"Zaphod เพียงแค่ชายคนหนึ่ง คุณรู้จักมั้ย?"
– Halfrunt, Hitchhiker's Guide to the Galaxy โดย Douglas Adams หนังสือเล่ม ไม่ใช่หนัง ห้ามดูหนัง
บางคน (??) โคตรหลงใหลในความปลอดภัยไซเบอร์ เข้ารหัสปลายทางถึงปลายทาง (End-to-end encryption) และตื่นเต้นตอนรู้ว่า Enigma ทำงานอย่างไร คนเหล่านี้น่าจะสนใจโดยกำเนิดในการสร้างท่าทีความปลอดภัยส่วนบุคคลที่ไม่ใช่เรื่องตลก
คนส่วนใหญ่ น่าเสียดาย ถือว่าความปลอดภัยไซเบอร์เป็นเรื่องเสริม คนส่วนใหญ่พูดว่า:
"ไม่มีใครมาทำเป้าหมายกับข้าพเจ้าครับ"
"ข้าพเจ้ามีอะไรให้ซ่อนอยู่ดี"
"ข้าพเจ้ายุ่งเกินไป ไม่มีเวลาเรียนรู้ทั้งหมดนี้ ทำไมไม่มีใครให้สรุป Best Practices ให้อ่านจบภายใน 7 นาทีประมาณ?"
กับคนเหล่านี้ ผมบอกว่า สวัสดีครับ ผู้อ่านสมมติที่ไม่มีรูปร่าง! นี่คือสรุป Best Practices เรียบร้อย อ่านจบประมาณ 7 นาที
รอ ทำไมต้องสนใจ?
คุณอาจเข้าใจยากว่าทำไมความปลอดภัยไซเบอร์ถึงสำคัญ ตอนคุณแค่คนธรรมดา แน่นอนคุณไม่อยากให้อุปกรณ์ถูกแฮ็กหรือข้อมูลส่วนตัวถูกขโมย แต่ไม่ได้มีใครมาหาคุณเฉพาะตัว รึ?
เฮ้ Alex, ผมเลือก "ถูกต้อง" ราคา 400 ดอลลาร์ น่าจะไม่มีใครพยายามขโมยของ เฉพาะคุณ แม้ผมต้องยอมรับว่าพรมเปอร์เซียของคุณจะทำให้ห้องดูสมดุลมาก แต่แทนที่จะคิดแบบนั้น มองในแง่ "ผลไม้แขวนต่ำ" (Low-hanging fruit)
คุณมีผลไม้ ผมมีผลไม้ จ๊อจากตรงข้ามมีหุ่นยนต์ขโมยผลไม้พลัง 1.21 กิกะวัตต์ จ๊อไม่รู้จักเราทั้งคู่ แตหุ่นยนต์ของเขาไป (เร็วมาก) บ้านต่อบ้าน รอบบล็อก หาผลไม้ ถ้าประตูหน้าผมล็อค แตประตูคุณเปิดกว้าง ผลไม้ของใครหุ่นยนต์จ๊อจะขโมย?
ถ้าดูเหมือนความปลอดภัยแบบเก่าๆ ธรรมดา คุณถูก! ความปลอดภัยไซเบอร์ไม่ใช่การหาคาถาลึกลับที่ทำให้ผลไม้ของคุณปลอดภัยสูงสุด มันคือการทำให้ผลไม้ของคุณปลอดภัยกว่าผลไม้ข้างๆ คุณ ทำได้โดยนิสัยที่คิดดีๆ คล้ายกับที่คุณเรียนล็อคประตูหน้าบ้านกันหุ่นยนต์ขโมยผลไม้
การละเมิดความปลอดภัยและอุบัติเหตุเกิดทุกวัน ส่วนใหญ่เกิดเพราะสแกนเนอร์อัตโนมัติทิ้งกว้างหาคนหรือบริษัทที่ปลอดภัยหลวม แล้วแฮ็กเกอร์จัดการ exploit อย่าคนนั้น
รอ Security Posture คืออะไร?
