สรุปใน 30 วินาที ตั้งแต่วันที่ 15 พฤษภาคม 2026 DigiCert มีการประกาศยกเลิก Intermediate CA บางรายการภายใต้ DigiCert Global Root G2/G3 และ G5 cross-signed root บางรายการ เพื่อเปลี่ยนไปใช้โครงสร้าง Root ที่มีวัตถุประสงค์เฉพาะสำหรับ Public TLS ตามข้อกำหนดของ Google Chrome Root Program
องค์กรที่ยังใช้ Certificate Chain ที่ได้รับผลกระทบต้องเปลี่ยน ICA, reissue/renew ใบรับรองที่จำเป็น หรือเปลี่ยน cross-signed root ให้เป็นไปตามมาตรฐาน
ข้อควรทราบเพิ่มเติมสำหรับลูกค้า SSL.in.th
1. ประกาศนี้เกี่ยวกับอะไร
DigiCert ประกาศปรับ DigiCert Global Root G2 และ DigiCert Global Root G3 จากโครงสร้าง PKI แบบหลายวัตถุประสงค์ (multipurpose) ไปสู่โครงสร้าง Root แบบวัตถุประสงค์เดียว (single-purpose) ซึ่งมุ่งใช้สำหรับการออก Public RSA และ ECC TLS end-entity certificates โดยเฉพาะ
ส่วนสำคัญของการเปลี่ยนแปลงคือ ในวันที่ 15 พฤษภาคม 2026 DigiCert จะ revoke Intermediate CA (ICA) บางรายการภายใต้ G2/G3 รวมถึง G5 cross-signed root certificates จำนวน 2 รายการ ใบรับรองปลายทางจะไม่ได้ถูก revoke โดยตรง แต่หาก Chain ยังอ้างอิง ICA ที่ถูก revoke ใบรับรองดังกล่าวอาจถูกมองว่าไม่เชื่อถือหรือไม่ถูกต้องได้
เหตุผลหลักคือข้อกำหนดของ Google Chrome Root Program ที่กำหนดให้ Certificate Authority ใช้ Dedicated TLS Root Hierarchies สำหรับการออก Public TLS Certificates แนวทางนี้ช่วยแยกขอบเขตการใช้งานของ Root/ICA ให้ชัดเจน ลดการนำ Hierarchy เดียวไปใช้ข้ามวัตถุประสงค์ และสนับสนุนการดูแล Digital Trust ให้สอดคล้องกับข้อกำหนดของ Browser Ecosystem
ในกรณี DigiCert Global CA G2 และ G3 cross-signed DigiCert TLS ECC P384 Root G5 เอกสารระบุด้วยว่า Certificate เหล่านี้ไม่มี Server Authentication EKU ตามที่ Google Chrome กำหนด จึงจำเป็นต้อง revoke และเปลี่ยนไปใช้ Certificate ที่ทดแทน
ประเภท | ICA รายการเดิมที่ต้องตรวจสอบ | ICA ที่ใช้ทดแทน |
Public TLS | DigiCert Global CA G2 | DigiCert Global G2 TLS RSA SHA256 2020 CA1 |
Public S/MIME | DigiCert G2 SMIME RSA4096 SHA384 2024 CA1 | DigiCert Assured ID SMIME RSA2048 SHA256 2021 CA1 |
Public Code Signing | G3 Code Signing ICA ที่ระบุในประกาศ | DigiCert Assured ID G3 CS / EUR CS ECC384 SHA384 2025 CA1 |
G5 cross-signed roots | TLS ECC P384 และ CS ECC P384 cross-signed certificates ที่ระบุ | เปลี่ยนเป็น cross-signed root รายการใหม่ตาม Serial Number ในประกาศ |
ผลที่อาจพบหากไม่ดำเนินการ: Browser อาจแสดงคำเตือน certificate not trusted/invalid และผู้ใช้ไม่สามารถเข้าเว็บไซต์ได้ นอกจากนี้ หลัง ICA ถูก revoke การตรวจสอบสถานะผ่าน CRL/OCSP ของใบรับรองที่เกี่ยวข้องอาจไม่ทำงานตามปกติ และซอฟต์แวร์ที่สอดคล้องกับ RFC 5280 อาจพิจารณาใบรับรองปลายทางว่าไม่เชื่อถือ
ไม่ใช่ผู้ใช้งานทุกองค์กรจะได้รับผลกระทบเท่ากัน หากไม่ได้ใช้ ICA หรือ cross-signed root ที่ DigiCert ระบุ และไม่มี Active Certificate ที่ออกจาก ICA เหล่านั้น เอกสารระบุว่าไม่ต้องดำเนินการใดๆ เพิ่มเติม
- Public TLS และ S/MIME: เปลี่ยนไปใช้ ICA ใหม่ จากนั้น reissue หรือ renew ใบรับรองที่ได้รับผลกระทบและติดตั้ง Chain ใหม่
- Code Signing: ตรวจสอบให้แน่ใจว่า Signature มี Timestamp, ลงนามไฟล์ที่ไม่มี Timestamp ใหม่ และ reissue ใบรับรองจาก ICA ใหม่ตามความจำเป็น โดยประกาศเน้นให้ตรวจสอบ Java signatures เป็นพิเศษ
- G5 cross-signed root: ไม่จำเป็นต้อง reissue end-entity certificate หากปัญหาอยู่ที่ cross-signed root แต่ต้องแทนที่ Root ที่อยู่ใน Certificate Chain ด้วยรายการใหม่ก่อนกำหนด
- ระบบเก่าหรืออุปกรณ์ที่ Trust Store ไม่มี G5 Root: ควรทดสอบ Chain อย่างรอบคอบ เพราะอาจพึ่งพา alternative trust path ผ่าน cross-signed root
5. บทสรุป การเปลี่ยนครั้งนี้ไม่ใช่เพียงการเปลี่ยนชื่อ Root Certificate แต่เป็นการปรับโครงสร้างความเชื่อถือให้แยกวัตถุประสงค์อย่างชัดเจนตามมาตรฐานของ Browser Ecosystem สำหรับองค์กรที่ใช้ Certificate Chain มาตรฐานและไม่ได้อ้างอิงรายการที่ถูก revoke อาจไม่ต้องดำเนินการใดเพิ่มเติม อย่างไรก็ตาม ผู้ดูแลระบบควรตรวจสอบ Issuer และ Full Chain ของ TLS, S/MIME และ Code Signing Certificates ที่ใช้งานอยู่ เพื่อลดความเสี่ยงจาก Certificate Warning, Service Outage หรือปัญหาการตรวจสอบลายเซ็นหลังวันที่กำหนด
แหล่งอ้างอิงหลัก
Netway Communication ให้บริการด้าน Cloud, Hosting และ IT พื้นฐานสำหรับธุรกิจ เป็นตัวแทนแบรนด์ไอทีชั้นนำมากมาย ทั้ง Microsoft, Google, Digicert, ฯลฯ เรามีเจ้าหน้าที่พร้อมดูแลคุณ 24 ชม. สอบถามเพิ่มเติมได้ที่
Line : @netway (มี @ ด้านหน้า) หรือ https://bit.ly/line-netway
Facebook : m.me/netway.offcial
Tel : 02-055-1095
Email : support@netway.co.th
Web Chat : https://netway.co.th/
Anan