Lecture 2 — Security Components

ระบบที่ปลอดภัยต้องตอบได้ครบสามคำถาม คือ คุณเป็นใคร (Authentication), คุณมีสิทธิ์ทำสิ่งนี้ไหม (Authorization) และ คุณทำอะไรไปบ้าง (Accounting) ขาดข้อใดข้อหนึ่งคือไม่ปลอดภัยแน่นอน แต่มีครบทั้งสามข้อก็ยังไม่ได้แปลว่าปลอดภัย

เนื้อหามาจากสไลด์ Chapter 2 หน้า 1–19 ของไฟล์ Lecture-2,3.pdf คำนิยาม ข้อความที่ยกมาในเครื่องหมายคำพูด และตัวอย่างทั้งหมดมาจากสไลด์จริง ส่วนคำอธิบาย รูป และกล่องที่ติดป้าย "เสริม" เขียนขึ้นใหม่เพื่อให้คนที่ไม่มีพื้นฐานอ่านรู้เรื่อง

สไลด์ระบุวันแก้ไขล่าสุดไว้ว่า Aug 12, 2025

ถ้าเราแยกสองคำนี้ไม่ออก เราจะแก้ปัญหาผิดจุด ปัญหา security แก้ด้วยการทำระบบให้แข็งขึ้น เช่น ใส่รหัสผ่าน จำกัดสิทธิ์ เก็บ log ส่วนปัญหา privacy แก้ด้วยการให้เจ้าของข้อมูลเป็นคนเลือกเองว่าจะให้ใครรู้อะไร ระบบที่แข็งมากแต่เอาข้อมูลของเราไปใช้โดยเราไม่รู้ตัว คือระบบที่ security ดีแต่ privacy แย่

คนคนหนึ่งอาจไม่ยอมบอกอายุกับใครเลย แต่ยอมบอกกับหมอที่กำลังรักษาเขา เพราะมันทำให้ได้รับการรักษาที่ดีขึ้น

ข้อมูลชิ้นเดียวกัน แต่ให้คนละคนแล้วรู้สึกต่างกัน นั่นแปลว่าสิ่งที่ตัดสินไม่ใช่ตัวข้อมูล แต่เป็นเจตนาของเจ้าของข้อมูลว่าจะให้ใคร

"ให้ผู้ใช้เลือกเอง" ฟังดูยุติธรรม แต่คำที่ใช้คือ naïve ตั้งแต่ต้นประโยค เพราะในทางปฏิบัติ ผู้ใช้แทบไม่มีทางเลือกจริง ถ้าไม่กดยอมรับก็ใช้บริการไม่ได้เลย และแทบไม่มีใครอ่านนโยบายจนจบก่อนกด

สองข้อเท็จจริงในหัวข้อถัดไปคือตัวอย่างว่าสิ่งที่เรากดยอมรับไปนั้นครอบคลุมอะไรบ้าง

เราอาจนำข้อมูลที่เก็บได้จากบริการต่าง ๆ ของเรา และจากอุปกรณ์หลายเครื่องของคุณ มารวมเข้าด้วยกัน … ขึ้นอยู่กับการตั้งค่าบัญชีของคุณ กิจกรรมของคุณบนเว็บไซต์และแอปอื่น อาจถูกเชื่อมโยงเข้ากับข้อมูลส่วนตัวของคุณ เพื่อปรับปรุงบริการของ Google และโฆษณาที่ Google ส่งให้

ยกมาจาก policies.google.com/privacy

ถ้าคุณเริ่มพิมพ์อะไรบางอย่าง แล้วเปลี่ยนใจลบทิ้ง Facebook ก็เก็บข้อความนั้นไว้และเอาไปวิเคราะห์ด้วย

— Zeynep Tufekci นักสังคมวิทยาด้านเทคโนโลยี พูดไว้ใน TED talk ปี 2017 ยกมาจาก Chicago Tribune

สองกล่องนี้ไม่ได้แปลว่า Google ผิดหรือ Facebook ผิด ทั้งสองบริษัทประกาศไว้ในนโยบายของตัวเองแล้ว ซึ่งตามหลักสี่ข้อข้างบนก็ถือว่า "ทำตามนโยบาย" แล้ว

ประเด็นคือ สิ่งที่เรากดยอมรับไปนั้นกว้างกว่าที่คนส่วนใหญ่คิด และนั่นคือราคาที่เราจ่ายเมื่อแลกความเป็นส่วนตัวกับบริการฟรี

