1 คะแนน โดย GN⁺ 2023-09-30 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • Karl Voit มองว่า Microsoft Azure Cloud ถูกแฮ็กไปโดยพฤตินัยแล้ว และเริ่มมีการเปิดเผยเหตุการณ์ต่อเนื่องเพราะมาตรการแยกกักไม่เพียงพอ
  • ยกกรณีที่เปิดเผยต่อสาธารณะจากรายงานของ Reuters ว่า บัญชีของกระทรวงการต่างประเทศสหรัฐฯ 10 บัญชี ถูกขโมยอีเมลไป 60,000 ฉบับ
  • ความกังวลหลักคือ Microsoft ไม่สามารถกำจัดผู้บุกรุกได้หรือไม่ได้กำจัด ทำให้ยากจะเชื่อถือระบบทั้งหมดที่อิงการรับรองความถูกต้องของ Microsoft
  • ขอบเขตของการปนเปื้อนครอบคลุมถึง การรับรองความถูกต้องของ Windows และหากมีความสัมพันธ์ด้านความเชื่อถือภายในระหว่างใบรับรอง Azure ที่ถูกแฮ็กกับ GitHub ก็ถือว่า GitHub ได้รับผลกระทบด้วย
  • เรื่องนี้ลามไปถึงสภาพแวดล้อมการใช้งาน NixOS ที่พึ่งพา GitHub อย่างมาก และขยายไปสู่ปัญหาว่าในคลาวด์ผู้ใช้ควบคุมข้อมูลของตนเองได้ยาก

ความกังวลเรื่อง Azure ถูกแฮ็กและการแยกกักล้มเหลว

  • Karl Voit ระบุว่า Azure Cloud ทั้งหมดของ Microsoft ถูกแฮ็กไปโดยพฤตินัยแล้ว
  • เขาระบุว่ารวบรวมรายการแหล่งอ้างอิงที่เกี่ยวข้องไว้ในบทความของตน You Can't Control Your Data in the Cloud
  • แก่นของปัญหาไม่ใช่ตัวการแฮ็กเอง แต่เป็นการประเมินว่าหลังจากนั้น มาตรการแยกกักไม่เพียงพอ จนเริ่มมีการเปิดเผยเหตุการณ์ต่อเนื่อง

กรณีอีเมลของกระทรวงการต่างประเทศสหรัฐฯ ถูกขโมย

  • เขายกข่าว Reuters ว่าเป็นกรณีตัวอย่างของเหตุการณ์ต่อเนื่อง โดยระบุว่า อีเมล 60,000 ฉบับ ถูกขโมยจากบัญชีของกระทรวงการต่างประเทศสหรัฐฯ 10 บัญชี
  • ข่าว Reuters ที่ลิงก์ไว้ระบุว่าแฮ็กเกอร์จีนขโมยอีเมลของกระทรวงการต่างประเทศสหรัฐฯ 60,000 ฉบับผ่านการแฮ็ก Microsoft
  • กรณีนี้จึงถูกเชื่อมโยงว่าเป็นหลักฐานว่าความเสียหายจริงยังคงเกิดต่อเนื่องหลังการแฮ็ก Microsoft

ความไม่ไว้วางใจต่อระบบยืนยันตัวตนของ Microsoft

  • Voit มองว่า Microsoft ไม่สามารถกำจัดผู้บุกรุกได้ หรือไม่ได้กำจัดพวกเขาออกไป
  • ผลคือทุกสิ่งที่ Microsoft รับรองนั้นอยู่ในสภาพ tainted หรือปนเปื้อน
  • เขาระบุชัดว่าขอบเขตของการปนเปื้อนนี้รวมถึง การรับรองความถูกต้องของ Windows ด้วย

ความกังวลที่ลามไปถึง GitHub และ NixOS

  • ในโพสต์ต่อมา เขากล่าวว่าหากมีความสัมพันธ์ด้านความเชื่อถือภายในของ Microsoft ระหว่าง ใบรับรอง Azure ที่ถูกแฮ็กกับ GitHub ก็ต้องถือว่า GitHub ถูกแฮ็กหรือปนเปื้อนไปแล้วเช่นกัน
  • เขาระบุว่าหลังจากย้ายบางโฮสต์ไปเป็น NixOS แล้ว ก็ยังคงรู้สึกกังวลเพราะปัญหาของ Microsoft และ GitHub
  • เขามองว่าการ พึ่งพา GitHub อย่างลึกซึ้ง ซึ่งกล่าวถึงไว้ในบทความประสบการณ์ NixOS ของตน I Started With Nix, NixOS, Home Manager and Flakes ได้เผยให้เห็นว่าเป็นข้อเสียใหญ่ของ OS นี้

ปัญหาการควบคุมข้อมูลบนคลาวด์

  • บทความที่ลิงก์ไว้ You Can't Control Your Data in the Cloud ขยายประเด็นปัญหา Azure และการรับรองของ Microsoft ไปสู่ปัญหาการควบคุมข้อมูลบนคลาวด์
  • คำเตือนในโพสต์ Mastodon มุ่งไปที่การที่ยากจะเชื่อถือระบบโดยรวมที่พึ่งพาการรับรองของ Microsoft และความสัมพันธ์ด้านความเชื่อถือภายใน

