โอกาสสุดท้ายในการแก้ไข eIDAS: กฎหมายลับของสหภาพยุโรป (EU) ที่คุกคามความปลอดภัยของอินเทอร์เน็ต
(last-chance-for-eidas.org)- ข้อแก้ไขที่ใกล้เคียงกับข้อความฉบับสุดท้ายของระเบียบ eIDAS ของ EU ได้รับความเห็นชอบในการเจรจา ไตรภาคีแบบไม่เปิดเผยต่อสาธารณะ และมีการเพิ่มบทบัญญัติในช่วงท้ายที่กำหนดให้เว็บเบราว์เซอร์ในยุโรปต้องเชื่อถือหน่วยงานออกใบรับรองและคีย์เข้ารหัสที่รัฐบาล EU เลือก
- บทบัญญัตินี้เปิดทางให้คีย์ที่อยู่ภายใต้การควบคุมของรัฐบาลถูกใช้เพื่อ ดักฟังทราฟฟิกเว็บที่เข้ารหัส และทำให้เบราว์เซอร์ไม่สามารถเพิกถอนความเชื่อถือของคีย์ดังกล่าวได้หากไม่ได้รับอนุญาตจากรัฐบาล
- ประเทศสมาชิก EU สามารถออกใบรับรองเว็บไซต์ที่อาจส่งผลกระทบต่อพลเมืองนอกประเทศของตนได้ และไม่มี กลไกตรวจสอบถ่วงดุลที่เป็นอิสระ ต่อคีย์ที่ได้รับอนุมัติและวิธีการใช้งาน
- การตรวจสอบความปลอดภัยของเบราว์เซอร์ถูกจำกัดเฉพาะกรณีที่หน่วยงานมาตรฐานของ EU อย่าง ETSI อนุมัติล่วงหน้า โดยประวัติด้านมาตรฐานการเข้ารหัสของ ETSI และคณะทำงานเฉพาะด้านเทคโนโลยีดักฟังยิ่งเพิ่มความกังวลด้านความน่าเชื่อถือ
- ผู้เชี่ยวชาญและนักวิจัยด้านไซเบอร์ซีเคียวริตีมากกว่า 500 คน รวมถึงภาคประชาสังคม, Linux Foundation, Mullvad, DNS0.EU และ Mozilla เรียกร้องให้หยุดการแก้ไข Article 45 และปกป้องระบบความเชื่อถือด้านความปลอดภัยของเว็บ
ภาระหน้าที่ของเบราว์เซอร์ในการเชื่อถือหน่วยงานออกใบรับรองของรัฐบาล
- ข้อความที่เกือบเป็นฉบับสุดท้ายของระเบียบ eIDAS ได้รับความเห็นชอบระหว่าง ผู้เจรจาไตรภาคี ซึ่งเป็นตัวแทนของสถาบันหลักของ EU หลังผ่านกระบวนการนิติบัญญัติมาหลายปี
- บทบัญญัติใหม่ถูกนำเสนอในการประชุมแบบไม่เปิดเผยต่อสาธารณะเมื่อไม่นานมานี้ และในขณะที่ยังไม่ได้เผยแพร่ จะถูกนำเสนอให้สาธารณะและรัฐสภาอนุมัติโดยพฤตินัยก่อนสิ้นปี
- เว็บเบราว์เซอร์ทั้งหมดที่เผยแพร่ในยุโรปต้องเชื่อถือ หน่วยงานออกใบรับรอง และคีย์เข้ารหัสที่รัฐบาล EU เลือก
- ประเทศสมาชิก EU สามารถกำหนดคีย์เข้ารหัสที่จะถูกแจกจ่ายไปยังเบราว์เซอร์ได้ และเบราว์เซอร์ไม่สามารถเพิกถอนความเชื่อถือของคีย์ดังกล่าวได้หากไม่ได้รับอนุญาตจากรัฐบาล
ความเสี่ยงที่อาจนำไปสู่การดักฟังทราฟฟิกเว็บ
- ข้อแก้ไขเปิดให้คีย์เข้ารหัสที่รัฐบาลควบคุมถูกใช้เพื่อดักจับ ทราฟฟิกเว็บที่เข้ารหัส ทั่วทั้ง EU ซึ่งเพิ่มขีดความสามารถของรัฐบาล EU ในการสอดส่องพลเมืองอย่างมาก
- รัฐบาลของประเทศสมาชิก EU ใด ๆ ก็สามารถออกใบรับรองเว็บไซต์ที่จะใช้สำหรับการดักฟังและการสอดส่องได้