National Institute of Standards and Technology (NIST) กำหนด Security Posture ว่า:
สถานะความปลอดภัยของเครือข่าย ข้อมูล และระบบขององค์กร ตามทรัพยากรการประกันข้อมูล (เช่น บุคคล ฮาร์ดแวร์ ซอฟต์แวร์ นโยบาย) และความสามารถที่มีอยู่เพื่อจัดการการป้องกันองค์กร และตอบสนองตามสถานการณ์ที่เปลี่ยนแปลง (NIST Special Publication 800–30, B-11)
ส่วนสำคัญคือ "ความสามารถที่มีอยู่เพื่อจัดการการป้องกันองค์กร" ในบริบทความปลอดภัยส่วนบุคคล คุณคือองค์กร ยินดีต้อนรับ สู้ๆ นะครับ
ก่อนสำรวจโลกแปลกใหม่ (มันคืออินเทอร์เน็ตสุดท้าย) มีขั้นตอนจัดการการป้องกันของคุณ คำว่า "ความสามารถ" (Capabilities) เหมาะสม เพราะการมีสิ่งเหล่านี้จะให้คุณซูเปอร์พาวเวอร์ด้านไซเบอร์เซคิวริティ นี่คือ 3 ขั้นตอนที่ผมคิดว่าสำคัญและประโยชน์สุด:
- ใช้การยืนยันตัวตนหลายปัจจัย (MFA)
- ใช้ VPN
- พัฒนาความสงสัยที่ดี (Healthy Skepticism)
มี 3 กุญแจนี้ในมือ ท่าทีความปลอดภัยของคุณจาก "อาหารกลางวันของหุ่นยนต์" กลายเป็น "War Games" — ที่การเล่นที่ชนะสำหรับผู้โจมตีคือ "ไม่เล่น"
1. ใช้การยืนยันตัวตนหลายปัจจัย (MFA)
รหัสผ่านตายแล้ว ด้านคอมพิวติ้ง มันเป็นปัญหาที่แก้ได้แล้ว การแคร็กรหัสผ่านแค่เรื่องเวลา น่าเสียดายหลายคนยังช่วยเร่งกระบวนการด้วยการใช้รหัสผ่านที่รั่วไหลซ้ำหลายบัญชี เสี่ยงต่อประโยชน์ที่ไม่น่าเชื่อ Passphrase (วลีผ่าน) ยาวและซับซ้อนกว่า ใช้เวลาแคร็กนานมาก ผมแนะนำอย่างยิ่ง แม้กระนั้น รหัสผ่านของคุณสุดท้ายแล้วไม่สำคัญ
คำตอบ ตอนนี้ คือ MFA ประกอบด้วย 3 ประเภทปัจจัยการยืนยันตัวตน:
- สิ่งที่คุณรู้ เช่น Passphrase
- สิ่งที่คุณมี เช่น บัตรชิป PIN หรือโทรศัพท์
- สิ่งที่คุณคือ เช่น ใบหน้าหรือลายนิ้วมือ
สองปัจจัยขึ้นไป ดีกว่ารหัสผ่านอย่างเดียวมาก โดยเฉพาะถ้ารหัสผ่านของคุณอยู่ในรายการนี้
ปัจจัยการยืนยันหลายตัวรองรับกว้างขวางโดยผู้ให้บริการบัญชีและโซเชียลมีเดีย ถ้ามีทางเลือก หลีกเลี่ยงการใช้ข้อความ SMS รับรหัสยืนยัน การยืนยัน SMS ทำให้เปราะบางต่อการโจมตี SIM Swap — ถาม Jack Dorsey ต่อไปดีกว่า ใช้แอปยืนยันตัวตนอย่าง Google Authenticator สร้างรหัสบนอุปกรณ์ของคุณ เเน่ใจว่าคุณเพียงคนเดียว บนอุปกรณ์นั้นๆ จะมีรหัสยืนยันที่ถูกต้อง ไม่มีพลังใดในจักรวาลหยุดคุณ
Google Authenticator ทำงานกับอุปกรณ์เฉพาะที่ตั้งค่าไว้ ตอนเปลี่ยนอุปกรณ์ใหม่ ต้องย้าย Google Authenticator ไปเครื่องใหม่ คีย์ฮาร์ดแวร์อย่าง YubiKey อาจสะดวกกว่าตอนเปลี่ยนอุปกรณ์ แต่ยังไม่รองรับกว้างเท่าแอปยืนยัน
2. ใช้ VPN
ความต่างระหว่างใช้ VPN และไม่ใช้ เหมือน The Dark Knight Rises ดีจริง แต่ Batman v Superman แย่มาก เรื่องเดียวกัน มาตรฐานต่างกันทุ่ยใคร
