นหน่วยงานรัฐบาล หรือว่าเพราะกฏหมายคอมช่วงนี้
อีกอย่างทาง MS ก็ตรวจสอบว่าได้มาตรฐาน หรือกระบวนการที่ได้มามันไม่ถูกต้องตอนไหนหรอครับ

งง ว่าปัญหาอยู่ตรงไหน -*-

ขอสอบถามครับ
ถ้า A เป็น ca root ผมเข้าใจแบบนี้ถูกรึเปล่าครับ
สมมติผู้ใช้งานจะเข้าเว็บ www.web.com

• A สามารถสร้าง cert ให้เว็บ www.web.com ได้โดย browser จะมองว่าปลอดภัย เช่นเป็นแถบเขียว (issuer คือ ชื่อ ca root)
  ถ้าผู้ใช้งานเข้าเว็บ www.web.com
• traffic อาจถูก redirect ไปหา proxy ตัวนึงที่มี cert สำหรับ www.web.com ที่ A สร้างมา
• proxy forward traffic ไปหา www.web.com แทน ผู้ใช้งาน
• www.web.com ตอบกลับ โดยคิดว่า proxy เป็นคนใช้งานทั่วไป
• proxy สามารถ ดัก / แก้ไข หรือ forward traffic ได้ (แบบไม่เข้ารหัส) และส่งต่อให้ user โดยผู้ใช้จะมองเห็น cert สำหรับ www.web.com ที่ A สร้างมา
• user ก็เข้าเว็บได้ปกติ เห็นแถบเขียวๆ เหมืนอเข้าเว็บจริง แต่ถ้าดู issuer จะเป็น A ไม่ใช่ issuer ที่ของ cert ในเว็บนั้น

** แต่ถ้า user สังเกต cert ก็จะเห็นว่าไม่ใช่ตัวจริง คนก็จะมาใช้ proxy หรือ tor แทน?

ฤา Country Magager อาจจะเป็นขวาจัดก็เป็นได้

อ่าาา หาเจอแล้ว

สงสัยว่าการขอ root CA ครั้งนี้ ใช้ค่าใช้จ่ายเท่าไร

แบบนี้ถึงจะใช้ browser อื่นก็ไม่รอดนะครับ ต้องเอาออกจากเครื่องสถานเดียว

รัฐบาลซื้อไมโครซอฟไปแล้ว ถถถถถถถถถ

trust list โดยพลัน โอ้วววว เผื่อเจอ :)

"ขณะที่ทาง The Verge สอบถามไปยังไมโครซอฟท์อีกทางและได้รับคำตอบเพิ่มเติมคือ NRCA นั้นผ่านการตรวจสอบว่ากระบวนการได้มาตรฐาน และชี้ว่าความกังวลว่า root CA นี้จะถูกนำมาใช้ดักฟังของ Privacy International ไม่ตรงกับกระบวนการทำงานที่ได้รับการตรวจสอบแล้ว"

สรุป หลอนไปเองนะครับ

มีวิธีดูว่า root CA นี้ออกใบรับรองให้โดเมนไหนไปบ้างรึเปล่าครับ

จุดประสงค์คือ การค้าโลก และ logistic
แต่ดันดูแลโดยหน่วยงานที่เคยให้ความเห็นการทำ sniffer

เลยโดนผู้เขียนโยงมาได้พอดี

ป ล browser มี cert pin แล้วนะ รู้กันยัง

สำหรับคนที่ยังงง ว่าทำไมไม่กลัวเอกชนที่เป็น root CA เจ้าอื่นจะดักฟังบ้าง ก็ต้องตอบว่า เพราะเอกชนเจ้าอื่นไม่มีอำนาจบังคับให้คนอื่นใช้ไงครับ นอกจากเจอเวบ phishing ซึ่งก็ง่ายในการตรวจสอบ

แต่ถ้าเป็น root CA ของรบ.เผด็จการที่มีอำนาจเต็มในการบังคับใช้กฎหมาย ก็สามารถที่จะทำ MITM ผ่านnational gateway ได้ง่าย(ก็บังคับมารวมกันก่อนออกนี่)