- อาจมีผลบังคับใช้กับพลเมือง EU ที่ไม่ได้อาศัยอยู่ในประเทศสมาชิกผู้ออกใบรับรองหรือไม่มีความเกี่ยวข้องกับประเทศนั้น
- ไม่มี กลไกตรวจสอบหรือถ่วงดุลที่เป็นอิสระ ต่อคีย์ที่ประเทศสมาชิกอนุมัติและวิธีการใช้งาน
- ในบางประเทศสมาชิก การปฏิบัติตามหลักนิติธรรมไม่ได้สม่ำเสมอ และยังมีกรณีที่มีเอกสารยืนยันเกี่ยวกับการบีบบังคับโดยตำรวจลับเพื่อวัตถุประสงค์ทางการเมือง ทำให้ความกังวลเพิ่มขึ้น
โครงสร้างที่อนุญาตเฉพาะการตรวจสอบที่ ETSI อนุมัติ
- ข้อความดังกล่าวห้ามเบราว์เซอร์นำการตรวจสอบความปลอดภัยไปใช้กับคีย์และใบรับรองของ EU โดยข้อยกเว้นจำกัดอยู่เฉพาะการตรวจสอบที่ ETSI หน่วยงานมาตรฐาน IT ของ EU อนุมัติไว้ล่วงหน้าเท่านั้น
- โครงสร้างที่แข็งตัวเช่นนี้อาจเป็นปัญหาสำหรับทุกหน่วยงาน และหน่วยงานมาตรฐานที่รัฐบาลควบคุมมีความเปราะบางเป็นพิเศษต่อแรงจูงใจที่ไม่สอดคล้องกันในด้านการเข้ารหัส
- ETSI มีความกังวลด้านความน่าเชื่อถือจากประวัติการสร้างมาตรฐานการเข้ารหัสที่ถูกบ่อนทำลาย
- ตัวอย่างที่ถูกกล่าวถึง ได้แก่ คำวิจารณ์ ETSI TLS ของ EFF, แบ็กดอร์วิทยุสื่อสารตำรวจ TETRA และแบ็กดอร์การเข้ารหัสโทรศัพท์มือถือในทศวรรษ 1990
- ETSI ยังมีคณะทำงานที่มุ่งเน้นอย่างเต็มที่กับการพัฒนาเทคโนโลยีดักฟัง
ช่องว่างในการตรวจสอบที่เกิดจากกระบวนการไม่เปิดเผยต่อสาธารณะ
- ข้อความนี้ถูกนำเสนอแบบ ไม่เปิดเผยต่อสาธารณะ ในช่วงท้ายของกระบวนการนิติบัญญัติ ซึ่งสร้างแรงกดดันต่อบรรทัดฐานประชาธิปไตยของยุโรปด้วย
- แม้ข้อตกลงเองจะมีการประกาศต่อสาธารณะเมื่อปลายเดือนมิถุนายน แต่ประกาศไม่ได้กล่าวถึงใบรับรองเว็บไซต์ และไม่ได้กล่าวถึงบทบัญญัติใหม่ดังกล่าว
- ภาคประชาสังคม แวดวงวิชาการ และประชาชนทั่วไปแทบไม่สามารถตรวจสอบกฎหมายที่ผู้แทนของตนอนุมัติในการประชุมลับ หรือแม้แต่รับรู้ถึงการมีอยู่ของกฎหมายดังกล่าวได้
การคัดค้านจากผู้เชี่ยวชาญ ภาคประชาสังคม และอุตสาหกรรม รวมถึงขั้นตอนที่เหลือ
- ผู้เชี่ยวชาญและนักวิจัยด้านไซเบอร์ซีเคียวริตีมากกว่า 500 คนทั่วโลกได้ลงนามใน จดหมายเปิดผนึก เรียกร้องให้ EU ถอนแผนและปกป้องความปลอดภัยของเว็บ
- จดหมายเปิดผนึกระบุว่าข้อเสนอ Article 45 จะขยายขีดความสามารถในการสอดส่องของรัฐบาลอย่างมาก มอบเครื่องมือสำหรับดักฟังทราฟฟิกเว็บที่เข้ารหัส และทำให้กลไกกำกับดูแลเดิมที่พลเมืองยุโรปพึ่งพาอ่อนแอลง
- องค์กรภาคประชาสังคมก็สนับสนุนจดหมายเปิดผนึกเช่นกัน
- บริษัทและองค์กรที่สร้างและปกป้องอินเทอร์เน็ตก็ออกจุดยืนแยกต่างหาก
- ข้อความดังกล่าวมีกำหนดรอการอนุมัติในการ ประชุมไตรภาคี แบบไม่เปิดเผยต่อสาธารณะครั้งสุดท้ายที่จะจัดขึ้นที่บรัสเซลส์ในวันที่ 8 พฤศจิกายน
