DigiCert: ขู่ใช้มาตรการทางกฎหมายเพื่อสกัดการอภิปรายใน Bugzilla

การขู่ใช้มาตรการทางกฎหมายของ DigiCert

• ภูมิหลัง: DigiCert กำลังพยายามสกัดการอภิปรายใน Bugzilla ด้วยการใช้มาตรการทางกฎหมาย โดยประธานเจ้าหน้าที่กำกับดูแลการปฏิบัติตามกฎระเบียบของ Sectigo ได้รับคำเตือนจากทนายความของ DigiCert เกี่ยวกับข้อความที่โพสต์ใน Bugzilla

• จุดยืนของ DigiCert: DigiCert เรียกร้องให้พนักงานบางคนของ Sectigo หยุดแสดงความเห็นเชิงลบ เพื่อหลีกเลี่ยงการดำเนินการทางกฎหมาย DigiCert หวังว่าคำพูดเหล่านี้จะไม่ใช่ส่วนหนึ่งของแผนการที่จัดขึ้นเป็นระบบ และคาดหวังให้ Sectigo ดำเนินการที่เหมาะสม

• การตอบสนองของ Sectigo: Sectigo โต้แย้งข้อกล่าวหาของ DigiCert โดยระบุว่าคำพูดดังกล่าวเป็นเพียงการแสดงความคิดเห็นและไม่มีปัญหาทางกฎหมายแต่อย่างใด อีกทั้งยังเน้นย้ำว่าการอภิปรายลักษณะนี้เป็นสิ่งจำเป็นต่อการกำกับดูแลกันเองของชุมชน PKI

• ความสำคัญของชุมชน PKI: ชุมชน PKI มีบทบาทสำคัญในการยกระดับความปลอดภัยของธุรกรรมบนอินเทอร์เน็ต และในการกำหนดแนวปฏิบัติที่ดีที่สุดเพื่อแสดงเว็บไซต์ที่ปลอดภัยให้ผู้ใช้เข้าใจได้อย่างเป็นธรรมชาติ ซึ่งต้องอาศัยการอภิปรายที่เปิดกว้างและเสรี

• คำชี้แจงเพิ่มเติมของ DigiCert: DigiCert อธิบายว่าส่งจดหมายดังกล่าวไปด้วยเจตนาที่จะส่งเสริมการสนทนาที่เปิดเผยและซื่อตรง พร้อมเน้นว่าการอภิปรายระหว่างคู่แข่งควรเป็นธรรมและตั้งอยู่บนข้อเท็จจริง

• บทสรุป: ทั้ง DigiCert และ Sectigo ต่างยอมรับถึงความสำคัญของการอภิปรายอย่างเปิดเผยและซื่อตรงในชุมชน PKI แต่ก็มีความกังวลว่าการขู่ใช้กฎหมายอาจสกัดการอภิปรายเหล่านี้ได้ สำหรับการกำกับดูแลกันเองของชุมชน PKI การตั้งคำถามเชิงวิพากษ์และการอภิปรายเป็นสิ่งจำเป็น

[GN⁺]

ความคิดเห็นจาก Hacker News

• DigiCert เคยมีกรณีเพิกถอนใบรับรองหลังเลยกำหนดเวลาที่ระบุไว้ใน Baseline Requirements หลายครั้ง
  • กรณีล่าสุดมีทั้งการเลื่อนการเพิกถอนเพื่อให้ลูกค้าบางรายพอใจ หรือการเพิกถอนล่าช้าเนื่องจากคำสั่งคุ้มครองชั่วคราวของศาล (TRO)
• Tim Callan จาก Sectigo ออกมาวิพากษ์วิจารณ์ความล่าช้าของ DigiCert ต่อสาธารณะ
  • มีความเห็นว่า DigiCert ควรสื่อสารนโยบายการเพิกถอนกับลูกค้าให้ชัดเจน และทำให้ลูกค้าสามารถเปลี่ยนใบรับรองได้ทันเวลา
• หลายองค์กรได้แสดงความกังวลต่อปัญหาการเพิกถอนล่าช้าของ DigiCert
  • ความพยายามจะแก้ปัญหาด้วยการข่มขู่ทางกฎหมายถือว่าไม่เหมาะสม และ DigiCert อาจต้องเผชิญแรงต้านอย่างหนัก
• ดราม่าในวงการเว็บ PKI มักสร้างความประหลาดใจอยู่เสมอ
  • องค์กรที่มีอำนาจตัดสินใจว่าจะเชื่อถือ CA ใด สามารถรื้อธุรกิจ CA ได้อย่างง่ายดาย
  • หาก DigiCert แพ้เกมนี้ ในฐานะ CA รายใหญ่ที่สุดบนอินเทอร์เน็ต ก็อาจก่อให้เกิดความปั่นป่วนครั้งใหญ่
• การตอบโต้ทางกฎหมายของ DigiCert อาจยิ่งสร้างความเสียหายให้ตัวเองมากขึ้น
• กรณีที่ถูกกล่าวถึงใน Bugzilla
  • มีเหตุการณ์ที่ละเมิดสมมติฐานสำคัญด้านความปลอดภัยด้วยการไม่ใช้ขีดล่างใน DNS record
  • เรื่องนี้ถูกมองว่าเป็นเหตุการณ์ร้ายแรงต่อความปลอดภัย
• การข่มขู่ทางกฎหมายของ DigiCert ดูเหมือนเป็นความพยายามจะปิดปากผู้มีส่วนร่วมในเว็บ PKI
  • นี่เป็นพฤติกรรมที่ขัดกับวัตถุประสงค์และเป้าหมายขององค์กร และมีความเห็นว่าควรเพิกถอนทุกอย่างที่เกี่ยวข้องกับ DigiCert โดยทันที
• ผู้ที่ก่อให้เกิดบั๊กด้านการตรวจสอบของ DigiCert ได้ลาออกไปแล้ว
  • บุคคลจาก Sectigo พยายามไม่ให้บั๊กถูกปิด เพื่อให้ได้คำตอบเพิ่มเติม
• สิ่งสำคัญคือไม่ควรกล่าวถึงประเด็นทางกฎหมาย
  • ควรปล่อยให้ฝ่ายกฎหมายโต้แย้งกันเอง
• มีข้อสงสัยว่าเหตุใด DigiCert จึงไม่คัดค้านคำสั่งศาล
  • อาจเป็นไปได้ว่ามีการมอบเงื่อนไขพิเศษให้กับลูกค้าบางราย
• มีการเปิดเผยคำชี้แจงตอบสนองของ DigiCert และบริษัทอ้างว่าเจตนาของตนคือการส่งเสริมการสนทนาที่เปิดเผยและซื่อสัตย์
• มีความเห็นว่าการตอบโต้ทางกฎหมายของ DigiCert เป็นการตัดสินใจที่ผิดพลาด
  • Sectigo ไม่ได้รับความเสียหายจากการจัดการประเด็นนี้ในที่สาธารณะ
• หน่วยงานออกใบรับรองได้รับความไว้วางใจอย่างสูงจากผู้ใช้อินเทอร์เน็ต และจึงมีความรับผิดชอบตามระดับนั้น
  • Baseline Requirements เป็นเพียงมาตรฐานขั้นต่ำ และหากทำตามไม่ได้ก็ไม่สมควรได้รับความไว้วางใจ
  • แม้จะพอเข้าใจได้ที่ไม่สามารถเพิกถอนใบรับรองราว 70 ใบได้เพราะ TRO แต่ความล้มเหลวอื่น ๆ ในการเพิกถอนไม่อาจยอมรับได้