ยิ่งถ้าดูข่าวเก่าๆ ทุกอย่างมีการ"เตรียมการ"มาหมดแล้ว จึงไม่แปลกที่จะกังวล ว่าการทำ root CA มีความสอดคล้องกับ ข่าวnational gateway และข่าวพรบ.ความมั่นคงทางไซเบอร์
ปลัดไอซีทีเสนอสร้างเกตเวย์แห่งชาติ ช่วยบล็อคเว็บ ป้องกันการโจมตี

จับตาก้าวต่อไป ร่าง พ.ร.บ.ความมั่นคงไซเบอร์ เจ้าหน้าที่เข้าถึงข้อมูลโดยไม่ต้องขอหมายศาล

HTTPS ก็เอาไม่อยู่ Privacy International ชี้ ไมโครซอฟท์รับ root CA ของรัฐบาลไทยตั้งแต่ปลายปีที่แล้ว

ตัวอย่างมีมาแล้ว ไม่ใช่ไม่เคยมี ใครที่ยังคิดว่า ไม่ทำผิดจะกลัวอะไร ก็หวังว่าสักวันคงไม่โดนผลกระทบเองกับตัว จะมาโวยวายทีหลังก็อาจจะไม่ทัน

อิหร่านบล็อค HTTPS ทั้งประเทศ

กูเกิลเตือนใบรับรอง SSL ปลอมถูกรับรองโดย CA สำหรับดักฟังในอียิปต์ รับรองโดย root CA ของจีน

รัฐบาลคาซัคสถานยื่นขอ root CA ใน Mozilla หลังออกนโยบายดักฟังทั้งประเทศ

พวกเบราว์เซอร์ยังไม่น่าห่วงเท่าไหร่นะครับ กดทีสองทีก็เห็นแล้วว่าใบรับรองจากไหน ดีไม่ดีอาจจะมี extension เช็คก็ได้ว่าถ้ามาจาก root นี้นี้นี้ให้ขึ้นสีแดงให้หน่อย น่าห่วงพวกแอปที่ไม่ได้ pin ใบ cert มามากกว่า

ใครช่วยสรุปทีครับ สรุปว่าใช้ Edge กับ Chrome มีสิทธิโดนรัฐบาลดักฟังได้อย่างนั้นใช่ไหมครับ? ใช้ Firefox ปลอดภัย?

อย่างนี้ใช้ Linux ปลอดภัยไหมครับ?

ผมมองว่ามันเป็นการพัฒนาของอินเตอร์เน็ตในบ้านเรามากกว่านะครับ
จะได้ของออก cert จากหน่วยงานในไทยได้บ้าง ไม่ต้องไปขึ้นอยู่กับ cert ที่ออกจากต่างประเทศ

เรื่องโดนดักฟังผมไม่ค่อยกังวลเท่าไหร่ เว็บที่ผมทำบางเว็บก็ใช้ cert ฟรีจากพวก cdn ทั้งหลาย ผมยังคิดเลยว่าทำแบบนี้ไม่มีประโยชน์เลย
เพราะข้อมูลที่ส่งไปมันก็ผ่าน cdn ทั้งหมด ให้เข้ารหัสยังไงก็ไม่มีประโยชน์เพราะถ้าเกิด cdn มันจะดักฟังข้อมูลเราก็ทำได้ง่ายๆเลย เพราะมีคีย์ทั้งหมดแถมข้อมูลก็ผ่านทางนั้นอยู่แล้ว แถมกฎหมายหลายๆประเทศใหญ่ก็เปิดทางให้ดังฟังข้อมูลได้ถ้ามีคำสั่ง

ผมไม่ได้สนับสนุนให้มีการดักฟังข้อมูลนะครับ แต่แค่มองว่าเรื่องนี้มีประโยชน์สำหรับอุตสาหกรรมไอทีบ้านเรา

