นักพัฒนาเยอรมันที่เปิดเผยข้อมูลรับรองซึ่งฮาร์ดโค้ดไว้ในแอป ถูกตัดสินว่ามีความผิดฐาน ‘แฮ็ก’
(infosec.exchange)- ในเยอรมนี นักพัฒนาคนหนึ่งตรวจสอบล็อกซอฟต์แวร์ระหว่างทำงานและพบ ข้อมูลสำหรับเข้าถึงฐานข้อมูลของเวนเดอร์ จึงแจ้งให้ทราบ แต่ศาลมองว่าเป็นการแฮ็ก
- ซอฟต์แวร์ที่เป็นปัญหากำลังสร้าง การเชื่อมต่อ MySQL ไปยังเซิร์ฟเวอร์ฐานข้อมูลของเวนเดอร์ และภายในนั้นมีข้อมูลลูกค้าทั้งหมดของเวนเดอร์ ไม่ใช่แค่ข้อมูลของลูกค้าบริษัทที่นักพัฒนาทำงานให้
- ข้อมูลรับรองถูก ฮาร์ดโค้ดเป็นข้อความล้วน ไว้ในแอปพลิเคชัน และถูกเปิดเผยในระดับที่ไม่จำเป็นต้องดีคอมไพล์ด้วยซ้ำ
- ศาลเห็นว่าเพียงแค่มีรหัสผ่านอยู่ ก็ถือว่ามี กลไกป้องกัน แล้ว และตัดสินว่าการเลี่ยงผ่านสิ่งนั้นเข้าข่ายการแฮ็ก
- คำตัดสินเช่นนี้อาจบั่นทอนการวิจัยด้านความปลอดภัยที่ชอบธรรม และทำให้บริษัทที่มีความปลอดภัยบกพร่องหลีกเลี่ยงความรับผิด ขณะเดียวกันก็ทำให้ผู้ใช้ตกอยู่ในความเสี่ยงมากขึ้น
จากการค้นพบสู่การฟ้องร้อง
- เป็นคดีที่ก่อให้เกิดความกังวลว่ากฎหมายเยอรมันอาจทำให้การวิจัยด้านความปลอดภัยกลายเป็นเรื่องเสี่ยง
- นักพัฒนาคนหนึ่งได้รับมอบหมายให้ตรวจสอบซอฟต์แวร์ที่สร้างข้อความล็อกมากเกินไป
- ระหว่างการตรวจสอบ เขาพบว่าซอฟต์แวร์ดังกล่าวสร้าง การเชื่อมต่อ MySQL ไปยังเซิร์ฟเวอร์ฐานข้อมูลของเวนเดอร์
- ฐานข้อมูลนั้นมีไม่เพียงข้อมูลของลูกความของเขาเอง แต่ยังมี ข้อมูลลูกค้าทั้งหมดของเวนเดอร์ ด้วย
- หลังจากตรวจพบ นักพัฒนาแจ้งเวนเดอร์ทันที และแม้เวนเดอร์จะแก้ไขช่องโหว่แล้ว แต่ก็ยังดำเนินคดีอาญากับนักพัฒนาคนนั้น
กลไกป้องกันในมุมมองของศาล
- ประเด็นสำคัญคือข้อมูลรับรองฐานข้อมูลที่ฮาร์ดโค้ดไว้ในแอปพลิเคชัน ถือเป็นมาตรการป้องกันมากพอที่จะทำให้ข้อกล่าวหาเรื่องแฮ็กมีน้ำหนักหรือไม่
- ข้อมูลรับรองดังกล่าว ถูกเปิดเผยเป็นข้อความล้วน และไม่จำเป็นต้องดีคอมไพล์
- ศาลตัดสินว่า เมื่อมีรหัสผ่านอยู่ ก็ถือว่ามีกลไกป้องกัน และการเลี่ยงผ่านกลไกนั้นคือการแฮ็ก
