- ใบรับรอง Let’s Encrypt คือใบรับรองดิจิทัล SSL/TLS ที่ออกโดย ISRG และผู้สมัครจะต้องปฏิบัติตามสิทธิและหน้าที่ในข้อตกลงนี้เมื่อร้องขอ ยอมรับ และใช้งานใบรับรอง
- ผู้สมัครต้องรับรองสิทธิในตัวระบุของใบรับรอง ความถูกต้องของข้อมูล และการครอบครอง/ปกป้องกุญแจส่วนตัว รวมถึงต้องปฏิบัติตาม กฎการคว่ำบาตรและการควบคุมการส่งออกของสหรัฐฯ
- บุคคลหรือองค์กรที่อยู่ในประเทศหรือภูมิภาคที่ถูกสหรัฐฯ คว่ำบาตรอย่างครอบคลุม หรือจัดตั้งขึ้นหรือมีถิ่นพำนักตามปกติภายใต้กฎหมายของพื้นที่ดังกล่าว จะไม่สามารถใช้ใบรับรองและบริการที่ ISRG ให้บริการได้
- ในบางเงื่อนไข เช่น กุญแจรั่วไหล ข้อมูลใบรับรองผิดพลาด การใช้งานผิดวัตถุประสงค์ การหมดอายุ/การเพิกถอน หรือการใช้ในกิจกรรมผิดกฎหมาย ผู้สมัครหรือ ISRG จะต้องดำเนินการ เพิกถอนใบรับรอง
- ข้อตกลงนี้จำกัดการรับประกันของ ISRG สำหรับใบรับรองที่ให้เป็นบริการสาธารณะฟรี และกำหนดข้อจำกัดความรับผิด กฎหมายที่ใช้บังคับ เขตอำนาจศาล และขั้นตอนการเปลี่ยนแปลงสัญญา
ลักษณะของข้อตกลงและคำจำกัดความพื้นฐาน
- Let’s Encrypt Subscriber Agreement เป็นข้อตกลงที่มีผลผูกพันตามกฎหมายระหว่างผู้สมัครกับ Internet Security Research Group (ISRG)
- ขอบเขตของข้อตกลงคือสิทธิและหน้าที่ของทั้งสองฝ่ายเกี่ยวกับการได้รับและการใช้ใบรับรองดิจิทัล SSL/TLS ที่ออกโดย ISRG
- หากดำเนินการในนามของบริษัท องค์กร หรือหน่วยงานอื่น ต้องรับรองว่าตนมีอำนาจผูกพันหน่วยงานนั้นกับข้อตกลงนี้
- ACME Client Software คือซอฟต์แวร์แอปพลิเคชันที่ใช้โปรโตคอล ACME เพื่อร้องขอ ยอมรับ ใช้งาน และจัดการใบรับรอง Let’s Encrypt
- Certificate คือบันทึกในระบบคอมพิวเตอร์หรือข้อความอิเล็กทรอนิกส์ที่เชื่อมกุญแจสาธารณะเข้ากับตัวระบุอย่างน้อยหนึ่งรายการ และมีลายเซ็นดิจิทัลจากผู้ออก
การมีผลบังคับ ระยะเวลา และข้อกำหนดที่ยังคงมีผล
- ข้อตกลงมีผลตั้งแต่เวลาที่ร้องขอให้ ISRG ออกใบรับรอง Let’s Encrypt
- ใบรับรองแต่ละใบมีผลตามระยะเวลาที่ระบุในใบรับรอง และอาจถูกเพิกถอนก่อนหน้านั้นได้
- ข้อตกลงยังคงมีผลตลอดช่วงเวลาที่ถือครองใบรับรองที่ยังมีผลใช้งาน รวมถึงช่วงเวลาต่ออายุที่มีการต่ออายุอัตโนมัติ
- หากไม่มีใบรับรอง Let’s Encrypt ที่ยังมีผลใช้งานอีกต่อไป ข้อตกลงจะสิ้นสุดลง
