- Karl Voit มองว่า Microsoft Azure Cloud ถูกแฮ็กไปโดยพฤตินัยแล้ว และเริ่มมีการเปิดเผยเหตุการณ์ต่อเนื่องเพราะมาตรการแยกกักไม่เพียงพอ
- ยกกรณีที่เปิดเผยต่อสาธารณะจากรายงานของ Reuters ว่า บัญชีของกระทรวงการต่างประเทศสหรัฐฯ 10 บัญชี ถูกขโมยอีเมลไป 60,000 ฉบับ
- ความกังวลหลักคือ Microsoft ไม่สามารถกำจัดผู้บุกรุกได้หรือไม่ได้กำจัด ทำให้ยากจะเชื่อถือระบบทั้งหมดที่อิงการรับรองความถูกต้องของ Microsoft
- ขอบเขตของการปนเปื้อนครอบคลุมถึง การรับรองความถูกต้องของ Windows และหากมีความสัมพันธ์ด้านความเชื่อถือภายในระหว่างใบรับรอง Azure ที่ถูกแฮ็กกับ GitHub ก็ถือว่า GitHub ได้รับผลกระทบด้วย
- เรื่องนี้ลามไปถึงสภาพแวดล้อมการใช้งาน NixOS ที่พึ่งพา GitHub อย่างมาก และขยายไปสู่ปัญหาว่าในคลาวด์ผู้ใช้ควบคุมข้อมูลของตนเองได้ยาก
ความกังวลเรื่อง Azure ถูกแฮ็กและการแยกกักล้มเหลว
- Karl Voit ระบุว่า Azure Cloud ทั้งหมดของ Microsoft ถูกแฮ็กไปโดยพฤตินัยแล้ว
- เขาระบุว่ารวบรวมรายการแหล่งอ้างอิงที่เกี่ยวข้องไว้ในบทความของตน You Can't Control Your Data in the Cloud
- แก่นของปัญหาไม่ใช่ตัวการแฮ็กเอง แต่เป็นการประเมินว่าหลังจากนั้น มาตรการแยกกักไม่เพียงพอ จนเริ่มมีการเปิดเผยเหตุการณ์ต่อเนื่อง
กรณีอีเมลของกระทรวงการต่างประเทศสหรัฐฯ ถูกขโมย
- เขายกข่าว Reuters ว่าเป็นกรณีตัวอย่างของเหตุการณ์ต่อเนื่อง โดยระบุว่า อีเมล 60,000 ฉบับ ถูกขโมยจากบัญชีของกระทรวงการต่างประเทศสหรัฐฯ 10 บัญชี
- ข่าว Reuters ที่ลิงก์ไว้ระบุว่าแฮ็กเกอร์จีนขโมยอีเมลของกระทรวงการต่างประเทศสหรัฐฯ 60,000 ฉบับผ่านการแฮ็ก Microsoft
- กรณีนี้จึงถูกเชื่อมโยงว่าเป็นหลักฐานว่าความเสียหายจริงยังคงเกิดต่อเนื่องหลังการแฮ็ก Microsoft
ความไม่ไว้วางใจต่อระบบยืนยันตัวตนของ Microsoft
- Voit มองว่า Microsoft ไม่สามารถกำจัดผู้บุกรุกได้ หรือไม่ได้กำจัดพวกเขาออกไป
- ผลคือทุกสิ่งที่ Microsoft รับรองนั้นอยู่ในสภาพ tainted หรือปนเปื้อน
- เขาระบุชัดว่าขอบเขตของการปนเปื้อนนี้รวมถึง การรับรองความถูกต้องของ Windows ด้วย
ความกังวลที่ลามไปถึง GitHub และ NixOS
- ในโพสต์ต่อมา เขากล่าวว่าหากมีความสัมพันธ์ด้านความเชื่อถือภายในของ Microsoft ระหว่าง ใบรับรอง Azure ที่ถูกแฮ็กกับ GitHub ก็ต้องถือว่า GitHub ถูกแฮ็กหรือปนเปื้อนไปแล้วเช่นกัน