ความเสี่ยงที่เหลือต่อการวิจัยด้านความปลอดภัย
- เหตุผลที่มีปฏิกิริยาคาดหวังให้ศาลชั้นสูงกลับคำตัดสิน คือเพียงแค่มีมาตรการป้องกันอยู่ ไม่ว่ามาตรการนั้นจะบกพร่องเพียงใด ก็อาจทำให้การวิจัยด้านความปลอดภัยกลายเป็น การแฮ็กทางอาญา ตามกฎหมายเยอรมันได้
- หากการวิจัยที่ชอบธรรมถูกบั่นทอน บริษัทต่าง ๆ ก็อาจคงไว้ซึ่ง ความปลอดภัยที่ไม่เหมาะสม พร้อมหลีกเลี่ยงความรับผิด และท้ายที่สุดผู้ใช้จะเป็นฝ่ายตกอยู่ในอันตราย
แหล่งที่มาต้นฉบับ
- บทความภาษาเยอรมันที่เกี่ยวข้อง: Gericht sieht Nutzung von Klartext-Passwörtern als Hacken an
1 ความคิดเห็น
ความเห็นจาก Hacker News
พาดหัวข่าวชวนสับสนอยู่พอสมควรและแทบจะเข้าข่ายพาดหัวล่อคลิก ถ้าเข้าใจถูก ความผิดของเขาคือการใช้ข้อมูลรับรองฐานข้อมูลที่ถูกเปิดเผยเพื่อล็อกอินเข้าเซิร์ฟเวอร์ฐานข้อมูลของบุคคลที่สาม
กล่าวคือ ไม่ใช่ว่าถูกดำเนินคดีเพียงเพราะ “เปิดเผย” ข้อมูลรับรองตามที่พาดหัวสื่อ แต่ใกล้เคียงกับการที่เขาใช้มันเพื่อเข้าไปดูภายในจริง ๆ มากกว่า
คล้ายกับการได้รับบัตรผ่านอาคารแล้วสมมติว่าประตูที่เปิดได้คือห้องที่เราเข้าได้ ถ้าทีมรักษาความปลอดภัยมาเจอฉันอยู่ในห้องที่ไม่ควรเข้า ก็ยังไม่ชัดว่าเป็นความผิดของฉัน หรือเป็นความผิดของคนที่ให้บัตรที่มีสิทธิ์ผิดมา
ถ้าเปิดประตูเข้าไป ดูข้างใน แล้วก็รู้ทันทีว่า “ที่นี่เป็นที่ที่ไม่ควรเข้ามา” จากนั้นรีบแจ้งทีมรักษาความปลอดภัย ก็ยังน่าสงสัยว่าควรถูกลงโทษหรือไม่
แต่ประเด็นสำคัญคือ ก่อนล็อกอินเขารู้เรื่องนั้นได้หรือไม่ ถ้าข้อมูลรับรองอยู่ในแอป เราควรต้องตั้งสมมติฐานเลยหรือว่าความปลอดภัยของบริษัทหละหลวมถึงขั้นเปิดให้เข้าถึงข้อมูลลูกค้าทั้งหมดได้ เขามีสิทธิ์ใช้แอป และแอปก็ใช้ข้อมูลรับรองนั้นอยู่ ดังนั้นการคิดว่าตัวเองก็น่าจะใช้มันได้ด้วย จึงไม่ใช่การกระโดดสรุปที่เกินเลยนัก
ไม่ว่าอย่างไร ผลของคำตัดสินนี้ย่อมส่งผลเสียอย่างชัดเจนต่อความปลอดภัยคอมพิวเตอร์ ต่อไปคนที่พบช่องโหว่ลักษณะนี้อาจไม่กล้ารายงานเพราะกลัวการตอบโต้ทางกฎหมาย
