Heartbleed Bug รอยรั่วของระบบที่กำลังมาแรง

หญิงไทยไอที

ระหว่างที่ผมกำลังชั่งใจอยู่ว่าจะเขียนเรื่อง iOS 7.1 กับ Windows 8.1 SP1 อยู่นั้น ก็มีข่าว Bug ของระบบรักษาความปลอดภัยในโลกไซเบอร์ออกมาซะได้ ดังนั้น เรื่องของ Windows 8.1 กับ iOS 7.1 ก็เลยต้องพับเก็บเอาไว้ก่อน เพราะเรื่องความปลอดภัยที่ไม่ปลอดภัยซึ่งเป็นข่าวดังตอนนี้ เป็นเรื่องที่ใกล้ตัวเรามากจนน่ากลัวว่าจะมีใครโดนเข้าไปแล้วนั่นเอง

ถ้าคุณผู้อ่านท่านใดคิดว่าเรื่องที่ผมจะเล่าต่อไปนี้ห่างไกลตัวแล้วล่ะก็ คิดใหม่ได้เลยครับ เพราะเรื่องแบบนี้จะเกิดกับผู้ที่ใช้ Facebook , Instagram , Gmail , Yahoo Mail , Amazon , YouTube และอีกสารพัดเว็บยอดฮิตที่เวลาเข้าไปใช้งานจะต้องมีการ Login เพื่อให้สามารถใช้งานได้เต็มที่นั่นเอง

แล้วถึงบรรดาเว็บเหล่านี้คุณผู้อ่านจะไม่มีบัญชีรายชื่ออยู่ แต่ไปมีที่เว็บอื่นก็ใช่จะปลอดภัยนะครับ เพราะเรื่องของเรื่องเกิดจากระบบรักษาความปลอดภัยที่เราต้อง Login เข้าไปใช้งานนั่นเอง

เอาล่ะครับ เรามาดูกันดีกว่าว่ามันไปไงมาไงกับ Heartbleed Bug ตัวนี้

ระบบรักษาความปลอดภัยรุ่นที่ 1 การเข้ารหัสข้อมูล

สมัยก่อนตอนอินเทอร์เน็ตยังไม่รุ่งเรืองเท่าไหร่ ข้อมูลส่งกันไป ส่งกันมาก็งั้นๆครับ จนกระทั่งเริ่มมีพวกโจรกรรมข้อมูล ก็เลยต้องทำการเข้ารหัสแบบที่เรียกว่า Encryption (เอ็นคริปชั่น) โดยการทำ Encryption นั้นจะเริ่มทำที่ต้นทางคือผู้ส่งข้อมูล แล้วก็ส่งข้อมูลไปทางอินเทอร์เน็ตจนถึงผู้รับที่ปลายทาง

พอผู้รับได้รับข้อมูลที่ถูกเข้ารหัสเอาไว้ ก็จะทำการถอดรหัสที่เรียกว่า Decryption (ดีคริปชั่น) แล้วก็จะได้ข้อมูลออกมา

เพื่อความเข้าใจขออธิบายด้วยรูปหน่อยนะครับ

คือข้อมูลที่ถูกเข้ารหัสแล้ว ถ้ามีใครแอบดักเอาข้อมูลไปได้ ก็ไม่สามารถอ่านได้ครับ เพราะการเข้ารหัสจะทำให้ข้อมูลอ่านไม่รู้เรื่องแบบในรูปตัวอย่างเลยล่ะครับ

แต่เพียงไม่นานแฮกเกอร์เก่งๆ ก็สามารถถอดรหัสได้ ดังนั้น วิธีก็เลยหมดความปลอดภัยไปในทันที ก็เลยต้องเปลี่ยนมาใช้ระบบถัดไปแทน

ระบบรักษาความปลอดภัยรุ่นที่ 2 SSL/TLS

หลังจากที่การเข้ารหัสธรรมดาๆใช้ไม่ได้ ก็มีคนคิดวิธีการเข้ารหัสแบบใหม่ คือนอกจากการทำ Encryption แล้วก็เพิ่มใบรับรอง (Certificate) เพื่อยืนยันตัวตนของผู้ใช้เข้ามาด้วย

