DigiCert ถูกวิจารณ์ว่าขู่ใช้มาตรการทางกฎหมายเพื่อสกัดการถกเถียงบน Bugzilla
(bugzilla.mozilla.org)- เกิดข้อถกเถียงหนักขึ้นว่า การถกเถียงสาธารณะเกี่ยวกับ WebPKI อาจถูกทำให้หดตัวลง หลังจาก Brian Holland ประธานเจ้าหน้าที่ฝ่ายกฎหมายของ Sectigo เปิดเผย จดหมายทางกฎหมาย ที่ได้รับจาก Wilson Sonsini ซึ่งเป็นตัวแทนทางกฎหมายของ DigiCert
- ช่วงแรก DigiCert อธิบายว่าเป็นมาตรการที่เกิดจากความกังวลต่อ คำกล่าวที่อาจทำให้เข้าใจผิด จากคู่แข่งและความเป็นไปได้ที่ฟอรัมจะถูกใช้ในทางที่ผิด แต่ภายหลังก็ยอมรับว่าการส่ง C&D นั้นไม่เหมาะสม
- เบื้องหลังของประเด็นนี้มี TRO ที่เกี่ยวข้องกับเหตุการณ์เพิกถอนใบรับรองจำนวนมากของ DigiCert โดย DigiCert อธิบายว่า TRO ส่งผลต่อใบรับรองเพียง 1 ใบเท่านั้น และเป็นข้อมูลที่อยู่ในบันทึกสาธารณะ
- ชุมชนและ Chrome Root Program มองว่าการกระทำที่ทำให้การมีส่วนร่วมใน WebPKI หดตัวลง ไม่สอดคล้องกับคุณค่าหลักของระบบนิเวศนี้ และสุดท้าย DigiCert ก็ได้ยื่น รายงานเหตุการณ์ พร้อมมาตรการป้องกันไม่ให้เกิดซ้ำ
- DigiCert ระบุว่าในอนาคต ประเด็นทางเทคนิคและนโยบายของเหตุการณ์ที่ยังเปิดอยู่บน Bugzilla จะจัดการใน Bugzilla แทนช่องทางกฎหมาย และเมื่อจำเป็นต้องใช้มาตรการทางกฎหมาย จะต้องผ่านการทบทวนระดับผู้บริหารและมีการแจ้งต่อสาธารณะ พร้อมทั้งจะดำเนิน โครงการผู้ตรวจการอิสระ
จดหมาย C&D ของ DigiCert ที่ Sectigo เปิดเผย
- Brian Holland ระบุว่า แม้ก่อนหน้านี้ DigiCert จะบอกในคอมเมนต์บน Bugzilla ว่า “ไม่ได้ใช้ทีมกฎหมายเป็นเกราะเพื่อหลีกเลี่ยงความรับผิด” แต่ในความเป็นจริง ฝั่ง Sectigo ได้รับจดหมายเกี่ยวกับคำพูดของ Sectigo จาก Wilson Sonsini ซึ่งเป็นตัวแทนทางกฎหมายของ DigiCert
- จดหมายดังกล่าวตั้งคำถามกับคำพูดของ Tim Callan ประธานเจ้าหน้าที่ฝ่ายกำกับดูแลของ Sectigo ที่โพสต์บน Bugzilla และเรียกร้องให้ Sectigo “ทำให้แน่ใจว่าคำพูดของ Mr. Callan จะไม่เกิดขึ้นต่อไปและจะไม่ถูกกล่าวซ้ำโดยสมาชิกคนอื่นขององค์กร Sectigo”
- ในจดหมายมีการอ้างถึง Lanham Act, deceptive trade practices, corporate disparagement และ tortious interference พร้อมข้อความว่าทาง DigiCert อาจดำเนินการทางกฎหมาย
- Holland ตอบกลับเมื่อวันที่ 10 ธันวาคม 2024 ว่าคำพูดที่เป็นประเด็นเป็นเพียงคำถามหรือความคิดเห็น และมีจุดประสงค์เพื่อส่งเสริมการถกเถียงที่สำคัญต่อ WebPKI จึงไม่อาจเป็นฐานของการเรียกร้องทางกฎหมายได้
- Sectigo มองว่าการข่มขู่ทางกฎหมายที่ทำให้การเฝ้าติดตามและการถกเถียงเกี่ยวกับแนวปฏิบัติของ CA สาธารณะหดตัวลงนั้น ไม่สอดคล้องกับวัฒนธรรม การวิเคราะห์หลังเหตุการณ์อย่างโปร่งใส ที่แนวทางการรายงานเหตุการณ์ของ CCADB กำหนดไว้
การตอบสนองระยะแรกของ DigiCert และปฏิกิริยาจากชุมชน
- DigiCert ตอบว่าตนสนับสนุนอุดมคติของ Bugzilla และชุมชน CA และจดหมายดังกล่าวมีเจตนาเพื่อรักษาการสนทนาที่เปิดเผยและตรงไปตรงมา
