หลักการความมั่นคงสารสนเทศกลับมาอยู่ที่ 3 สิ่ง: C-I-A - Confidentiality (ความลับ), Integrity (ความสมบูรณ์) และ Availability (ความพร้อมใช้งาน) เป็นหลักการพื้นฐานของความปลอดภัย
เวลาเล่นเว็บปกติ คุณอาจไม่สนใจว่เว็บไซต์นั้นจริงหรือปลอม แต่เมื่อต้องส่งข้อมูลส่วนตัว C-I-A จะสำคัญมาก
เพื่อให้ธุรกรรมเป็นส่วนตัว ใช้ SSL/TLS เชื่อมต่อเว็บ "ปลอดภัย" (HTTPS) เช่น ซื้อของ Amazon, จัดการเงินผ่านธนาคาร แต่ยังไม่ตอบโจทย์ Integrity - เว็บไซต์นั้นจริงหรือ Phishing?
Certificate Authorities (CA) เป็นองค์กรกลาง ตรวจสอบเว็บ HTTPS ทั่วโลก หากเว็บได้รับการรับรองจาก CA และมี Certificate ถูกต้อง ถือว่าเว็บนั้นจริง
แค่นี้พอแล้วหรือ?
อาจไม่พอ มีการพูดถึงการโจมตี MD5 Collision สำหรับคนไม่รู้เทคนิค: Hash เป็นฟังก์ชันที่แปลงข้อความเป็นรหัสเฉพาะ ไม่ควรมีค่า 2 ค่าให้ Hash เหมือนกัน MD5 และ SHA-1 เป็นอัลกอริทึมยอดนิยม
MD5 Collision คือค่า 2 ค่าต่างกันให้ Hash เหมือนกัน หมายถึง Certificate 2 ใบอาจมี Signature เหมือนกัน เว็บปลอมจึงนำ Certificate ปลอมที่มี MD5 ตรงกับเว็บจริงมาใช้ และเบราว์เซอร์จะเชื่อเพราะ Hash Check ผ่าน
ดังนั้น ไม่ไว้ใจแหล่งตรวจสอบเดียว ต้องการวิธีที่แข็งแกร่งกว่า → Perspectives
Perspectives คืออะไร?
Perspectives เป็นส่วนขยายความปลอดภัย Firefox ติดต่อ Network Notaries เมื่อเชื่อมต่อ HTTPS Notaries เหมือน هيئة Geschworene ตรวจสอบว่า Certificate เปลี่ยนแปลงหรือไม่ และตรงกับฐานข้อมูลของพวกเขาหรือไม่ Certificate ที่ถูกต้องควรแสดงข้อมูลเหมือนกันทุก Notary Certificate ปลอมจะแสดงว่ามีการเปลี่ยนแปลงอย่างกะทันหรือเมื่อเร็วๆ นี้
ช่วยตัดสินใจว่าเชื่อมต่อเว็บที่อาจไม่ปลอดภัยหรือไม่ ป้องกันการรั่วไหลข้อมูล
Perspectives ทำมากกว่านั้น: หากเบราว์เซอร์เตือนว่าเว็บใช้ Certificate หมดอายุ Self-signed หรือ Domain Mismatch Perspectives จะตรวจสอบความสอดคล้องกับ Notaries
เว็บปลอมมักโยน Error แบบนี้ แต่เว็บจริงบางแห่งก็ทำ Perspectives ช่วยแก้ข้อสงสัยส่วนตัว
การใช้งาน Perspectives
ติดตั้งส่วนขยายก่อน (ดูวิธีที่นี่) รีสตาร์ท Firefox ไอคอนสถานะอยู่มุมขวาล่าง
คลิกไอคอนเพื่อเปิด Preferences:
ตั้งค่า: ติดต่อ Notaries สำหรับทุกเว็บ หรือเฉพาะเว็บที่มี Error Trust เว็บที่ผ่านการตรวจสอบถาวร หรือถามยืนยันทุกครั้งก่อนติดต่อ Notaries
หากตั้งค่าถาม จะได้ Popup เตือนสีเหลืองสำหรับ HTTPS sites
ทดสอบกับเว็บปลอดภัย: Perspectives ทำงานสักครู่ แสดงผลใน Status Bar
หมายถึงเว็บ Valid คลิกไอคอนเพื่อดูรายละเอียด:
ในกรณีนี้ Notaries 4 ตัวมี Key เหมือนกันสำหรับเว็บนี้ แสดงว่า Certificate ไม่ถูกปลอมแปลง หากจะทำธุรกรรมส่วนตัวกับเว็บนี้ ปลอดภัยแล้ว
ข้อจำกัด
Perspectives ยังเป็นโปรเจคใหม่ Notaries น้อย ในอนาคตจะเพิ่ม มี Extension บางตัวไม่รองรับ และ Proxy อาจทำให้ Verification ล้มเหลว
สรุป
Perspectives โปรเจคน่าสนใจและสำคัญ สร้าง "Web of Trust" ใช้ประสบการณ์ชุมชนตรวจสอบความปลอดภัยเว็บและ Certificate สำหรับคนที่ใส่ใจความปลอดภัย เป็นการเพิ่มที่ดี
อ่านเพิ่ม: Safe Web practices และ Firefox and security certificates on h-online ขอบคุณ tlu ที่แนะนำ
Perspectives รองรับทุก OS
ขอให้ปลอดภัย!
