การลงนามโปรแกรมด้วยใบรับรอง SSL Code Signing แล้ว ทำไมยังคงแสดง "ไม่ปลอดภัย"?
ภูมิหลังของปัญหา
ก่อนหน้านี้ ใบรับรอง EV Code Signing สามารถขจัดคำเตือนด้านความปลอดภัยจาก Microsoft SmartScreen ได้โดยตรง แต่ปัจจุบัน Microsoft ได้ปรับกลไกที่เกี่ยวข้องแล้ว แม้แต่โปรแกรมที่ลงนามด้วยใบรับรอง EV Code Signing ก็ยังอาจทำให้เกิดคำเตือนจาก Microsoft Defender SmartScreen ได้
กลไกการประเมินความน่าเชื่อถือของ Microsoft
Microsoft ได้เผยแพร่อัปเดตใหม่ ขณะนี้การประเมินความน่าเชื่อถือของ SmartScreen ไม่ได้พิจารณาจากประเภทใบรับรองเพียงอย่างเดียวอีกต่อไป แต่พิจารณาจากตัวชี้วัดความน่าเชื่อถือแบบองค์รวม เช่น ปริมาณการใช้งานซอฟต์แวร์และจำนวนการดาวน์โหลด:
- โปรแกรมที่ลงนามใหม่: ไม่ว่าจะใช้ใบรับรอง EV หรือ OV Code Signing ก็อาจทำให้เกิดคำเตือนจาก SmartScreen เมื่อเผยแพร่ครั้งแรก
- กระบวนการสะสมความน่าเชื่อถือ: โปรแกรมจำเป็นต้องสะสมจำนวนการดาวน์โหลดและความไว้วางใจจากผู้ใช้ให้เพียงพอ คำเตือนจาก SmartScreen จึงจะค่อย ๆ หายไป
- ความแตกต่างระหว่าง EV และ OV: ในอัลกอริทึมความน่าเชื่อถือของ Microsoft น้ำหนักของ EV Code Signing สูงกว่า OV ดังนั้นจำนวนการดาวน์โหลดที่ EV Code Signing ต้องสะสมจึงน้อยกว่า OV Code Signing อย่างมาก
ทั้งนี้ ปรากฏการณ์ดังกล่าวถูกควบคุมโดย Microsoft ทั้งหมด ไม่ใช่ปัญหาของตัวใบรับรองเอง แม้ว่าใบรับรอง EV จะยังคงมอบการตรวจสอบและความปลอดภัยระดับสูงสุด แต่ก็ไม่สามารถรับประกันการขจัดคำเตือนจาก SmartScreen โดยอัตโนมัติได้เหมือนเช่นในอดีตอีกต่อไป
เอกสารอ้างอิง
ดูรายละเอียดได้จากเอกสารอย่างเป็นทางการของ Microsoft: กลไกการประเมินความน่าเชื่อถือของ SmartScreen