สรุปสั้น

บริษัท GoDaddy เริ่มเพิกถอนใบรับรอง SSL/TLS จำนวน 404,607 ใบครั้งใหญ่ หลังพบว่าใบรับรองที่ออกไปไม่ตรงกับนโยบายใบรับรองที่บริษัทประกาศไว้ ใบรับรองที่ได้รับผลกระทบอยู่ภายใต้เชน GoDaddy และ Starfield ปัญหาคือข้อมูลนโยบายในใบรับรอง ได้แก่ policy object identifier (OID) และ CPS URI ไม่ตรงกับโปรไฟล์ที่บรรยายไว้ใน Certificate Policy และ Certification Practice Statement (CP/CPS) ของ Starfield รายงานระบุชัดว่าเป็นความล้มเหลวด้านการปฏิบัติตามข้อกำหนด ไม่ใช่การขโมยกุญแจส่วนตัว

ตาม Baseline Requirements ของ CA/Browser Forum ใบรับรองที่ผิดนโยบายลักษณะนี้ต้องถูกเพิกถอนภายใน 5 วัน แต่เมื่อถึงเส้นตายวันที่ 18 ตุลาคม 2569 GoDaddy เพิกถอนได้เพียง 170,566 ใบ จึงกลายเป็นเหตุไม่สอดคล้องครั้งที่สองที่ต้องรายงานแยก ประกาศล่าสุดถึงลูกค้าระบุว่าใบรับรองที่ออกผิดถูกเพิกถอนครบเมื่อวันที่ 21 ตุลาคม 2569 ลูกค้าที่ยังใช้ใบรับรองเดิมอาจเจอคำเตือนความปลอดภัยในเบราว์เซอร์หรือเข้าเว็บไซต์ไม่ได้จนกว่าจะติดตั้งใบใหม่ และการได้รับใบใหม่ในบัญชีไม่ได้แปลว่าเว็บไซต์ใช้ใบนั้นแล้ว

รายละเอียดข่าว

เว็บไซต์ Cybersecurity News รายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่า GoDaddy เริ่มเพิกถอนใบรับรอง 404,607 ใบ หลังพบว่าใบรับรองที่ออกไปไม่ตรงกับนโยบายใบรับรองที่ประกาศไว้ และยังพลาดเส้นตายการเพิกถอนที่กำหนด ทำให้เกิดประเด็นการปฏิบัติตามข้อกำหนดซ้อนเป็นครั้งที่สอง

ตามรายงานเหตุการณ์ฉบับแรกใน Mozilla Bugzilla บุคคลภายนอกเป็นผู้แจ้งความแตกต่างระหว่างใบรับรองที่ออกกับโปรไฟล์ใน CP/CPS ของ Starfield ซึ่งเป็นเอกสารที่กำหนดกฎที่ CA ต้องปฏิบัติตามเมื่อออกใบรับรอง หลังยืนยันรายงาน GoDaddy หยุดออกใบรับรอง การตรวจสอบพบความแตกต่างเพิ่มเติมในหลายโปรไฟล์ บริษัทแก้ไขและเผยแพร่เอกสารใหม่ก่อนกลับมาออกใบรับรอง และการตรวจต่อมายังพบปัญหาลักษณะเดียวกันในเชน Starfield G2 รุ่นเก่าที่ไม่ได้ออกใบรับรองแล้ว

ใบรับรองที่ได้รับผลกระทบส่วนใหญ่เป็นแบบ Domain Validated (DV) โดย Starfield R1 DV มี 208,896 ใบ และ Starfield G2 DV มี 187,159 ใบ ที่เหลือเป็นใบรับรองแบบ Organization Validated (OV) และ Extended Validation (EV) จำนวนน้อยกว่าในเชน GoDaddy และ Starfield

GoDaddy เริ่มติดต่อลูกค้าตั้งแต่ 14 ตุลาคม รวมถึงลูกค้าที่ถือใบรับรองจำนวนมาก และองค์กรที่ให้บริการภาครัฐ การเงิน และสุขภาพ แต่เมื่อเส้นตายผ่านไปเวลา 23:45 UTC ของวันที่ 18 ตุลาคม เพิ่งเพิกถอนได้ 170,566 ใบ และเวลา 05:29 UTC ของวันที่ 19 ตุลาคม ยอดเพิ่มเป็น 227,422 ใบ บริษัทระบุว่าตั้งทีมเฉพาะดูแลการติดต่อลูกค้า การออกใบแทน การเพิกถอน และติดตามความคืบหน้าทางอีเมล SMS และโทรศัพท์

