Google สั่งแบน CA จีนสองรายบน Google Chrome ฐานอนุมัติ CA แบบไร้มาตรฐาน

Google ได้ประกาศลงโทษ SSL/TLS Certificate Authority สองรายจากจีน ได้แก่ WoSign และบริษัทลูกของ WoSign ชื่อ StartCom โดย Google Chrome 61 จะไม่เชื่อถือ Certificate จากสองบริษัทนี้อีกต่อไป

 

ต้นเหตุของเรื่องราวในครั้งนี้เกิดขึ้นมาจากเมื่อเดือนสิงหาคม 2016 ที่ผ่านมา ทาง WoSign ได้ออก Base Certificate สำหรับโดเมนหนึ่งของ GitHub ให้แก่หนึ่งในผู้ใช้งานของ GitHub โดยไม่ได้รับอนุญาต จน Google ต้องนำ Whitelisted Hostname บางส่วนของ WoSign และ StartCom ออกไปจากการเชื่อถือของ Google Chrome 56 เป็นต้นไป แต่ในครั้งนี้ Google ก็ได้ประกาศจะไม่เชื่อถือ Certificate ใดๆ จาก WoSign และ StartCom ทั้งสิ้นอีกต่อไปแล้วใน Google Chrome 61

ก่อนหน้านี้ Apple และ Mozilla เองก็หยุดเชื่อถือ Certificate จาก WoSign และ StartCom มาแล้วเหมือนกัน เนื่องจากประเด็นทางด้านเทคนิคและการบริหารจัดการที่ย่ำแย่นั่นเอง

ด้วยเหตุนี้ ตั้งแต่กันยายน 2017 เป็นต้นไป เว็บไซต์ที่ใช้ SSL จากผู้ให้บริการทั้งสองรายนี้จะขึ้นแจ้งเตือนเรื่องความมั่นคงปลอดภัยบน Google Chrome โดยทาง Google ได้แนะนำให้ผู้ที่ใช้บริการจากทั้งสองรายนี้ ทำการเปลี่ยนไปใช้ Certificate จากผู้ให้บริการรายอื่นแทน

 

ที่มา: http://thehackernews.com/2017/07/chrome-certificate-authority.html