By: lew 
on 25 March 2017 - 16:46
Tags:
ประเด็นความขัดแย้งระหว่างกูเกิลและไซแมนเทค ที่กูเกิลระบุว่าไซแมนเทคออกใบรับรองผิดพลาดจำนวนมาก ตอนนี้ยังไม่แน่ชัดว่ากูเกิลจะตัดสินใจแบนไซแมนเทคจากการออกใบรับรองแบบ Extended Validation (EV) เมื่อใด
ใบรับรอง EV ช่วยยืนยันตัวหน่วยงานว่าเป็นองค์กรที่มีตัวตนอยู่จริง ดำเนินการในประเทศที่ระบุจริง เบราว์เซอร์จะช่วยแสดงผล green bar ด้วยการแสดงชื่อองค์กรพร้อมกับประเทศที่องค์กรเหล่านั้นตั้งอยู่ ทำให้กระบวนการหลอกผู้ใช้ (phishing) ลดความเสี่ยงลง
ธนาคารในไทยเองใช้ใบรับรองจากไซแมนเทคเป็นจำนวนมาก จนเรียกได้ว่าเกือบทั้งหมด ยกเว้นเพียง ทหารไทย, ไทยพาณิชย์, และธนชาต
สองวันมานี้ผมเข้าเว็บธนาคารไทยหลายแห่งและพบเรื่องแปลกใจคือธนาคารหลายแห่งไม่ขึ้น green bar บนโครมสำหรับใบรับรอง EV ทั้งที่ตัวใบรับรองเป็นแบบ EV แล้ว และเมื่อใช้ไฟร์ฟอกซ์ก็กลับขึ้น green bar กันถูกต้อง
กระทู้นี้จึงขอถามผู้ใช้ Blognone ทุกท่าน ว่าธนาคารออนไลน์ที่ใช้อยู่ (ไม่ใช่เว็บธนาคาร เฉพาะหน้าเว็บที่ล็อกอินทำธุรกรรม) ตัว URL แสดง green bar กันถูกต้องหรือไม่ โดยการรายงานควรมีข้อมูลดังนี้
- URL ที่เข้าเว็บ เช่น
https://pib.uobthailand.com/PIBLogin/appmanager/Login/Public?lang=en_TH,https://online.kasikornbankgroup.com/K-Online/ib/login_en.jspเป็นต้น - เบราว์เซอร์ที่ใช้ ระบุรุ่นที่ชัดเจน เช่น Google Chrome 57.0.2987.98 beta (64-bit)
- ระบบปฎิบัติการ เช่น OS X 10.2, Ubuntu 16.04
- ผลการแสดง green bar
ตัวอย่างรายงาน
- https://online.kasikornbankgroup.com/K-Online/ib/login_en.jsp
- Google Chrome 57.0.2987.98 beta (64-bit)
- Ubuntu 16.04 64bit
- ไม่แสดง green bar
ชุดที่ 2
- https://online.kasikornbankgroup.com/K-Online/ib/login_en.jsp
- Firefox 52.0.1 (64-bit)
- Ubuntu 16.04 64bit
- แสดง green bar
Get latest news from Blognone
Follow @twitterapi
Comments
ทุกธนาคารผมเป็นแถบเขียวหมดครับ
Google Chrome 57.0.2987.110 (64-bit)
windows 7 64bit
ถ้าขึ้นแบบกสิกรในรูปตัวอย่างในข่าว อันนั้นเรียกไม่แสดงกรีนบาร์นะครับ (เผื่อเข้าใจผิด แต่เห็นบางคนยังเห็นปกติอยู่)
1.https://ibanking.bangkokbank.com/SignOn.aspx
2.Google Chrome 56.0.2924.87 (64-bit)
3.Windows 10 Pro 64Bit (Build 14393.953)
4.แสดง green bar
1.https://ibanking.bangkokbank.com/SignOn.aspx
2.Google Chrome 57.0.2987.110 (64-bit)
3.Windows 10 Pro 64Bit (Build 14393.953)
4.ไม่แสดง green bar
กดอัพ chrome ปุ๊ป เป็นเหมือนกันเลย ^^! ไม่แสดงแถบเขียวละ