1 ความคิดเห็น

 
GN⁺ 2023-09-30
ความคิดเห็นบน Hacker News
  • เมื่อดูส่วนการบรรเทาและการเสริมความแข็งแกร่งในบล็อกเหตุการณ์ของ Microsoft ระบุว่าในวันที่ 26 มิถุนายน OWA ถูกปรับไม่ให้รับการต่ออายุโทเค็นที่ออกจาก GetAccessTokensForResource วันที่ 27 มิถุนายน OWA ได้บล็อกการใช้โทเค็นที่ลงนามด้วยคีย์ MSA ที่ถูกขโมย และวันที่ 29 มิถุนายนได้เปลี่ยนคีย์และเพิกถอนคีย์ลงนาม MSA ที่ยังมีผลอยู่ในขณะนั้นเสร็จสิ้น
    วันที่ 3 กรกฎาคม ระบุว่าได้บล็อกการใช้คีย์ดังกล่าวสำหรับลูกค้าผู้บริโภคทั้งหมดที่ได้รับผลกระทบ เพื่อป้องกันการใช้โทเค็นที่ออกไปแล้วในทางที่ผิด
    ผมไม่ใช่ผู้เชี่ยวชาญด้านความปลอดภัย แต่สงสัยว่า ช่องโหว่ ของกลยุทธ์นี้คืออะไร

    • ปัญหาคือไม่มีวิธีตรวจสอบได้ว่าในช่วงเวลานั้นผู้โจมตีทำอะไรไปบ้างด้วย คีย์ที่ถูกขโมย
      หากมีบันทึก audit log ถาวรที่แก้ไขไม่ได้ ก็จะสามารถติดตามการดำเนินการทั้งหมดที่ทำผ่านการยืนยันตัวตนซึ่งลงนามโดยตรงหรือโดยอ้อมด้วยคีย์ที่รั่วไหลได้ แต่การสร้าง audit log ที่แม้แต่ผู้มีสิทธิ์สูงสุดก็แก้ไขไม่ได้ ไม่ใช่เรื่องง่ายหรือถูก
      ในกรณีเลวร้ายที่สุด audit log อาจมีเพียงตัวตนที่ผ่านการยืนยันแล้ว แต่ไม่มีวิธีการยืนยันตัวตน ทำให้ระบุการเข้าถึงที่อาจถูกเจาะได้ไม่ง่าย
      สุดท้ายแล้ว ช่องโหว่ของกลยุทธ์นี้คือไม่ได้คำนึงถึง แบ็กดอร์เพื่อคงสิทธิ์เข้าถึง ที่อาจถูกเพิ่มไว้ในช่วงที่คีย์รั่วไหลสามารถใช้เข้าถึงได้ แม้มันจะหยุดการใช้ในทางที่ผิดต่อจากนี้ได้ แต่จากวิธีที่คีย์ถูกขโมย หากผู้โจมตีมีความซับซ้อนสูง ก็แทบเป็นไปไม่ได้ที่จะรู้ว่าพวกเขาสร้างเส้นทางเข้าถึงชั้นที่สองไว้มากแค่ไหน
    • ปัญหาใหญ่คือไม่มีทางรู้ว่าช่วงที่ผู้โจมตีมีข้อมูลรับรองนั้น พวกเขาใส่ ช่องโหว่หรือแบ็กดอร์ อื่นใดไว้บ้างหรือไม่ อาจถึงขั้นทำให้ตัวเองได้คีย์ใหม่ทันทีด้วยก็ได้
    • รายการเหล่านี้ดูเหมือนจะขัดกับหัวข้อที่ว่า “คีย์ถูกเจาะและยังถูกใช้อยู่” หรือ “ทุกอย่างปนเปื้อนแล้ว” เสียมากกว่า
  • ปัญหานี้ดูจะจำกัดอยู่ที่ Azure และ Microsoft ส่วน AWS กับ GCP น่าจะไม่เป็นไร
    Microsoft มี ช่องโหว่และแนวปฏิบัติด้านความปลอดภัย ที่แย่ที่สุดระดับหนึ่งเท่าที่เคยเห็นมา ผมไม่เข้าใจเลยว่าผู้บริหารบริษัทใหญ่ใน Fortune 500 ย้ายเวิร์กโหลดไป Azure กันได้อย่างไร
    ในบางด้าน จุดขายเดียวของ Azure คือ Amazon เป็นคู่แข่งเท่านั้น อยากให้ Amazon ปล่อย AWS ให้เป็นอิสระไปเลย
    หวังว่า Microsoft จะยกระดับความปลอดภัยได้ แต่ถึงจุดนี้แล้วแทบไม่เห็นความหวัง