- เขาระบุว่าหลังจากย้ายบางโฮสต์ไปเป็น NixOS แล้ว ก็ยังคงรู้สึกกังวลเพราะปัญหาของ Microsoft และ GitHub
- เขามองว่าการ พึ่งพา GitHub อย่างลึกซึ้ง ซึ่งกล่าวถึงไว้ในบทความประสบการณ์ NixOS ของตน I Started With Nix, NixOS, Home Manager and Flakes ได้เผยให้เห็นว่าเป็นข้อเสียใหญ่ของ OS นี้
ปัญหาการควบคุมข้อมูลบนคลาวด์
- บทความที่ลิงก์ไว้ You Can't Control Your Data in the Cloud ขยายประเด็นปัญหา Azure และการรับรองของ Microsoft ไปสู่ปัญหาการควบคุมข้อมูลบนคลาวด์
- คำเตือนในโพสต์ Mastodon มุ่งไปที่การที่ยากจะเชื่อถือระบบโดยรวมที่พึ่งพาการรับรองของ Microsoft และความสัมพันธ์ด้านความเชื่อถือภายใน
1 ความคิดเห็น
ความคิดเห็นบน Hacker News
เมื่อดูส่วนการบรรเทาและการเสริมความแข็งแกร่งในบล็อกเหตุการณ์ของ Microsoft ระบุว่าในวันที่ 26 มิถุนายน OWA ถูกปรับไม่ให้รับการต่ออายุโทเค็นที่ออกจาก
GetAccessTokensForResourceวันที่ 27 มิถุนายน OWA ได้บล็อกการใช้โทเค็นที่ลงนามด้วยคีย์ MSA ที่ถูกขโมย และวันที่ 29 มิถุนายนได้เปลี่ยนคีย์และเพิกถอนคีย์ลงนาม MSA ที่ยังมีผลอยู่ในขณะนั้นเสร็จสิ้นวันที่ 3 กรกฎาคม ระบุว่าได้บล็อกการใช้คีย์ดังกล่าวสำหรับลูกค้าผู้บริโภคทั้งหมดที่ได้รับผลกระทบ เพื่อป้องกันการใช้โทเค็นที่ออกไปแล้วในทางที่ผิด
ผมไม่ใช่ผู้เชี่ยวชาญด้านความปลอดภัย แต่สงสัยว่า ช่องโหว่ ของกลยุทธ์นี้คืออะไร
หากมีบันทึก audit log ถาวรที่แก้ไขไม่ได้ ก็จะสามารถติดตามการดำเนินการทั้งหมดที่ทำผ่านการยืนยันตัวตนซึ่งลงนามโดยตรงหรือโดยอ้อมด้วยคีย์ที่รั่วไหลได้ แต่การสร้าง audit log ที่แม้แต่ผู้มีสิทธิ์สูงสุดก็แก้ไขไม่ได้ ไม่ใช่เรื่องง่ายหรือถูก
ในกรณีเลวร้ายที่สุด audit log อาจมีเพียงตัวตนที่ผ่านการยืนยันแล้ว แต่ไม่มีวิธีการยืนยันตัวตน ทำให้ระบุการเข้าถึงที่อาจถูกเจาะได้ไม่ง่าย
สุดท้ายแล้ว ช่องโหว่ของกลยุทธ์นี้คือไม่ได้คำนึงถึง แบ็กดอร์เพื่อคงสิทธิ์เข้าถึง ที่อาจถูกเพิ่มไว้ในช่วงที่คีย์รั่วไหลสามารถใช้เข้าถึงได้ แม้มันจะหยุดการใช้ในทางที่ผิดต่อจากนี้ได้ แต่จากวิธีที่คีย์ถูกขโมย หากผู้โจมตีมีความซับซ้อนสูง ก็แทบเป็นไปไม่ได้ที่จะรู้ว่าพวกเขาสร้างเส้นทางเข้าถึงชั้นที่สองไว้มากแค่ไหน
ปัญหานี้ดูจะจำกัดอยู่ที่ Azure และ Microsoft ส่วน AWS กับ GCP น่าจะไม่เป็นไร
