เมื่อวันที่ 15 มีนาคม 2025 SSL.com ได้นำ MPIC มาใช้ตามที่กำหนดโดยกลุ่มการทำงานใบรับรองเซิร์ฟเวอร์ของ CA/Browser Forum (SC-ฮิต) โดยบังคับใช้บางส่วน วัตถุประสงค์ของ MPIC คือการเพิ่มความปลอดภัยและความน่าเชื่อถือของใบรับรองดิจิทัล โดยกำหนดให้ต้องมีการตรวจสอบข้อมูลโดเมนและการยืนยันบันทึกการอนุญาต CA (CAA) จากมุมมองเครือข่ายอินเทอร์เน็ตที่หลากหลาย
ในเดือนกันยายน 2, 2025SSL.com จะบังคับใช้ MPIC อย่างเต็มรูปแบบ และจะไม่มีการออกใบรับรองอีกต่อไป หากการตรวจสอบความถูกต้องระยะไกลไม่สามารถยืนยันผลการตรวจสอบความถูกต้องเบื้องต้นได้ การอัปเดต MPIC จะมีผลบังคับใช้ทั่วทั้งอุตสาหกรรม กันยายน 15, 2025.
MPIC คืออะไร?
MPIC กำหนดให้ผู้ให้บริการออกใบรับรอง (CA) ดำเนินการตรวจสอบความถูกต้องของโดเมนและตรวจสอบ CAA จากจุดเครือข่ายที่แตกต่างกันหลายจุดทั้งทางภูมิศาสตร์และภูมิประเทศ ชั้นความปลอดภัยเพิ่มเติมนี้ช่วยตรวจจับและป้องกันการโจมตีที่อาจเกิดขึ้น ซึ่งผู้โจมตีอาจบิดเบือนการตอบสนองของระบบชื่อโดเมน (DNS) การแฮ็ก Border Gateway Protocol (BGP) หรือการกำหนดค่าเครือข่ายอื่นๆ เพื่อให้ได้ใบรับรองมาอย่างฉ้อโกง
ข้อกำหนดเรื่ององค์ประชุม
ฟอรัม CA/B กำหนดจำนวนการตอบรับเชิงบวกต่อการตรวจสอบความถูกต้องเป็นองค์ประชุม ข้อกำหนดเริ่มต้นด้วยการตอบรับเชิงบวกหนึ่งรายการ จากนั้นจึงเพิ่มขึ้นเพื่อให้แน่ใจว่าการตอบรับเชิงลบจะไม่เกินจำนวนการตอบรับเชิงบวก
สำหรับข้อมูลล่าสุดเกี่ยวกับข้อกำหนดโควต้า โปรดไปที่ ข้อกำหนดพื้นฐานของฟอรัม CA/Browserโดยเฉพาะบัตรลงคะแนน SC-067
ผลกระทบต่อลูกค้าของผู้ให้บริการออกใบรับรองสาธารณะ
ลูกค้าของ Public CA ไม่จำเป็นต้องทำการเปลี่ยนแปลงใดๆ เพื่อเตรียมพร้อมสำหรับการเปลี่ยนแปลงนี้ ลูกค้าอาจสังเกตเห็นการเปลี่ยนแปลงเหล่านี้:
- ความปลอดภัยที่เพิ่มขึ้น:ความเสี่ยงในการออกใบรับรองโดยไม่ได้รับอนุญาตลดลง
- ความล่าช้าในการตรวจสอบที่อาจเกิดขึ้นการตรวจสอบเพิ่มเติมอาจทำให้เกิดความล่าช้าเล็กน้อย
- เพิ่มความโปร่งใส:รายละเอียดของกระบวนการตรวจสอบจะถูกจัดเตรียมไว้เพื่อการตรวจสอบและการตรวจสอบ
- ไม่ต้องดำเนินการใดๆโดยทั่วไปแล้ว ลูกค้าไม่จำเป็นต้องดำเนินการใดๆ ทั้งสิ้น ลูกค้าควรตรวจสอบให้แน่ใจว่าการกำหนดค่า DNS ของตนนั้นถูกต้องและสามารถเข้าถึงได้จากตำแหน่งต่างๆ บนเครือข่าย เพื่อให้การตรวจสอบเป็นไปอย่างมีประสิทธิภาพ
การแก้ไขปัญหาการตรวจสอบ MPIC ทั่วไป
