Lecture 7 — Public Key Infrastructure

คาบนี้จะพาไปไหน

ส่วนที่ 1 — ช่องเดียวที่การเข้ารหัสยังปิดไม่ได้

เครื่องมือสามกลุ่ม และข้อที่ยังค้างของแต่ละกลุ่ม

Lecture 6 ให้เครื่องมือมาสามกลุ่ม แต่ละกลุ่มถูกเอามาวัดด้วยคุณสมบัติชุดเดียวกัน แล้วเหลือข้อที่ยังตอบไม่ได้คนละข้อ

Non-Repudiation (การปฏิเสธไม่ได้ว่าตัวเองเป็นคนทำ) คือคุณสมบัติที่ทำให้คนเซ็นเอกสารแล้วมาอ้างทีหลังไม่ได้ว่าไม่ได้เซ็น คำอธิบายของคำนี้เป็นข้อมูลเสริม

ข้อสรุปของทั้งสามแถวคือ การเอาโปรโตคอลหลายตัวมาต่อกันแก้ปัญหาได้เกือบทุกข้อ ยกเว้น authentication และทั้งบทนี้มีไว้แก้ข้อที่เหลือข้อเดียวนั้น

กุญแจสมมาตรกี่ดอกถึงพิสูจน์ได้ว่าใครเขียน

อาจารย์คนหนึ่งแชร์ข้อมูลกับนิสิต 100 คน และต้องพิสูจน์ integrity ของข้อมูลได้ด้วย คือพิสูจน์ว่าเอกสารนี้อาจารย์เป็นคนสร้าง กุญแจสมมาตรที่ต้องใช้คือ 100 ดอก ดอกละคน เพราะถ้ามีดอกเดียวที่ถือร่วมกันทั้งชั้น ใครที่ถือกุญแจนั้นก็เขียนข้อความได้เหมือนกันหมด เหตุผลเต็ม ๆ อยู่ใน ส่วนที่ 8 ของ Lecture 6

นี่คือที่มาของคำถามค้างในแถว symmetric — กุญแจที่ใช้ร่วมกัน ทำให้ทุกคนที่ถือกุญแจสร้างข้อความที่ดูถูกต้องได้เท่ากันหมด integrity ของมันจึงกันได้แค่คนนอกวง ไม่ได้บอกว่าใครในวงเป็นคนเขียน

กุญแจคู่เดียวพอสำหรับคนทั้งโลก

กุญแจไม่สมมาตรตัดปัญหาข้างบนทิ้ง เพราะ เราเก็บแค่ private key ส่วน public key แจกได้อย่างอิสระ เช่นเอาไปแปะไว้บนหน้าเว็บส่วนตัว

กุญแจหนึ่งคู่ใช้ทำได้สามอย่าง

• Confidentiality — ล็อกด้วย public key แล้วมีแต่คนที่ถือ private key ที่อ่านได้
• Integrity — เปิดออกได้ด้วย public key แปลว่ามีแต่คนที่ถือ private key ที่สร้างมันขึ้นมาได้
• Scalability — คนหนึ่งคนมีกุญแจคู่เดียวก็พอ ไม่ว่าจะคุยกับกี่คน

ช่องที่เหลือ — กุญแจไม่มีชื่อเจ้าของอยู่ในตัวมัน

ข้อสรุปของหัวข้อนี้คือ ถ้ามัด private key เข้ากับตัวคนไม่ได้ เราก็แก้ authentication ไม่ได้ ซึ่งเรียกกันว่า Missing Link (ข้อต่อที่ขาดหายไประหว่างกุญแจกับตัวตน) ของการเข้ารหัสแบบกุญแจไม่สมมาตร

openssl req -x509 -newkey rsa:2048 -nodes -keyout self.key -out self.crt \
  -days 365 -subj "/CN=www.chula.ac.th"
openssl x509 -in self.crt -noout -subject -issuer

subject=CN = www.chula.ac.th
issuer=CN = www.chula.ac.th

ส่วนที่ 2 — ใบรับรอง: เอกสารที่มัดกุญแจเข้ากับชื่อ

เครื่องมือที่ใช้มัดคือลายเซ็นดิจิทัล

Digital Signature (ลายเซ็นดิจิทัล) คือการย่อข้อความด้วย hash แล้วล็อกค่าย่อยด้วย private key ฝั่งผู้รับเปิดลายเซ็นด้วย public key แล้วเทียบกับค่าย่อยที่ตัวเองคำนวณได้ ผลลัพธ์ออกมาเป็นผ่านหรือไม่ผ่านเท่านั้น