- หลังเหตุการณ์ distrust ของ Entrust ก็มีการแสดงความกังวลว่าผู้เข้าร่วมบางรายโพสต์ข้อมูลที่ทำให้เข้าใจผิดหรือข้อเท็จจริงเพียงครึ่งเดียวลงบน Bugzilla เพื่อชี้นำความคิดเห็นสาธารณะในทางลบ และพยายามทำให้บั๊กเปิดค้างไว้นานเกินจำเป็น
- DigiCert อธิบายว่าหลังจากได้รับคำตอบจาก Sectigo ก็ไม่ได้มีมาตรการหรือการตอบโต้เพิ่มเติม และคิดว่าเรื่องนี้จบลงแล้วจนกระทั่ง Sectigo นำประเด็นนี้กลับมาเปิดเผยอีกครั้ง
- ผู้เข้าร่วมชุมชนหลายรายวิจารณ์ว่า ไม่ว่าอย่างไรก็ต้องอ่านข้อความทั้งฉบับว่าเป็น การข่มขู่ทางกฎหมาย และเรียกร้องให้ DigiCert ยอมรับความผิดบางส่วนและปรับปรุงการสื่อสารภายใน
- ฝั่ง Mozilla ระบุว่ากระบวนการที่โปร่งใสและตั้งอยู่บนชุมชนเป็นหลักการสำคัญ และพฤติกรรมที่ทำให้การเข้าร่วมการถกเถียงหดตัวลงไม่ว่าจะเกิดในที่สาธารณะหรือไม่สาธารณะ ล้วนสร้างความเสียหายอย่างลึกซึ้งต่อชุมชน
เรื่องนี้เป็นเหตุการณ์หรือไม่ และการเข้ามาเกี่ยวข้องของ Chrome Root Program
- ในตอนแรก DigiCert ขอให้ปิดบั๊กนี้ โดยอ้างว่าเรื่องดังกล่าวไม่ใช่ข้อกล่าวหาการละเมิดข้อกำหนดด้านคอมพลายแอนซ์
- ผู้เข้าร่วมชุมชนชี้ไปที่ Chrome Root Program Policy ว่า สถานการณ์ที่อาจกระทบต่อความซื่อสัตย์ ความน่าเชื่อถือ หรือความเข้ากันได้ของผู้เข้าร่วมใน Chrome Root Program ก็อาจถือเป็น เหตุการณ์ ได้เช่นกัน
- Chrome Root Program มองว่าฟีดแบ็กจากชุมชนสะท้อนความต้องการอย่างชัดเจนที่จะรู้ว่า DigiCert จะพยายามอย่างไรเพื่อฟื้นฟูความเชื่อถือและความไว้วางใจ
- จึงเห็นว่าการให้ DigiCert ตอบข้อกังวลของชุมชนโดยตรงภายในการถกเถียงบน Bugzilla นี้ จะมีประสิทธิภาพมากกว่าการทำรายงานเหตุการณ์แยกต่างหากใน CCADB
- ต่อมา DigiCert ก็เห็นด้วยว่าการถกเถียงนี้เป็นวิธีที่มีประสิทธิภาพในการจัดการข้อกังวลของชุมชน และระบุว่าจะตอบคำถามเพิ่มเติม
การยอมรับของ DigiCert และรายงานเหตุการณ์
- DigiCert ยอมรับว่า แม้ในตอนแรกจะมองว่าการส่งจดหมายเป็นการตอบสนองต่อคำพูดที่ทำให้เข้าใจผิดจากคู่แข่ง แต่ต่อมาก็ยอมรับว่าจดหมายดังกล่าวไม่สอดคล้องกับ ความโปร่งใส และผลประโยชน์สูงสุดของชุมชน
- บริษัทระบุว่าการใช้แนวปฏิบัติด้านจรรยาบรรณของฟอรัม Bugzilla และแนวทางการมีส่วนร่วมของชุมชนเป็นเส้นทางที่ดีกว่า และหากย้อนกลับไปยังเดือนพฤศจิกายน 2024 ได้ ก็คงจะไม่ส่งจดหมายฉบับเดิม
- หลังจากนั้น DigiCert ได้ยื่น Full Incident Report โดยสรุปว่าการที่ตัวแทนทางกฎหมายส่ง C&D ไปยัง Sectigo เมื่อวันที่ 11 พฤศจิกายน 2024 เป็นเหตุการณ์หนึ่ง
- รายงานยอมรับว่า เนื่องจาก C&D ซ้อนทับอย่างใกล้ชิดกับการถกเถียงบน Bugzilla จึงอาจทำให้การถกเถียงสาธารณะหดตัวลงได้ และข้อมูลที่ถูกมองว่าอาจทำให้เข้าใจผิดก็ควรได้รับการแก้ไขในบริบทของ Bugzilla สาธารณะโดยตรงจะเหมาะสมกว่า
- DigiCert ระบุชัดว่าเดิมทีจดหมายดังกล่าวเป็น “การขู่จะพิจารณาดำเนินการทางกฎหมายโดยอ้างอิงจากคำพูดของ Tim Callan” แต่ก็ยืนยันว่า C&D ไม่ใช่การตอบสนองที่เหมาะสมในสถานการณ์นี้
ปัจจัยที่ถูกระบุว่าเป็นสาเหตุ
- DigiCert ระบุว่าปัจจัยสนับสนุนประการแรกคือ ความใหม่ของ TRO