วิธีนี้ทำให้เราไม่ต้องท่องนิยาม แต่ได้นิยามมาจากการสังเกตของที่คนทั่วโลกยอมรับกันอยู่แล้วว่าปลอดภัย ถ้าของสามอย่างที่ต่างกันคนละแบบกลับมีชิ้นส่วนชุดเดียวกัน แปลว่าชิ้นส่วนชุดนั้นน่าจะเป็นสิ่งที่ขาดไม่ได้จริง

1. เดินเข้าธนาคาร แจ้งว่าจะขอเปิดตู้นิรภัย
2. ยื่นบัตรประชาชน แล้วเซ็นชื่อเทียบกับลายเซ็นที่ธนาคารเก็บไว้
3. พนักงานเปิดสมุดดูว่าตู้นี้เป็นของเราจริง และเรามีสิทธิ์เปิดคนเดียวหรือต้องมาพร้อมกันสองคน
4. พนักงานใช้กุญแจของธนาคาร เราใช้กุญแจของเรา ต้องไขพร้อมกันทั้งสองดอกตู้ถึงจะเปิด
5. ลงเวลาเข้าและออกในสมุดบันทึกการเข้าใช้

จะเห็นว่าขั้นที่ 2 ตอบคำถามว่า เราเป็นใคร ขั้นที่ 3 และ 4 ตอบว่า เรามีสิทธิ์ไหม และขั้นที่ 5 ตอบว่า เราทำอะไรไป

คนมักคิดว่า Authentication กับ Authorization เป็นเรื่องเดียวกัน เพราะเจอพร้อมกันตอน login ทั้งคู่

แต่มันตอบคนละคำถาม การรู้ว่าคุณคือใคร ไม่ได้แปลว่าคุณทำได้ทุกอย่าง พนักงานธนาคารพิสูจน์ตัวตนผ่านแล้ว ก็ยังเปิดตู้นิรภัยของลูกค้าคนอื่นไม่ได้อยู่ดี

AAA ถูกเทียบกับ Kerberos สุนัขสามหัวเฝ้าประตูยมโลกในตำนานกรีก หัวหนึ่งต่อหนึ่งองค์ประกอบ

ชื่อนี้ไม่ได้ถูกหยิบมาลอย ๆ โครงการ Athena ของ MIT ตั้งชื่อระบบพิสูจน์ตัวจริงของตัวเองว่า "Kerberos" ตามสุนัขตัวนี้จริง ๆ

ที่มาของชื่อคือ Cerberus หรือ Kerberos (กรีก Κέρβερος แปลว่า "ปีศาจแห่งหลุมลึก") เป็นสุนัขล่าเนื้อของ Hades มีสามหัว หางเป็นงู บางตำนานว่ามีถึง 50 หรือ 100 หัว

จุดที่การเทียบนี้ดีคือ หัวทั้งสามอยู่บนตัวเดียวกัน ไม่ใช่สุนัขสามตัวที่แยกกันเฝ้า ระบบเดียวต้องมีครบทั้งสามอย่าง ไม่ใช่ให้ระบบสามระบบมีคนละอย่าง

ฟอร์ม login รับ username มาแล้วเอาไปต่อเป็นคำสั่งค้นฐานข้อมูลตรง ๆ

ถ้าโปรแกรมสร้างคำสั่งด้วยการต่อข้อความ แล้วมีคนกรอก username เป็น

' OR '1'='1

คำสั่งที่ออกมาจะกลายเป็นเงื่อนไขที่เป็นจริงเสมอ ระบบก็จะคืนผู้ใช้ทุกคนในตารางออกมา ทั้งที่คนกรอกไม่รู้รหัสผ่านของใครเลย

ทั้งสามด่านของ AAA ยังอยู่ครบ ไม่มีใครปิดมันเลย แต่ระบบก็ถูกเจาะได้ เพราะข้อมูลที่คนนอกพิมพ์เข้ามาถูกเชื่อว่าเป็นคำสั่งที่ถูกต้อง

หน้า 17 ไล่แนวคิดสนับสนุนไว้ สามข้อ คือ Integrity, Software Engineering & Threat Modeling และ Validation of Input

แต่หน้าสรุปคือหน้า 18 เขียนว่า 2 Supporting Concepts แล้วนับเฉพาะ Integrity กับ Input Validations

หน้านี้เก็บไว้ทั้งสามข้อ เพราะทั้งสามข้ออยู่ในสไลด์จริง แต่ถ้าข้อสอบถามว่า supporting concepts มีกี่ข้อ ให้ตอบตามหน้าสรุปคือสองข้อ