ใครใช้ Active Directory ถอดออกทั้ง AD เลยได้ไหมนะ

ลองมองอีกมุมนึงครับ ผมไม่ได้เชียร์รัฐบาล 100% ที่ผ่านมาก็วิจารณ์ พรบ.คอม และ Single Gateway มาโดยตลอด ไม่สนับสนุนด้วย แต่มีหลายคนเริ่มบอกว่าอาจมีผลดีเพราะมาจากโครงการนี้ : https://www.etda.or.th/content/thailand-nrca.html ชื่อเหมือน Root CA ดังกล่าวเลย

กระบวนการยื่นเรื่อง เข้า root CA ของ Microsoft เริ่มมาตั้งแต่ปี 2550 แล้วไม่ใช่หรอครับ

เข้ามาอ่านข่าวนี้แล้ว รู้สึกหลอนเหมือนรัฐบาลไม่ไว้วางใจประชาชนจนต้องตั้ง root CA ขึ้นมาเพื่อปลอมใบรับรอง

ถามแบบไม่ทราบเลยนะครับว่า

มีเอกชนไทยเจ้าไหนที่เป็น root CA บ้างครับ? ถ้าไม่มีแล้วทำไมภาคเอกชนไอทีไม่รวมกลุ่มตั้งบริษัท root CA ขึ้นมาให้เป็นตัวเลือก?

เพราะของผมขอ SSL แบบ OV ทีไร ต้องไปจ้างแปลเอกสารแล้วให้ทนายเซ็น พักหลังๆ ดีขึ้นมาหน่อย ทางกรมฯ แปลหนังสือรับรองให้เลยแต่ค่าธรรมเนียมก็แพงอยู่ดี ถ้ามี root CA ประเทศไทยก็น่าจะประหยัดเวลามากขึ้นนะครับ อันนี้เป็นความคิดของผม ขอสงวนสิทธิ์นะครับ

มันซับซ้อนซ่อนเงื่อนมิใช่น้อย ขนาดไล่อ่านคอมเม้นจนเกือบหมดก็ยังหาข้างที่ถูกใจไม่ได้ Root CA Thailand จะเอามีดไปปลอกผลไม้หรือเอาไปไล่แทงคนน้าาาา

เห็นด้วยกับคุณ Hoo ในหลายประเด็นครับ ข่าวชิ้นนี้อ้างอิงแหล่งข่าว 2 ที่ แต่ลองมาดูกันว่ามีสาระสำคัญอะไรหายไปรึเปล่านะครับ

เริ่มจากหัวข้อที่ตั้ง(แปล+ปรุง)ไว้ว่า HTTPS ก็เอาไม่อยู่ Privacy International ชี้ ไมโครซอฟท์รับ root CA ของรัฐบาลไทยตั้งแต่ปลายปีที่แล้ว อันนี้ถ้าคนไม่รู้เรื่องทางเทคนิคลึกๆก็คงจะงงกันว่ามันเกี่ยวอะไรกันกับการที่รัฐบาลมี root CA ที่ผ่านการรับรองแล้วกับการที่ HTTPS จะเอาไม่อยู่ เอาอะไรไม่อยู่ ซึ่งถ้ารู้เรื่องทางเทคนิคลึกๆก็อ๋อ เอาเรื่อง MitM มาโยงกันกับเรื่องไทยมี CA น่ะเอง

ต่อมาประเด็นหลักในเนื้อความซึ่งได้เน้นตัวหนาไว้ คือ ในรายงานระบุถึงประเด็นสำคัญคือตอนนี้ไมโครซอฟท์เป็นผู้ผลิตซอฟต์แวร์หลักรายเดียวที่ยอมรับ root CA ของรัฐบาลไทย ตรงนี้อ่านปุ๊บก็เข้าใจได้ปั๊บว่า ไมโครซอฟท์เป็นผู้ผลิตซอฟต์แวร์หลักรายเดียวที่ยอมรับ root CA ของรัฐบาลไทย (ตามที่เขียน) แต่ มันก็ยังมีนัยยะให้เข้าใจไปได้ด้วยว่า ผู้ผลิตซอฟต์แวร์(หลัก)รายอื่น หรือเบราซ์เซอร์(หลัก)เจ้าอื่นนั้น ไม่ให้การยอมรับ root CA ของรัฐบาลไทยอันนี้ นี่คือจุดสำคัญ เพราะจากการใช้คำพูดแบบที่แปลมานั้นมันทำให้คนอ่านคิดไปได้ว่า ผู้ผลิตซอฟต์แวร์(หลัก)รายอื่นหรือเบราซ์เซอร์(หลัก)เจ้าอื่นนั้น ได้ถูกขอให้ยอมรับ root CA ตัวนี้แล้ว แต่ก็ไม่ได้ให้การยอมรับเหมือนที่ไมโครซอฟท์ให้การยอมรับ และสงสัยต่อไปว่าทำไมไมโครซอฟท์จึงเป็นเจ้าเดียวที่ให้การยอมรับ ทำไมเจ้าอื่นๆไม่มีใครให้การยอมรับ ทั้งๆที่จริงๆแล้วเจ้าอื่นๆนั้นอาจจะยังไม่ได้ถูกขอให้พิจารณายอมรับหรืออาจถูกขอแล้วแต่ยังไม่ได้พิจารณาหรือพิจารณายังไม่เสร็จด้วยซ้ำ

