Google Chrome ขึ้นแจ้งเตือน “Not Secure” กับเว็บไซต์ที่ไม่ได้เข้ารหัส HTTPS สิ่งนี้ส่งผลกระทบต่อความน่าเชื่อถือ ความเชื่อมมั่นของผู้ใช้บริการที่เข้าถึงเว็บไซต์ของหน่วยงาน ทั้งนี้จะทำให้เว็บไซต์ของเราเชื่อมต่อแบบ HTTPS ต้องทำอย่างไรบ้างบทความนี้มีคำตอบ
<span id="more-9745"></span>
<div>

<img class="aligncenter size-full wp-image-9771" src="https://standard.etda.or.th/wp-content/uploads/2018/07/bann2.png" sizes="(max-width: 1061px) 100vw, 1061px" srcset="https://standard.etda.or.th/wp-content/uploads/2018/07/bann2.png 1061w, https://standard.etda.or.th/wp-content/uploads/2018/07/bann2-150x56.png 150w, https://standard.etda.or.th/wp-content/uploads/2018/07/bann2-300x111.png 300w, https://standard.etda.or.th/wp-content/uploads/2018/07/bann2-1024x379.png 1024w, https://standard.etda.or.th/wp-content/uploads/2018/07/bann2-500x185.png 500w" alt="" width="1061" height="393" />
<a href="https://blog.google/products/chrome/milestone-chrome-security-marking-http-not-secure/" target="_blank" rel="noopener">Source: Blog Google</a>
<div>เมื่อปี 2016 Google ประกาศนโยบายผลักดันให้ทุกเว็บไซต์หันมาใช้การเชื่อมต่อแบบเข้ารหัส หรือ HTTPS แทนการเชื่อมต่อแบบไม่เข้ารหัส หรือ HTTP โดยเว็บไซต์ที่เชื่อมต่อแบบไม่เข้ารหัส หรือ HTTP จะเปิดโอกาสให้ผู้ประสงค์ร้ายสามารถลอบฟัง (Eavesdropping) แก้ไขให้เสียหาย (Tampering) และปลอมแปลงข้อมูล (Message forgery) ในระหว่างการเรียกเว็บไซต์นั้น ๆ ได้ แต่ถ้าเว็บไซต์เชื่อมต่อแบบเข้ารหัส หรือ HTTPS แล้ว การเชื่อมต่อ และข้อมูลทั้งหมด เช่น รหัสผ่านหรือข้อมูลบัตรเครดิต จะถูกเข้ารหัสไว้ ป้องกันไม่ให้ผู้ประสงค์ร้ายสามารถลอบฟัง แก้ไขและปลอมแปลงข้อมูลนั้น ๆ ได้</div>
<div>ซึ่ง Google เปิดเผยสถิติว่าหลังจากประกาศไปแล้วนั้น อัตราส่วนของเว็บไซต์ที่ใช้การเชื่อมต่อแบบเข้ารหัส HTTPS มีเพิ่มขึ้นมาก จากเดิมที่มีอัตราส่วนการใช้ HTTPS 67% เพิ่มเป็น 85% และในกลุ่มเว็บไซต์ยอดนิยม Top100 จากเดิมที่ใช้การเชื่อมต่อแบบ HTTPS เป็น default มี 37% ก็เพิ่มขึ้นเป็น 83%</div>
<div>เมื่อก่อน เวลาเข้าเว็บไซต์ที่เชื่อมต่อแบบไม่เข้ารหัส หรือ HTTP บน Address Bar จะแสดง URL แบบปกติ แต่ในเดือนกรกฎาคม 2018 นี้ Chrome ได้ปล่อยให้ผู้ใช้บริการอัพเดต Chrome เวอร์ชัน 68 ซึ่งในเวอร์ชันนี้การเปลี่ยนแปลงที่สำคัญคือ Chrome จะแสดงข้อความ <strong>“Not Secure”</strong> หรือ “<strong>ไม่ปลอดภัย” เป็นตัวอักษรสีเทา</strong> กับทุกเว็บไซต์ที่ยังใช้การเชื่อมต่อแบบไม่เข้ารหัส หรือ HTTP ดังรูป</div>
<div>
<img class="aligncenter wp-image-9746" src="https://standard.etda.or.th/wp-content/uploads/2018/07/SSL1.png" sizes="(max-width: 623px) 100vw, 623px" srcset="https://standard.etda.or.th/wp-content/uploads/2018/07/SSL1.png 1000w, https://standard.etda.or.th/wp-content/uploads/2018/07/SSL1-150x61.png 150w, https://standard.etda.or.th/wp-content/uploads/2018/07/SSL1-300x122.png 300w, https://standard.etda.or.th/wp-content/uploads/2018/07/SSL1-500x203.png 500w, https://standard.etda.or.th/wp-content/uploads/2018/07/SSL1-240x96.png 240w" alt="" width="623" height="253" /></div>
