ความมั่นคงปลอดภัยสารสนเทศ

3 องค์ประกอบของความมั่นคงปลอดภัยสารสนเทศคือ ความลับ (Confidentiality) ความครบถ้วนสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability) เรียกรวมกันว่า CIA ส่วนความเป็นของแท้ ความรับผิดชอบที่ตรวจสอบย้อนกลับได้ ความน่าเชื่อถือ และการป้องกันการปฏิเสธความรับผิดชอบ เป็นองค์ประกอบเพิ่มเติมที่พิจารณาร่วมด้วย แต่ไม่ได้รวมอยู่ใน 3 องค์ประกอบหลัก

ความครบถ้วนสมบูรณ์คือคุณสมบัติที่ข้อมูลไม่ถูกปลอมแปลง ลบ หรือทำลาย และคงอยู่ในสภาพที่ถูกต้องและสมบูรณ์ การที่มีเพียงผู้ได้รับอนุญาตเข้าถึงได้คือความลับ การใช้งานได้เมื่อจำเป็นคือความพร้อมใช้งาน และการเป็นของแท้จริงคือความเป็นของแท้ ซึ่งล้วนแตกต่างจากความครบถ้วนสมบูรณ์

ความพร้อมใช้งานคือคุณสมบัติที่สามารถใช้ระบบได้เมื่อจำเป็น ซึ่งเพิ่มได้ด้วยการออกแบบทนความเสียหาย เช่น การทำให้ซ้ำซ้อน (redundancy) และการสำรองข้อมูล การเข้ารหัสเป็นมาตรการด้านความลับ การตรวจจับการปลอมแปลงด้วยค่าแฮชเป็นมาตรการด้านความครบถ้วนสมบูรณ์ และลายเซ็นดิจิทัลเป็นมาตรการด้านความเป็นของแท้และการป้องกันการปฏิเสธความรับผิดชอบ ซึ่งไม่ได้เพิ่มความพร้อมใช้งานโดยตรง

การป้องกันการปฏิเสธความรับผิดชอบคือคุณสมบัติที่ทำให้ผู้กระทำการ เช่น การส่งหรือการอนุมัติ ไม่สามารถปฏิเสธในภายหลังว่า “ไม่ได้ทำ” ได้ ซึ่งทำได้ด้วยลายเซ็นดิจิทัลเป็นต้น การทำงานสม่ำเสมอคือความน่าเชื่อถือ การตรวจสอบย้อนกลับการเข้าถึงคือความรับผิดชอบที่ตรวจสอบย้อนกลับได้ และการที่มีเพียงผู้ได้รับอนุญาตใช้งานได้คือความลับ

การทำประกันภัยเป็นการโอนภาระความสูญเสียเมื่อความเสี่ยงเกิดขึ้นจริงไปยังบริษัทประกันภัยซึ่งเป็นบุคคลที่สาม จึงตรงกับ “การโอนความเสี่ยง” การหลีกเลี่ยงคือการยกเลิกกิจกรรมที่เป็นต้นเหตุของความเสี่ยงเอง การลดความเสี่ยงคือการทำให้โอกาสเกิดหรือผลกระทบลดลงด้วยมาตรการ และการยอมรับ (การรับไว้) คือการยอมรับความเสี่ยงโดยไม่มีมาตรการ

แรนซัมแวร์เป็นมัลแวร์ที่ทำให้ระบบใช้งานไม่ได้ด้วยการเข้ารหัสข้อมูลเป็นต้น แล้วเรียกค่าไถ่ (ransom) แลกกับการกู้คืน ในสถานพยาบาลก็มีรายงานความเสียหายที่ทำให้เวชระเบียนอิเล็กทรอนิกส์หยุดทำงาน การขโมยการกดแป้นพิมพ์คือคีย์ล็อกเกอร์ (keylogger) การฝังประตูหลังคือแบ็กดอร์ (backdoor) และการใช้ประโยชน์จากฟังก์ชันมาโครคือไวรัสมาโคร (macro virus)

การโจมตีแบบเจาะจงเป้าหมายคือการโจมตีที่เจาะจงองค์กรหรือบุคคลใดบุคคลหนึ่ง แล้วใช้อีเมลที่แฝงตัวเป็นคู่ค้าหรือการติดต่อทางธุรกิจอย่างแนบเนียน หลอกให้เปิดไฟล์แนบเพื่อติดมัลแวร์และแทรกซึมเข้าไป การส่งจำนวนมากไปยังผู้รับที่ไม่เจาะจงคืออีเมลขยะ การโจมตีพร้อมกันจากฐานโจมตีจำนวนมากคือการโจมตี DDoS และการติดเชื้อโดยไม่เลือกหน้าต่างจากลักษณะ “เจาะจงเป้าหมาย” ของการโจมตีประเภทนี้

