Lecture 1 — Introduction to Computer Security

คาบนี้จะพาไปไหน

---

ส่วนที่ 1 — ปัญหานี้ใหญ่แค่ไหน

ภัยเก้าอย่างที่ต้องแยกให้ออก

ภัยที่เจอบ่อยที่สุดบนอินเทอร์เน็ตมีเก้าอย่าง และคำตอบของคำถามที่ว่าคนทั่วไปรู้จักครบไหม คือ Most people do not know them คนส่วนใหญ่ไม่รู้จักพวกนี้

สองประโยคที่ตั้งโจทย์ของทั้งวิชา

สงครามในยุคปัจจุบัน (Wars in modern day) สรุปได้ด้วยสองประโยค

• Our infrastructure are more vulnerable than you know — โครงสร้างพื้นฐานของเราเปราะบางกว่าที่คุณรู้
• Your personal life may not be personal — ชีวิตส่วนตัวของคุณอาจไม่ได้เป็นเรื่องส่วนตัว

---

ส่วนที่ 2 — ภัยเข้าถึงเราได้สองทาง

ภัยทั้งเก้าอย่างในส่วนที่แล้วแบ่งได้เป็นสองกลุ่ม ตามคำถามว่า มันต้องผ่านอะไรถึงจะสำเร็จ

กลุ่มแรกเล่นงานตัวระบบ คือหาช่องโหว่ในซอฟต์แวร์หรือในเครือข่าย แล้วใช้ช่องนั้น กลุ่มที่สองไม่แตะช่องโหว่เลย แต่ไปหาคนที่ใช้ระบบแล้วทำให้เขาเปิดประตูให้เอง

การแยกสองกลุ่มนี้สำคัญ เพราะ มาตรการที่กันกลุ่มแรกได้ กันกลุ่มที่สองไม่ได้เลย

รูปที่ 1 แบ่งไว้สามกลุ่มตามสิ่งที่ภัยนั้นทำ ส่วนการแบ่งตรงนี้ถามคนละคำถาม คือถามว่าต้องผ่านอะไร สามกลุ่มนั้นจึงตกลงมาแบบนี้

ทางที่หนึ่ง — เจาะตัวระบบ

Malicious Software

Malicious Software (ซอฟต์แวร์ที่เขียนขึ้นมาเพื่อทำร้าย) คือชื่อรวมของห้าอย่างแรกในตารางส่วนที่ 1 — viruses, worms, trojan horses, spyware และ ransomware

ทั้งห้าอย่างมีจุดร่วมคือเป็นโค้ดที่ไปทำงานอยู่บนเครื่องเหยื่อ ต่างกันที่ วิธีเข้าไปอยู่ตรงนั้น และ สิ่งที่ทำหลังเข้าไปแล้ว

หนอนคอมพิวเตอร์ตัวแรก ๆ ที่แพร่ผ่านอินเทอร์เน็ตคือ Morris worm

Morris worm, Internet worm of November 2, 1988, was one of the first computer worms distributed via the Internet.

Morris worm หนอนอินเทอร์เน็ตของวันที่ 2 พฤศจิกายน 1988 เป็นหนึ่งในหนอนคอมพิวเตอร์ตัวแรก ๆ ที่แพร่ผ่านอินเทอร์เน็ต

BotNet และ DDoS

มีสองคำที่ต้องแยกให้ออก

• Bot (เครื่องของคนอื่นที่ถูกยึดไปสั่งงานได้) ย่อมาจาก robot คือคอมพิวเตอร์ที่ถูกคนอื่นยึดไปแล้ว
• Botnet (เครือข่ายของเครื่องที่ถูกยึด) คือเครือข่ายของ bot

bot ซื้อขายกันเป็นล็อต ทีละหลักพัน (หรือหลักล้าน?) แล้วคำถามที่ตามมามีข้อเดียว คือถ้าสั่งคอมพิวเตอร์เป็นพันเครื่องได้จากแป้นพิมพ์เดียว จะเอาพลังนั้นไปทำอะไร

คำตอบมีหกข้อ

แฮกเกอร์มักต่อ bot เข้ากับช่อง IRC เพื่อสั่งงาน และโปรแกรมให้ bot ยิงเครื่องเป้าหมายได้ง่ายมาก ตัวเลขจาก shadowserver.org บอกไว้ว่า