<div>และ Google ได้ประกาศต่ออีกว่าใน Chrome เวอร์ชัน 70 ที่จะปล่อยให้เริ่มอัพเดตในเดือนตุลาคมนี้ ถ้าผู้ใช้บริการป้อนข้อมูลลงในแบบฟอร์ม เช่น หน้าสำหรับ Login บนเว็บไซต์ที่เชื่อมต่อแบบไม่เข้ารหัส หรือ HTTP คำว่า “Not Secure” สีเทา จะเปลี่ยนเป็นสีแดง เพื่อเพิ่มระดับการเตือนผู้ใช้งานให้ทราบว่าข้อมูลที่กรอกลงไปนั้นจะถูกส่งผ่านอินเทอร์เน็ตโดยไม่มีการเข้ารหัส ดังรูป</div>
<div></div>
<img class="aligncenter size-full wp-image-9787" src="https://standard.etda.or.th/wp-content/uploads/2018/07/9427ca41b35784a5cfe6761cbd4c4d50.gif" alt="" width="544" height="338" />
<div>จะต่างกับเว็บไซต์ที่เข้ารหัสด้วย HTTPS แล้ว ผู้ใช้บริการจะเห็นข้อความ “Secure” สีเขียว พร้อมรูปแม่กุญแจ เพื่อแสดงให้ผู้ใช้บริการรู้ว่าเว็บไซต์ที่กำลังใช้งานอยู่ได้เข้ารหัสเรียบร้อย เพิ่มความมั่นใจให้ผู้ใช้บริการได้อีกขั้นว่าสามารถใช้งานได้อย่างปลอดภัย ดังรูป</div>
<div></div>
<img class="aligncenter wp-image-9765" src="https://standard.etda.or.th/wp-content/uploads/2018/07/SSL3-2.png" sizes="(max-width: 456px) 100vw, 456px" srcset="https://standard.etda.or.th/wp-content/uploads/2018/07/SSL3-2.png 654w, https://standard.etda.or.th/wp-content/uploads/2018/07/SSL3-2-150x28.png 150w, https://standard.etda.or.th/wp-content/uploads/2018/07/SSL3-2-300x56.png 300w, https://standard.etda.or.th/wp-content/uploads/2018/07/SSL3-2-500x93.png 500w" alt="" width="456" height="85" />
<div>ซึ่งต่อไป การทำให้เว็บไซต์เชื่อมต่อแบบเข้ารหัส HTTPS จะกลายเป็นเรื่องพื้นฐาน ผู้ดูแลเว็บไซต์ควรตระหนัก และปรับเปลี่ยนให้เว็บไซต์ที่อยู่ในความดูแลเป็น HTTPS ทั้งหมด</div>
<div><strong>เปลี่ยนมาใช้การเชื่อมต่อแบบเข้ารหัส HTTPS</strong></div>
<div>เริ่มจากขอใบรับรองอิเล็กทรอนิกส์ประเภทเว็บไซต์ หรือ SSL Certificate จากผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ที่น่าเชื่อถือ และเลือกประเภทของ SSL Certificate ให้เหมาะสมกับเว็บไซต์ ซึ่งจะขึ้นอยู่กับลักษณะงานขององค์กรและเนื้อหาของเว็บไซต์ ดังนั้นควรเลือกใช้งานใบรับรองอิเล็กทรอนิกส์ที่เหมาะสม โดยใบรับรองอิเล็กทรอนิกส์สำหรับเว็บไซต์มีอยู่ 3 ประเภท ได้แก่</div>
<div></div>
<div><strong>ประเภทที่ 1</strong> Domain Validation : เป็นใบรับรองที่เข้ารหัสระดับ 128-256 บิต ตรวจสอบความเป็นเจ้าของ โดเมนว่าตรงกับข้อมูลผู้ขอใบรับรอง SSL หรือไม่ก่อนการอนุมัติ ทำให้มีความมั่นคงปลอดภัยและมีความน่าเชื่อถือ</div>
<div>
<strong>ประเภทที่ 2</strong> Organization Validation : เป็นใบรับรองสำหรับองค์กรที่ต้องการเพิ่มความน่าเชื่อถือ โดยมีการตรวจสอบองค์กรที่ขอใบรับรอง SSL ว่ามีอยู่จริงหรือไม่ มีการยืนยันข้อมูลผู้ขอใบรับรอง SSL ทางโทรศัพท์ (Verify Call) โดยขั้นต้นเข้ารหัสลับที่ 128 บิต และ สูงสุดที่ 256 บิต ทำให้มีความมั่นคงปลอดภัยและมีความน่าเชื่อถือสูง</div>
<div>