    • Microsoft ดึงบริษัทที่ไม่ใช่สายเทคนิคเข้ามาด้วย Active Directory และ Office 365 แล้วผูกไว้ด้วยคำสัญญาว่าจะผสานกับบริการทั้งหมดได้ดี
      เมื่อบริษัทต่าง ๆ เข้ามาอยู่ใน แดชบอร์ด Azure แล้ว โครงสร้างก็ทำให้พวกเขาลองใช้บริการที่ดูดีซึ่งมีให้ในนั้นด้วย
      ทั้งหมดดูเหมือนเป็นภาพลวงตาและการเล่นกล แต่ก็ได้ผล
    • แทบทุกองค์กรมีสัญญาขนาดใหญ่กับ Microsoft อยู่แล้วเกี่ยวกับ Windows, AD, Office, Teams, Exchange ฯลฯ และฝังลึกอยู่ใน IT หลัก
      ดังนั้นหากองค์กรยังไม่ได้ลงทะเบียน AWS เป็นผู้ให้บริการไว้ โดยปกติการผลักดันผ่าน ผู้ให้บริการเดิม จะง่ายกว่า
    • CTO และผู้ดูแลระบบก็มีส่วนผิดด้วย เพราะคุ้นเคยจนติดอยู่กับสแตกนั้น หรือ CTO บังคับด้วยทำนองว่า “ไม่เคยมีใครถูกไล่ออกเพราะเลือกตัวเลือกในควอดแรนต์ขวาบนของ Gartner”
    • ตอนทำงานเป็นผู้รับเหมาของรัฐบาลกลางให้กองทัพสหรัฐฯ ในปี 1996–1997 เราเคยเปลี่ยนเว็บเซิร์ฟเวอร์ Windows เป็น เซิร์ฟเวอร์ Macintosh เพราะความปลอดภัยดีกว่า
      ผมเองก็เคยดูแลเว็บเซิร์ฟเวอร์ Windows 2000 Pro แล้วเปลี่ยนไปใช้ Linux เพราะขาดความปลอดภัย
      Microsoft อาจเป็นที่นิยมได้ แต่ด้านความปลอดภัยมีช่องโหว่ขนาดใหญ่ และเป็นเช่นนั้นมาโดยตลอด
    • “ปัญหานี้” ก็คืออย่างนั้น
      บริการต่าง ๆ ถูกเจาะอยู่บ่อย ๆ ไม่ว่าจะเป็นคลาวด์หรือที่ลูกค้าจัดการเอง Microsoft มีทีมความปลอดภัยที่เติบโตเป็นระบบ เป็นมืออาชีพ และมีประสิทธิภาพ
      การถูกเจาะเกิดจากข้อบกพร่องในการนำไปใช้ และจากการคาดเดาส่วนตัว อาจมี คนวงในที่ทุจริต อย่างน้อยหนึ่งคน
      องค์กรส่วนใหญ่คงไม่รู้ด้วยซ้ำว่าเกิดอะไรขึ้น และอาจไม่สามารถระบุสิ่งที่ถูกเปิดเผยต่อสาธารณะได้
      มองย้อนกลับไป อะไรก็ดูง่ายทั้งนั้น
  • เป็นคำพูดที่เกินจริงไปมาก แน่นอนว่านี่เป็นการบุกรุกที่เลวร้าย และอาจยังไม่เข้าใจขอบเขตทั้งหมดอย่างถ่องแท้ แต่ประเด็นสำคัญในประโยค “สามารถฝัง backdoor และคีย์ที่ทำขึ้นเองได้ทุกที่” คือ สามารถทำได้ หรือก็คือ “เท่าที่ผมรู้ ในทางทฤษฎีเป็นไปได้” ไม่ได้หมายความว่าได้ทำจริง
    ข้อสรุปที่ว่า “ทุกอย่างของ Microsoft ถูกแฮ็กแล้ว และไม่สามารถหรือไม่ยอมกำจัดผู้บุกรุกออกไปได้ ทุกอย่างที่ Microsoft รับรองปนเปื้อนหมดแล้ว แม้กระทั่งการรับรอง Windows” ก็รุนแรงเกินไป
    การตอบสนองของ Microsoft ดูเหมือนจะพูดชัดเจนว่าได้เปลี่ยนคีย์และย้ายไปยังที่เก็บที่ปลอดภัยกว่าแล้ว แม้จะไม่ได้บอกว่ากำจัดผู้โจมตีออกไปแล้ว แต่ก็ไม่ได้บอกว่าการโจมตียังดำเนินอยู่เช่นกัน และไม่ได้หมายความว่าการรับรองทั้งหมดพังถาวร
    ผมรู้สึกว่าข้อสรุปที่ออกมานั้น สุดโต่ง
    https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...