- ข้อกำหนดเรื่องข้อมูลส่วนบุคคล การยกเว้นความรับผิด การปฏิเสธการรับประกัน การจำกัดความรับผิด กฎหมายที่ใช้บังคับ การเลือกเขตอำนาจศาล การจำกัดการเรียกร้องต่อ ISRG และการห้ามใช้ใบรับรองที่ได้มาโดยมิชอบหรือใบรับรองที่หมดอายุแล้ว จะยังคงมีผลหลังการสิ้นสุดหรือหมดอายุของข้อตกลง
การรับรองและความรับผิดชอบของผู้สมัคร
- ผู้สมัครต้องรับรองว่าตนเป็นผู้จดทะเบียน ผู้รับโอน หรือผู้แทนที่ได้รับมอบอำนาจโดยชอบด้วยกฎหมายของตัวระบุที่เป็นเป้าหมายของใบรับรองแต่ละใบ
- ผู้สมัครต้องรับรองว่าไม่ได้ได้มาซึ่งการควบคุมตัวระบุจากผลของการยึดทรัพย์ หรือในขณะยึดทรัพย์นั้นไม่มีการใช้งานโดยชอบด้วยกฎหมายของตัวระบุดังกล่าวอย่างต่อเนื่อง
- ผู้สมัครต้องรับรองว่าข้อมูลผู้สมัคร/ตัวระบุในใบรับรองและข้อมูลทั้งหมดที่ให้แก่ ISRG นั้นถูกต้อง เป็นปัจจุบัน เชื่อถือได้ ครบถ้วน และไม่ก่อให้เกิดความเข้าใจผิด
- ผู้สมัครต้องครอบครองโดยชอบด้วยกฎหมายซึ่งกุญแจส่วนตัวที่สอดคล้องกับกุญแจสาธารณะของใบรับรอง และต้องควบคุม รักษาความปลอดภัย ปกป้อง และเก็บเป็นความลับซึ่งกุญแจส่วนตัวนั้น รวมถึงข้อมูลหรืออุปกรณ์สำหรับการเปิดใช้งานที่เกี่ยวข้อง
- ผู้สมัครต้องไม่เป็นบุคคลหรือองค์กรที่อยู่ในประเทศหรือภูมิภาคที่ถูกสหรัฐฯ คว่ำบาตรอย่างครอบคลุม หรือจัดตั้งขึ้นหรือมีถิ่นพำนักตามปกติภายใต้กฎหมายของพื้นที่ดังกล่าว
- ผู้สมัครต้องไม่เป็นผู้ที่ถูกห้ามหรือถูกจำกัดภายใต้กฎหมายคว่ำบาตรหรือการควบคุมการส่งออกของสหรัฐฯ หรือกฎหมายอื่นที่ใช้บังคับ
- ผู้สมัครต้องไม่เป็นบุคคลหรือองค์กรที่ถูกผู้ถูกคว่ำบาตรหรือผู้ที่ถูกห้าม/จำกัดเป็นเจ้าของหรือควบคุม หรือกระทำการแทนบุคคลดังกล่าว
- ผู้สมัครต้องใช้ใบรับรอง Let’s Encrypt และบริการที่ ISRG หรือผู้ให้บริการแทน ISRG มอบให้ให้สอดคล้องกับกฎหมายควบคุมการส่งออกและการคว่ำบาตรของสหรัฐฯ ที่ใช้บังคับ
การออก การใช้งาน และหน้าที่ในการเพิกถอนใบรับรอง
- เนื้อหาในใบรับรองอ้างอิงจากข้อมูลที่ผู้สมัครหรือ ACME Client Software ส่งให้ ISRG
- เมื่อ ISRG ยอมรับคำขอใบรับรอง จะสร้างใบรับรองและส่งมอบให้ผู้สมัครผ่านโปรโตคอล ACME
- หาก ISRG ไม่สามารถยืนยันความถูกต้องของคำขอได้ คำขออาจถูกปฏิเสธ
- ISRG สามารถปฏิเสธคำขอใบรับรองได้ตามดุลยพินิจแต่เพียงผู้เดียว รวมถึงด้วยเหตุผลทางกฎหมายทั้งที่ระบุหรือไม่ได้ระบุไว้ในข้อตกลง
- คู่กุญแจถูกสร้างโดยผู้สมัครหรือ ACME Client Software บนระบบของผู้สมัคร และ ISRG ไม่สามารถเข้าถึงกุญแจส่วนตัวได้