คุณสมบัติที่ได้มีสองข้อ

• ผู้รับตรวจสอบความเป็นต้นฉบับของข้อความธรรมดาได้
• รวมความเร็วของ message digest เข้ากับความยืดหยุ่นเรื่องจำนวนของ public key

รูปและตัวอย่างเต็มอยู่ใน ส่วนที่ 10 ของ Lecture 6 ของที่ต้องจำไว้ใช้ต่อในบทนี้คือ ลายเซ็นผูกอยู่กับสองอย่างพร้อมกัน คือเนื้อความที่ถูกเซ็น และ private key ที่ใช้เซ็น แก้อย่างใดอย่างหนึ่ง ลายเซ็นก็ไม่ผ่านทันที

Digital Certificate คืออะไร

Digital Certificate (ใบรับรองดิจิทัล) มีนิยามสองท่อน

• การมัด public key ของ entity หนึ่ง เข้ากับ attribute อย่างน้อยหนึ่งอย่างที่บอกว่ามันคือใคร
• เป็นเอกสารที่เชื่อถือได้ ซึ่งออกและเซ็นด้วยลายเซ็นดิจิทัลโดยบุคคลที่สามที่รู้จักหรือไว้ใจได้

ข้างในใบรับรองมีอะไรบ้าง

สี่ช่องที่เป็นแกนของทั้งใบ ตามมาตรฐานชื่อ X.509 ที่ทุกใบบนเว็บใช้ร่วมกัน คือ Issuer, Subject, Subject Public Key และ Issuer Digital Signature

• Subject คือชื่อของเจ้าของใบ เขียนเป็น Distinguished Name (ชื่อแบบเต็มยศที่ระบุตัวตนได้ไม่ซ้ำ) หรือ DN ซึ่งเป็นชุดของฟิลด์ เช่น C=GB, O=Baltimore Technologies, OU=PSD โดย C คือประเทศ O คือองค์กร และ OU คือหน่วยงานย่อย
• Subject Public Key คือกุญแจสาธารณะของเจ้าของใบ มาคู่กับ user public key parameters ที่บอกว่ากุญแจดอกนี้เป็นอัลกอริทึมอะไร เช่น RSA
• Issuer คือ DN ของคนออกใบ ซึ่งก็คือ CA
• Issuer Digital Signature คือลายเซ็นของ CA ที่ครอบทุกช่องข้างบน บางที่เรียกช่องนี้ว่า CA Signature

ช่องที่เหลือในใบมีอีกห้ากลุ่ม

• Version ที่บอกว่าใบนี้เขียนตามรูปแบบรุ่นไหนของมาตรฐาน
• Serial number ที่ CA เป็นคนออกให้ ใช้อ้างถึงใบใบนี้ใบเดียว
• Validity period หรืออายุของใบ ซึ่งปกติประมาณหนึ่งปี
• Extensions เช่นชื่อสำรองของเจ้าของใบ อย่างอีเมล และ key usage ที่บอกว่ากุญแจดอกนี้เอาไปใช้ทำอะไรได้บ้าง เช่น digital signature หรือ key encipherment ซึ่งคือการเอากุญแจดอกนี้ไปห่อกุญแจสมมาตรที่สองฝั่งใช้คุยกันจริง คำขยายของ key encipherment เป็นข้อมูลเสริม
• Signing algorithm parameters ที่บอกว่า CA เซ็นด้วยอัลกอริทึมอะไร เช่น SHA-1 หรือ MD5

openssl s_client -connect www.chula.ac.th:443 -servername www.chula.ac.th </dev/null \
  | openssl x509 -noout -subject -issuer -dates

subject=CN = *.chula.ac.th
issuer=C = GB, O = Sectigo Limited, CN = Sectigo Public Server Authentication CA DV R36
notBefore=Jan  5 00:00:00 2026 GMT
notAfter=Feb  5 23:59:59 2027 GMT