สมมติคุณส่งจดหมายเยอะ แตไม่ใส่ซองหรือพับครึ่งใครสนใจดูก็รู้ว่าคุณไม่ใช่ Dread Pirate Roberts จริงๆ ตอนใช้ Virtual Private Network โดยเฉพาะตอนต่อ WiFi สาธารณะ มันเหมือนใส่จดหมายในซองเข้ารหัสลับ ส่งผ่านบริการขนส่งล่องหนที่เฉพาะเจาะจง ไม่มีใครอ่านจดหมายได้ ยกเว้นผู้รับ และไม่มีใครรู้ว่าส่งให้ใคร ยกเว้นคุณและพนักงานขนส่ง
VPN ป้องกันไม่ให้ผู้อื่นอ่านการสื่อสารของคุณ เช่น โจมตีโอกาสสแกน WiFi แบบเปิด และแม้ ISP ของคุณเองที่อาจขายข้อมูลการใช้งานเพื่อเงินโฆษณา
การเลือก VPN ผู้ให้บริการที่น่าเชื่อถือ ต้องวิจัย และเป็นเนื้อหาสำหรับบทความแยกต่างหาก จุดเริ่มต้น: หาผู้ให้บริการที่มีนโยบายปฏิเสธการบันทึกข้อมูล (No-logs policy) คาดว่าจ่าย $5-10 USD/เดือน หลีกเลี่ยง VPN ฟรีและนโยบายความเป็นส่วนตัวคลุมเครือ พวกมันมักมีค่าใช้จ่ายมากกว่าที่คุณคิด
3. พัฒนาความสงสัยที่ดี (Healthy Skepticism)
สุดท้าย จุดอ่อนของระบบป้องกันไซเบอร์ของคุณคือ คุณเอง MFA และ VPN ทั้งอินเทอร์เน็ตไม่ป้องกันคุณได้ ถ้าลวงหรือบอทมัลแวร์หลอกคุณเปิดประตูหน้า ใช่ รู้ว่าม้าของโทรจันดูสวย ฟรีอีกด้วย สั่งไว้ไหม? ไม่? อยู่ภายนอกไปเลย
พัฒนานิสัยสงสัยสิ่งที่ส่งมาประตูเสมือนจริง อีเมล โทรศัพท์ และข้อความหลอกลวง ตั้งแต่ระดับหุ่นยนต์ประกอบบังคับยิงกระสุนกระจาย ไปจนถึง Social Engineering แบบซับซ้อนใช้ Cognitive Biases ได้อย่างมีประสิทธิภาพ อย่าเพิ่งคิดว่าคุณฉลาดเกินไป มนุษย์ทำนายได้ง่าย ไม่มีใครคาดการณ์ Spanish Inquisition
แทนที่จะเชื่อง่าย ให้ถามถาม ตรวจสอบสองครั้ง การสื่อสารที่ขอให้คลิกลิงก์หรือเข้าเว็บ แม้มาจากคนรู้จักหรือบริษัทที่ใช้ ถ้าไม่แน่ใจจากปฏิสัมพันธ์ตัวต่อตัวก่อนหน้า ว่าเพื่อน/ธนาคาร/แม่ ส่งอีเมลนี้ โทรถามไปเลย แม้คิดว่าแน่ใจ โทรตรวจสอบไปดีกว่า อยู่แล้วโทรหาแม่ไม่พอ
โอ และถ้าคนโทรมาจากสำนักงานภาษีท้องถิ่น หรือ IRS หรือ CRA บอกว่าจะแช่บัญชี เพราะผิดตัวตน ทำให้คุณถูก控诉อาญา เพราะไม่ชำระเงินกู้ยอชท์ 600 ฟุตใน Malibu ให้วางโทรศัพท์ลง เธอรู้ดีกว่านี้ หน่วยงานภาษีไม่มีโทรศัพท์
ชุดเริ่มต้นความปลอดภัยไซเบอร์ส่วนบุคคล
ตอนนี้คุณมี 3 กุญแจ เปิด 3 ประตู สู่ท่าทีความปลอดภัยส่วนบุคคลที่แข็งแกร่ง ถ้ากุญแจเหล่านี้ปลดล็อกความอยากรู้ของคุณ ยังมีหลุมกระต่ายลึกกว่านี้ ผมแนะนำพอดแคสต์ Security in Five สำหรับคำแนะนำยอดเยี่ยมของ Binary Blogger ที่เป็นแรงบันดาลใจบทความนี้ Surveillance Self Defense มีเคล็ดลับของ Electronic Frontier Foundation เกี่ยวกับการรักษาความปลอดภัยการสื่อสารออนไลน์ Troy Hunt มีซีรีส์ YouTube "Internet Security Basics" เจาะลึกการป้องกันตัวออนไลน์
ตอนนี้หวังว่าคุณใช้พลังไซเบอร์เซคิวริติใหม่ๆ เพื่อกุศล จดจำสิ่งที่เรียนรู้ มันจะช่วยคุณได้