จากมุมมองนักพัฒนา เป็นเรื่องธรรมดาที่จะมองว่ารหัสผ่านมีไว้กันการเข้าถึงของคนที่ไม่ใช่ผู้ใช้ปกติ ไม่ใช่ผู้ใช้ปกติทุกคนก็เข้าถึงได้อยู่แล้ว แถมข้อมูลรับรองนั้นก็ไม่ได้ถูกซ่อนไว้หรือทำให้สับสนอ่านยากตั้งแต่แรก
พอชัดเจนแล้วว่าผู้ใช้ไม่ควรเข้าถึง เขาก็แจ้งผู้ขาย แล้วผมพลาดอะไรไปหรือเปล่า ฝั่งหนึ่งคือผู้พัฒนาที่ทำหน้าที่ของตัวเอง อีกฝั่งคือบริษัทที่เสียหน้าแล้วตอบโต้พร้อมขู่ให้ผู้รายงานบั๊กในอนาคตกลัว มันดูชัดเจนมากว่าเกิดอะไรขึ้น
ดูเหมือนแม้แต่ชื่อฐานข้อมูลก็ทำให้เข้าใจแบบนั้น และทันทีที่เขารู้ว่ามีข้อมูลของลูกค้าทั้งหมดอยู่ในนั้น เขาก็ตัดการเชื่อมต่อทันที
สิ่งสำคัญคือหลังจากเข้าถึงแล้ว เขาทำอะไรกับข้อมูลนั้น ถ้าไม่ได้ทำอะไรเลย ก็ไม่ควรถูกนับเป็นอาชญากรรม อาชญากรรมควรเกิดขึ้นเมื่อมีการนำข้อมูลนั้นไปใช้ในทางร้ายจริง ๆ
นี่เป็นปัญหาใหญ่พอสมควรสำหรับเยอรมนี บทบัญญัติ StGB มาตรา 202 และมาตราที่เกี่ยวข้อง ที่ถูกอ้างถึงทำให้งานวิจัยด้านความปลอดภัยในภาคเอกชนแทบเป็นไปไม่ได้ หรืออย่างน้อยก็เป็นงานที่ไม่น่าดึงดูดอย่างมาก
เกิดช่องว่างยาวนานเกือบ 20 ปี ทำให้แทบไม่มีวิศวกรรุ่นใหม่สนใจหรือได้รับการฝึกในด้านนี้ บรรษัทใหญ่ที่มีเงินมากที่สุดก็กวาดคนเก่งเท่าที่หาได้ไปหมด ส่วนคนระดับท็อปก็ย้ายไปต่างประเทศ ผลคือบริษัทขนาดกลางและขนาดย่อมซึ่งเป็นสัดส่วนใหญ่ของธุรกิจเยอรมัน ถูกแฮ็กมากขึ้นทุกวัน ไม่มีใครเข้าไปตรวจสอบ ทุกวันนี้ทุกสิ่งที่เชื่อมต่อเครือข่ายล้วนเป็นความเสี่ยงด้านความปลอดภัย
การคาดหวังว่าคดีนี้จะถูกกลับคำพิพากษาในชั้นอุทธรณ์เป็นความคิดที่ไร้เดียงสามาก จำเลยอาจต้องเสียเวลาหลายปีไล่ตั้งแต่ AG ไปถึง LG, OLG และ BGH และคาดว่าค่าใช้จ่ายอาจพุ่งถึงราว 100,000 ยูโร แล้วเพื่ออะไร บริษัทปกป้องข้อมูลของตัวเองไม่ได้ และเมื่อมีคนไปบอก ก็ “ขอบคุณ” ด้วยการลากขึ้นศาล