Microsoft มี ช่องโหว่และแนวปฏิบัติด้านความปลอดภัย ที่แย่ที่สุดระดับหนึ่งเท่าที่เคยเห็นมา ผมไม่เข้าใจเลยว่าผู้บริหารบริษัทใหญ่ใน Fortune 500 ย้ายเวิร์กโหลดไป Azure กันได้อย่างไร
ในบางด้าน จุดขายเดียวของ Azure คือ Amazon เป็นคู่แข่งเท่านั้น อยากให้ Amazon ปล่อย AWS ให้เป็นอิสระไปเลย
หวังว่า Microsoft จะยกระดับความปลอดภัยได้ แต่ถึงจุดนี้แล้วแทบไม่เห็นความหวัง
เมื่อบริษัทต่าง ๆ เข้ามาอยู่ใน แดชบอร์ด Azure แล้ว โครงสร้างก็ทำให้พวกเขาลองใช้บริการที่ดูดีซึ่งมีให้ในนั้นด้วย
ทั้งหมดดูเหมือนเป็นภาพลวงตาและการเล่นกล แต่ก็ได้ผล
ดังนั้นหากองค์กรยังไม่ได้ลงทะเบียน AWS เป็นผู้ให้บริการไว้ โดยปกติการผลักดันผ่าน ผู้ให้บริการเดิม จะง่ายกว่า
ผมเองก็เคยดูแลเว็บเซิร์ฟเวอร์ Windows 2000 Pro แล้วเปลี่ยนไปใช้ Linux เพราะขาดความปลอดภัย
Microsoft อาจเป็นที่นิยมได้ แต่ด้านความปลอดภัยมีช่องโหว่ขนาดใหญ่ และเป็นเช่นนั้นมาโดยตลอด
บริการต่าง ๆ ถูกเจาะอยู่บ่อย ๆ ไม่ว่าจะเป็นคลาวด์หรือที่ลูกค้าจัดการเอง Microsoft มีทีมความปลอดภัยที่เติบโตเป็นระบบ เป็นมืออาชีพ และมีประสิทธิภาพ
การถูกเจาะเกิดจากข้อบกพร่องในการนำไปใช้ และจากการคาดเดาส่วนตัว อาจมี คนวงในที่ทุจริต อย่างน้อยหนึ่งคน
องค์กรส่วนใหญ่คงไม่รู้ด้วยซ้ำว่าเกิดอะไรขึ้น และอาจไม่สามารถระบุสิ่งที่ถูกเปิดเผยต่อสาธารณะได้
มองย้อนกลับไป อะไรก็ดูง่ายทั้งนั้น
เป็นคำพูดที่เกินจริงไปมาก แน่นอนว่านี่เป็นการบุกรุกที่เลวร้าย และอาจยังไม่เข้าใจขอบเขตทั้งหมดอย่างถ่องแท้ แต่ประเด็นสำคัญในประโยค “สามารถฝัง backdoor และคีย์ที่ทำขึ้นเองได้ทุกที่” คือ สามารถทำได้ หรือก็คือ “เท่าที่ผมรู้ ในทางทฤษฎีเป็นไปได้” ไม่ได้หมายความว่าได้ทำจริง
ข้อสรุปที่ว่า “ทุกอย่างของ Microsoft ถูกแฮ็กแล้ว และไม่สามารถหรือไม่ยอมกำจัดผู้บุกรุกออกไปได้ ทุกอย่างที่ Microsoft รับรองปนเปื้อนหมดแล้ว แม้กระทั่งการรับรอง Windows” ก็รุนแรงเกินไป
การตอบสนองของ Microsoft ดูเหมือนจะพูดชัดเจนว่าได้เปลี่ยนคีย์และย้ายไปยังที่เก็บที่ปลอดภัยกว่าแล้ว แม้จะไม่ได้บอกว่ากำจัดผู้โจมตีออกไปแล้ว แต่ก็ไม่ได้บอกว่าการโจมตียังดำเนินอยู่เช่นกัน และไม่ได้หมายความว่าการรับรองทั้งหมดพังถาวร
ผมรู้สึกว่าข้อสรุปที่ออกมานั้น สุดโต่ง
https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...