ปี 2008 มีการโจมตีแบบ DDoS ราว 190,000 ครั้ง ทำเงินให้อาชญากรไซเบอร์ราว 20 ล้านดอลลาร์ และตัวเลขนี้ยังไม่รวมรายได้จากการแบล็กเมล ซึ่งประเมินไม่ได้

Man-in-the-middle

ชื่อนี้เดิมทีเรียกว่า MIG-in-the-middle attack ของรัสเซีย

Man-in-the-middle attack (การแทรกตัวเป็นคนกลาง) คือการที่ผู้โจมตีนั่งอยู่ระหว่างสองฝั่งที่คิดว่ากำลังคุยกันตรง ๆ อ่านทุกอย่างที่ส่งผ่าน และแก้ได้ด้วยถ้าต้องการ

คำเดียวที่ทิ้งไว้กับหัวข้อนี้คือ Order? โดยไม่มีคำตอบเขียนไว้ และรูปที่ใช้ประกอบระบุที่มาว่ามาจากหนังสือ Security Engineering ของ Ross Anderson

ทางที่สอง — หลอกคนที่ใช้ระบบ

Phishing

Phishing (การหลอกให้เรากรอกข้อมูลเอง) มาได้ทุกรูปแบบ ผ่านอีเมล โทรศัพท์ เว็บ และแชท คำถามที่ตามมามีข้อเดียว

What will happen if you typed in your username and password?

จะเกิดอะไรขึ้น ถ้าคุณพิมพ์ชื่อผู้ใช้กับรหัสผ่านลงไป

แล้ว phishing ได้ผลแค่ไหน รายงานของ FBI ปี 2004 ให้ตัวเลขไว้แบบนี้

ตัวเลข 1.2 พันล้าน ยังไม่รวม ค่าฮาร์ดแวร์ ค่าซอฟต์แวร์ และความเสียหายต่อชื่อเสียง

ลองตอบดู: ทำไมความเสียหายรวมถึงมากกว่ามูลค่าสินค้าที่เสียไปถึงสี่สิบเท่า

เพราะมูลค่าสินค้าและบริการนับเฉพาะของที่ถูกขโมยไปตรง ๆ ส่วนความเสียหายรวมนับสิ่งที่ตามมาด้วย

ตัวอย่างที่ระบุไว้มีสามอย่างคือ ค่าฮาร์ดแวร์ ค่าซอฟต์แวร์ และชื่อเสียง ซึ่งเป็นต้นทุนของการกู้ระบบและการเรียกความเชื่อมั่นกลับมา ไม่ใช่ของที่ถูกขโมย

สไลด์ยังถามทิ้งไว้อีกข้อโดยไม่ให้คำตอบ ว่าธนาคารส่วนใหญ่ถูกเจาะทุกสัปดาห์ แต่ธนาคารไม่อยากให้มีการสืบสวน Why? — ถ้าโยงกับคำว่า "ชื่อเสียง" ในบรรทัดบน ก็พอเดาทางได้

Social Engineering

คดีที่ VIGILANTe บันทึกไว้ และเรียกกันว่า AOL hack เป็นแบบนี้

ในกรณีนั้น แฮกเกอร์โทรหาฝ่ายสนับสนุนทางเทคนิคของ AOL แล้วคุยกับเจ้าหน้าที่อยู่หนึ่งชั่วโมง ระหว่างคุยกัน แฮกเกอร์เอ่ยขึ้นมาว่ากำลังขายรถราคาถูก เจ้าหน้าที่สนใจ แฮกเกอร์จึงส่งอีเมลแนบไฟล์ "รูปรถ" ไปให้ แต่แทนที่จะเป็นรูปรถ อีเมลนั้นรันช่องทางลับที่เปิดการเชื่อมต่อออกจาก AOL ผ่านไฟร์วอลล์