ใบของ www.chula.ac.th ถูกเชื่อได้ยังไง

Web of Trust (สายความเชื่อที่ต่อกันเป็นทอด ๆ) คือหลักข้อเดียวที่ทำให้ใบรับรองใช้งานได้จริง — ถ้าเรามี public key ของคนหรือองค์กรที่เชื่อถือได้อยู่ในมือแล้ว เอกสารที่เซ็นด้วย private key คู่นั้น ก็ควรเชื่อถือได้ตามไปด้วย

ใบของ www.chula.ac.th ใช้หลักนี้สองทอด

• DigiCert Inc ตรวจแล้วว่า Thawte TLS RSA มีตัวตนจริง
• Thawte TLS RSA ตรวจแล้วว่า www.chula.ac.th มีตัวตนจริง

ผลคือ ถ้าเรามี public key ของ DigiCert Inc อยู่ในมือ เราก็ตรวจได้ว่า www.chula.ac.th ใช้ได้จริง ทั้งที่ไม่เคยรู้จักทั้ง Thawte และจุฬาฯ มาก่อน

ใบบนสุดของสายเรียกว่า Root Certificate (ใบรับรองต้นสาย) มันเซ็นตัวเอง และมาพร้อมกับระบบปฏิบัติการหรือเบราว์เซอร์ตั้งแต่ตอนติดตั้ง ที่เก็บใบพวกนี้เรียกว่า Trust Store (ที่เก็บ root ที่เครื่องเชื่ออยู่ก่อนแล้ว) ย่อหน้านี้เป็นข้อมูลเสริม

 0 s:CN = *.chula.ac.th
   i:C = GB, O = Sectigo Limited, CN = Sectigo Public Server Authentication CA DV R36
 1 s:C = GB, O = Sectigo Limited, CN = Sectigo Public Server Authentication CA DV R36
   i:C = GB, O = Sectigo Limited, CN = Sectigo Public Server Authentication Root R46
 2 s:C = GB, O = Sectigo Limited, CN = Sectigo Public Server Authentication Root R46
   i:C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network,
      CN = USERTrust RSA Certification Authority
Verification: OK

ใบที่เซ็นเอง

Self-Signed Certificate (ใบรับรองที่เจ้าของเซ็นเอง) คือใบที่ Issuer กับ Subject เป็นคนเดียวกัน อย่างใบที่ออกด้วยคำสั่งเดียวในส่วนที่ 1 ข้อเท็จจริงเรื่องนี้มีสองข้อ

• ในทางเทคนิค ใครก็สร้างและเซ็นใบรับรองของตัวเองได้
• เราส่งกุญแจหรือใบรับรองให้อีกคนด้วยมือได้ เช่นให้เขา import ใบนั้นเข้าเบราว์เซอร์เอง

คำถามที่เหลือจึงเป็น เราเชื่อคนคนนั้นหรือเปล่า ซึ่งไม่ใช่คำถามเชิงเทคนิค ใบที่เซ็นเองใช้กุญแจแข็งแรงเท่ากับใบที่ CA ออกให้ และเข้ารหัสได้เหมือนกันทุกอย่าง สิ่งที่ต่างคือ ไม่มีใครนอกจากเจ้าตัวรับรองว่าชื่อบนใบนั้นเป็นของจริง การ import ใบเข้าเครื่องด้วยมือ จึงเท่ากับเราเป็นคนตัดสินใจเชื่อเอง แทนที่จะให้คนที่สามตัดสินแทน

ส่วนที่ 3 — คำถามที่ใบรับรองใบเดียวตอบไม่ได้

หกคำถามที่ยังค้างอยู่

พอตกลงกันว่าจะใช้ใบรับรอง คำถามชุดใหม่ก็โผล่มาทันที

• ใบรับรองออกกันยังไง
• ใครเป็นคนออก
• ทำไมเราถึงต้องเชื่อคนที่ออกใบ
• จะตรวจได้ยังไงว่าใบใบหนึ่งยังใช้ได้อยู่
• จะยกเลิกใบได้ยังไง
• ใครเป็นคนยกเลิก