แล้วยังจะเชื่อว่าไม่ได้ทิ้ง backdoor เพื่อคงอยู่ในระบบ ไว้กับเป้าหมายสำคัญหรือ?
ข้อสรุปตรงนี้สมเหตุสมผลโดยสิ้นเชิง สำหรับลูกค้า public cloud ทั่วไป ข้ออ้างนั้นอาจพอฟังขึ้นก็ได้ เพราะ backdoor แบบหว่านแหจะยิ่งเพิ่มความเสี่ยงที่จะถูกพบ
แต่ผู้ใช้ระดับองค์กรขนาดใหญ่และรัฐบาลควรตั้งสมมติฐานว่าถูกบุกรุกแล้ว ไม่อย่างนั้นก็เป็นท่าทีที่ไร้เดียงสาจนน่าเชื่อได้ยาก
อ้างอิง:
https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
Microsoft เองก็เขียนว่า Storm-0558 มีขีดความสามารถในการปฏิบัติการทางเทคนิคและความปลอดภัยเชิงปฏิบัติการในระดับสูง และรู้จักสภาพแวดล้อมของเป้าหมาย นโยบาย log ข้อกำหนดด้านการรับรองความถูกต้อง รวมถึงนโยบายและขั้นตอนต่าง ๆ เป็นอย่างดี
เวลาเจอ ช่องโหว่ zero-day เราไม่เพิกเฉยต่อการแพตช์โดยคิดว่า “คนอื่นคงไม่มีหรอก”
เหตุการณ์นี้ถูกนำเสนอข่าวน้อยเกินไป และผลกระทบที่อาจเกิดขึ้นอาจมหาศาล สิ่งที่ผมไม่พอใจเกี่ยวกับ Microsoft คือคีย์รั่วตั้งแต่ปี 2021 และในปี 2023 ก็ยังใช้ลงนาม token สำหรับการรับรองความถูกต้องอยู่ ทั้งที่ในบรรดาบริการ Azure แทบไม่มีอะไรเลยที่ให้ผู้ใช้ใส่ ข้อมูลรับรองอายุ 2 ปี ได้
เป็นกรณีคลาสสิกของ “ทำตามที่ฉันสั่ง แต่อย่าทำตามที่ฉันทำ”
app registration secretsที่มีอายุได้สูงสุด 2 ปีอยู่ จนกระทั่งไม่นานมานี้ ยังสามารถสร้าง secret ที่แทบไม่มีวันหมดอายุ ได้ด้วยซ้ำเรื่องนี้ดูเกินจริงและออกแนวเตือนภัยมากไป แหล่งข้อมูลไม่ได้พิสูจน์ขอบเขตการถูกเจาะตามที่บทความอ้างว่าเป็น “Microsoft ทั้งหมด”
กลับดูเหมือนเป็นกรณี คีย์รั่วไหล ชั่วคราว แล้วภายหลังก็ถูกยกเลิกใช้งานมากกว่า
ยังมีอันนี้ด้วย:
https://infosec.exchange/@briankrebs/110820474957163710
ถ้าเป็นจริงก็ค่อนข้างร้ายแรงมาก
[1]: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
[2]: https://www.wiz.io/blog/storm-0558-compromised-microsoft-key...