ของในถังขยะที่ทำข้อมูลรั่วได้

รายการของที่ถูกทิ้งลงถังขยะแล้วกลายเป็นช่องโหว่มีแบบนี้

• สมุดโทรศัพท์ของบริษัท
• ผังองค์กร
• บันทึกภายใน (memo) และคู่มือนโยบายบริษัท
• ปฏิทินการประชุม กิจกรรม และวันลาพักร้อน
• คู่มือระบบ
• เอกสารที่พิมพ์ออกมาซึ่งมีข้อมูลอ่อนไหว หรือมีชื่อผู้ใช้และรหัสผ่าน
• เอกสารที่พิมพ์ source code ออกมา
• แผ่นดิสก์และเทป
• กระดาษหัวจดหมายและแบบฟอร์มบันทึกของบริษัท
• ฮาร์ดแวร์เก่าที่เลิกใช้แล้ว

รายการนี้ยาวกว่าที่คนส่วนใหญ่คาด และเกินครึ่งไม่ใช่ข้อมูลลับ แต่เป็นข้อมูลที่ช่วยให้คนแปลกหน้าพูดจาเหมือนคนใน ซึ่งคือสิ่งที่คดี AOL ต้องใช้

หลอกให้โอนเงินเอง

ไม่ว่าจะเจอประกาศขายของออนไลน์ที่ไหน ก็มักจะมีคำโฆษณาที่ไม่จริงปนอยู่ ตัวอย่างคือ Nigerian scam พร้อมวงเล็บถามว่า (Why Nigerian?)

---

ส่วนที่ 3 — เมื่อมันกลายเป็นคดี

Cyber Crime คืออะไร

Cyber Crime (อาชญากรรมที่ใช้ช่องทางดิจิทัล) นิยามสั้น ๆ ว่า crime that use digital as mediums คืออาชญากรรมที่ใช้สื่อดิจิทัลเป็นเครื่องมือ แบ่งเป็นสามประเภท

Cyber Stalking — การใช้อินเทอร์เน็ต อีเมล หรืออุปกรณ์สื่อสารอิเล็กทรอนิกส์อื่น เพื่อสะกดรอยหรือคุกคามผู้อื่น

Fraud / Identity Theft — เป็นหนึ่งในอาชญากรรมที่โตเร็วที่สุดในอเมริกาและประเทศอื่นทั่วโลก

Hacking — การเข้าถึง ใช้ เปิดเผย หรือเอาข้อมูลอิเล็กทรอนิกส์บนคอมพิวเตอร์หรืออุปกรณ์อื่นไป โดยตั้งใจและไม่ได้รับอนุญาต

กฎหมายตามทัน — สามคดีใน 19 ปี

ความรุนแรงของอาชญากรรมไซเบอร์ (Severity of Cyber Crime) เห็นได้จากสามคดีที่คล้ายกัน แต่ต่างกันที่ปี

กฎหมายคอมพิวเตอร์ของไทย

กฎหมายคอมพิวเตอร์ของไทย (Thai Computer Law (2550 B.E.)) สรุปเป็นสามข้อ

• คุณต้องดูแลอุปกรณ์ของคุณเอง
• ถ้าเพื่อนหยิบสมาร์ตโฟนของคุณไปโพสต์ด่านายกรัฐมนตรี มันเป็นความผิดของคุณ
• ถ้าคุณแชร์เนื้อหาที่อาจทำให้คนอื่นเสียหาย ก็เป็นความผิดของคุณเช่นกัน

ทั้งสามข้ออ้างอิงถึงพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐

---

ส่วนที่ 4 — สิบหลักการความปลอดภัย

หลักการชุดนี้รวบรวมมาจากคนในวงการ ระบุที่มาไว้สามแหล่งคือ IBM, Microsoft และ Albion

ภาพรวมทั้งสิบข้อก่อน

หลักการที่ 1 — Least privilege

The principle of least privilege states that only the minimum access necessary to perform an operation should be granted, and that access should be granted only for the minimum amount of time necessary.