- ISRG ใช้วิธีการและโปรโตคอลทางเทคนิคเพื่อตรวจสอบการควบคุมตัวระบุเป้าหมาย และการตรวจสอบนี้เป็นขั้นตอนเพื่อช่วยตัดสินใจว่าจะออกใบรับรองหรือไม่
- ผู้สมัครต้องตรวจสอบเนื้อหาใบรับรองทันที และหากพบความไม่ถูกต้อง ข้อผิดพลาด ข้อบกพร่อง หรือปัญหาอื่นใด ต้องร้องขอการเพิกถอนทันที
- เมื่อมีการใช้งานใบรับรองครั้งแรก หรือใช้งานกุญแจส่วนตัวที่สอดคล้องกันครั้งแรก จะถือว่าได้ยอมรับใบรับรองแล้ว
- หากไม่ได้ร้องขอการเพิกถอนทันทีหลังการตรวจสอบครั้งแรก ก็จะถือว่าได้ยอมรับใบรับรองเช่นกัน
- ISRG ให้สิทธิใช้งานแบบไม่ผูกขาดและไม่คิดค่าใช้จ่ายในการคัดลอกและเผยแพร่ใบรับรองทั้งหมด ภายใต้เงื่อนไขว่าปฏิบัติตามข้อตกลง
- วัตถุประสงค์ของใบรับรองคือเพื่อรับรองตัวตนและเข้ารหัสการสื่อสารทางอินเทอร์เน็ต
- ผู้สมัครต้องติดตั้งใบรับรองเฉพาะบนเซิร์ฟเวอร์ที่ระบุไว้ใน subjectAltName ของใบรับรองเท่านั้น และต้องใช้งานให้สอดคล้องกับกฎหมายและสัญญาที่เกี่ยวข้องทั้งหมด
- ผู้สมัครต้องไม่ใช้ใบรับรองในสถาปัตยกรรมซอฟต์แวร์หรือฮาร์ดแวร์ที่มีฟังก์ชันรบกวนการสื่อสารแบบเข้ารหัส
- ตัวอย่างการใช้งานที่ห้าม ได้แก่ การดักฟังเชิงรุก การโจมตีแบบ man-in-the-middle หรือการจัดการทราฟฟิกของโดเมนเนมหรือ IP address ที่ตนไม่ได้เป็นเจ้าของหรือควบคุม
- หากมีการใช้งานกุญแจส่วนตัวโดยมิชอบหรือสงสัยว่ากุญแจรั่วไหล ต้องร้องขอเพิกถอนใบรับรองนั้นทันที
- หากข้อมูลใบรับรองทำให้เข้าใจผิด ไม่ถูกต้อง หรือผิดพลาด ต้องร้องขอเพิกถอนใบรับรองนั้นทันที
- ก่อนระบุรหัสเหตุผลในการเพิกถอน ต้องอ่านคำแนะนำ “Revoking Certificates” ใน เอกสาร Let’s Encrypt
- ISRG สามารถแก้ไขรหัสเหตุผลในการเพิกถอนที่ผู้สมัครระบุได้ หากเห็นว่ารหัสเหตุผลอื่นเหมาะสมกว่า หรือจำเป็นตามมาตรฐานอุตสาหกรรม
- หากข้อมูลใบรับรองทำให้เข้าใจผิด ไม่ถูกต้อง หรือผิดพลาด หรือหากใบรับรองถูกเพิกถอนหรือหมดอายุ ต้องหยุดใช้งานใบรับรองนั้นทันที
- หากใบรับรองถูกเพิกถอนเนื่องจากทราบหรือสงสัยว่ากุญแจรั่วไหล ต้องหยุดใช้กุญแจส่วนตัวทั้งหมดที่สอดคล้องกับกุญแจสาธารณะนั้นทันที
สิทธิของ ISRG ข้อจำกัดความรับผิด และเงื่อนไขเพิ่มเติม
- ข้อมูลที่ผู้สมัครส่งให้ ISRG และตัวใบรับรองอาจกลายเป็นบันทึกสาธารณะ
- การเก็บรวบรวม จัดเก็บ ใช้งาน และเปิดเผยข้อมูลของ ISRG อยู่ภายใต้ นโยบายความเป็นส่วนตัวของ Let’s Encrypt
- ISRG สามารถเพิกถอนใบรับรองได้ทันทีหากได้รับแจ้งว่าใบรับรองไม่ถูกต้องหรือเสียหาย
