ไอคอนแม่กุญแจ: ความหมายที่แท้จริง

ไอคอนแม่กุญแจในแถบที่อยู่ของเบราว์เซอร์ยืนยันว่าการเชื่อมต่อระหว่างเบราว์เซอร์ของคุณกับเว็บเซิร์ฟเวอร์ได้รับการเข้ารหัสโดยใช้ TLS ซึ่งป้องกันไม่ให้ผู้ดักฟังอ่านข้อความที่กำลังส่งผ่านเครือข่าย

ไอคอนนี้ยังยืนยันว่าเซิร์ฟเวอร์ได้แสดงใบรับรองที่เบราว์เซอร์ของคุณตรวจสอบได้ ใบรับรองดังกล่าวลงนามโดยหน่วยงานออกใบรับรอง (CA) ที่เชื่อถือได้ และชื่อโดเมนตรงกัน

ไอคอนแม่กุญแจไม่ได้บอกอะไรเกี่ยวกับความน่าเชื่อถือหรือความถูกต้องตามกฎหมายของเว็บไซต์นั้นเอง ผู้ไม่หวังดีสามารถขอใบรับรอง TLS ที่ถูกต้องสำหรับเว็บไซต์ฟิชชิงของตนได้ง่ายพอ ๆ กับที่ธุรกิจที่ถูกต้องตามกฎหมายสามารถขอได้

ไอคอนแม่กุญแจหมายความว่า "การเชื่อมต่อของคุณกับเซิร์ฟเวอร์นี้ได้รับการเข้ารหัส" ไม่ได้หมายความว่า "เว็บไซต์นี้ปลอดภัย" "บริษัทนี้ถูกต้องตามกฎหมาย" หรือ "คุณควรเชื่อถือเนื้อหาในหน้านี้"

เว็บไซต์ฟิชชิงใช้ HTTPS เป็นประจำ Let's Encrypt ออกใบรับรองฟรีโดยอัตโนมัติให้ทุกคนที่ควบคุมโดเมนได้ รวมถึงผู้ไม่หวังดีที่จดทะเบียนโดเมนซึ่งมีลักษณะคล้ายกับโดเมนจริง เช่น "paypa1.com" หรือ "arnazon.com"

รายงานความโปร่งใสของ Google แสดงให้เห็นว่า ปัจจุบันหน้าฟิชชิงมากกว่า 90% ใช้ HTTPS การมีไอคอนแม่กุญแจจึงไม่ใช่ตัวบ่งชี้ความปลอดภัยที่เชื่อถือได้ ต้องตรวจสอบชื่อโดเมนด้วยตนเอง

ใบรับรองการตรวจสอบโดเมน (DV) ซึ่งเป็นประเภทที่พบมากที่สุด จะตรวจสอบเพียงว่าผู้ยื่นคำขอควบคุมโดเมนได้หรือไม่ CA ตรวจสอบเรื่องนี้ผ่านระเบียน DNS ไฟล์ที่วางไว้บนเว็บเซิร์ฟเวอร์ หรืออีเมลที่ส่งไปยังผู้ติดต่อฝ่ายดูแลโดเมน

ใบรับรอง DV สามารถออกได้ภายในไม่กี่นาทีผ่านโพรโทคอล ACME ซึ่งใช้โดย Let's Encrypt ใบรับรองเหล่านี้ยืนยันการควบคุมโดเมน แต่ไม่ให้ข้อมูลใด ๆ เกี่ยวกับองค์กรที่อยู่เบื้องหลังโดเมน

ใบรับรองการตรวจสอบองค์กร (OV) กำหนดให้ CA ตรวจสอบการมีอยู่ตามกฎหมายขององค์กร CA จะตรวจสอบระเบียนการจดทะเบียนธุรกิจ ยืนยันที่อยู่ขององค์กร และตรวจสอบว่าผู้ยื่นคำขอใบรับรองมีอำนาจดำเนินการแทนองค์กร

ใบรับรอง OV ระบุชื่อองค์กรไว้ในข้อมูลใบรับรอง ใช้เวลาหลายวันกว่าจะออกและมีค่าใช้จ่ายสูงกว่าใบรับรอง DV แต่ให้ความมั่นใจเกี่ยวกับตัวตนขององค์กรได้มากกว่า

ใบรับรองการตรวจสอบเพิ่มเติม (EV) กำหนดให้ตรวจสอบอย่างเข้มงวดที่สุด ได้แก่ การมีอยู่ตามกฎหมาย การดำเนินงานจริง ที่อยู่ทางกายภาพ และการยืนยันโดยตรงกับบุคลากรที่ได้รับอนุญาต กระบวนการนี้ใช้เวลาตั้งแต่หนึ่งสัปดาห์ไปจนถึงหลายสัปดาห์

ในอดีต ใบรับรอง EV จะแสดงชื่อองค์กรเป็นสีเขียวในแถบที่อยู่ของเบราว์เซอร์ อย่างไรก็ตาม Chrome นำตัวบ่งชี้ EV ออกในปี 2019 โดยอ้างงานวิจัยด้านการใช้งานที่แสดงว่าผู้ใช้ไม่เข้าใจหรือไม่สังเกตเห็นตัวบ่งชี้ดังกล่าว

Certificate Transparency (CT) เป็นกลไกที่กำหนดให้ใบรับรองทุกฉบับที่ออกต้องถูกบันทึกไว้ในบันทึกสาธารณะที่ตรวจสอบได้ เบราว์เซอร์จะตรวจสอบว่าใบรับรองปรากฏอยู่ในบันทึก CT ก่อนที่จะเชื่อถือใบรับรองนั้น