คำแนะนำของผมคือ ถ้าไม่มีโปรแกรม bug bounty ที่ชัดเจน ไม่ใช่บริษัทของตัวเอง หรือไม่ได้รับการว่าจ้างอย่างชัดแจ้งเป็นลายลักษณ์อักษรพร้อมค่าจ้าง ก็อย่าเอาปัญหานั้นมาเป็นปัญหาของตัวเอง กดความเป็นคนดีที่อยากช่วยคนอื่นไว้ ลบไฟล์ทุกอย่างทิ้ง แล้วอย่าบอกใคร โดยเฉพาะอย่าพูดในที่ทำงานเด็ดขาด พอมีคดีขึ้นมา คนที่ถูกถามจะพูดว่า “อ๋อ Mike ฝ่าย DevOps เป็นคนหาเจอจาก hex dump” แล้วคุณจะเสียใจทีหลัง
ผู้เชี่ยวชาญความมั่นคงปลอดภัยสารสนเทศรุ่นเก่าบางคนในเยอรมนีโกรธเรื่องนี้มาก ถึงขั้นปฏิเสธช่วยเหลือแม้แต่เมื่อหน่วยงานรัฐเกิดเหตุด้านความปลอดภัย ปล่อยให้เรียนรู้ผ่านความเจ็บปวดกันเอง
คดีนี้ยืดเยื้อมาหลายปีแล้ว
เมื่อฤดูร้อนปีที่แล้ว ศาลได้ยกฟ้องคดีของอัยการ ในระบบนี้ อัยการจะยื่นคดีต่อศาล แล้วศาลจะตรวจเบื้องต้นอย่างรวดเร็วและสามารถยกฟ้องได้ก่อนนัดพิจารณาหากเห็นว่าอ่อนมาก ซึ่งเกิดขึ้นค่อนข้างน้อย อัยการไปกลับคำสั่งนั้นในศาลชั้นสูงกว่าได้ ทำให้มีการพิจารณาคดีในศาลชั้นต้นเดิม แต่เป็นผู้พิพากษาคนละคนกับที่เคยยกฟ้องครั้งแรก
“ตามคำวินิจฉัยของศาลแขวง Jülich ลงวันที่ 10 พฤษภาคม 2023 กระบวนการทางอาญาต่อผู้วิจัยด้านความปลอดภัยถูกยกฟ้อง ศาลเห็นว่าข้อมูลที่ผู้วิจัยด้านความปลอดภัยเข้าถึงนั้นไม่ได้รับการปกป้องอย่างเพียงพอ จึงไม่เข้าองค์ประกอบความผิดอาญา ‘เฉพาะข้อมูลที่ได้รับการปกป้องเป็นพิเศษจากการเข้าถึงโดยมิชอบเท่านั้น ที่อยู่ในขอบเขตการคุ้มครองของความผิดนี้ ซึ่งตั้งอยู่บนสมมติฐานว่ามีมาตรการที่เหมาะสมในเชิงภาวะวิสัยเพื่อป้องกันการเข้าถึงข้อมูล’ ศาลระบุไว้ในคำวินิจฉัย ‘ศาลไม่เห็นด้วยกับความเห็นของอัยการที่ว่าการป้องกันด้วยรหัสผ่านเพียงอย่างเดียวนั้นเพียงพอ ตัวอย่างเช่น หากรหัสผ่านง่ายเกินไป หรือถูกใช้แบบมาตรฐานในแอปพลิเคชันบางตัว รหัสผ่านก็ไม่ได้ให้การคุ้มครองข้อมูลอย่างมีประสิทธิภาพเสมอไป ในกรณีดังกล่าว การเปิดให้เข้าถึงข้อมูลย่อมไม่เป็นความผิดอาญา’”
“จากการตรวจสอบซอฟต์แวร์ Modern Solution ของ heise online เอง พบว่ายังมีรหัสผ่านเริ่มต้นที่ฝังมาอยู่จริง ซึ่งหมายความว่าใครก็ตามที่ตรวจสอบซอฟต์แวร์ซึ่งดาวน์โหลดได้อย่างเสรีจากเว็บไซต์ของบริษัท ก็สามารถเข้าถึงข้อมูลบนเซิร์ฟเวอร์ของ Modern Solution ได้”