- ISRG เป็นผู้ตัดสินแต่เพียงผู้เดียวว่าจะเพิกถอนใบรับรองหรือไม่
- หากผู้สมัครหรือตัวแทนร้องขอการเพิกถอนใบรับรอง ISRG จะเพิกถอนใบรับรองนั้นโดยเร็วที่สุดเท่าที่สามารถดำเนินการได้
- คำขอเพิกถอนที่ลงนามด้วยกุญแจส่วนตัวจะถือว่าเป็นคำขอที่ถูกต้องโดยอัตโนมัติ
- ISRG สามารถเพิกถอนใบรับรองได้ทันทีโดยไม่ต้องแจ้งล่วงหน้า หากใบรับรองถูกออกอย่างไม่เหมาะสม หรือได้มาจากการแถลงข้อความอันเป็นเท็จ การปกปิดข้อมูล หรือการฉ้อโกง
- ISRG สามารถเพิกถอนใบรับรองได้ทันทีโดยไม่ต้องแจ้งล่วงหน้า หากใบรับรองไม่น่าเชื่อถือแล้ว หรือดูเหมือนว่าไม่น่าเชื่อถือ
- ISRG สามารถเพิกถอนใบรับรองได้ทันทีโดยไม่ต้องแจ้งล่วงหน้า หากความปลอดภัยของกุญแจส่วนตัวอาจถูกขโมย สูญหาย เสียหาย หรือถูกใช้งานโดยไม่ได้รับอนุญาต
- ISRG สามารถเพิกถอนใบรับรองได้ทันทีโดยไม่ต้องแจ้งล่วงหน้า หากใบรับรองถูกใช้หรือเคยถูกใช้เพื่อเอื้อให้เกิดกิจกรรมอาชญากรรม เช่น phishing การฉ้อโกง หรือการเผยแพร่มัลแวร์
- ISRG สามารถเพิกถอนใบรับรองได้ทันทีโดยไม่ต้องแจ้งล่วงหน้า หากใบรับรองถูกใช้หรือเคยถูกใช้เพื่อดักจับทราฟฟิกของผู้อื่น
- ใบรับรอง Let’s Encrypt และบริการที่ ISRG จัดให้ จะให้บริการแบบ “ตามสภาพ” ยกเว้นในกรณีที่ระบุไว้อย่างชัดแจ้ง และ ISRG ปฏิเสธการรับประกันโดยนัยเกี่ยวกับกรรมสิทธิ์ การไม่ละเมิดสิทธิ์ ความสามารถในการซื้อขาย และความเหมาะสมสำหรับวัตถุประสงค์เฉพาะ
- เนื่องจากใบรับรอง Let’s Encrypt ออกให้เป็นบริการสาธารณะฟรี ISRG จึงไม่รับผิดชอบต่อความสูญเสีย ความเสียหาย การเรียกร้อง หรือค่าทนายความที่เกี่ยวข้องกับใบรับรอง
- กฎหมายที่ใช้บังคับกับข้อตกลงนี้คือกฎหมายของรัฐแคลิฟอร์เนีย และการเรียกร้อง คดี หรือกระบวนการใด ๆ ที่เกี่ยวข้องกับข้อตกลงต้องยื่นต่อศาลของรัฐหรือศาลรัฐบาลกลางในเมือง San Jose รัฐแคลิฟอร์เนีย
- การเรียกร้อง คดี หรือกระบวนการที่เกี่ยวข้องกับข้อตกลงต่อ ISRG ต้องเริ่มภายใน 1 ปีนับจากวันที่เกิดความเสียหาย ความสูญเสีย หรือการกระทำที่อ้างว่าไม่ชอบด้วยกฎหมาย
- ISRG สามารถแก้ไขข้อตกลงได้เป็นครั้งคราว และข้อตกลงฉบับแก้ไขจะถูกเผยแพร่บน letsencrypt.org อย่างน้อย 14 วันก่อนมีผลใช้บังคับ
- การเปลี่ยนแปลงที่มีนัยสำคัญจะถูกระบุเป็นหมายเลขเวอร์ชัน Subscriber Agreement ใหม่ในโปรโตคอล ACME และ ACME Client Software อาจถูกตั้งค่าให้แจ้งการเปลี่ยนแปลงดังกล่าว
