เว็บไมโครซอฟท์ในฟินแลนด์ถูกออกใบรับรองปลอม

live.fi เว็บหนึ่งของไมโครซอฟท์ถูกจดทะเบียนขอใบรับรอง SSL จากทาง Comodo ผู้ให้บริการรับรองเว็บรายใหญ่ ตอนนี้ทางไมโครซอฟท์รับทราบปัญหานี้แล้วและกำลังออกอัพเดตเพื่อบล็อคใบรับรองนี้อยู่ ทางฝั่ง Comodo เองประกาศยกเลิกใบรับรองนี้แล้ว

สำหรับ Windows 8, Windows Server 2012, และ Windows Phone 8 กระบวนการอัพเดตจะทำโดยอัพโนมัติ (ถ้าไม่ได้ไปปิดไว้) แต่สำหรับ Windows 7 และ Windows Server 2008 ต้องดาวน์โหลดตัวอัพเดตใบรับรองมาติดตั้งเองก่อน

ใบรับรองปลอมทำให้ผู้ใช้เสี่ยงกับการถูกดักฟังแม้จะเข้ารหัส (อ่านเพิ่มเติมบทความ mitmproxy)

ไมโครซอฟท์ระบุว่าสาเหตุของการออกใบรับรองปลอมเป็นเพราะความผิดพลาดในการคอนฟิก ทำให้ผู้ร้ายสามารถสมัครอีเมลฟรีด้วยชื่ออีเมลสำหรับผู้ดูแลระบบ กรณีของ Comodo จะรองรับการยืนยันความเป็นเจ้าของโดเมนด้วยอีเมลห้าแบบ ได้แก่ admin, administrator, postmaster, hostmaster, และ webmaster

เมื่อกลางปีที่แล้วกูเกิลก็ถูกปลอมใบรับรองจากหน่วยงานราชการในอินเดีย โดยยังไม่ทราบสาเหตุว่ามีการปล่อยใบรับรองไปได้อย่างไร

ที่มา - Arstechnica

HTTPS, Microsoft, Security, SSL