Notarization (การรับรอง) ในบริบทความปลอดภัยข้อมูลคืออะไร?
ใน Network Security และ Information Security Notarization หมายถึงกระบวนการที่ Third Party เห็นใจได้ (Trusted Third Party - TTP) ให้การรับรองความถูกต้อง ความสมบูรณ์ และเวลาของข้อมูล หรือการกระทำทางดิจิทัล เพื่อป้องกันการปฏิเสธ (Non-repudiation) และการปลอมแปลง
หลักการทำงานของ Digital Notarization
- Sender สร้างข้อมูล/เอกสาร > คำนวณ Hash (SHA-256)
- Sender ส่ง Hash ไปยัง Notary Service (TTP)
- Notary ตรวจสอบความถูกต้อง > เพิ่ม Timestamp > ลงนามดิจิทัล (Digital Signature) บน Hash + Timestamp
- Notary ส่ง Notarized Token กลับให้ Sender (และ/หรือ Receiver)
- ภายหลัง: ใครก็ตามสามารถ Verify Signature ของ Notary ได้ด้วย Public Key ของ Notary
ประเภทของ Notarization ในระบบดิจิทัล
| ประเภท | คำอธิบาย | ตัวอย่าง |
|---|---|---|
| Timestamping / Trusted Timestamping | รับรองว่า "ข้อมูลนี้มีอยู่ในเวลานี้" (RFC 3161) | DigiCert, GlobalSign, FreeTSA, Blockchain Timestamp |
| Digital Notarization / eNotarization | Notary Public อนุญาตให้ลงนามดิจิทัลผ่านแพลตฟอร์มที่ได้รับอนุญาต (RON - Remote Online Notarization) | Notarize.com, DocuSign Notary, NotaryCam |
| Code Notarization / Binary Transparency | รับรอง Software Binary ว่าไม่ถูกแก้ไขหลัง Build | Sigstore (Cosign, Rekor), Google Binary Transparency, Apple Notarization |
| Blockchain Notarization | บันทึก Hash บน Blockchain (Immutable Ledger) | OpenTimestamps, OriginStamp, Factom |
| Certificate Transparency (CT) | Log ทุก SSL/TLS Certificate ที่ออกให้ Publicly Trusted CA | Google CT Logs, Cloudflare Nimbus |
Notarization vs Authentication vs Authorization
| คำศัพท์ | ความหมาย | ตัวอย่าง |
|---|---|---|
| Authentication (การยืนยันตัวตน) | ยืนยันว่า "คุณคือใคร" (Who are you?) | Password, MFA, Certificate, Biometric |
| Authorization (การอนุมัติสิทธิ์) | ตัดสินว่า "คุณได้ทำอะไร" (What can you do?) | RBAC, ABAC, ACL, Policy Engine |
| Notarization (การรับรอง) | ให้หลักฐาว่า "เหตุการณ์/ข้อมูลนี้เกิดขึ้นจริง และไม่ถูกปลอมแปลง" (Proof of Existence/Integrity) | Timestamp, Digital Notary, CT Log, Blockchain Anchor |
การประยุกต์ใช้ใน Network Security
- Firmware/Software Supply Chain: Code Signing + Notarization (Apple Notarization, Sigstore) ป้องกัน Supply Chain Attack (เช่น SolarWinds)
- Audit Log Integrity: Hash Log + Timestamping / Blockchain Anchor ป้องกัน Admin ลบ/แก้ Log
- Digital Evidence / Forensics: Hash Evidence + Trusted Timestamp ใช้เป็นหลักฐานในศาล
- PKI / Certificate Management: Certificate Transparency Logs เป็น Notarization ของ CA
- Smart Contract / Blockchain: Oracle ให้ข้อมูลภายนอก + Notarization
Apple Notarization (macOS/iOS) - กรณีศึกษา
- Developer ส่ง App/Binary ไป Apple Notary Service
- Apple สแกน Malware, ตรวจ Code Signing, Hardened Runtime
- ถ้าผ่าน: Apple ลงนาม Ticket (Notarization Ticket) > Developer Staple Ticket เข้า App 4. User รัน App > Gatekeeper ตรวจ Ticket + Signature + Notarization > อนุญาตรัน
Sigstore / Cosign - Notarization สำหรับ Container & Artifacts (Open Source)
- Cosign: Sign Container Image / Artifact ด้วย Keyless Signing (OIDC Identity)
- Rekor: Transparency Log (Immutable) บันทึก Signature + Metadata
- Fulcio: CA ออก Short-lived Certificate จาก OIDC Identity
- ใช้ใน: Kubernetes Admission Control, SLSA Supply Chain, GitHub Actions
Legal Validity (คุณค่าทางกฎหมาย)
- ไทย: พ.ร.บ. การทำธุรกรรมทางอิเล็กทรอนิกส์ (ฉบับปรับปรุง) พ.ศ. 2565 รองรับ Electronic Signature และ Trusted Timestamping
- สหรัฐ: ESIGN Act, UETA, eNotarization Laws (State-level), RON (Remote Online Notarization)
- EU: eIDAS Regulation - Qualified Electronic Timestamp (QETS), Qualified Trust Service Providers (QTSP)
💡 สรุป
Notarization ใน Network Security ไม่ใช่ "การลงนามหนังสือหน้าทนาย" แต่อย่างเดียว แต่เป็น กลไกทางเทคนิค (Cryptographic) ที่ให้ Non-repudiation, Integrity, Timestamping ผ่าน Trusted Third Party หรือ Transparency Log (Blockchain, CT, Rekor) เป็นพื้นฐานสำคัญของ Software Supply Chain Security, Audit Logging และ Digital Forensics ในยุคสมัยใหม่