PKI คืออะไร

Public Key Infrastructure (โครงสร้างพื้นฐานของกุญแจสาธารณะ) หรือ PKI คือ ชุดของบทบาท (ในเชิงกายภาพ) นโยบาย และขั้นตอน ที่บังคับให้เกิดสามเรื่อง

• การลงทะเบียนกุญแจสาธารณะ
• การบริหารกุญแจสาธารณะ คือสร้าง เก็บ แจกจ่าย ตรวจสอบ และเพิกถอน
• การตรวจสอบความถูกต้องของกุญแจสาธารณะ

และมีคุณสมบัติสองข้อ

• ตั้งอยู่บนใบรับรองดิจิทัล
• มัดกุญแจสาธารณะเข้ากับตัวตน ไม่ว่าจะเป็นคนหรือองค์กร

คำว่า "ในเชิงกายภาพ" ในนิยามข้างบนคือหัวใจ — PKI ไม่ใช่อัลกอริทึมและไม่ใช่ซอฟต์แวร์ตัวใดตัวหนึ่ง มันคือองค์กรจริงที่มีพนักงาน มีขั้นตอนการตรวจเอกสาร และมีเอกสารที่บอกว่าตัวเองรับผิดแค่ไหน

มาตรฐานที่ใช้จริงคือ X.509

มาตรฐานของ PKI มีหลายตัว เช่น X.509 และ SPKI ตัวที่ใช้กันจริงบนเว็บทุกวันนี้คือ X.509 ซึ่งกำหนดไว้สองส่วน คือ X.509 PKI ที่เป็นรูปแบบของตัวระบบ และ X.509 Digital Certificates ที่เป็นรูปแบบของใบรับรอง มาตรฐานชุดนี้กำหนดโดย IETF กลุ่มทำงาน PKIX ที่ ietf.org

SPKI เป็นมาตรฐานอีกตัวที่ผูกสิทธิ์เข้ากับกุญแจโดยตรงโดยไม่ต้องมีชื่อเจ้าของ จึงเดินคนละทางกับ X.509 ที่มัดกุญแจเข้ากับชื่อ ประโยคนี้เป็นข้อมูลเสริม

โครงของใบในรูปที่ 1 ก็คือโครงที่ X.509 กำหนดไว้ ทุกช่องที่เห็นในใบของ www.chula.ac.th จึงมีชื่อและตำแหน่งเดียวกันกับใบของเว็บอื่นทุกใบในโลก ย่อหน้านี้เป็นข้อมูลเสริม

ส่วนที่ 4 — ใครทำอะไรใน PKI

ผู้เล่นในระบบ

X.509 PKI แบ่งงานออกเป็นเจ็ดส่วน แต่ละส่วนมีงานของตัวเองชัดเจน

คำขอที่วิ่งในเส้นทางที่ 1 เรียกว่า Cert. Request และใบที่วิ่งกลับมาในเส้นทางที่ 3 เรียกว่า Signed Certificate ในระบบจริง CA กับ RA อยู่ในขอบเขตเดียวกันที่เรียกว่า Certification Entity โดย RA เป็นด่านหน้าที่รับเรื่องจากภายนอก และ CA อยู่ข้างหลัง

ฝั่งที่ขอใบมีสองแบบที่วิ่งผ่านอินเทอร์เน็ตมาเหมือนกัน คือ Application Service ซึ่งเป็นเครื่องที่ให้บริการ และ Remote Person ซึ่งเป็นคนที่อยู่ไกล ส่วน Local Person ที่ทำงานอยู่ในองค์กรเดียวกับ CA เดินไปลงทะเบียนกับ RA ตรง ๆ ได้เลย

