เข้มข้นไว้ก่อน

ดร.ชาลี วรกุลพิพัฒน์

คราวก่อนเขียนถึงวิธีการป้องกันภัยคุกคามทางคอมพิวเตอร์ จะเห็นว่าทำได้ไม่ยากเลยครับ ส่วนใหญ่ที่ไม่ทำอาจจะเพราะวางใจเกินไปมากกว่า ต้องเตือนอีกครั้งว่าการป้องกันย่อมดีกว่าการแก้ไข อย่างน้อยค่าใช้จ่ายสำหรับป้องกันมักจะน้อยกว่าค่าใช้จ่ายหากเกิดความเสียหายแล้วเสมอ

วันนี้ขอเล่าประสบการณ์และกรณีศึกษาเกี่ยวกับการป้องกันภัยทางคอมพิวเตอร์ที่เคยประสบมาด้วยตนเองและจากคำบอกเล่าจากผู้เชี่ยวชาญ ผมเคยเป็นกรรมการสอบโครงงานด้านไอทีของนักศึกษาในมหาวิทยาลัย พบว่าหลายครั้งในวันสอบ กลุ่มที่ไม่สามารถมานำเสนอผลงานมักจะบอกว่าวันก่อนฮาร์ดดิสก์เสียกะทันหันทำให้ใช้ไฟล์ไม่ได้ หรือไม่ก็เครื่องติดไวรัส ไฟล์เสียหมด กรณีนี้เป็นตัวอย่างของการไม่สำรองข้อมูลและไม่ติดตั้งตัวแอนตี้ไวรัส

ลองมาดูการป้องกันระดับองค์กรบ้าง ปกติหน่วยงานส่วนราชการหรือบริษัทจะต้องเรียกทรัพย์สินขององค์กรคืนจากพนักงานทั้งหมดถ้าพนักงานคนนั้นลาออก รู้หรือไม่ว่าสิทธิการเข้าถึงระบบไอทีของหน่วยงานก็ต้องถูกเรียกคืนหรือถูกยกเลิกเช่นกัน ไม่ว่าจะเป็น Username ในการเข้าระบบ Intranet หรืออีเมลของหน่วยงาน เพราะสิ่งเหล่านี้ก็ถือว่าเป็นทรัพย์สินขององค์กรเช่นกัน

ทราบหรือไม่ว่า หน่วยงานควรยกเลิกสิทธิการเข้าถึงระบบไอทีของพนักงานคนที่จะลาออก ณ วันสุดท้ายที่พนักงานคนนั้นมาทำงานจริงๆ ก่อนที่พนักงานคนนั้นจะลาพักร้อนยาวจนถึงวันที่ลาออก วิธีนี้คือป้องกันไว้แต่เนิ่นๆ เพราะหากพนักงานคนนั้นลาพักร้อนไปแล้วก็ไม่มีความจำเป็นจะต้องเข้าระบบไอทีอีก

ตอนผมเรียนที่ประเทศอังกฤษ ปกติที่ห้องสมุดของมหาวิทยาลัย นักศึกษาจะต้องนำบัตรนักศึกษาที่มีบาร์โค้ดมาสแกนที่ทางเข้าเพื่อผ่านที่กั้นเข้าไปใช้บริการได้ จนถึงวันสุดท้ายของผมในมหาวิทยาลัย ผมไปส่งเล่มวิทยานิพนธ์เพื่อทำเรื่องเรียนจบ จากนั้นจึงเดินไปห้องสมุดเป็นครั้งสุดท้ายเพื่อไปอัพเดทหนังสือ ปรากฏว่าบัตรนักศึกษาผมสแกนไม่ผ่านครับ แสดงให้เห็นว่าพอผมทำเรื่องจบ มหาวิทยาลัยก็ตัดสิทธิการเข้าถึงของผมทั่วมหาวิทยาลัยทันที

อีกตัวอย่างคือการยืนยันตัวบุคคลที่ดีที่สุด คือการใช้ปัจจัยสองอย่างหรือมากกว่า เช่น การใช้งานบัตรเครดิตคือ ใช้บัตรร่วมกับลายเซ็น แต่ความเป็นจริงก็ใช้แต่บัตร ส่วนลายเซ็นก็มักจะไม่มีการตรวจสอบจากร้านค้า ทำให้ถ้าบัตรถูกขโมยก็ถูกนำไปรูดใช้ได้ด้วยการปลอมลายเซ็น แต่ในต่างประเทศเช่นอังกฤษ เปลี่ยนจากการใช้ลายเซ็นมาเป็นการจดจำ PIN หากบัตรเครดิตหาย คนที่ขโมยไปก็ไม่สามารถนำไปใช้ได้อย่างง่ายดาย

ตัวอย่างสุดท้ายมาดูวิธีการ Login ของ Internet Banking ซึ่งย่อมต้องเข้มข้นกว่าระบบทั่วไป บางที่ใช้ One-Time Password (OTP) บางที่ใช้ CAPTCHA ร่วม แต่ธนาคาร NatWest ของประเทศอังกฤษใช้วิธีแหวกแนวด้วยให้จำ Password 2 ชุด ชุดแรกเรียกว่า PIN ชุดที่สองเรียกว่า Password โดยตอนกรอก ระบบจะไม่ถามแค่ PIN และ Password ธรรมดา แต่จะถามว่า ให้ใส่ PIN หลักที่ 1 3 และ 4 และใส่ Password ตัวที่ 4 6 และ 8 ซึ่งหลักที่และตัวที่จะสุ่มไปเรื่อยๆ ฉะนั้นหากมีคนแอบดูหรือ Password ถูก Hack ไปได้ คนที่เอาไปก็จะไม่ทราบอยู่ดีว่าตัวที่เอาไปคือ PIN หลักที่เท่าใด หรือ Password ตัวที่เท่าใด

จำไว้ว่าป้องกันง่ายกว่าแก้ไข และต้องเข้มข้นไว้ก่อนครับ n