Least privilege (ให้สิทธิ์น้อยที่สุดเท่าที่งานนั้นต้องใช้) มีสองท่อน คือ สิทธิ์น้อยที่สุด และ เวลาสั้นที่สุด คนมักจำแค่ท่อนแรก

ผลกระทบ — ถ้า process ที่รันด้วยสิทธิ์สูง เช่น root หรือ admin ถูกยึด ความเสียหายจะมากกว่า และถ้าผู้ใช้ที่ใช้สิทธิ์สูงอยู่ถูกโจมตี ก็เสียหายมากกว่าเช่นกัน

ตัวอย่างคือ ถ้าเปิด MS Word ด้วยสิทธิ์ Administrator แล้วเจอ macro virus ไวรัสตัวนั้นล้างเครื่องได้ทั้งเครื่อง

หลักการที่ 2 — Defense in depth

The idea behind defense in depth is to manage risk with multiple defensive strategies, so that if one layer of defense turns out to be inadequate, another layer of defense will, ideally, prevent a full breach.

เป็นยุทธศาสตร์ทางทหารที่รู้จักกันดี ตัวอย่างคือ เพื่อไม่ให้ข้าศึกยึดรถไฟแล้ววิ่งตรงเข้าเมืองหลวงได้ ทางรถไฟจะต้องมีถนนตัดผ่านทุก ๆ ไม่กี่กิโลเมตร

ผลกระทบ — Windows Server 2003 เปลี่ยนลำดับการค้นหา DLL ให้ใช้ของระบบก่อน ไม่ใช้ DLL ที่ซ้ำกันในโฟลเดอร์ของแอป การเปลี่ยนครั้งนั้นปิดช่องทางโจมตีไปหนึ่งช่อง

ต่อมามีคนหาช่องโหว่ใน Windows ที่ยัด DLL เข้าไปในโฟลเดอร์ของแอปได้ แต่ใช้กับ Server 2003 ไม่ได้ เพราะลำดับการค้นหาถูกเปลี่ยนไปแล้ว

หลักการที่ 3 — Secure failure

Avoid security problems related to failures. When systems fail in any way, they should not revert to insecure behavior.

ตัวอย่างของเก่าคือ ในอดีต เมื่อโปรแกรมเกิด segmentation fault ระบบจะเด้ง shell ขึ้นมาให้ debug

ผลกระทบ — โปรแกรมพัง แล้วอะไรเกิดขึ้นต่อ ถ้าโปรแกรมนั้นรันด้วยสิทธิ์สูงอยู่ เวลามันพัง เราตกไปอยู่ที่ระบบปฏิบัติการพร้อมสิทธิ์สูงนั้นหรือเปล่า ถ้าใช่ ผู้โจมตีก็แค่ ถล่มโปรแกรมให้พัง เช่น ทำให้เกิด segmentation fault

หลักการที่ 4 — Secure the weakest link

Security is a chain; a system is only as secure as the weakest link. One consequence is that the weakest parts of your system are the parts most susceptible to attack.

ผลกระทบ — ไฟร์วอลล์เป็นจุดที่โดนโจมตีบ่อยมาโดยตลอด และเครื่องพิมพ์ที่ต่อเน็ตก็เหมือนกัน เครื่องพิมพ์พวกนี้เป็นคอมพิวเตอร์จริง ๆ และมักถูกมองข้าม

หลักการที่ 5 — Compartmentalization

The basic idea behind compartmentalization is that we can minimize the amount of damage that can be done to a system, if we break the system up into as many isolated units as possible.

ผลกระทบ — วางเว็บเซิร์ฟเวอร์ไว้ใน DMZ (โซนกันชนที่แยกจากเครือข่ายภายใน) แล้ววางข้อมูลไว้หลังไฟร์วอลล์อีกชั้น พร้อมเงื่อนไขสองข้อ

• ฝั่ง DMZ อาจมีแค่ สำเนาข้อมูลแบบอ่านอย่างเดียว
• ฝั่งข้อมูล รับการเชื่อมต่อจากเว็บเซิร์ฟเวอร์เท่านั้น

หลักการที่ 6 — Simplicity

The KISS mantra — "Keep it simple, stupid!". Complexity increases the risk of problems; this seems unavoidable in any system. Your designs and implementations should be as straightforward as possible.

ผลกระทบ — See Microsoft.

หลักการที่ 7 — Promote privacy

Users generally consider privacy a security concern. You shouldn't do anything that could compromise the privacy of the user. And you should be as diligent as possible in protecting any personal information that a user gives you. You can quickly lose the respect of your customers, if they think you handle privacy concerns poorly.

