TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Microsoft ปล่อยอัปเดตแบบ out-of-band (OOB) สำหรับ Windows 11 และ Windows 10 เพื่อถอดความเชื่อถือใบรับรองที่เกี่ยวข้องกับคีย์ของ Certificate Authority (CA) eMudhra ที่ถูกเจาะ โดยเน้นปกป้องเครื่องที่ไม่ได้รับอัปเดต certificate trust แบบอัตโนมัติ
ต้นเหตุมาจากการพบ private key ของ intermediate CA จาก eMudhra จำนวน 8 ชุดที่อ่อนแอจนกู้คืนได้แทบจะทันที คีย์ทั้งหมดถูกสร้างขึ้นในเดือนเมษายน 2025 และมีค่าน้อยกว่า 256 ทำให้ใครก็ตามสามารถกู้คีย์ได้ด้วยการทดลองตัวเลขเพียง 256 ค่า คีย์ที่หลุดเหล่านี้อาจถูกใช้ปลอมใบรับรองของเว็บไซต์ที่ถูกต้องและดักฟังการสื่อสารที่เข้ารหัสไว้ หลังมีการเปิดเผยข้อมูล eMudhra ได้เพิกถอน intermediate certificate ทั้ง 8 ใบ และ Mozilla, Google, Apple รวมถึงผู้ผลิตซอฟต์แวร์รายอื่นก็เริ่มเพิกถอนใบรับรองเหล่านี้เช่นกัน
ก่อนหน้านี้ Microsoft ได้อัปเดต Windows Disallowed Certificate Trust List เพื่อบล็อก intermediate CA ทั้ง 8 ใบ ซึ่งแบ่งเป็นใบรับรองสำหรับ TLS 6 ใบและสำหรับ code signing 2 ใบ พร้อมออก CRLSet update ให้ Microsoft Edge และ WebView2 เพื่อบล็อกใบรับรอง TLS ที่ได้รับผลกระทบโดยไม่ต้องอัปเดตเบราว์เซอร์ ล่าสุด Microsoft ถอดใบรับรอง 7 ใบที่เกี่ยวข้องกับลำดับชั้นใบรับรองที่ได้รับผลกระทบออกจาก Windows trust list ได้แก่ eMudhra G3 root 6 ใบ และ cross-sign ของ AAA Certificate Services อีก 1 ใบ ตามที่ระบุไว้ในบล็อกของ Microsoft ซึ่งหมายถึงการยกเลิกความเชื่อถือ root certificate ของ eMudhra ที่ใช้ตรวจสอบใบรับรองอื่นที่ CA นี้ออกให้ด้วย และใบรับรองทั้ง 7 ใบนี้จะถูกถอดออกจาก trust list ของ Edge ในวันที่ 27 ตุลาคมเช่นกัน
อัปเดตที่ออกมาคือ KB5134133 สำหรับ Windows 11 เวอร์ชัน 24H2, 25H2 และ 26H2 และ KB5134125 สำหรับ Windows 10 เวอร์ชัน 21H2 และ 22H2 โดยออกแบบมาสำหรับเครื่องที่ไม่มีการเชื่อมต่อ Internet เครื่องที่เข้าถึงบริการอัปเดตใบรับรองของ Microsoft ไม่ได้ และเครื่องที่ปิดการอัปเดต Certificate Trust List (CTL) อัตโนมัติไว้ Microsoft ชี้ว่าการถอด root ออกจาก trust list ไม่เหมือนกับการเพิกถอน intermediate CA ที่ได้รับผลกระทบ เพราะเป็นการตัดสินใจด้านความเชื่อถือที่กว้างกว่า ทั้งนี้ องค์กรที่มีความจำเป็นด้าน compatibility อาจเลือกเชื่อถือใบรับรองบางใบในเครื่องเองได้ ตามผลการประเมินความปลอดภัยและนโยบายขององค์กร
Microsoft แนะนำให้ผู้ดูแลระบบติดตั้งอัปเดตนี้บนเครื่อง Windows ที่ไม่ได้เชื่อมต่อเครือข่าย และตรวจสอบหาใบรับรองที่พึ่งพา root ที่ถูกถอดออก ซึ่งอาจต้องเปลี่ยนใบรับรองใหม่ ขณะเดียวกัน Microsoft กำลังตรวจสอบ root ที่เหลือของ eMudhra และอาจปรับเปลี่ยนการตั้งค่าความเชื่อถือเพิ่มเติมตามความจำเป็น
