- Andrew Harris อดีตพนักงานของ Microsoft อ้างว่า หลังจากค้นพบช่องโหว่ Golden SAML ใน AD FS เมื่อปี 2016 เขาเรียกร้องให้บริษัทจัดการมานานหลายปี แต่บริษัทกลับพูดถึงเพียงแนวทางระยะยาวแทนการแก้ไขทันที
- ช่องโหว่นี้ทำให้หลังจากขโมย private key ของเซิร์ฟเวอร์ AD FS แล้ว ผู้โจมตีสามารถใช้ โทเค็นปลอมแปลง เพื่อเข้าถึงบริการคลาวด์ราวกับเป็นผู้ใช้จริงได้ โดยแทบไม่ทิ้งร่องรอยใน audit log และยังเลี่ยงการยืนยันตัวตนหลายปัจจัยได้ด้วย
- ข้อเสนอของ Harris ให้ ปิด seamless SSO ขัดกับความกังวลเรื่องความไม่สะดวกของลูกค้าภาครัฐสหรัฐ สัญญาคลาวด์กับ Pentagon การแข่งขันกับ Okta และความกังวลด้านประสบการณ์ผู้ใช้
- หลังการโจมตี SolarWinds ในปี 2020 แฮ็กเกอร์รัสเซียได้ใช้จุดอ่อนนี้เพื่อรวบรวมข้อมูลสำคัญจาก National Nuclear Security Administration, NIH, Treasury Department และหน่วยงานอื่น ๆ จากนั้น Microsoft จึงแนะนำลูกค้า Microsoft 365 ให้ปิด seamless SSO ของ AD FS
- Microsoft ระบุว่าการปกป้องลูกค้าคือสิ่งสำคัญสูงสุด และได้ทบทวนประเด็นด้านความปลอดภัยนี้หลายครั้ง แต่คำให้การของอดีตพนักงานสะท้อนให้เห็นกรณีที่ วัฒนธรรมด้านความปลอดภัยและลำดับความสำคัญทางธุรกิจ ขัดแย้งกัน
ช่องโหว่ Golden SAML ที่พบใน AD FS
- Andrew Harris ทำงานใน Ghostbusters ซึ่งเป็นหน่วยงานลับภายใน Microsoft ที่รับมือเหตุแฮ็กของลูกค้ารายสำคัญ และในปี 2016 เขาได้หันมาโฟกัสที่ปัญหาใน AD FS ระหว่างสืบสวนเหตุเจาะระบบบริษัทเทคโนโลยีรายใหญ่แห่งหนึ่งในสหรัฐ
- AD FS เป็นผลิตภัณฑ์ที่ช่วยให้ผู้ใช้ล็อกอินครั้งเดียวแล้วเข้าถึงโปรแกรมงานหลายตัวได้ และมีผู้ใช้งานหลายล้านคน
- ความเสี่ยงหลักที่ Harris ระบุคือ ในการยืนยันตัวตนแบบ SAML ผู้โจมตีสามารถปลอมตัวเป็นพนักงานที่ถูกต้องและเข้าถึงโปรแกรมบนคลาวด์ได้
- ผู้โจมตีจะต้องเจาะเข้าเซิร์ฟเวอร์ on-premises ก่อน แล้วจึงดึง private key ออกจากเซิร์ฟเวอร์ AD FS
- จากนั้นสามารถ ปลอมแปลงโทเค็น ให้ดูเหมือนเป็นผู้ใช้สิทธิ์สูงได้
- เนื่องจากข้อมูลล็อกอินดูเหมือนเป็นของจริง จึงตรวจจับด้วย audit log ทั่วไปได้ยาก
- Harris เห็นว่าปัญหานี้อาจกระทบไม่เฉพาะ Microsoft Azure แต่รวมถึงองค์กรที่ใช้ผู้ให้บริการคลาวด์รายอื่นอย่าง Amazon ด้วย
“security boundary” และการตัดสินของ MSRC
- Harris แจ้งปัญหานี้ไปยัง Microsoft Security Response Center หรือ MSRC แต่ MSRC ตัดสินว่าไม่เข้าข่ายต้องแก้ไข
- MSRC มองว่า ผู้โจมตีต้องเข้าถึงเซิร์ฟเวอร์ on-premises ก่อน จุดนั้นจึงเป็นขอบเขตความปลอดภัย และปัญหาที่ข้ามต่อไปยังคลาวด์ไม่ใช่ขอบเขตความปลอดภัยแยกต่างหาก
- อดีตพนักงาน MSRC ระบุว่า ในเวลานั้นศูนย์ต้องรับมือรายงานช่องโหว่จำนวนมากภายใต้ภาวะขาดแคลนบุคลากร และมีวัฒนธรรมที่มักสรุปว่า “won’t fix”
- พวกเขาย้อนว่า คำว่า “security boundary” ในเวลานั้นไม่ได้มีนิยามชัดเจน และ Microsoft มักใช้เป็นเหตุผลเพื่อไม่แก้ไขปัญหา
- Bill Gates เคยเขียนไว้ในบันทึกปี 2002 ว่า เมื่อต้องเลือกระหว่างการเพิ่มฟีเจอร์กับการแก้ปัญหาความปลอดภัย ควรเลือก ความปลอดภัย แต่เมื่อเวลาผ่านไป อิทธิพลของ MSRC ก็อ่อนลงตามคำบอกเล่าของอดีตพนักงาน
วิธีบรรเทาชั่วคราวขัดกับเหตุผลทางธุรกิจ
- Harris มองว่าการแก้ระยะยาวอาจใช้เวลา จึงเสนอให้ปิด seamless single sign-on(SSO) เป็นแนวทางชั่วคราว