    • ลิงก์ไปยังรายงานการสอบสวน exploit ของ Microsoft ซึ่งผู้โจมตีเข้าถึงเครือข่ายพัฒนาของ Microsoft ก่อน พบ crash dump เข้าใจความหมายของมัน จากนั้นค้นจนเจอ private key แล้วทำความเข้าใจระบบรับรองความถูกต้องของ Microsoft มากพอที่จะรู้ว่าคีย์นั้นสามารถนำไปใช้นอกเหนือจากจุดประสงค์เดิมได้อย่างไร และลงมือทำจริง
      แล้วยังจะเชื่อว่าไม่ได้ทิ้ง backdoor เพื่อคงอยู่ในระบบ ไว้กับเป้าหมายสำคัญหรือ?
      ข้อสรุปตรงนี้สมเหตุสมผลโดยสิ้นเชิง สำหรับลูกค้า public cloud ทั่วไป ข้ออ้างนั้นอาจพอฟังขึ้นก็ได้ เพราะ backdoor แบบหว่านแหจะยิ่งเพิ่มความเสี่ยงที่จะถูกพบ
      แต่ผู้ใช้ระดับองค์กรขนาดใหญ่และรัฐบาลควรตั้งสมมติฐานว่าถูกบุกรุกแล้ว ไม่อย่างนั้นก็เป็นท่าทีที่ไร้เดียงสาจนน่าเชื่อได้ยาก
      อ้างอิง:
      https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
      Microsoft เองก็เขียนว่า Storm-0558 มีขีดความสามารถในการปฏิบัติการทางเทคนิคและความปลอดภัยเชิงปฏิบัติการในระดับสูง และรู้จักสภาพแวดล้อมของเป้าหมาย นโยบาย log ข้อกำหนดด้านการรับรองความถูกต้อง รวมถึงนโยบายและขั้นตอนต่าง ๆ เป็นอย่างดี
    • จากมุมมองด้านความปลอดภัย เมื่อพิจารณาผลกระทบที่อาจเกิดขึ้นและสถานการณ์ที่เป็นไปได้แล้ว จะมองว่าเป็นแค่ “เป็นไปได้” เฉย ๆ ไม่ได้ ต้องถือว่าเป็นความจริง
      เวลาเจอ ช่องโหว่ zero-day เราไม่เพิกเฉยต่อการแพตช์โดยคิดว่า “คนอื่นคงไม่มีหรอก”
    • ผมคิดว่า Microsoft จะได้รับทรัพยากรทั้งหมดที่จำเป็น รวมถึงการสนับสนุนจากหน่วยงานรัฐบาลกลาง เพื่อเอาไบนารีที่ถูกฝังไว้และการตั้งค่าที่ผิดพลาดออกไป
  • เหตุการณ์นี้ถูกนำเสนอข่าวน้อยเกินไป และผลกระทบที่อาจเกิดขึ้นอาจมหาศาล สิ่งที่ผมไม่พอใจเกี่ยวกับ Microsoft คือคีย์รั่วตั้งแต่ปี 2021 และในปี 2023 ก็ยังใช้ลงนาม token สำหรับการรับรองความถูกต้องอยู่ ทั้งที่ในบรรดาบริการ Azure แทบไม่มีอะไรเลยที่ให้ผู้ใช้ใส่ ข้อมูลรับรองอายุ 2 ปี ได้
    เป็นกรณีคลาสสิกของ “ทำตามที่ฉันสั่ง แต่อย่าทำตามที่ฉันทำ”

    • ลองจินตนาการดูว่า CA/Browser Forum จะทำอย่างไร ถ้ารู้ว่า PKIX CA รายหนึ่งสูญเสียการควบคุม signing key แต่ไม่เพิกถอน กลับยัง ใช้งานต่อเนื่องเป็นเวลา 2 ปี โดยไม่แจ้งใครเลย
    • ถ้าผมเข้าใจถูกต้อง แม้แต่ HSM ก็ไม่ได้ใช้ และแผนบรรเทาผลกระทบก็ไม่ได้รวมการใช้ HSM ไว้ด้วย แบบนี้ไม่โอเค
    • ส่วนที่เลวร้ายที่สุดของเรื่องนี้คือคีย์เหล่านั้นไม่ใช่คีย์ที่ถูกต้องตั้งแต่แรกด้วยซ้ำ มันเป็นคีย์ที่ออกให้กับ client บางรายและถูกจำกัดขอบเขตไว้ แต่ การตรวจสอบขอบเขต เสีย โดยรวมแล้วแย่จนแทบไม่น่าเชื่อ
    • ยังสามารถสร้าง app registration secrets ที่มีอายุได้สูงสุด 2 ปีอยู่ จนกระทั่งไม่นานมานี้ ยังสามารถสร้าง secret ที่แทบไม่มีวันหมดอายุ ได้ด้วยซ้ำ
  • เรื่องนี้ดูเกินจริงและออกแนวเตือนภัยมากไป แหล่งข้อมูลไม่ได้พิสูจน์ขอบเขตการถูกเจาะตามที่บทความอ้างว่าเป็น “Microsoft ทั้งหมด”
    กลับดูเหมือนเป็นกรณี คีย์รั่วไหล ชั่วคราว แล้วภายหลังก็ถูกยกเลิกใช้งานมากกว่า