<strong>ประเภทที่ 3</strong> Extended Validation : เป็นใบรับรองระดับสูงสุด โดยมีการตรวจสอบข้อมูลอย่างเข้มงวดถึงความเป็นเจ้าของโดเมนและตรวจสอบตัวตนขององค์กร เช่น การตรวจสอบว่าองค์กรมีอยู่จริง โดยอาจจะมีการขอเอกสารทางกฎหมายอื่น ๆ ของหน่วยงาน, การให้เจ้าหน้าที่มาตรวจสอบที่อยู่ขององค์กรว่ามีตัวตนตั้งอยู่ตามที่อยู่ที่ลงทะเบียนไว้หรือไม่ เป็นต้น โดยต้องให้นักกฎหมาย (Third Party) หรือผู้ที่มีตั๋วทนายจากสภาทนายความแห่งประเทศไทย ลงนามรับรองเอกสารขององค์กรด้วย โดยขั้นต้นเข้ารหัสลับที่ 128 บิต และ สูงสุดที่ 256 บิต ซึ่งเหมาะกับองค์กรที่ต้องการความน่าเชื่อถือสูง เช่น เว็บไซต์ธนาคาร เป็นต้น</div>
<div>เมื่อเลือกประเภทของใบรับรองอิเล็กทรอนิกส์ที่เหมาะสมได้แล้ว ก็จะเข้าสู่กระบวนการส่งคำร้องขอใช้งานใบรับรองอิเล็กทรอนิกส์และการติดตั้งใบรับรองอิเล็กทรอนิกส์ ซึ่งมีขั้นตอนที่เกี่ยวข้องทั้งหมด 5 ขั้นตอน ได้แก่
1. เลือกผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์สำหรับเว็บไซต์ที่น่าเชื่อถือ
2. การส่งคำร้องขอใช้งานใบรับรองอิเล็กทรอนิกส์
3. การติดตั้งใบรับรองอิเล็กทรอนิกส์
4. การปรับแต่งค่าติดตั้งที่เกี่ยวกับใบรับรองอิเล็กทรอนิกส์
5. การบำรุงรักษาใบรับรองอิเล็กทรอนิกส์
รายละเอียดแต่ละขั้นตอน ดังนี้</div>
<div class="responsive-tabs-wrapper">
<div class="responsive-tabs responsive-tabs--enabled">
<ul class="responsive-tabs__list" role="tablist">
 	<li id="tablist1-tab1" class="responsive-tabs__list__item responsive-tabs__list__item--active" tabindex="0" role="tab" aria-controls="tablist1-panel1">1. เลือกผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์</li>
 	<li id="tablist1-tab2" class="responsive-tabs__list__item" tabindex="0" role="tab" aria-controls="tablist1-panel2">2. การส่งคำร้อง</li>
 	<li id="tablist1-tab3" class="responsive-tabs__list__item" tabindex="0" role="tab" aria-controls="tablist1-panel3">3. การติดตั้ง</li>
 	<li id="tablist1-tab4" class="responsive-tabs__list__item" tabindex="0" role="tab" aria-controls="tablist1-panel4">4. การปรับแต่งค่าติดตั้ง</li>
 	<li id="tablist1-tab5" class="responsive-tabs__list__item" tabindex="0" role="tab" aria-controls="tablist1-panel5">5. การบำรุงรักษา</li>
</ul>
<div id="tablist1-panel1" class="tabcontent responsive-tabs__panel responsive-tabs__panel--active" role="tabpanel" aria-hidden="false" aria-labelledby="tablist1-tab1">
<div>
<h5 style="text-align: center;"><strong>เลือกผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์สำหรับเว็บไซต์ที่น่าเชื่อถือ</strong></h5>
</div>
<div>การเลือกผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์เป็นตัวแปรหนึ่งที่มีความสำคัญต่อความมั่นคงปลอดภัย เพราะจะเป็นส่วนที่ทำให้ผู้ใช้บริการเว็บไซต์สามารถมั่นใจได้ว่าเว็บไซต์ที่ตัวเองกำลังใช้บริการนั้นมีตัวตนอยู่จริงและได้รับการรับรองจากผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ที่น่าเชื่อถือ ซึ่งแนวทางสำหรับการเลือกใช้บริการจากผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ มีดังต่อไปนี้
(1) สำหรับการเลือกผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ที่น่าเชื่อถือ<u>ภายในประเทศไทย</u> เจ้าของเว็บไซต์หรือผู้ดูแลเครื่องบริการเว็บควรขอใบรับรองอิเล็กทรอนิกส์จากผู้ให้บริการที่ได้รับการรับรองจากผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์แห่งชาติ (Thailand National Root Certification Authority) ซึ่งสามารถตรวจสอบรายชื่อของผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ที่ได้รับการรับรองจาก URL: <a href="http://www.nrca.go.th/content/issue-cert.html" target="_blank" rel="noopener">www.nrca.go.th/content/issue-cert.html</a>