- เหตุการณ์เพิกถอนจำนวนมากใน Bugzilla 1910805 เป็นเหตุการณ์สำคัญสำหรับ DigiCert และถูกอธิบายว่าเป็นการตอกย้ำอีกครั้งในอุตสาหกรรมว่าไม่มีเหตุยกเว้นสำหรับกำหนดเวลาการเพิกถอน
- บริษัทระบุว่าในกระบวนการเพิกถอนดังกล่าว มีการพบข้ออ้างเรื่องเหตุยกเว้นหลายแบบรวมถึง TRO โดย TRO มีบทบาทจำกัดต่อการเพิกถอนเท่านั้น แต่มีการเปิดเผยเพื่อความโปร่งใส
- ปัจจัยประการที่สองคือ ความเป็นคู่แข่งกัน
- DigiCert และ Sectigo เป็นคู่แข่งโดยตรง และมองว่าการมีส่วนร่วมบน Bugzilla ของบุคคลจาก CA ที่ได้รับความเชื่อถือสาธารณะอาจสร้างความตึงเครียดทางการแข่งขัน
- บริษัทอธิบายว่า จากคอมเมนต์บน Bugzilla ของ Tim Callan จำนวน 24 รายการ มี 18 รายการมุ่งไปที่บั๊กของ DigiCert จึงมองเรื่องนี้ในบริบทของความอ่อนไหวด้านการแข่งขัน
- DigiCert ระบุเพิ่มเติมว่า หลังเหตุการณ์เพิกถอนจำนวนมาก ผู้บริหารที่รับผิดชอบด้านคอมพลายแอนซ์และมาตรฐานได้ลาออก ทำให้เวิร์กโฟลว์และกระบวนการอนุมัติด้านคอมพลายแอนซ์ตามปกติสะดุดลง
- ในคำชี้แจงภายหลัง บริษัทระบุว่าทีมกฎหมายได้หารือเรื่องการส่ง C&D กับทีม Standards/Compliance และแม้สมาชิกของทีมนั้นจะแสดงความกังวล แต่ทีมกฎหมายก็ตัดสินใจส่งจดหมายแม้มีเสียงคัดค้านภายใน
มาตรการป้องกันไม่ให้เกิดซ้ำ
- DigiCert ระบุในรายงานเหตุการณ์และสรุปการปิดเรื่องว่า ได้ดำเนินมาตรการ 4 ประการเสร็จสิ้นแล้ว
-
Technical-First Dispute Resolution
- ระหว่างการรายงานเหตุการณ์ หากมีประเด็นทางเทคนิค ข้อความที่อาจทำให้เข้าใจผิด หรือข้อกังวลเรื่องการละเมิดนโยบายด้านคอมพลายแอนซ์ จะจัดการใน Bugzilla ที่เกี่ยวข้อง ไม่ใช่ผ่านช่องทางกฎหมาย
- หากจำเป็นต้องใช้มาตรการทางกฎหมายเกี่ยวกับเหตุการณ์ที่ยังเปิดอยู่ จะเปิดเผยการตัดสินใจและมาตรการนั้นใน Bugzilla ที่เกี่ยวข้อง
-
Community Transparency Pledge
- การสื่อสารที่เกี่ยวข้องกับเหตุการณ์จะดำเนินการอย่างเปิดเผยในฟอรัมชุมชน เช่น MDSP, CCADB, CA/B Forum และ Bugzilla เพื่อให้เกิด การตรวจสอบย้อนหลังได้
- การติดต่อกับผู้เขียนคอมเมนต์ก็จะถูกบันทึกและเผยแพร่ตามบริบทของเหตุการณ์ เพื่อไม่ให้ดูเหมือนเป็นการตอบโต้หรือโจมตีแบบไม่ทันตั้งตัว
-
Legal Review Gate
- มาตรการทางกฎหมายที่ตัดผ่านกับเหตุการณ์จะต้องผ่านการทบทวนและอนุมัติในระดับผู้บริหาร พร้อมการวิเคราะห์ประกอบว่ามาตรการนั้นเหมาะสม
- หากไม่สามารถแจ้งต่อสาธารณะได้ทันที จะมีการแจ้งแบบไม่เปิดเผยต่อ root program ก่อน แล้วจึงเปิดเผยการติดตามผลในภายหลัง
-
Ombudsperson Role for WebPKI Concerns
- DigiCert จะสร้างกระบวนการ ผู้ตรวจการอิสระ ภายใน สำหรับการร้องเรียนแบบไม่เปิดเผยเกี่ยวกับความเป็นธรรม ความเปิดกว้าง และความเป็นไปได้ที่จะเกิดการทำให้หดตัวลงใน WebPKI
- ต่อมามีการเพิ่ม Don Sheehy บุคคลอิสระภายนอกเข้าร่วมทีมผู้ตรวจการอิสระเพื่อช่วยสนับสนุนเมื่อจำเป็น
โครงการผู้ตรวจการอิสระและข้อถกเถียงต่อเนื่อง
- ในตอนแรก DigiCert ประกาศว่าทีมผู้ตรวจการอิสระจะประกอบด้วยตัวแทนจากฝ่าย Program Management, Compliance และ Legal และสามารถติดต่อได้ที่
