หกแนวคิดอันงี่เง่าเกี่ยวกับความปลอดภัยคอมพิวเตอร์ (2005)

 (ranum.com)
5 คะแนน โดย GN⁺ 2024-07-16 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • หกแนวคิดที่งี่เง่าที่สุดในความปลอดภัยคอมพิวเตอร์
    • ความปลอดภัยคอมพิวเตอร์ยังคงเป็น "หัวข้อร้อนแรง"
    • เหตุใดจึงยังคงมีปัญหา ทั้งที่ลงทุนทั้งเวลาและเงินไปมากมาย?

อนุญาตโดยค่าเริ่มต้น

  • "อนุญาตโดยค่าเริ่มต้น" ปรากฏในหลายรูปแบบ
  • มักพบได้บ่อยที่สุดในกฎของไฟร์วอลล์
  • เมื่อพบช่องโหว่ใหม่ ผู้ดูแลระบบต้องตัดสินใจว่าจะบล็อกมันหรือไม่
  • "อนุญาตโดยค่าเริ่มต้น" ก่อให้เกิดการแข่งขันที่ไม่มีวันจบกับแฮ็กเกอร์
  • แนวคิดตรงข้ามคือ "ปฏิเสธโดยค่าเริ่มต้น" ซึ่งเป็นไอเดียที่ดี

การไล่ลิสต์สิ่งไม่ดี

  • ในยุคแรกของความปลอดภัยคอมพิวเตอร์ มีเพียงช่องโหว่ที่รู้จักกันดีอยู่ไม่กี่อย่าง
  • "การไล่ลิสต์สิ่งไม่ดี" คือการรวบรวมรายการองค์ประกอบอันตรายทั้งหมดแล้วบล็อกมัน
  • องค์ประกอบอันตรายในอินเทอร์เน็ตมีมากกว่าองค์ประกอบที่เป็นประโยชน์
  • "การไล่ลิสต์สิ่งไม่ดี" ไม่มีประสิทธิภาพ และ "การไล่ลิสต์สิ่งที่ดี" เป็นแนวทางที่ดีกว่า

เจาะแล้วแพตช์

  • "เจาะแล้วแพตช์" คือแนวทางที่ค้นหาบั๊กแล้วแก้ไขมัน
  • วิธีนี้ไม่ได้แก้ปัญหารากฐานของโค้ด
  • การค้นพบช่องโหว่ด้านความปลอดภัยแล้วออกแพตช์ไม่ใช่วิธีแก้ปัญหาที่ต้นตอ
  • ระบบความปลอดภัยควรถูกสร้างให้ปลอดภัยตั้งแต่ขั้นตอนการออกแบบ

การแฮ็กเป็นเรื่องเท่

  • การมองว่าการแฮ็กเป็นเรื่องเท่เป็นความคิดที่งี่เง่า
  • การแฮ็กเป็นปัญหาทางสังคม ไม่ใช่ปัญหาทางเทคนิค
  • การยกย่องแฮ็กเกอร์ให้เป็นฮีโร่คือการส่งเสริมการแฮ็ก
  • การที่ผู้เชี่ยวชาญด้านความปลอดภัยไปเรียนรู้เทคนิคการแฮ็กก็เป็นความคิดที่งี่เง่าเช่นกัน

การอบรมผู้ใช้

  • การอบรมผู้ใช้คือเวอร์ชันที่เป็นมนุษย์ของ "เจาะแล้วแพตช์"
  • การให้ความรู้ผู้ใช้ไม่ใช่วิธีแก้ปัญหาที่ต้นตอ
  • แทนที่จะแก้ปัญหา การกำจัดปัญหาออกไปเป็นแนวทางที่ดีกว่า

การลงมือทำดีกว่าไม่ทำอะไรเลย

  • แนวคิดที่ว่า "การลงมือทำดีกว่าไม่ทำอะไรเลย" เป็นความคิดที่งี่เง่า
  • ก่อนนำเทคโนโลยีใหม่มาใช้ การพิจารณาอย่างรอบคอบและรอให้แน่ใจก่อนเป็นกลยุทธ์ที่ดีกว่า
  • ควรจำไว้ว่า "การไม่ทำเรื่องงี่เง่านั้นง่ายกว่าการทำเรื่องฉลาด"