ไม่ เขาถูกตัดสินว่ามีความผิดฐานใช้ข้อมูลรับรองนั้นเชื่อมต่อกับฐานข้อมูล ฉันไม่รู้กฎหมายเยอรมนี แต่ในสหราชอาณาจักรอย่างน้อยก็ดูชัดเจนว่าเข้าข่ายละเมิด Computer Misuse Act ดังนั้นผลคดีจึงแทบเดาได้อยู่แล้ว
จะชอบหรือไม่ก็ตาม ถ้าคุณอยู่ในตำแหน่งที่จะทำงานวิจัยแบบนี้ได้ อย่างน้อยก็ควรรู้พื้นฐานของกฎหมาย
ดูเหมือนว่านักพัฒนาไม่ได้ทำวิจัยด้านความปลอดภัย แต่กำลังสืบหาบั๊ก เขาเชื่อมต่อฐานข้อมูล พอรู้ว่ามันคืออะไร ก็ยกเลิกการเชื่อมต่อทันทีและรายงานอย่างรับผิดชอบ เรื่องแบบนี้ไม่ควรลงเอยด้วยการถูกลงโทษ
อย่างที่คนอื่นพูดไว้ ถ้าเป็นแบบนี้ก็เท่ากับผลักให้คนเอาความรู้นี้ไปขายให้คนที่จะ “ใช้ในทางที่ผิด” จริง ๆ
ฉันไม่เห็นว่าความต่างคืออะไร ถ้าจะบอกว่าแค่ผิดเงื่อนไขการใช้งานก็ว่าไปอย่าง แต่นี่ห่างไกลมากจากสิ่งที่ควรเรียกว่า “แฮ็ก”
การมีรหัสผ่านไม่ได้แปลว่าพวกเขาตั้งใจจะกันคนออกไปเสมอไป พวกเขาแจกจ่ายรหัสผ่านนั้นมาพร้อมกันด้วย
มันเหมือนตอนเข้าตึกแล้วมีคนยื่นคีย์การ์ดให้พร้อมบอกว่า “อย่าเข้าไปในที่ที่ไม่ควรไปนะ” แต่กลายเป็นว่าการ์ดนั้นเป็นมาสเตอร์คีย์ แล้วเราจะรู้ได้อย่างไรว่าการ์ดใบนั้นจะเปิดได้แม้แต่ที่ที่ไม่ควรเปิดตั้งแต่แรก
ฉันก็มีข้อมูลรับรองสำหรับบริการของ Google แต่สิ่งนั้นทำให้ฉันเข้าถึงได้เฉพาะของตัวเองเท่านั้น
เขาเรียกใช้คอนเน็กเตอร์ของอีกบริการหนึ่งซึ่งดูเหมือนเป็นแหล่งที่มาของข้อมูลนั้น และสังเกตจากไฟร์วอลล์ว่ามีการเปิดการเชื่อมต่อแบบข้อความล้วนไปยังเซิร์ฟเวอร์ MySQL ระยะไกล พอดูต่อก็พบว่าข้อมูลรับรองที่ใช้เป็นชุดเดียวกันสำหรับทุกเทนแนนต์ในฐานข้อมูล MySQL ดังนั้นสิ่งที่เปิดเผยจึงไม่ใช่แค่ข้อมูลของลูกค้า แต่เป็นข้อมูลของทุกเทนแนนต์
ต่อมาเท่าที่ฉันทราบ เขาสร้างแฮชของข้อมูลผู้ใช้และส่งออกไปเพื่อแจ้งหน่วยงาน และเพื่อให้ผู้ใช้ตรวจสอบได้ว่าตนอยู่ในระบบที่ควรมองว่าถูกละเมิดหรือไม่ ฐานข้อมูลนั้นเปิดเผยข้อมูลของผู้ใช้ปลายทางประมาณ 700,000 คน และเขายังแจ้งปัญหานี้แก่บริษัทที่ดูแลฐานข้อมูลด้วย