ผลกระทบ — เขียนนโยบายความเป็นส่วนตัว แล้วถามตัวเองสองคำถาม

• เราต้องใช้เลขประจำตัวประชาชนของเขาจริงหรือเปล่า
• เราต้องเก็บเลขบัตรเครดิตของเขาไว้จริงหรือเปล่า

หลักการที่ 8 — It's hard to hide secrets

It's incredibly difficult to keep the "secrets" secret.

ภัยที่พบบ่อยที่สุดของบริษัทคือ insider attack คือพนักงานที่ไม่พอใจใช้สิทธิ์ที่ตัวเองมีในทางที่ผิด แล้วเปิดเผยความลับ

และคำเตือนเรื่อง Security by obscurity (การหวังพึ่งว่าคนอื่นจะไม่รู้วิธีการของเรา) คือ ถ้าเลี่ยงได้ อย่าใช้มันเป็นแนวป้องกันเพียงอย่างเดียว

ผลกระทบ — อัลกอริทึมเข้ารหัสที่ปลอดภัยทุกตัว เป็นของสาธารณะ ถ้าไม่เปิดเผยก็จะไม่มีใครเชื่อถือ สิ่งที่เป็นความลับมีแค่ กุญแจ เท่านั้น

หลักการที่ 9 — Don't extend trust easily

หลักการนี้ไล่ไว้สามระดับ

• อย่าเพิ่งเชื่อเซิร์ฟเวอร์ของตัวเอง เผื่อว่ามันถูกยึดไปแล้ว
• อย่าเพิ่งเชื่อตัวเองและองค์กรของตัวเอง
• มีผลิตภัณฑ์จากผู้ขายด้านความปลอดภัยหลายตัวที่มีช่องโหว่เบ้อเริ่ม

ผลกระทบ — หนอน Slammer ปี 2003 เจาะเข้าเครือข่ายภายในของโรงไฟฟ้านิวเคลียร์ Davis-Besse ในรัฐโอไฮโอ และทำให้ระบบเฝ้าระวังความปลอดภัยใช้การไม่ได้เกือบห้าชั่วโมง ทั้งที่พนักงานโรงไฟฟ้าเชื่อว่าเครือข่ายนั้นมีไฟร์วอลล์ป้องกันอยู่

สาเหตุคือ ผู้รับเหมารายหนึ่งต่อเครื่องเข้ากับเครือข่ายภายใน แล้วหมุนโมเด็มออกอินเทอร์เน็ต

หลักการที่ 10 — Trust the community

Repeated use without failure promotes trust. Public scrutiny does as well. You get to leverage the experience of others. This principle only applies if you have reason to believe that the community is doing its part to promote the security of components you want to use.

ผลกระทบ — ย้ำเรื่องเดิมว่าอัลกอริทึมเข้ารหัสที่ปลอดภัยทุกตัวเป็นของสาธารณะ และ ถูกผู้เชี่ยวชาญตรวจสอบมาอย่างหนัก

ลองตอบดู: ข้อ 9 บอกว่าอย่าเชื่อใครง่าย ๆ แต่ข้อ 10 บอกให้เชื่อชุมชน สองข้อนี้ขัดกันหรือเปล่า

ไม่ขัดกัน เพราะสองข้อนี้พูดถึงเหตุผลของการเชื่อคนละแบบ

ข้อ 9 ห้ามเชื่อเพราะ สถานะ เช่น เชื่อเพราะเป็นเซิร์ฟเวอร์ของเราเอง เชื่อเพราะคนขายเป็นบริษัทด้านความปลอดภัย หรือเชื่อเพราะเขาบอกว่ามีไฟร์วอลล์

ข้อ 10 ให้เชื่อเพราะ หลักฐาน คือของชิ้นนั้นถูกใช้ซ้ำมานานโดยไม่พัง และถูกคนนอกตรวจสอบมาแล้วอย่างเปิดเผย

ข้อ 10 ยังมีเงื่อนไขติดมาด้วยว่า ใช้ได้เฉพาะเมื่อเรามีเหตุผลจะเชื่อว่าชุมชนนั้นทำหน้าที่ของมันจริง ซึ่งก็คือข้อ 9 กำกับข้อ 10 อยู่นั่นเอง