- หลังจากนั้น ข้อความจะถูกเผยแพร่และเข้าสู่กระบวนการให้สัตยาบันอย่างเป็นทางการในรัฐสภายุโรป
- การให้สัตยาบันอย่างเป็นทางการคาดว่าจะเกิดขึ้นภายในช่วงไม่กี่เดือนแรกของปี 2024
- โดยปกติ ข้อความจากการเจรจาไตรภาคีจะถูกนำไปตราเป็นกฎหมายโดยไม่มีการเปลี่ยนแปลง การลงมตินี้จึงถูกมองว่าเป็นขั้นตอนเชิงพิธีการ
- พลเมืองยุโรปสามารถแจ้งข้อกังวลต่อสมาชิกรัฐสภายุโรปผู้รับผิดชอบไฟล์ eIDAS อย่าง Romana JERKOVIĆ ได้
- ผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี นักวิจัย และผู้เกี่ยวข้องกับ NGO สามารถพิจารณาลงนามในจดหมายเปิดผนึกที่ eidas-open-letter.org ได้
- เอกสารที่เกี่ยวข้อง:
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ถ้าใครจะบอกว่าแก่นของกฎหมายฉบับนี้ไม่ใช่การสอดส่อง ก็ต้องบอกว่า การสอดส่องคือแก่นหลัก จริง ๆ
ไม่นานมานี้เยอรมนีก็พยายามโจมตีแบบ Man-in-the-Middle กับผู้ใช้ jabber.ru[1] และถ้ามีหน่วยงานออกใบรับรองที่สามารถถูกบังคับให้ออกใบรับรองอะไรก็ได้ ก็ค่อนข้างแน่ว่ามันจะถูกใช้เพื่อการสอดส่อง
[1] https://notes.valdikss.org.ru/jabber.ru-mitm/
ข้อกำหนดที่ว่าบราวเซอร์ต้องเพิ่มหน่วยงานออกใบรับรองบางแห่งอาจมีไว้เพื่อการสอดแนมก็จริง แต่ eIDAS ทั้งหมด ไม่ได้ใกล้เคียงกับการมีไว้ช่วยการสอดส่อง เท่ากับการพยายามรวมบริการใบรับรองอิเล็กทรอนิกส์ต่าง ๆ ของ EU เข้าด้วยกัน
ตัวอย่างเช่น งานธนาคาร การลงนามเอกสารทางการอย่างผลการเรียนของโรงเรียน ล้วนเป็นส่วนหนึ่งของ eIDAS และในบริบทนี้ต่างจากฝั่งเบราว์เซอร์ตรงที่ไม่มีรายการหน่วยงานที่เชื่อถือได้ จึงสำคัญที่จะต้องตรวจข้อมูลใบรับรองโดยตรงเพื่อดูว่าแหล่งที่มาถูกต้องหรือไม่
ฝั่งเบราว์เซอร์ดูเหมือนจะไม่ต้องการให้นำมาใช้ เพราะมีมาตรฐานภายในของตัวเองที่มองว่าดีกว่า eIDAS อยู่แล้ว และแทนที่จะเป็นแผนสมคบคิด ดูจะเข้ากับมีดโกนของอ็อกคัมมากกว่าว่า EU แค่เพิ่มว่า “ให้บราวเซอร์ทำด้วย” แทนที่จะยกเว้นบราวเซอร์ออกไป
หน่วยงานออกใบรับรองของรัฐเยอรมนีแต่แรกก็ไม่ควรออกใบรับรองสำหรับ .ru ได้อยู่แล้ว และถึงจะถูกกดดันจากหน่วยข่าวกรอง ผู้ดูแลหน่วยงานออกใบรับรองก็คงไม่อยากทิ้งหลักฐานการใช้งานผิดวัตถุประสงค์ไว้อย่างชัดเจนใน certificate transparency log
เบราว์เซอร์ควรจัดระบบให้ดีและรองรับหน่วยงานออกใบรับรองที่มีข้อจำกัดตามโดเมน รวมถึงเพิ่มรายการอนุญาตแบบเลือกได้สำหรับหน่วยงานออกใบรับรองของเว็บไซต์เฉพาะราย