เหมือนกันครับ ตอนแรกเห็น
พออัพเดทเป็นเวอร์ชั่นล่าสุด ไม่เห็นแล้วครับ
1.https://online.kasikornbankgroup.com/K-Online/
2.Google Chrome 57.0.2987.110
3.Windows 10 Pro 64B
4.แสดง green bar
oxygen2.me, panithi's blog
Device: ThinkPad T480s, iPad Pro, iPhone 11 Pro Max, Pixel 6
Mekokung's Story บล็อกส่วนตัวที่ย้ายไป Blogger แล้วนะ
1.https://www.ktbnetbank.com/consumer/
2.Google Chrome Version 57.0.2987.110 (64-bit)
3.Windows 10 Pro 1607 Build 14393.969
4.แสดง Greenbar
1.https://www.ktbnetbank.com/consumer/
2.Opera 44.0.2510.857 (PGO) (32-bit)
3.Windows 10 Pro 1607 Build 14393.969
4.แสดง Greenbar
1.https://online.kasikornbankgroup.com/K-Online/
2.Google Chrome Version 57.0.2987.110 (64-bit)
3.Windows 10 Pro 1607 Build 14393.969
4.ไม่แสดง Greenbar
1.https://online.kasikornbankgroup.com/K-Online/
2.Opera 44.0.2510.857 (PGO) (32-bit)
3.Windows 10 Pro 1607 Build 14393.969
4.ไม่แสดง Greenbar
Chrome,Safari iOS ก็ไม่ขึ้น ก็ว่าอยู่แปลกๆ
1 https://secure.mebytmb.com/efs/servlet/efs/th_TH/jsp-ns/login.jsp
2 Google Chrome 57.0.2987.110 (64-bit)
3 Windows 10 Pro 1607 Build 14393.353
4 แสดง Greenbar
1 https://online.kasikornbankgroup.com/K-Online/login.jsp
2 Google Chrome 57.0.2987.110 (64-bit)
3 Windows 10 Pro 1607 Build 14393.353
4 ไม่แสดง Greenbar
1 https://online.kasikornbankgroup.com/K-Online/indexHome.jsp
2 Google Chrome 57.0.2987.110 (64-bit)
3 Windows 10 Pro 1607 Build 14393.353
4 ไม่แสดง Greenbar
1 https://www.scbeasy.com/v1.4/site/presignon/index.asp
2 Google Chrome 57.0.2987.110 (64-bit)
3 Windows 10 Pro 1607 Build 14393.353
4. แสดง Greenbar
もういい
ถ้าเกิดว่า Chrome ไม่แสดง EV จริงๆ Symantec จะต้องรับผิดชอบอย่างไรกับลูกค้าบ้างครับ
ผมมองว่าเคสนี้ Google เป็น Internet Troll ครับ Symantec ก็แค่โดนสงครามประสาทเล่นไปก็เท่านั้น
อย่าว่าแต่ค่ายนี้เลย Geotrust ที่เป็น root ให้ Google ยังโดนเลยครับ (ด่าว่าไอ้เณรคุณสักพันรอบก็ยังไม่สาแก่ใจเลย)
ผมอยากเห็นรายชื่อใบรับรอง 30,000 ใบที่กูเกิลระบุก่อนครับ เพราะแถลงล่าสุด Symantec บอกว่ามี 127 ใบ
ถ้านาทีนี้แล้วมี 30,000 ใบจริงๆ แล้วยังไม่ยอมรับผมว่าก็ร้ายแรงจริงๆ
lewcpe.com, @wasonliw
จากที่ลองอ่านดูใน blink-dev เจอข้อมูลเพิ่มเติมใน https://bugzilla.mozilla.org/show_bug.cgi?id=1334377 ครับ
แปลว่า Symantec ที่ทำตัว untrustworthy มาหลายปีจนคนจับได้ ไม่สมควรโดนหรือครับ?
