กุญแจเว็บก็หลอกได้: ยึดทะเบียนโดเมน ออกใบรับรอง Google โดยไม่ได้รับอนุญาต

ผู้โจมตีได้ใบรับรองเว็บที่ไม่ได้รับอนุญาต 32 ใบ ตามการตรวจของ iTnews แปลว่ามีหลักฐานรับรองตัวตนเว็บถูกออกให้ผู้โจมตีหลายใบ รวมโดเมนของ Google. Google ประกาศเมื่อวันที่ 6 ตุลาคม ว่าต้นเหตุคือทะเบียนโดเมนประเทศถูกยึด และ Chrome ได้บล็อกใบรับรองที่ตรวจพบแล้วครับ

เรื่องนี้แตะความเคยชินเวลาจ่ายเงินซื้อของหรือเข้าเว็บทำงาน: เห็นกุญแจแล้วรู้สึกว่าปลอดภัย แต่ iTnews อธิบาย ว่าผู้โจมตีที่มีใบรับรองน่าเชื่อถือและเปลี่ยนทางการเชื่อมต่อได้ อาจสวมรอยเว็บโดยไม่มีคำเตือน. นี่คือความเสี่ยงของวิธีโจมตี ไม่ใช่หลักฐานว่าบัญชีธนาคารของคุณถูกขโมยในเหตุการณ์นี้

สรุป 30 วินาที: เกิดอะไรขึ้น

Google ระบุ ว่าทะเบียนโดเมนประเทศถูกโจมตี 3 แห่ง แปลว่าผู้โจมตีเข้าถึงระบบต้นทางของชื่อเว็บหลายกลุ่ม. กลุ่มที่เกี่ยวข้องคือ .gh ของกานา, .sl ของเซียร์ราลีโอน และ .as ของอเมริกันซามัว. Google ย้ำว่าระบบของบริษัทเองไม่ได้ถูกเจาะ แต่ชื่อเว็บที่ลงท้ายด้วยส่วนเหล่านี้อาจตกอยู่ในความเสี่ยง

ผู้โจมตีเปลี่ยน DNS หรือข้อมูลที่บอกว่าชื่อเว็บต้องเชื่อมต่อไปที่ใด แล้วได้ใบรับรอง HTTPS โดยไม่ได้รับอนุญาต ตาม Google. HTTPS คือการเชื่อมต่อเว็บที่มีการเข้ารหัสเพื่อปกป้องข้อมูลระหว่างทาง. ส่วนใบรับรองคือหลักฐานดิจิทัลที่ใช้รับรองตัวตนของเว็บ ไม่ใช่แค่เครื่องหมายตกแต่งข้างชื่อเว็บ ตามคำอธิบายของ Ars Technica

Google บล็อกใบรับรองที่ไม่ได้รับอนุญาตผ่าน CRLSets ซึ่งในเรื่องนี้คือกลไกของ Chrome สำหรับปฏิเสธใบรับรองเหล่านั้น. บริษัททำงานร่วมกับผู้ออกใบรับรองเพื่อเพิกถอนด้วย และบอกว่า ผู้ใช้ Chrome ไม่ต้องดำเนินการใดเพื่อได้รับการป้องกันจากเหตุนี้ ตาม ประกาศทางการ. แต่คำแนะนำสำหรับเจ้าของเว็บต่างออกไป เพราะบริษัทเตือนว่าอย่าพึ่งการแทรกแซงจากเบราว์เซอร์อย่างเดียว

ทำไมเรื่องนี้เกี่ยวกับคุณ

คนทำงาน นักเรียน หรือเจ้าของร้าน ไม่จำเป็นต้องดูแลระบบเว็บเองถึงจะควรเข้าใจข่าวนี้. ความเสี่ยงที่ Ars Technica อธิบาย คือใบรับรองที่ไม่ได้รับอนุญาตเปิดทางให้ผู้โจมตีสวมรอยระบบที่ได้รับผลกระทบ. สำหรับชีวิตประจำวัน ลองนึกถึงจังหวะกรอกรหัสเข้าอีเมลหรือส่งข้อมูลลูกค้า ซึ่งเราต้องการทั้งการเข้ารหัสและปลายทางที่ถูกต้อง