ผู้ให้บริการคอนเน็กเตอร์นั้นออกไคลเอนต์ใหม่ที่ใช้ TLS และเขาก็เลี่ยงมันได้อีกเพื่อแสดงให้เห็นว่าปัญหายังมีอยู่จริง
เขายังถูกกล่าวหาว่าดีคอมไพล์ซอฟต์แวร์ไคลเอนต์เพื่อเอารหัสผ่านมา แต่ถ้าฉันจำไม่ผิด เขายืนยันว่าแค่เปิดไฟล์ใน Notepad เท่านั้น
พอรู้ว่ามันเข้าถึงข้อมูลได้มากกว่าที่ตั้งใจไว้ เขาก็ตัดการเชื่อมต่อ
ฉันเองก็เคยทำแบบเดียวกันเป๊ะในสถานการณ์คล้ายกัน มีผู้ขายซอฟต์แวร์เดสก์ท็อปรายหนึ่งที่มีปัญหา ฉันเห็นว่าข้อมูลรับรองของฐานข้อมูลถูกเก็บเป็นข้อความล้วนในไฟล์คอนฟิก ก็เลยเชื่อมต่อเข้าไป ในกรณีของฉัน ฐานข้อมูลนั้นเป็นแบบเทนแนนต์เดียวสำหรับบริษัทเราโดยเฉพาะ จึงสามารถจัดการสิ่งที่ต้องการได้
เวลาใช้กฎหมายกับคดีแบบนี้ เจตนา ไม่ควรถูกนำมาพิจารณาอย่างชัดเจนหรือ? ดูไม่ออกเลยว่านักพัฒนาคนนี้มีเจตนาจะเข้าถึงระบบที่ถูกจำกัด
กฎหมายแบบนี้น่าจะต้องเขียนใหม่ เจตนา สำคัญ และ “แฮ็กเกอร์” คนนี้ก็ดูไม่ได้ตั้งใจจะก่ออันตราย
บริษัทแค่ขายหน้าเพราะช่องโหว่ด้านความปลอดภัยถูกเปิดโปง และต้องการลงโทษคนที่เปิดเผยเรื่องนี้
แค่คดีนี้คดีเดียวก็ทำให้ฉันไม่อยากไปทำงานที่เยอรมนีในฐานะนักพัฒนาแล้ว และถ้าเป็นสายความปลอดภัยยิ่งไม่อยากไปใหญ่
พวกเขาแค่อยากให้ “ชาวนา” รู้ที่ต่ำที่สูงของตัวเองและอย่าไปสอดส่องหน้าต่างของพวกขุนนาง ถ้าไม่มีแสงจากความเห็นสาธารณะที่ทนายพอจะส่องเข้าไปได้ รัฐก็มักจะเข้าข้างฝ่ายที่มีเงินมากที่สุดเกือบทุกครั้ง เพราะงั้นเรื่องแบบนี้ต้องทำแบบไม่เปิดเผยตัวตน
ฉันเคยทำสตาร์ตอัปด้านอาหารในเนเธอร์แลนด์
เราทำงานกับ PostNL ซึ่งเป็นผู้ให้บริการหลักด้านการส่งไปรษณีย์และเคยเป็นหน่วยงานของรัฐ ทุกสัปดาห์เราอัปโหลดคำสั่งซื้อของเราเข้าไปในระบบของพวกเขา และสามารถดูประวัติของเราเองได้
แต่แล้ววันหนึ่งจู่ ๆ เราก็เข้าถึงประวัติของลูกค้ารายอื่นทั้งหมดได้ และสามารถส่งออกข้อมูลผู้ใช้ได้ หลายรายในนั้นเป็นคู่แข่งโดยตรง และรายชื่อผู้รับจดหมายของพวกเขาก็น่าจะมีค่ากับเรามาก
