Digital Certificate

ผู้ผลิตเบราว์เซอร์หลักรวมตัวบล็อค root CA ของรัฐบาลคาซัคสถาน หลังถูกใช้ดักฟังการเชื่อมต่อเข้ารหัส

By lew

on 20 December 2020 - 11:54 Tag: Kazakhstan, Mozilla, Google, Digital Certificate

Kazakhstan

กูเกิล, ไมโครซอฟท์, มอซิลล่า, และแอปเปิล ร่วมกันแบนใบรับรอง root CA ของรัฐบาลคาซัคสถานไม่ให้ติดตั้งลงเบราว์เซอร์ได้ หลังรัฐบาลพยายามแจ้งให้ประชาชนติดตั้งใบรับรองเพื่อดักฟังการเชื่อมต่อเข้ารหัส โดยรัฐบาลอ้างว่าเป็นการฝึกหน่วยงานรัฐให้รับมือการโจมตีทางไซเบอร์

Let's Encrypt เตรียมเลิกทำ cross-sign จาก IdenTrust, Android เก่ากว่า 7.1.1 จะใช้งานเว็บไม่ได้

By lew

on 7 November 2020 - 11:01 Tag: Let's Encrypt, Security, Digital Certificate

Let's Encrypt

Let's Encrypt ผู้ให้บริการออกใบรับรองเว็บฟรีประกาศว่าตั้งแต่ 1 กันยายน 2021 เป็นต้นไปใบรับรองของ Let's Encrypt จะไม่ได้รับการ cross-sign โดย IdenTrust อีกแล้ว ทำให้เบราว์เซอร์เก่าที่ไม่ได้ใส่ใบรับรอง ISRG Root X1 เอาไว้ในระบบจะมองว่าใบรับรองจาก Let's Encrypt ไม่น่าเชื่อถืออีกต่อไป

Let's Encrypt เพิ่ม Root CA ใหม่ใช้ลายเซ็นแบบ ECDSA ลดขนาดใบรับรองลง 350 ไบต์

By lew

on 18 September 2020 - 16:55 Tag: Let's Encrypt, Digital Certificate, Security

Let's Encrypt

Let's Encrypt ประกาศเพิ่ม Root CA และ Intermediate CA ชุดใหม่สำหรับใช้ลายเซ็นดิจิทัลแบบ ECDSA P-384 ที่มีขนาดกุญแจสาธารณะเพียง 48 ไบต์ และขนาดลายเซ็น 96 ไบต์ เทียบกับ RSA-2048 ที่มีขนาดกุญแจสาธารณะถึง 256 ไบต์ และขนาดลายเซ็น 400 ไบต์ ทำให้ใบรับรองแต่ละใบที่มีทั้งกุญแจสาธารณะและลายเซ็น จะมีขนาดลดลงประมาณ 350 ไบต์

Root CA ตัวใหม่จะใช้ชื่อ "ISRG Root X2" ได้รับรองจาก "ISRG Root X1" ที่ได้อยู่ในฐานข้อมูลส่วนมากอยู่แล้ว โดย Root CA ใหม่จะมีอายุถึงปี 2040 แต่การออกใบรับรองจริงจะใช้ Intermediate CA สองตัว ได้แก่ Let's Encrypt E1 และ Let's Encrypt E2 ที่มีอายุ 5 ปี

วันนี้เป็นวันสุดท้ายของการออกใบรับรองเข้ารหัสเว็บอายุ 2 ปี จากนี้ไปใบรับรองอายุไม่เกิน 397 วัน

By lew

on 31 August 2020 - 18:57 Tag: HTTPS, Security, Safari, Digital Certificate, Browser

HTTPS

แนวทางการลดอายุใบรับรองการเข้ารหัสเว็บเป็นแนวทางที่ต่อเนื่องกันมาในช่วงห้าปีที่ผ่านมา จากเดิมสมัยก่อนที่เราเคยซื้อใบรับรองเข้ารหัสอายุยาวนานถึง 8 ปีได้ ในปี 2015 CA/Browser Forum ก็ลดเพดานอายุใบรับรองเหลือ 39 เดือน และในปี 2017 ก็ลดเพดานลงเหลือ 825 วัน วันนี้ก็เป็นวันสุดท้ายของการซื้อใบรับรองอายุ 2 ปี เนื่องจากใบรับรองที่ออกวันที่ 1 กันยายนเป็นต้นไป หากมีอายุเกิน 397 วันจะใช้งานกับเบราว์เซอร์หลักทั้ง Chrome, Firefox, และ Safari ไม่ได้อีกต่อไป