ทีนี้มาดูคำพูดที่ต้นฉบับใน The Verge ซึ่งใช้ว่า

Microsoft is the only major tech company to trust Thailand’s national root certificate by default, report says

ตรงหัวข้อ และใช้คำว่า

Microsoft is the only major web company that automatically trusts the Thai national root certificate. Apple’s Mac OS X does not accept the national root certificate by default, nor do the Chrome or Firefox web browsers.

ตรงด้านในเนื้อหา เทียบกันกับประโยคที่แปลมากันอีกที

ไมโครซอฟท์เป็นผู้ผลิตซอฟต์แวร์หลักรายเดียวที่ยอมรับ root CA ของรัฐบาลไทย

จะเห็นว่าในระหว่างการแปลนั้น มีคำสำคัญหายไป 2 คำ คือคำว่า by default และคำว่า automatically ซึ่งการหายไปของคำเหล่านี้นั้นมันทำให้ความหมายเปลี่ยนไปเยอะเลยทีเดียว เพราะถ้าบอกว่า

ไมโครซอฟท์เป็นผู้ผลิตซอฟต์แวร์หลักรายเดียวที่ยอมรับ root CA ของรัฐบาลไทยโดยดีฟอลต์

หรือบอกว่า

ไมโครซอฟท์เป็นผู้ผลิตซอฟต์แวร์หลักรายเดียวที่ยอมรับ root CA ของรัฐบาลไทยโดยอัตโนมัติ

ก็จะยังเข้าใจได้ว่าอาจยังมีเจ้าอื่นที่ยังยอมรับ root CA ของรัฐบาลไทยอยู่ เพียงแค่อาจไม่ได้ยอมรับโดยอัตโนมัติเท่านั้น ซึ่งแตกต่างจากการเข้าใจไปว่าไม่ยอมรับเลย เพราะการไม่ยอมรับเลยนั้นหมายถึงการตรวจสอบแล้วแล้วไม่ยอมรับ แต่นี่ได้มีการตรวจสอบไปหรือยังก็ไม่รู้ เผลอๆอาจยังไม่ทันได้ยื่นเรื่องขอให้ตรวจสอบเลยด้วยซ้ำ

สำหรับการใช้คำว่า ... that automatically trusts ... ของต้นฉบับ The Verge นั้น ผมไม่แน่ใจว่าหมายถึงอะไร เพราะการที่ CA cert จะถูก trust ได้นั้นมันไม่ใช่อะไรที่มัน automatic ครับ มันต้องผ่านขั้นตอนต่างๆมากมาย และหลังจากผ่านขั้นตอนต่างๆทั้งหลายแล้วสุดท้ายมันต้องมีการ push โดยไมโครซอฟท์ให้เข้ามาใน Windows Certificate Store ของ Windows แต่ละเครื่อง ไม่ใช่ว่า automatic แล้วใครจะทำ root CA ขึ้นมาก็ได้แล้วเอาไปวางที่ไหนให้มัน automatic เข้ามาอยู่ใน Windows ได้เองโดยอัตโนมัตินะครับ