    • พอลองตามลิงก์ในบทความไปดู มีเนื้อหาว่าในเดือนกรกฎาคม 2023 แฮ็กเกอร์ขโมยใบรับรอง Microsoft Azure Active Directory และใช้สิ่งนั้นเพื่อได้สิทธิ์เข้าถึงแบบเต็มต่อบริการคลาวด์ของ Microsoft แทบทั้งหมด รวมถึง Outlook, Office, SharePoint, Teams, “Login with Microsoft” ฯลฯ
      ยังมีอันนี้ด้วย:
      https://infosec.exchange/@briankrebs/110820474957163710
      ถ้าเป็นจริงก็ค่อนข้างร้ายแรงมาก
      [1]: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
      [2]: https://www.wiz.io/blog/storm-0558-compromised-microsoft-key...
    • ลิงก์ที่ดีกว่าน่าจะเป็นหน้านี้ที่ถูกลิงก์ไว้ในบทความ:
      https://karl-voit.at/cloud/
      ในรายการยาวนั้นมีเนื้อหาว่าแม้ในเดือนสิงหาคม 2023 Azure ก็ยังมีปัญหา “การเข้าถึงแอปพลิเคชันและข้อมูลอ่อนไหวข้ามเทนแนนต์โดยไม่ได้รับอนุญาต รวมถึงข้อมูลลับสำหรับการยืนยันตัวตน” และบอกว่า Microsoft แก้ไขไม่ได้อยู่หลายเดือน อีกทั้ง ณ วันที่ 2023-08-03 ก็ยังเป็นช่องโหว่สาธารณะของ Azure
      ในเหตุการณ์เดือนกรกฎาคม 2023 ระบุว่าลูกค้าไม่สามารถตรวจจับผู้บุกรุกได้ด้วยล็อกพื้นฐานเพียงอย่างเดียว และต้องจ่ายเงินเพิ่มจึงจะเข้าถึงไฟล์ล็อกดังกล่าวได้
      Microsoft ไม่ได้แจ้งว่าบริการใดได้รับผลกระทบหรือไม่ได้รับผลกระทบ และสรุปในทำนองว่าควรมองว่าบริการคลาวด์ของ Microsoft ทั้งหมดอาจถูกเจาะได้
      อีกทั้งระบุว่าผู้เชี่ยวชาญด้านความปลอดภัยอย่าง Mike Kuketz เห็นว่าควรถือว่าระบบ Microsoft ทั้งหมดที่ใช้การยืนยันตัวตนบนคลาวด์ รวมถึงโฮสต์ Windows ด้วย อาจถูกเจาะแล้ว
    • ในบางบริการ แม้แต่ Microsoft เองก็ไม่มีสิทธิ์ควบคุมข้อมูล เช่น KV หรือ MHSM
      บทความของ Microsoft ในลิงก์เดียวกันก็พูดไว้แบบนี้:
      https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
      “กิจกรรมหลังการถูกเจาะ: จากเทเลเมทรีและการสืบสวนของเรา กิจกรรมหลังการถูกเจาะจำกัดอยู่ที่การเข้าถึงและการนำอีเมลของผู้ใช้เป้าหมายออกไป”
      ดังนั้นจึงไม่ใช่ “Microsoft ทั้งหมด” เป็น พาดหัวเกินจริง แบบที่พบได้ทั่วไป และครั้งนี้ก็แค่ใช้โพสต์บน Mastodon ดึงความสนใจเท่านั้น
      แพลตฟอร์มนี้ก็ไม่ได้ต่างจาก Twitter เท่าไร
  • อีกไม่กี่ปี ฮาร์ดแวร์ออนพรีมิส กับการโฮสต์เซิร์ฟเวอร์แบบเรียบง่ายน่าจะกลับมานิยมอีกครั้ง

    • การรวมศูนย์และทำให้อินเทอร์เน็ตกับอุปกรณ์อิเล็กทรอนิกส์กลายเป็นคลาวด์ในช่วงหลังนี่ค่อนข้างย้อนแย้ง
      ตอนที่ทุกอย่างยังเป็นโลคัลและเป็นส่วนตัว แม้ความปลอดภัยมักจะอ่อนแอ แต่ผู้โจมตีก็เข้าถึงได้แค่อุปกรณ์หรือเครือข่ายเฉพาะบางส่วน
      ตอนนี้เมื่อโจมตีองค์กรศูนย์กลางสักแห่งได้ ผลตอบแทนสูงมากจนคุ้มให้ผู้โจมตีทุ่มทรัพยากรมากขึ้นอย่างมหาศาล
    • แต่คลาวด์ปลอดภัยกว่ามากนะ ใครจะไปแฮ็กคลาวด์ของ Microsoft ทั้งหมดได้ล่ะ อ้อ เดี๋ยวก่อน…
    • ประเด็นสำคัญคือ “ความเรียบง่าย” แอปบางตัวทำให้สงสัยตั้งแต่แรกว่าเอาขึ้นคลาวด์ไปทำไม
      ทุกหนึ่งหรือสองเดือนต้องย้ายไปยังเวอร์ชันสภาพแวดล้อมใหม่โง่ ๆ แอปส่งเมลไม่ได้เลยต้องไปแก้รายการ DNS ต้องตั้งค่า IAM แย่ ๆ ของผู้ให้บริการคลาวด์ที่ไม่จำเป็น และต้องลงทะเบียนแอปเพื่อเข้าถึงฐานข้อมูล
      ตอนนี้มีแอปที่บำรุงรักษาปีละ 15 นาที ติดตั้งและตั้งค่า 5 นาทีก็พอ
      ผู้ให้บริการคลาวด์บางรายมีฟีเจอร์น่าทึ่ง แต่ทั้งหมดให้ความรู้สึกว่า บวมเทอะทะ ขึ้นเรื่อย ๆ และกรณีใช้งานของผมไม่จำเป็นต้องมีทั้งคลัสเตอร์
    • มันเริ่มขึ้นแล้ว ในประเทศหนึ่งในยุโรปที่ผมออกแบบระบบอยู่ องค์กรปกครองส่วนท้องถิ่นและหน่วยงานรัฐระดับแคว้นต่างเรียกร้องการจัดวางแบบ ออนพรีมิส มากขึ้น
      ผมยังได้ยินหลายโครงการที่พยายามสร้างบริการคลาวด์ยุโรปให้มากขึ้นด้วย
    • ฮาร์ดแวร์ออนพรีมิสอาจกลับมานิยมได้ แต่การโฮสต์เซิร์ฟเวอร์แบบเรียบง่ายมีโอกาสน้อยกว่า
      ถ้าจะนิยม ก็น่าจะเป็นรูปแบบวางตัว orchestrator สำหรับคอนเทนเนอร์หรือ Kata Containers ไว้บนฮาร์ดแวร์ออนพรีมิส
      และแม้ซอฟต์แวร์จะถูก deploy แบบออนพรีมิส องค์กรขนาดใหญ่ก็ยังต้องใช้ single sign-on อยู่ดี และยังคงเสี่ยงต่อการโจมตีประเภทนี้ต่อไป
  • เรื่องนี้ร้ายแรงจริง ๆ ขอบคุณบทความนี้ที่ทำให้ตอนนี้ผมเพิ่งได้อ่านอย่างจริงจัง และไม่เข้าใจว่ามันผ่านไปแบบ อยู่นอกเรดาร์ ได้อย่างไร
    บริษัทที่ผมทำงานอยู่ก็เพิ่งรวมการยืนยันตัวตนของแอปและบริการภายในทั้งหมดผ่าน Azure เมื่อไม่นานมานี้ ตอนนี้มองย้อนกลับไปเหมือนเป็นความผิดพลาด แต่บางทีผมอาจจะกังวลเกินไปก็ได้

