ทุกวันนี้เวลาจะใช้แอป ส่วนมากผู้พัฒนาแอปมักจะขอ ‘เบอร์มือถือ’ ซึ่งจริงๆ นี่ก็เป็นไปตามการพยายามอัปเกรดมาตรฐานความปลอดภัยให้เป็นการ ‘ยืนยันตัวตนสองชั้น’ ที่ถือว่าปลอดภัยกว่ายุคก่อนหน้านี้ที่การยืนยันตัวตนนั้นจะทำผ่านการบอก ‘ชื่อผู้ใช้’ และ ‘รหัสผ่าน’ เท่านั้น
แต่ทุกวันนี้ในแวดวงความปลอดภัยไซเบอร์ก็เริ่มกังวลกับการเอะอะอะไรก็จะให้ ‘ใช้เบอร์มือถือยืนยันตัวตน’ มากขึ้น
ทำไมล่ะ มันไม่ปลอดภัยเหรอ? มันมีปัญหาอะไร?
โดยปกติการยืนยันตัวตนด้วยมือถือมันจะทำผ่านการรับ ‘พาสเวิร์ดแบบใช้ครั้งเดียว’ (OTP/One-Time Password) ผ่านทาง SMS ซึ่งเราก็รู้กันอยู่แล้วว่ามันมีเทคนิคการ ‘แฮก’ มากมาย หรือมันมี ‘ช่องโหว่ระบบ’ ที่จะทำให้แฮกเกอร์สามารถปลอมเป็นเราและรับ OTP ได้เรื่อยๆ ซึ่งช่องโหว่พวกนี้เกิดที่ระบบซิมการ์ดเอง และมันทำให้พวกแพลตฟอร์มต่างๆ ไปแก้ไม่ได้ และที่สำคัญคือไม่ต้องรับผิดชอบด้วย
พูดง่ายๆ การยืนยันด้วยมือถือมันสามารถถูกแฮกได้ แม้ว่าจะทำยาก แต่มันทำได้ นี่เลยทำให้ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ไม่แฮปปี้เท่าไรกับการพยายามจะทำให้เบอร์มือถือเป็นเครื่องยืนยันตัวตนคน ราวกับว่ามันไร้ช่องโหว่
ตรงนี้หลายคนก็อาจเถียงว่า มันไม่มีอะไรที่แฮกไม่ได้ ซึ่งถ้าพูดแบบกำปั้นทุบดินก็คงจะต้องบอกว่าจริง แต่สิ่งที่หายนะจริงๆ คือเรื่องต่อไป
เพราะเบอร์มือถือไม่ใช่ระบบที่ถูกสร้างมาเพื่อใช้ยืนยันตัวตนคน และมันเป็นระบบที่พื้นฐานคาดหวังให้ในชีวิตคนสามารถ ‘เปลี่ยนเบอร์’ ได้ และระบบทุกวันนี้ที่พยายามจะผูกชีวิตออนไลน์ทุกอย่างของคนคนหนึ่งกับเบอร์มือถือ คือหายนะ
แน่นอนทั่วๆ ไปคงไม่มีใครคิดเปลี่ยนเบอร์บ่อยๆ หรือคิดจะเปลี่ยนเบอร์ (เว้นแต่คนที่เชื่อใน ‘เบอร์มงคล’ อะไรพวกนี้) แต่ลองนึกภาพว่า ถ้าวันดีคืนดีมันมีเหตุจำเป็นจริงๆ บางอย่างให้ต้องเปลี่ยนเบอร์ มันจะเป็นยังไง ไม่ว่าเหตุนั้นจะเกิดจากการที่คนเอาเบอร์เราไป ‘ประจาน’ ในเน็ตแล้วโดนโทรก่อกวนไม่หยุดหย่อน เราเลยอยากเปลี่ยนเบอร์ หรือกระทั่งเหตุว่าเราต้องย้ายประเทศ แล้วต้องเปลี่ยนเบอร์โทรศัพท์ถาวร
แต่นั่นก็ยังไม่หายนะเท่ากับที่บางครั้งเบอร์เราถูกนำมา ‘รีไซเคิล’ ใหม่ในตลาดเบอร์ และคนที่ได้เบอร์ใหม่ไป บางทีก็สามารถเข้าถึงข้อมูลของเราได้ ซึ่งนั่นคือข้อมูล ‘ส่วนตัว’ ระดับหลุดไปนี่หายนะได้ทั้งนั้น ไม่ว่าจะเป็นแชตที่เราไม่อยากให้ใครเห็นนอกจากคู่สนทนา หรือกระทั่ง ‘ภาพลับส่วนตัว’ หรือบางคนที่ชอบเก็บพาสเวิร์ดไว้ในบัญชีนี่ก็จะหายนะไปอีกขั้นเลย หรือถ้าเก็บพวก ‘พาสเฟรส’ (passphrase) 12 คำของคริปโตเอาไว้ เงินก็อาจหายได้เหมือนกัน
ซึ่งก็อย่าคิดว่าการ ‘รีไซเคิล’ เบอร์เป็นเรื่องแปลก มันเป็นเรื่องปกติมากในหลายประเทศ อย่างอเมริกาเองในปีหนึ่งมีเบอร์ถูกรีไซเคิลหลักสิบล้านเบอร์ ดังนั้นนี่ไม่ใช่ปัญหาของคนหลักร้อยหรือกระทั่งหลักพัน เพราะมันคือปัญหาของคนหลักสิบล้านคน
นี่คือตัวอย่างแบบเบาะๆ ของปัญหาของระบบที่พยายามจะทำราวกับว่ามนุษย์ทุกคนจะมีเบอร์มือถือเบอร์เดียวตลอดชีวิต ไม่มีการเปลี่ยนไปแบบลายนิ้วมือ
แล้วทีนี้ ถ้าไม่ยืนยันตัวตนด้วยมือถือ จะใช้อะไรยืนยัน?