และถ้าจะว่าไปแล้ว คำว่า trust ใน context ของ Certificate Store นั้น ส่วนตัวแล้วมองว่าใช้คำว่ารับรองน่าจะเหมาะสมกว่าคำว่ายอมรับครับ เพราะมันหมายถึงการได้รับรอง CA เจ้านี้และยอมให้ cert ใบนี้ของ CA เจ้านี้นั้นได้เข้าไปอยู่ใน Certificate Store ในสถานะ trust แล้ว แต่เอาเถอะ ยอมรับก็ยอมรับ

ทีนี้มาถึงเรื่องของการมโน เอ๊ยการหลอน เอ๊ยการกลัวกันว่ารัฐบาลไทยจะขอ root CA มาเพื่อการดักฟังประชาชนนั้น ความเห็นส่วนตัวผมเห็นด้วยกับคุณ Hoo และอีก 2-3 ท่านด้านบนว่าไม่จำเป็นที่เราจะต้องตื่นตระหนกกันเกินไปนัก ลองคิดดูว่ากว่าจะได้ root CA ตัวนี้มาอยู่ใน Windows Certificate Store ได้สำเร็จนั้น NRCA, ETDA และทุกฝ่ายที่เกี่ยวข้องต้องผ่านอะไรกันมาบ้าง ต้องเจอการ audit กันไปกี่รอบต่อกี่รอบ และต้องใช้เวลาถึงกี่ปีนับจากเริ่มต้นโครงการนี้จนมาสำเร็จลงได้ ส่วนตัวผมอยากจะชื่นชมและให้กำลังใจทุกฝ่ายที่ผลักดันโครงการนี้จนสำเร็จ ทำให้เรามี National Root CA เข้าไปอยู่อย่างน้อยตอนนี้ก็ใน Windows ได้ ไม่น้อยหน้าชาติอื่น ผมว่าพวกเราน่าจะภูมิใจกันนะครับ และน่าจะรู้จักมองในแง่ดีกันบ้าง ประโยชน์ของมันก็มีเยอะนี่ครับ ต่อไปนี้เรามี CA เป็นของตัวเองไม่ต้องจ่ายเงินให้ CA ต่างชาติ อย่างน้อยถึงแม้ตอนนี้ซึ่งยังอยู่ในช่วงเริ่มต้นซึ่งคนส่วนใหญ่ยังไม่ให้ความเชื่อถือกับ CA น้องใหม่รายนี้ แต่ผมคิดว่าจะเกิดประโยชน์อย่างมหาศาลกับวงราชการครับ โดยเฉพาะเว็บไซต์ของทางราชการนั้นน่าจะได้เริ่มยกระดับมาตรฐานความปลอดภัยกันขึ้นมาด้วย root CA ของเราตัวนี้ในเร็วๆวันนี้แน่นอนครับ ทำให้เราเข้าเว็บไซต์ราชการทั้งหลายกันได้อย่างปลอดภัยขึ้น อย่ากลัวกันแค่ว่ารัฐบาลจะมาแฮ็กเราเวลาเราเข้า Facebook เข้า Twitter สิครับ เราไม่กลัวพวกเรากันเองมาแฮ็กเอาข้อมูลเราเวลาเราเข้าเว็บราชการที่ยังไม่ปลอดภัยกันเหรอครับ เราไม่อยากให้เว็บราชการของเรามีความปลอดภัยมากขึ้นกันเหรอครับ อย่าลืมว่างบประมาณที่อาจต้องจ่ายให้ CA นอกหากเราไม่มี root CA ของเราเองมันก็คือภาษีของพวกเรากันทั้งนั้นนะครับ ส่วนเว็บราชการที่สำคัญๆจริงๆที่อาจใช้ EV อย่าง BoT อาจจะบอกว่าเราใช้ EV แต่ NRCA ยังไม่มี intermediate CA ที่เป็น EV ก็จะขอใช้ของนอกไปก่อนก็คงไม่มีใครว่า แต่ผมเชื่อว่า 90%+ น่าจะเริ่มใช้ Thai Digital ID CA G2 กันได้เลย และในอนาคต NRCA อาจพัฒนาไปอีกขั้นด้วยการผลักดันให้มี intermediate CA ที่เป็น EV ได้สำเร็จ ก็ขอเอาใจช่วยนะครับ