ต่อให้ไม่มี certificate transparency การเปลี่ยนใบรับรองเซิร์ฟเวอร์ก็ยังมองเห็นได้จากฝั่งไคลเอนต์ และหากมีความพยายามแบบ Let’s Encrypt ก็สามารถทำให้ผู้ดูแลเซิร์ฟเวอร์เห็นได้เช่นกัน
UI ของเบราว์เซอร์ก็น่าจะแสดง qualified certificate ใหม่ให้ต่างจากใบรับรองเดิมด้วย จึงไม่แน่ใจว่าจะใช้งานได้จริงหรือไม่
ปัญหาใหญ่กว่าคือ ถ้าวิธีนี้จะใช้ได้จริง กฎระเบียบจะต้องมีข้อกำหนดที่เปิดให้สามารถออกการอ้างตัวตนปลอมสำหรับตัวตนที่มีอยู่แล้วให้กับเจ้าหน้าที่บังคับใช้กฎหมายหรือหน่วยงานความมั่นคงได้
เวอร์ชันก่อนหน้านี้ดูเหมือนจะไม่มีเนื้อหาแบบนั้น และก็ไม่เหมือนกับบัตรประจำตัวปลอมสำหรับงานสืบสวนแฝง เพราะบัตรแบบนั้นโดยมากเป็นตัวตนที่แต่งขึ้นมา ไม่ใช่การสวมรอยเป็นบุคคลจริงคนอื่น
รายละเอียดต้องอ่านตัวกฎที่เสนอจริง ๆ ถึงจะรู้ แต่ดูเหมือนทั้งฝ่ายนิติบัญญัติและฝ่ายที่ปลุกเร้าความโกรธต่างก็ไม่อยากให้เราตัดสินด้วยตัวเอง จึงซ่อนร่างไว้
ลิงก์ที่เกี่ยวข้อง:
https://mullvad.net/en/blog/2023/11/2/eu-digital-identity-framework-eidas-another-kind-of-chat-control/
https://alecmuffett.com/article/108139
เป็นลิงก์จาก https://news.ycombinator.com/item?id=38109581 และ https://news.ycombinator.com/item?id=38109731 ตามลำดับ และดูเหมือนว่าความคิดเห็นจะถูกรวมมาที่นี่
แม้จะน่ากังวลมาก แต่ขอพูดนอกเรื่องนิดหนึ่งว่า นี่ไม่ใช่ กฎหมายลับ
กฎหมายของ EU ทุกฉบับถูกเผยแพร่บนเว็บไซต์ทางการในทุกภาษาทางการ และกฎหมายส่วนใหญ่รวมถึงฉบับนี้ต้องได้รับการให้สัตยาบันอย่างเปิดเผยจากรัฐสภายุโรปที่มาจากการเลือกตั้งโดยตรงก่อนมีผลใช้บังคับ
อยากให้ลดพาดหัวเรียกคลิกแบบเร้าอารมณ์สไตล์แท็บลอยด์อังกฤษลงหน่อย
อาจคิดว่าถ้อยคำแบบนี้ช่วยสื่อความเร่งด่วนให้สาธารณะรับรู้ได้ แต่พูดตามตรงมันกลับทำให้ผมสงสัยความจริงของข้อกล่าวอ้างในบทความเท่านั้น
อย่างไรก็ตาม ในกรณีนี้ผมเชื่อถือ Mozilla และหวังว่าเนื้อหาของกฎหมายจะไม่ได้ถูกบิดเบือน
รัฐสภา EU ไม่ใช่แค่ตรายาง และประเด็นนี้ก็ร้ายแรงพออยู่แล้วโดยไม่ต้องพึ่ง clickbait หรือการพูดเกินจริงแบบโจ่งแจ้ง
แต่ก็คงเพราะพยายามเขียนให้สั้น
ผมดูการนำเสนอบน YouTube หลายอันด้วย แต่แม้จะอัปโหลดมานานพอสมควรแล้ว เท่าที่เห็นยอดดูทั้งหมดก็ยังไม่ถึง 100 ครั้ง
ถ้าร่างฉบับปัจจุบันยังเป็นความลับ ผมก็คิดว่าการส่งเสียงเตือนก็สมเหตุสมผล
แล้วเบราว์เซอร์โอเพนซอร์สจะเป็นอย่างไร? จะถูกบังคับให้ทำตามหรือ?
รัฐบาลจะตรวจโค้ดแล้วห้ามแจกจ่ายเวอร์ชันที่เอาใบรับรองของรัฐออกหรือเปล่า หรือจะถึงขั้นทำให้ เบราว์เซอร์โอเพนซอร์ส กลายเป็นสิ่งผิดกฎหมาย?