- ฟีเจอร์นี้เป็นความสามารถด้านความสะดวกของ Microsoft ที่ทำให้ผู้ใช้ล็อกอินครั้งเดียวแล้วเข้าถึงทั้งเซิร์ฟเวอร์ on-premises และบริการคลาวด์หลายตัวได้
- ตามคำบอกเล่าของ Harris ผู้รับผิดชอบผลิตภัณฑ์ Mark Morowczynski คัดค้าน โดยให้เหตุผลว่าการเปิดเผยช่องโหว่อาจเป็นการชี้ทางให้ผู้โจมตี และจะสร้างความไม่สะดวกอย่างมากให้ลูกค้ารัฐบาลกลาง
- พนักงานรัฐบาลกลางต้องล็อกอินด้วยสมาร์ตการ์ดตามข้อกำหนด
- Harris อธิบายว่า หากปิด seamless SSO จะต้องล็อกอินรอบที่สองเมื่อต้องเข้าถึงคลาวด์ และในกระบวนการนั้นจะไม่สามารถใช้สมาร์ตการ์ดที่จำเป็นได้
- สัญญาคลาวด์ขนาดใหญ่ของ Pentagon และการแข่งขันกับ Okta ก็ถูกอ้างถึงเป็นเหตุผลในการคัดค้านเช่นกัน
- ขณะนั้น Microsoft กำลังแข่งขันกับ Okta และ seamless SSO ก็เป็นหนึ่งในความได้เปรียบทางการแข่งขันของ Microsoft
- ข้อเสนอของ Harris ทำให้ผู้ใช้ต้องยืนยันตัวตนสองครั้ง เกิด friction ที่ขัดกับกลยุทธ์ผลิตภัณฑ์
- Harris เล่าว่า Morowczynski บอกว่านี่ไม่ใช่การตัดสินใจทางเทคนิค แต่เป็น การตัดสินใจทางธุรกิจ
คำเตือนจากบริษัทรักษาความปลอดภัยภายนอก
- CyberArk เผยแพร่บล็อกโพสต์และ proof-of-concept ในปี 2017 โดยเรียกเทคนิคนี้ว่า Golden SAML
- ต่อมา Brad Smith เขียนในคำตอบเป็นลายลักษณ์อักษรต่อ Senate Intelligence Committee ว่า Microsoft เพิ่งรู้จักปัญหานี้ตอนที่ CyberArk เผยแพร่ในปี 2017
- Lavi Lazarovitz จาก CyberArk กล่าวว่า ก่อนการเผยแพร่ เขาได้แชร์ปัญหานี้ในแชต WhatsApp แบบปิดที่มีนักวิจัยด้านความปลอดภัยจากหลายบริษัทเข้าร่วม และมีนักวิจัยของ Microsoft อยู่ด้วย
- Harris บอกว่า หลัง CyberArk เปิดเผยข้อมูล เขามองว่าปัญหานี้ยิ่งเร่งด่วนขึ้น จึงยกเรื่องนี้ขึ้นกับ product group และ MSRC อีกครั้ง แต่ MSRC ก็ยังคงจุดยืนเดิม
- ในปี 2019 นักวิจัยของ Mandiant ได้สาธิตวิธีเข้าถึงบัญชีคลาวด์และแอปพลิเคชันผ่านการเจาะ AD FS ในงานสัมมนาที่เยอรมนี พร้อมเผยแพร่เครื่องมือด้วย
- Mandiant ระบุว่าได้แจ้ง Microsoft ก่อนการนำเสนอ
- นี่เป็นครั้งที่สองในราว 16 เดือนที่บริษัทภายนอกแจ้ง Microsoft เกี่ยวกับปัญหา SAML
คำเตือนต่อลูกค้าของ Harris และกรณี NYPD
- ในปี 2019 Harris โพสต์บน LinkedIn เป็น คำเตือนทางอ้อม ทำนองว่าหากใครรู้จักคนที่ยังไม่เข้าใจความสัมพันธ์ด้านการยืนยันตัวตนของ AD FS ให้ติดต่อเขา
- เขาพยายามแจ้งความเสี่ยงให้ลูกค้าที่มีความสัมพันธ์กันอยู่โดยตรง หนึ่งในนั้นคือ New York Police Department
- Harris อธิบายจุดอ่อนของ AD FS ให้ Matthew Fraser ผู้รับผิดชอบด้านไอทีของ NYPD ฟัง และแนะนำให้ปิด seamless SSO
- Fraser ยืนยันว่ามีการประชุมดังกล่าว และกล่าวว่าจุดอ่อนของ SAML ถูกระบุว่าเป็นพื้นที่ที่ต้องได้รับการปกป้องและแยกออก
- Harris ออกจาก Microsoft ในเดือนสิงหาคม 2020 ไปอยู่ที่ CrowdStrike และบอกว่าเขาได้ยกประเด็นช่องโหว่ SAML นี้อีกครั้งในการสัมภาษณ์ก่อนลาออก
การเลี่ยง MFA และการโจมตี SolarWinds
- Harris เล่าว่า ระหว่างคุยกับเพื่อนร่วมงานในปี 2018 เขาตระหนักว่าผู้โจมตีที่มีโทเค็นปลอมแปลงสามารถเลี่ยง การยืนยันตัวตนหลายปัจจัย ได้ด้วย
- ปัญหาคือ แม้จะมีขั้นตอนความปลอดภัยเพิ่มเติม หากมีโทเค็นปลอม ผู้โจมตีก็สามารถข้ามทั้งหมดได้
- ปลายปี 2020 มีการเปิดเผยการโจมตี SolarWinds และรัฐบาลสหรัฐระบุว่ามีแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐรัสเซียเกี่ยวข้อง