แจ้งเตือน root CA ของ AddTrust หมดอายุ เว็บจำนวนมากอาจมีปัญหากับไคลเอนต์เก่า

By lew

on 30 May 2020 - 21:59 Tag: Security, Digital Certificate

Security

วันนี้ (30 พฤษภาคม 2020) ใบรับรอง root CA ของ AddTrust (หมายเลขประจำตัวบน crt.sh เป็น 1) ถึงกำหนดหมดอายุหลังใช้งานมาแล้ว 20 ปี อาจส่งผลกระทบถึงใบรับรองจำนวนมากที่ cross-sign กับทาง AddTrust ไม่สามารถใช้งานได้กับไคลเอนต์เก่าๆ เช่น Ubuntu Trusty 14.04 เป็นต้น

Safari จะแจ้งเตือนใบรับรองอายุนานกว่า 13 เดือนว่าไม่ปลอดภัย เริ่มกันยายนนี้

By nutmos

on 22 February 2020 - 13:25 Tag: Safari, Security, Digital Certificate

Safari

ตอนนี้ Safari กำลังจะเริ่มบังคับใช้นโยบายใหม่ คือจะไม่ยอมรับใบรับรองเว็บไซต์ที่กำหนดวันหมดอายุไว้มากกว่า 13 เดือนนับจากวันสร้างใบรับรอง ซึ่งจะส่งผลโดยตรงต่อเว็บไซต์ที่ใช้ใบรับรองที่กำหนดวันหมดอายุไว้นาน ๆ

นโยบายใหม่นี้เสนอในที่ประชุม CA/Browser โดยเริ่มตั้งแต่วันที่ 1 กันยายน Safari จะไม่ยอมรับใบรับรองใดก็ตามที่มีอายุมากกว่า 398 วันนับจากวันออกใบรับรอง ลดลงจากเดิมที่กำหนดไว้ 825 วัน โดยจะขึ้นคำแจ้งเตือนผู้ใช้เหมือนกับเว็บไซต์ที่ใบรับรองไม่ปลอดภัย

AWS เตือนลูกค้าฐานข้อมูล เปลี่ยนใบรับรองดิจิทัลใหม่ก่อนหมดอายุ มี.ค. 2020

By mk

on 8 January 2020 - 09:28 Tag: AWS, Database, Cloud Computing, Digital Certificate

AWS

AWS ส่งเมลแจ้งเตือนลูกค้าที่ใช้บริการฐานข้อมูล Amazon Aurora, Amazon Relational Database Service (RDS), Amazon DocumentDB ให้อัพเดตใบรับรองดิจิทัลเป็นใบใหม่ เพราะใบเก่าใกล้หมดอายุ มิฉะนั้นจะไม่สามารถเชื่อมต่อ SSL/TLS ได้

ใบรับรองดิจิทัลของ AWS มีอายุ 5 ปี แล้วต้องเปลี่ยนใหม่ตามนโยบายด้านความปลอดภัย โดยใบรับรองเดิม (CA-2015) จะหมดอายุในวันที่ 5 มีนาคม 2020 และ AWS ออกใบรับรองใหม่ (CA-2019) มาให้ตั้งแต่เดือนกันยายน 2019 สามารถกดเปลี่ยนได้ทันที

ใบรับรองหมดอายุทำพิษ Firefox ปิดการทำงาน Add-ons เกือบทั้งหมด

By Nozomi on 4 May 2019 - 09:15 Tag: Firefox, Mozilla, Digital Certificate

Firefox

เมื่อกลางดึกของคืนวันที่ 3 พฤษภาคม มีผู้ใช้ Firefox จำนวนมากพบว่า Add-ons เกือบทั้งหมดที่ติดตั้งถูกปิด (disabled) จากการตรวจสอบโดยอาสาสมัครจำนวนมากพบว่าเป็นผลจากใบรับรองหมดอายุ

มีผู้ใช้หลายคนพยายามนำเสนอวิธีการแก้ไขชั่วคราวเช่น เปลี่ยนค่า "xpinstall.signatures.required" ใน about:config เป็น false หรือ เปลี่ยนเวลาในเครื่องคอมพิวเตอร์ชั่วคราว แต่ก็ไม่ได้แก้ไขได้ในทุกกรณี

จนถึงตอนนี้ยังไม่มีคำชี้แจงอย่างเป็นทางการจาก Mozilla

ลืมคิด Sign Bit ทั้งแอปเปิล, กูเกิล, และ GoDaddy ออกใบรับรองเข้ารหัสหมายเลขซีเรียลสั้นเกินข้อกำหนดไป 1 บิตประมาณหนึ่งล้านใบ