พูดอีกครั้ง คนที่ตั้งใจจะทำอะไรสักอย่างและมีหัวคิดสักหน่อยก็จะไม่โดนจับด้วยวิธีนี้ มีแต่คนที่เหลือเท่านั้นที่โดน
ก็สงสัยเหมือนกันว่านี่จะเชื่อมไปถึงเรื่องไร้สาระที่ Google เคยพยายามทำให้เว็บเพจไม่สามารถถูกแก้ไขด้วยตัวบล็อกโฆษณาอะไรทำนองนั้นได้หรือไม่ แบบว่าถ้าใช้เบราว์เซอร์ที่ไม่ได้รับการรับรองก็จะท่องเว็บไม่ได้
Apple ก็เคยพยายามออกฟีเจอร์ CSAM scan ฝั่งไคลเอนต์โดยมีความคาดหวังคล้ายกัน และหลังจากนั้นไม่นานก็มีข้อเสนออย่าง Chatcontrol ตามมา
ส่วนเรื่องเบราว์เซอร์โอเพนซอร์ส ดูความคิดเห็นอื่นในเธรดเดียวกันได้[1]
[1] https://news.ycombinator.com/item?id=38110667
ถ้าคุณกังวลกับข้อเสนอนี้ ก็ควรดูรายชื่อหน่วยงานออกใบรับรองที่เบราว์เซอร์เชื่อถืออยู่ในปัจจุบันด้วย
หน่วยงานเหล่านั้นทั้งหมดสามารถออก ใบรับรองปลอมแปลง ที่เบราว์เซอร์ยังเชื่อถือได้ และอาจถูกใช้กับการโจมตีแบบคนกลางได้
ตัวอย่างเช่น ในบรรดาหน่วยงานออกใบรับรองที่รวมอยู่ใน Firefox ชื่ออย่าง Beijing Certificate Authority, China Financial CA, Guang Dong CA อาจทำให้รู้สึกไม่สบายใจ
ระบบหน่วยงานออกใบรับรองของเบราว์เซอร์นั้นพังในเชิงโครงสร้างอยู่แล้ว และหากรัฐสามารถดักทราฟฟิก IP ได้ด้วยความร่วมมือจาก ISP พร้อมทั้งสร้างใบรับรองปลอมด้วยความร่วมมือจากหน่วยงานออกใบรับรอง ก็จะทำให้มองเห็นทราฟฟิกทั้งหมดได้
เบราว์เซอร์หลักอย่าง Chrome, Safari และ Edge จะยอมรับเฉพาะใบรับรองที่ถูกเผยแพร่ใน certificate transparency log เท่านั้น
หากพบว่าหน่วยงานออกใบรับรองได้ออกใบรับรองเพื่อใช้ในการโจมตีแบบคนกลางจริง เบราว์เซอร์จะถอนความเชื่อถืออย่างรวดเร็ว
ดังนั้นในทางปฏิบัติการนำระบบหน่วยงานออกใบรับรองแบบเดิมมาใช้ทำการโจมตีแบบคนกลางจึงไม่ง่ายนัก
แต่ข้อเสนอ eIDAS กลับทำให้เบราว์เซอร์ไม่สามารถไม่เชื่อถือหน่วยงานออกใบรับรองที่ถูกใช้ในการโจมตีแบบคนกลางได้ และห้ามการตรวจสอบบังคับอย่าง certificate transparency เว้นแต่ EU จะยินยอม
สิ่งนี้สร้างระบบที่ใช้งานได้จริงมากสำหรับการโจมตีแบบคนกลางโดยรัฐบาล
ก่อนอื่น คุณต้องเชื่อมต่อไปยังบริการที่ใช้ใบรับรองแบบนั้นก่อน
น่าจะมีการทดลองที่น่าสนใจ เช่น บันทึกใบรับรองของเว็บที่คุณใช้อยู่เป็นประจำทั้งหมดสักประมาณหนึ่งเดือน แล้วดูว่ามีรายการน่าสงสัยหรือไม่
ไม่แน่ใจว่ามีส่วนขยายที่ทำการทดลองแบบนั้นได้หรือเปล่า แต่รายชื่อผลลัพธ์น่าจะมีประโยชน์กว่ามาก
ถ้าเป็นการสื่อสารที่ผ่านจีนแผ่นดินใหญ่ ก็ต้องสมมติว่าทราฟฟิกอินเทอร์เน็ตทั้งหมดถูกเฝ้าระวังเชิงรุกด้วยวิธีที่ง่ายกว่าการใช้หน่วยงานออกใบรับรองมาก
แต่ใน EU สมมติฐานแบบนั้นใช้ได้จริงน้อยกว่ามาก และผมก็ไม่คิดว่ารัฐบาลจีนจะบังคับให้ Firefox เชื่อถือหน่วยงานออกใบรับรองด้วยกฎหมายได้ ซึ่งก็น่าประชดดี