- ผู้โจมตีได้ฝังมัลแวร์ในอัปเดตซอฟต์แวร์ของ SolarWinds เพื่อเปิดทางเข้าระบบเครือข่ายจากระยะไกล ก่อนใช้ช่องโหว่หลังการเจาะระบบอย่าง Golden SAML เพื่อขโมยข้อมูลบนคลาวด์และอีเมล
- ผู้โจมตีใช้จุดอ่อนที่ Harris เคยชี้ไว้เพื่อรวบรวมข้อมูลสำคัญจากหลายหน่วยงาน
- National Nuclear Security Administration
- National Institutes of Health
- บัญชีอีเมลหลายบัญชีของ Treasury Department
- Brandon Wales จาก CISA กล่าวในเวลานั้นว่า เกือบหนึ่งในสามของผู้เสียหายไม่ได้ใช้ซอฟต์แวร์ SolarWinds
- Microsoft เองก็ถูกเจาะเช่นกัน และหลังการโจมตีไม่นาน Microsoft ก็แนะนำลูกค้า Microsoft 365 ให้ ปิด seamless SSO ใน AD FS และผลิตภัณฑ์ลักษณะใกล้เคียง
จุดยืนสาธารณะของ Microsoft และมาตรการหลังจากนั้น
- Brad Smith ประธาน Microsoft กล่าวต่อสภาคองเกรสในปี 2021 ว่า ไม่มีช่องโหว่ในผลิตภัณฑ์หรือบริการของ Microsoft ที่ถูกใช้ในเหตุโจมตี SolarWinds
- Smith อธิบายว่า Golden SAML ถูกใช้ใน 15% ของ 60 กรณีที่ Microsoft ตรวจพบ แต่ก็ยอมรับว่านั่นไม่ใช่ผู้เสียหายทั้งหมดที่มีการสังเกตหรือขโมยข้อมูล
- Smith กล่าวด้วยว่า หากองค์กรต่าง ๆ ซื้อผลิตภัณฑ์แอนติไวรัสอย่าง Microsoft Defender และปกป้องอุปกรณ์ด้วย Intune รวมถึงดำเนินมาตรการอื่น ๆ ความเสียหายก็น่าจะน้อยมาก
- หลัง SolarWinds Microsoft ได้ดำเนินมาตรการเพื่อลดความเสี่ยงจาก SAML และฟังก์ชันสำหรับตรวจจับผลกระทบจากการแฮ็กอย่างมีประสิทธิภาพนั้นถูกรวมไว้ใน Sentinel ซึ่งเป็นผลิตภัณฑ์เสริมแบบเสียเงิน
- Microsoft ใช้คำว่า “blind spot” ในบล็อกเพื่ออธิบายการขาดความสามารถในการตรวจจับนี้
การโต้แย้งของ Microsoft และข้อถกเถียงเรื่องวัฒนธรรมความปลอดภัย
- Microsoft ไม่ได้ให้ผู้บริหารระดับสูงอย่าง Brad Smith มาให้สัมภาษณ์ แต่ก็ไม่ได้ปฏิเสธผลการสืบสวนของ ProPublica โดยตรง
- บริษัทระบุในคำตอบเป็นลายลักษณ์อักษรว่า การปกป้องลูกค้าคือสิ่งสำคัญสูงสุดเสมอ และทีมตอบสนองด้านความปลอดภัยให้ความสำคัญกับทุกประเด็นอย่างจริงจัง โดยผ่านการประเมินด้วยคนและการทบทวนร่วมกับพาร์ตเนอร์ด้านวิศวกรรมและความปลอดภัย
- Microsoft อธิบายว่า ในการประเมินภัยคุกคามที่อาจเกิดขึ้น บริษัทจะพิจารณาความเป็นไปได้ของการรบกวนลูกค้า โอกาสในการถูกโจมตี และมาตรการบรรเทาที่มีอยู่
- เหตุการณ์ในปี 2023 ที่แฮ็กเกอร์ซึ่งเชื่อมโยงกับรัฐบาลจีนใช้ช่องโหว่ความปลอดภัยของ Microsoft เพื่อเข้าถึงอีเมลของเจ้าหน้าที่ระดับสูงสหรัฐ ก็กลายเป็นประเด็นสอบสวนของ House Homeland Security Committee ด้วย
- Cyber Safety Review Board สรุปจากการสอบสวนเหตุการณ์นี้ว่า วัฒนธรรมด้านความปลอดภัยของ Microsoft ไม่เหมาะสมและจำเป็นต้องยกเครื่องใหม่ทั้งหมด
- หลังรายงานต่อคณะกรรมการ Satya Nadella ได้บอกพนักงานว่า หากความปลอดภัยขัดกับลำดับความสำคัญอื่น ให้เลือกความปลอดภัย
การแข่งขันในธุรกิจคลาวด์และผลลัพธ์
- Satya Nadella ซึ่งขึ้นเป็น CEO ในปี 2014 ได้เดิมพันอนาคตของ Microsoft กับธุรกิจคลาวด์ Azure ขณะที่ในเวลานั้น Azure ยังตามหลัง Amazon อยู่มาก
- Microsoft เสนอกลยุทธ์ hybrid cloud ให้ลูกค้าองค์กรและภาครัฐ โดยยังคงเก็บเซิร์ฟเวอร์ on-premises บางส่วนไว้ พร้อมย้ายงานคอมพิวต์ส่วนใหญ่ไปยังคลาวด์
- ความปลอดภัยเป็นเหตุผลสำคัญในการขายคลาวด์ โดยชูว่ามีบุคลากรด้านความปลอดภัยเฉพาะทางคอยดูแล patch และการอัปเดต
