เข้าใจความปลอดภัยในการสื่
Posted: 01 May 2016 10:45 AM PDT (อ้างอิงจากอีเมล์ข่าว เวบไซท์ประชาไท)
ไม่กี่วันก่อนเดินทาง มีคนโทรมาปรึกษา ว่าโทรศัพท์ของเขามันทำงานแปลกๆ มีใครมาทำอะไรกับโทรศัพท์เขาไหม เขาห่วงเรื่องความปลอดภัย คุยไปสักพัก เขาบอกว่าอธิบายเป็นคำพูดแล้
แน่นอนว่าไม่กดดูครับ
เขาโทรมาหาอีกที ถามว่าดูให้ยัง เราตอบไปว่า เครื่องเราดู MMS ไม่ได้ มีอะไรก็เมลมาละกัน แล้วเขาก็เงียบไป ไม่ได้โทรมาอีก
ทำไมถึงไม่กดดู?
จริงๆ ตอนนั้นไม่ได้คิดอะไร แค่รู้สึกว่าไม่ควรจะกดดู
จนมานึกได้วันนี้ ว่า ดีแล้วที่ไม่ได้กดดู
MMS เป็นช่องทางหนึ่งในการโจมตี
การโจมตีในบางกรณีต้องให้ผู้ใช้
ดูวิธีการปิดรับ MMS https://www.blognone.com/node/
นอกจากช่องทาง MMS แล้ว การโจมตีผ่านรูรั่ว Stagefright ยังทำได้ผ่านการส่งไฟล์ mp4 ที่ถูกแก้ไขให้ไปกระตุ้นรูรั่ว (ดูคลิป 2 อันตามลิงก์) https://thehackernews.com/
เมื่อถูกโจมตีในกรณีของ Stagefright ผู้โจมตีสามารถส่งคำสั่งต่างๆ มารันบนเครื่องที่ถูกโจมตีได้
แล้วยังไง?
ตอนนี้มีคนเป็นห่วงกันเยอะว่า การใช้โซเชียลมีเดียไม่ปลอดภั
เรามาทำความเข้าใจกับการสื่
คร่าวๆ คือ ข้อมูลในระบบคอมพิวเตอร์ เราแบ่งเป็นสองแบบ
เรามาทำความเข้าใจกับการสื่
คร่าวๆ คือ ข้อมูลในระบบคอมพิวเตอร์ เราแบ่งเป็นสองแบบ
1.ข้อมูลระหว่างพัก (data at rest)
2.ข้อมูลระหว่างเดินทาง (data in transit)
(บางคนแยก data at rest ย่อยออกเป็นอีกสองส่วน คือข้อมูลส่วนที่อยู่ในอุปกรณ์
จะเข้าถึงข้อมูลก็ต้องเข้าถึงข้
สมมติว่าเราแชตกันผ่านแอปหรื
จะเข้าถึงข้อมูลก็ต้องเข้าถึงข้
สมมติว่าเราแชตกันผ่านแอปหรื
// รูปที่ 1 //[ A ]<===>[ P ]<===>[ B ]
ข้อมูลที่อยู่ในกล่อง [ X ] คือข้อมูลระหว่างพัก (data at rest) คือข้อมูลมันอยู่นิ่งๆ ในอุปกรณ์หรือเซิร์ฟเวอร์ รอส่งต่อ ([ A ] และ [ B ] คืออุปกรณ์ปลายทาง ส่วน [ P ] คือผู้ให้บริการหรือตั
ส่วนข้อมูลใน === คือข้อมูลระหว่างเดินทาง (data in transit) ข้อมูลที่อยู่ในท่อ ในสายเคเบิล ในคลื่นไวไฟ คือข้อมูลมันกำลังวิ่งอยู่
สมมติ A จะสวัสดีโย่ B
ข้อมูล (โย่) จะมีที่อยู่ในแต่ละช่