โดยส่วนตัวผมไม่ติดใจเลยว่าจะสามหมื่นใบหรือร้อยกว่าใบ แต่การที่กระบวนการมีปัญหา Symantec รู้ แต่ไม่แจ้งไม่แก้ไขตลอดหลายปีที่ผ่านมา untrustworthy => untrustable => semi-ban ก็ถูกต้องแล้วนี่ครับ? การที่ Symantec บอกว่าจะทำให้(ลูกค้าตัวเอง)มีปัญหา ก็เป็นปัญหาของ Symantec เอง กลับกัน Google ก็ต้องทำให้ลูกค้าของตนเองปลอดภัยด้วย(Chrome)
เราๆ(ที่อาจจะต้องทำ cert กันใหม่)แทนที่จะด่า Google ไปด่า Symantec ดีกว่าไหมครับ?
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
เผื่อไม่มีใครเป็นลูกค้าธนาคารเกียรตินาคิน
1.https://ebanking.kiatnakin.co.th/landingpage/rib/personal_th.html
2.Chrome 57.0.2987.110 (64-bit)
3.Linux Mint 18 (Sarah)
4.แสดง green bar
1.https://ebanking.kiatnakin.co.th/landingpage/rib/personal_th.html
2.Firefox 52.0.1 (64-bit)
3.Linux Mint 18 (Sarah)
4.แสดง green bar
RX78-2
สัปดาห์ที่ผ่านมาผมงงมากว่าทำไม Kbank ไม่แสดง EV บน Chrome แต่เกียรตินาคินกลับแสดงทั้งที่ออกโดย "Symantec Class 3 EV SSL CA - G3" เหมือนกัน
ไปไล่ดูถึงรูปว่าทั้งสองที่ใส่ cert chain มาต่างกัน
ของเกียรตินาคินใช้ใบบนสุดเป็น "VeriSign Class 3 Public Primary Certification Authority - G5" มี Issuer เป็น "C=US, O=VeriSign, Inc., OU=Class 3 Public Primary Certification Authority" (หน้าดาวน์โหลดของ Symantec)
ส่วนของกสิกรใช้ "VeriSign Class 3 Public Primary Certification Authority - G5" แบบ self-signed (หน้าดาวน์โหลดของ Symantec)
ทั้งสองใบมี public-key เดียวกัน "00:af:24:08:08:29:7a:35:9e:60:0c:aa:e7:4b:3b......" แต่คนละ serial
ส่วนกรุงเทพใส่มาแค่ลำดับแรก "Symantec Class 3 EV SSL CA - G3" ผลเลยเหมือนกับกสิกร เพราะใน cert store ของลินุกซ์ใส่ใบเดียวกันกับของกสิกร (self-signed) ไว้
หลายคนบอกว่าเพิ่งเป็นใน Chrome 57 แสดงว่าใน Chrome 57 ไม่ยอมรับ "VeriSign Class 3 Public Primary Certification Authority - G5" ให้ออก EV เองแล้ว (แปลกดี อาจจะบั๊กของ Chrome)
สงสัยว่าทำไม Symantec แนะนำให้ลูกค้าติดตั้ง cert กันคนละแบบหรือครับ?