- Harris และอดีตพนักงานรายอื่นกล่าวว่า สัญญาคลาวด์ขนาดใหญ่ของ Pentagon และแรงกดดันเรื่องการเติบโตของ Azure มีอิทธิพลต่อการตัดสินใจของทีมผลิตภัณฑ์
- ในท้ายที่สุด Microsoft ก็ได้ส่วนหนึ่งของโครงการคลาวด์มูลค่าหลายพันล้านดอลลาร์แบบหลายปีกับ Defense Department ร่วมกับ Amazon, Google และ Oracle
- หลังการเปิดเผย SolarWinds ราคาหุ้น Microsoft เพิ่มขึ้น 106% โดยมีการชี้ว่าความสำเร็จของ Azure และผลิตภัณฑ์ AI อย่าง ChatGPT เป็นปัจจัยหลัก
- ผลิตภัณฑ์ระยะยาวที่ใช้แทน AD FS ซึ่ง Morowczynski กล่าวถึงกับ Harris ในปี 2017 เริ่มเปิดให้ใช้งานในปี 2022
1 ความคิดเห็น
ความเห็นจาก Hacker News
วิธีแก้คือใช้ Zero Trust แบบสมบูรณ์ ภายในองค์กรและไม่ไว้ใจเครือข่าย ต้องปฏิบัติต่อเครือข่ายภายในเหมือนภายนอก หรือก็คือเหมือนสภาพแวดล้อมที่เป็นปฏิปักษ์
Google เป็นกรณีแรก ๆ ที่นำ Zero Trust มาใช้ในวงกว้างด้วย BeyondCorp และมองว่าหลังเหตุการณ์ Aurora ก็ไม่มีการเจาะระบบองค์กรภายในของ Google อีก
จำเป็นต้องมีเอนด์พอยต์ที่ถูกจัดการอย่างสมบูรณ์ การ harden เอนด์พอยต์อย่างเข้มงวด สินทรัพย์ทรัพยากรทั้งองค์กรแบบครบถ้วน ใบรับรองต่ออุปกรณ์ และเอนจิน access control list ที่ตัดสินสิทธิ์การเข้าถึงทรัพยากรตามผู้ใช้
ยังสามารถตรวจจับความผิดปกติด้วยฮิวริสติกอย่างเวลาทำงานได้ด้วย และแอปภายในของ Google ทั้งหมดเปิดให้เข้าถึงผ่านอินเทอร์เน็ตและรีไดเร็กต์ไปยังพอร์ทัล SSO แต่ในทางปฏิบัติกลับเข้าใช้งานไม่ได้จริงสำหรับผู้ที่ไม่ได้รับสิทธิ์ ปัญหาด้านความปลอดภัยลักษณะนี้จำนวนมากถูกแก้ไปแล้ว เหลือแค่ลงมือทำ
องค์กรขนาดใหญ่ส่วนมากสะสมเทคโนโลยีทั้งภายในและภายนอกมาหลายทศวรรษ มีระบบเก่าที่แทบถูกปล่อยทิ้งไว้ และมีความหลากหลายสูงจากการควบรวมกิจการรวมถึงการที่แต่ละแผนกเลือกเครื่องมือเองได้
หากจะย้ายไปสู่ Zero Trust ต้องมีการย้ายระบบครั้งใหญ่ ต้อง “ให้ความรู้” เพื่อโน้มน้าวฝ่าย IT ที่หัวแข็ง และต้องเปลี่ยนไปสู่โมเดลรวมศูนย์แบบ Google
สองข้อแรกถึงจะได้งบก็ยังพอเป็นไปได้ แต่ข้อที่สามอาจแพงมาก เหตุผลหนึ่งที่ Google ยกเลิกหลายอย่างบ่อยก็เพราะโมเดลรวมศูนย์ทำให้ต้องย้ายระบบตลอดและต้องรับมือกับอัปเกรดที่ทำให้ของเดิมพัง
ในสตาร์ตอัป เราอยากมอบความเป็นเนื้อเดียวกันตาม best practice แบบนี้ให้ลูกค้า แต่วันหนึ่งลูกค้าอาจขอว่า “ช่วยปิด Zero Trust แล้วให้ใช้ IP allowlist แทนได้ไหม” สำหรับดีลใหญ่ก็อาจลังเลว่าจะยอมรับไหม และก็ไม่สามารถยกเลิกการเข้าซื้อกิจการได้เพียงเพราะบริษัทนั้นไม่มี Zero Trust
ตรงกันข้าม มันเกือบจะเป็น โจทย์ที่ยากมากเป็นพิเศษ และฟังดูคล้ายคำตอบแบบ “ก็แค่วาดนกฮูกทั้งตัวสิ” ลองนึกภาพ Shaw Industries ผู้ผลิตพรมและวัสดุปูพื้นที่ใหญ่ที่สุดในสหรัฐซึ่งมีพนักงาน 22,000 คนต้องทำสิ่งนี้ดู
ถ้ามีท่าทีว่า “ปลอดภัยแน่นอน” ก็จะเลิกค้นหาการบุกรุกอย่างจริงจัง และสุดท้ายก็จะพลาดการละเมิดที่วันหนึ่งต้องเกิดขึ้น
Zero Trust คือปรัชญา และเป็นปรัชญาที่ค่อนข้างดี แต่ตัวมันเองไม่ใช่วิธีแก้ ควรมองว่าเป็นปรัชญาและแนวปฏิบัติที่ดีมากกว่าจะเป็นคำตอบแบบเบ็ดเสร็จ
ไม่คิดว่าสถาปัตยกรรมแบบนี้จะเหมาะกับทุกบริษัท บริษัทเทคโนโลยีนอกสายซอฟต์แวร์ส่วนใหญ่เสียหายจาก social engineering ง่าย ๆ อีเมลหลอกลวง และการส่งมอบข้อมูลรับรองให้บุคคลที่สาม อีกทั้งการจารกรรมทางเศรษฐกิจก็เป็นภัยใหญ่เช่นกัน