บันทึก CT ช่วยให้เจ้าของโดเมนตรวจสอบว่ามีการออกใบรับรองโดยไม่ได้รับอนุญาตสำหรับโดเมนของตนหรือไม่ หาก CA ออกใบรับรองโดยไม่ถูกต้อง ใบรับรองนั้นจะปรากฏในบันทึกภายในไม่กี่ชั่วโมง ทำให้ตรวจพบและเพิกถอนได้อย่างรวดเร็ว

ในเบราว์เซอร์สมัยใหม่ทุกชนิด คุณสามารถคลิกไอคอนแม่กุญแจเพื่อดูรายละเอียดการเชื่อมต่อ Chrome จะแสดงข้อความ "การเชื่อมต่อปลอดภัย" ระยะเวลาที่ใบรับรองมีผล และ CA ผู้ออกใบรับรอง เมื่อคลิก "ใบรับรองถูกต้อง" จะแสดงห่วงโซ่ใบรับรองทั้งหมด

รายละเอียดใบรับรองประกอบด้วย ชื่อทั่วไปและชื่อทางเลือกของหัวเรื่อง (โดเมนที่ครอบคลุม) CA ผู้ออกใบรับรอง ระยะเวลาที่มีผล (ไม่ก่อนวันที่ / ไม่หลังวันที่) และอัลกอริทึมลายเซ็น

ตั้งแต่ปี 2017 Chrome ทำเครื่องหมายหน้า HTTP ทั้งหมดว่า "ไม่ปลอดภัย" ในแถบที่อยู่ Firefox และ Edge ก็ทำตาม คำเตือนนี้ปรากฏขึ้นเนื่องจาก HTTP ส่งข้อมูลทั้งหมดเป็นข้อความธรรมดา ซึ่งทุกคนในเครือข่ายสามารถมองเห็นได้

ป้ายกำกับ "ไม่ปลอดภัย" จะเด่นชัดเป็นพิเศษเมื่อผู้ใช้เริ่มพิมพ์ข้อมูลลงในแบบฟอร์มบนหน้า HTTP เพื่อเตือนว่าข้อมูลรับรองหรือข้อมูลส่วนบุคคลจะถูกส่งโดยไม่มีการเข้ารหัส

ปัจจุบัน HTTPS เป็นมาตรฐานพื้นฐานที่คาดหวังสำหรับเว็บไซต์ทุกแห่ง ไม่ใช่คุณสมบัติความปลอดภัยระดับพิเศษ การมี HTTPS หมายความว่าช่องทางการสื่อสารได้รับการเข้ารหัส ซึ่งเป็นสิ่งจำเป็นแต่ยังไม่เพียงพอสำหรับความปลอดภัยโดยรวมของเว็บไซต์

ความปลอดภัยของเนื้อหา ความปลอดภัยของการยืนยันตัวตน การควบคุมการให้สิทธิ์ การป้องกันช่องโหว่จากการฉีดคำสั่ง และคุณสมบัติด้านความปลอดภัยอื่น ๆ อีกหลายสิบประการ ล้วนแยกจากกันโดยสิ้นเชิงและไม่ได้ขึ้นอยู่กับว่าการเชื่อมต่อนั้นใช้ HTTPS หรือไม่

นอกเหนือจากการดูไอคอนแม่กุญแจแล้ว การตรวจสอบว่าเว็บไซต์น่าเชื่อถือจำเป็นต้องตรวจชื่อโดเมนที่ถูกต้องอย่างละเอียดเพื่อหาการปลอมชื่อโดเมนด้วยการสะกดเลียนแบบ ตรวจดูรายละเอียดใบรับรอง OV หรือ EV หากมี ตรวจสอบเว็บไซต์ผ่านผลการค้นหาของเครื่องมือค้นหาแทนการคลิกลิงก์ในอีเมล และตรวจสอบอายุการจดทะเบียนกับเจ้าของโดเมนผ่านการค้นข้อมูล WHOIS

ผู้ใช้ที่ใส่ใจความปลอดภัยมักบันทึกเว็บไซต์สำคัญ เช่น เว็บไซต์ธนาคาร ไว้ในบุ๊กมาร์ก แทนการพิมพ์ที่อยู่ URL ทุกครั้ง ซึ่งลดความเสี่ยงจากการพิมพ์ผิดไปยังโดเมนที่ปลอมชื่อด้วยการสะกดเลียนแบบและอาจมีใบรับรอง HTTPS ที่ถูกต้อง

ทดสอบความเข้าใจเกี่ยวกับความหมายของไอคอนแม่กุญแจในเบราว์เซอร์

ไอคอนแม่กุญแจยืนยันการเชื่อมต่อ TLS ที่เข้ารหัสและการตรวจสอบใบรับรองโดย CA ที่เชื่อถือได้ แต่ไม่ได้ยืนยันว่าเว็บไซต์หรือองค์กรนั้นน่าเชื่อถือ

เว็บไซต์หลอกลวงแบบฟิชชิงสามารถใช้ HTTPS ได้ และก็ใช้จริง ใบรับรอง DV ต้องตรวจสอบเพียงการควบคุมโดเมนและออกให้ได้ภายในไม่กี่นาที บันทึกความโปร่งใสของใบรับรองช่วยให้ตรวจติดตามใบรับรองที่ออกโดยไม่ได้รับอนุญาตได้ HTTPS จำเป็น แต่ไม่เพียงพอสำหรับความปลอดภัยโดยรวม