วิธีใช้ TFTP อย่างปลอดภัยในองค์กร: ความเสี่ยงและแนวทางป้องกัน

TFTP (Trivial File Transfer Protocol) คืออะไร?

โปรโตคอลโอนไฟล์แบบเรียบง่าย ใช้พอร์ต UDP 69 ไม่มีการยืนยันตัวตน (No Authentication) ไม่มีการเข้ารหัส (No Encryption) ไม่มี Directory Listing ใช้สำหรับ:

Boot Diskless Workstations / Thin Clients (PXE Boot)
โหลด Firmware/Config ให้ Network Devices (Router, Switch, AP, IP Phone)
Backup/Restore Config อุปกรณ์เครือข่าย
Transfer Log files, Small files ในเครือข่ายควบคุม

ความเสี่ยงด้านความปลอดภัยของ TFTP (Critical)

แนวทางใช้ TFTP อย่างปลอดภัยในองค์กร (Mitigations)

1. Network Segmentation & Isolation (สำคัญที่สุด)

วาง TFTP Server ใน Management VLAN แยกต่างหาก (Out-of-Band Management Network)
Firewall/ACL: อนุญาตเฉพาะ IP อุปกรณ์เครือข่ายที่ระบุ (Allow-list) เข้าถึง UDP 69
บล็อก TFTP จาก User VLAN, Guest VLAN, Internet

2. ใช้ VPN / Tunnel สำหรับการเข้าถึงระยะไกล

หากต้อง TFTP จาก Site อื่น → ใช้ Site-to-Site VPN (IPsec, WireGuard) หรือ SSH Tunnel
ห้าม Expose TFTP ต่อ Internet โดยตรง ภายใต้เงื่อนไขใดๆ

3. File System & OS Hardening

รัน TFTP Server ด้วย User เฉพาะ (Non-root, Least Privilege)
ตั้งค่า Root Directory (chroot/jail) จำกัดเฉพาะโฟลเดอร์ TFTP
ตั้งค่า Read-Only สำหรับไฟล์ Firmware/Config ที่ไม่ควรแก้ไข
ใช้ Filesystem ที่รองรับ Immutable Flag / Snapshots (ZFS, Btrfs)

4. Monitoring & Logging

Log ทุก Request: Client IP, Filename, Operation (RRQ/WRQ), Status, Timestamp
ส่ง Log ไป SIEM → Alert เมื่อมี: ไฟล์แปลก, IP แปลก, WRQ (Write) มากกว่าปกติ, Directory Traversal Attempt
File Integrity Monitoring (FIM) บน TFTP Root (AIDE, Tripwire, Wazuh)

5. Alternative: ย้ายไปใช้โปรโตคอลปลอดภัยกว่า

ความเสี่ยง	รายละเอียด	ผลกระทบ
No Authentication	ใครก็เข้าถึงได้ ถ้ารู้ IP และ Path	ขโมย Config (มี Password Hash, SNMP Community, VPN Keys) / Upload Firmware แบบถูกแก้ไข
No Encryption	ข้อมูลส่งแบบ Cleartext	Sniffing ได้ง่าย (Wireshark) — เห็น Credentials, Config ทั้งหมด
No Integrity Check	ไม่มี Mechanism ตรวจสอบไฟล์เสียหาย/ถูกแก้ไข	Supply Chain Attack: แทรก Backdoor ใน Firmware/Image
Directory Traversal	บาง Implementation ไม่ Validate Path ให้ดีพอ	อ่าน/เขียนไฟล์นอก Root Directory (../../etc/passwd)
DoS/Amplification	UDP-based, No Rate Limit	Reflection/Amplification Attack ได้

คำแนะนำ: ใช้ TFTP เฉพาะเมื่ออุปกรณ์ไม่รองรับโปรโตคอลอื่น (Legacy Switch/Router/IP Phone) และต้องมี Mitigation ครบถ้วน

6. TFTP Server Software แนะนำ (มี Security Features)

tftpd-hpa (Linux): รองรับ --secure (chroot), --create, --user, --group, --address, --port
SolarWinds TFTP Server (Windows): IP Allow-list, Logging, Directory Restriction
PumpKIN (Windows): เบา ตั้งค่า Interface/Port ได้, Logging
atftpd: รองรับ Multicast, MTFTP, Option Negotiation

Checklist ก่อน Enable TFTP ใน Production

[ ] จำกัด Network Access (Firewall/ACL) เฉพาะ Device IP ที่'autorized'
[ ] วางใน Management VLAN แยก (Isolated)
[ ] ใช้ Chroot/Jail + Non-root User + Read-only สำหรับไฟล์สำคัญ
[ ] เปิด Logging ครบถ้วน + ส่ง SIEM + Alerting
[ ] มี FIM (File Integrity Monitoring) บน TFTP Root
[ ] ทดสอบ Directory Traversal / DoS / Upload Malicious Firmware
[ ] มีแผนย้ายไป SFTP/HTTPS API ในอนาคต (Deprecation Plan)
[ ] Document ใน Asset Inventory และ Change Management

สรุป

TFTP เป็นโปรโตคอล Insecure by Design — ไม่ควรใช้ในสภาพแวดล้อม Production โดยไม่มี Control เข้มงวด หากเป็นไปได้ ย้ายไป SFTP/HTTPS/SCP ทุกกรณีที่อุปกรณ์รองรับ หากบังคับต้องใช้ TFTP ให้ Isolate, Restrict, Monitor, และ Audit อย่างเข้มงวด

Network Driver และความปลอดภัยเครือข่าย: บทบาท การจัดการ และการแก้ปัญหา

วิธีหา Network Security Key (รหัสผ่าน Wi-Fi) ใน Windows 10/11

โปรโตคอล	Authentication	Encryption	เหมาะสำหรับ
SFTP (SSH File Transfer)	SSH Key / Password	Yes (SSH)	Admin Config Backup, File Transfer ทั่วไป
SCP	SSH Key / Password	Yes (SSH)	Copy ไฟล์เร็ว ระหว่าง Server
HTTPS / REST API	Token, Cert, OAuth	Yes (TLS)	Modern Network Devices (Netconf/RESTCONF, Meraki, Ubiquiti)
FTPS (FTP over TLS)	User/Pass + Cert	Yes (TLS)	Legacy App ที่ต้องการ FTP