Google อาจมีความกังวลด้านความปลอดภัยอีกแบบ เช่น ผู้เปิดโปงภายในหรือกลุ่มนักเคลื่อนไหวที่ขัดกับวิสัยทัศน์ของผู้บริหาร และโครงสร้างนี้อาจเหมาะกับปัญหาแบบนั้น แต่ไม่ได้แปลว่าเวกเตอร์ภัยคุกคามของทุกบริษัทจะเหมือนกัน
ปัญหาความปลอดภัยแก้ได้ แต่โครงสร้างพื้นฐานที่ต้องมีนั้นไม่ใช่เรื่องเล็ก และซอฟต์แวร์สแตกด้านวิศวกรรมจำนวนมากก็ไม่รองรับการยืนยันตัวตนผ่านบุคคลที่สามตั้งแต่แรก
นักพัฒนาจำนวนมาก แม้ไม่ใช่นักพัฒนาซอฟต์แวร์ ก็ยังไม่ชอบ “เอนด์พอยต์ที่ถูกจัดการ” แนวทางนี้ใช้ได้กับ Google แต่ค่อนข้างเป็นกรณีพิเศษ และในโลกความจริง การแบ่งส่วนเครือข่ายอย่างสมเหตุสมผล อาจได้ผลกว่ามาก
ความไม่สอดคล้องของแรงจูงใจ ระหว่างความปลอดภัยกับผลกำไร โดยเฉพาะในบริษัทมหาชน เป็นสิ่งที่แก้ได้ยากมากหากไม่มีการเปลี่ยนแปลงทางวัฒนธรรมครั้งใหญ่ และก็ไม่แน่ใจด้วยว่าอะไรจะเป็นตัวจุดชนวนให้เกิดการเปลี่ยนแปลงแบบนั้น
เคยรับบทงานด้านไซเบอร์ซีเคียวริตีควบคู่ในหลายตำแหน่ง แต่ไม่เคยไปทำเต็มตัว เพราะสิ่งที่เห็นกับตาในอุตสาหกรรมนี้เอง นั่นคือการโฟกัสด้านคอมพลายแอนซ์มากเกินไปอย่างท่วมท้น มากกว่าการปฏิบัติด้านความปลอดภัยที่ดีจริง ๆ และมาตรฐานเหล่านั้นเองก็ยังไม่เพียงพอหรือบังคับใช้อ่อนแอ
ต้องมีการเปลี่ยนวัฒนธรรม แต่คิดว่าต้องมาจากฝั่งลูกค้า แม้ผู้บริโภคทั่วไปจะทำได้ยาก แต่หากลูกค้าองค์กรประเมินความปลอดภัยอย่างจริงจัง เรียกร้องการรับประกันที่มีผลผูกพัน และตัดสินใจซื้อจากสิ่งนั้น อุตสาหกรรมก็จะตอบสนอง
แน่นอนว่า Microsoft ฝังตัวลึกเกินไปในตลาดเดสก์ท็อป จึงยากที่วิธีนี้จะได้ผลอย่างเต็มที่
แต่ในอีกด้าน นี่ก็เป็นปฏิกิริยาโดยตรงจากการไม่มีวัฒนธรรมที่ใส่ใจความปลอดภัย ทีมความปลอดภัยมักมีทางเลือกอยู่แค่สองทาง
คือยืนกรานว่า “ความปลอดภัยสำคัญ เรามาสร้างผลิตภัณฑ์ที่ปลอดภัยกันเถอะ” แล้วโดนหัวเราะเยาะ หรือไม่ก็หยิบคอมพลายแอนซ์ที่ผู้ตรวจสอบเรียกร้องมาเป็นเครื่องมือเพื่อขยับองค์กรให้เอียงมาทางความปลอดภัยได้สักเล็กน้อย
แม้แต่คนทั่วไปเองก็ยังเลือกเงินมากกว่าความปลอดภัยในบางครั้ง รัฐบาลเองก็ดูเหมือนจะเลือกแรงงานที่มีผลิตภาพสูงกว่า แทนที่จะรับต้นทุนที่สูงขึ้นและผลิตภาพที่ลดลงเพื่อแลกกับความปลอดภัยที่มากกว่า
เมื่อบริษัทขายให้ภาครัฐ เงินที่ทำได้และผลด้านประชาสัมพันธ์มันมากเกินไป จึงเกิด แรงจูงใจให้ปกปิดข้อเท็จจริงที่ไม่สบายใจ ทำให้นึกถึงผู้ผลิตเครื่องบินบางราย
ตั้งแต่ระดับซ่อนเรื่องที่น่าอายเล็กน้อย ไปจนถึงการฉ้อโกงขนาดใหญ่ เป็นระบบ และจงใจ ซึ่งเมื่อเวลาผ่านไปอาจลุกลามได้ครอบคลุมทั้งสเปกตรัม
ถ้าผู้นำพูดว่า “ให้ความสำคัญกับความปลอดภัย/คุณภาพก่อน” แต่ไม่ได้ให้รางวัลกับสิ่งนั้นจริง เกมก็ถูกปูไว้เรียบร้อยแล้ว
ถ้าให้รางวัลหรือลงโทษทุกวันตามเป้าเงิน และเวลาถูกจับได้เป็นครั้งคราวก็ลงโทษแค่ลูกน้องลำดับล่างหนึ่งสองคน แสดงว่าสิ่งที่บริษัทจริงจังคือเงิน ไม่ใช่ความปลอดภัย/คุณภาพ
ถ้าจะให้บรรลุเป้าหมาย ก็ต้องมีแรงจูงใจ ฝ่ายเซลส์มีความเครียดสูงและถูกไล่ออกได้ง่าย แต่ถ้าสำเร็จก็ทำเงินก้อนโตได้ ส่วนงานความปลอดภัย ต่อให้ทำสำเร็จก็แค่ไม่ถูกไล่ออก แต่ถ้าล้มเหลวก็ถูกไล่ออก
ผลลัพธ์ของงานด้านความปลอดภัยที่ดีคือ “ไม่มีอะไรเกิดขึ้น” ไม่มีการเจาะระบบ ไม่มีภัยพิบัติ ไม่มีความวุ่นวาย จึงวัดผลได้ยาก ปัญหาคือจะวัด “การไม่มีอยู่” ให้เป็นตัวเลขอย่างไร