https://karl-voit.at/cloud/
ในรายการยาวนั้นมีเนื้อหาว่าแม้ในเดือนสิงหาคม 2023 Azure ก็ยังมีปัญหา “การเข้าถึงแอปพลิเคชันและข้อมูลอ่อนไหวข้ามเทนแนนต์โดยไม่ได้รับอนุญาต รวมถึงข้อมูลลับสำหรับการยืนยันตัวตน” และบอกว่า Microsoft แก้ไขไม่ได้อยู่หลายเดือน อีกทั้ง ณ วันที่ 2023-08-03 ก็ยังเป็นช่องโหว่สาธารณะของ Azure
ในเหตุการณ์เดือนกรกฎาคม 2023 ระบุว่าลูกค้าไม่สามารถตรวจจับผู้บุกรุกได้ด้วยล็อกพื้นฐานเพียงอย่างเดียว และต้องจ่ายเงินเพิ่มจึงจะเข้าถึงไฟล์ล็อกดังกล่าวได้
Microsoft ไม่ได้แจ้งว่าบริการใดได้รับผลกระทบหรือไม่ได้รับผลกระทบ และสรุปในทำนองว่าควรมองว่าบริการคลาวด์ของ Microsoft ทั้งหมดอาจถูกเจาะได้
อีกทั้งระบุว่าผู้เชี่ยวชาญด้านความปลอดภัยอย่าง Mike Kuketz เห็นว่าควรถือว่าระบบ Microsoft ทั้งหมดที่ใช้การยืนยันตัวตนบนคลาวด์ รวมถึงโฮสต์ Windows ด้วย อาจถูกเจาะแล้ว
บทความของ Microsoft ในลิงก์เดียวกันก็พูดไว้แบบนี้:
https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
“กิจกรรมหลังการถูกเจาะ: จากเทเลเมทรีและการสืบสวนของเรา กิจกรรมหลังการถูกเจาะจำกัดอยู่ที่การเข้าถึงและการนำอีเมลของผู้ใช้เป้าหมายออกไป”
ดังนั้นจึงไม่ใช่ “Microsoft ทั้งหมด” เป็น พาดหัวเกินจริง แบบที่พบได้ทั่วไป และครั้งนี้ก็แค่ใช้โพสต์บน Mastodon ดึงความสนใจเท่านั้น
แพลตฟอร์มนี้ก็ไม่ได้ต่างจาก Twitter เท่าไร
อีกไม่กี่ปี ฮาร์ดแวร์ออนพรีมิส กับการโฮสต์เซิร์ฟเวอร์แบบเรียบง่ายน่าจะกลับมานิยมอีกครั้ง
ตอนที่ทุกอย่างยังเป็นโลคัลและเป็นส่วนตัว แม้ความปลอดภัยมักจะอ่อนแอ แต่ผู้โจมตีก็เข้าถึงได้แค่อุปกรณ์หรือเครือข่ายเฉพาะบางส่วน
ตอนนี้เมื่อโจมตีองค์กรศูนย์กลางสักแห่งได้ ผลตอบแทนสูงมากจนคุ้มให้ผู้โจมตีทุ่มทรัพยากรมากขึ้นอย่างมหาศาล
ทุกหนึ่งหรือสองเดือนต้องย้ายไปยังเวอร์ชันสภาพแวดล้อมใหม่โง่ ๆ แอปส่งเมลไม่ได้เลยต้องไปแก้รายการ DNS ต้องตั้งค่า IAM แย่ ๆ ของผู้ให้บริการคลาวด์ที่ไม่จำเป็น และต้องลงทะเบียนแอปเพื่อเข้าถึงฐานข้อมูล
ตอนนี้มีแอปที่บำรุงรักษาปีละ 15 นาที ติดตั้งและตั้งค่า 5 นาทีก็พอ
ผู้ให้บริการคลาวด์บางรายมีฟีเจอร์น่าทึ่ง แต่ทั้งหมดให้ความรู้สึกว่า บวมเทอะทะ ขึ้นเรื่อย ๆ และกรณีใช้งานของผมไม่จำเป็นต้องมีทั้งคลัสเตอร์
ผมยังได้ยินหลายโครงการที่พยายามสร้างบริการคลาวด์ยุโรปให้มากขึ้นด้วย