วงจรของใบหนึ่งใบมีสามช่วง

หน้าที่ของ CA และ RA แบบละเอียด

CA ทำหกอย่าง

• Key Generation — สร้างกุญแจ
• Digital Certificate Generation — ประกอบใบรับรอง
• Issuance and Distribution — ออกใบและแจกจ่าย
• Revocation — เพิกถอนใบ
• Key Backup and Recovery System — ระบบสำรองและกู้กุญแจคืน
• Cross Certification — ออกใบข้ามให้ CA อื่น

RA ทำสี่อย่าง

• Face-to-Face Registration — ลงทะเบียนแบบเจอหน้า
• Remote Registration — ลงทะเบียนจากระยะไกล
• Automatic Registration — ลงทะเบียนอัตโนมัติ คือให้ระบบตรวจสิทธิ์เอง โดยไม่มีคนมานั่งดู เช่นตรวจว่าผู้ขอคุมโดเมนนั้นอยู่จริง คำขยายข้อนี้เป็นข้อมูลเสริม
• Revocation — รับเรื่องเพิกถอน

ระบบแจกจ่ายใบ และรายการใบที่ตายแล้ว

งานของ central directory ในตารางข้างบน ทำโดยส่วนที่เรียกว่า Certificate Distribution System ซึ่งดูแลของสามอย่าง

• Digital Certificates — ตัวใบรับรองเอง
• CRLs — รายชื่อใบที่ถูกยกเลิกก่อนหมดอายุ
• LDAP (โพรโทคอลสำหรับค้นข้อมูลในไดเรกทอรี) หรือฐานข้อมูลเฉพาะทาง — ที่เก็บที่ทำให้ค้นหาใบได้เร็ว

CRL คือคำตอบของคำถามข้อที่ห้าและหกในส่วนที่ 3 ใบรับรองที่แจกออกไปแล้วเรียกคืนไม่ได้ เพราะมันถูกคัดลอกไปอยู่ในเครื่องของคนอื่นหมดแล้ว สิ่งเดียวที่ทำได้คือประกาศเลขลำดับของใบนั้นลงในรายการกลาง แล้วหวังว่าคนที่จะเชื่อใบนั้นจะมาอ่านรายการก่อน

ส่วนที่ 5 — ทำไมถึงเชื่อ CA

สองคำตอบของคำถามว่าทำไมต้องเชื่อ

คำถามว่า ทำไมฉันถึงต้องเชื่อ CA มีคำตอบเชิงโครงสร้างสองข้อ คือ certificate hierarchies และ cross-certification

Certificate Hierarchy (ลำดับชั้นของใบรับรอง) คือสายที่เห็นไปแล้วในรูปที่ 2 — เราไม่ได้เชื่อ CA ทุกเจ้าในโลก เราเชื่อ root ไม่กี่ใบที่ติดมากับเครื่อง แล้วความเชื่อไหลลงมาตามสายที่ root เซ็นรับรองไว้

Cross-certification คือทางออกสำหรับกรณีที่ปลายทางไม่ได้อยู่ใต้ root ที่เราเชื่อ

Cross-Certification (การที่ CA สองเจ้าออกใบรับรองให้กัน) ทำให้เกิดงานอีกอย่างที่ฝั่งผู้ตรวจ คือ Path Discovery (การหาเส้นทางของใบจากปลายทางกลับมาถึง root ที่เราเชื่อ) — การไล่หาว่ามีสายไหนบ้างที่เดินจาก root ที่เราเชื่อ ไปถึงใบที่กำลังตรวจอยู่

รูปที่ 4 วาดกรณีที่ง่ายที่สุด คือใบข้ามใบเดียวระหว่าง root สองใบ ของจริงยืดหยุ่นกว่านั้นสองทาง — ใบข้ามออกจาก CA ระดับไหนก็ได้ ไม่จำเป็นต้องเป็น root และ เส้นทางหนึ่งเส้นเดินผ่านใบข้ามได้มากกว่าหนึ่งใบ สามองค์กรที่ต่อกันเป็นลูกโซ่ด้วยใบข้ามสองใบ ทำให้ฝั่งแรกตรวจใบของฝั่งที่สามได้ ทั้งที่ไม่เคยเซ็นใบข้ามให้กันโดยตรง นั่นคือเหตุผลที่งานนี้ถูกเรียกว่า path discovery แทนที่จะเรียกว่าการตรวจใบข้าม