หากหลายคนยังกลัวเรื่องการที่รัฐบาลจะทำ MitM โดยใช้ root CA ตัวนี้เป็นเครื่องมือนั้น ลองคิดดูครับว่ามันจะคุ้มกันมั๊ยกับการที่จะทำแล้วจะต้องถูกลงโทษโดยเบราซ์เซอร์แบบที่ WoSign ของรัฐบาลจีนโดน ต้องแยกให้ออกนะครับระหว่าง NRCA กับรัฐบาล รัฐบาลทหารที่เป็นที่ชื่นชอบของหลายๆคนและก็เป็นที่รังเกียจของหลายๆคนอาจสามารถสั่งการ NRCA ได้ก็จริง แต่ลองมาดูว่า 1. NRCA จะยอมทำในสิ่งที่หลายคนกำลังกลัวกันหรือไม่ 2. ทำแล้วต้องเจอกับอะไร สิ่งที่ได้ลงทุนลงแรงไปตั้งหลายปีอย่าง root CA ตัวนี้จะตกอยู่ในสถานการณ์ใด จะเจอแบบที่ WoSign เจอหรือไม่ 3. จะเกิดอะไรขึ้นกับใบ cert ทั้งหลายที่ได้ออกไปแล้วและเซ็นรับรองขึ้นมาถึง root CA ตัวนี้ 4. จะเกิดอะไรขึ้นกับความเชื่อมั่นที่ทุกคนทุกฝ่ายกำลังจะมีให้ CA น้องใหม่รายนี้ของเรา ฯลฯ ส่วนตัวผมมองว่าไม่คุ้มกันแน่นอนครับ และผมไม่คิดว่าทาง NRCA จะยอมทำ เขาไม่ใช่ไม่รู้ว่ามันเสี่ยงแค่ไหน

สำหรับคนที่กลัวนั้น วิธีป้องกันการทำ MitM นั้นมีครับ คือการทำ HTTP Public Key Pinning หรือ HPKP ครับ ผมแนะนำให้ท่านลองดูว่าเว็บที่ท่านชื่นชอบนั้นได้ทำ HPKP ไว้หรือยัง ถ้ายังก็ขอแนะนำว่าให้ท่านแจ้งไปยังเว็บเหล่านั้นว่าขอให้ทำหน่อยและรีบๆทำด้วย เพราะท่านกลัวว่ารัฐบาลท่านซึ่งตอนนี้ armed with a national root CA จะใช้ National Root CA นี้มาดักฟังการสื่อสารการสนทนาของท่านกับทางเว็บไซต์ต่างๆที่ท่านเข้า ซึ่งเมื่อทำ HPKP แล้วก็จะทำให้เข้าเว็บไซต์ไม่ได้ถ้าเจอ cert ที่ไม่ได้ pin เอาไว้หรือ cert ที่ออกโดย CA ที่ไม่ได้ pin เอาไว้ถูกใช้อยู่ที่เว็บไซต์นั้นๆ ซึ่งจะเป็นวิธีป้องกันที่ชงัดนัก(แล)

สำหรับ NRCA นั้น ผมขอแนะนำให้รีบทำ HTTPS ให้เว็บไซต์ของท่าน www.nrca.go.th โดยด่วนครับ ตัวท่านเองเป็น CA แต่ไม่รองรับ HTTPS มันดูไม่น่าเชื่อถือเอาซะเลยนะครับ ผมก็ไม่รู้ว่าท่านผ่าน audit WebTrust มาได้ยังไง ถ้ายังใช้ intermediate CA ของตัวเอง sign ไม่ได้ก็แนะนำให้ขอของนอกใช้ไปก่อนเถอะครับ มันไม่ใช่เรื่องน่าอายหรอกครับ ไม่มี HTTPS เลยสิน่าอายยิ่งกว่า ระบบ PKI นั้นเป็นเรื่องของความเชื่อมั่นครับ ถ้าท่านเป็น CA แล้วไม่ทำตัวให้มันน่าเชื่อถือให้เป็นตัวอย่างแล้วจะมีใครมาเชื่อมั่นท่านมาใช้บริการของท่านล่ะครับ จะมีใครกล้าให้ความไว้วางใจท่านว่าท่านจะไม่ใช่ DigiNotar 2 ในวันข้างหน้า อย่าลืมว่า DigiNotar นั้นโดนแฮ็กผ่านเข้าไปทางเว็บเซิร์ฟเวอร์บริษัทนี่แหละครับ และสุดท้ายก็ต้องล้มละลายในที่สุด