ฟิชชิงคือกลวิธีที่ใช้อีเมลแอบอ้างเป็นสถาบันการเงินหรือบริการจริง เพื่อล่อลวงไปยังเว็บไซต์ปลอมและให้กรอกรหัสผู้ใช้งาน รหัสผ่าน หรือหมายเลขบัตร แล้วขโมยข้อมูลเหล่านั้น การทำให้รับภาระเกินด้วยการส่งข้อมูลปริมาณมากคือการโจมตี DoS การดักฟังแพ็กเก็ตคือการดักฟัง (sniffing) และการแย่งชิงสิทธิ์จากช่องโหว่คือการบุกรุกโดยไม่ได้รับอนุญาต (unauthorized access)

การโจมตี DDoS (การโจมตีปฏิเสธการให้บริการแบบกระจาย) มีจุดต่างจาก DoS ตรงที่ใช้อุปกรณ์จำนวนมากที่ติดบ็อตเป็นฐานโจมตี แล้วส่งข้อมูลปริมาณมากพร้อมกันจากแหล่งที่กระจายตัว ทำให้ปิดกั้นได้ยากเนื่องจากมีต้นทางจำนวนมาก การเข้ารหัสแล้วเรียกค่าไถ่คือแรนซัมแวร์ การล่อลวงไปยังเว็บไซต์ปลอมคือฟิชชิง และการบุกรุกจากเครื่องเดียวไม่ใช่ลักษณะเฉพาะของ DDoS

กฎ 3-2-1 คือแนวคิดที่ให้มีสำเนาข้อมูล 3 ชุด (ต้นฉบับบวกสำเนาอีก 2 ชุด) เก็บในสื่อบันทึกที่ต่างชนิดกัน 2 ชนิด และเก็บไว้นอกสถานที่ (offsite) เช่น สถานที่ห่างไกล 1 ชุด การเก็บสำเนาที่ตัดขาดจากเครือข่ายไว้จะช่วยรับมือกรณีที่แรนซัมแวร์เข้ารหัสข้อมูลสำรองไปด้วย ตัวเลือกอื่นกล่าวถึงรอบระยะเวลาในการสำรองข้อมูลหรือโครงสร้างระบบไฟฟ้า ซึ่งไม่ใช่เนื้อหาของกฎนี้

ระบบเข้ารหัสแบบกุญแจสมมาตรใช้กุญแจเดียวกันทั้งเข้ารหัสและถอดรหัส จึงต้องแบ่งปันกุญแจกับคู่สื่อสารอย่างปลอดภัย (ปัญหาการส่งมอบกุญแจ) การใช้คู่กุญแจสาธารณะและกุญแจส่วนตัวเป็นของระบบเข้ารหัสแบบกุญแจสาธารณะ ใบรับรองกุญแจสาธารณะเป็นกลไกของ PKI ส่วนความเร็วในการประมวลผล กุญแจสมมาตรเร็วกว่า ข้อความที่ว่าช้ากว่าจึงกลับด้าน

RSA เป็นอัลกอริทึมตัวแทนของระบบเข้ารหัสแบบกุญแจสาธารณะ ที่ใช้ประโยชน์จากความยากในการแยกตัวประกอบเฉพาะของจำนวนขนาดใหญ่ ใช้ได้ทั้งการเข้ารหัสและลายเซ็นดิจิทัล ส่วน AES, DES และ 3DES ล้วนเป็นอัลกอริทึมของระบบเข้ารหัสแบบกุญแจสมมาตรที่ใช้กุญแจเดียวกันทั้งเข้ารหัสและถอดรหัส

เมื่อจุดประสงค์คือรักษาความลับ ต้องเข้ารหัสด้วย “กุญแจสาธารณะของผู้รับ (นาง B)” เพื่อให้มีเพียงผู้รับเท่านั้นที่ถอดรหัสได้ ผู้ที่ถอดรหัสได้คือนาง B ซึ่งถือกุญแจส่วนตัวคู่กันเพียงผู้เดียว การใช้กุญแจส่วนตัวของนาย A เป็นกรณีของลายเซ็นดิจิทัล ส่วนกุญแจส่วนตัวของนาง B เป็นกุญแจที่ผู้อื่นนอกจากนาง B ห้ามถือ จึงใช้เข้ารหัสไม่ได้