ถ้าจะนิยม ก็น่าจะเป็นรูปแบบวางตัว orchestrator สำหรับคอนเทนเนอร์หรือ Kata Containers ไว้บนฮาร์ดแวร์ออนพรีมิส
และแม้ซอฟต์แวร์จะถูก deploy แบบออนพรีมิส องค์กรขนาดใหญ่ก็ยังต้องใช้ single sign-on อยู่ดี และยังคงเสี่ยงต่อการโจมตีประเภทนี้ต่อไป
เรื่องนี้ร้ายแรงจริง ๆ ขอบคุณบทความนี้ที่ทำให้ตอนนี้ผมเพิ่งได้อ่านอย่างจริงจัง และไม่เข้าใจว่ามันผ่านไปแบบ อยู่นอกเรดาร์ ได้อย่างไร
บริษัทที่ผมทำงานอยู่ก็เพิ่งรวมการยืนยันตัวตนของแอปและบริการภายในทั้งหมดผ่าน Azure เมื่อไม่นานมานี้ ตอนนี้มองย้อนกลับไปเหมือนเป็นความผิดพลาด แต่บางทีผมอาจจะกังวลเกินไปก็ได้
ก่อนเหตุการณ์นี้ออกมาไม่นาน ก็มี “อุบัติเหตุ” ที่ใคร ๆ ก็สามารถเปลี่ยนผลการค้นหา Bing บางรายการได้ และน่าจะทำกับบริการอื่นได้ด้วย
ผลคือสามารถเข้าถึงข้อมูลทั้งหมดที่เบราว์เซอร์แชร์กับ Bing ได้ ซึ่งรวมถึง คีย์เข้าถึง บัญชี MS ทั้งหมดของผู้ใช้ที่ใช้ Bing สำหรับการค้นหานั้น ๆ ด้วย
ผลกระทบไม่ทราบแน่ชัด เพราะ Microsoft ไม่เปิดเผย เหตุผลก็ต้องเดากันเอง
บทความนี้เขียนได้ยอดเยี่ยม น่ากลัว และดูเหมือนมีแต่ข้อมูลที่เป็นจริงและตรวจสอบได้ แต่ก็ยังไม่แน่ใจว่าควรคาดหวังอะไร
คน “ทั่วไป” ไม่ได้อ่านสิ่งนี้ ไม่เข้าใจ และประเมินผลกระทบไม่ได้ด้วย มันซับซ้อนเกินไปแล้ว ในทางสังคม เราไม่สามารถเลิกใช้บริการที่ถูกกล่าวถึงได้ง่าย ๆ
บางทีการสอนสิ่งต่อไปนี้อาจสมเหตุสมผลกว่า: ไม่มีความเป็นส่วนตัว รับประกันไม่ได้ และไม่มีใครมีแรงจูงใจจะรับประกันให้ใคร ไม่มีความปลอดภัย และความปลอดภัยทั้งหมดถูกเจาะแล้ว ถูกออกแบบมาให้ถูกเจาะ หรือจะถูกเจาะในอนาคต ข้อมูลดิจิทัลทั้งหมดถูกเปิดเผยไปแล้ว หรือสักวันหนึ่งจะถูกเปิดเผย
ไม่จำเป็นต้องมีประสบการณ์ IT 10 ปีถึงจะเข้าใจความหมายว่า “Microsoft ทำให้ลูกค้าสามารถใช้กุญแจบ้านของตัวเองเปิดตู้นิรภัยในสำนักงานของทุกคนได้ ปิดบังไว้ 2 ปี และยังไม่มีแผนจะแก้ไข”
McNeally แค่พูดผิด แต่ความสิ้นหวังง่ายกว่าการแก้ไข หลายคนจึงเลือกความสิ้นหวัง และความนิยมของคลาวด์กับ SaaS ก็เป็นผลลัพธ์ของสิ่งนั้น
นี่ไม่ใช่ชะตากรรมที่ถูกกำหนดไว้ และที่จริงก็แค่ไม่ต้อง เชื่อใจ คนที่ไม่น่าเชื่อใจ
แม้จะต้องใช้ค้อนแห่งกฎระเบียบที่น่ากลัวก็ตาม
มนุษย์ยังคงมีความเป็นส่วนตัวที่รับประกันได้ เช่น การเดินเข้าป่าไปโดยไม่มีอุปกรณ์ใด ๆ
แรงจูงใจในการรับประกันความเป็นส่วนตัวของผู้อื่นอาจเป็นกลไกทางกฎหมายที่ลงโทษเมื่อทำไม่สำเร็จ