CA ของจริงโตขึ้นเป็นชั้น ๆ

ระบบจริงโตขึ้นเป็นลำดับ จาก CA เดี่ยว ๆ ไปจนถึงโครงที่มีหลายชั้น

• CA เดียว ทำทุกอย่างเอง
• CA หนึ่งตัวกับ RA หนึ่งตัว แยกงานตรวจตัวตนออกมา
• CA ที่มี CA ลูกและ RA หลายตัว เมื่อองค์กรใหญ่ขึ้นจนด่านหน้าเดียวไม่พอ
• CA ที่ต่อกับ Directory Services เพื่อให้ทุกฝ่ายค้นใบและอ่าน CRL จากที่เดียวกัน
• RA ที่กระจายออกไปหลังอินเทอร์เน็ต เพื่อรับลงทะเบียนจากคนที่อยู่ไกล
• LRA หรือ Local Registration Authority ที่เป็นด่านหน้าระดับท้องถิ่น อยู่ปลายสุดของโครง ใกล้ผู้ใช้ที่สุด

CP กับ CPS บอกว่า CA รับผิดแค่ไหน

คำถามที่ว่า จะรู้ได้ยังไงว่า CA รับผิดชอบแค่ไหน มีคำตอบเป็นเอกสารสองฉบับ

• Certificate Policies (CP) — นโยบายที่บอกว่าใบแต่ละแบบของ CA นี้ออกภายใต้กฎอะไร และเอาไปใช้กับงานแบบไหนได้
• Certificate Policy Statement (CPS) — เอกสารที่บอกว่า CA ทำงานตามนโยบายนั้นด้วยขั้นตอนอะไรจริง ๆ

สองฉบับนี้คือสิ่งที่ทำให้คำว่า "เชื่อ CA" มีความหมายในทางกฎหมาย เพราะมันเขียนไว้เป็นลายลักษณ์อักษรว่า CA สัญญาอะไรไว้บ้าง และถ้าทำไม่ได้ตามนั้นจะเกิดอะไรขึ้น

ส่วนที่ 6 — เมื่อความเชื่อถูกใช้ผิดทาง

ถ้ามีคนเอา root certificate ปลอมมาใส่ในเครื่องเรา

ถ้าคนร้ายติดตั้ง root certificate ลงในเครื่องของเราได้สำเร็จ มันจะแย่ได้แค่ไหน

คำตอบอยู่ในรูปที่ 2 — การตรวจใบจะหยุดเดินขึ้นทันทีที่เจอใบที่อยู่ใน trust store แล้ว ใบปลอมที่ออกโดย root ปลอมจึงตรวจผ่านเหมือนใบจริงทุกประการ

openssl req -x509 -newkey rsa:2048 -nodes -keyout evil-ca.key -out evil-ca.crt \
  -days 3650 -subj "/CN=Evil Root CA"
openssl req -newkey rsa:2048 -nodes -keyout fake.key -out fake.csr \
  -subj "/CN=www.chula.ac.th"
openssl x509 -req -in fake.csr -CA evil-ca.crt -CAkey evil-ca.key \
  -CAcreateserial -out fake.crt -days 365
openssl x509 -in fake.crt -noout -subject -issuer
openssl verify -CAfile evil-ca.crt fake.crt

subject=CN = www.chula.ac.th
issuer=CN = Evil Root CA
fake.crt: OK

openssl verify fake.crt

CN = www.chula.ac.th
error 20 at 0 depth lookup: unable to get local issuer certificate
error fake.crt: verification failed

สไลด์ทิ้งคำถามไว้ว่าความเสียหายคืออะไรโดยไม่ได้ตอบ คำตอบข้างล่างนี้เป็นข้อมูลเสริม และแบ่งได้เป็นสามชั้น

