CDIC 2023

เตือนครั้งสุดท้าย !! Chrome, Firefox, Edge เตรียมเลิกรับรอง SHA-1 Certificate

Google, Mozilla และ Microsoft เตรียมประกาศยกเลิกการสนับสนุน SSL/TLS Certificate ที่ถูกเซ็นชื่อด้วยอัลกอริธึม Hash แบบ SHA-1 ต้นปี 2017 นี้ เนื่องด้วยเหตุผลทางด้านความมั่นคงปลอดภัย

Google ประกาศเตรียมเลิกรับรอง SHA-1 บน Chrome เวอร์ชัน 56 ที่จะออกให้บริการปลายเดือนมกราคม 2017 นี้ ในขณะที่ Firefox จะยกเลิกการรับรองใน Firefox 51 ส่วน Mirosoft Edge และ Internet Explorer จะยกเลิกการใช้ SHA-1 ในเดือนกุมภาพันธ์ 2017

ttt_https_ssl-The_Cute_Design_Studio
Credit: The Cute Design Studio/ShutterStock

สาเหตุหลักที่ทั้ง 3 บริษัทยกเลิกการรับรองการเซ็นชื่อ SSL/TLS Certificate ด้วย SHA-1 เนื่องจากค้นพบว่า อัลกอริธึม Hash ดังกล่าวเปราะบางต่อการถูกแฮ็คมากกว่าที่เคยคาดไว้ แฮ็คเกอร์สามารถปลอม Digital Signature เพื่อโจมตีระบบปลอดภัยต่างๆ เช่น ปลอมแปลงข้อมูลธุรกรรมการเงิน ปลอมแปลงไฟล์สำหรับดาวน์โหลด และอื่นๆได้อย่างง่ายดาย โดยใช้เงินเพียง $75,000 ~ $120,000 เท่านั้น

เช่นเดียวกับ Certificate Authorities หลังจากที่พบว่า SHA-1 มีช่องโหว่ง่ายต่อการแฮ็ค ทำให้หลายเจ้าทำการออก Certificate โดยไม่ใช้ SHA-1 อีกต่อไป แต่ก็มีบางเจ้ายังคงใช้อยู่ เช่น WoSign และ StartCom ทำให้ CA เหล่านั้นถูกแบนบนผลิตภัณฑ์ของ Mozilla, Apple และ Google

ในช่วงแรก CloudFlare, Facebook และ Twitter ออกมาปฏิเสธการแบน SHA-1 และเสนอแผนให้มีการใช้ระบบ SHA-1 Fallback เพื่อให้ผู้ที่ใช้เบราเซอร์และระบบปฏิบัติการรุ่นเก่าที่ไม่รองรับ SHA-2 (อัลกอริธึม Hash ที่จะถูกนำมาใช้แทน SHA-1) ยังคงสามารถเข้าถึงเว็บไซต์ต่อไปได้ แต่แผนการนี้ก็ได้ตกไป

ณ ตอนนี้ ยังไม่มีข้อมูลว่ามีกี่เว็บไซต์ที่ยังคงใช้ SHA-1 แต่เมื่อปลายปี 2015 ที่มีรายงานการโจมตี SHA-1 ออกมา Netcraft ระบุว่า มีจำนวน SSL Certificate มากกว่า 100 ใบที่ยังคงเซ็นชื่อด้วยอัลกอริธึม SHA-1

รูปด้านล่างสรุปการแจ้งเตือนและการยกเลิกการสนับสนุน SHA-1 ที่จะปรากฏบนเบราเซอร์ชื่อดังทั้ง 3 เจ้า

sha-1_error_messages

ที่มา: http://www.bleepingcomputer.com/news/security/google-to-show-errors-for-sha1-certificates-starting-with-chrome-56/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

CloudCampus 10 Gbps คุณภาพสูงของหัวเว่ยเร่งการเปลี่ยนผ่านสู่โลกอัจฉริยะในอุตสาหกรรมต่าง ๆ [Guest Post]

ในระหว่างงานหัวเว่ย คอนเนกต์ (Huawei Connect) ประจำปี 2566 หัวเว่ยได้เปิดตัวโซลูชัน CloudCampus 10 Gbps คุณภาพสูงเวอร์ชันอัปเกรดใหม่ที่มาพร้อมกับ 4 ฟีเจอร์สุดพิเศษ ได้แก่ การเข้าถึงความเร็วสูง, สถาปัตยกรรมแบบเรียบง่าย, สุดยอดประสบการณ์ และการดำเนินงานและการบำรุงรักษาแบบเรียบง่าย (O&M) โดยโซลูชันดังกล่าวพร้อมรองรับอนาคต มีความเหมาะสมอย่างยิ่งสำหรับองค์กรทั่วโลกในการสร้างเครือข่ายแคมปัสคุณภาพสูง “ความเร็ว 10 Gbps สำหรับสำนักงาน, 10 Gbps สำหรับการผลิต และ 10 Gbps สำหรับสาขา” เพื่อเร่งความเร็วในการเดินทางเปลี่ยนผ่านจากยุคดิจิทัลไปสู่ยุคระบบอัจฉริยะ

หัวเว่ย กำหนดนิยามใหม่ของความปลอดภัย เปิดตัว HiSec ผลิตภัณฑ์รักษาความปลอดภัยอัจฉริยะ และ HiSec SASE โซลูชันรักษาความปลอดภัยทรงพลัง [Guest Post]

ในงานหัวเว่ย คอนเนกต์ (HUAWEI CONNECT) ประจำปี 2566 หัวเว่ย ซีเคียวริตี้ (Huawei Security) ได้รวบรวมสุดยอดผู้นำอุตสาหกรรมระดับโลก ผู้เชี่ยวชาญทางเทคนิค และผู้มีอำนาจตัดสินใจระดับอาวุโสในอุตสาหกรรม มาร่วมสำรวจแนวทางใหม่ในการพัฒนาความปลอดภัยของเครือข่าย โดยในระหว่างการประชุมด้านความปลอดภัยนั้น คุณไมค์ หม่า (Mike Ma) ประธานฝ่ายผลิตภัณฑ์รักษาความปลอดภัย …