สรุปโดย GN⁺

  • บทความนี้กล่าวถึงความผิดพลาดงี่เง่าที่มักเกิดขึ้นในความปลอดภัยคอมพิวเตอร์
  • การแก้ปัญหาที่ต้นตอเป็นสิ่งสำคัญเมื่อออกแบบระบบความปลอดภัย
  • วัฒนธรรมที่มองว่าการแฮ็กเป็นเรื่องเท่อาจทำให้ปัญหาการแฮ็กรุนแรงขึ้น
  • จำเป็นต้องใช้แนวทางที่แก้ปัญหาที่ต้นตอมากกว่าการอบรมผู้ใช้
  • เมื่อนำเทคโนโลยีใหม่มาใช้ สิ่งสำคัญคือต้องพิจารณาให้รอบด้านและเข้าหาอย่างระมัดระวัง

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-07-16
ความคิดเห็นใน Hacker News

  • Default Deny ไม่ได้ยากกว่า Default Permit แต่ช่วยให้ผู้ดูแลความปลอดภัยไอทีนอนหลับได้ดีขึ้น

    • แต่คนอื่น ๆ ในบริษัทจะหงุดหงิดมาก เพราะไม่มีอะไรใช้งานได้เลยหากไม่ต้องประสานงานกับฝ่ายไอทีหลายรอบเพิ่มเติม
    • ยิ่งผู้คนหงุดหงิดมากเท่าไร ก็ยิ่งมีแนวโน้มจะใช้วิธีเลี่ยงที่บั่นทอนแนวคิดด้านความปลอดภัยไอทีมากขึ้น
    • ความปลอดภัยไอทีที่ดีควรเป็นเหมือนเวทมนตร์ที่ผู้ใช้ไม่เห็นและไม่รบกวนการใช้งาน

  • ในช่วงปลายยุค 90 และต้นยุค 2000 Marcus Ranum และ Bruce Schneier เคยโต้แย้งว่าการเปิดเผยช่องโหว่นั้นเป็นโทษ

    • แต่มุมมองนี้ยังไม่ได้รับการพิสูจน์
    • ปัจจุบันงานประชุมวิชาการด้านความปลอดภัยส่วนใหญ่ล้วนมีงานวิจัยด้านการโจมตีรวมอยู่ด้วย

  • น่าแปลกใจที่ไม่มีการกล่าวถึงรหัสผ่านเลย

    • คิดว่ากฎการตั้งรหัสผ่านและการบังคับเปลี่ยนรหัสผ่านตามรอบนั้นเป็นเรื่องไร้สาระโดยเนื้อแท้
    • ควรเปิดให้ผู้ใช้เลือกรหัสผ่านที่จำได้ง่าย

  • การอ้างว่าไม่จำเป็นต้องมีการทดสอบความปลอดภัยถือเป็นมุมมองด้านความปลอดภัยที่แย่ที่สุด

    • การอ้างว่าการแฮ็กไม่ใช่ปัญหาทางเทคนิคแต่เป็นปัญหาทางสังคมก็เป็นมุมมองที่ผิดเช่นกัน

  • แนวทางที่มุ่งเน้นความปลอดภัยก่อให้เกิดความไม่สะดวกแก่ผู้ใช้

    • การสร้างสมดุลระหว่างความปลอดภัยกับความสะดวกเป็นสิ่งสำคัญ
    • การศึกษาช่องโหว่และ exploit มีประโยชน์ต่อการเรียนรู้ด้านความปลอดภัย

  • การแฮ็กเป็นเรื่องเท่ แต่การเข้าถึงข้อมูลและระบบของคนอื่นไม่ใช่

    • การทำความเข้าใจและควบคุมระบบของตัวเองอย่างถ่องแท้เป็นสิ่งที่มีประโยชน์

  • การเรียนรู้ exploit มีประโยชน์ต่อการเรียนทั้งภาคทฤษฎีและภาคปฏิบัติไปพร้อมกัน

  • ปัญหาคือการแลกเปลี่ยนที่น่าเศร้าระหว่างการใช้งานง่ายกับความปลอดภัย

    • แนวทางแบบ Default Permit เป็นผลเสียต่อความปลอดภัย
    • รหัสผ่านทั้งจำยากและใช้งานไม่สะดวกสำหรับผู้ใช้

  • การเชื่อถือฝั่งไคลเอนต์หมายถึงโมเดลความปลอดภัยนั้นพังไปแล้ว

  • แนวทาง Penetrate and Patch ทำให้งานด้านความปลอดภัยไร้ความหมาย

    • การค้นหาและแก้ไขช่องโหว่กลับถูกให้ความสำคัญมากกว่าการออกแบบระบบให้ปลอดภัยตั้งแต่ต้น
    • เป็นเรื่องดีหากแยกความแตกต่างระหว่างการเข้าถึงโดยมิชอบกับการให้คำปรึกษาด้านความปลอดภัยได้