transparency@digicert.com - ผู้เข้าร่วมชุมชนตั้งข้อสงสัยว่าผู้ตรวจการอิสระที่มีแต่บุคลากรภายในจะมีความเป็นอิสระเพียงพอหรือไม่ และ DigiCert ระบุว่าจะพิจารณารวมสมาชิกจากชุมชนภายนอกหรือบุคคลอิสระเข้ามาด้วย
- DigiCert เปิดเผยรูปแบบการทำงานของกระบวนการผู้ตรวจการอิสระ
- สามารถส่งเรื่องได้ผ่าน
transparency@digicert.comหรือdigicert.com/transparencyform - มีกระบวนการยืนยันการรับเรื่อง การให้หมายเลขเคส การจัดประเภทและส่งต่อ การสืบสวน การอัปเดตทุก 7 วัน และการจัดทำรายงาน
- อนุญาตให้ส่งแบบไม่ระบุตัวตนได้ แต่หากจำเป็นต้องยืนยันข้อมูลเพิ่มเติมและไม่มีช่องทางติดต่อ เรื่องอาจถูกปิดทันที
- สามารถส่งเรื่องได้ผ่าน
- DigiCert ระบุว่าใช้งานวิทยานิพนธ์ระดับปริญญาเอกของ Frank Fowlie เกี่ยวกับ ICANN Ombudsman เป็นเอกสารอ้างอิง และจะดำเนินโครงการนี้ด้วยแนวทางการปรับปรุงอย่างต่อเนื่อง
- ผู้เข้าร่วมชุมชนบางรายคัดค้านมุมมองของ DigiCert ที่ว่าทุก CA ควรมีผู้ตรวจการอิสระ และมองว่าการลงโทษ CA ที่ใช้การข่มขู่ทางกฎหมายให้เข้มงวดขึ้นจะดีกว่าต่อความเชื่อมั่นใน WebPKI
สรุปการปิดเรื่องและสถานะ
- สรุปการปิดเรื่องฉบับสุดท้ายของ DigiCert ระบุว่า เมื่อวันที่ 11 พฤศจิกายน 2024 สำนักงานกฎหมายที่ DigiCert ว่าจ้างได้ส่ง C&D ไปยัง Sectigo และ DigiCert ไม่ได้พิจารณาผลกระทบของ C&D ต่อการสื่อสารบน Bugzilla และฟอรัมอื่นอย่างเพียงพอ
- สาเหตุของเหตุการณ์ถูกสรุปว่าเป็น ข้อมูลที่ถูกมองว่าอาจทำให้เข้าใจผิดเกี่ยวกับ TRO, ความเป็นคู่แข่ง และการตอบสนองเกินกว่าเหตุ
- DigiCert เสนอการเยียวยาเป็นการขอโทษอย่างเป็นทางการต่อ Sectigo และชุมชน WebPKI ในวงกว้าง โครงการผู้ตรวจการอิสระ การเพิ่มสมาชิกอิสระ และโปรโตคอลทบทวนการสื่อสารทางกฎหมาย
- บริษัทให้คำมั่นว่า ในอนาคตระหว่างเหตุการณ์ที่ยังเปิดอยู่ หากมีประเด็นด้านเทคนิค ความคลาดเคลื่อน หรือประเด็นเชิงนโยบาย จะจัดการใน Bugzilla ที่เกี่ยวข้อง และหากเห็นว่าจำเป็นต้องใช้ช่องทางกฎหมายเกี่ยวกับเหตุการณ์ที่ยังเปิดอยู่ ก็จะเปิดเผยการตัดสินใจและมาตรการนั้นใน Bugzilla ที่เกี่ยวข้อง
- ท้ายที่สุดมีการโพสต์ final call เพื่อขอคอมเมนต์หรือคำถามเพิ่มเติมจากชุมชน และแจ้งว่าคาดว่าจะปิดเรื่องราวประมาณวันที่ 17 กันยายน 2025
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
สรุปคือ DigiCert เคย เลื่อนการเพิกถอนใบรับรอง หลายครั้งเกินกว่าที่ Baseline Requirements อนุญาต โดยกรณีล่าสุดคือ https://bugzilla.mozilla.org/show_bug.cgi?id=1896053 และ https://bugzilla.mozilla.org/show_bug.cgi?id=1910805
กรณีแรกดูเหมือนจะเลื่อนการเพิกถอนเพื่อเอาใจลูกค้ารายหนึ่ง ส่วนกรณีหลังคือเพิกถอนไม่ทันเวลาเพราะคำสั่งคุ้มครองชั่วคราว (TRO)
Tim Callan แห่ง Sectigo วิจารณ์ต่อสาธารณะว่าทั้งสองกรณี DigiCert ไม่ได้กดดันลูกค้าอย่างหนักแน่นพอ และยังกังวลว่าเครื่องมืออย่าง TRO อาจถูกใช้เพื่อถ่วงการเพิกถอนบ่อยขึ้น