By lew

on 13 March 2019 - 22:01 Tag: Security, Digital Certificate

Security

ระหว่างที่เมลลิ่งลิสต์ mozilla.dev.security.policy (MDSP) กำลังพิจารณารองรับให้บริษัท DarkMatter เข้าเป็นหน่วยงานออกใบรับรองเข้ารหัส (certification authority - CA) Corey Bonnell วิศวกรจาก Sophos พบว่าใบรับรองของ DarkMatter นั้นออกใบรับรองที่หมายเลขซีเรียลความยาวขาดไป 1 บิต จึงโต้แย้งว่าไม่ควรรับ DarkMatter เข้าเป็น CA แต่ปรากฎว่าเมื่อตรวจสอบใบ CA รายสำคัญได้แก่ แอปเปิล, กูเกิล, และ GoDaddy ก็ล้วนออกใบรับรองที่ความยาวหมายเลขซีเรียลไม่เพียงพอเช่นกัน และต้องออกใบรับรองใหม่ทั้งหมดกว่าล้านใบ

Ericsson พลาดปล่อยใบรับรองในซอฟต์แวร์หมดอายุ เครือข่ายมือถือล่มหลายประเทศ

By lew

on 7 December 2018 - 06:44 Tag: Ericsson, United Kingdom, Telecom, Digital Certificate, O2

Ericsson

Ericsson พลาดปล่อยให้ใบรับรองเข้ารหัส บนซอฟต์แวร์จัดการเครือข่าย SGSN–MME (Serving GPRS Support Node – Mobility Management Entity) หมดอายุ ส่งผลให้เครือข่ายโทรศัพท์มือถือล่มพร้อมกันหลายประเทศ

แถลงของ Ericsson ไม่ได้ระบุว่าเครือข่ายใดที่ได้รับผลกระทบบ้าง แต่เครือข่ายหนึ่งที่แถลงออกมาคือ O2 ในอังกฤษ ที่เครือข่ายล่มทั้ง 3G และ 4G ไปทั้งวัน โดยความคืบหน้าล่าสุดสามารถกู้ 3G กลับมาได้แล้ว แต่ 4G ยังมีปัญหา

เมื่อวานนี้ SoftBank ในญี่ปุ่นเองก็มีปัญหาเครือข่ายล่ม แต่ไม่สามารถยืนยันได้ว่าเป็นกรณีเดียวกันหรือไม่

นับถอยหลัง 1 สัปดาห์สู่ Chrome 70 เว็บจำนวนน้อยยังใช้ใบรับรอง Symantec ของไทยมี NECTEC, กาชาด, กรุงไทย

By lew

on 9 October 2018 - 00:30 Tag: Chrome, HTTPS, Digital Certificate, Symantec, Browser

Chrome

Chrome 70 มีกำหนดการออกประมาณสัปดาห์หน้า ความเปลี่ยนแปลงสำคัญคือการเริ่มบล็อคใบรับรองของ ไซแมนเทคทั้งหมด ตามกำหนดการที่ประกาศมาตั้งแต่เดือนกันยายนปีที่แล้ว อย่างไรก็ตามเว็บสำคัญจำนวนหนึ่งยังคงไม่ได้เปลี่ยนใบรับรอง

Scott Helme นักวิจัยความปลอดภัยสแกนเว็บ 1 ล้านอันดับแรกตามอันดับ Alexa พบว่าเว็บจำนวน 1,139 เว็บ หรือเพียง 0.114% ที่ยังคงใช้ใบรับรองจากไซแมนเทคและหน่วยงานออกใบรับรองในเครือ

แอปเปิลเริ่มถอดใบรับรองจาก Symantec เตรียมถอดทั้งหมดในปีนี้

By lew

on 6 August 2018 - 11:17 Tag: Apple, Security, HTTPS, Symantec, Digital Certificate

Apple

แอปเปิลประกาศถอนใบรับรองที่ออกโดย Symantec ตามรูปแบบเดียวกับที่กูเกิลประกาศใน Chrome 70 (ซึ่งเริ่มปล่อยเป็น Chrome Canary แล้ว) โดยยังเหลือใบรับรองที่ออกจนถึงสิ้นปี 2017 และจะเลิกเชื่อถือทั้งหมดภายหลังโดยยังไม่ประกาศวันที่แน่นอน แต่อาจจะเร็วที่สุดภายในปีนี้

สำหรับใบรับรองที่ยังใช้งานได้ จะเหลือเฉพาะใบรับรองที่เปิดเผยข้อมูลใน CT log เอาไว้เท่านั้น