สุดท้ายแล้ว ฝ่ายเซลส์มีแครอตมากมาย และไม้เรียวก็เหมือนกับทุกคน แต่ฝ่ายความปลอดภัยไม่มีแครอต มีแต่ไม้เรียว และไม้เรียวนั้นอาจเป็นกระบองตะปูด้วย คำตอบอยู่ที่วัฒนธรรม และการเปลี่ยนวัฒนธรรมคือสิ่งที่ยากที่สุด
ไม่ควรคาดหวังให้ฝ่ายขายมากังวลเรื่องความปลอดภัย เพราะจุดโฟกัสของฝ่ายขายควรเป็นการเติบโต ปัญหาคือไม่ได้ให้อำนาจและเขตอำนาจฝั่งตรงข้ามในการพูดว่า “ไม่” ว่าการแก้ปัญหาความปลอดภัยต้องมาก่อนฟีเจอร์ใหม่
ถ้าให้ผู้จัดการโครงการที่ได้แรงจูงใจจากการเติบโตเป็นคนตัดสินลำดับความสำคัญ ก็เป็นธรรมดาที่เขาจะเลือกการเติบโตมากกว่าความปลอดภัย
ไม่ใช่ว่าทีมความปลอดภัยไม่รู้ปัญหา แต่เป็นเพราะการแก้ไขไม่ถูกยกให้เป็นลำดับความสำคัญ และวัฒนธรรมกับกระบวนการไม่สามารถสร้างสมดุลระหว่างสองฝั่งได้
ฝั่งรัฐบาลเอง อย่างน้อยในระดับเส้นทางอาชีพของผู้ตัดสินใจรายบุคคล ก็มีแรงจูงใจมากพอที่จะอยากให้สัญญานั้นปิดดีลได้
ทั้งสองฝั่งต่างก็อยากให้ดีลเกิดขึ้น และมีแรงจูงใจจะซ่อนข้อบกพร่อง ตราบใดที่ผู้ใช้ปลายทางยังไม่ทันสังเกตก่อนเกษียณ
มองว่าโมเดลความปลอดภัยมาก่อนแบบ Microsoft ที่ Satya Nadella พูดว่า “ถ้าต้องเลือกระหว่างความปลอดภัยกับลำดับความสำคัญอื่น คำตอบชัดเจนอยู่แล้ว จงเลือกความปลอดภัย” เป็นแบบนี้
ยัดโฆษณาเข้าไปทั่วทุกซอกทุกมุมของ Windows ติดตั้งตัวบันทึกที่คอยจดทุกอย่างที่ผู้ใช้ทำ แล้วส่งอีเมลถึงพนักงานว่า “ให้ทำเรื่องความปลอดภัย” ก็ถือว่าภารกิจเสร็จแล้ว
เรื่องนั้นทำให้รู้สึกชัดมากว่า การอบรม อีเมล และกระบวนการส่วนใหญ่ มีไว้เพื่อสร้างความสามารถในการปฏิเสธอย่างดูน่าเชื่อถือ
ที่ Microsoft ก็มีคนที่ใส่ใจเรื่องความปลอดภัยอย่างจริงจังอยู่ และเคยเจอด้วยตัวเอง แต่โดยรวมแล้ว กลไกแบบนี้ช่วยให้ Satya สามารถพูดในศาลหรือในสภาได้ว่า “เราบอกให้ให้ความสำคัญกับความปลอดภัยมากขึ้นแล้ว เป็นความผิดของทีมผลิตภัณฑ์หรือผู้มีส่วนร่วมรายบุคคล ไม่ใช่เรื่องนโยบายและแรงจูงใจของ Microsoft”
ถ้อยคำในอีเมลไม่มีน้ำหนักอะไรเลย ทันทีที่ผู้นำเลือกจะเอาความปลอดภัยไปแลกกับอย่างอื่น สัญญาณที่พนักงานต้องการก็ถูกส่งไปเรียบร้อยแล้ว
ทำให้นึกถึงประเด็นถกเถียงที่ Canonical บันทึกการค้นหาด้วยปุ่ม Super และช่วงที่ Ubuntu ใส่โฆษณา Amazon มาเป็นค่าเริ่มต้น
คนที่ชอบคอมพิวเตอร์อาจติดตั้ง Arch, Gentoo, NixOS Minimal แล้วตรวจสอบแพ็กเกจเองได้ แต่การคาดหวังให้คนส่วนใหญ่ที่ไม่ได้เป็นวิศวกรซอฟต์แวร์ทำแบบนั้นเป็นเรื่องไม่สมจริง
ไม่ใช่แค่ Microsoft แต่ทุกบริษัทล้วนมีแรงจูงใจให้แปะโฆษณาให้ได้มากที่สุดและเก็บข้อมูลให้ได้มากที่สุดอยู่เสมอ ยังไม่แน่ใจว่าจะสนับสนุนการกำกับดูแลหรือไม่ แต่ก็ไม่ค่อยรู้วิธีอื่น
ตามเคย คำพูดติดปากของ ผู้บริหารระดับสูง ว่า “ให้ความสำคัญกับความปลอดภัยก่อน” ไม่ได้สำคัญอะไร
ถ้ายังให้รางวัลและเลื่อนตำแหน่งคนจากฟีเจอร์ แต่ไม่ให้รางวัลกับวัฒนธรรมความปลอดภัย คนและลำดับชั้นการบริหารก็ไม่ได้โง่ จึงจะปรับตัวไปตามทิศทางนั้น
ไม่รู้ว่าต้องออกแบบแรงจูงใจนี้อย่างไรถึงจะแก้ได้ แต่ก็คงจะยังไหลไปในทางเดิมต่อไป
จนกว่าคนที่รับผิดชอบจะถูกลงโทษ และมีใครสักคนต้องจ่ายราคา ก็คงจะไม่มีอะไรเกิดขึ้น
ปกติฟีเจอร์จะถูกใส่เข้าผลิตภัณฑ์เมื่อการตลาดแสดงให้เห็นว่าฟีเจอร์นั้นสร้างการเติบโตทางธุรกิจได้มากกว่าต้นทุนของมัน ลองใช้แนวคิดเดียวกันได้
เช่น “ช่องโหว่นี้กระทบลูกค้า X% ทำให้ Y% เลิกใช้ และสร้างความเสียหายต่อชื่อเสียงจนสูญเงินก้อนใหญ่ ในทางกลับกันสามารถแก้ได้ภายใน Z วันด้วยเงินจำนวนเล็กน้อย จะตัดสินใจอย่างไร?”