ดูเหมือนว่า Sectigo และฝ่ายอื่น ๆ ในระบบนิเวศ WebPKI ต้องการให้ DigiCert สื่อสารนโยบายการเพิกถอนกับลูกค้าอย่างชัดเจนมาก และทำให้มั่นใจว่าลูกค้าจะสามารถเปลี่ยนใบรับรองได้ทันเวลา
แม้ Sectigo จะเป็นฝ่ายที่ส่งเสียงดังที่สุด แต่ก็ดูเหมือนจะไม่ใช่แค่ Sectigo ฝ่ายเดียวที่เรียกร้องให้ควบคุมการเลื่อนเพิกถอนของ DigiCert ดังนั้นการ ยกระดับ ไปเป็นการขู่ทางกฎหมายจึงไม่เหมาะสมอย่างยิ่ง และ DigiCert อาจเจอกระแสตีกลับหนักจากยุทธวิธีนี้
ดูเหมือนบริษัทจะไม่อยากแก้เอกสารทางกฎหมายเพื่อป้องกันไม่ให้ลูกค้าฟ้องเรื่องการเพิกถอนใบรับรอง และจนถึงตอนนี้การดำเนินการทางกฎหมายก็กลับกลายเป็นผลดีกับ DigiCert
บริษัทที่ธุรกิจทั้งหมดผูกกับการตรวจสอบชื่อบริษัทและการปฏิบัติตามขั้นตอนของ CA กลับดูไม่ค่อยกระตือรือร้นที่จะทำตามขั้นตอนเหล่านั้นเสียเอง
อาจห้ามลูกค้าที่ไร้ความสามารถทางเทคนิคอย่าง Alegeus Technologies LLC ไม่ให้ยื่น TRO ไม่ได้ แต่การไม่ปฏิบัติตามขั้นตอนที่เหมาะสมก็ไม่ใช่ครั้งแรก
การพยายามใช้ศาลปิดกั้นการถกเถียงเชิงลบดูเป็นเรื่องต่ำช้ามากสำหรับ CA และการที่ DigiCert ซึ่งถูกมองด้วยความสงสัยและไม่ไว้วางใจอยู่แล้วทำแบบนี้ ก็ยิ่งดูเหมือนความพยายามครั้งสุดท้ายเพื่อหนีเสียงวิจารณ์ตอนจนมุม
ลูกค้าอาจชอบที่ DigiCert ไม่บังคับให้เปลี่ยนใบรับรองตามกำหนด แต่ถ้าเกิดเรื่องจน DigiCert ถูก ถอดออกจาก trust list ขึ้นมา พวกเขาก็จะต้องเผชิญสถานการณ์ชวนช็อกที่ต้องรีบหาผู้ออกใบรับรองรายอื่นทันที
ดูสมเหตุสมผลมาก
เหตุผลที่ดราม่า Web PKI น่าทึ่งอยู่เสมอ คือมันเป็นหนึ่งในไม่กี่พื้นที่ของโลกที่บริษัท “เล่นเกเร” แล้วมักจะโดน “ผลกรรม” แบบตรงและเร็ว
ผู้เล่นหลายฝ่ายที่ตัดสินใจว่าจะเชื่อถือ CA ใดบ้างนั้น แทบจะสามารถยุบธุรกิจ CA เจ้าไหนก็ได้ทั่วโลกแบบแทบจะทันที
ถ้า DigiCert เล่นเกมนี้แล้วแพ้ มันจะกลายเป็นผู้แพ้รายใหญ่ที่สุดเท่าที่เคยมีมา และเท่าที่รู้ DigiCert คือ CA รายใหญ่ที่สุดบนอินเทอร์เน็ต
หาก CA ที่ใหญ่ที่สุดบนอินเทอร์เน็ตถูก ลบออกจาก trust store มันจะส่งสัญญาณที่รุนแรงและสร้างความปั่นป่วนมหาศาล แต่ก็ไม่มีเหตุผลชัดเจนว่าทำไมมันจะเกิดขึ้นไม่ได้
แน่นอนว่าผมคิดว่าโอกาสนั้นต่ำ แต่แค่จินตนาการถึงใครก็ตามใน DigiCert ที่คิดว่าการลากฝ่ายกฎหมายเข้ามาเป็นความคิดที่ดี ต้องถูกต่อว่าไปตลอดชีวิตก็สะใจแล้ว
ผมอ่านเธรดนั้นแล้ว มันไม่ได้ทำให้ DigiCert ดูดีเลย และยังมองว่าการกระทำนี้ทำร้าย DigiCert มากกว่าสิ่งใด ๆ ที่ Callan พูดเสียอีก
[1] https://bugzilla.mozilla.org/show_bug.cgi?id=647959
สำหรับ กระบวนการถอนความเชื่อถือ กับ CA ขนาดนี้ วิธีที่สมเหตุสมผลกว่าคือไม่ยอมรับใบรับรองใหม่ที่ออกหลังวันที่กำหนด
แบบนั้นลูกค้าเดิมจะมีการแจ้งล่วงหน้า และจะได้รับข่าวร้ายตอนรอบต่ออายุปกติ แทนที่จะเกิดเรื่องกะทันหันตอนผู้ดูแลระบบลาพักร้อน
ช่วงหลัง ๆ เธรดของ DigiCert มีกลิ่นคล้ายกับกระแสที่นำไปสู่ กรณี Entrust อย่างน่าสงสัย
จะมีคนเพิ่มขึ้นอีกกี่คนที่เมื่อเห็นหน่วยงานไร้หน้าอีกแห่งซึ่งตนไม่เคยรู้จักมาก่อนสามารถทำของพังได้ ก็จะปิดการอัปเดตอัตโนมัติถาวรและตัดสินใจเองว่าจะเชื่อถืออะไร?