ข้อความถูกเข้ารหัสด้วยกุญแจสาธารณะของผู้รับ (นาง B) ดังนั้นการถอดรหัสจึงต้องใช้ “กุญแจส่วนตัวของนาง B” ที่เป็นคู่กัน เนื่องจากมีเพียงนาง B เท่านั้นที่ถือกุญแจส่วนตัวนี้ ผู้อื่นจึงถอดรหัสไม่ได้ กุญแจสาธารณะของผู้ส่งใช้สำหรับตรวจสอบลายเซ็นดิจิทัล และไม่สามารถใช้กุญแจสาธารณะของนาง B ถอดรหัสสิ่งที่เข้ารหัสด้วยกุญแจสาธารณะของนาง B เองได้

ลายเซ็นดิจิทัลสร้างขึ้นโดยประมวลผลค่าแฮชของเอกสารด้วย “กุญแจส่วนตัวของผู้ส่ง” และผู้รับจะตรวจสอบด้วย “กุญแจสาธารณะของผู้ส่ง” เนื่องจากกุญแจส่วนตัวมีเพียงเจ้าตัวเท่านั้นที่ถือ หากตรวจสอบผ่านก็ยืนยันได้ว่าเจ้าตัวเป็นผู้จัดทำจริง กุญแจสาธารณะของผู้รับเป็นกุญแจที่ใช้เข้ารหัสเพื่อรักษาความลับ ซึ่งมีทิศทางตรงข้ามกับการลงลายเซ็น ควรระวังจุดนี้ให้ดี

ลายเซ็นดิจิทัลทำให้เกิดการตรวจจับการปลอมแปลง (ความครบถ้วนสมบูรณ์) ด้วยการเปรียบเทียบค่าแฮช และการยืนยันตัวผู้จัดทำ (ความเป็นของแท้และการป้องกันการปฏิเสธความรับผิดชอบ) เนื่องจากสร้างได้ด้วยกุญแจส่วนตัวของผู้ส่งเท่านั้น เนื่องจากไม่ได้เข้ารหัสตัวเอกสารเอง จึงไม่รับประกันการป้องกันการดักฟัง (ความลับ) และไม่เกี่ยวข้องกับความพร้อมใช้งานหรือความเร็วในการสื่อสาร

ฟังก์ชันแฮชเป็นฟังก์ชันทิศทางเดียวที่สร้างค่าย่อยข้อความ (ค่าแฮช) ที่มีความยาวคงที่จากข้อมูลความยาวใดก็ได้ และไม่สามารถกู้คืนข้อมูลต้นฉบับจากค่าแฮชได้ในทางปฏิบัติ หากข้อมูลนำเข้าเหมือนกันจะได้ค่าแฮชเดิมเสมอ (จึงนำไปใช้ตรวจจับการปลอมแปลงได้) และความยาวของค่าแฮชถูกกำหนดตายตัวตามอัลกอริทึม ไม่ได้แปรผันตามความยาวของข้อมูลต้นฉบับ

ระบบไฮบริดผสานจุดเด่นของทั้งสองระบบเข้าด้วยกัน โดยเข้ารหัสตัวข้อมูลปริมาณมากด้วยระบบกุญแจสมมาตรที่รวดเร็ว และใช้ระบบกุญแจสาธารณะเฉพาะการส่งมอบกุญแจสมมาตรที่มีปัญหาเรื่องการแบ่งปันกุญแจเท่านั้น หากสลับกันจะกลายเป็นการประมวลผลตัวข้อมูลด้วยระบบกุญแจสาธารณะที่ช้ากว่า ซึ่งไม่สมเหตุสมผล การเข้ารหัสซ้อนสองชั้นด้วยกุญแจสมมาตรหรือการใช้คู่กุญแจซ้ำก็ไม่ใช่คำอธิบายของระบบไฮบริด

ศูนย์รับรอง (CA) จะตรวจสอบยืนยันตัวตนของผู้ยื่นคำขอ แล้วออกใบรับรองกุญแจสาธารณะ (ใบรับรองอิเล็กทรอนิกส์) ที่รับรองความสัมพันธ์ระหว่างกุญแจสาธารณะกับเจ้าของ รวมถึงบริหารจัดการการเพิกถอน ซึ่งช่วยป้องกันการปลอมตัวด้วยกุญแจสาธารณะ การเข้ารหัสข้อมูลเป็นการประมวลผลฝั่งผู้ใช้งาน การบริหารจัดการรหัสผ่านแบบรวมศูนย์เป็นบทบาทของเซิร์ฟเวอร์ยืนยันตัวตน และการตรวจจับ/ปิดกั้นการบุกรุกเป็นบทบาทของ IDS/IPS