- เมื่อมีการร้องขอใบรับรอง ISRG อาจส่งอีเมลที่เกี่ยวข้องกับการร้องขอและการใช้งานใบรับรอง การเพิกถอนใบรับรอง และการยุติบริการ
- หากให้ที่อยู่อีเมลผ่าน ACME API, ISRG อาจส่งอีเมล 1 ฉบับเพื่อเสนอทางเลือกในการสมัครรับการสื่อสารเพิ่มเติม
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
พันธกิจของ Let’s Encrypt คือการทำให้เว็บ ปลอดภัยและเคารพความเป็นส่วนตัว มากขึ้น แต่ดูเหมือนว่ากลับตัดคนที่อยู่ในประเทศซึ่งต้องการสิ่งนี้มากที่สุดออกไป
แต่เรื่องนี้น่าจะเกิดจากข้อกำหนดทางกฎหมายอันน่าเหลือเชื่อของสหรัฐที่ห้ามส่งออกเทคโนโลยี SSL ไปยังประเทศศัตรู ใครที่ทันยุคก่อนอาจยังจำได้ว่าสมัยหนึ่งเว็บเบราว์เซอร์ถูกแยกเป็นเวอร์ชัน “เป็นมิตรกับนานาชาติ” ที่รองรับการเข้ารหัส 40 บิต กับเวอร์ชัน “ความปลอดภัยขั้นสูง” ที่รองรับการเข้ารหัส 128 บิต
การบล็อกส่วนใหญ่ที่เกี่ยวกับมาตรการคว่ำบาตรนั้นใช้กับรัฐบาลของบางประเทศที่ถูกคว่ำบาตรโดยเฉพาะ ไม่ได้ใช้กับประชาชนทั่วไป
การอัปเดตข้อตกลงสมาชิกครั้งนี้มีจุดประสงค์เพื่อสะท้อนข้อกำหนดทางกฎหมายให้ชัดขึ้น ไม่ใช่การเปลี่ยนแปลงบริการครั้งใหญ่ โปรแกรมด้านคอมพลายแอนซ์ย่อมเปลี่ยนไปตามกาลเวลา และการสื่อสารเรื่องนี้ในข้อกำหนดให้ดีขึ้นก็เป็นส่วนหนึ่งของกระบวนการนั้น จากคอมเมนต์ที่นี่ก็ดูชัดเจนว่าจำเป็นต้องทำให้ข้อความเข้าใจง่ายขึ้น และเราจะปรับปรุงส่วนนั้น
และนี่ไม่ใช่เพราะ “กฎหมายสหรัฐที่ห้ามส่งออกเทคโนโลยี SSL ไปยังประเทศศัตรู”
จากนั้นคนต่างประเทศก็สแกนสิ่งพิมพ์เหล่านั้นเพื่อกู้ซอร์สกลับมา และ build PGP ได้อย่างถูกกฎหมาย
https://ofac.treasury.gov/ofac-license-application-page
Linux distribution จำนวนมากที่มีฐานอยู่ในสหรัฐก็เดินแนวทางนี้มาพักใหญ่แล้ว และ RedHat ก็เคยประกาศในลักษณะคล้าย Let’s Encrypt อยู่พอสมควร
ถ้าเป็นโครงการโอเพนที่มีความสำคัญจริง ๆ สุดท้ายก็คงต้องเลือกระหว่างย้ายออกไปแบบ RISC-V หรือบังคับแยกตัวแบบ Let’s Encrypt และโครงการอื่น ๆ
http://www.cypherspace.org/adam/uk-shirt.html
มันคือเสื้อยืดที่พิมพ์สคริปต์ Perl ซึ่งทำ RSA encryption ที่แข็งแกร่งถึงขั้นว่าถ้าส่งออกจากสหรัฐก็ถือว่าผิดกฎหมายในทางเทคนิค
น่าเสียดายที่ปลายยุค 90 ผมไม่ได้บ้าบิ่นหรือกล้าพอจะใส่เสื้อตัวนั้นไปสหรัฐ
Let’s Encrypt ไม่สามารถตั้งสาขาอยู่นอกยุโรปหรือสหรัฐรวมถึงกลุ่มพันธมิตรบริวารของพวกนั้นได้หรือ?
