Machine Identity และ Certificate Lifecycle ในโรงงาน IIoT: เมื่อใบรับรอง TLS จะอายุสั้นลงเหลือ 47 วันในปี 2029

เมื่อพูดถึงความปลอดภัยของโรงงานอุตสาหกรรม คนส่วนใหญ่นึกถึง Firewall เป็นอย่างแรก แต่มีอีกหนึ่งมิติที่ถูกมองข้ามบ่อยครั้ง แต่กำลังกลายเป็นช่องโหว่อันดับต้นของยุค IT/OT Convergence นั่นคือ Machine Identity หรือ “บัตรประจำตัวดิจิทัลของเครื่องจักร” — ใบรับรองดิจิทัล X.509 ที่ PLC, Edge Gateway, HMI และเซิร์ฟเวอร์ทุกตัวใช้พิสูจน์ว่า “ตัวเองคือใคร” ก่อนแลกเปลี่ยนข้อมูลกัน

ปี 2026 ปัญหานี้เด้งขึ้นมาเป็นข่าวใหญ่ เพราะ CA/Browser Forum มีมติให้ อายุใบรับรอง TLS สั้นลงเรื่อยๆ จาก 398 วัน เหลือ 200 วันในวันที่ 15 มีนาคม 2026 แล้วลดเหลือ 100 วันในปี 2027 และเหลือเพียง 47 วันภายในปี 2029 ซึ่งหมายความว่าระบบที่เคยต้องต่ออายุใบรับรองปีละครั้ง จะต้องหมุนใบรับรองใหม่เกือบทุกเดือนภายในสามปีข้างหน้า

ทำไมใบรับรองดิจิทัลถึงสำคัญกับโรงงานมากกว่าที่คิด

ในโรงงานยุค IIoT การสื่อสารระหว่างอุปกรณ์ไม่ได้เกิดระหว่างคนกับเครื่องอีกต่อไป แต่เกิดระหว่างเครื่องกับเครื่องหลายพันครั้งต่อวินาที — OPC UA SecureChannel, MQTT ผ่าน TLS, HTTPS ไปยัง Cloud และการเชื่อมต่อ VPN ของวิศวกรระบบ ทั้งหมดนี้อาศัยใบรับรองดิจิทัลเป็นกลไกพิสูจน์ตัวตนหลัก ถ้าใบรับรองหมดอายุโดยที่ทีมงานไม่รู้ตัว สิ่งที่เกิดขึ้นไม่ใช่แค่ “เข้าระบบไม่ได้” แต่คือ สายการผลิตหยุดทั้งเส้น เพราะ Edge Gateway ส่งข้อมูลขึ้น Cloud ไม่ได้ หรือ PLC ปฏิเสธการเชื่อมต่อจาก SCADA Server ที่ใบรับรองเพิ่งถูก Rotate

ความเสี่ยงที่แท้จริงของ Machine Identity ในโรงงาน ไม่ใช่การถูกโจมตี แต่คือ “ใบรับรองหมดอายุเงียบๆ” ตอนตีสาม ที่ไม่มีใครในทีมรู้ว่ามันอยู่ตรงไหนด้วยซ้ำ

สถาปัตยกรรม PKI สำหรับโรงงาน: มากกว่าการออกใบรับรอง

หลายโรงงานเริ่มต้นด้วยการออกใบรับรอง Self-signed ใช้เองภายใน ซึ่งเพียงพอสำหรับการทดสอบ แต่เมื่อระบบโตขึ้นเป็นหลายร้อยอุปกรณ์ สิ่งที่ต้องมีคือ Private PKI ระดับองค์กร ที่ประกอบด้วยองค์ประกอบหลักคือ Certificate Authority (CA) ตัวกลางที่ทำหน้าที่ออกและลงนามใบรับรอง, Certificate Revocation List (CRL) หรือ OCSP สำหรับเช็คสถานะใบรับรองที่ถูกเพิกถอน และกระบวนการ Key Ceremony ที่ควบคุมการเข้าถึง Root Key อย่างเข้มงวดตามแนวทาง IEC 62443-3-3 SR 6.1 ที่กำหนดให้ระบบ IACS ต้องมีการจัดการข้อมูลรับรอง (Credential) อย่างเป็นระบบ

สำหรับอุปกรณ์ OT ที่มีข้อจำกัดด้านทรัพยากร มาตรฐาน IEC 62351 สำหรับระบบไฟฟ้ากำหนดแนวทางการใช้ใบรับรองร่วมกับโปรโตคอลอย่าง IEC 61850 GOOSE และ Sampled Values ไว้อย่างชัดเจน ขณะที่ฝั่งระบบอัตโนมัติทั่วไป OPC UA กำหนดให้การสื่อสารระดับ SignAndEncrypt ต้องใช้ใบรับรองที่มีการจัดการ Trust List คู่กันทั้งสองฝั่ง

ตารางเปรียบเทียบ: การจัดการใบรับรองแบบ Manual vs Automation

ACME และ EST: โปรโตคอลต่ออายุอัตโนมัติที่โรงงานควรรู้

การจะบรรลุความสามารถ “ต่ออายุอัตโนมัติ” ในสภาพแวดล้อม OT มีสองโปรโตคอลหลักที่ต้องรู้จัก:

• ACME (Automated Certificate Management Environment — RFC 8555) มาตรฐานเปิดที่ทำงานแบบ Challenge-Response: อุปกรณ์พิสูจน์ว่าควบคุม Domain หรือ Identifier นั้นจริง แล้ว CA จึงออกใบรับรองให้อัตโนมัติ เหมาะกับอุปกรณ์ Edge Gateway และเซิร์ฟเวอร์ที่รองรับ HTTP/TLS/ALPN หรือ DNS Challenge
• EST (Enrollment over Secure Transport — RFC 7030) มาตรฐานจาก IETF ที่ออกแบบมาเพื่ออุปกรณ์ embedded โดยเฉพาะ รองรับการออกใบรับรองครั้งแรก (Initial Enrollment) และการต่ออายุ (Renewal) ผ่านช่องทางที่ปลอดภัย — เป็นแนวทางที่องค์กรมาตรฐานสาธารณูปโภคบางแห่งอ้างอิงสำหรับการจัดการใบรับรองอุปกรณ์ฟิลด์

ทั้งสองโปรโตคอลช่วยให้ “ใบรับรองหมดอายุ” จากปัญหากลายเป็นเรื่องธรรมดาที่ระบบจัดการเองได้ทั้งหมด โดยไม่ต้องรอวิศวกรมาคลิกต่ออายุทีละใบ

แผน 6 ขั้นตอน: เริ่มต้นจัดการ Machine Identity ในโรงงาน

1. ตั้ง Inventory — สแกนเครือข่าย OT ทั้งหมด ระบุว่ามีใบรับรองอยู่ที่ไหนบ้าง ใครออก อายุเท่าไร ใช้ Algorithm อะไร (หลายโรงงานพบว่ามีใบรับรองมากกว่าที่คิด 2-3 เท่า)
2. จัดระเบียบ CA Hierarchy — แยก Root CA (offline) / Issuing CA ตามโซน IEC 62443 อย่าใช้ใบรับรองใบเดียวกันทั้งโรงงาน
3. เลือกโปรโตคอล Enrollment — ACME สำหรับเซิร์ฟเวอร์/Gateway, EST สำหรับอุปกรณ์ embedded และเซ็นเซอร์
4. ทำ Time Source ให้เชื่อถือได้ — ใบรับรองต้องอาศัยเวลาที่ตรงกัน ถ้า NTP ของโรงงานเพี้ยน การตรวจสอบ Validity จะพังตาม (เชื่อมโยงกับเรื่อง Time Security ที่จะกล่าวถึงในบทความถัดไป)
5. วาง Monitoring — แจ้งเตือนก่อนหมดอายุ 30/14/7 วัน พร้อม Dashboard แสดงสถานะทั้งโรงงาน
6. ซ้อม Incident Drill — สมมติสถานการณ์ “CA ถูกบุกรุก ต้อง Revoke ทั้งหมด” แล้วฝึกทีมว่าจะเปลี่ยนใบรับรองนับร้อยในกี่ชั่วโมง

Key Takeaways

• อายุใบรับรอง TLS กำลังสั้นลงเป็น 47 วันภายในปี 2029 (จาก 398 วัน ผ่าน 200 วันในมี.ค. 2026 และ 100 วันในปี 2027) ตามมติ CA/Browser Forum — การต่ออายุด้วยมือจะกลายเป็นภาระที่ทำได้จริง
• Machine Identity คือ Attack Surface ใหม่ — อุปกรณ์ OT ทุกตัวที่สื่อสารแบบ Secure ต้องมีใบรับรอง และทุกใบคือจุดเสี่ยงถูกปลอมแปลงหรือหมดอายุเงียบๆ
• มาตรฐานอ้างอิงหลักคือ IEC 62443-3-3 SR 6.1 (จัดการ Credential) และ IEC 62351 สำหรับระบบไฟฟ้า ร่วมกับ OPC UA Security สำหรับระบบอัตโนมัติทั่วไป
• ACME (RFC 8555) และ EST (RFC 7030) คือสองโปรโตคอลหลักที่ทำให้การต่ออายุใบรับรองเป็นไปโดยอัตโนมัติ โดย EST ออกแบบมาเพื่ออุปกรณ์ embedded โดยเฉพาะ
• ตลาด OT Security โตจาก 27.39 เป็น 58.94 พันล้านดอลลาร์ในปี 2031 โดย IAM และ Asset Discovery เป็น segment ที่เติบโตเร็วที่สุด — สะท้อนว่าอุตสาหกรรมทั่วโลกกำลังลงทุนกับ “การรู้ว่ามีอะไรอยู่ในเครือข่ายบ้าง” และ “ใครคือใคร” เป็นลำดับแรก
• อย่าลืม Time Source — ระบบใบรับรองทั้งหมดยืนบนพื้นฐานเวลาที่ตรงกัน ถ้าเวลาเพี้ยน ความปลอดภัยทั้งหมดพังตาม

ทีมงานของ Honey Corporation มีประสบการณ์ออกแบบและติดตั้งระบบ IIoT และระบบเครือข่ายอุตสาหกรรมมาแล้วหลายสิบโครงการ ทั้งงาน Monitoring ตู้แช่ Freezer ระดับธุรกิจค้าปลีก และงานเชื่อมต่ออุปกรณ์ OT สู่แพลตฟอร์มข้อมูลระดับองค์กร เราเข้าใจดีว่า Machine Identity ไม่ใช่แค่งาน IT แต่คือรากฐานของการเชื่อมต่อที่ปลอดภัยในโรงงานยุคใหม่