ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ตรวจสอบการใช้งาน Transport Layer Security (TLS) Version 1.3 ในประเทศไทย [1] พบเปิดใช้งานแล้ว 72.5% (254,777 จาก 351,314 รายการ) แต่ยังมีอีกหลายหน่วยงานที่ใช้งานมาตรฐานเดิม TLS Version 1.2 หรือยังเปิดโปรโตคอลรุ่นเก่าที่มีช่องโหว่ จึงขอแนะนำให้เร่งปรับปรุงระบบโดยเร็ว
1. สาเหตุที่ต้องเปลี่ยนจาก TLS Version 1.2 สู่ TLS Version 1.3
1.1 เพิ่มความเร็วในการเชื่อมต่อ ลดขั้นตอนการ Handshake จากเดิม 2-RTT ใน TLS 1.2 เหลือเพียง 1-RTT ช่วยให้การเรียกใช้งานระบบและเปิดหน้าเว็บไซต์รวดเร็วยิ่งขึ้น
1.2 ตัดฟังก์ชันและชุดรหัส รุ่นเก่าที่มีช่องโหว่ออกทั้งหมด และบังคับใช้การเข้ารหัสที่มีความรัดกุมสูง
1.3 บังคับใช้ Perfect Forward Secrecy (PFS) เพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดีนำ Private Key ที่อาจรั่วไหลในอนาคตกลับมาใช้ถอดรหัสข้อมูล [2]
2. ความเสี่ยงของโปรโตคอลรุ่นเก่าที่ต้องระงับทันที
2.1 ความเสี่ยงต่อการถูกดักถอดรหัส เพื่อดักขโมยข้อมูลสำคัญหรือรหัสผ่าน
2.2 เป็นเป้าหมายของแฮกเกอร์ที่สามารถโจมตีผ่านช่องโหว่ เช่น POODLE, BEAST และ SWEET32 ซึ่งใช้สุ่มถอดรหัส Session หรือ Cookie ได้
2.3 เบราว์เซอร์ (Chrome, Edge, Firefox, Safari) ยกเลิกการรองรับ TLS Version 1.0 และ TLS Version 1.1 แล้ว ส่งผลให้ผู้ใช้ไม่สามารถเข้าถึงเว็บไซต์ได้ หรือทำให้ระบบ API ทำงานล้มเหลว [3]
2.4 ไม่ผ่านการประเมินมาตรฐานความมั่นคงปลอดภัยไซเบอร์ระดับสากล
3. แนวทางปฏิบัติและข้อแนะนำในการปรับปรุงระบบ
3.1 ตรวจสอบ Web Server, Load Balancer และ Reverse Proxy ทั้งหมดเพื่อระบุเวอร์ชันของโปรโตคอลที่เปิดใช้งานอยู่
3.2 เปิดใช้งานและตั้งค่าให้ TLS 1.3 เป็นโปรโตคอลหลักในการสื่อสารของระบบ
3.3 ปิดการใช้งาน (Disable) โปรโตคอลที่ต่ำกว่ามาตรฐานทั้งหมด โดยอนุญาตให้ระบบทำงานเฉพาะบนมาตรฐาน TLS Version 1.2 และ TLS Version 1.3 เท่านั้น
3.4 เลือกเปิดใช้งานเฉพาะชุดรหัสที่ปลอดภัย และยกเลิกการรองรับชุดรหัสรุ่นเก่าที่ล้าสมัย
3.5 เปิดใช้งาน HTTP Strict Transport Security (HSTS) เพื่อบังคับให้ฝั่งไคลเอนต์เชื่อมต่อผ่านช่องทางที่มีการเข้ารหัสเสมอ
3.6 ตรวจสอบความเข้ากันได้ของอุปกรณ์และแอปพลิเคชัน เพื่อให้มั่นใจว่าระบบสามารถให้บริการได้อย่างราบรื่นและไม่เกิดผลกระทบต่อผู้ใช้งาน
แหล่งอ้างอิง
[1] https://dg.th/2x910tdv5z
[2] https://dg.th/ebsu2izgn8
[3] https://dg.th/umjti3zcqd