// รูปที่ 2 //[A(โย่)]<======>[P ]<======>[B ][A ]<=(โย่)=>[P ]<======>[B ][A ]<======>[P(โย่)]<======>[B ][A ]<======>[P ]<=(โย่)=>[B ][A ]<======>[P ]<======>[B(โย่)]
(ในความเป็นจริง ข้อมูลมันไม่ได้ “เคลื่อนที่” แบบนี้ในรูปที่ 2 นี้ซะทีเดียวกัน จริงๆ ข้อมูลมันถูก “ทำสำเนา” ต่อๆ กันไป คือ (โย่) มันจะไปอยู่ในทุกที่แหละ ถึง B ได้รับแล้ว แต่ก็จะยังอยู่ในเครื่องของ A และของผู้ให้บริการ และอาจจะยังตกค้างอยู่ในท่อชั่
การดักรับข้อมูลและการเข้ารหั
การ “ดักฟัง” หรือการ “ดักรับข้อมูล” คือการดักข้อมูลที่อยู่ระหว่
การเข้าถึงข้อมูลการสื่
ถ้าอินเทอร์เน็ตคือระบบไปรษณีย์ การสื่อสารทั่วไปก็คือการคุยกั
แต่พอคนต้องการให้การสื่อสารมั
ตัวอย่างการเข้ารหัสการสื่
เว็บไซต์ที่รับส่งข้อมูลระหว่
การเข้ารหัสการสื่อสาร อย่าง HTTPS ทำให้การดักรับข้อมูลระหว่างเดิ
// รูปที่ 3 //
[A(โย่)]<======>[P ]<======>[B ][A ]<=($&)=>[P ]<======>[B ][A ]<======>[P(โย่)]<======>[B ][A ]<======>[P ]<=(^#)=>[B ][A ]<======>[P ]<======>[B(โย่)]
จะเห็นว่า การดูข้อมูลในท่อ === นั้น ทำได้ยากขึ้น (ต้องไปหาวิธีถอดรหัส เสียเวลา) แต่การดูข้อมูลในเครื่อง [ X ] นั้นยังทำได้
พอเป็นแบบนี้ คนที่อยากเห็นข้อมูล ก็เลยเปลี่ยนเป้า จากการดูข้อมูลในท่อมาดูข้อมู
โปรดสังเกตว่า คำว่า “ส่ง” และ “รับ” ในที่นี้ หมายถึงการรับและส่งทุกๆ ครั้ง ตลอดเส้นทางการเดินทางของข้อมูล ไม่ใช่แค่การส่งออกจาก A และการรับที่ B แต่ยังรวมถึงการรับและส่งต่
เราจะเห็นว่า ที่เครื่องเซิร์ฟเวอร์ของผู้ให้
ดังนั้นคนที่อยากดูข้อมูล ถ้าดูข้อมูลในท่อ === ไม่ได้ ก็ยังมีจุดให้ดูข้อมูลได้อีกอย่
เนื่องจากการเข้าถึงข้อมูลที่
วิธีหนึ่งในการเข้าถึงข้อมู
หรือบางครั้งก็อาจมีกรณีแบบ ตัวบริษัทไม่ได้รู้เห็น แต่พนักงานเอาข้อมูลออกมา (ทั้งๆ ที่ขัดนโยบายบริษัท)
อีกวิธีหนึ่งคือการเจาะเข้าไปที
ทั้งหลายทั้งปวง พอเป็นแบบนี้ คนก็เห็นว่า ก็ยังไม่ปลอดภัยอยู่ดี ถ้าจะเข้ารหัสเฉพาะต่อรับส่งข้
// รูปที่ 4 //[A(โย่)>(#$)]<======>[P ]<======>[B ][A ]<=(#$)=>[P ]<======>[B ][A ]<======>[P(#$)]<======>[B] [A ]<======>[P ]<=(#$)=>[B ][A ]<======>[P ]<======>[B(#$)>(โย่)]
จะเห็นว่าการเข้ารหัสแบบนี้ คือการเข้ารหัสข้อมูลอยู่ในเครื