พาร์ตเนอร์ของฉันส่งออกข้อมูลทั้งหมดของ Marley Spoon ซึ่งเป็นคู่แข่งที่ได้เงินลงทุนมากกว่า รวมถึงข้อมูลของเจ้าอื่นอีกบางรายออกมาเป็น Excel ตอนที่เขาบอกฉัน ฉันสั่งให้ลบทิ้งทันที จะสนุกแค่ไหนก็ไม่ควรสร้างภาระทางกฎหมาย ถึงอย่างนั้นถ้าเราใช้มัน เราอาจโตได้ 10~30% ภายในไม่กี่สัปดาห์
ทั้งที่พวกเขามีหน้าที่ตามกฎหมาย EU แต่ก็ไม่เคยรายงานเรื่องนี้เลย
สุดท้ายแล้ว ถ้าคุณได้กุญแจปราสาทมา บางทีทางที่ดีก็คืออย่าใช้มัน หรือจะใช้ก็ได้มั้ง
เราอาจใช้มันในการต่อรองราคา และบางทีอาจควรทำด้วยซ้ำ หลังจากนั้นไม่กี่เดือนพวกเขาก็ขึ้นราคาของเราเกือบเท่าตัวแบบไม่ปรานี ยังไม่รวมถึงการจัดการคำสั่งซื้อผิดพลาด 3~8% แล้วไม่คืนเงินด้วย
แต่สุดท้ายเราก็ย้ายไปใช้บริการจัดส่งเจ้าอื่นหลายรายแทน ซึ่งแต่ละเจ้าก็มีปัญหาของตัวเองเหมือนกัน
ถ้ามีสกรีนช็อตที่แสดงหลักฐานว่ามีการรั่วไหลของข้อมูลส่วนบุคคล ก็น่าจะช่วยได้แน่ ๆ และดูไม่น่าเชื่อว่า PostNL จะแก้ระบบแย่ ๆ นั้นแล้ว
ตามกฎหมายเนเธอร์แลนด์ ถ้าเพื่อนร่วมงานของคุณรู้ว่าตนไม่ควรเข้าถึงข้อมูลนั้น แต่ยังดาวน์โหลดข้อมูลเกินกว่าขอบเขตที่จำเป็นต่อการยืนยันว่ามีการรั่วไหลหรือไม่ ก็ถือว่าก่ออาชญากรรม
ถ้าคุณ “ใช้” ข้อมูลนี้ในการเจรจา นั่นคือการข่มขู่ และโดยเฉพาะเมื่ออีกฝ่ายเป็นบริษัทใหญ่ขนาดนั้นและแทบไม่มีคู่แข่งจริง ๆ มันเป็นสิ่งที่คุณไม่ควรทำอย่างยิ่ง พวกเขาจะไปแจ้งตำรวจ และคุณจะจบเห่
ฟังดูคล้ายกับคดีที่เกิดขึ้นแถวที่ฉันอยู่
https://www.techdirt.com/2022/02/25/turns-out-it-was-actuall...
“การแฮ็ก” ครั้งนั้นคือการถอดรหัสหมายเลขประกันสังคมที่ถูกทำเป็น Base64
ลองนึกภาพโปรแกรมเมอร์ขี้เกียจเอาสารพัดอย่างไปวางในตัวถอดรหัส Base64 ออนไลน์ดูสิ ข้างในเพย์โหลดนั้นจะมีอะไรอยู่มากแค่ไหนกัน
ถ้าเปิดเว็บอย่าง base64decode.org ก็น่าจะเป็น honeypot ชั้นดีเลย
ถ้าข้อมูลถูกเข้ารหัสจริงก็คงอีกเรื่อง แต่ การเข้ารหัสแบบ Base64 ไม่ใช่การเข้ารหัสลับ Base64 ถอดกลับได้ง่ายมาก: https://developer.mozilla.org/en-US/docs/Glossary/Base64#the...