แต่ข้อบังคับของ EU ดูแทบไม่มีข้อกำหนดแบบนั้นเลย ขณะที่ยังบังคับให้รวม root certificate เข้าไป
ดังนั้นจึงมองไม่ได้ว่าแนวทางของ Browser/CA Forum กับ eIDAS เป็นสิ่งเดียวกัน
ในฐานะคนที่เข้าใจเทคโนโลยีของ EU ผมอยากเสริมอีกมุมหนึ่งว่าทำไมบางคนถึงอาจสนับสนุนร่างกฎหมายนี้ได้ ไม่จำเป็นต้องเป็นจุดยืนของผมเอง และผมก็ยังไม่ตัดสินใจ
ระบบบริหารภาครัฐดิจิทัล ของประเทศเราทำให้ชีวิตสะดวกขึ้นมาก
บัตรประจำตัวเป็นสิ่งบังคับมาหลายสิบปีแล้ว แต่ตอนนี้มีชิปที่เก็บใบรับรองสำหรับการยืนยันตัวตน การลงลายมือชื่อ ฯลฯ ทำให้สามารถตรวจภาษี กรอกแบบฟอร์มราชการ ตรวจค่าปรับจราจร และลงนามเอกสารทางการจากที่บ้านได้
เท่าที่ผมเข้าใจ เรื่องนี้พึ่งพาให้ user agent ยอมรับหน่วยงานออกใบรับรองบางแห่ง และมีความสำคัญถึงระดับที่หากหน่วยงานออกใบรับรองไม่อัปเดตหรือไม่เป็นที่รู้จัก เบราว์เซอร์อาจบล็อกการเข้าถึงบางส่วนของเว็บไซต์ราชการ
ร่างกฎหมายนี้ดูเหมือนจะเป็นการย้ายอำนาจในการดูแลบางส่วนของโครงสร้างพื้นฐานหน่วยงานออกใบรับรองไปให้รัฐบาล
เหมือนกฎหมายของ EU หลายฉบับ มันเป็นการบังคับย้ายอำนาจที่เคยอยู่กับบริษัทเอกชน ซึ่งส่วนใหญ่มักเป็นบริษัทอเมริกัน ไปยังรัฐบาลของ EU
ถ้าความเชื่อถือที่มีต่อรัฐบาลสูงกว่าหรือเท่ากับความเชื่อถือที่มีต่อบริษัทเอกชน มันก็อาจฟังดูไม่ได้เลวร้ายนัก
ผมไม่ได้จะบอกว่าถูกหรือผิด แต่คิดว่านี่ช่วยให้เข้าใจได้ว่าทำไมคนจำนวนมากใน EU อาจไม่ได้คัดค้านร่างกฎหมายแบบนี้มากนัก
มันจะทำให้ไม่สามารถปฏิเสธหน่วยงานออกใบรับรองของรัฐบาลเหล่านี้ได้ และยังเปิดช่องให้ติดตามกิจกรรมได้ด้วย
แทบจะเท่ากับการมอบสิทธิ์เข้าถึง ประวัติการท่องเว็บ และทราฟฟิกบางส่วนที่ถูกถอดรหัสแล้วให้แก่ประเทศใน EU ที่คุณไว้วางใจน้อยที่สุด
อาจลดขอบเขตได้ แต่เมื่อดูจากผลลัพธ์แล้ว มันอาจไม่ใช่สิ่งที่พวกเขาต้องการจริง ๆ
ความวุ่นวายส่วนใหญ่ดูเหมือนจะมาจากการบังคับให้รัฐบาลเข้ามาอยู่ในโครงสร้างพื้นฐานหน่วยงานออกใบรับรอง และจากการที่ผลกระทบลามออกไปนอก EU ด้วย
สำหรับประเด็นหลัง ผมรู้สึกแปลกมาตลอดที่ root store ทุกแห่งโดยพื้นฐานแล้วรวมหน่วยงานออกใบรับรองหลายร้อยแห่งจากทั่วโลกไว้เป็นค่าเริ่มต้น
โดยปริยายมันถือว่าเชื่อถือองค์กรใหญ่ ๆ อย่าง Google, Amazon ตลอดจนรัฐอย่าง Staat der Nerderlanden และหน่วยงานชวนกังขาอย่าง Hongkong Post office ได้เท่า ๆ กัน
เพราะงั้นถ้า EU จะขอเอาเก้าอี้มาเพิ่มอีกตัวที่โต๊ะนี้ แล้วทุกคนจะลุกฮือขึ้นมาก็ไม่น่าแปลกใจ
มันไม่สมเหตุสมผลกว่าหรือที่ผู้ใช้ควรควบคุมและรับผิดชอบต่อใบรับรองใน root store ได้มากขึ้น? หรือควรจำกัดหน่วยงานออกใบรับรองไว้กับโดเมนเฉพาะ?