อันนี้ต้องบอกก่อนว่า ถึงหลายๆ คนจะไม่แฮปปี้กับการยืนยันตัวตนด้วยมือถือ แต่ก็ไม่มีใครเสนอให้ยกเลิกการยืนยันตัวตนแบบสองชั้น และให้กลับไปใช้แบบชั้นเดียวแบบเมื่อก่อนที่ใช้แค่ชื่อบัญชีกับพาสเวิร์ด
การยืนยันตัวตนแบบสองชั้นยังต้องคงอยู่ แค่มันไม่ควรจะเป็นการยืนยันตัวตนผ่านเบอร์มือถือ แต่เป็นอย่างอื่น
จริงๆ ในช่วงก่อนก็มีคนเสนอให้ใช้ข้อมูลทางชีววิทยาที่คนอื่นเลียนแบบไม่ได้ในการยืนยันตัวตน ข้อมูลพวกนี้มันเรียกในทางเทคนิคว่าข้อมูลชีวมาตร (Biometric Data) เช่น ลายนิ้วมือ และลายม่านตา ข้อมูลพวกนี้เป็นข้อมูลที่ในทางหลักการสามารถยืนยันตัวตนได้แบบไม่ผิดตัวแน่นอน แต่คนก็ปรามๆ เอาไว้เพราะว่าเงื่อนไขพื้นฐานในการสร้างระบบยืนยันตัวตนแบบนี้คือการสร้างฐานข้อมูลชีวมาตรขนาดใหญ่ ซึ่งถ้าข้อมูลหลุดไปทีนี่จะอันตรายมากๆ เพราะคนมันเปลี่ยนข้อมูลพวกนี้ไม่ได้ตลอดชีวิต ซึ่งแนวโน้มที่ผ่านมา ไม่ว่าแพลตฟอร์มที่ใหญ่แค่ไหนก็ทำข้อมูลหลุดมาได้เสมอ ดังนั้นถ้ามีการยืนยันตัวตนแบบนี้ ปลายทางคือฐานข้อมูลลายนิ้วมือ ลายม่านตาของคนทั้งโลกหลุดมาแน่ๆ จึงต้องมีการยับยั้งการยืนยันตัวตนแบบนี้ไว้
นี่ก็เลยทำให้ทางออกที่เขาเสนอกันมันเหลือ 2 ทาง คือ
1. ใช้แอปพลิเคชันยืนยันตัวตน
2. ใช้ฮาร์ดแวร์ยืนยันตัวตน
อย่างแรกนี่ถ้าใครเคยใช้ Google Authenticator ก็คงจะนึกออก คือมันจะเป็นแอปที่ติดอยู่กับมือถือ ที่พาสเวิร์ดจะเปลี่ยนไปเรื่อยๆ ในเวลาไม่กี่วินาที และคนที่จะรู้พาสเวิร์ดก็คือคนที่มีมือถืออยู่ ณ ขณะนั้นเท่านั้น ซึ่งมีความปลอดภัยกว่าระบบส่ง SMS ที่แฮกผ่าน sim ได้แบบที่ว่าข้างต้น
ส่วนอย่างที่สอง คิดภาพง่ายๆ ว่าฮาร์ดแวร์มันจะทำงานเป็นเหมือนกุญแจเอาไว้ ‘ไข’ เข้าไปในพื้นที่ออนไลน์ต่างๆ ซึ่งอะไรพวกนี้มันเป็นไปได้ภายใต้เทคโนโลยีเข้ารหัสที่ซับซ้อน กล่าวคือ มันจะคล้ายว่าข้อมูลทั้งหมดจะถูกเข้ารหัสไว้ เจ้าของแพลตฟอร์มก็ถอดรหัสไม่ได้ และมีแต่คนที่มีฮาร์ดแวร์ในมือเท่านั้นที่จะถอดรหัสได้
นี่เป็นสิ่งที่คนในแวดวงความปลอดภัยไซเบอร์พูดคุยกันมานานว่าเป็น ‘แนวทางปฏิบัติที่ดีที่สุด’ ด้านความปลอดภัย ซึ่งพวกแพลตฟอร์มส่วนใหญ่ก็ไม่ได้ให้ความร่วมมือนักเพราะในทางปฏิบัติถึงมันจะปลอดภัยกว่า แต่มันก็ใช้ยากกว่า และถ้าทำให้ผู้ใช้นั้นใช้ยาก คนก็จะไม่ใช้ รายได้ก็จะหดหาย เหล่าแพลตฟอร์มจึงเลือกแนวทางที่ ‘เป็นมิตรกับผู้ใช้’ แม้ว่าในเชิงความปลอดภัยไซเบอร์มันจะ ‘อันตราย’ กว่า และเราก็เลยมาอยู่ในจุดที่เราอยู่ทุกวันนี้นั่นเอง
แหล่งข้อมูล
https://www.facebook.com/brandthink.me/photos/a.1767934240198787/3590335537958639/