แต่ขอบเขตข่าวต้องชัดครับ Google พูดถึงชื่อเว็บภายใต้ส่วนท้ายที่ระบุ ไม่ได้บอกว่าเว็บ Google ทุกแห่งโดนยึด. ส่วน Ars Technica ระบุว่า Google ไม่เปิดเผยชื่อโดเมนของตนที่ได้รับผลกระทบ. จึงยังเอาข่าวนี้ไปสรุปว่าคุณเข้าเว็บใดแล้วถูกสวมรอยไม่ได้

สำหรับไทย แหล่งข่าวที่ใช้ในบทความนี้ไม่ได้ระบุว่า .th ได้รับผลกระทบ และไม่ได้ให้จำนวนผู้เสียหายชาวไทย. เราควรอ่านข่าวเพื่อปรับความเข้าใจเรื่องความปลอดภัย มากกว่าจะส่งต่อว่าระบบชื่อเว็บไทยถูกเจาะด้วย. เมื่อสัญลักษณ์ดูปกติ แล้วความไว้ใจถูกบิดได้ตรงไหน?

ทำงานยังไง

เริ่มจากชื่อเว็บก่อนครับ โดเมน คือชื่อที่เราใช้เรียกเว็บไซต์ ส่วน TLD คือส่วนท้าย เช่น .com. ccTLD คือส่วนท้ายที่เป็นรหัสประเทศหรือดินแดน และ registry คือหน่วยงานที่ดูแลทะเบียนชื่อภายใต้ส่วนท้ายนั้น ตาม Privacy Guides. เหตุนี้จึงเกี่ยวกับทะเบียนระดับต้นทาง มากกว่าการแก้ข้อความบนหน้าเว็บทีละหน้า

DNS คือระบบข้อมูลที่ช่วยให้การเรียกชื่อเว็บไปถึงปลายทางที่กำหนด. เมื่อผู้โจมตีแก้ข้อมูลต้นทางได้ การตรวจว่าใครควบคุมชื่อเว็บก็อาจได้คำตอบที่ผู้โจมตีจัดไว้ ตาม Ars Technica. สื่ออธิบายว่าการควบคุมข้อมูลนี้ทำให้ผู้โจมตีผ่านการตรวจสิทธิ์ควบคุมโดเมนอัตโนมัติ แล้วขอใบรับรองได้

CA หรือผู้ออกใบรับรอง เป็นองค์กรที่ตรวจสิทธิ์และออกหลักฐานดิจิทัลให้เว็บไซต์. ใบรับรองแบบ TLS ซึ่งรองรับการยืนยันตัวตนและเข้ารหัสในการเชื่อมต่อ ผูกชื่อโดเมนเข้ากับกุญแจดิจิทัลของระบบ ตาม Ars Technica. ประเด็นจึงอยู่ที่การรับรองสิทธิ์ก่อนออกเอกสาร หากข้อมูลสำหรับตรวจถูกเปลี่ยน เอกสารที่ออกตามกระบวนการก็อาจไปอยู่กับคนผิด

อุปมาเดียวของเรื่องนี้คือ มีคนบุกสำนักงานเขตที่ดูแลป้ายเลขที่บ้าน แล้วสลับข้อมูลป้าย. จากนั้นเอาข้อมูลที่เปลี่ยนไปขอเอกสารว่า “ตรงนี้คือร้าน Google” จนได้เอกสารที่ดูน่าเชื่อถือ. นี่เป็นภาพเปรียบเทียบกลไก DNS และการตรวจสิทธิ์ที่ Ars Technica เล่า ไม่ใช่รายละเอียดวิธีบุกระบบจริงซึ่งยังไม่เปิดเผย