ตัวอย่างที่ทั้งสองข้อชี้ไปที่เดียวกันคืออัลกอริทึมเข้ารหัส เราไม่ได้เชื่อเพราะคนสร้างบอกว่าปลอดภัย แต่เชื่อเพราะมันเปิดให้ทุกคนพยายามเจาะมาหลายสิบปีแล้วยังไม่มีใครทำได้

---

ส่วนที่ 5 — แล้ว security คืออะไรกันแน่

นิยามจากพจนานุกรมและจากวงการ

มีนิยามจากสองแหล่ง

Merriam-Webster Online — "the state of being secure" สภาวะของการปลอดภัย โดยคำว่า secure หมายถึง "free from risk of loss" ปลอดจากความเสี่ยงที่จะสูญเสีย

webopedia.com — ในวงการคอมพิวเตอร์ security หมายถึงเทคนิคที่ทำให้ข้อมูลซึ่งเก็บอยู่ในคอมพิวเตอร์ ไม่ถูกอ่านหรือถูกแก้โดยคนที่ไม่ได้รับอนุญาต มาตรการส่วนใหญ่เกี่ยวข้องกับการเข้ารหัสข้อมูลและรหัสผ่าน

เรื่องนี้เก่ากว่าคอมพิวเตอร์มาก

ปัญหาความปลอดภัยทางกายภาพเกิดขึ้นตั้งแต่มนุษย์เริ่มรวมตัวกันเป็นชุมชน และ กุญแจที่เก่าแก่ที่สุดเท่าที่รู้จักคือกุญแจอียิปต์อายุ 4,000 ปี

Who can do what when?

วิชานี้ให้นิยามของตัวเองไว้

The protection of resources from being accessed by an unauthorized person at a particular time.

การปกป้องทรัพยากรจากการถูกเข้าถึงโดยผู้ที่ไม่ได้รับอนุญาต ณ เวลาหนึ่ง ๆ

แล้วย่อให้สั้นที่สุดว่า

Who can do what when?

ลองตอบดู: ระบบที่ให้พนักงานทุกคนเข้าถึงไฟล์ทุกไฟล์ได้ตลอดเวลา ผิดตรงไหนตามนิยามนี้

ผิดสองในสามข้อ

ผิดที่ what เพราะไม่ได้แยกว่าใครควรเข้าถึงอะไรได้บ้าง ทุกคนเข้าได้ทุกอย่างเท่ากันหมด

ผิดที่ when เพราะไม่มีขอบเขตเวลา คนที่เคยมีสิทธิ์ก็ยังมีสิทธิ์ตลอดไป

ส่วน who อาจถูกอยู่ ถ้าระบบยังบังคับให้ login ก่อน คือมันรู้ว่าใครเป็นใคร แต่รู้แล้วไม่ได้เอาไปใช้ทำอะไรต่อ

นี่คือตัวอย่างของประโยคปิดใน Chapter 2 ที่ว่า มีองค์ประกอบครบไม่ได้แปลว่าปลอดภัย

---

ส่วนที่ 6 — เป้าหมายของวิชา หนังสือ และตารางเรียน

Be skeptical

คำสองคำที่วิชานี้ย้ำคือ Be skeptical จงตั้งข้อสงสัยไว้ก่อน แล้วต่อด้วยเป้าหมายของวิชา

Security is too broad a topic. I know only a small part. This class is rather a collaboration among us. If when you leave this class you have a different way of looking at the world around you, I will have succeeded.

ความปลอดภัยเป็นหัวข้อที่กว้างเกินไป ผมรู้แค่ส่วนเล็ก ๆ วิชานี้จึงเป็นการร่วมมือกันระหว่างพวกเรามากกว่า ถ้าตอนที่คุณเดินออกจากวิชานี้ คุณมองโลกรอบตัวเปลี่ยนไป ผมก็ถือว่าสำเร็จแล้ว

หนังสือที่แนะนำให้อ่าน

Security Engineering อ่านออนไลน์ได้ฟรีเป็น PDF ที่ cl.cam.ac.uk/~rja14/book.html

ยังมีหนังสือของอาจารย์ผู้สอนเองให้ด้วย ชื่อ Computer Security, The Foundations โดยระบุไว้ว่า this is a work in progress คือยังเขียนไม่เสร็จ

ตารางเรียน