ใบรับรองอายุ 47 วัน — ต้องเตรียมตัวอย่างไร
อายุสูงสุดของใบรับรอง TLS ที่เบราว์เซอร์เชื่อถือกำลังถูกลดจาก 398 วัน เหลือ 47 วัน เรื่องนี้ไม่ใช่ข้อเสนอที่ยังถกกันอยู่ — CA/Browser Forum ลงมติรับรอง ballot SC-081v3 เมื่อ 11 เมษายน 2025 และการลดขั้นแรกมีผลบังคับใช้ไปแล้ว
| ตั้งแต่ | อายุสูงสุด | ต่ออายุกี่ครั้งต่อใบต่อปี |
|---|---|---|
| ก่อน 15 มีนาคม 2026 | 398 วัน | ประมาณ 1 ครั้ง |
| 15 มีนาคม 2026 — มีผลแล้ววันนี้ | 200 วัน | ประมาณ 2 ครั้ง |
| 15 มีนาคม 2027 | 100 วัน | ประมาณ 4 ครั้ง |
| 15 มีนาคม 2029 | 47 วัน | ประมาณ 8 ครั้ง |
ขั้นแรกผ่านไปแล้ว ข่าวเรื่องนี้ส่วนใหญ่เขียนถึงปี 2029 จึงฟังดูเป็นเรื่องไกลตัว แต่เพดาน 200 วันมีผลตั้งแต่มีนาคม 2026 ใบรับรองทุกใบที่ออกหลังจากนั้นต้องต่ออายุถี่ขึ้นเป็นสองเท่าของใบเดิมไปแล้ว
ทำไมวงการถึงทำแบบนี้
- การเพิกถอนใบรับรองพึ่งพาไม่ได้จริง เมื่อ private key รั่ว การเพิกถอนควรทำให้ใบนั้นเลิกถูกเชื่อถือ แต่ในทางปฏิบัติ client จำนวนมากยอมให้ผ่านเมื่อตรวจสถานะการเพิกถอนไม่สำเร็จ key ที่รั่วจึงยังใช้งานได้ต่อ การลดอายุใบเป็นการจำกัดความเสียหายโดยไม่ต้องหวังพึ่งกลไกเพิกถอน
- ใบอายุสั้นแปลว่าช่วงเวลาที่เสี่ยงสั้นลง วงการกำลังแลกกลไกความปลอดภัยที่ช้าและพึ่งไม่ได้ ด้วยกลไกที่ตรงไปตรงมากว่า คือใบหมดอายุเองทุกที่โดยไม่ต้องมีใครลงมือ
- ระบบอัตโนมัติจะเชื่อถือได้ก็ต่อเมื่อได้ทำงานบ่อย การต่ออายุปีละครั้งคือขั้นตอนที่ไม่มีใครได้ซ้อม ส่วนงานที่รันทุกเดือนถูกใช้งานตลอดจึงพังให้เห็นเสียงดังตั้งแต่เนิ่น ๆ แทนที่จะไปพังในจังหวะที่แย่ที่สุด
การพิสูจน์ว่าเป็นเจ้าของโดเมนก็สั้นลงด้วย
ballot ฉบับเดียวกันยังลดระยะเวลาที่ CA นำผลการตรวจสอบสิทธิ์เหนือโดเมนครั้งก่อนมาใช้ซ้ำได้ เดิมนำกลับมาใช้ได้นานถึง 398 วัน และจะเหลือ 10 วันภายในมีนาคม 2029 ข้อนี้กระทบมากกว่าตัวอายุใบเสียอีก เพราะแปลว่าจะออกใบใหม่โดยอาศัยผลอนุมัติที่เก็บไว้เฉย ๆ ไม่ได้ ต้องตอบโจทย์พิสูจน์สิทธิ์ใหม่แทบทุกครั้ง ซึ่งจะเป็นไปได้จริงก็ต่อเมื่อทำเป็นระบบอัตโนมัติ
อะไรจะพังก่อน
- ไฟล์สเปรดชีต รายการที่ดูแลด้วยมือจะตรงกับความจริงอยู่ราวหนึ่งสัปดาห์หลังมีคนอัปเดต พอต้องต่ออายุปีละแปดครั้งกับใบรับรองหลายสิบใบ มันจะผิดเกือบตลอดเวลา
- การตั้งเตือนในปฏิทิน การเตือนถูกออกแบบไว้สำหรับการต่ออายุปีละครั้ง ไม่ใช่งานที่วนซ้ำทุกเดือน และมันจะหายไปพร้อมกับคนที่ตั้งมันไว้
- คนคนเดียวที่รู้วิธี การต่ออายุปีละครั้งทำให้ความรู้กระจุกอยู่กับคนที่ทำครั้งล่าสุด นั่นคือจุดเดียวที่ล้มแล้วล้มทั้งระบบ และจุดนั้นลาพักร้อนได้
- อุปกรณ์ที่ไม่รองรับ ACME load balancer, firewall และ VPN gateway ที่ต้องอัปโหลดใบด้วยมือ คือกลุ่มที่กินเวลามากที่สุด และมักเป็นกลุ่มที่คนเห็นชัดที่สุดเวลามันพัง
สิ่งที่ควรทำตั้งแต่ตอนนี้
- ทำบัญชีรายการใบรับรองให้ครบก่อน เราทำระบบอัตโนมัติให้ใบที่ไม่รู้ว่ามีอยู่ไม่ได้ และใบที่ทำให้ระบบล่มมักเป็นใบที่ไม่มีใครจำได้ Network Discovery กับ CT monitoring ช่วยหาใบที่ถูกออกให้โดเมนของเราโดยไม่ผ่านเรา
- ทำอัตโนมัติทั้งการออกใบและการนำไปติดตั้ง ถ้าออกใบอัตโนมัติอย่างเดียว สุดท้ายก็ยังมีคนต้องคัดลอกไฟล์ ไปวางบนเครื่องอยู่ดี ดู Agent และการติดตั้งใบ
- ทำอัตโนมัติแล้วยังต้องเฝ้าดูต่อ ระบบอัตโนมัติพังแบบเงียบ ๆ การเฝ้าดูคือสิ่งที่บอกเราก่อนที่เบราว์เซอร์จะบอก
NOLAPSE ถูกสร้างมาสำหรับโจทย์รูปนี้โดยเฉพาะ — ค้นหาว่ามีใบอะไรอยู่บ้าง ออกและต่ออายุให้อัตโนมัติ ส่งไปติดตั้งบนเครื่องที่ใช้งานจริง และบอกเราเมื่อมีอะไรหยุดทำงาน ถ้าตอนนี้ยังใช้สเปรดชีตอยู่ เริ่มใช้งาน NOLAPSE ใน 4 ขั้นตอน พาทำครบหนึ่งโดเมนตั้งแต่ต้นจนจบ