Certificate Transparency หรือ CT คือบันทึกสาธารณะของการออกใบรับรอง. Google อธิบาย ว่าใบรับรองที่ Chrome ไว้ใจตามค่าเริ่มต้นต้องถูกเปิดเผยในบันทึกนี้ เจ้าของเว็บจึงติดตามได้เมื่อมีใบใหม่ออกให้ชื่อของตน. หลังรับมือรอบแรก Google ตรวจข้อมูล CT แล้วพบองค์กรอื่นที่เชื่อว่าได้รับผลกระทบ จึงบล็อกใบรับรองเพิ่มเติมและแจ้งองค์กรที่ติดต่อได้

จุดหักมุม: กุญแจดูใช้ได้ แต่คนถือสิทธิ์อาจผิดคน

แต่คำว่า “ใบรับรองปลอม” ในข่าวไม่ได้แปลว่าผู้โจมตีวาดภาพกุญแจขึ้นมาเอง. iTnews รายงาน ว่าใบรับรองมาจากผู้ออกจริง และอาจทำให้เบราว์เซอร์แสดงกุญแจหรือสัญลักษณ์คล้ายกันก่อนถูกปฏิเสธ. สิ่งที่ผิดคือการได้รับใบรับรองโดยเจ้าของโดเมนไม่ได้อนุญาต

แต่การเข้ารหัสที่ทำงานได้ ไม่ได้แก้ความผิดพลาดในการรับรองว่าใครควบคุมชื่อเว็บ. Google บอกว่าไม่มีเหตุให้เชื่อว่าผู้ออกใบรับรองทำอะไรผิดในเหตุนี้. จุดที่ถูกโจมตีคือระบบความไว้ใจต้นทาง ไม่ใช่หลักฐานว่ามือถือของผู้ใช้ถูกเจาะครับ

เรื่องเงิน / ผลกระทบ

ความเสียหายทางเงินของเหตุการณ์นี้ยังไม่มีตัวเลขในแหล่งข่าวที่อ่าน. จำนวนใบรับรองจากการตรวจของ iTnews ก็ไม่ใช่จำนวนคนเสียเงินหรือบัญชีที่ถูกขโมย. สำหรับคนซื้อของและร้านค้า เรื่องที่เกี่ยวข้องคือความเสี่ยงเมื่อเชื่อมต่อไปยังผู้สวมรอย ซึ่งเป็นผลที่อาจเกิดจากกลไกที่สื่ออธิบาย ยังไม่ใช่ยอดความเสียหายที่ยืนยันแล้ว

เจ้าของธุรกิจมีงานเพิ่มเติมที่จับต้องได้: ต้องรู้ว่าองค์กรถือชื่อเว็บอะไรอยู่บ้าง และใบรับรองใดได้รับอนุญาต. Google แนะนำ ให้ตรวจทั้งโดเมนใช้งาน โดเมนที่จดเก็บไว้ และโดเมนระดับภูมิภาค. แปลว่าการตรวจเฉพาะเว็บหลักที่ลูกค้าเปิดทุกวันอาจไม่ครอบคลุมขอบเขตที่บริษัทต้องดูแล

เรื่องเวลาป้องกันก็มีข้อจำกัดครับ Privacy Guides ชี้ว่า Google ควบคุมจังหวะบล็อกใน Chrome ได้ แต่ควบคุมเบราว์เซอร์อื่นไม่ได้. สื่อระบุว่า Firefox ใช้ CRLite ซึ่งเป็นกลไกเพิกถอนใบรับรองของตน และผู้ใช้เบราว์เซอร์อื่นอาจมีช่วงเสี่ยงยาวกว่า. นี่เป็นข้อกังวลเรื่องจังหวะการป้องกัน ไม่ใช่คำยืนยันว่าเบราว์เซอร์อื่นทุกตัวกำลังไม่ปลอดภัย