สำหรับ Th@i Digital ID ซึ่งผมเดาว่าน่าจะเป็น commercial arm ของ NRCA นั้น ผมขอแนะนำให้รีบ tighten up your security โดยด่วนครับ เว็บไซต์ www.thaidigitalid.com ของท่านนั้นช่องโหว่เพียบครับ มีโอกาสที่จะโดนแฮกเกอร์ถล่มได้สูง as we speak ครับ ทั้ง DROWN ทั้ง POODLE ทั้ง CRIME ทั้ง weak Diffie-Hellman (DH) key exchange parameters ทั้ง RC4 ทั้ง ไม่มี Forward Secrecy ทั้ง certificate chain incomplete ครับ มี HTTPS มี cert แล้ว แต่ช่องโหว่ยังไม่อุดกัน จะ HTTPS จะ cert ก็ช่วยไม่ได้นะครับ ช่วยทำอะไรให้มันได้มาตรฐานกันหน่อยครับ ท่านมีเวลาเตรียมตัวตั้งกี่ปีครับกว่าจะถึงวันนี้ ท่านไม่ได้มีหรือสร้างให้มีบุคลากรที่เชี่ยวชาญทางด้านนี้เลยเหรอครับ ดู CA นอกเป็นตัวอย่างก็ได้ครับ ว่าเขาทำกันยังไง ส่วนตัวผมแนะนำให้ดูของ Comodo เป็นอย่างน้อยครับ

การมี root CA ของประเทศไทยเราเองเป็นสิ่งที่ดีและน่าสนับสนุน แต่ปัญหาที่แท้จริงผมคิดว่า มันเกิดจากเราไม่เชื่อมั่นในรัฐบาลของประเทศไทยเราในปัจุบันมากกว่า เลยส่งผลกระทบโดนมาถึงหน่วยงาน NRCA ที่เรากังวลว่ารัฐบาลอาจใช้อำนาจควบคุมได้ง่าย ทำให้ขาดความน่าเชื่อถือไปด้วย

ผมก็ยังแปลกใจที่หลายคน"ไว้วางใจ"รบ.ทหารมาก จนมาบอกว่าคนอื่น"กังวล"จนเกินไป เอาเถอะ มุมมองความชอบทางการเมืองเป็นเรื่องปัจเจก แต่ไม่ได้หมายความว่าจะปฎิเสธตัวอย่างที่เคยเกิดขึ้นจริงไปแล้ว ว่าไม่มีแนวโน้มที่จะเกิดอีก

จำปีก่อนที่มีความพยายามblock FB ทั้งเวบไม่ได้หรือ?

อย่าบอกนะว่าวิศวกรชาวตปท. โกหกสื่อตปท.เพื่อโจมตีรบ.ทหารกันเล่นๆ?

เอกสารราชการก็หลุดมาเรื่อยๆ ว่ามีความพยายามจะจัดซื้อเครื่องมือบางอย่าง รวมไปถึงดราม่าปลัดกระทรวงที่รุนแรงจนต้องลาออกกันไป มันไม่ใช่ว่า"กังวลไปเอง" แต่มันมีclue มากมายและควรเป็นสิ่งที่นำมาอภิปรายกัน...