เราเรียกการเข้ารหัสแบบตั้งแต่
ในทางปฏิบัติ การสื่อสารอาจมีการเข้ารหั
// รูปที่ 5 //[A(โย่)>(#$)]<======>[P ]<======>[B ][A ]<=(%*)=>[P ]<======>[B ][A ]<======>[P(#$)]<======>[B] [A ]<======>[P ]<=(^&)=>[B ][A ]<======>[P ]<======>[B(#$)>(โย่)]
ในรูปที่ 5 จะเห็นว่าเป็นการเอารูปที่ 3 และรูปที่ 4 มารวมกัน มีการเข้ารหัสทั้งที่ข้อมู
ตัวอย่างของการรับส่งข้อมูลอย่
ตัวอย่างของการรับส่งข้อมูลอย่
(คำถามคือ ทำไมต้องทำซ้ำแบบนี้ด้วย คำตอบคือ ข้อมูลในการสื่อสารทั้งหมด ไม่ได้มีเฉพาะข้อมูลที่เราจะส่
บริการแชตรุ่นหลังๆ อย่าง Signal, WhatsApp (เวอร์ชั่นใหม่-และต้องเป็
พอเป็นแบบนี้ การขอข้อมูลการผู้ให้บริการ ก็จะได้ประโยชน์น้อยลงไปอีก เพราะต่อให้ผู้ให้บริการให้ข้
เมื่อข้อมูลระหว่างเดินทางในท่อ === ก็ถูกเข้ารหัส ข้อมูลระหว่างพักในเซิร์ฟเวอร์ [ ผู้ให้บริการ ] ก็ถูกเข้ารหัส จุดที่จะยังดูข้อมูลได้ ก็เหลือที่เครื่องปลายทางทั้
นี่น่าจะสาเหตุหนึ่งที่ว่
วิธีหนึ่งที่จะเข้าไปดูข้อมู
ซอฟต์แวร์ Remote Control System (RCS): Galileo ของบริษัท Hacking Team ก็เป็นซอฟต์แวร์อันหนึ่งที่
จากอีเมลภายในของบริษัท Hacking Team “ลูกค้า” จากประเทศไทย มีความสนใจถึงการดูข้อมูลใน iPhone ที่ไม่ได้เจลเบรก การดูข้อมูล Line, WhatsApp, WeChat, และ Instagram https://wikileaks.org/
มีเอกสารยืนยันหน่วยงานรั
กลับมาที่บั๊กในโทรศัพท์
บั๊ก Stagefright นี้พบใน Android รุ่นตั้งแต่ 2.2 เรื่อยมาจนถึงรุ่น 5.1 (โทรศัพท์ Android ส่วนใหญ่ในตลาด ตอนนี้เป็นรุ่น 4.x)
เช็คว่าโทรศัพท์ของเราได้มีรูรั
https://play.google.com/store/
บั๊ก Stagefright นี้พบใน Android รุ่นตั้งแต่ 2.2 เรื่อยมาจนถึงรุ่น 5.1 (โทรศัพท์ Android ส่วนใหญ่ในตลาด ตอนนี้เป็นรุ่น 4.x)
เช็คว่าโทรศัพท์ของเราได้มีรูรั
https://play.google.com/store/
ถ้าเจอแล้วไงต่อ?
ถ้าที่ผ่านมาไม่เคยอัปโอเอสเลย ก็ลองอัปดูครับ สำหรับ Android ให้ไปที่ Settings -> About Phone/Tablet -> System updates (อุปกรณ์แต่ละรุ่นอาจต่างกันนิ
แต่ถ้าไม่มีให้อัป ก็ทำใจครับ แต่อ่านต่อหน่อยนึง
แต่ถ้าไม่มีให้อัป ก็ทำใจครับ แต่อ่านต่อหน่อยนึง
แล้วถ้าไม่เจอล่ะ?