มันขัดกับเป้าหมายที่ประกาศไว้ในหน้า About เอง ทั้ง “บริการที่ดำเนินการเพื่อประโยชน์สาธารณะ”, “ใครก็ตามที่มีชื่อโดเมนสามารถได้รับใบรับรองที่เชื่อถือได้ฟรี”, และ “ความร่วมมือร่วมกันเพื่อประโยชน์ของชุมชนที่อยู่นอกการควบคุมขององค์กรใดองค์กรหนึ่ง” แต่ตอนนี้ก็เท่ากับยอมรับเองว่าตนอยู่ใต้ การควบคุมขององค์กรทางการเมือง
ข้อความที่เพิ่มในข้อตกลงสมาชิกเมื่อ 2026-06-04 ระบุว่า ผู้ใช้ต้องไม่เป็นบุคคลหรือองค์กรที่อยู่ในประเทศหรือดินแดนที่ถูกสหรัฐคว่ำบาตรแบบครอบคลุม หรือจัดตั้งขึ้นหรือพำนักอยู่ตามกฎหมายของพื้นที่ดังกล่าว ไม่เป็นผู้ที่ถูกห้ามหรือจำกัดตามกฎหมายคว่ำบาตรหรือควบคุมการส่งออกของสหรัฐหรือกฎหมายอื่นที่ใช้บังคับ และไม่เป็นผู้ที่บุคคลดังกล่าวเป็นเจ้าของ ควบคุม หรือกระทำการแทน อีกทั้งต้องใช้ใบรับรองของ Let’s Encrypt และบริการที่ ISRG จัดหาให้ให้สอดคล้องกับกฎหมายควบคุมการส่งออกและมาตรการคว่ำบาตรของสหรัฐ
ย้ายไปประเทศ เป็นกลาง อย่าง Singapore หรือ Uruguay ยังจะดีกว่า
เทคโนโลยีในการสร้าง root ทางเลือกนั้นแทบจะเป็นเรื่องเล็กน้อยพอ ๆ กับระบบชื่อโดเมนหรือระบบที่อยู่ IP แต่สิ่งที่ยากกว่ามากคือทำให้ root ทางเลือกนั้นได้รับความไว้วางใจจนผู้มีส่วนร่วมที่เหลือของโลกยอมรับ
ตัวอย่างเช่น ถ้ามีใครสร้าง Let’s Encrypt ฉบับรัสเซียขึ้นมา ในเชิงเทคนิคมันอาจเหมือน LE เดิมทุกอย่าง ทั้งการขอและรับใบรับรองผ่าน ACME challenge แต่จะไม่มีเบราว์เซอร์ไหนยอมรับว่าใช้ได้ และไม่มีระบบปฏิบัติการใดมองว่าใช้ได้ รัฐบาลรัสเซียอาจเพิ่ม LE ใหม่นี้เป็นผู้ที่เชื่อถือได้บนเครื่องคอมพิวเตอร์ของรัฐบาลได้ แต่เรื่องสำคัญจริง ๆ คือการทำให้ผู้มีส่วนร่วมอื่น ๆ ของโลกทำแบบนั้นด้วย ปัญหานี้ไม่ใช่เรื่องเทคนิค แต่เป็นปัญหาทางสังคมที่ตั้งอยู่บนความไว้วางใจ
ตอนที่รัสเซียบุกยูเครน มีการถกเถียงกันมากว่า IANA/ICANN ควรตัดรัสเซียออกจากระบบชื่อโดเมนและที่อยู่ IP หรือไม่ สุดท้ายก็สรุปว่าไม่ควรทำ เพราะประโยชน์เชิงสัญลักษณ์มีน้อย แต่ความเสียหายต่อระบบโดยรวมจะสูงมาก โดยเฉพาะหลังสงครามจบ หากมี root สองชุด ชื่อโดเมนหรือที่อยู่ IP ก็อาจมีได้สองตำแหน่งในทันที และถึงจะอยากแก้ทีหลังก็จะเจ็บปวดมหาศาล หน่วยงานออกใบรับรองไม่มีคุณสมบัติแบบนี้ จึงแทบจะมี root อยู่ร่วมกันได้ไม่จำกัดจำนวน และตราบใดที่ไม่มี hash collision ก็จะไม่ชนกัน หากรัสเซียตั้งหน่วยงานออกใบรับรองใหม่ขึ้นมา คนที่อยากใช้ก็เริ่มใช้ได้ตั้งแต่วันนี้ และหลังสงครามจบก็ยังใช้ต่อได้
Iran ถูกตัดอินเทอร์เน็ตมาหลายเดือนแล้ว แต่สหรัฐกลับห้ามการสร้างการเชื่อมต่อที่ปลอดภัย ช่าง “ได้ผล” จริง ๆ
องค์กรกึ่งรัฐของรัสเซียกำลังทุ่มเงินรูเบิลมหาศาลไปกับ TSPU ซึ่งเป็นระบบเซ็นเซอร์เพื่อสอดส่องชาวรัสเซีย แต่สหรัฐกลับห้ามการเข้าถึงการเข้ารหัสที่ใช้งานได้ เท่ากับช่วยให้พวกนั้นสามารถแอบดูทราฟฟิกที่เข้ารหัสอยู่ตอนนี้ได้