มันคงส่งสัญญาณแรงแน่ แต่มีโอกาสสูงว่าจะไม่ใช่สัญญาณตามที่ตั้งใจ
สุดท้ายก็จะยิ่งทำให้ ความไม่ไว้วางใจ ต่อ PKI แบบรวมศูนย์โดยรวมเพิ่มขึ้นเท่านั้น
ตามที่มีการระบุใน Bugzilla เหตุผลที่แท้จริงของการใช้ขีดล่างคือเพื่อให้บริการที่เปิดให้ผู้ใช้สร้าง DNS record สำหรับซับโดเมน เช่น บริการ dynamic DNS สามารถป้องกันการลงทะเบียนซับโดเมนที่ขึ้นต้นด้วยขีดล่าง เพื่อป้องกันการออกใบรับรองที่ไม่พึงประสงค์ได้
สิ่งนี้มีบทบาทแบบเดียวกับที่
/.well-knownทำในวิธีการเปลี่ยนแปลงเว็บไซต์ที่ตกลงกันไว้ และแบบเดียวกับที่ admin/administrator/webmaster/hostmaster/postmaster ทำในอีเมลการติดต่อของโดเมนนั่นหมายความว่าเมื่อ DigiCert ใช้ DNS record ที่ไม่มีขีดล่าง ก็เท่ากับทำลาย สมมติฐานด้านความปลอดภัยที่สำคัญ ที่บริการเหล่านี้พึ่งพาอยู่
เพราะงั้นนี่จึงเป็นเหตุการณ์ด้านความปลอดภัยที่ร้ายแรงจริง ๆ และเป็นความผิดพลาดระดับมหันตภัยในวงกว้างมาก
ขนาดนี้แล้วก็ไม่แน่ใจว่าควรเชื่อถือใบรับรองของ DigiCert ต่อไปหรือไม่
ผู้เขียนคอมเมนต์นั้นคือ Andrew Ayer และเขายังเขียนบทความบล็อกที่ยอดเยี่ยมเกี่ยวกับ incident และกระบวนการของ CA ด้วย: https://www.agwa.name/blog/index
แน่นอนว่ามักมีเรื่องราวทั้งสองด้าน แต่คนที่สร้าง validation bug ที่ DigiCert ก็ลาออกไปแล้วเพราะเรื่องนี้ ซึ่งตัวมันเองก็ถือว่ารุนแรงมาก
ฝั่ง Sectigo ดูเหมือนพยายามไม่ให้บั๊กถูกปิด เพื่อเรียกร้องคำตอบเพิ่มเติมต่อไปเกี่ยวกับความสามารถในการตอบสนองโดยรวมของ DigiCert และในเชิงอัตวิสัยก็ทำในลักษณะที่ค่อนข้างแข็งกร้าว
การโต้เถียงไปมาระดับหนึ่งเป็นเรื่องที่ยอมรับได้และคาดหมายได้ แต่ถ้ายังคงกดดันอีกฝ่ายที่มีทีมกฎหมายภายในองค์กร สุดท้ายพวกเขาก็จะไปคุยกับฝ่ายกฎหมายตรงหน้าเครื่องชงกาแฟ แล้วฝ่ายกฎหมายก็จะเข้ามาดูและกลายเป็นเรื่องของพวกเขา
เพราะฉะนั้นหลักการข้อแรกคือ ถ้าไม่ได้อยากเรียกฝ่ายกฎหมาย ก็อย่าแม้แต่จะเอ่ยคำว่า กฎหมาย
การตอบสนองครั้งนี้เป็นเพียงจดหมายให้ถอย และเหตุผลที่ฝ่ายกฎหมายมีอยู่ก็เพื่อให้เกิดการโต้แย้งกันแบบนี้นั่นเอง
เพียงแต่กรณีนี้มันรั่วออกสู่สาธารณะเท่านั้น
แม้จะเข้าใจมุมมองที่ว่า CA ไม่ควรต้องแบกรับความเสี่ยงทางกฎหมายระหว่างการอภิปราย แต่สิ่งนั้นก็ขัดกับความจริงที่ว่าพวกเขาเป็นหน่วยธุรกิจเชิงพาณิชย์ที่ปกป้องผลประโยชน์ของตนเอง
ถ้า CA ทุกแห่งไม่ใช่องค์กรไม่แสวงหากำไร ก็ไม่สามารถมีทั้งสองอย่างพร้อมกันได้ และถึงจะไม่แสวงหากำไรจริงก็ยังมีขอบเขตของมัน
เช่นเดียวกับใครก็ตามที่รับผิดชอบกลยุทธ์ของบริษัท
เพราะการดำเนินการของฝ่ายกฎหมาย ส่งผลย้อนกลับ