ไม่มีความปลอดภัยแบบสัมบูรณ์ แต่มีความปลอดภัยต่อ โมเดลภัยคุกคาม เฉพาะได้
ก็ยังยากจะยอมรับว่าข้อมูลที่เก็บไว้ในอุปกรณ์ที่ไม่ได้เชื่อมต่อเครือข่ายจะต้องถูกเปิดเผยอย่างหลีกเลี่ยงไม่ได้ได้อย่างไร
แม้จะมองข้ามคำว่า คน “ทั่วไป” ไป ก็ไม่เห็นเหตุผลว่าทำไมเราถึงอยู่ไม่ได้หากไม่มีบริการที่ไม่ได้เอ่ยชื่อ หรือทำไมถึงเปลี่ยนไปใช้ทางเลือกที่เป็นมิตรต่อความเป็นส่วนตัวมากกว่าไม่ได้
การให้ความรู้ที่สมเหตุสมผลกว่าคือ ความเป็นส่วนตัวเป็นสิ่งจำเป็นต่อสังคมและเศรษฐกิจที่ทำงานได้ ใครก็ตามที่พูดต่างออกไป กำลังมองว่าเขาสามารถใช้ความไม่สมมาตรของข้อมูลระหว่างคุณกับเขาเพื่อทำเงินระยะสั้นได้
ผมเคารพ Scott แต่คำพูดนั้นไม่ใช่ช่วงเวลาที่ดีนัก ถ้าเปลี่ยนประโยคเดียวกันเป็น “ไม่มีทรัพย์สิน รับประกันไม่ได้ และไม่มีใครมีแรงจูงใจจะรับประกัน” ก็อาจฟังดูเหมือนจริงทั้งหมดได้เหมือนกัน แต่ในความเป็นจริง เราสร้างวิธีรับประกันทรัพย์สินขึ้นมาแล้ว นั่นคือกฎหมายและรัฐที่บังคับใช้กฎหมาย เราสามารถนำแนวคิดที่พิสูจน์แล้วนี้มาใช้กับความเป็นส่วนตัวได้เช่นกัน
กุญแจทุกดอกสามารถถูกสะเดาะได้ แต่ไม่ใช่ทุกคนจะสะเดาะกุญแจได้ เราจึงยังคงล็อกประตู
ผมยังสงสัยด้วยว่าบริษัทที่ปรึกษาชั้นนำทั้งหมดจะตั้งสมมติฐานว่าข้อมูลดิจิทัลทั้งหมดจะถูกเปิดเผย บริษัทแบบที่อยู่ใน “The Big Con” ของ Mazzucato และ Collington อาจขายสมมติฐานนั้นได้ แต่ไม่ได้ดำเนินงานจริงแบบนั้น
ตัวอย่างเช่น หาก McKinsey รู้ว่าคำแนะนำที่ให้ Purdue Pharma จะถูกเปิดเผย ก็คงไม่เสียหายหนักขนาดนั้น
สรุปคือ คนที่บอกว่าความเป็นส่วนตัวไม่สำคัญ แท้จริงแล้วกำลังบอกว่า ความเป็นส่วนตัวของคุณ ไม่สำคัญ และมั่นใจเกินไปว่าตนเองจะนำหน้าในความไม่สมมาตรของข้อมูลและคงความเป็นส่วนตัวไว้ได้ ภาพที่ Google พยายามรักษาข้อมูลของตนให้เป็นความลับในการพิจารณาคดีต่อต้านการผูกขาดแบบเปิดเผย แสดงให้เห็นเรื่องนี้อย่างย้อนแย้ง
บนออนไลน์ไม่มีความเป็นส่วนตัว และผู้ให้บริการมีแรงจูงใจที่จะขายผู้ใช้ ดังนั้นคุณต้องป้องกันตัวเองด้วยการรักษาตัวตนออนไลน์ไว้เพียงผิวเผิน
หากเป็นผู้ใช้ทั่วไป ควรใส่ข้อมูลในโลกออนไลน์ให้น้อยที่สุด โดยเฉพาะบนโซเชียลมีเดีย หากจำเป็นต้องมีตัวตนออนไลน์ ก็ควรประเมินความเสี่ยงและใช้เวลาและเงินเพื่อลดความเสี่ยงนั้น หากความพยายามลดความเสี่ยงนั้นไม่เห็นผลตอบแทนจากการลงทุน ก็มีโอกาสสูงว่าคุณถูกหลอกให้เชื่อว่าจำเป็นต้องมีตัวตนออนไลน์