นี่เป็นแค่อัปเดตข้อกำหนดเพื่อให้ชัดเจนว่าที่ผ่านมาปฏิบัติตามกฎหมายที่เกี่ยวข้องมาโดยตลอด ไม่ได้เปลี่ยนแปลงสถานการณ์ในสองประเทศนี้
ผลคือผู้คนและธุรกิจย้ายไปใช้บริการคลาวด์ท้องถิ่นที่รัฐบาลหนุนหลัง ทำให้รัฐบาลตัดการเข้าถึงอินเทอร์เน็ตได้ง่ายขึ้นมากทุกเมื่อที่ต้องการ โดยยังไม่ต้องหยุดบริการจำเป็นอย่างธนาคาร อีคอมเมิร์ซ เรียกแท็กซี่ออนไลน์ หรือส่งอาหาร
และ Roskomnadzor ก็เป็นส่วนหนึ่งของรัฐบาลอย่างชัดเจน
เรื่องนี้ยิ่งตอกย้ำสัญชาตญาณที่ว่าท้ายที่สุดแล้วใบรับรองดิจิทัลคือ เครื่องมือบังคับการกีดกัน แทนเจ้าของหน่วยงานออกใบรับรอง
ไม่ว่าจะเป็นซอฟต์แวร์ เฟิร์มแวร์ ฮาร์ดแวร์ หรืออย่างกรณีนี้คือ SSL/TLS มันคือเครื่องมือที่ทำให้ผู้คนไม่มีกรรมสิทธิ์และการควบคุมอย่างสมบูรณ์เหนือสิ่งที่ได้รับผลกระทบจากใบรับรองดิจิทัล เป็นทรราชดิจิทัลในคราบปลอมตัว
อย่างน้อยในตอนนี้ผู้ใช้ก็ยังสามารถเพิ่มหรือลบหน่วยงานออกใบรับรองได้เอง บนอุปกรณ์อย่างสมาร์ตโฟน การควบคุมนี้อาจไม่ชัดเจนนัก
ใบรับรองดิจิทัลที่ใช้เซ็นแพ็กเกจซอฟต์แวร์ถูกผู้ผลิตบางรายใช้เพื่อบังคับการกีดกัน Let’s Encrypt เท่าที่ผมรู้ไม่ได้อยู่ในขอบเขตนั้น แต่ในกรณีนั้นเจ้าของไม่มีสิทธิเลือกว่าจะเชื่อถือหน่วยงานออกใบรับรองใด และมักจะเชื่อถือได้เฉพาะที่ผู้ผลิตกำหนดไว้ ในทางเทคนิค ถึงแม้จะเป็นเจ้าของรูทใบรับรองที่ใช้เซ็นแพ็กเกจก็ตาม ก็ยังถกเถียงกันได้ว่าควรเรียกหน่วยงานแบบนั้นว่าหน่วยงานออกใบรับรองหรือไม่
บริการง่าย ๆ ส่วนใหญ่อาจไม่จำเป็นต้องใช้ TLS แต่เมื่อ ISP แอบดูการสื่อสาร เราก็ต้องมีวิธีสื่อสารอย่างปลอดภัย และตอนนี้ทางออกที่ดีที่สุดคือการสร้างสายโซ่แห่งความเชื่อถือ
ถ้าต้องการแค่การเข้ารหัสโดยไม่ต้องการความเชื่อถือ ก็ใช้ใบรับรองแบบ self-signed ได้
ทันทีที่ทำธุรกรรมกับผู้ที่ถูกคว่ำบาตร ดูเหมือนคุณจะละเมิดสัญญาทั้งฉบับ และเสี่ยงให้ใบรับรองทั้งหมดถูกเพิกถอน รวมถึงใบรับรองในประเทศที่ไม่ได้ถูกคว่ำบาตรด้วย
ตั้งแต่ต้นเอกสารก็เรียกว่า “Subscriber Agreement” ซึ่งไม่ได้เป็นชื่อที่สื่อว่าขอบเขตจำกัดอยู่ที่ใบรับรองเดียว และยังระบุว่าเป็นสัญญาที่ว่าด้วยสิทธิและหน้าที่เกี่ยวกับ “Certificates” ในรูปพหูพจน์
ข้อ 2.1 “Term” ระบุว่าสัญญามีผลตลอด “ช่วงเวลาทั้งหมดที่ใบรับรองของคุณใบใดก็ตามยังมีผล” และข้อ 3.1 “Warranties” ระบุว่า “โดยการร้องขอ ยอมรับ หรือใช้ใบรับรอง Let’s Encrypt ใบหนึ่งใบใด” จึงดูเหมือนว่าขอบเขตกว้าง
นี่แย่มาก แทบจะแย่ที่สุดแล้ว ถ้าบริการภายในประเทศทั้งหมดในรัฐที่ถูกคว่ำบาตรเริ่มใช้งานไม่ได้ รัฐบาลของประเทศนั้นก็จะบังคับให้ผู้ใช้ทุกคน ติดตั้งรูทใบรับรอง หรือไม่ก็ตัดการเข้าถึงบริการและเว็บไซต์ภายในประเทศ
แบบนั้นรูทใบรับรองนั้นก็จะถูกใช้สำหรับการโจมตีแบบคนกลางได้ ในกรณีเลวร้ายที่สุด เมื่อผู้ใช้ส่วนใหญ่ติดตั้งรูทใบรับรองแล้ว อุปกรณ์ตรวจสอบแพ็กเก็ตเชิงลึกของรัฐก็อาจทำการโจมตีแบบคนกลางกับทราฟฟิกทั้งหมด และบล็อกทราฟฟิกทุกชนิดที่โจมตีแบบคนกลางไม่ได้
นี่คือ สัญญาณเตือน หรือเปล่า?