    • ไม่เข้าใจเลยว่ามันยังได้รับความสนใจน้อยขนาดนี้ได้อย่างไร
      ก่อนเหตุการณ์นี้ออกมาไม่นาน ก็มี “อุบัติเหตุ” ที่ใคร ๆ ก็สามารถเปลี่ยนผลการค้นหา Bing บางรายการได้ และน่าจะทำกับบริการอื่นได้ด้วย
      ผลคือสามารถเข้าถึงข้อมูลทั้งหมดที่เบราว์เซอร์แชร์กับ Bing ได้ ซึ่งรวมถึง คีย์เข้าถึง บัญชี MS ทั้งหมดของผู้ใช้ที่ใช้ Bing สำหรับการค้นหานั้น ๆ ด้วย
      ผลกระทบไม่ทราบแน่ชัด เพราะ Microsoft ไม่เปิดเผย เหตุผลก็ต้องเดากันเอง
    • บทวิเคราะห์หลังเหตุการณ์นี้เคยขึ้นหน้าแรกเมื่อไม่กี่สัปดาห์ก่อนด้วย ไม่จำเป็นต้องไปถึงขั้นทฤษฎีสมคบคิด มันก็แค่ การบริหารจัดการห่วย ๆ ของบิ๊กเทค ธรรมดา ๆ
  • บทความนี้เขียนได้ยอดเยี่ยม น่ากลัว และดูเหมือนมีแต่ข้อมูลที่เป็นจริงและตรวจสอบได้ แต่ก็ยังไม่แน่ใจว่าควรคาดหวังอะไร
    คน “ทั่วไป” ไม่ได้อ่านสิ่งนี้ ไม่เข้าใจ และประเมินผลกระทบไม่ได้ด้วย มันซับซ้อนเกินไปแล้ว ในทางสังคม เราไม่สามารถเลิกใช้บริการที่ถูกกล่าวถึงได้ง่าย ๆ
    บางทีการสอนสิ่งต่อไปนี้อาจสมเหตุสมผลกว่า: ไม่มีความเป็นส่วนตัว รับประกันไม่ได้ และไม่มีใครมีแรงจูงใจจะรับประกันให้ใคร ไม่มีความปลอดภัย และความปลอดภัยทั้งหมดถูกเจาะแล้ว ถูกออกแบบมาให้ถูกเจาะ หรือจะถูกเจาะในอนาคต ข้อมูลดิจิทัลทั้งหมดถูกเปิดเผยไปแล้ว หรือสักวันหนึ่งจะถูกเปิดเผย

