ກະແຈ CA ກວດກາ TLS ທີ່ຖືກລັກສາມາດຖອດລະຫັດເຊສຊັນທີ່ບັນທຶກໄດ້ບໍ?

“ຜູ້ໂຈມຕີໄດ້ລັກກະແຈສ່ວນຕົວຂອງພຣັອກຊີ” ຍັງຂາດລາຍລະອຽດທີ່ກຳນົດຄວາມເສຍຫາຍ: ກະແຈສ່ວນຕົວໃດ?

ພຣັອກຊີທີ່ກວດກາອາດເກັບກະແຈລົງນາມຂອງອົງກອນອອກໃບຢັ້ງຢືນ, ກະແຈໃບຢັ້ງຢືນເຊີບເວີທີ່ສ້າງຂຶ້ນ, ຄວາມລັບຂອງການສັນຈອນ TLS ສົດໆ, ວັດສະດຸສຳລັບສືບຕໍ່ເຊສຊັນ ແລະ ຂໍ້ຄວາມທຳມະດາໄວ້ໃນຫນ່ວຍຄວາມຈຳ ຫຼື ບັນທຶກຂອງຕົນ. ສິ່ງເຫຼົ່ານີ້ແມ່ນຊັບສິນຕ່າງກັນ.

ກະແຈ CA ໃຫ້ຄວາມສາມາດໃນການປອມຕົວ

ລູກຄ້າທີ່ຕັ້ງຄ່າໃຫ້ເຊື່ອຖື CA ກວດກາ ສາມາດຮັບໃບຢັ້ງຢືນທີ່ອອກພາຍໃຕ້ມັນໄດ້ ພາຍໃຕ້ຂໍ້ຈຳກັດຂອງສາຍໃບຢັ້ງຢືນ ແລະ ການກວດກາຂອງລູກຄ້າ. ຜູ້ທີ່ລັກກະແຈລົງນາມທີ່ກ່ຽວຂ້ອງອາດສ້າງໃບຢັ້ງຢືນອື່ນທີ່ຍອມຮັບໄດ້ພາຍໃນຂອບເຂດນັ້ນ.

ນັ້ນເປັນເລື່ອງຮ້າຍແຮງ ແຕ່ກະແຈຢ່າງດຽວບໍ່ໄດ້ປ່ຽນເສັ້ນທາງການເຊື່ອມຕໍ່ຂອງຜູ້ໃຊ້. ຜູ້ໂຈມຕີຍັງຕ້ອງມີຈຸດສະກັດກັ້ນທີ່ໃຊ້ໄດ້ ຫຼື ວິທີອື່ນເພື່ອໃຫ້ລູກຄ້າເຊື່ອມຕໍ່ກັບປາຍທາງທີ່ຖືກປອມ. ແອັບພລິເຄຊັນທີ່ມີການກວດໃບຢັ້ງຢືນເພີ່ມເຕີມອາດປະຕິເສດມັນ.

ກະແຈລົງນາມບໍ່ແມ່ນກະແຈຖອດລະຫັດບັນທຶກ

ໃນການຈັບມື TLS 1.3 ທີ່ພິສູດດ້ວຍໃບຢັ້ງຢືນ ແລະ ໃຊ້ Diffie–Hellman ແບບຊົ່ວຄາວ, ໃບຢັ້ງຢືນພິສູດການແລກປ່ຽນ. ກະແຈການສັນຈອນໄດ້ມາຈາກຄວາມລັບຂອງການຈັບມືແຍກຕ່າງຫາກ. ການໄດ້ກະແຈລົງນາມ CA ພາຍຫຼັງ ບໍ່ໄດ້ສ້າງຄວາມລັບຊົ່ວຄາວໃນອະດີດນັ້ນຄືນຈາກບັນທຶກໂດຍຕົວມັນເອງ.

ແມ່ນແຕ່ການລັກກະແຈສ່ວນຕົວຂອງໃບຢັ້ງຢືນເຊີບເວີກໍບໍ່ເທົ່າກັບການໄດ້ຄວາມລັບການສັນຈອນສຳລັບເຊສຊັນທີ່ບັນທຶກປະເພດນັ້ນ. ຢ່າຂະຫຍາຍເລື່ອງນີ້ໄປຫາທຸກຮູບແບບ TLS ໃນປະຫວັດສາດ ຫຼື ທຸກການຕັ້ງຄ່າສືບຕໍ່; ການແລກປ່ຽນກະແຈທີ່ເຈລະຈາ ແລະ ວັດສະດຸທີ່ຖືກລະເມີດຕ່າງຫາກທີ່ສຳຄັນ.

ການຖືກລະເມີດຂອງອຸປະກອນກວດກາທີ່ກຳລັງເຮັດວຽກອາດກວ້າງກວ່າການລັກກະແຈ CA ຂອງມັນຫຼາຍ. ອຸປະກອນຈັດການຂໍ້ຄວາມທຳມະດາເມື່ອກວດກາການສັນຈອນ ແລະ ອາດເກັບຄວາມລັບຂອງເຊສຊັນ ຫຼື ເກັບເນື້ອຫາທີ່ຖອດລະຫັດແລ້ວ. ການເປີດເຜີຍເຫຼົ່ານັ້ນຕ້ອງມີການສືບສວນເອງ ແລະ ບໍ່ສາມາດປັດໄປໄດ້ໂດຍການອ້າງເຖິງຄວາມລັບໄປຂ້າງຫນ້າ.

ອະທິບາຍເຫດການຢ່າງຖືກຕ້ອງ

ບັນທຶກວ່າວັດສະດຸທີ່ເສຍໄປແມ່ນກະແຈລົງນາມ, ກະແຈປາຍທາງ, ຄວາມລັບສົດໆ, ຂໍ້ຄວາມທຳມະດາທີ່ເກັບໄວ້ ຫຼື ການຄວບຄຸມອຸປະກອນເອງ. ການປ່ຽນ CA ກວດກາ ແລະ ປັບປຸງຄວາມເຊື່ອຖືຂອງລູກຄ້າ ແກ້ໄຂຄວາມສາມາດຫນຶ່ງ; ມັນບໍ່ໄດ້ລຶບບັນທຶກທີ່ຖືກສຳເນົາ ແລະ ບໍ່ຕັດສິນວ່າການສັນຈອນສົດໆຖືກອ່ານຫຼືບໍ່. ຊື່ກະແຈທີ່ຖືກຕ້ອງນຳໄປສູ່ການຕອບສະຫນອງທີ່ເປັນປະໂຫຍດກວ່າການເອີ້ນຄວາມລັບທຸກຢ່າງວ່າ “ກະແຈ SSL”.