หมายเหตุ บทความนี้__ไม่เกี่ยว__กับข่าว "กระทรวงไอซีทีพยายามตรวจสอบและปิดกั้นเว็บเข้ารหัส ทดสอบที่เกตเวย์" แต่อย่างใด

Seth Schoen จาก EFF บรรยายรายละเอียดของโครงการ Let's Encrypt ที่งาน 31C3 เตรียมให้บริการเดือนมิถุนายนนี้

โครงการ Let's Encrypt ตั้งใจจะทำให้กระบวนการเข้ารหัสเว็บกลายเป็นกระบวนการอัตโนมัติทั้งหมด โดยผู้ใช้สามารถติดตั้งแพ็กเกจ lets-encrypt แล้วสั่งรันเพื่อขอใบรับรองและเริ่มเข้ารหัสได้ทันที

Gogo ผู้ให้บริการอินเทอร์เน็ตบนเครื่องบินเริ่มปล่อยใบรับรองสำหรับโดเมน *.google.com ปลอมให้ลูกค้าโดยระบุว่าต้องปลอมใบรับรองนี้เพื่อ "บังคับใช้นโยบาย" โดยไม่ได้ตั้งใจจะละเมิดความเป็นส่วนตัวของผู้ใช้แต่อย่างใด

ทาง Gogo ออกแถลงการณ์ระบุว่าจำเป็นต้องใช้กระบวนการนี้เพื่อจะจำกัดการใช้งานและการสตรีมวิดีโอ โดยซื้อระบบจัดการที่มีขายสำเร็จรูปในตลาด และบังคับใช้แนวทางนี้กับเว็บวิดีโอที่เข้ารหัสบางส่วนเท่านั้น โดยไม่ได้เข้าดักฟังเว็บอื่นๆ ที่เข้ารหัสแต่อย่างใด

Eitan Konigsburg วิศวกรซอฟต์แวร์ของ New York Times ออกมาเขียนบล็อกถึงประเด็นความเป็นส่วนตัวของผู้อ่านว่ามีความสำคัญมากขึ้นเรื่อยๆ จากการโจมตีรูปแบบต่างๆ ตั้งแต่การติดตามผู้ใช้ทำให้เสียความเป็นส่วนตัว ไปจนถึงการเปลี่ยนข้อมูลบนเว็บข่าว นอกจากนี้อุปสรรคที่เคยทำให้การวางเซิร์ฟเวอร์ที่เป็น HTTPS ก็เริ่มลดลงไป ทาง New York Times จึงชวนให้สำนักข่าวและทุกเว็บไซต์หันมาให้บริการบน HTTPS เต็มรูปแบบภายในปี 2015 หากใครรับคำท้าก็ให้ทวีตใส่แฮชแท็ก #https2015

CloudFlare ผู้ให้บริการ CDN (Content Delivery Network) เปิดให้บริการแบบเข้ารหัสโดยที่ลูกค้าไม่ต้องส่งกุญแจ SSL ไปให้ทาง CloudFlare เรียกว่า Keyless SSL

แต่เดิมบริการ CDN ที่จะเข้ารหัส ลูกค้าจะต้องส่งทั้งกุญแจและใบรับรองไปให้บริการ CDN ทั้งคู่ บริการใหม่ของ CloudFlare จะทำให้ลูกค้าสามารถส่งเฉพาะใบรับรอง SSL ไปยัง CloudFlare และเมื่อเบราว์เซอร์เชื่อมต่อเข้าไปยัง CloudFlare ทาง CloudFlare จะขอให้เซิร์ฟเวอร์ของลูกค้าถอดรหัสเพื่อเอากุญแจแบบสมมาตรออกมาให้เป็นครั้งๆ ไปไป จากนั้นทาง CloudFlare จึงส่งข้อมูลไปยังเบราว์เซอร์ด้วยกุญแจแบบสมมาตรที่ได้จากเซิร์ฟเวอร์ของลูกค้า