Missing a component means a system is not secure. ขาดองค์ประกอบข้อใดข้อหนึ่ง แปลว่าระบบนั้นไม่ปลอดภัย

Having all components does not mean the system is secure. มีองค์ประกอบครบ ไม่ได้แปลว่าระบบนั้นปลอดภัย

สองประโยคนี้ไม่ได้ขัดกัน มันบอกว่า AAA เป็น เงื่อนไขจำเป็น แต่ไม่ใช่เงื่อนไขเพียงพอ

• ทิศทางแรกใช้ตัดทิ้ง — เจอระบบที่ขาดข้อใดข้อหนึ่ง ฟันธงได้เลยว่าไม่ปลอดภัย ไม่ต้องดูอะไรต่อ
• ทิศทางที่สองใช้เตือน — เจอระบบที่ครบทั้งสามข้อ ยังฟันธงอะไรไม่ได้ ต้องดูต่อว่าแต่ละด่านทำงานได้ดีแค่ไหน

เหมือนรถที่ต้องมีเบรก ไฟหน้า และเข็มขัดนิรภัย รถที่ไม่มีเบรกคือรถที่ไม่ปลอดภัยแน่นอน ไม่ต้องทดสอบอะไรเพิ่ม

แต่รถที่มีครบทั้งสามอย่าง ก็ยังไม่ปลอดภัยถ้าผ้าเบรกหมด ไฟหน้าไม่สว่างพอ หรือเข็มขัดขาด มีของครบ กับของที่มีทำงานได้ดี เป็นคนละเรื่องกัน

กับดักที่พบบ่อยคือการเอา checklist ไปติ๊กแล้วจบ "มีระบบ login แล้ว ✓ มีการแบ่งสิทธิ์แล้ว ✓ มี log แล้ว ✓ เพราะฉะนั้นปลอดภัย"

ประโยคที่สองเขียนมาเพื่อกันเรื่องนี้โดยเฉพาะ ระบบ login ที่ยอมให้ตั้งรหัสผ่านว่า 1234 ก็นับว่ามี Authentication ครบตาม checklist แต่ไม่ได้ช่วยอะไรเลย

สองคำที่ต้องแยกให้ออก

• Security ถามว่า "ใครทำอะไรได้ เมื่อไหร่" — วัดที่ตัวระบบ
• Privacy คืออิสระที่จะคุมว่าใครเข้าถึงข้อมูลส่วนตัวของเราได้ — วัดที่เจตนาของเจ้าของข้อมูล
• ทั้งคู่ต้องการการควบคุมการเข้าถึงข้อมูลเหมือนกัน แต่ตอบคนละคำถาม
• เคสตัวอย่าง: hacker เจาะระบบแล้วรู้เรื่องสุขภาพของคนคนหนึ่ง เป็น security แน่นอน ส่วนจะเป็น privacy หรือไม่ ขึ้นกับว่าเจ้าตัวเปิดเผยเองอยู่แล้วหรือเปล่า
• ทางออกแบบง่าย ๆ ของ privacy คือให้ผู้ใช้เลือกเอง ผ่าน disclaimer, agreement และ privacy policy — วิธีนี้ถูกเรียกว่า naïve

สามองค์ประกอบ — the AAA of Security

• Authentication — "Who are you? Are you really the person whom you claim to be?"
• Authorization — "Do you have the authority to do what you are trying to do?"
• Accounting (Auditing) — "What did you do?"
• เทียบกับ Kerberos สุนัขสามหัว หัวหนึ่งต่อหนึ่งองค์ประกอบ อยู่บนตัวเดียวกัน
• หาชิ้นส่วนสามอย่างนี้ได้จากตู้ ATM ตู้นิรภัยธนาคาร และของรอบตัวเรา

แนวคิดที่มาช่วยหนุน

• Integrity — "the quality or state of being complete or undivided" ของต้องครบและไม่ถูกแก้
• Threat Modeling — เขียนบันทึกไว้ล่วงหน้าว่าใครจะโจมตีตรงไหนได้
• Input Validation — "All input is evil until proven otherwise"
• หน้า 17 นับสามข้อ หน้าสรุป 18 นับสองข้อ (Integrity กับ Input Validation)

สองประโยคปิดบท

• ขาดองค์ประกอบข้อใดข้อหนึ่ง = ไม่ปลอดภัยแน่นอน
• มีครบทุกข้อ = ยังไม่ได้แปลว่าปลอดภัย
• AAA เป็นเงื่อนไขจำเป็น แต่ไม่ใช่เงื่อนไขเพียงพอ