“การแฮ็ก” หลายครั้งก็เหมือนมีคนโง่เปิดประตูหน้าบ้านอ้าไว้
ถ้าคุณเปิดประตูหน้าบ้านอ้าไว้แล้วโดนขโมย คนทั่วไปคงไม่ค่อยเห็นใจ แต่พอบริษัทประหยัดเงินไม่ยอมอัปเดต ดูแล หรือบังคับใช้แนวปฏิบัติพื้นฐานด้านความปลอดภัย แล้วไม่ทำอะไรเลย ผู้คนกลับไปตะโกนใส่แฮ็กเกอร์
ถ้าคุณเปิดประตูหน้าบ้านอ้าไว้ แล้วฉันเข้าไปขโมย ฉันก็ก่ออาชญากรรมอยู่ดี คำว่า “ประตูมันเปิดอยู่แล้ว” ใช้เป็นข้อแก้ตัวไม่ได้
ฉันอาจสมควรถูกตำหนิ แต่คนที่ปล้นฉันก็ควรถูกลงโทษอย่างเหมาะสมด้วย
ต่อให้พวกเขาอ้างว่า “แค่อยากตรวจดูว่าทุกอย่างปลอดภัยดีไหม” ก็เหมือนกัน
นี่มันตรงข้ามกับกฎหมาย Good Samaritan ไม่ใช่หรือ? เหมือนบอกว่าถ้าเห็นอะไรผิดปกติก็อย่าพูดอะไร และอย่าทำอะไรเลย
ถ้าการค้นหาปัญหาแบบนี้ผิดกฎหมาย ฉันก็สงสัยว่า หลังจากสังเกตเห็นว่ามีปัญหาได้แล้วหยุดแค่นั้น แล้วไป ชอร์ตหุ้น บริษัทนั้นแทน จะถูกกฎหมายไหม
ปัญหาที่คุณจะเจอถ้าลองทำจริงคือ นักลงทุนแทบไม่สนใจปัญหาด้านความปลอดภัยเลย ดังนั้นต่อให้เปิดเผยช่องโหว่ ราคาหุ้นก็อาจไม่ตกมากนัก แถมบริษัทนี้ก็ดูเหมือนไม่ได้จดทะเบียนในตลาดหลักทรัพย์ด้วย ฉันอ่านเยอรมันไม่ออกจึงไม่กล้าฟันธง แต่น่าจะเป็นที่นี่: https://www.modernsolution.net/
ประมาณว่า “สวัสดีครับ/ค่ะ ผม/ฉันบังเอิญพบว่ามีรหัสผ่านอยู่ที่ออฟเซ็ต X ของแอปนี้ จากภาพหน้าจอเฮกซ์ดัมป์นี้เห็นรหัสผ่านได้ชัดเจน ข้างๆ ยังมีชื่อผู้ใช้กับโฮสต์ และมีป้ายบอกชัดว่าเป็นการเชื่อมต่อ SQL แต่ผม/ฉันยืนยันไม่ได้ว่ารหัสผ่านนั้นคืออะไร อย่าใช้ชื่อผู้ใช้และรหัสผ่านนี้ไปเชื่อมต่อกับ IP นี้นะ ขอบคุณ!” อะไรทำนองนั้น
อีกอย่าง สำหรับบริษัทอเมริกันหลายแห่ง แม้จะมีข้อมูลรั่วไหลหรือการเจาะระบบครั้งใหญ่ ก็ไม่ได้ส่งผลลบต่อฐานะการเงินของบริษัทเสมอไป
มาตรา 202a ของกฎหมายอาญาระบุไว้ดังนี้
https://www.gesetze-im-internet.de/stgb/__202a.html
โดยคร่าวๆ คือ “การเข้าถึงข้อมูลที่ได้รับการป้องกันเป็นพิเศษเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต เพื่อประโยชน์ของตนเองหรือผู้อื่น”
apparently ดูเหมือนว่ารหัสผ่านแบบฮาร์ดโค้ดที่ฝังอยู่ในไคลเอนต์ก็เข้าข่ายนี้ด้วย
แต่ความเป็นจริงก็คือเป็นแบบนี้ และบางทีอาจได้แก้กันราวปี 2050 มั้ง