HPKI คือโครงสร้างพื้นฐานกุญแจสาธารณะของสาขาสาธารณสุข การแพทย์ และสวัสดิการ ที่สามารถพิสูจน์คุณวุฒิวิชาชีพระดับชาติ เช่น แพทย์และเภสัชกร รวมถึงคุณสมบัติของผู้บริหารสถานพยาบาล ด้วยใบรับรองอิเล็กทรอนิกส์ ใช้ในการลงลายเซ็นอิเล็กทรอนิกส์เป็นต้น โครงสร้างพื้นฐานการรับรองของรัฐบาลคือ GPKI ใบรับรองเซิร์ฟเวอร์ SSL เป็นกลไกอื่นที่ใช้พิสูจน์เว็บเซิร์ฟเวอร์ และรูปแบบการเข้ารหัส LAN ไร้สายคือ WPA2 เป็นต้น ซึ่งล้วนไม่ใช่คำอธิบายของ HPKI

HTTPS เป็นโพรโทคอลที่เข้ารหัสการสื่อสารเว็บด้วย HTTP ผ่าน SSL/TLS เพื่อปกป้องข้อมูล โดยยืนยันตัวคู่สื่อสารด้วยใบรับรองเซิร์ฟเวอร์และเข้ารหัสเนื้อหาการสื่อสาร ส่วน SMTP ใช้ส่งอีเมล DHCP ใช้กำหนดที่อยู่ IP โดยอัตโนมัติ และ FTP ใช้ส่งไฟล์ ซึ่งไม่มีตัวใดมีจุดประสงค์เพื่อปกป้องการสื่อสารเว็บ

การยืนยันตัวตนหลายปัจจัยคือการผสมผสานปัจจัยที่แตกต่างกันตั้งแต่ 2 อย่างขึ้นไป ได้แก่ ความรู้ (รหัสผ่าน) การครอบครอง (บัตร IC เป็นต้น) และชีวมิติ (ลายนิ้วมือเป็นต้น) การใช้บัตร IC (การครอบครอง) ร่วมกับรหัสผ่าน (ความรู้) จึงตรงตามนี้ การใช้รหัสผ่าน 2 ชนิดหรือคำถามลับ 2 ข้อล้วนเป็นการซ้ำปัจจัยความรู้อย่างเดียว จึงไม่ถือเป็นการยืนยันตัวตนหลายปัจจัย

การยืนยันตัวตนด้วยชีวมิติใช้ลักษณะทางกายภาพ เช่น ลายนิ้วมือ เส้นเลือดดำ หรือม่านตา จึงไม่มีความเสี่ยงที่จะลืมหรือทำหาย แต่ไม่สามารถขจัดความผิดพลาดในการปฏิเสธตัวจริง (false rejection) และการยอมรับผู้อื่นผิดตัว (false acceptance) ให้เป็นศูนย์ได้อย่างสมบูรณ์ ลักษณะทางกายภาพไม่สามารถขอออกใหม่ได้เหมือนรหัสผ่าน และไม่สามารถให้ผู้อื่นยืมใช้แทนได้ ดังนั้นตัวเลือกอื่นจึงผิดในฐานะลักษณะเด่นของการยืนยันตัวตนด้วยชีวมิติ

การยืนยันตัวตนด้วยรหัสผ่านใช้ครั้งเดียวจะใช้รหัสผ่านที่ใช้ได้เพียงครั้งเดียวแล้วหมดอายุ แม้ถูกดักฟังการสื่อสารก็ไม่สามารถเข้าสู่ระบบซ้ำด้วยค่าเดิมได้ การยืนยันตัวตนแบบท้าทาย-ตอบสนอง (challenge/response) ก็ให้ผลในทำนองเดียวกัน การส่งรหัสผ่านคงที่แบบไม่เข้ารหัสหรือการยืนยันด้วยหมายเลขผู้ใช้งานเพียงอย่างเดียวมีความเสี่ยงต่อการดักฟังและการเดา และการเก็บรหัสผ่านแบบข้อความธรรมดาในบัตรก็จะถูกนำไปใช้ในทางที่ผิดได้ทันทีหากรั่วไหล

การเข้าสู่ระบบครั้งเดียวคือกลไกที่สามารถใช้งานระบบหลายระบบที่เชื่อมโยงกันได้โดยไม่ต้องยืนยันตัวตนซ้ำ หลังจากยืนยันตัวตนเพียงครั้งเดียว ทำให้สะดวกขึ้นและลดภาระการบริหารจัดการรหัสผ่าน แต่หากข้อมูลยืนยันตัวตนถูกเจาะ ผลกระทบจะขยายวงกว้าง จึงต้องให้ความสำคัญกับการปกป้องโครงสร้างพื้นฐานการยืนยันตัวตน การจำกัดจำนวนผู้เข้าสู่ระบบพร้อมกัน การบังคับเปลี่ยนรหัสผ่านเป็นระยะ และการใช้อุปกรณ์ร่วมกันล้วนไม่ใช่คำอธิบายของ SSO