lewcpe.com, @wasonliw
Class 3 Public Primary Certification Authority เป็น root cert ดั้งเดิมตัวแรกเจเนอเรชั่นแรกซึ่งถูกเอามาใช้ในการทำ cross sign ให้กับ VeriSign Class 3 Public Primary Certification Authority - G5 ซึ่งเป็น root cert เจเนอเรชั่นล่าสุดที่ใช้อยู่ในปัจจุบันเพื่อเพิ่ม compatibility ให้กับตัว G5 สำหรับเบราว์เซอร์เก่าๆ ทีนี้ก็อยู่ที่เว็บเซิร์ฟเวอร์ครับว่าจะส่ง cert chain ไหนให้เบราว์เซอร์ ปกติแล้วจะส่ง cert chain ซึ่งประกอบไปด้วย intermediate cert(s) ไปกับ leaf cert แต่จะไม่ส่ง root cert ไป เพราะจะใช้ตัวที่มีอยู่ที่เบราว์เซอร์หรือระบบของเบราว์เซอร์แล้ว และเพื่อไม่ให้เซิร์ฟเวอร์สามารถส่ง root cert ปลอมไปได้ ดังนั้นก็มี 2 ทางเลือกคือส่ง
1. leaf + intermediate
2. leaf + intermediate + cross-signed new root (=second intermediate)
ถ้าส่ง 1 มาก็จะได้ G5 ที่มีอยู่มาทำให้ chain สมบูรณ์ วิธีนี้คือวิธีปกติที่ใช้กัน แต่เกียรตินาคินไม่ได้ใช้วิธีนี้ ส่วนกสิกรกับกรุงเทพใช้วิธีนี้ เพียงแต่กสิกรดันส่ง G5 แถมมาด้วยซึ่งไม่จำเป็น กรุงเทพไม่ส่งซึ่งถือว่าทำถูกวิธีครับ
แต่ถ้าเป็น 2 ก็จะได้ตัว G1 ที่มีอยู่มาทำให้ chain สมบูรณ์ ข้อเสียของวิธีนี้คือการมีหลายชั้นเกินไปและข้อมูลที่ต้องส่งมามากกว่าโดยไม่จำเป็น มันจะมีประโยชน์เฉพาะตอนที่ต้องการ compatibility กับเบราว์เซอร์เก่าๆ ซึ่งปัจจุบันไม่มีเหลือใช้แล้วเพราะถูก obsolete ไปด้วยสาเหตุอื่นๆ เกียรตินาคินยังใช้วิธีนี้ครับ
cert ตัวที่ใช้ออก EV คือ intermediate ตัวที่อยู่ติดกับ leaf ครับ ตัวเหนือจากนั้นไม่ว่าจะเป็น root cert แท้ๆ หรือ root cert ที่ถูก cross signed มาไม่ได้เป็นตัวกำหนดครับ
แต่ทั้งนี้ทั้งนั้นดังที่ทราบกันแล้วตอนนี้ว่าประเด็นนี้ก็ไม่เกี่ยวกับการที่ Chrome 57 ไม่แสดงสถานะ EV สำหรับบางเว็บทั้งๆที่ Firefox แสดงครับ
รายชื่อใบรับรองดิจิตอลทั้งหมดที่ออกโดย Root CA และ Intermediate CA สัญชาติไทย
1.https://online.kasikornbankgroup.com/K-Online/login.jsp
2.Chrome 57.0.2987.110
3.Windows 10 Pro x64 1607 Build 14393.953
4.ไม่แสดง green bar
Krungthai netBank
1. https://www.ktbnetbank.com/
2. Chromium 56.0.2924.76 (Linux-amd64)
3. Elementary OS Loki (64 bit)
4. แสดง Green bar
Bualuang i-Banking
1. https://ibanking.bangkokbank.com/SignOn.aspx
2. Chromium 56.0.2924.76 (Linux-amd64)
3. Elementary OS Loki (64-bit)
4. แสดง Green bar
K-Cyber ธนาคารกสิกรไทย
1. https://online.kasikornbankgroup.com/K-Online/
2. Chromium 56.0.2924.76 (Linux-amd64)
3. Elementary OS Loki (64-bit)
4. แสดง Green bar
Thanachart Retail Internet Banking
1. https://retailib.thanachartbank.co.th/retail/Login.do?action=form&lang=th_TH
2. Chromium 56.0.2924.76 (Linux-amd64)
3. Elementary OS Loki (64-bit)
4. ไม่แสดง Green bar
1.https://online.kasikornbankgroup.com/K-Online/login.jsp?lang=TH
2.Chrome 57.0.2987.110
3.Windows 8.1 Pro (64-bit)
4.ไม่แสดง Green Bar
KBANK
1.https://online.kasikornbankgroup.com/K-Online/login.jsp?lang=TH
2.Google Chrome 57.0.2987.98 และ 57.0.2987.110
3.macOS Sierra 10.12.3
4.แสดง green bar
1.https://online.kasikornbankgroup.com/K-Online/
2.Google Chrome รุ่น 56.0.2924.87 (64-bit)
3.macOS 10.12.3
4.แสดง green bar
ธ.ต่างประเทศสาขาไทยด้วยไหมครับ ?
Standard Chartered
Citibank