ก็รอดตัวไปสำหรับบั๊กตัวนี้ แต่ก็อาจจะมีบั๊กตัวอื่นรออยู่
บั๊กของอุปกรณ์ (ทั้งซอฟต์แวร์และฮาร์ดแวร์) นั้นถูกค้นพบใหม่เรื่อยๆ และก็มีคนที่ไม่ได้ปราถนาดีกั
เนื่องจากคนทั่วไปอย่างเราๆ ไปแก้ไขปรับปรุงโอเอสเองไม่ได้ ต้องรอผู้ผลิตอย่างเดียว คำแนะนำสำหรับการเลือกซื้อโทรศั
ซึ่งก็มีอยู่สองทางเลือกหลั
อีกทางเลือกสำหรับโทรศัพท์ Android รุ่นที่ถูกทอดทิ้งก็คือ ไปใช้โอเอส Android รุ่นโม ที่ชื่อว่า CyanogenMod ซึ่งถ้าเทียบกับผู้ผลิตหลายๆ เจ้า โดยเฉพาะกับรุ่นที่ตกรุ่น ก็อัปเดตสม่ำเสมอกว่าแน่ๆ (CyanogenMod รุ่นตั้งแต่ 12.1 เป็นต้นไป แก้ไขบั๊ก Stagefright แล้ว)
เนื่องจากคนทั่วไปอย่างเราๆ ไปแก้ไขปรับปรุงโอเอสเองไม่ได้ ต้องรอผู้ผลิตอย่างเดียว คำแนะนำสำหรับการเลือกซื้อโทรศั
ซึ่งก็มีอยู่สองทางเลือกหลั
อีกทางเลือกสำหรับโทรศัพท์ Android รุ่นที่ถูกทอดทิ้งก็คือ ไปใช้โอเอส Android รุ่นโม ที่ชื่อว่า CyanogenMod ซึ่งถ้าเทียบกับผู้ผลิตหลายๆ เจ้า โดยเฉพาะกับรุ่นที่ตกรุ่น ก็อัปเดตสม่ำเสมอกว่าแน่ๆ (CyanogenMod รุ่นตั้งแต่ 12.1 เป็นต้นไป แก้ไขบั๊ก Stagefright แล้ว)
สรุป
การรักษาความปลอดภัยทางคอมพิ
ในส่วนของอุปกรณ์
- อัปเดตโอเอสและซอฟต์แวร์ให้ทั
นสมัย เพื่อลดโอกาสโดนโจมตีจากรูรั่ วพวกนี้
- กรณีโทรศัพท์ที่ใช้มันไม่ยอมให้
อัปเดตหรือกว่าจะอัปก็ช้ามาก ถ้าจำเป็นและพอจะทำได้ ก็ลองพิจารณาหาโทรศัพท์ใหม่
สำหรับสภาพแวดล้อมที่ใช้งาน
- เครื่องไหนที่เราไม่ไว้ใจ อย่าไปใช้ ถ้าไม่จำเป็นจริงๆ อดใจไปใช้เครื่องตัวเองดีกว่า
- ถ้าจำเป็นจริงๆ ให้ใช้เฉพาะงานที่ต้องการ อย่าเผลอบันทึกรหัสผ่านลงเครื่
อง เสร็จแล้ว ล็อกเอาต์ทุกอย่าง และอย่าลืมลบประวัติการเข้าใช้ ทุกอย่าง - สำหรับเว็บเบราว์เซอร์ ถ้าทำได้ ให้ใช้งานในโหมด Private Browsing (สำหรับ Chrome เรียกว่า Incognito, สำหรับ Internet Explorer/Edge เรียกว่า InPrivate Browsing) เพราะจะไม่บันทึกข้อมูลลงเครื่
อง - การลบประวัติการใช้ในเว็บเบราว์
เซอร์: บน Windows กดปุ่ม Ctrl+Shift+Delete, บน OS X กดปุ่ม Command+Shift+Delete, ใน Safari เลือกเมนู History -> Clear History, สำหรับ Chrome บน Android เลือก Settings -> Privacy -> Clear browsing data
- สำหรับเว็บเบราว์เซอร์ ถ้าทำได้ ให้ใช้งานในโหมด Private Browsing (สำหรับ Chrome เรียกว่า Incognito, สำหรับ Internet Explorer/Edge เรียกว่า InPrivate Browsing) เพราะจะไม่บันทึกข้อมูลลงเครื่