ไม่มีความปลอดภัยแบบสัมบูรณ์ มาตรการป้องกันทั้งหมดสามารถถูกเลี่ยงได้ แต่ไม่ได้แปลว่าจะต้องถูกเลี่ยงเสมอไป ให้ประเมินความเสี่ยงให้มากที่สุดเท่าที่ทำได้ และลดเฉพาะสิ่งที่คาดว่าจะให้ผลตอบแทนจากการลงทุนเป็นบวก ความเสี่ยงที่ไม่ลดก็ต้องยอมรับ และความเสี่ยงที่รับไม่ไหวก็ควรปฏิเสธการใช้ระบบนั้น เพื่อไม่ต้องแบกรับมันตั้งแต่แรก
ต่อให้ไม่ทำการจัดการความเสี่ยงใด ๆ ก็ยังมีระดับความปลอดภัยพื้นฐานอยู่ เพราะประชากรบางส่วนที่มีแนวโน้มก่ออาชญากรรมคำนวณต้นทุนกับผลตอบแทน ยิ่งคนวงในที่รู้เรื่องแต่ถากถางพูดมากขึ้นว่าไม่มีความปลอดภัย ระดับพื้นฐานนี้ก็ยิ่งเข้าใกล้ศูนย์ และสาธารณชนทั่วไปก็ยิ่งเปราะบางขึ้น
ยิ่งระดับพื้นฐานต่ำลง เวลาและเงินที่ปัจเจกต้องลงทุนเองเพื่อให้ได้ระดับความปลอดภัยที่พอทนได้ก็ยิ่งเพิ่มขึ้น ความถากถางทำให้เราต้องจ่ายราคา ดังนั้นนี่คือการบอกว่าอย่าไปฉี่หรืออึใส่กังหันน้ำของหมู่บ้านเพียงเพราะมันดูเท่
ข้อมูลดิจิทัลในปัจจุบันอาจถูกเปิดเผยไปแล้ว หรืออาจถูกเปิดเผยสักวันหนึ่ง แต่เราสามารถเลือกเทคโนโลยีที่เลื่อนเวลานั้นออกไปให้ไกลขึ้นในอนาคตได้ และสำหรับข้อมูลที่ยังไม่ถูกทำให้เป็นดิจิทัล เราสามารถตัดสินใจอย่างมีสติได้ว่าความสะดวกคุ้มกับความเสี่ยงหรือไม่
ประโยคที่ว่า “ผู้เชี่ยวชาญด้านความปลอดภัยอย่าง Mike Kuketz มองว่าระบบ Microsoft ทั้งหมดที่ใช้การยืนยันตัวตนบนคลาวด์ แม้กระทั่งโฮสต์ Windows ควรถูกถือว่าถูกเจาะแล้ว” เป็นข้อกล่าวอ้างที่ใหญ่มาก
ดูเหมือนมีความเป็นไปได้ทางทฤษฎีว่าคีย์ลงนามที่ถูกขโมยไปอาจถูกใช้เป็นส่วนหนึ่งของการโจมตีที่ใหญ่กว่า เพื่อเข้าถึงบริการแกนหลักอย่าง Windows Update หรือ control plane ของ Azure
แต่ถ้ามี การเจาะระบบอย่างเป็นระบบ แบบนั้นจริง น่าจะมีใครสักคนสังเกตเห็นแล้ว
คำอธิบายของ Microsoft แสดงให้เห็นได้ชัดเจนกว่าบทความหลักและบล็อกมาก: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
อีกทั้ง ต่างจากที่อ้างกันที่นี่ Microsoft ได้แก้ไขหลังจากทราบปัญหาแล้ว: https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...
และคนเหล่านั้นก็แฮ็กบัญชีวิศวกรไปแล้ว โอกาสที่จะบังเอิญพบคีย์นี้จากการแฮ็กบัญชีวิศวกรเพียงบัญชีเดียวนั้นต่ำมาก ดังนั้นจึงสมเหตุสมผลที่จะมองว่าบัญชีวิศวกรของ Microsoft หลายบัญชีถูกแฮ็กไปแล้ว
โดยพื้นฐานแล้ว บัญชี MS ไม่ปลอดภัย