วิธีการทำงานของ SSL/TLS หรือระบบรุ่นที่ 2 นี่ก็คือ เว็บที่เราใช้บริการจะมีโปรแกรมตัวหนึ่งที่ชื่อ OpenSSL ทำหน้าที่ตรวจสอบว่าเราทำการเชื่อมต่ออินเทอร์เน็ตอยู่หรือเปล่า ถ้าไม่ได้เชื่อมต่ออยู่ เช่น เราปิดเครื่อง ตัว OpenSSL ก็จะรอครับ พอเราเปิดเครื่องต่อเน็ตแล้วเข้าเว็บนั้นเมื่อไหร่ OpenSSL ก็จะเริ่มทำงานทันที

แรกๆทุกคนต่างคิดว่าระบบนี้ใช้งานได้ปลอดภัยสูงสุด จนกระทั่งมีใครบางคนพบช่องโหว่ในตัวโปรแกรม OpenSSL เพราะเจ้าโปรแกรมนี้ดันสามารถเก็บข้อมูลที่ใช้สำหรับการเข้ารหัสเอาไว้ได้ด้วย

ปัญหาก็เลยเกิดขึ้นเมื่อคนที่รู้วิธีดักจับตัวโปรแกรม OpenSSL พร้อมกับดักข้อมูลที่ส่งออกมาจากผู้ส่ง จากนั้นก็แยกเอารหัสที่ผู้ส่งใช้เข้ารหัสข้อมูลออกมา เพื่อจะเอามาใช้ถอดรหัสข้อมูล (คือเอาตัวเข้ารหัส มาใช้ถอดรหัสนั่นเอง)

นี่แหละครับคือสิ่งที่เขาเรียก Heartbleed Bug

โชคร้ายของผู้ใช้อินเทอร์เน็ตที่ SSL/TLS เป็นที่นิยม ทำให้ Facebook , Instagram , Gmail , Yahoo Mail , Amazon , YouTube และอีกสารพัดเว็บพากันใช้ระบบนี้กันหมด นั่นก็หมายความว่า Heartbleed Bug เกิดขึ้นกับเว็บเหล่านี้อย่างแน่นอน

โอว! พระเจ้า แล้วจะทำอย่างไรดี

พอ Heartbleed Bug เริ่มมีชื่อเสียง บรรดาเว็บต่างๆที่ใช้ระบบ SSL/TLS ก็พากับอุดช่องโหว่ของ OpenSSL ของตัวเองกันเป็นแถวจนเกิดเป็น New OpenSSL ที่เราสามารถมั่นใจได้ในความปลอดภัย แต่เราต้องเข้าไปเปลี่ยนรหัสผ่านให้กับเว็บที่เราใช้งานพวกนี้ก่อน โดย Facebook , Instagram , Gmail , Yahoo Mail , Amazon , YouTube นั้น เราสามารถเปลี่ยนได้เลยครับ เพราะเขาแก้ไข Heartbleed Bug เรียบร้อยแล้ว ส่วนเว็บอื่นๆก็ต้องรบกวนเข้าไปตรวจสอบได้ที่ https://filippo.io/Heartbleed/ เพียงพิมพ์ URL ของเว็บเข้าไปแล้วคลิก Go ถ้าได้คำตอบเป็นข้อความแบบในรูปตัวอย่าง ก็เข้าไปเปลี่ยนรหัสผ่านได้เลยครับ (แต่ถ้าไม่เป็นแบบนี้ก็รอก่อนนะครับ อย่าเพิ่งเปลี่ยน)

หลังจากอ่านบทความคราวนี้จบแล้ว คุณผู้อ่านก็รีบเข้าไปเปลี่ยนรหัสผ่านกันนะครับ มิฉะนั้นข้อมูลสำคัญของเราอาจโดนขโมยไป หรือไม่เราก็เข้าใช้งานเว็บพวกนี้ไม่ได้อีกเลยก็เป็นได้