- และกลับกัน อย่าให้คนที่เราไม่ไว้ใจ ใช้เครื่องของเรา ทางที่ดีควรสร้างบัญชีต่
างหากให้เขา (บัญชี Guest) และจริงๆ เราสามารถปฏิเสธได้ ว่าไม่สะดวก
- ศึกษาเลือกแอปและบริการที่
ปลอดภัยและเหมาะกับการใช้งาน เช่น ไม่ขอ Permission เกินจำเป็น มีระบบการรักษาความปลอดภัยที่ดี สำหรับแอปส่งข้อความอาจดูได้จาก Secure Messaging Scorecardhttps://www.eff.org/secure- messagin... - ในแง่การได้รับการคุ้
มครองทางเทคนิค ดูประวัติของบริษัทว่า กรณีเกิดข้อมูลรั่วหรือแอปมีปั ญหา บริษัทจัดการรับมือยังไงบ้าง - ในแง่การได้รับการคุ้
มครองทางกฎหมาย การเลือกแอปหรือบริการอาจต้องดู ด้วยว่า บริษัทผู้ให้บริการมีสำนั กงานใหญ่และสำนักงานสาขาที่จะรั บเรื่องการบังคับใช้กฎหมายอยู่ ที่ประเทศไหนเป็นหลัก และพอถูกขอข้อมูลหรือขอความร่ วมมือ บริษัทจัดการยังไง เช่นดูจาก “transparency report” ของบริษัทต่างๆ EFF สรุปของบริษัทผู้ให้บริการใหญ่ๆ มาให้ดูที่ https://www.eff.org/who-has- your-ba... - Facebook Government Requests Report https://govtrequests.facebook.
com/ - Twitter Transparency Report https://transparency.twitter.
com/ - Microsoft Transparency Hub https://www.microsoft.com/
about/csr... - Google Transparency Report https://www.google.com/
transparency... - ถ้าจำเป็น การใช้ VPN และ Tor ก็ควรพิจารณาศึกษาเอาไว้ อย่างเฟซบุ๊กนี่สามารถเข้าถึงผ่
าน Tor ด้วย “hidden service” ได้ด้วยที่ https://facebookcorewwwi. onion/
ในส่วนของพฤติกรรมการใช้
- อย่างที่บอก ส่วนใหญ่ความผิดพลาดเกิดจากมนุ
ษย์ทั้งนั้น เช่น ปกป้องกันตัวเองทางเทคนิคอย่ างดี แต่ดันโพสต์ข้อมูลส่วนตั วลงเฟซบุ๊กเอง หรือเผลอให้ทวิตเตอร์มันเช็กอิน หรืออัปโหลดภาพที่มีตำแหน่ง GPS ฝังอยู่ในภาพ (EXIF) - ไม่คลิกลิงก์ที่มีที่มาแปลกๆ (ส่งจากคนไม่รู้จัก, ส่งจากคนรู้จัก แต่ด้วยคำเชิญชวนแหม่งๆ, url เป็น url ที่เราไม่แน่ใจว่ามาจากไหน หรือจะพาไปไหน เช่นพวก shorten url)
- ไม่เล่นไฟล์มีเดียแปลกๆ (ไม่ว่าจะส่งมาทางใดก็ตาม MMS, Line ฯลฯ)
- เพื่อลดความเสี่ยงจากมิจฉาชีพ เบอร์โทรศัพท์ของเราก็ควรจะมี
คนรู้เฉพาะเท่าที่จำเป็น หรือถ้าทำได้ ก็แยกเบอร์ส่วนตัวกับเบอร์ งานออกจากกัน ไม่ใช้ปนกัน เพื่อลดความเสียหาย (sandboxing) - ตั้งรหัสล็อกเครื่องเสมอ
- ถ้าหลีกเลี่ยงได้ ก็ไม่ควรจะให้เครื่องมันจำรหั