ถ้าหน่วยงานออกใบรับรองที่ EU อนุมัติรับรองได้แค่ความแท้จริงของบริการใน EU และไม่สามารถรับรองเว็บร้านค้าหรือ whitehouse.gov ได้ ผมก็พอรับได้
ผมรู้สึกมาตลอดว่าหน่วยงานออกใบรับรองควรถูกจำกัดให้แคบลงมากกว่านี้กับ กรณีการใช้งานด้านความเชื่อถือ เฉพาะทาง
มันดูเหมือนเป็นการแทนที่หน่วยงานออกใบรับรองทั้งหมด เพื่อให้ EU สามารถเห็นเนื้อหาของทราฟฟิกทั้งหมดที่ถูกพร็อกซีทั้งภายในและภายนอกประเทศได้
แต่กับคนร้ายตัวจริง ก็ดูไม่น่าจะได้ผลดีสักอย่าง
ถ้าหน่วยงานออกใบรับรองเป็นบริษัทหรือองค์กรไม่แสวงกำไร ความเชื่อถือก็คือสินค้าของมัน และถ้า Let’s Encrypt ทำพัง ลูกค้าก็ไปใช้ที่อื่นได้
แต่ใน EU ดูเหมือนว่าจะพยายามติดตั้งใบรับรองของหน่วยงานออกใบรับรองของทุกประเทศสมาชิกลงในทุกเบราว์เซอร์ ซึ่งจะทำให้รัฐบาลของประเทศสมาชิก A สามารถโจมตีแบบคนกลางต่อการเชื่อมต่อของพลเมืองประเทศสมาชิก B ได้
ต่อให้เว็บไซต์จะได้ใบรับรองจากผู้ให้บริการปัจจุบันรายใดก็ตาม รัฐบาล EU ใด ๆ ก็สามารถโจมตีแบบคนกลางต่อผู้ใช้ได้โดยที่บริษัทไม่รู้ตัว
อีกทั้งถ้าในทางเทคนิคสามารถเลี่ยงร่างกฎหมายนี้ได้ ก็น่าสงสัยเหมือนกันว่ามันจะช่วยได้จริงแค่ไหน เพราะพวก “อาชญากร” ก็คงใส่ใจเรื่องใช้เบราว์เซอร์ที่เหมาะสมกันอยู่แล้ว
ถ้าเว็บไซต์ของรัฐบาลอยากใช้หน่วยงานออกใบรับรองของตัวเอง นั่นก็เป็นอีกเรื่องหนึ่ง และสิ่งสำคัญสำหรับการยืนยันตัวตนก็คือ กุญแจที่เก็บอยู่ในบัตรประจำตัว
หากอ้างอิงจากต้นฉบับ:
https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf
มาตรา 45 วรรค 2 ระบุว่า “ใบรับรองที่มีคุณสมบัติสำหรับการยืนยันตัวตนเว็บไซต์ตามวรรค 1 จะต้องได้รับการยอมรับโดยเว็บเบราว์เซอร์”
และยังระบุว่าเว็บเบราว์เซอร์ต้องแสดงข้อมูลตัวตนที่ให้มาตามวิธีดังกล่าวในลักษณะที่เป็นมิตรต่อผู้ใช้ และต้องรองรับใบรับรองที่มีคุณสมบัติสำหรับการยืนยันตัวตนเว็บไซต์พร้อมรับประกันการทำงานร่วมกันได้ ยกเว้นธุรกิจขนาดเล็กมากและขนาดเล็กในช่วง 5 ปีแรกนับจากเริ่มดำเนินการในฐานะผู้ให้บริการเว็บเบราว์ซิง
มาตรา 45a วรรค 3 ระบุว่าหลักฐานอิเล็กทรอนิกส์แบบมีคุณสมบัติสำหรับแอตทริบิวต์ที่ออกในประเทศสมาชิกหนึ่ง จะต้องได้รับการยอมรับเป็นหลักฐานอิเล็กทรอนิกส์แบบมีคุณสมบัติในประเทศสมาชิกอื่นด้วย
มาตรา 45a วรรค 4 ระบุว่าหลักฐานแอตทริบิวต์ที่หน่วยงานภาครัฐออกเองหรือออกโดยตัวแทน จะต้องได้รับการยอมรับในทุกประเทศสมาชิกว่าเป็นหลักฐานที่ออกโดยหน่วยงานภาครัฐนั้น
ในการเจรจาไตรภาคีล่าสุดมีการเพิ่มวรรค 45(2a) แต่ยังไม่ถูกเปิดเผย จึงเกิดข้อร้องเรียนเรื่องความลับขึ้น
จดหมายเปิดผนึก(https://eidas-open-letter.org) ก็สื่อถึงเรื่องนี้เช่นกัน
ร่างกฎหมายที่เสนอในมาตรา 45 วรรค 2a ยังห้ามการนำการตรวจสอบความปลอดภัยมาใช้เมื่อทำการตรวจสอบใบรับรองที่ใช้กับทราฟฟิกเว็บที่เข้ารหัสด้วย
หากเป็นไปตามถ้อยคำปัจจุบัน จะไม่สามารถบังคับใช้ข้อกำหนดภาคบังคับใด ๆ กับใบรับรองเว็บไซต์ของ EU นอกเหนือจากที่ระบุไว้ในมาตรฐาน ETSI ได้