• HTTPS ถูกดักกลางได้โดยไม่มีคำเตือน คนดักกลางออกใบของทุกเว็บที่เราเปิดได้เอง เบราว์เซอร์จะขึ้นแม่กุญแจตามปกติ ทั้งที่ปลายทางอีกด้านคือเครื่องของคนร้าย
• ซอฟต์แวร์ที่เซ็นด้วยใบปลอมจะดูเหมือนของแท้ เพราะการตรวจลายเซ็นของโปรแกรมก็ไล่สายขึ้นไปหา root เหมือนกัน
• อีเมลและเอกสารที่เซ็นชื่อคนอื่นจะตรวจผ่าน เพราะกลไกที่ใช้คือใบรับรองชุดเดียวกัน

WoSign กับ StartCom — ตัวอย่างที่เกิดขึ้นจริง

CA สัญชาติจีนชื่อ WoSign ได้สิทธิ์นั้นมาโดยไม่ต้องแอบ คือขอให้เบราว์เซอร์ทุกเจ้าใส่ root ของตัวเองมาตั้งแต่ต้น แล้วใช้สิทธิ์นั้นผิดทาง

เหตุการณ์ของ WoSign และ StartCom ราวปี 2016 จบลงด้วย การถอด root certificate ของทั้งสองเจ้าออกจากเบราว์เซอร์รายใหญ่ทั้งหมด คือ Google, Mozilla, Apple และ Microsoft สาเหตุมีสี่กลุ่ม

• Secret Acquisition — WoSign ซื้อกิจการ StartCom โดยไม่เปิดเผย ทั้งที่โปรแกรมรับรอง CA ของเบราว์เซอร์ต้องรู้ว่าใครเป็นเจ้าของ CA แต่ละเจ้า เพราะการเปลี่ยนเจ้าของแปลว่าคนที่ถือ private key ของ root เปลี่ยนไปด้วย
• Issuing Certificates for Domains Without Proper Authorization — ออกใบให้โดเมนที่ผู้ขอไม่ได้เป็นเจ้าของ ด้วยข้อบกพร่องสองแบบ
  • Unprivileged Port Validation — ระบบตรวจสิทธิ์เหนือโดเมนด้วยการให้ผู้ขอเปิดบริการที่พอร์ตไหนก็ได้ ทั้งที่พอร์ตสูง ๆ เป็นพอร์ตที่ผู้ใช้ธรรมดาบนเครื่องนั้นเปิดได้โดยไม่ต้องเป็นผู้ดูแลระบบ คนที่มีบัญชีธรรมดาบนเซิร์ฟเวอร์จึงขอใบของทั้งโดเมนได้
  • Base Domain from Subdomain — ผู้ขอที่พิสูจน์ได้ว่าคุมซับโดเมนหนึ่งได้ กลับได้ใบที่ครอบโดเมนหลักไปด้วย ทั้งที่การคุมซับโดเมนเป็นสิ่งที่บริการฝากเว็บทั่วไปแจกให้ผู้ใช้อยู่แล้ว
• Backdating SHA-1 Certificates — ยังออกใบที่เซ็นด้วย SHA-1 หลังเส้นตายที่วงการกำหนดให้เลิกใช้ แล้วลงวันที่ย้อนหลังให้ดูเหมือนออกก่อนเส้นตาย เพื่อให้เบราว์เซอร์ยังรับใบนั้น
• Failure to Report and Concealment — ไม่รายงานเหตุที่เกิด และปกปิดเมื่อถูกถาม ข้อนี้เป็นข้อที่หนักที่สุด เพราะระบบทั้งระบบตั้งอยู่บนสมมติฐานว่า CA จะบอกเองเมื่อออกใบผิด

สไลด์ให้มาเป็นชื่อของทั้งสี่ข้อ คำอธิบายว่าแต่ละข้อทำงานยังไงและเสียหายยังไงเป็นข้อมูลเสริม

PKI ที่ทั้งหน้านี้ไล่มา คือโครงสร้างพื้นฐานเชิงกายภาพสำหรับบริหารจัดการใบรับรอง และหน้าที่หลักของมันคือตรวจสอบตัวตนของเจ้าของกุญแจสาธารณะ ส่วนของนโยบายและกฎหมายไม่ได้อยู่ในขอบเขตของบทนี้ ทั้งที่หกคำถามในส่วนที่ 3 ครึ่งหนึ่งเป็นคำถามเชิงกฎหมาย