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ฝั่งที่ให้ความมั่นใจคือ Google ซึ่งบอกว่าผู้ใช้ Chrome ไม่ต้องทำอะไรเพื่อรับการป้องกันจากเหตุนี้ ตาม ประกาศ. ฝั่งที่เตือนเรื่องภาพรวมคือ Privacy Guides ซึ่งมองว่าความปลอดภัยเว็บยังพึ่งความปลอดภัยของหน่วยงานเฉพาะไม่กี่แห่ง ตาม บทวิเคราะห์. ทั้งคู่ไม่ได้ขัดกันเรื่องการบล็อก แต่ต่างกันที่ระดับความกังวล: การรับมือครั้งนี้ กับความเปราะบางของระบบโดยรวม

ตัวเลขใบรับรองเป็นผลตรวจของ iTnews เอง โดยสื่อตรวจ CT เทียบกับรายการบล็อกของ Chrome แล้วพบ 32 ใบ แปลว่าตัวเลขนับหลักฐานที่ออก ไม่ได้นับผู้เสียหาย ตาม รายงาน iTnews. ช่วงออกใบรับรองที่สื่อระบุคือวันที่ 22–27 กันยายน. ประกาศ Google ไม่ได้ให้ยอดรวมเดียวกัน จึงควรอ้างชื่อต้นทางของตัวเลขทุกครั้ง

ลำดับการยึดทะเบียนก็เป็นข้อมูลที่ iTnews รายงานจากข้อมูลสาธารณะ: กานาเริ่มวันที่ 22 กันยายนตาม UTC ตาม iTnews. สื่อระบุเซียร์ราลีโอนวันที่ 25 กันยายนตาม UTC. ส่วนอเมริกันซามัวคือวันที่ 27 กันยายนตาม UTC ตามรายงานเดียวกัน. ต้นทางให้เพียงวัน ไม่มีเวลาในวันนั้น จึงระบุวันตามต้นทางไว้และยังชี้วันเวลาไทยที่แน่นอนไม่ได้

ชื่อแบรนด์กับวิธีเจาะยังไม่เปิดเผยครบ: Ars Technica ระบุว่า Google ไม่บอกชื่อองค์กรอื่นหรือโดเมนของ Google ที่ได้รับผลกระทบ. iTnews ระบุว่า Google ไม่อธิบายว่าทะเบียนถูกเจาะอย่างไร และไม่ได้ให้ความเห็นเพิ่มเติมก่อนสื่อตีพิมพ์. จึงยังสรุปไม่ได้ว่าเป็นรหัสผ่านรั่ว ช่องโหว่ซอฟต์แวร์ หรือวิธีอื่น

ขอบเขตตรวจพบยังไม่ใช่การรับรองว่าพบครบ เพราะ Google ยอมรับว่าความซับซ้อนของการยึด DNS ทำให้รับประกันไม่ได้ว่าระบุทุกโดเมนที่ได้รับผลกระทบแล้ว. หากเจ้าของเว็บไม่ตรวจหลักฐานของตัวเอง จะรู้ได้อย่างไรว่าใบไหนควรมีอยู่จริง? คำตอบในคำแนะนำบริษัทคือให้เจ้าของโดเมนเฝ้าดู CT ต่อเนื่อง เพราะเป็นผู้รู้ดีที่สุดว่าเคยอนุญาตใคร