นี่แย่มาก เพราะเบราว์เซอร์อาจถูกห้ามไม่ให้กำหนดให้มี Certificate Transparency, ห้ามอัลกอริทึมแฮชที่อ่อนแออย่าง SHA-1, หรือกำหนดให้ใช้คีย์ต้านทานควอนตัม หาก EU ไม่เห็นชอบ
แบบนั้นก็เพียงเพิ่มหน่วยงานออกใบรับรองแค่แห่งเดียวลงในรายการของเบราว์เซอร์ และหากจำเป็นก็เพิ่มหรือลบได้ หรือเพิ่มเฉพาะเวลาต้องโต้ตอบกับรัฐบาลแล้วลบออกจากเบราว์เซอร์เมื่อเสร็จสิ้น
ดูเหมือนว่าจะทำโปรแกรมที่มีคนช่วยจัดการให้อัตโนมัติสำหรับผู้ใช้ที่ไม่เชี่ยวชาญเทคนิคได้ด้วย อาจมีแค่สองปุ่มคือ “ต้องการเข้าถึงรัฐบาล” และ “ตอนนี้ไม่ต้องการเข้าถึงรัฐบาลแล้ว”
โดยพื้นฐานแล้ว ปัญหาทั้งหมดของ eIDAS สรุปได้เป็นเรื่องเดียวคือ ความเชื่อถือไม่สามารถบังคับได้
ถ้ามันถูกบังคับ มันก็ไม่ใช่ความเชื่อถือ แต่เป็นอย่างอื่น
การบังคับให้เบราว์เซอร์ “เชื่อถือ” หน่วยงานออกใบรับรองบางแห่ง เท่ากับทำลายโมเดลความเชื่อถือทั้งหมดของอินเทอร์เน็ต
สิ่งที่น่าสงสัยคือพวกเขาไม่เข้าใจเรื่องนี้จริง ๆ, หรือเข้าใจแต่ไม่สนใจ, หรือสนใจที่จะทำลายความเชื่อถือนั้นอย่างจริงจังกันแน่
อินเดียก็เตรียมกฎหมายให้ระบบปฏิบัติการและเบราว์เซอร์ต้องรวมหน่วยงานออกใบรับรองของประเทศไว้ด้วย และยังเริ่มโครงการท้าทายเว็บเบราว์เซอร์ของตนเองแล้ว https://iwbdc.in/
หน่วยงานออกใบรับรองของอินเดียเคยถูกถอดออกมาก่อนเพราะ การออกใบรับรองโดยไม่ได้รับอนุญาต https://pkic.org/2014/07/24/in-the-wake-of-unauthorized-certificate-issuance-by-the-indian-ca-nic-can-government-cas-still-be-considered-trusted-third-parties/
เพราะอย่างนั้นเลยได้รู้จัก ระบบการเขียนตัวเลขแบบอินเดีย และมีอิฐอีกก้อนถูกก่อเพิ่มบนกำแพงที่ชื่อว่า “การทำโลคัลไลซ์นั้นยาก”
https://en.m.wikipedia.org/wiki/Indian_numbering_system
มันหมายถึงอะไรกันแน่? นี่เป็นการแข่งขันที่รัฐบาลสนับสนุนอย่างจริงจังหรือ?
ถ้าใบรับรองที่ออกโดยหน่วยงานเหล่านั้นเชื่อมต่อกับบริการ Certificate Transparency ที่เป็นอิสระจาก EU และถูกจำกัดไว้ที่โดเมนระดับบนสุดของแต่ละประเทศ ก็ถือว่าโอเคอย่างยิ่ง
หลังจากที่เว็บไซต์จำนวนมากของรัสเซีย รวมถึงธนาคารที่ใหญ่ที่สุด สูญเสียการเข้าถึงโครงสร้างพื้นฐานหน่วยงานออกใบรับรองที่เบราว์เซอร์ทั่วไปใช้ไปโดยพฤตินัย ผมคิดว่าไม่มีใครจะพูดอย่างตรงไปตรงมาว่าสภาพปัจจุบันนั้นแข็งแกร่งเพียงพอแล้วได้
ดังนั้น EU จึงดูเหมือนกำลังเฮดจ์ความเสี่ยงต่อความเสี่ยงด้านโครงสร้างพื้นฐานที่อาจเกิดขึ้น
เพื่อลดความเสี่ยงของการโจมตีแบบคนกลาง แค่มี Certificate Transparency และจำกัดหน่วยงานออกใบรับรองไว้กับโดเมนระดับบนสุดที่กำหนด เช่น ไม่ให้หน่วยงานออกใบรับรอง RU สมมุติออกใบรับรองสำหรับ .eu หรือ .com ก็เพียงพอแล้วตามความเห็นของผม
การเคลื่อนไหวนี้มีเป้าหมายเพื่อบังคับให้ผู้คนติดตั้งใบรับรองของหน่วยงานนั้นภายใต้ข้ออ้างเท็จ และเปิดทางให้รัฐสามารถถอดรหัส HTTPS ได้เมื่อต้องการ
เป้าหมายนั้นชัดเจนเกินไป และไม่เกี่ยวอะไรกับ ความแข็งแกร่งของโครงสร้างพื้นฐาน เลย
พวกเขาแค่ต้องการพรากความเป็นส่วนตัวบนอินเทอร์เน็ตของผู้คนไปเท่านั้น