เขายังคงอยู่ในสถานะผู้รับจ้าง และอาจกำลังรอการกลับเข้าทำงานอยู่
เป็นความเข้าใจผิด
นี่น่าตกใจมาก
แค่การพยายามใช้การคุกคามทางกฎหมายเพื่อปิดกั้นคำพูดอันชอบธรรมของผู้มีส่วนร่วมใน Web PKI ก็ถือเป็นการกลับหัวกลับหางวัตถุประสงค์และเป้าหมายขององค์กรอย่างสิ้นเชิงแล้ว และโดยส่วนตัวมองว่านั่นเพียงพอที่จะทิ้งทุกอย่างที่เกี่ยวข้องกับ DigiCert ได้ทันที
วิธีการตามประวัติศาสตร์ในการจัดการกับ CA ที่มีปัญหาคือ จัดการความเสียหายเฉพาะหน้าก่อน แล้ว ป้องกันการออกหรือการต่ออายุใบรับรองใหม่
ยังมีบริษัทปกติจำนวนมากที่ใช้ DigiCert และควรคาดหวังได้ว่าพวกเขาจะยังดำเนินธุรกิจต่อได้ในระยะสั้น ระหว่างที่หาผู้ให้บริการใบรับรองรายอื่น
เมื่อดูรายงานต้นฉบับ(https://bugzilla.mozilla.org/show_bug.cgi?id=1910322) จะเห็นว่ามีคำถามอยู่หลายข้อที่ DigiCert ดูเหมือนหลีกเลี่ยงไม่ตอบ
ในบันทึกสาธารณะของ Alegeus Technologies LLC v. DigiCert ไม่เห็นความพยายามคัดค้านคำสั่งศาลก่อนที่ช่วงเวลาผ่อนผันที่ DigiCert เห็นชอบซึ่งยาวเกือบ 120 ชั่วโมงจะสิ้นสุดลง ทั้งที่หากมีการยื่นคำร้องเช่นนั้น DigiCert ก็น่าจะเพิกถอนใบรับรองได้เร็วขึ้นอีกหลายวัน
อีกคำถามหนึ่งใน comment 28 คือ ถ้อยคำใดที่กำหนดสิทธิของ DigiCert ในการเพิกถอนใบรับรองของ Alegeus Technologies
DigiCert ตอบประเด็นนี้อย่างกลับไปกลับมา โดยตอนแรกเหมือนจะสื่อว่าถ้อยคำนั้นอยู่บนเว็บไซต์ แต่ภายหลังก็ปฏิเสธที่จะยืนยันว่าถ้อยคำบนเว็บไซต์ ณ เวลานั้นใช้กับ Alegeus Technologies หรือไม่
ข้อสันนิษฐานคือ DigiCert อาจให้ เงื่อนไขพิเศษ แก่ Alegeus และลูกค้ารายอื่น ๆ และอาจไม่ได้โต้แย้ง TRO ในศาลเพราะไม่มีฐานตามสัญญา
และอาจเป็นไปได้ด้วยว่าสัญญานั้นมีข้อกำหนดการรักษาความลับ จึงไม่สามารถพูดเรื่องนี้ได้
น่าแปลกที่ฟอรัมปล่อยให้ประเด็นนี้ปิดไปทั้งที่คำถามที่อ้างถึงข้างต้นยังไม่ได้รับคำตอบ แม้ว่าผมจะยังไม่ได้อ่านทุก issue ที่เชื่อมโยงกัน จึงอาจเป็นไปได้ว่ามีคำตอบอยู่ที่อื่น
เพิ่มเติมคือ คำตอบที่ DigiCert ให้ไว้ในอีกเธรดหนึ่ง(https://bugzilla.mozilla.org/show_bug.cgi?id=1910805#c43) ดูเหมือนจะขัดกับข้อสันนิษฐานนี้
โดยเฉพาะส่วนที่ว่า “TOU และ MSA ของ DigiCert ห้ามการดำเนินการดังกล่าวของ Alegeus แต่เมื่อ Alegeus ยื่นขอ TRO และศาลมีคำสั่งรับคำร้องแทบจะในทันที DigiCert ก็ทำอะไรต่อไม่ได้”
สงสัยว่า CAB Forum จะมีสถานะทางกฎหมายเพียงพอหรือไม่ในการยื่นฟ้อง Alegeus หรือผู้พิพากษาคนนั้น ฐานขัดขวางกระบวนการของ PKI ด้วย TRO ที่ไม่ชอบด้วยกฎหมาย
ในช่วงเวลากว่าสองเดือนนิดหน่อยนับจากวันที่ที่ระบุในจดหมายเหล่านี้ เกิดอะไรขึ้นกันแน่?