สำหรับผู้ดูแลเว็บทั่วไปที่ยังใช้งานใบรับรองของ Symantec ตอนนี้อาจจะต้องตรวจสอบว่า root CA อยู่ในรายการที่ยกเลิกหรือยัง

กูเกิลเริ่มการบล็อคใบรับรอง Symantec แบบถาวรแล้วใน Chrome Canary

By koronin

on 28 July 2018 - 07:00 Tag: Symantec, Google, Digital Certificate, Chrome

Symantec

จากที่กูเกิลได้ประกาศจะถอด root CA ของไซแมนเทคออกทั้งหมดใน Chrome 70 มาได้เกือบหนึ่งปีแล้วนั้น ตอนนี้ Chrome 70 ก็เริ่มปล่อยรุ่นทดลองมาแล้ว โดยโค้ดสำหรับบล็อคใบรับรองที่ออกโดย Symantec รวมไปถึงแบรนด์ลูกอย่าง RapidSSL, GeoTrust และ Thawte ก็ได้เข้าสู่ Chrome Canary ในเวอร์ชั่น 70.0.3503.0 เป็นที่เรียบร้อยแล้วเมื่อสองวันที่ผ่านมา โดยข้อความแจ้งเตือนจะระบุว่าเป็น ERR_CERT_SYMANTEC_LEGACY

[แก้ไขแล้ว] ธนาคารทหารไทยให้บริการเว็บ TMB Direct ด้วยใบรับรองที่ถูกยกเลิกไปแล้ว

By lew

on 25 July 2018 - 00:51 Tag: TMB, Thailand, Banking, Security, Digital Certificate

TMB

update: ล่าสุดธนาคารทหารไทยแก้ไขเปลี่ยนใบรับรองเรียบร้อยแล้ว

ผู้ที่ใช้บริการธนาคารออนไลน์ของธนาคารทหารไทยสองสามวันนี้หลายคนเจอปัญหาไม่สามารถเข้าเว็บได้ เพราะ Chrome บนวินโดวส์เริ่มแจ้งปัญหาว่าใบรับรองเข้ารหัสถูกยกเลิกไปแล้ว

AWS เปิดตัวฟีเจอร์ Private CA บริการสร้างและจัดการใบรับรองส่วนตัวบนคลาวด์

By nutmos

on 8 April 2018 - 08:49 Tag: AWS, Digital Certificate, Amazon, Security

AWS

AWS เปิดตัวฟีเจอร์ใหม่คือ Private Certificate Authority หรือ Private CA อยู่ภายใต้บริการจัดการใบรับรองหรือ AWS Certificate Manager (ACM)

แต่เดิมนั้น การรับรองส่วนตัวเพื่อใช้งานภายในกลุ่มหรือองค์กร จะต้องมีโครงสร้างพื้นฐานแบบพิเศษรวมถึงความรู้ด้านความปลอดภัย ซึ่งทำให้การจัดการและดำเนินงานมีความซับซ้อนและค่าใช้จ่ายสูง ฟีเจอร์ Private CA ของ AWS จะเข้ามาตอบโจทย์นี้ โดยระบบจะถูกรวมเข้ากับ ACM จึงทำให้ผู้ใช้สามารถจัดการใบรับรองส่วนตัวได้ง่าย และใช้โมเดลจ่ายเงินแบบ pay as you go

สู่ยุคใบรับรองโปร่งใส Let's Encrypt เพิ่มข้อมูล SCT, CloudFlare เปิดตัวเซิร์ฟเวอร์ Nimbus สำหรับล็อกใบรับรอง

By lew

on 30 March 2018 - 02:17 Tag: Let's Encrypt, Cloudflare, Digital Certificate

Let's Encrypt

กูเกิลเตรียมบังคับใบรับรองเข้ารหัสเว็บทุกใบต้องผ่านการบันทึกบนเซิร์ฟเวอร์ Certification Transparency (CT) ภายในเดือนเมษายนนี้ ตอนนี้ผู้ออกใบรับรองรายใหญ่อย่าง Let's Encrypt ก็ออกมาประกาศเพิ่มข้อมูลยืนยันการบันทึกลงล็อก (Signed Certificate Timestamps - SCT) ลงในใบรับรองโดยตรง เพื่อให้ใบรับรองใช้งานได้ต่อไปโดยผู้ดูแลระบบไม่ต้องทำอะไรเพิ่มอีก

DigiCert ประกาศ revoke ใบรับรองรวดเดียว 23,000 ใบ หลังพบหลักฐานว่ากุญแจหลุด อาจมีเพิ่มอีก