รายละเอียดปัญหา

ความผิดพลาดอยู่ในส่วนขยาย Certificate Policies ของใบรับรอง ซึ่งระบุ OID ของนโยบายที่ใบรับรองถูกออกภายใต้ และ CPS URI ที่ชี้ไปยังเอกสารแนวปฏิบัติของ CA เมื่อค่าเหล่านี้ไม่ตรงกับโปรไฟล์ที่ CA ประกาศไว้ ใบรับรองจึงถือว่าออกผิดนโยบาย แม้ตัวใบรับรองจะใช้เข้ารหัสได้ปกติและกุญแจไม่ได้รั่ว

รายงานการเพิกถอนล่าช้าอ้างหัวข้อ 4.9.1.1 ของ TLS Baseline Requirements ซึ่งกำหนดว่าใบรับรองที่ผิดนโยบายลักษณะนี้ควรถูกเพิกถอนภายใน 24 ชั่วโมง และต้องเพิกถอนภายใน 5 วัน ยกเว้นใบรับรองอายุสั้น โดยใช้เหตุผลการเพิกถอนเป็น “superseded” การพลาดเส้นตายจึงเป็นการละเมิดข้อกำหนดอีกข้อหนึ่งแยกจากต้นเหตุ ซึ่ง root program ของเบราว์เซอร์ใช้ประเมินความน่าเชื่อถือของ CA

ผลกระทบ

ใบรับรองกว่า 4 แสนใบเป็นตัวเลขที่ใหญ่สำหรับเหตุเพิกถอนครั้งเดียว และส่วนใหญ่เป็นใบ DV ของเว็บไซต์ธุรกิจขนาดเล็กที่อาจไม่มีทีมดูแลใบรับรองโดยเฉพาะ เว็บไซต์ที่ไม่ได้ติดตั้งใบใหม่จะเจอคำเตือนในเบราว์เซอร์หรือเชื่อมต่อไม่ได้ ซึ่งกระทบทั้งผู้เข้าชมและระบบที่เรียก API ผ่าน HTTPS คำเตือนของ GoDaddy ที่ว่าใบใหม่อาจอยู่ในบัญชีแล้วแต่เว็บยังเสิร์ฟใบเดิมคือจุดที่ลูกค้าจะพลาดมากที่สุด

ในภาพกว้าง เดือนนี้เป็นเดือนที่ปัญหาของ CA ถูกจับตาสูง ทั้งกรณีกุญแจ CA ตัวกลางของ eMudhra หลุด (โพสต์ 10/190) และกรณีนี้ซึ่งคล้ายเหตุ DigiCert เพิกถอนใบรับรองจำนวนมากจากความผิดพลาดในการตรวจ DNS เมื่อปี 2567 แม้ต้นเหตุจะต่างกัน การพลาดเส้นตายซ้ำยังทำให้ GoDaddy อาจถูก root program ของเบราว์เซอร์ตรวจสอบเข้มขึ้น

คำแนะนำ

  • ลูกค้า GoDaddy/Starfield ตรวจส่วน SSL Certificates ในบัญชี และทำตามประกาศเปลี่ยนใบรับรอง ถ้าได้รับแจ้งให้ติดตั้ง ให้ดาวน์โหลดและติดตั้งใบใหม่ทันที
  • ตรวจว่าเซิร์ฟเวอร์ เครื่องถ่วงโหลด CDN และอุปกรณ์ปลายทาง TLS ทุกจุดเสิร์ฟใบใหม่จริง เช่น ใช้ openssl s_client -connect host:443 -showcerts เทียบหมายเลขซีเรียล
  • ใช้เครื่องมือ inventory ใบรับรองหรือค้นใน Certificate Transparency log เพื่อหาใบที่ออกโดย GoDaddy/Starfield ทั้งหมดขององค์กร รวมถึงใบที่ทีมอื่นซื้อเอง
  • พิจารณาใช้การต่ออายุอัตโนมัติ (ACME) และเตรียมแผนเปลี่ยนใบรับรองเร่งด่วน เพราะเหตุเพิกถอนจำนวนมากเกิดขึ้นได้ทุก CA
  • เฝ้าระวังแจ้งเตือนจากระบบ monitoring เรื่องใบรับรองถูกเพิกถอนหรือ OCSP/CRL ตอบสถานะ revoked

แหล่งอ้างอิง