แล้วเราควรทำอะไร

คนทั่วไป ผู้ปกครอง และคนทำงาน — ทำตามได้เลย

1. รักษา Chrome และเบราว์เซอร์ที่ใช้ให้เป็นปัจจุบัน เป็นสุขอนามัยดิจิทัลที่ผมแนะนำต่อจากข่าวนี้. แต่ไม่ต้องตีความว่ามีขั้นตอนแก้เหตุเฉพาะหน้าที่คุณพลาดไป เพราะ Google ยืนยัน ว่าการบล็อกผ่าน CRLSets ป้องกันผู้ใช้ Chrome โดยไม่ต้องดำเนินการเอง
2. ก่อนเข้าบัญชีจากลิงก์ในข้อความ ให้หยุดตรวจชื่อเว็บและเลือกเข้าจากช่องทางที่คุณตั้งใจใช้. นี่เป็นคำแนะนำของผมสำหรับกิจวัตรประจำวัน โดยอิงความเสี่ยงเรื่องการสวมรอยที่ iTnews อธิบาย. อย่าใช้สัญลักษณ์กุญแจเป็นเหตุผลเดียวในการส่งรหัสหรือข้อมูลส่วนตัว
3. ตรวจในหน้าความปลอดภัยของบริการว่ามี passkey หรือวิธีเข้าบัญชีแทนรหัสผ่าน และการยืนยันตัวตนเพิ่มเติมให้เลือกหรือไม่ แล้วพิจารณาเปิดใช้. ข้อนี้เป็นข้อเสนอของผมเรื่องการดูแลบัญชีทั่วไป ไม่ใช่มาตรการที่แหล่งข่าวยืนยันว่าจะหยุดการยึดทะเบียนโดเมน. ไม่ต้องเปลี่ยนเครื่องหรือล้างมือถือจากข่าวนี้โดยไม่มีหลักฐานอื่น

เจ้าของเว็บ ร้านค้าออนไลน์ และทีม IT — ทำตามได้เลย

1. รวบรวมรายชื่อโดเมนที่องค์กรถือครองให้ครบ พร้อมผู้รับผิดชอบแต่ละชื่อ. เริ่มตรวจโดเมนภายใต้ส่วนท้ายที่ถูกระบุในเหตุนี้ แล้วขยายไปยังชื่อภูมิภาคหรือชื่อที่จดเก็บไว้ ตามขอบเขตที่ Google แนะนำ. อย่าข้ามชื่อที่ไม่ค่อยเปิดใช้เพียงเพราะไม่มีหน้าเว็บขายของ
2. ตั้งการติดตาม CT ต่อเนื่อง และเทียบใบรับรองใหม่กับรายการที่ทีมอนุญาต. Google ระบุว่าการติดตามช่วยแจ้งเตือนใกล้เวลาจริงเมื่อมีใบรับรองออกให้โดเมน. ข้อเสนอในการจัดงานของผมคือกำหนดคนรับแจ้งเตือนและตรวจสอบ เพื่อให้ข้อมูลที่พบมีคนตัดสินใจต่อ
3. ให้ผู้ดูแล DNS ตรวจ CAA หรือข้อมูลประกาศว่าอนุญาตให้ผู้ออกใบรับรองรายใดออกใบให้โดเมน. Google แนะนำ ให้ตั้งข้อจำกัดพร้อม ACME account binding คือผูกการอนุญาตกับบัญชีที่ใช้ขอใบรับรองอัตโนมัติ. จุดประสงค์คือจำกัดทั้งผู้ออก บัญชีที่อนุญาต และวิธีตรวจสิทธิ์ตามนโยบายขององค์กร

ข้อจำกัดสำคัญของขั้นตอนท้ายคือ CAA ไม่สามารถกันการออกใบรับรองขณะ DNS ยังถูกยึดอยู่ ตาม Google. แต่หลังได้สิทธิ์ DNS กลับคืน นโยบายที่จำกัดช่วยกันการขอใบใหม่จากผลตรวจสิทธิ์เก่าที่ผู้ออกใบรับรองยังเก็บไว้ใช้ซ้ำได้. จึงต้องดูทั้งการควบคุมชื่อเว็บ การตรวจใบรับรอง และนโยบายหลังแก้เหตุ ไม่ใช่ตั้งค่าแล้วถือว่าจบ