ซึ่งขัดแย้งอย่างชัดเจนกับการข่มขู่ทางกฎหมายต่อ Sectigo
ดังนั้น Sectigo จึงเปิดบั๊ก Threat of legal action เพื่อแจ้งให้ชุมชนทราบว่า DigiCert ทำอะไรลงไปจริง ๆ
ถ้า DigiCert ไม่ได้เขียนคอมเมนต์แบบนั้น Sectigo อาจจะเงียบไว้ก็ได้
หน่วยงานออกใบรับรองได้รับความไว้วางใจอย่างมหาศาลจากผู้ใช้อินเทอร์เน็ตทุกคน ไม่ว่าผู้ใช้จะรู้ตัวหรือไม่ก็ตาม
และเมื่อได้รับความไว้วางใจนั้น ก็ย่อมมาพร้อมความรับผิดชอบมหาศาล โดย Baseline Requirements ตามชื่อก็คือมาตรฐานขั้นต่ำที่ต้องทำให้ได้
หากไม่สามารถหรือไม่เต็มใจเพิกถอนใบรับรองที่ออกไปภายในเวลาที่กำหนด ก็ไม่สมควรได้รับความไว้วางใจนี้และควรถูกถอดออก
เข้าใจได้ว่า TRO ขัดขวางการเพิกถอนใบรับรองราว 70 ใบ และในกรณีนั้นก็ไม่มีอะไรให้ทำได้จริง ๆ
แต่ความล้มเหลวในการเพิกถอนกรณีอื่น ๆ ไม่มีข้อแก้ตัว
บั๊กถูกอัปเดตด้วยคำตอบจาก DigiCert แล้ว
แต่ละคนก็คงสรุปกันเองได้ แต่มีประโยคหนึ่งจาก DigiCert ที่ทำให้ผมหัวเราะออกมาจริง ๆ
“แท้จริงแล้ว จดหมายของเราที่ส่งถึงคุณสอดคล้องกับความปรารถนาของเราที่จะส่งเสริม การสนทนาอย่างเปิดเผยและซื่อสัตย์”
ต่อให้ยอมรับคำอธิบายบทสนทนาในจดหมายของ DigiCert ตามตัวอักษร คนฝั่ง Sectigo อย่างดีที่สุดก็อาจจุกจิกเรื่องมาก และอย่างแย่ที่สุดก็อาจจงใจปั่น
ไม่ได้คิดว่าเป็นแบบนั้นจริง ๆ นะ แต่ถ้าจะเล่นบททนายฝ่ายมารก็พอพูดได้แบบนั้น
ถึงอย่างนั้น DigiCert คิดได้อย่างไรว่าการ ให้ฝ่ายกฎหมายเข้ามาเกี่ยวข้อง จะจบสวย?
Sectigo ไม่มีอะไรจะเสียจากการเปิดเผยเรื่องนี้ต่อ CAB เพื่อให้เกิดกระแสประชาสัมพันธ์เหมือนที่ทำอยู่ตอนนี้ และ CAB ก็ไม่ใช่นักบำบัดชีวิตคู่ที่จะมาช่วยไกล่เกลี่ยสองบริษัทให้คืนดีกัน
ยิ่งไปกว่านั้น บทสนทนาเชิง passive-aggressive แบบสุภาพสุดขั้วทำนอง “เอาจริง ๆ แล้ว” แบบนี้ก็เกิดขึ้นในทุกการอภิปรายเหตุขัดข้องของ CAB
ไม่เข้าใจว่าทำไม DigiCert ถึงโกรธกับกรณีนี้เป็นพิเศษ
การดำเนินการทางกฎหมายของ DigiCert ดูประหลาด และแนวคิดที่ว่าลูกค้าของบริษัทสามารถใช้ระบบกฎหมายเพื่อขัดขวางไม่ให้บริษัทนั้นปฏิบัติตามภาระหน้าที่ที่มีต่อฝ่ายอื่น ๆ ได้ ก็ดูเป็นปัญหาที่อันตรายจริง ๆ
แต่พอดูการปะทะกันในเธรดแล้ว ก็ไม่เห็นวิธีจัดการประเด็นนั้นอย่างสร้างสรรค์นัก
มันเหมือนดูละครที่พนักงานองค์กรตามแบบฉบับกับพวกเนิร์ด IRC ตามแบบฉบับผลัดกันพูดบทอยู่บนเวที ทั้งสองฝ่ายวนเวียนอยู่รอบประเด็นที่น่าสนใจ แต่มัวแต่ปะทะกันจนไปไม่ถึงแก่นจริง ๆ