สผ่านอีเมลหรือโซเชียลมีเดี ยของเรา (มันสะดวกในการใช้ก็จริง แต่ก็ทำให้คนที่ unlock เครื่องเราได้ เข้าถึงข้อมูลการสื่ อสารของเราได้ อันนี้ก็ต้องชั่งน้ำหนักเอาเอง) - เปิดใช้การยืนยันตัวตน 2 ชั้น (2-step authentication) ถ้าทำได้ (Facebook, Gmail, Microsoft Account พวกนี้มีให้ใช้หมด / ลองค้นเน็ตคำว่า “2 step authen ชื่อบริการที่เราใช้”) -- ดูเหตุผลว่าทำไม
- การใช้ 2-step authen จะช่วยลดปัญหาการถูกขโมยรหัสผ่
านจาก keylogger ได้ด้วย (เพราะรหัสอีกชุดนั้น ต่อให้ถูกบันทึก ก็ถูกใช้ได้แค่ครั้งเดียว) -- แต่ไม่ช่วยแก้ปัญหาการถู กขโมยทางการพิมพ์อื่นๆ - keylogger คือเครื่องบันทึกการพิมพ์บนคีย์
บอร์ด ซึ่งจะขโมยรหัสผ่านและข้อมูลส่ วนตัวอื่นๆ ของเราได้ - เวลาพูดถึง keylogger อย่าคิดว่ามันจะมีเฉพาะฮาร์
ดแวร์มาเสียบที่เครื่องเรา หรือต้องเป็นมัลแวร์ที่แอบมาติ ดเครื่องเรา พวกซอฟต์แวร์ keyboard บน Android และ iOS นี่ก็เป็น keylogger เหมือนกัน เวลาใช้ต้องมั่นใจว่ามันมาจากผู ้ผลิตที่เราไว้ใจได้จริงๆ
- keylogger คือเครื่องบันทึกการพิมพ์บนคีย์
- ไม่ใช้รหัสผ่านซ้ำกัน โดยเฉพาะกับบัญชีหลักๆ แต่ละอันไม่ควรซ้ำกันเลย และไม่ควรเอารหัสผ่านของบัญชี
หลักไปตั้งเป็นรหัสผ่านของบัญชี อื่น เหตุผลคือถ้ามีคนรู้รหัสผ่านหนึ ่งของเรา (เช่นมีบริการหนึ่งที่ เราเคยไปใช้ ระบบรักษาความปลอดภัยไม่ดี ทำรหัสผ่านเราหลุด) เขาสามารถเอารหัสเดียวกันนี้ ไปลองเข้าบริการอื่นๆ ของเราได้ - หมั่นสังเกตคำเตือนจากเว็
บเบราวเซอร์และโอเอส เช่น ดูรูปกุญแจสีเขียว/สีแดงที่ช่อง url เพื่ออ่านคำเตือนเรื่องใบรั บรองการเข้ารหัสของเว็บไซต์ (SSL/TLS encryption certificate) ว่าเป็นของจริงหรือไม่ เพื่อให้แน่ใจว่าเรากำลังสื่ อสารกับเว็บไซต์ที่เรากำลังคิ ดว่าสื่อสารอยู่ด้วยจริงๆ - การสื่อสารแบบเข้ารหัสนั้น การันตีเฉพาะว่าระหว่างทางข้อมู
ลจะอ่านไม่ได้ แต่ไม่ได้การันตีว่าที่ ปลายทางที่ข้อมูลจะถูกถอดรหัสนั ้น จะเป็นคนที่เราคิดว่าเป็น (เราอาจจะคุยกับคนแอบอ้างอยู่) - จึงมีการคิดค้นระบบออกใบรั
บรองขึ้นมา เพื่อรับรองว่าเซิร์ฟเวอร์ที่ เราติดต่อด้วยนั้น เป็นเซิร์ฟเวอร์ที่อ้างจริงๆ ใบรับรองนี้เรียกกันว่า “SSL certificate” หรือ “encryption certificate” - คำสั่งกระทรวงไอซีที ที่ 163/2557 ที่ตั้งคณะทำงานทดสอบระบบเฝ้าติ