(2) สำหรับการเลือกผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์<u>ในต่างประเทศ </u>เจ้าของเว็บไซต์หรือผู้ดูแลเครื่องบริการเว็บควรเลือกผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ที่ผ่านการตรวจประเมินการดำเนินกิจการตามมาตรฐานสากลเช่น มาตรฐาน Web Trust เป็นต้น ยกตัวอย่างเช่น DigiCert และ GlobalSign เป็นต้น
(3) เจ้าของเว็บไซต์หรือผู้ดูแลเครื่องบริการเว็บ (Web Server Administrator) ที่ขอใช้บริการควรศึกษารายละเอียดของแนวนโยบาย (Certificate policy) และแนวปฏิบัติ (Certification practice statement) ของผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์อย่างรอบคอบ รวมถึงศึกษารายละเอียดและเงื่อนไขการให้บริการของใบรับรองอิเล็กทรอนิกส์แต่ละประเภท
(4) ผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์อย่างน้อยต้องให้บริการข้อมูลของรายการเพิกถอนใบรับรองอิเล็กทรอนิกส์ (Certificate Revocation List (CRL)) โดยในส่วนของบริการอื่น ๆ ผู้ใช้บริการสามารถนำมาใช้ในการพิจารณาเลือกใช้บริการได้เช่น มีบริการโพรโทคอลโอซีเอสพี (Online Certificate Status Protocol (OCSP)) สำหรับการตรวจสอบสถานะของใบรับรองอิเล็กทรอนิกส์ทางออนไลน์ หรือมีบริการออกใบรับรองอิเล็กทรอนิกส์ประเภท Domain-validated และใบรับรองอิเล็กทรอนิกส์ประเภท Extended Validation เป็นต้น</div>
<div></div>
</div>
</div>
</div>
<div><strong>Tips:</strong>
เมื่อเว็บไซต์ของท่านสามารถเชื่อมต่อแบบเข้ารหัส HTTPS ได้แล้ว ก็ต้องหมั่นตรวจสอบข่าวสารของผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์อยู่เสมอ ว่ามีความน่าเชื่อถือมากขึ้นหรือน้อยลงอย่างไร เพื่อช่วยเลือกใช้บริการกับผู้ให้บริการฯ ที่น่าเชื่อถือที่สุด โดยผู้ดูแลเว็บไซต์สามารถเปลี่ยนผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ได้ โดยขั้นตอนนั้นก็จะเหมือนกับขั้นตอนการขอใช้งานใบรับรองอิเล็กทรอนิกส์ใหม่นั่นเอง</div>
<div></div>
<div><strong><em>แหล่งข้อมูล:</em></strong>
<em><a href="https://blog.google/products/chrome/milestone-chrome-security-marking-http-not-secure" target="_blank" rel="noopener">https://blog.google/products/chrome/milestone-chrome-security-marking-http-not-secure</a>/</em>
<a href="https://support.google.com/chrome/a/answer/7679408?hl=en#68" target="_blank" rel="noopener"><em>https://support.google.com/chrome/a/answer/7679408?hl=en#68</em></a>
<a href="https://www.blognone.com/node/104098" target="_blank" rel="noopener"><em>https://www.blognone.com/node/104098</em></a>
<a href="https://github.com/ssllabs/research/wiki/SSL-and-TLS-Deployment-Best-Practices" target="_blank" rel="noopener"><em>https://github.com/ssllabs/research/wiki/SSL-and-TLS-Deployment-Best-Practices</em></a></div>
<div></div>
</div>
<div><strong>ที่มา :</strong> <a href="https://standard.etda.or.th/?p=9745">ETDA</a></div>