เมื่อไม่กี่วันที่ผ่านมา วงการเว็บโดยเฉพาะผู้ที่ทำเว็บแบบเข้ารหัส HTTPS ทั้งหลายอาจจะได้อ่านข่าวเล็กๆ ข่าวหนึ่ง คือ Chrome กำลังจะประกาศว่าใบรับรองดิจิตอลที่ยืนยันความถูกต้องด้วย SHA-1 จะถือว่าไม่ปลอดภัยอีกต่อไป ความโหดร้ายของกูเกิลคือทางกูเกิลประกาศมาโดยให้เวลาเพียงไม่กี่วันก่อนที่จะเริ่มบังคับใช้กฎใหม่นี้ ดังนั้นภายในสิ้นเดือนนี้เราอาจจะพบว่าเว็บที่เข้ารหัสได้รับผลกระทบกันเป็นวงกว้าง

ส่วนประกอบของใบรับรอง SSL มีสองส่วนสำคัญได้แก่ กุญแจสาธารณะ และลายเซ็นดิจิตอล โดยลายเซ็นดิจิตอลที่ได้รับความนิยมกันมากคือการใช้ค่าแฮช SHA-1 มาเข้ารหัสด้วยกุญแจ RSA ของหน่วยงานที่รับรองใบรับรองนั้นๆ ที่ผ่านมา SHA-1 เริ่มมีงานวิจัยแสดงว่ามันอ่อนแอกว่าที่ออกแบบไว้ ตอนนี้ทางกูเกิลประกาศแล้วว่าจะเริ่มถือว่าใบรับรองที่ใช้ SHA-1 ไม่ปลอดภัยตั้งแต่ปี 2015 เป็นต้นไป

กูเกิลระบุแผนบันไดสามขั้นเพื่อกดดันให้เว็บที่เข้ารหัสเปลี่ยนใบรับรองเป็นใบรับรองใหม่ที่ใช้ลายเซ็นดิจิตอลที่หนาแน่นกว่าเดิม

เว็บรวบรวมไฟล์บิตบอร์เรนต์รายใหญ่อย่าง KickassTorrents ประกาศบังคับผู้ใช้ทุกคนต้องเข้าเว็บผ่านการเชื่อมต่อแบบเข้ารหัส HTTPS เท่านั้น โดยระบุว่าผู้ใช้ร้องขอฟีเจอร์นี้ทางเว็บจึงทำให้

ก่อนหน้านี้เว็บรวบรวมไฟล์บิตทอร์เรนต์จำนวนมากเปิดให้บริการเข้ารหัสไปก่อนแล้ว เช่น The Pirate Bay หรือ Torrentz แต่ไม่บังคับ ผู้ใช้จะต้องเลือกเข้าผ่าน HTTPS ด้วยตัวเองเท่านั้น

เมื่อช่วงปี 2010 ในสมัยที่เฟซบุ๊กยังไม่เข้ารหัสทั้งหมดเช่นทุกวันนี้แอพพลิเคชั่นหนึ่งที่ดังขึ้นมาคือ Firesheep ที่สามารถดักฟังข้อความของผู้ใช้บน Wi-Fi ที่ไม่เข้ารหัสได้ จนกระทั่งเฟซบุ๊กยอมเข้ารหัสบริการทั้งหมดในปี 2011 ตอนนี้บริษัทลูกของเฟซบุ๊ก คือ Instagram ก็โดนนักวิจัยสร้างแอพพลิเคชั่นแบบเดียวกันแล้ว โดยเตรียมสร้างเป็นแอพพลิเคชั่นที่ชื่อว่า Instasheep

ปลั๊กอิน HTTPS Everywhere ช่วยให้เบราว์เซอร์เรียกใช้งาน HTTPS หากเซิร์ฟเวอร์รองรับก่อน HTTP เสมอ ตอนนี้ทาง EFF ผู้ดูแลโครงการก็ประกาศเพิ่มปุ่ม HTTP Nowhere เพื่อเปลี่ยนโหมดการทำงานจากการเรียกหน้าเว็บ HTTPS ก่อนเสมอ มาเป็นการอนุญาตให้เข้าเว็บ HTTPS เท่านั้น

ก่อนหน้านี้มีนักพัฒนานอก EFF คือ Chris Wilper พัฒนาปลั๊กอินชื่อ HTTP Nowhere อยู่ก่อนแล้ว แต่เมื่อทาง EFF เพิ่มฟีเจอร์นี้เอง ผู้ใช้ปลั๊กอิน HTTPS Everywhere ก็จะได้รับความสามารถนี้เมื่ออัพเดตอย่างเป็นทางการครับ