ถ้ามีการเริ่มใช้หรือใช้งานใบรับรอง Let’s Encrypt ต่อไปอีกใบใน Greenland, Cuba หรือ EU จะเกิดอะไรขึ้น?
Let’s Encrypt ได้รับหมายศาลหรือ?
สิ่งที่พวกเขาได้รับแจ้งคือข้อมูลที่ถูกบันทึกไว้ในล็อกสาธารณะให้ใครก็เห็นได้ ต่อให้สะกดคำว่า “subpoena” ไม่เป็นหรือออกเองไม่เป็นก็ยังดูได้
บางคนจินตนาการว่าหน่วยงานออกใบรับรองมีความลับอยู่ และผู้ใช้เป็นคนสร้างความลับนั้นส่งไปให้ หรือหน่วยงานเป็นคนสร้างแล้วให้สำเนา จนรัฐบาลสหรัฐสามารถใช้หมายศาลเอาความลับนั้นไปได้ แต่แก่นของโครงสร้างพื้นฐานกุญแจสาธารณะคือการใช้ การเข้ารหัสกุญแจสาธารณะ ถ้ามันโอเคที่ทุกฝ่ายจะถือความลับกันไว้เต็มไปหมด เราก็คงไม่ต้องมีโครงสร้างนี้ตั้งแต่แรก
นี่เป็นเรื่องใหม่จริง ๆ เหรอ? สำหรับผมมันดูเหมือน ข้อจำกัดการส่งออกของสหรัฐ มาตรฐานสำหรับเทคโนโลยีเข้ารหัส ซึ่งมีมาตั้งแต่ยุค 90
ถ้า Let’s Encrypt เป็นบริษัทอเมริกัน หรือถ้าคุณอัปโหลดอะไรขึ้น GitHub หรือเผยแพร่อะไรในแอปสโตร์หลัก ๆ คุณก็ต้องอยู่ภายใต้ข้อจำกัดการส่งออกด้านการเข้ารหัสของสหรัฐ ทุกครั้งที่ผมส่งแอปขึ้น Google Play ผมต้องยื่นแบบฟอร์มรายงานต่อรัฐบาลสหรัฐว่าแอปนั้นใช้การเข้ารหัสอย่างไร
ข้อจำกัดแบบนี้มีมาตั้งแต่ปลายทศวรรษ 1950 และมีประวัติที่ยาวและซับซ้อนเกี่ยวกับการเข้ารหัสคอมพิวเตอร์ ข้อความนี้ดูเหมือนถ้อยคำมาตรฐานเชิงพาณิชย์ที่จำเป็นเพื่อให้สอดคล้องกับข้อกำหนดการส่งออก EAR ของสหรัฐ
ในเชิงเทคนิค ตัวเลขนั้นไม่มีอะไรพิเศษ มันอยู่ในขอบเขตของสัญญาทางสังคมที่สายโซ่แห่งความเชื่อถือรับรองไว้
ชอบคำว่า “sanction” มากจริงๆ เพราะมันเป็นคำที่มีความหมายตรงข้ามกับตัวเอง
ใน “The committee sanctioned the new policy.” หมายถึงอนุมัติ แต่ใน “The committee sanctioned the rogue nation.” หมายถึงคว่ำบาตร
cleaveอยู่เยอะการเอาใบรับรองเว็บประมาณ 60% ไปกระจุกอยู่กับผู้ให้บริการรายเดียว อาจเป็นความผิดพลาดก็ได้