ผมมองว่า…

ผมมองว่า ข่าวนี้ ไม่ใช่เหตุให้เลิกเชื่อการเข้ารหัส แต่คือเหตุให้เลิกใช้กุญแจเป็นคำตอบทุกเรื่อง. การเข้ารหัสกับการรับรองตัวตนต้องทำงานร่วมกัน และกรณีที่ Ars Technica อธิบาย แสดงว่าขั้นตอนออกใบรับรองถูกทำให้รับรองผู้ที่ไม่ได้รับอนุญาตได้. คนทั่วไปควรเก็บความระวังไว้ ส่วนองค์กรต้องตรวจข้อมูลที่ตัวเองเป็นเจ้าของจริง

ผมมองว่า คำบอกให้ผู้ใช้ Chrome ไม่ต้องทำอะไร กับคำเตือนให้เจ้าของเว็บลงมือ ตรวจสอบ สามารถถูกต้องพร้อมกันได้. ตาม Google เบราว์เซอร์รับมือใบที่พบแล้ว แต่รับรองไม่ได้ว่าพบทุกโดเมนและป้องกันผู้ใช้นอก Chrome ได้เสมอ. ภาระของคนอ่านข่าวจึงควรพอดีกับบทบาท ไม่ใช่ให้ผู้ปกครองต้องเรียนการจัดการใบรับรองก่อนซื้อของออนไลน์

ปิดท้าย: สิ่งที่ต้องจับตา

ความปลอดภัยเวลาเปิดเว็บเริ่มตั้งแต่ใครมีสิทธิ์รับรองชื่อเว็บ ก่อนเราจะเห็นหน้าจอเสียอีก. สิ่งที่ควรติดตามคือรายละเอียดวิธีเจาะและรายชื่อโดเมนที่ยังไม่เปิดเผยครบ ตามช่องว่างที่ iTnews และ Ars Technica รายงาน. อีกเรื่องคือแผนลดอายุใบรับรองและลดการใช้ผลตรวจสิทธิ์ซ้ำที่ Google บอกว่าจะทำต่อ โดยประกาศนี้ยังไม่ให้กำหนดวัน

ครั้งล่าสุดที่คุณเข้าบัญชีจากลิงก์ในข้อความ คุณตรวจชื่อเว็บเอง หรือดูเพียงสัญลักษณ์ข้างชื่อเว็บครับ?

Recap

• เกิดอะไรขึ้น: Google ระบุว่าทะเบียน .gh, .sl, .as ถูกยึด แล้วมีการออกใบรับรองโดยไม่ได้รับอนุญาต ตาม Google
• ตัวเลขที่ต้องจำ: 32 ใบเป็นผลตรวจของ iTnews เอง แปลว่าเป็นจำนวนใบรับรองที่สื่อนับพบ ไม่ใช่ยอดผู้เสียหาย ตาม iTnews
• ใครเห็นต่าง: Google ให้ความมั่นใจเรื่องการป้องกันใน Chrome ส่วน Privacy Guides เตือนว่าระบบเว็บพึ่งหน่วยงานไม่กี่แห่ง เป็นคนละมุมและไม่ได้หักล้างกัน ตาม Privacy Guides
• ยังไม่รู้: วิธีเจาะและรายชื่อองค์กรที่ได้รับผลกระทบยังไม่เปิดเผยครบ ตาม iTnews และ Ars Technica
• ผลต่อคุณ: อย่าตัดสินลิงก์เข้าบัญชีด้วยกุญแจอย่างเดียว ส่วนข่าวนี้ไม่มีข้อมูลยืนยันว่า .th ถูกยึด
• สิ่งที่ต้องจับตา: รายละเอียดเหตุเพิ่มเติม และการลดอายุใบรับรองกับการใช้ผลตรวจสิทธิ์ซ้ำที่ Google ระบุ
• แหล่งอ้างอิง: 1 — Google, 2 — Ars Technica, 3 — iTnews, 4 — Privacy Guides