    • ไม่เห็นด้วยที่ว่าคน “ทั่วไป” จะไม่เข้าใจ
      ไม่จำเป็นต้องมีประสบการณ์ IT 10 ปีถึงจะเข้าใจความหมายว่า “Microsoft ทำให้ลูกค้าสามารถใช้กุญแจบ้านของตัวเองเปิดตู้นิรภัยในสำนักงานของทุกคนได้ ปิดบังไว้ 2 ปี และยังไม่มีแผนจะแก้ไข”
      McNeally แค่พูดผิด แต่ความสิ้นหวังง่ายกว่าการแก้ไข หลายคนจึงเลือกความสิ้นหวัง และความนิยมของคลาวด์กับ SaaS ก็เป็นผลลัพธ์ของสิ่งนั้น
      นี่ไม่ใช่ชะตากรรมที่ถูกกำหนดไว้ และที่จริงก็แค่ไม่ต้อง เชื่อใจ คนที่ไม่น่าเชื่อใจ
    • สามข้อนั้นสอนแต่ความสิ้นหวัง สิ่งที่มีประโยชน์กว่าคือสอนว่าเราสามารถเอาผิดใครได้บ้าง และจะทวงคืน ความเป็นส่วนตัวและความปลอดภัย ที่แท้จริงได้อย่างไร
      แม้จะต้องใช้ค้อนแห่งกฎระเบียบที่น่ากลัวก็ตาม
    • นี่เป็นมุมมองที่น่าจะมาจากองค์กรที่ผลักดันความโปร่งใสทั้งหมด เช่น อุตสาหกรรมโฆษณาหรือฝ่ายความมั่นคงแห่งชาติ หรือจากคนที่ถูกพวกเขาล้างสมองมาเท่านั้น ยังไม่จำเป็นต้องสิ้นหวังถึงขนาดนั้น
      มนุษย์ยังคงมีความเป็นส่วนตัวที่รับประกันได้ เช่น การเดินเข้าป่าไปโดยไม่มีอุปกรณ์ใด ๆ
      แรงจูงใจในการรับประกันความเป็นส่วนตัวของผู้อื่นอาจเป็นกลไกทางกฎหมายที่ลงโทษเมื่อทำไม่สำเร็จ
      ไม่มีความปลอดภัยแบบสัมบูรณ์ แต่มีความปลอดภัยต่อ โมเดลภัยคุกคาม เฉพาะได้
      ก็ยังยากจะยอมรับว่าข้อมูลที่เก็บไว้ในอุปกรณ์ที่ไม่ได้เชื่อมต่อเครือข่ายจะต้องถูกเปิดเผยอย่างหลีกเลี่ยงไม่ได้ได้อย่างไร
    • เป็นเรื่องปกติที่จะคาดหวังให้ผู้คนและบริษัทแก้ไขเมื่อปัญหาถูกเปิดเผย
      แม้จะมองข้ามคำว่า คน “ทั่วไป” ไป ก็ไม่เห็นเหตุผลว่าทำไมเราถึงอยู่ไม่ได้หากไม่มีบริการที่ไม่ได้เอ่ยชื่อ หรือทำไมถึงเปลี่ยนไปใช้ทางเลือกที่เป็นมิตรต่อความเป็นส่วนตัวมากกว่าไม่ได้
      การให้ความรู้ที่สมเหตุสมผลกว่าคือ ความเป็นส่วนตัวเป็นสิ่งจำเป็นต่อสังคมและเศรษฐกิจที่ทำงานได้ ใครก็ตามที่พูดต่างออกไป กำลังมองว่าเขาสามารถใช้ความไม่สมมาตรของข้อมูลระหว่างคุณกับเขาเพื่อทำเงินระยะสั้นได้
      ผมเคารพ Scott แต่คำพูดนั้นไม่ใช่ช่วงเวลาที่ดีนัก ถ้าเปลี่ยนประโยคเดียวกันเป็น “ไม่มีทรัพย์สิน รับประกันไม่ได้ และไม่มีใครมีแรงจูงใจจะรับประกัน” ก็อาจฟังดูเหมือนจริงทั้งหมดได้เหมือนกัน แต่ในความเป็นจริง เราสร้างวิธีรับประกันทรัพย์สินขึ้นมาแล้ว นั่นคือกฎหมายและรัฐที่บังคับใช้กฎหมาย เราสามารถนำแนวคิดที่พิสูจน์แล้วนี้มาใช้กับความเป็นส่วนตัวได้เช่นกัน
      กุญแจทุกดอกสามารถถูกสะเดาะได้ แต่ไม่ใช่ทุกคนจะสะเดาะกุญแจได้ เราจึงยังคงล็อกประตู
      ผมยังสงสัยด้วยว่าบริษัทที่ปรึกษาชั้นนำทั้งหมดจะตั้งสมมติฐานว่าข้อมูลดิจิทัลทั้งหมดจะถูกเปิดเผย บริษัทแบบที่อยู่ใน “The Big Con” ของ Mazzucato และ Collington อาจขายสมมติฐานนั้นได้ แต่ไม่ได้ดำเนินงานจริงแบบนั้น
      ตัวอย่างเช่น หาก McKinsey รู้ว่าคำแนะนำที่ให้ Purdue Pharma จะถูกเปิดเผย ก็คงไม่เสียหายหนักขนาดนั้น
      สรุปคือ คนที่บอกว่าความเป็นส่วนตัวไม่สำคัญ แท้จริงแล้วกำลังบอกว่า ความเป็นส่วนตัวของคุณ ไม่สำคัญ และมั่นใจเกินไปว่าตนเองจะนำหน้าในความไม่สมมาตรของข้อมูลและคงความเป็นส่วนตัวไว้ได้ ภาพที่ Google พยายามรักษาข้อมูลของตนให้เป็นความลับในการพิจารณาคดีต่อต้านการผูกขาดแบบเปิดเผย แสดงให้เห็นเรื่องนี้อย่างย้อนแย้ง
    • นี่เป็นคำแนะนำที่แย่มาก และถ้าเป็นคนในอุตสาหกรรมก็อาจเป็นคำแนะนำเพื่อผลประโยชน์ของตัวเองด้วย เช่นเคย มันมีนัยละเอียดอ่อนอยู่ “มีแต่ Sith เท่านั้นที่พูดแบบเด็ดขาด” อะไรทำนองนั้น
      บนออนไลน์ไม่มีความเป็นส่วนตัว และผู้ให้บริการมีแรงจูงใจที่จะขายผู้ใช้ ดังนั้นคุณต้องป้องกันตัวเองด้วยการรักษาตัวตนออนไลน์ไว้เพียงผิวเผิน
      หากเป็นผู้ใช้ทั่วไป ควรใส่ข้อมูลในโลกออนไลน์ให้น้อยที่สุด โดยเฉพาะบนโซเชียลมีเดีย หากจำเป็นต้องมีตัวตนออนไลน์ ก็ควรประเมินความเสี่ยงและใช้เวลาและเงินเพื่อลดความเสี่ยงนั้น หากความพยายามลดความเสี่ยงนั้นไม่เห็นผลตอบแทนจากการลงทุน ก็มีโอกาสสูงว่าคุณถูกหลอกให้เชื่อว่าจำเป็นต้องมีตัวตนออนไลน์
      ไม่มีความปลอดภัยแบบสัมบูรณ์ มาตรการป้องกันทั้งหมดสามารถถูกเลี่ยงได้ แต่ไม่ได้แปลว่าจะต้องถูกเลี่ยงเสมอไป ให้ประเมินความเสี่ยงให้มากที่สุดเท่าที่ทำได้ และลดเฉพาะสิ่งที่คาดว่าจะให้ผลตอบแทนจากการลงทุนเป็นบวก ความเสี่ยงที่ไม่ลดก็ต้องยอมรับ และความเสี่ยงที่รับไม่ไหวก็ควรปฏิเสธการใช้ระบบนั้น เพื่อไม่ต้องแบกรับมันตั้งแต่แรก
      ต่อให้ไม่ทำการจัดการความเสี่ยงใด ๆ ก็ยังมีระดับความปลอดภัยพื้นฐานอยู่ เพราะประชากรบางส่วนที่มีแนวโน้มก่ออาชญากรรมคำนวณต้นทุนกับผลตอบแทน ยิ่งคนวงในที่รู้เรื่องแต่ถากถางพูดมากขึ้นว่าไม่มีความปลอดภัย ระดับพื้นฐานนี้ก็ยิ่งเข้าใกล้ศูนย์ และสาธารณชนทั่วไปก็ยิ่งเปราะบางขึ้น
      ยิ่งระดับพื้นฐานต่ำลง เวลาและเงินที่ปัจเจกต้องลงทุนเองเพื่อให้ได้ระดับความปลอดภัยที่พอทนได้ก็ยิ่งเพิ่มขึ้น ความถากถางทำให้เราต้องจ่ายราคา ดังนั้นนี่คือการบอกว่าอย่าไปฉี่หรืออึใส่กังหันน้ำของหมู่บ้านเพียงเพราะมันดูเท่
      ข้อมูลดิจิทัลในปัจจุบันอาจถูกเปิดเผยไปแล้ว หรืออาจถูกเปิดเผยสักวันหนึ่ง แต่เราสามารถเลือกเทคโนโลยีที่เลื่อนเวลานั้นออกไปให้ไกลขึ้นในอนาคตได้ และสำหรับข้อมูลที่ยังไม่ถูกทำให้เป็นดิจิทัล เราสามารถตัดสินใจอย่างมีสติได้ว่าความสะดวกคุ้มกับความเสี่ยงหรือไม่
  • ประโยคที่ว่า “ผู้เชี่ยวชาญด้านความปลอดภัยอย่าง Mike Kuketz มองว่าระบบ Microsoft ทั้งหมดที่ใช้การยืนยันตัวตนบนคลาวด์ แม้กระทั่งโฮสต์ Windows ควรถูกถือว่าถูกเจาะแล้ว” เป็นข้อกล่าวอ้างที่ใหญ่มาก
    ดูเหมือนมีความเป็นไปได้ทางทฤษฎีว่าคีย์ลงนามที่ถูกขโมยไปอาจถูกใช้เป็นส่วนหนึ่งของการโจมตีที่ใหญ่กว่า เพื่อเข้าถึงบริการแกนหลักอย่าง Windows Update หรือ control plane ของ Azure
    แต่ถ้ามี การเจาะระบบอย่างเป็นระบบ แบบนั้นจริง น่าจะมีใครสักคนสังเกตเห็นแล้ว

