Certificate Authority (CA) คืออะไร?
Certificate Authority (CA) / องค์กรออกใบรับรอง คือ หน่วยงานที่ไว้ใจได้ (Trusted Third Party) ที่มีหน้าที่ ออก ให้บริการ จัดการ และเพิกถอน Digital Certificates (ใบรับรองดิจิทัล) เพื่อใช้ในการยืนยันตัวตนและเข้ารหัสการสื่อสารบนเครือข่ายสาธารณะ (Public Network) เช่น อินเทอร์เน็ต
หน้าที่หลักของ CA
- Identity Verification - ตรวจสอบตัวตนผู้ขอใบรับรอง (Individual, Organization, Domain, Device)
- Certificate Issuance - ออก Digital Certificate ผูก Public Key กับ Identity
- Certificate Management - Renewal, Revocation (CRL/OCSP), Status Checking
- Trust Anchor - Root CA Certificate ถูกฝังไว้ใน OS/Browser Trust Store แล้ว
โครงสร้าง PKI (Public Key Infrastructure) และ CA
Root CA (Offline, Highly Secured)
│
├── Intermediate CA 1 (Issuing CA - SSL/TLS)
│ ├── Server Certificates (HTTPS, API, LDAPS)
│ └── Client Certificates (VPN, 802.1X, Email Signing)
│
├── Intermediate CA 2 (Code Signing)
│ └── Code Signing Certificates
│
└── Intermediate CA 3 (Document Signing, S/MIME, etc.)
- Root CA: ออฟไลน์ เก็บใน HSM ไม่ออก Certificate ตรงให้ End-entity
- Intermediate/Subordinate CA: ออนไลน์ ออก Certificate ให้ End-entities
- Chain of Trust: End-entity Cert → Intermediate CA Cert → Root CA Cert (Trusted by OS/Browser)
ประเภทของ Certificate Authority
| ประเภท | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| Public CA | ไว้ใจได้ทั่วโลก Root Cert อยู่ใน OS/Browser Trust Store | DigiCert, Sectigo, GlobalSign, Let's Encrypt, GoDaddy, Google Trust Services, ZeroSSL |
| Private CA (Enterprise CA) | องค์กรตั้งเอง ใช้ภายในองค์กร (Internal PKI) ไม่ไว้ใจได้สาธารณะ | Microsoft AD CS, HashiCorp Vault, Smallstep, EJBCA, OpenSSL CA |
| Government CA | รัฐบาลจัดตั้ง สำหรับ Digital ID, National PKI | Thai National Root CA (ETDA), GovCA |
ประเภทใบรับรองที่ CA ออก (Certificate Types)
| ประเภท | ใช้ทำอะไร | Validation Level |
|---|---|---|
| SSL/TLS Server Cert | HTTPS, API, LDAPS, FTPS - เข้ารหัส + ยืนยัน Server | DV (Domain), OV (Organization), EV (Extended) |
| Client Certificate | Mutual TLS (mTLS), VPN, 802.1X, Smart Card Logon | User/Device Identity |
| Code Signing | เซ็นโค้ด/แอป/ไดรเวอร์ - ยืนยันผู้พัฒนาและความสมบูรณ์ | OV/EV (ต้องตรวจสอบองค์กร) |
| Document Signing | เซ็นเอกสาร PDF (Adobe AATL), S/MIME Email | OV/IV |
| Root/Intermediate CA Cert | สร้าง CA ใหม่ใต้โครงสร้างเดิม | Cross-signing |
CA ยอดนิยม (Top Public CAs - Market Share 2024)
- DigiCert Group (DigiCert, GeoTrust, Thawte, RapidSSL) - ~16-18%
- Let's Encrypt (ฟรี, ACME, Auto-renewal 90 วัน) - ~55-60% ของเว็บไซต์ทั้งหมด
- Sectigo (Comodo) - ~14-15%
- GoDaddy - ~5-6%
- Google Trust Services (GTS) - เพิ่มขึ้นเรื่อยๆ
- ZeroSSL, Buypass, SSL.com, Actalis - ส่วนที่เหลือ
การรับรองมาตรฐานของ CA (CA/Browser Forum)
- Baseline Requirements (BR) - มาตรฐานขั้นต่ำสำหรับ SSL/TLS Certificates
- EV Guidelines - มาตรฐาน Extended Validation
- Network Security Requirements - Audit ต่อปี (WebTrust, ETSI EN 319 411)
- Root Program Requirements - Microsoft, Mozilla, Apple, Google, Java - แต่ละตัวมีเงื่อนไขเฉพาะ
Private CA (Enterprise PKI) - เมื่อไหร่ควรใช้?
- มูลค่า: ควบคุมเต็มที่, ไม่มีค่าใช้จ่ายต่อใบรับรอง, รองรับ Internal Use Cases
- Use Cases: mTLS (Service Mesh), 802.1X (Wi-Fi/VPN), Smart Card Logon, Document Signing, Internal API, IoT Device Identity
- Tools: Microsoft AD CS (Windows), HashiCorp Vault PKI, Smallstep, EJBCA (Java), CFSSL (Cloudflare), OpenSSL (Manual)
- ACME Support: Smallstep, Vault, EJBCA รองรับ ACME ให้ Client ขอ Cert เองได้ (Cert Manager, Traefik, Caddy)
Certificate Lifecycle Management
- Enrollment/Request - CSR Generation, SCEP, EST, ACME
- Validation - DV (DNS/HTTP), OV (Business Registry, Phone), EV (Strict)
- Issuance - Sign CSR → Issue Certificate
- Deployment - Install บน Server/Device/Client
- Monitoring - Expiry Alert, CT Log Monitoring, Revocation Check
- Renewal/Reissuance - ก่อนหมดอายุ (Automation: Cert Manager, ACME)
- Revocation - Key Compromise, Affiliation Change, CA Compromise → CRL/OCSP
สรุป
Certificate Authority (CA) เป็น Trust Anchor ของ PKI ใช้ออก Digital Certificate ผูก Public Key กับ Identity เพื่อให้เกิด Encryption, Authentication, Integrity, Non-repudiation บนเครือข่ายสาธารณะ Public CA ใช้สำหรับ Internet-facing Services (HTTPS, API) Private CA ใช้สำหรับ Internal (mTLS, VPN, 802.1X, IoT) การจัดการ Lifecycle ให้เป็น Automation (ACME/Cert Manager) เป็นสิ่งจำเป็นในปัจจุบัน