แม้ว่าลูกค้าส่วนใหญ่จะไม่พบปัญหาเมื่อเราปรับใช้ MPIC แต่การกำหนดค่าเครือข่ายบางอย่างอาจทำให้เกิดปัญหาในการตรวจสอบความถูกต้องได้ ต่อไปนี้คือวิธีแก้ไขปัญหาที่พบบ่อยที่สุด:
เว็บเซิร์ฟเวอร์ที่อยู่เบื้องหลังไฟร์วอลล์หากเว็บเซิร์ฟเวอร์ของคุณอยู่หลังไฟร์วอลล์หรือตัวปรับสมดุลการโหลดที่บล็อกการเชื่อมต่อจากมุมมองระยะไกล คุณจะต้องอนุญาตช่วง IP ที่ผู้ให้บริการใบรับรองใช้สำหรับการตรวจสอบ อย่างไรก็ตาม โปรดทราบว่าเว็บเบราว์เซอร์หลักๆ ส่วนใหญ่เคยระบุไว้ก่อนหน้านี้ว่าเซิร์ฟเวอร์ที่อยู่หลังไฟร์วอลล์ไม่ควรใช้ใบรับรองที่เชื่อถือได้สาธารณะ เนื่องจาก ฟอรัม CA / เบราว์เซอร์ TLS ข้อกำหนดพื้นฐาน มีขอบเขตเฉพาะเพื่อระบุใบรับรองที่ใช้ในการตรวจสอบความถูกต้องของเซิร์ฟเวอร์ที่สามารถเข้าถึงได้ผ่านทางอินเทอร์เน็ต
ติดต่อผู้จัดการใบรับรองของคุณเพื่อรับรายการที่อยู่ IP การตรวจสอบความถูกต้องปัจจุบันและกำหนดค่ากฎไฟร์วอลล์ของคุณให้เหมาะสม หรือพิจารณาเปิดพอร์ต 80 ชั่วคราวในระหว่างกระบวนการตรวจสอบความถูกต้อง หากนโยบายความปลอดภัยของคุณอนุญาต ขอแนะนำให้เปลี่ยนไปใช้พอร์ตส่วนตัว PKI หากนโยบายของคุณไม่อนุญาตให้พอร์ต 80/433 เข้าถึงอินเทอร์เน็ตสาธารณะได้
การเข้าถึงเซิร์ฟเวอร์ชื่อที่จำกัดผู้ให้บริการ DNS หรือเนมเซิร์ฟเวอร์ภายในบางรายได้รับการกำหนดค่าให้ปฏิเสธคำขอจากภูมิภาคทางภูมิศาสตร์หรือช่วง IP เฉพาะ ซึ่งอาจทำให้กระบวนการตรวจสอบล้มเหลวเมื่อมุมมองระยะไกลของเราพยายามยืนยันความเป็นเจ้าของโดเมนของคุณ
ทำงานร่วมกับผู้ดูแลระบบ DNS ของคุณเพื่อให้แน่ใจว่าเซิร์ฟเวอร์ชื่อที่มีอำนาจของคุณสามารถตอบสนองคำถามจากผู้ชมทั่วโลกได้ หรืออีกวิธีหนึ่งคือ พิจารณาใช้ผู้ให้บริการ DNS ที่รองรับการเข้าถึงได้ทั่วโลก
ปัญหาการบล็อกทางภูมิศาสตร์และ CDNเครือข่ายการจัดส่งเนื้อหาและบริการบล็อกข้อมูลทางภูมิศาสตร์บางครั้งอาจรบกวนการตรวจสอบแบบหลายมุมมอง หากคุณกำลังใช้บริการเหล่านี้ โปรดสร้างข้อยกเว้นสำหรับการรับส่งข้อมูลการตรวจสอบใบรับรอง ผู้ให้บริการ CDN ของคุณยังสามารถช่วยให้มั่นใจได้ว่าจุดสิ้นสุดการตรวจสอบยังคงสามารถเข้าถึงได้จากทุกมุมมองเครือข่าย
การเตรียมความพร้อมสำหรับ MPIC: แนวทางปฏิบัติที่ดีที่สุดสำหรับผู้ดูแลใบรับรอง
ในฐานะผู้จัดการใบรับรองหรือ PKI ผู้ดูแลระบบ การดำเนินการเชิงรุกในขณะนี้จะช่วยให้การเปลี่ยนผ่านเป็นไปอย่างราบรื่นเมื่อ MPIC มีผลบังคับใช้เต็มรูปแบบ ต่อไปนี้คือวิธีเตรียมโครงสร้างพื้นฐานของคุณ:
ตรวจสอบโครงสร้างพื้นฐาน DNS ของคุณ:ทดสอบการแปลงโดเมนของคุณจากสถานที่ตั้งทางภูมิศาสตร์หลายแห่งโดยใช้เครื่องมือต่างๆ เช่น เว็บไซต์ตรวจสอบ DNS ตรวจสอบให้แน่ใจว่าระเบียน DNS ของคุณมีค่า TTL ที่เหมาะสม ซึ่งสร้างสมดุลระหว่างประสิทธิภาพและความยืดหยุ่นที่จำเป็นในระหว่างการต่ออายุใบรับรอง
บันทึกสถาปัตยกรรมเครือข่ายของคุณสร้างแผนผังโครงสร้างพื้นฐานเครือข่ายของคุณอย่างชัดเจน รวมถึงไฟร์วอลล์ ตัวปรับสมดุลการโหลด และข้อจำกัดทางภูมิศาสตร์ต่างๆ โปรดแชร์เอกสารนี้กับผู้ให้บริการออกใบรับรองของคุณ เพื่อช่วยแก้ไขปัญหาการตรวจสอบความถูกต้องที่อาจเกิดขึ้นในช่วงระยะเวลาเปลี่ยนผ่าน
จัดทำระบบติดตามและแจ้งเตือน:ตั้งค่าการตรวจสอบสำหรับจุดสิ้นสุดการตรวจสอบใบรับรองและโครงสร้างพื้นฐาน DNS ของคุณ การตรวจจับปัญหาการเชื่อมต่อตั้งแต่เนิ่นๆ จะช่วยให้คุณแก้ไขปัญหาได้ก่อนที่จะส่งผลกระทบต่อกระบวนการตรวจสอบ ลองพิจารณาใช้การตรวจสอบสุขภาพอัตโนมัติที่จำลองกระบวนการตรวจสอบแบบหลายมุมมอง
วางแผนเพิ่มเวลาการตรวจสอบ: พิจารณาเวลาเพิ่มเติมในกระบวนการต่ออายุใบรับรองของคุณเพื่อรองรับการตรวจสอบความถูกต้องแบบหลายมุมมอง อัปเดตกระบวนการภายในและเครื่องมือจัดการใบรับรองอัตโนมัติใดๆ เพื่อรองรับความล่าช้าที่อาจเกิดขึ้นโดยไม่ทำให้บริการหยุดชะงัก
เหตุใดจึงจำเป็นต้องมีการนำ MPIC มาใช้?
MPIC แก้ไขปัญหาช่องโหว่ด้านความปลอดภัยที่สำคัญที่ผู้โจมตีได้ใช้ประโยชน์เพื่อขโมยใบรับรองที่ไม่ได้รับอนุญาต ผู้โจมตีสามารถแทรกแซงการตอบสนอง DNS หรือเส้นทาง BGP ในพื้นที่เฉพาะได้สำเร็จ ซึ่งเท่ากับเป็นการหลอกลวงผู้ให้บริการออกใบรับรองให้กับโดเมนที่ตนไม่ได้ควบคุม การที่ MPIC กำหนดให้ต้องมีการตรวจสอบความถูกต้องจากหลายมุมมองของเครือข่าย ทำให้การโจมตีเฉพาะพื้นที่เหล่านี้ทำได้ยากขึ้นอย่างมาก เนื่องจากผู้โจมตีจะต้องเจาะระบบเครือข่ายหลายแห่งที่กระจายตัวทางภูมิศาสตร์พร้อมกัน
นอกเหนือจากการลดการโจมตี DNS และ BGP แล้ว MPIC ยังแสดงถึงความมุ่งมั่นที่กว้างขึ้นในการเสริมสร้างความเชื่อมั่นของสาธารณะในระบบนิเวศใบรับรอง เมื่อ CA นำการยืนยันการออกใบรับรองแบบหลายมุมมองมาใช้ พวกเขาจะแสดงให้เห็นถึงการปฏิบัติตามมาตรฐานความปลอดภัยที่สูงขึ้น ซึ่งช่วยปกป้องทั้งเจ้าของเว็บไซต์และผู้ใช้ปลายทาง จึงเป็นการเสริมสร้างความเชื่อมั่นในใบรับรองดิจิทัล
ต้องการค้นหาข้อมูลเพิ่มเติมหรือยังมีคำถามเกี่ยวกับ MPIC หรือไม่?
หากต้องการข้อมูลเพิ่มเติม โปรดติดต่อเรา 'ทีมสนับสนุน' หรือติดต่อเราได้ตามข้อมูลด้านล่าง:
