ความเปลี่ยนแปลงสำคัญ: เมื่อ Chrome ยกเลิกการยืนยันตัวตนไคลเอนต์ด้วยใบรับรองสาธารณะ

ระบบดิจิทัลในปัจจุบันพึ่งพาการยืนยันตัวตนอย่างมาก เพื่อให้แน่ใจว่าการสื่อสารระหว่างเครื่องมือต่าง ๆ ปลอดภัยและเชื่อถือได้ หนึ่งในกลไกที่สำคัญคือ mTLS หรือ Mutual Transport Layer Security ซึ่งเป็นการยืนยันตัวตนแบบสองทาง

หมายความว่าทั้งฝั่งเซิร์ฟเวอร์และฝั่งไคลเอนต์ต่างต้องยืนยันตัวตนซึ่งกันและกัน โดยใช้ ใบรับรองดิจิทัล เป็นเครื่องมือพิสูจน์ตัวตน ความเข้าใจพื้นฐานนี้สำคัญอย่างยิ่ง ก่อนจะเข้าสู่การเปลี่ยนแปลงครั้งใหญ่ที่กำลังจะมาถึง

mTLS และความสำคัญของการยืนยันตัวตน

ก่อนอื่น มาทำความเข้าใจกันก่อนว่า mTLS คืออะไร พูดง่าย ๆ คือมันเป็นวิธีที่ทำให้สองฝ่ายที่สื่อสารกัน มั่นใจได้ว่าอีกฝ่ายเป็นใครจริง ๆ ไม่ใช่ผู้แอบอ้าง

ปกติแล้ว เวลาเข้าเว็บไซต์ เว็บไซต์จะส่ง ใบรับรอง TLS สาธารณะ มาให้เบราว์เซอร์ตรวจสอบ เพื่อยืนยันว่าเว็บไซต์นั้นเป็นของจริง นี่คือการยืนยันตัวตนทางเดียว แต่กับ mTLS สถานการณ์จะกลับกัน ทั้งเว็บไซต์และคอมพิวเตอร์ของคุณ ต่างต้องแสดงใบรับรองของตัวเองเพื่อพิสูจน์ตัวตน

กลไกนี้ถูกนำไปใช้ในหลายระบบ โดยเฉพาะในองค์กรที่มีความต้องการด้านความปลอดภัยสูง เพื่อควบคุมการเข้าถึงและปกป้องข้อมูล

Chrome กำลังเปลี่ยนแปลงกฎของเกม

ข่าวใหญ่ที่องค์กรต้องให้ความสนใจคือ Google Chrome กำลังจะยกเลิกการรองรับ การยืนยันตัวตนไคลเอนต์ ที่ใช้ ใบรับรอง TLS สาธารณะ ในเวอร์ชัน 123 ซึ่งคาดว่าจะเปิดตัวประมาณเดือนมีนาคม 2024

นี่ไม่ใช่การเปลี่ยนแปลงเล็ก ๆ แต่เป็นนโยบายที่ส่งผลกระทบโดยตรงต่อหลายองค์กรที่พึ่งพาการยืนยันตัวตนด้วยวิธีนี้

เหตุผลเบื้องหลังการเปลี่ยนแปลงนี้คือ การที่ผู้ออกใบรับรองสาธารณะ (Public Certificate Authorities หรือ CA) ควรเน้นบทบาทหลักในการยืนยันตัวตนของเซิร์ฟเวอร์ ไม่ใช่การยืนยันตัวตนของไคลเอนต์ การแยกบทบาทนี้ช่วยเพิ่มความชัดเจนและลดความเสี่ยงจากการใช้งานผิดวัตถุประสงค์ ใบรับรองสาธารณะไม่ได้ถูกออกแบบมาเพื่อระบุตัวตนบุคคลหรืออุปกรณ์ในเครือข่ายภายในองค์กร แต่ถูกออกแบบมาเพื่อบอกว่าเว็บไซต์นี้เป็นของจริง

ธุรกิจไหนบ้างที่ต้องเตรียมพร้อม

การเปลี่ยนแปลงนี้จะกระทบกับองค์กรที่ใช้ ใบรับรอง TLS สาธารณะ เพื่อยืนยันตัวตนอุปกรณ์หรือผู้ใช้งานในการเข้าถึงบริการหรือแอปพลิเคชันภายในเครือข่าย

หากองค์กรของคุณมีการใช้งาน mTLS ที่ใช้ใบรับรองจาก Public CA เพื่อพิสูจน์ตัวตนของไคลเอนต์ คุณคือกลุ่มที่ต้องดำเนินการทันที มิฉะนั้น อาจเกิดปัญหาการเข้าถึงระบบ บริการหยุดชะงัก หรือไม่สามารถเชื่อมต่อกับทรัพยากรที่จำเป็นได้

นอกจากนี้ ยังส่งผลกระทบต่อพันธมิตรทางธุรกิจที่ต้องเชื่อมต่อกับระบบของคุณด้วยวิธีนี้ด้วย

ถึงเวลาลงมือทำ: ขั้นตอนสำคัญที่ต้องเร่งดำเนินการ

สิ่งที่ต้องทำคือการเร่งดำเนินการแก้ไขก่อนที่ Chrome 123 จะเข้ามาสร้างปัญหา:

ประการแรก สำรวจและระบุ ทุกระบบและแอปพลิเคชันที่ใช้ ใบรับรอง TLS สาธารณะ สำหรับการยืนยันตัวตนไคลเอนต์ ตรวจสอบว่ามี “relying parties” หรือระบบอื่น ๆ ที่ต้องพึ่งพาการยืนยันตัวตนแบบนี้กี่จุด และอยู่ที่ไหนบ้าง

ประการที่สอง เปลี่ยนวิธีการยืนยันตัวตน หรือแทนที่ใบรับรองที่ใช้งานอยู่ โดยมีทางเลือกหลัก ๆ คือ:

หันไปใช้ระบบ PKI ส่วนตัว (Private PKI) ซึ่งเป็นระบบการออกใบรับรองภายในองค์กร
พิจารณาใช้ การยืนยันตัวตนแบบอื่น ที่เหมาะสมและปลอดภัย เช่น API keys, OAuth, SAML หรือ ใบรับรองอุปกรณ์ ที่จัดการผ่าน Mobile Device Management (MDM) อย่าง Intune

ประการที่สาม วางแผนการเปลี่ยนผ่าน อย่างรัดกุม ควรดำเนินการให้เสร็จสิ้นก่อนที่ใบรับรองจะหมดอายุ หรือก่อนที่ Chrome 123 จะถูกใช้งานในวงกว้าง

ประการสุดท้าย สื่อสาร กับผู้เกี่ยวข้องทั้งหมด ไม่ว่าจะเป็นทีมพัฒนา ทีมไอที หรือแม้กระทั่งคู่ค้า เพื่อให้ทุกคนเข้าใจถึงการเปลี่ยนแปลงและเตรียมพร้อมรับมือ

ก้าวไปข้างหน้าอย่างมั่นคง

การเปลี่ยนแปลงของ Chrome เป็นสัญญาณเตือนให้ทุกองค์กรหันมาทบทวนแนวทางด้านความปลอดภัยไซเบอร์ โดยเฉพาะเรื่องการยืนยันตัวตน นี่คือโอกาสดีที่จะยกระดับโครงสร้างพื้นฐานด้านความปลอดภัยให้แข็งแกร่งและสอดคล้องกับมาตรฐานที่ดีที่สุด

การดำเนินการอย่างรวดเร็วและรอบคอบจะช่วยลดความเสี่ยงที่อาจเกิดขึ้น และสร้างความมั่นใจว่าระบบดิจิทัลขององค์กรยังคงทำงานได้อย่างราบรื่นและปลอดภัยในระยะยาว