By lew

on 1 March 2018 - 01:33 Tag: Digital Certificate, Security

Digital Certificate

Jeremy Rowley จาก DigiCert แจ้งเตือนในกลุ่ม mozilla.dev.security.policy ว่าบริษัทกำลังประกาศยกเลิก (revoke) ใบรับรองรวดเดียวจำนวน 23,000 ใบ หลังยืนยันได้ว่ากุญแจสำหรับใบรับรองเหล่านั้นหลุดออกไปยังผู้อื่นแล้วจริง

อีเมลของ Rwoley ระบุว่าใบรับรองเหล่านี้ขายผ่านบริษัทตัวแทน Trustico ที่แจ้งขอยกเลิกใบรับรองเหล่านี้มาตั้งแต่ต้นเดือนกุมภาพันธ์แต่กลับสื่อสารผิดพลาดจึงไม่เดินหน้าไปไหน โดยทาง DigiCert ขอหลักฐานว่ากุญแจรั่วไหลออกไปแล้วจริง

ข้อจำกัดของใบรับรองแบบ EV, นักวิจัยขอใบรับรอง "Stripe, Inc" ได้สำเร็จ

By lew

on 13 December 2017 - 06:57 Tag: Digital Certificate, Security

Digital Certificate

เวลาเราเข้าเว็บธนาคาร ผู้ใช้มักถูกสอนให้มองหาใบรับรองแบบ EV (Extended Validation) ที่แสดงชื่อบริษัทเอาไว้หน้า URL โดยหน่วยงานใบรับรองจะต้องตรวจสอบชื่อบริษัทหรือหน่วยงานจากเอกสารรับรองของทางการในแต่ละประเทศ Ian Carroll นักวิจัยด้านความปลอดภัยแสดงให้เห็นว่าใบรับรองแบบ EV มีข้อจำกัดสำคัญที่คนสามารถขอใบรับรองที่ชื่อเหมือนกันได้ เพียงแค่ตั้งชื่อบริษัทให้เหมือนกันแต่อยู่คนละรัฐ โดยเขาสามารถขอใบรับรองของบริษัท Stripe บริษัทรับจ่ายเงินที่มีผู้ใช้จำนวนมากในสหรัฐฯ

เป็นทางการ กูเกิลประกาศถอด root CA ของไซแมนเทคออกทั้งหมดใน Chrome 70

By lew

on 12 September 2017 - 10:59 Tag: Symantec, Google, Digital Certificate, Chrome

Symantec

กูเกิลประกาศตารางเวลาการถอด root CA ของไซแมนเทคและแบรนด์ลูกต่างๆ ออกจาก Chrome หลังมีรายงานว่า มีใบรับรองที่ออกอย่างไม่ถูกต้องกว่า 30,000 ใบ หลังจากเจรจากันอยู่หลายรอบข้อยุติคือไซแมนเทคจะต้องล้างระบบออกใบรับรองใหม่ที่ให้บริการโดยผู้ให้บริการรายอื่น และตอนนี้ไซแมนเทคก็เลือกให้ DigiCert เป็นผู้ให้บริการหลังจากประกาศขายกิจการออกใบรับรองทั้งหมดให้ DigiCert ไปด้วยเมื่อเดือนที่แล้ว

WoSign คือ WoTrus บริษัทออกใบรับรองจีนเปลี่ยนชื่อ เตรียมให้บริการอีกครั้ง

By lew

on 5 September 2017 - 16:01 Tag: Digital Certificate, Security, China

Digital Certificate

WoSign CA Limited ผู้ให้บริการออกใบรับรองจากจีนที่มีปัญหาการออกใบรับรองจนกระทั่งเบราว์เซอร์และระบบปฎิบัติการหลักๆ ล้วนถอนความเชื่อถือออก ประกาศเปลี่ยนชื่อเป็น WoTrus CA Limited ตั้งแต่วันที่ 24 สิงหาคมที่ผ่านมา

ชื่อภาษาจีนของ WoTrus ยังคงเดิม และเร็วๆ นี้จะสร้างเว็บ wotrus.com ขึ้นมาใหม่ ส่วนเว็บ wosign.com จะขายใบรับรองจาก sub-CA ที่สร้างขึ้นมาใหม่ภายใต้ root-CA ใหม่ แต่ได้รับความเชื่อถือจากทุกเบราว์เซอร์

ตอนนี้ยังไม่มีข้อมูลการขอให้เบราว์เซอร์เชื่อถือ root CA ใหม่จาก WoTrus แต่อย่างใด