ดตามสื่อออนไลน์ มาประสานงานกับผู้ให้บริการเน็ ตและ Internet Gateway และทดสอบ “ระบบเฝ้าติดตามสื่อออนไลน์ที่ มีการเข้ารหัสป้องกันข้อมูล” มีจุดมุ่งหมายในการจะเจาะการเข้ ารหัสการสื่อสารด้วย SSL/TLS นี้ ซึ่งคาดกันว่าวิธีหนึ่งที่ จะทำได้ คือด้วยการปลอมใบรับรอง เพื่อดูข้อมูลในแบบที่เรียกว่า “Man in the Middle Attack” หรือการปลอมตัวมาเนียนอยู่ ตรงกลางของการสื่อสาร - คือแทนที่ สมมติ เราจะคุยกับเฟซบุ๊กตรงๆ ก็อาจมีเซิร์ฟเวอร์ของไอซีที
มาคั่นกลาง แล้วทำให้เราเข้าใจว่าเป็นเซิร์ ฟเวอร์ของเฟซบุ๊ก (ด้วยความร่วมมือของ ISP) เราก็ส่งข้อมูลให้เซิร์ฟเวอร์นี ้โดยไม่รู้ตัว เซิร์ฟเวอร์นี้ก็ส่งต่อข้อมู ลให้เฟซบุ๊ก เพื่อให้เราไม่สังเกต ใช้งานได้ปกติ [A]<=========>[Facebook]<=>[B] [A]<=>[MICT]<=>[Facebook]<=>[ B] แม้การสื่อสารระหว่างเรา [A] กับเซิร์ฟเวอร์ [MICT] จะเข้ารหัสก็จริง แต่ปลายทางที่จะถูกถอดรรัสมันก็ คือเซิร์ฟเวอร์ [MICT] ด้วย ไม่ใช่ที่ [Facebook] แบบนี้ก็ไม่ปลอดภัยเช่นกัน วิธีนี้ทำไม่ได้ง่ายๆ และถ้าทำขึ้นมาก็จะมีจุดพอสั งเกตได้ เพียงแต่ผู้ใช้ทั่วไปอาจจะไม่ค่ อยสังเกต และการออกแบบแอปในมือถือก็ทำให้ สังเกตได้ยากขึ้นด้วย - ระลึกว่า การสื่อสารนั้น เป็นกิจกรรมที่ทำกันสองฝั่ง ข้อมูลที่เครื่องของเราไม่ได้มี
เฉพาะข้อมูลของตัวเรา แต่มีข้อมูลจากคนที่เราสนทนาเก็ บอยู่ด้วย (และกลับกัน) ดังนั้นถ้าเราทำตัวไม่ปลอดภัย เพื่อนๆ เราทั้งหมดที่เราเคยคุยด้วยก็ จะไม่ปลอดภัยตามไปด้วย - การสื่อสารที่ปลอดภัยจะเกิดขึ้
นได้ก็ต่อเมื่อทุกจุดในการสื่ อสารนั้นปลอดภัย ตั้งแต่ต้นทางตลอดถึงปลายทาง ถ้าเราไม่แน่ใจว่าผู้ใช้ที่ ปลายทางจะเคร่งครัดกั บความปลอดภัยในระดับเดียวกับตั วเรา ก็ให้ระมัดระวังมากขึ้นในการส่ งข้อมูล
จบที่ว่า ในทางปฏิบัตินั้น ไม่มีระบบสารสนเทศอะไรปลอดภัย 100% ไปตลอดกาล ความผิดพลาดมาจากมนุษย์เป็นส่
อย่ากลัวจนไม่ได้ทำงานทำการ อะไรพอทำได้ก็ทำไป ถ้าเราชั่งน้ำหนักดีแล้ว สำคัญคือการประเมินความเสี่ยงนั
/* ถ้ามีอะไรผิดพลาด หรือเขียนแล้วน่าจะชวนเข้าใจผิ
ฝากลิงก์ไว้หน่อย
- Surveillance Self-Defense การป้องกันตัวเองจากการถูกสอดส่
อง https://ssd.eff.org/th/ - Security in-a-Box แนะนำการรักษาความปลอดภัยทางดิ
จิทัล https://securityinabox.org/th - ใช้เน็ตปลอดภัยด้วย Tor https://thainetizen.org/tor/
ที่มา: เฟซบุ๊ก Art Suriyawongkul
แสดงความคิดเห็น
หมายเหตุ: มีเพียงสมาชิกของบล็อกนี้เท่านั้นที่สามารถแสดงความคิดเห็น