หน่วยงานที่เคยระบุถึงความจำเป็นในการดักฟังว่าเป็นการป้องกันการแฮกล่วงหน้า

ดูแล้วน่าจะเป็นการใช้ข้อความที่บิดเบือน ผมได้วิเคราะห์ไว้แล้วที่ข่าวต้นทางที่อ้างถึง

ถ้าจะเขียนข่าวให้เป็นกลาง ตรงนี้ต้องใช้ประมาณว่า

หน่วยงานที่เคยระบุถึงความจำเป็นในการมอนิเตอร์ทราฟฟิกว่าเป็นการป้องกันการถูกโจมตีในระดับประเทศเอาไว้ล่วงหน้า

ซึ่งถ้าไปดูเอกสารต้นทางคือรายงานที่เผยแพร่โดย Privacy International thailand_2017_0.pdf ดีๆ ก็จะพบว่า ในส่วนที่มีการพูดถึงปัญหาที่อาจเกิดจากความเป็นไปได้ในการดักฟังนั้น ได้มีการพูดถึงแนวทางในการป้องกันเอาไว้ด้วย ว่า

Server side techniques to mitigate against this threat have also been developed, such as OCSP stapling, HTTPS Strict Transport Security HSTS and Certificate Pinning to name a few.

แต่ก็เป็นที่น่าสังเกตว่า ตรงแนวทางในการป้องกันที่ว่านั้นดูเหมือนจะไม่ได้ถูกให้ความสำคัญซักเท่าไหร่ ถูกพูดถึงอยู่แค่ 2 บรรทัดเท่านั้น โดยไม่มีการอ้างอิงข้อมูลใดๆข้างนอกเลยแม้แต่น้อย ทั้งๆที่ตรงจุดอื่นๆ ก็มีการอ้างแหล่งอ้างอิงอยู่บ่อยๆ ซึ่งก็คงเป็นอะไรที่พอเข้าใจได้ เพราะถ้าทุกคนรู้ว่ามีแนวทางในการป้องกันนี้ ปัญหานี้ก็จะไม่ใช่ปัญหาที่จะต้องมาพูดถึงกันในระดับที่ทำให้ทุกคนต้องแตกตื่นกับแบบนี้ทันที และก็ดูเหมือนว่าทั้ง Blognone ทั้ง The Verge ทั้ง BBC ต่างก็เลือกที่จะมองข้ามตรงนี้ไป โดยไม่มีการหยิบยกขึ้นมาพูดถึงเลย สาเหตุเป็นเพราะอะไรนั้นท่านผู้อ่านคงต้องลองไปคิดกันดูเอาเอง

ซึ่งการป้องกันไม่ให้เกิดปัญหานี้นั้นทำได้ง่ายมาก ถ้าเป็นกรณีของเว็บ (HTTP/HTTPS) ก็คือการใช้วิธี HTTP Public Key Pinning หรือ HPKP (ซึ่งในรายงานใช้คำผิดว่า Certificate Pinning ซึ่งเป็นคนละอย่างกันกับ Public Key Pinning) เมื่อทำตรงนี้แล้ว หากเว็บไซต์ที่เราเคยเข้า (หลังได้เริ่มทำ HPKP) มีใบ cert ที่มี public key ที่เปลี่ยนไปจากของเดิม (เช่นรัฐบาลออก cert ปลอมโดยใช้ root cert ของตัวเองที่ได้รับการยอมรับโดยเบราว์เซอร์แล้วมาเพื่อใช้เป็นเครื่องมือในการดักฟังระหว่างเซิร์ฟเวอร์กับยูซเซอร์อย่างที่กลัวๆกัน) ก็จะทำให้เว็บดังกล่าวเข้าไม่ได้ทันที พร้อมคำแจ้งเตือนอย่างชัดเจนว่าน่าจะเกิดการทำ MitM attack ขึ้นแล้ว ทุกคนก็จะรู้กันในทันที ทีนี้จะโพทะนาหรือจะประจานอะไรก็ทำกันได้เลย และจากจุดนี้นี่เองที่ทำให้ผมเชื่อ (เป็นการส่วนตัว) ว่า รัฐบาลไม่กล้าทำแน่ๆ เพราะมันจะได้ไม่คุ้มเสีย โดยเฉพาะ NRCA ซึ่งต้องใช้เวลากว่าเกือบ 10 ปีให้ได้ root cert ตัวนี้มา ยิ่งไม่น่าจะกล้าเอาตรงนี้มาเสี่ยง