ผมคิดว่ามีประเด็นสำคัญพอสมควรในเรื่องนี้ที่ถูกมองข้ามไป หากปิด seamless SSO ก็จะส่งผลกระทบในวงกว้างและค่อนข้างเฉพาะทางต่อ สมาร์ตการ์ด แบบกายภาพที่เจ้าหน้าที่รัฐใช้ล็อกอินเข้าอุปกรณ์
การ์ดนี้ซึ่งข้อบังคับของรัฐบาลกลางกำหนดให้ใช้ จะสร้างรหัสผ่านแบบสุ่มทุกครั้งที่ล็อกอิน แต่ด้วยโครงสร้างของเทคโนโลยีพื้นฐาน หากเอา seamless SSO ออก ผู้ใช้ก็จะไม่สามารถเข้าถึงคลาวด์ด้วยสมาร์ตการ์ดได้
รัฐบาลสหรัฐเป็นหนึ่งในลูกค้ารายใหญ่ที่สุดของ Microsoft และยังมีฐานผู้ใช้กับขนาดของ Active Directory มหาศาล จากประสบการณ์ที่เคยทำงานในด้านนี้ การจัดการผู้ใช้และบทบาทแทบจะเป็นฝันร้ายจากข้อมูลรับรองที่ถูกขโมย บัญชีถูกล็อก ฯลฯ และยังตกเป็นเป้าตลอดเวลา
รัฐบาลสหรัฐพยายามย้ายทุกคนไปใช้การยืนยันตัวตนด้วยสมาร์ตการ์ดเพื่อลดปัญหาเหล่านี้ และการเลิกใช้รหัสผ่านพร้อมเปลี่ยนทุกคนไปใช้การยืนยันตัวตนแบบสองขั้นตอนก็ช่วยลดพื้นผิวการโจมตีได้มาก
แต่คนนี้เหมือนกำลังจะบอกให้ลูกค้าแค่ปิดมันไปเฉยๆ เป็นส่วนหนึ่งของแนวทางแก้ไข
ผมไม่ได้ปฏิเสธความเสี่ยงของช่องโหว่ SAML ตั้งแต่แรก แต่คิดว่า Harris ตัดสินการตอบสนองส่วนอื่นของ Microsoft อย่างไม่เป็นธรรม มันแทบไม่ต่างจากการเรียกร้องให้ปิดการยืนยันตัวตนแบบสองขั้นตอนทั้งหน่วยงาน
มาตรการบรรเทาระยะสั้นอาจทำลายความปลอดภัยอย่างมาก และอาจเปิดให้ลูกค้าเสี่ยงต่อการโจมตีแบบที่เดิมตั้งใจจะป้องกันมากขึ้น เรื่องนี้ถูกเล่าเหมือนเป็นอีกตัวอย่างที่บริษัทไม่ใส่ใจความปลอดภัย แต่ดูเหมือนจริงๆ แล้วเป็นการคัดค้านจาก “ผู้เปิดโปงภายใน” ที่มองท่าทีความปลอดภัยโดยรวมของลูกค้าแคบเกินไป
ผู้ดูแลระบบความปลอดภัยสารสนเทศของหน่วยงานรัฐส่วนใหญ่ก็คงจะบอกเหมือนกันว่า ด้วยเหตุผลเดียวกัน มันไม่ใช่ตัวเลือกที่ทำได้จริง
สุดท้ายใจความของบทความก็คือเรื่องนั้นเอง คือยังขายต่อทั้งที่รู้ว่าไม่มีวิธีจัดการมันอย่างปลอดภัย
ไม่ได้จะปกป้อง Microsoft แต่ผมไม่แน่ใจว่าจะชี้ชื่อบริษัทที่ให้ความสำคัญกับ ความปลอดภัยมากกว่ากำไร ได้จริงๆ หรือเปล่า
Bill Gates เคยพูดไว้ในปี 2002 ว่า “ถ้าต้องเลือกระหว่างการเพิ่มฟีเจอร์กับการแก้ปัญหาความปลอดภัย เราควรเลือกความปลอดภัย” และ Satya Nadella ก็พูดในทำนองเดียวกันในปี 2024 ว่า “ให้ทำเรื่องความปลอดภัย”
https://www.wired.com/2002/01/bill-gates-trustworthy-computi...
https://www.theverge.com/24148033/satya-nadella-microsoft-se...
จริงๆ แล้วมีฟีเจอร์ที่ผมใช้งานและยอมจ่ายเพิ่มได้อีกหลายอย่าง แต่พวกเขาไม่ทำเพราะมันไม่ใช่โปรโตคอลที่ปลอดภัยสมบูรณ์ หรือเพราะต้องผสานกับไคลเอนต์ปฏิทินทั่วไป
ถ้าลูกค้าที่จ่ายเงินไม่ได้ให้คุณค่ากับความปลอดภัย ผู้ขายก็จะไม่ให้คุณค่ากับมันเช่นกัน เว้นแต่จะมีข้อบังคับหรือข้อกำหนดทางกฎหมาย
แต่เมื่อคิดว่าลูกค้าของ Microsoft มีทั้งองค์กรขนาดใหญ่และรัฐบาล กรณีนี้ก็ดูแปลก อาจมีความหยิ่งแบบ “คงไม่เกิดกับเรา” หรือ “ไม่มีใครรู้หรอก”
ตอนนี้พวกเขาคงกำลังเห็นแล้วว่าความเสียหายด้านชื่อเสียงมีแนวโน้มจะกระทบกำไรในอนาคตด้วย
ลองนึกภาพว่าบริษัทก่อสร้างสร้างสะพานขนาดใหญ่ขึ้นมา ผู้ตรวจสอบความปลอดภัยภายในเตือนหัวหน้าซ้ำแล้วซ้ำเล่าว่ามีข้อบกพร่องเชิงโครงสร้างที่อาจนำไปสู่การพังถล่ม และเมื่อเวลาผ่านไปก็มีคำเตือนสาธารณะจากภายนอกอีกสองครั้ง แต่บริษัทกลับลดทอนความสำคัญของมัน
ในที่สุดสะพานก็ถล่ม และมีการเปิดเผยว่าบริษัทไม่ทำอะไรเลยเพราะไม่อยากเสียสัญญาขายสะพานที่มีข้อบกพร่องเพิ่มอีก
สาธารณชนย่อมโกรธอย่างชอบธรรม และผู้เกี่ยวข้องก็ควรได้รับผลทางกฎหมาย แต่ผมไม่เข้าใจว่าอะไรต่างออกไปในอุตสาหกรรมของเราจนทำให้บริษัทและผู้บริหารหลุดพ้นจากความมุ่งร้ายแบบนี้ได้
ดูเหมือนว่าถ้าไม่มีคนตายมากพอ โดยทั่วไปผู้คนก็ไม่ค่อยใส่ใจนัก
https://www.nrk.no/innlandet/statens-vegvesen-legg-fram-rapp...