หลักการพื้นฐานของการควบคุมการเข้าถึงคือแนวคิดสิทธิ์ขั้นต่ำที่จำเป็น (least privilege) ซึ่งให้สิทธิ์เฉพาะเท่าที่จำเป็นต่อหน้าที่ ร่วมกับการเก็บบันทึกการเข้าถึงเป็นล็อกตรวจสอบ ล็อกมีความจำเป็นทั้งเพื่อยับยั้งการกระทำผิดและติดตามภายหลัง การให้สิทธิ์ผู้ดูแลระบบแก่ทุกคนหรือปล่อยบัญชีผู้ลาออกทิ้งไว้เป็นบ่อเกิดของการเข้าถึงโดยไม่ได้รับอนุญาต และการไม่เก็บล็อกตรวจสอบจะทำลายความสามารถในการตรวจสอบย้อนกลับความรับผิดชอบ

เซิร์ฟเวอร์ที่เปิดให้บริการภายนอกควรติดตั้งไว้ใน DMZ ซึ่งเป็นเขตกันชนที่ถูกแยกออกจากทั้งภายนอกและภายในด้วยไฟร์วอลล์ เพื่อไม่ให้เครือข่ายภายในถูกเข้าถึงโดยตรง แม้เซิร์ฟเวอร์ที่เปิดให้บริการจะถูกโจมตีจนถูกบุกรุก การติดตั้งในเครือข่ายภายในหรือเซกเมนต์ของอุปกรณ์ปลายทางจะขยายความเสียหายเข้าสู่ภายในเมื่อถูกบุกรุก และการเชื่อมต่อตรงโดยไม่มีไฟร์วอลล์จะทำให้ไม่มีการป้องกันใดๆ

IDS จะตรวจจับสัญญาณของการบุกรุกที่ไม่ได้รับอนุญาตและแจ้งเตือนผู้ดูแลระบบเท่านั้น ส่วน IPS จะทำการป้องกัน เช่น การปิดกั้นการสื่อสารนั้นโดยอัตโนมัติเพิ่มเติมจากการตรวจจับ ตัวเลือกที่ระบุว่าบทบาทสลับกันจึงผิด และไม่ใช่การแบ่งตามการใช้สายหรือไร้สาย การกำจัดไวรัสเป็นหน้าที่ของซอฟต์แวร์ป้องกันไวรัส และการเข้ารหัสเป็นหน้าที่ของเทคโนโลยีการเข้ารหัส ซึ่งไม่ใช่ฟังก์ชันของ IDS/IPS

VPN เป็นเทคโนโลยีที่สร้างสายเช่าเสมือนขึ้นบนเครือข่ายสาธารณะด้วยการเข้ารหัสและการยืนยันตัวตน มีทั้ง IPsec-VPN และ SSL-VPN ใช้ในการเชื่อมต่อระหว่างสถานที่และการเข้าถึงระยะไกล เพื่อปกป้องเส้นทางการสื่อสาร DNS เป็นการจับคู่ชื่อโดเมนกับที่อยู่ IP, NTP เป็นการซิงโครไนซ์เวลา และ DHCP เป็นโพรโทคอลกำหนดที่อยู่ IP โดยอัตโนมัติ ซึ่งไม่ใช่เทคโนโลยีปกป้องเส้นทางการสื่อสาร

มาตรการที่ตรงจุดที่สุดในการรับมือกับการโจมตีที่ใช้ประโยชน์จากช่องโหว่ความมั่นคงปลอดภัยคือการติดตั้งโปรแกรมแก้ไข (แพตช์ความมั่นคงปลอดภัย) ที่ผู้ให้บริการเผยแพร่โดยเร็ว เพื่อขจัดช่องโหว่นั้นออกไป การโจมตีส่วนใหญ่ใช้ประโยชน์จากช่องโหว่ที่ทราบแล้วแต่ยังไม่ได้ติดตั้งแพตช์ การสำรองข้อมูลเป็นการรับมือหลังเกิดความเสียหาย การเสริมความแข็งแรงของรหัสผ่านเกี่ยวข้องกับการยืนยันตัวตน และแผ่นกรองป้องกันการแอบมองเป็นมาตรการทางกายภาพ ซึ่งล้วนไม่ใช่การขจัดช่องโหว่