eMudhra ถอนตัวธุรกิจ TLS หลังวิกฤตความปลอดภัยใบรับรอง
บริษัท eMudhra ตัดสินใจยุติการดำเนินธุรกิจใบรับรอง TLS ทันที หลังเกิดข้อผิดพลาดร้ายแรงในการทำพิธีการเซ็นกุญแจ ทำให้สามารถออกใบรับรองเว็บปลอมสำหรับเว็บไซต์ใดก็ได้
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- eMudhra ถอนตัวจากธุรกิจ TLS อย่างเป็นทางการ
- เกิดข้อผิดพลาดในขั้นตอนพิธีการเซ็นกุญแจสำคัญ
- ช่องโหว่นี้ยอมให้สร้างใบรับรองเว็บสำหรับโดเมนใดก็ได้
บริษัท eMudhra ประกาศถอนตัวออกจากธุรกิจใบรับรอง Transport Layer Security หรือ TLS อย่างเป็นทางการแล้ว หลังจากเผชิญกับวิกฤตการณ์ด้านความปลอดภัยครั้งใหญ่ ซึ่งมีสาเหตุมาจากข้อผิดพลาดในการทำพิธีการเซ็นกุญแจส่วนตัว (key signing ceremony) จนส่งผลกระทบต่อความน่าเชื่อถือของระบบโครงสร้างพื้นฐานกุญแจสาธารณะหรือ PKI ทั้งระบบ
เหตุการณ์ดังกล่าวเริ่มต้นจากความผิดพลาดในกระบวนการสร้างและจัดการกุญแจ ซึ่งเปิดช่องให้ระบบสามารถออกใบรับรองความปลอดภัยดิจิทัลหรือ web credentials สำหรับเว็บไซต์ใดๆ ก็ได้บนอินเทอร์เน็ต โดยปราศจากการตรวจสอบและสิทธิ์อันชอบธรรม ความบกพร่องระดับวิกฤตนี้ทำให้หน่วยงานกำกับดูแลและผู้พัฒนาเบราว์เซอร์รายใหญ่ต้องเข้ามาตรวจสอบอย่างเร่งด่วน
การทำพิธีการเซ็นกุญแจหรือ Key Signing Ceremony ถือเป็นขั้นตอนความปลอดภัยสูงสุดของหน่วยงานออกใบรับรองดิจิทัล (CA) ที่ต้องมีมาตรการควบคุมเข้มงวดหลายชั้น การที่บริษัทระดับ eMudhra เกิดข้อผิดพลาดในกระบวนการนี้สะท้อนถึงจุดอ่อนด้านการบริหารจัดการความเสี่ยง ซึ่งส่งผลกระทบต่อความไว้วางใจของผู้ใช้งานอินเทอร์เน็ตทั่วโลกในวงกว้าง และนำไปสู่การตัดสินใจยุติบทบาทในตลาดนี้เพื่อจำกัดความเสียหาย
ความล้มเหลวครั้งนี้สร้างความตื่นตระหนกให้กับอุตสาหกรรมความปลอดภัยทางไซเบอร์ เนื่องจากใบรับรอง TLS ทำหน้าที่เข้ารหัสการสื่อสารระหว่างผู้ใช้งานกับเว็บไซต์ การที่บุคคลหรือระบบที่ไม่ได้รับอนุญาตสามารถปลอมแปลงใบรับรองเหล่านี้ได้ จะเปิดทางให้เกิดการโจมตีแบบ man-in-the-middle และการดักฟังข้อมูลส่วนบุคคลได้อย่างง่ายดาย
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
แม้ทางบริษัทจะพยายามดำเนินมาตรการแก้ไขและจำกัดวงความเสียหาย แต่แรงกดดันจากตลาดและพันธมิตรด้านความปลอดภัยทำให้ eMudhra ไม่สามารถกู้คืนความเชื่อมั่นกลับมาได้ จนนำไปสู่การตัดสินใจยุติการออกใบรับรอง TLS ทั้งหมดในที่สุด เพื่อให้ระบบนิเวศความปลอดภัยโดยรวมของเว็บยังคงมีความน่าเชื่อถือต่อไป
ที่มา: Ars Technica
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น