ซอฟต์แวร์ไม่ได้คุกคามชีวิตในทันที ดังนั้นนอกจากการแพทย์และอวกาศแล้ว มันแทบจะเหมือนยุคบุกเบิกไร้กฎเกณฑ์
การที่ข้อมูลส่วนบุคคลรั่วไหลบนอินเทอร์เน็ตเป็นเรื่องเลวร้ายมาก แต่เมื่อเทียบกับประตูเครื่องบินหลุดออกกลางอากาศ อย่างน้อยก็ยังมีเวลารับมือ
รัฐบาลสามารถเริ่มเปลี่ยนแปลงได้โดยกำหนดให้สัญญาซอฟต์แวร์ที่ขายให้ภาครัฐต้องมีการลงนามและอนุมัติโดยบุคคลที่มีใบอนุญาต
ส่วนกระเช้า Mottarone นั้นคล้ายกันแน่นอน พวกเขาเดินระบบมาหลายปีโดยปิดอุปกรณ์นิรภัยไว้ และเมื่อสลิงลากขาด ตัวกระเช้าก็พุ่งตกลงไปด้านล่างทำให้ผู้โดยสารเสียชีวิตทั้งหมด
Golden SAML ไม่ใช่ช่องโหว่เสียทีเดียว แต่เป็นรูปแบบการโจมตีที่ทำได้ก็ต่อเมื่อยึดเครื่องได้ทั้งหมดก่อน ตามที่บทความของ CyberArk ซึ่งถูกอ้างในโพสต์ก็ย้ำอีกครั้ง
ถ้าไม่ได้เข้าใจอะไรผิด ก็ไม่เห็นว่ามีข้อบกพร่องเฉพาะจุดอะไร ตามคำพูดของ Microsoft ที่ถูกล้อในบทความ นี่ไม่ใช่การข้ามขอบเขตความปลอดภัย
เรื่องแบบนี้เป็น trade-off ที่มีอยู่เสมอกับ SSO หากโครงสร้างพื้นฐาน SSO ถูกเจาะ ทุกอย่างที่ใช้มันก็เสี่ยงถูกเจาะตามไปด้วย
จุดนี้เหมือนถูกพูดผ่าน ๆ ไป แต่ผมคิดว่า “การแฮ็ก” ที่แท้จริงน่าจะใกล้เคียงกับตรงนั้นมากกว่า
ตราบใดที่ยังใช้ SSO การบรรเทาก็ไม่ง่าย วิธีหนึ่งคือให้บริการปลายทางต้องการปัจจัยที่สองนอกเหนือจาก SAML token ที่ถูกต้อง แต่ถ้าทำแบบนั้น ผู้ใช้แต่ละคนก็ต้องคอยดูแลปัจจัยที่สองให้เป็นปัจจุบันในแต่ละบริการปลายทาง
ไม่นานก็จะจัดการไม่ไหว และในความเป็นจริงก็แทบไม่มีทั้ง SaaS และแอปที่โฮสต์เองที่รองรับทั้ง SSO และปัจจัยที่สองพร้อมกัน
คล้ายกับการสร้างชื่อการโจมตีว่า “GOLDEN ADMIN” แล้วบอกว่าถ้ามีข้อมูลรับรองผู้ดูแลระบบ ก็ล็อกอินเป็นผู้ดูแลแล้วทำอะไรก็ได้ตามต้องการ
ผมเข้าใจนะว่าการที่ผู้โจมตีสามารถยืนยันตัวตนที่ไหนก็ได้โดยไม่ทิ้ง log ไว้เป็นเรื่องแย่ แต่ถึงอย่างนั้นก็ยังเห็นด้วยกับคอมเมนต์ต้นทาง
ผมคิดว่าน่าจะมีวิธีที่เป็นไปได้อยู่
นี่ไม่ใช่ปัญหาของ Microsoft เจ้าเดียว ในฐานะวิศวกรความปลอดภัย ถ้าคุณอยากรักษาทั้งสติและผลงานในสายอาชีพนี้ คุณต้องทำงานในที่ที่มีความสามารถทางเทคนิค และมีแรงจูงใจจากกฎระเบียบกับงบประมาณที่เข้มแข็ง หรือมีวัฒนธรรมที่ใส่ใจความปลอดภัยเพราะ threat model เชื่อมโยงกับผลกำไรอย่างชัดเจน
ตัวอย่างหลักตามเกณฑ์ของผมคือสตาร์ตอัปก่อน IPO ที่ต้องผ่าน SOC2 เป็นต้นเพื่อเข้าตลาด อุตสาหกรรมคริปโตที่มีทั้ง threat model อย่างการขโมยกุญแจและแรงจูงใจด้านกำไรที่ชัดเจน และบริษัทเทคโนโลยีมหาชนที่ให้บริการโครงสร้างพื้นฐานสำคัญจำนวนมาก
แต่ก็มีที่อย่าง Microsoft ที่ใหญ่เกินกว่าจะล้มได้ และมีที่อย่าง Google/Project Zero, Verizon/Paranoids, Cloudflare ที่ดูเหมือนมีทีมความปลอดภัยภายในแข็งแกร่ง
ธนาคารอาจเป็นไปได้เพราะมีเงิน มีวัฒนธรรมหลีกเลี่ยงความเสี่ยง และมีกฎระเบียบเข้มงวด แต่สายการแพทย์นั้นถึงจะมีกฎระเบียบหนักก็ยังมีทั้งปริมาณการโจมตีและความไม่ใส่ใจจนผมไม่อยากไปทำงานเด็ดขาด
ดังนั้น ถ้าคุณไม่ได้อยากเข้า DART เพื่อเห็นผู้ก่อภัยคุกคามจริงและเคสตอบสนองต่อเหตุการณ์ที่หลากหลายจำนวนมาก หรืออยากทำงานด้านความปลอดภัย OS ระดับลึกมากจริง ๆ ผมไม่แนะนำให้ไป Microsoft ในฐานะวิศวกรความปลอดภัย
ผมไม่ค่อยรู้ว่างานของวิศวกรความปลอดภัยที่ Apple เป็นอย่างไร นี่เองก็เป็นเหตุผลที่อายุงานเฉลี่ยของสายอาชีพความปลอดภัยอยู่ราว ๆ 10 ปี สติค่อย ๆ ถูกกัดกร่อน และค่าตอบแทนก็ค่อนข้างดีจนพอเข้าช่วงอายุ 30–40 ก็มีเงินเก็บพอจะไปทำอย่างอื่นได้