    • กิจกรรมการใช้คีย์ที่ถูกขโมยอย่างผิดกฎหมายเป็นเวลา 2 ปี ก็น่าจะมีใครสักคนสังเกตเห็นเหมือนกัน… อ้อ ใช่สิ
  • คำอธิบายของ Microsoft แสดงให้เห็นได้ชัดเจนกว่าบทความหลักและบล็อกมาก: https://www.microsoft.com/en-us/security/blog/2023/07/14/ana...
    อีกทั้ง ต่างจากที่อ้างกันที่นี่ Microsoft ได้แก้ไขหลังจากทราบปัญหาแล้ว: https://msrc.microsoft.com/blog/2023/09/results-of-major-tec...

    • สายเกินไปแล้ว ความเสียหายเกิดขึ้นไปแล้ว ใครก็ตามที่มีคีย์นั้นน่าจะเข้าถึงบัญชีและบริการ MS ทั้งหมดได้
      และคนเหล่านั้นก็แฮ็กบัญชีวิศวกรไปแล้ว โอกาสที่จะบังเอิญพบคีย์นี้จากการแฮ็กบัญชีวิศวกรเพียงบัญชีเดียวนั้นต่ำมาก ดังนั้นจึงสมเหตุสมผลที่จะมองว่าบัญชีวิศวกรของ Microsoft หลายบัญชีถูกแฮ็กไปแล้ว
      โดยพื้นฐานแล้ว บัญชี MS ไม่ปลอดภัย