คู่มือ Infosec 101 สำหรับนักเคลื่อนไหว
(infosecforactivists.org)- การชุมนุมบนท้องถนนและการเคลื่อนไหวอาจนำไปสู่การคุกคาม การจับกุม และ doxxing ดังนั้นนักเคลื่อนไหวควรมองว่า ความปลอดภัยดิจิทัล และการควบคุมข้อมูลอ่อนไหวเป็นการเตรียมตัวในชีวิตประจำวัน
- เกณฑ์ในการเลือกเครื่องมือคือการลดการเก็บข้อมูล การจัดเก็บภายนอก และการเปิดเผยต่อสาธารณะ โดยแนะนำ Signal, BitWarden, DuckDuckGo, Firefox, Jitsi, ProtonMail, ProtonVPN เป็นต้น
- Google Maps, Telegram, WhatsApp และ Discord ไม่เหมาะเป็นเครื่องมือสำหรับนักเคลื่อนไหว เนื่องจากการติดตามตำแหน่ง ข้อจำกัดในการปกป้องข้อความกลุ่ม และความเป็นไปได้ในการส่งมอบข้อมูลให้หน่วยงานบังคับใช้กฎหมาย
- ก่อนและหลังการชุมนุม จำเป็นต้องมี ความปลอดภัยเชิงปฏิบัติการ เช่น อัปเดต OS และแอป เตรียม Signal วางแผนกับเพื่อนร่วมทาง ห้ามกดเข้าร่วมงานบน Facebook ห้ามโพสต์รูป และลบกลุ่ม Signal ชั่วคราว
- สมาร์ตโฟนทิ้งร่องรอยตำแหน่งและการระบุตัวตนผ่าน GPS, Bluetooth, WiFi, UWB และเครือข่ายมือถือ ดังนั้นในพื้นที่ชุมนุมจึงสำคัญที่จะปิดฟังก์ชันไร้สาย ปิดการยืนยันตัวตนด้วยชีวมิติ ตั้งเวลาล็อกอัตโนมัติให้สั้น และใช้การเข้ารหัสดิสก์ทั้งเครื่อง
ขอบเขตของความปลอดภัยดิจิทัลที่นักเคลื่อนไหวต้องมี
- ประเพณีการเคลื่อนไหวในสหรัฐอเมริกามีมายาวนาน และการชุมนุมบนท้องถนนเป็นวิธีสำคัญในการสร้างการรับรู้และกดดันให้เกิดการเปลี่ยนแปลงเชิงนโยบาย
- การเคลื่อนไหวที่ท้าทายโครงสร้างอำนาจเดิมมาพร้อมกับ ความเสี่ยงจากการถูกเปิดเผยตัวตน และการเปิดเผยนั้นอาจนำไปสู่การคุกคาม การจับกุม และ doxxing
- ข้อมูลส่วนบุคคลเข้าถึงได้ง่ายกว่าสมัยก่อนมาก และกลุ่มที่ไม่หวังดีอาจใช้ข้อมูลเหล่านี้เพื่อเล่นงานนักเคลื่อนไหว
- เอกสารนี้มุ่งเน้นที่ความมั่นคงปลอดภัยสารสนเทศตาม ความต้องการและความเสี่ยงเฉพาะ ของนักเคลื่อนไหว มากกว่าความปลอดภัยทั่วไปในการชุมนุมหรือความปลอดภัยดิจิทัลในชีวิตประจำวัน
- หน่วยงานบังคับใช้กฎหมายสามารถร่วมมือกับบริษัทเทคโนโลยีเพื่อเข้าถึงข้อมูลที่ผู้ใช้คิดว่าเป็นส่วนตัวได้ และการรั่วไหลของข้อมูลก็อาจเปิดเผยข้อมูลส่วนบุคคลอย่างชื่อจริงจนกระทบชีวิตประจำวัน
เครื่องมือแนะนำที่เปลี่ยนได้ทันที
- เครื่องมือที่แนะนำคัดเลือกตามเกณฑ์ ความปลอดภัย ความเป็นส่วนตัว ค่าใช้จ่าย และความเข้าถึงได้สำหรับผู้เริ่มต้น
- บริการที่เปลี่ยนไปใช้ได้อย่างรวดเร็ว:
- BitWarden: ตัวจัดการรหัสผ่านสำหรับเก็บรหัสผ่านที่แข็งแรงและไม่ซ้ำกัน ฟรี หรือเพิ่มความสามารถในราคา $1/เดือน
- DuckDuckGo: เครื่องมือค้นหาทดแทน Google Search ฟรี
- DuckDuckGo Maps: แผนที่และการนำทางทดแทน Google Maps ฟรี
- Firefox: เบราว์เซอร์ทดแทน Chrome, Safari, Internet Explorer, Edge ฟรี
- Jitsi: ประชุมออนไลน์ทดแทน Zoom, Google Meet, WebEx ฟรี
- ProtonMail: อีเมลทดแทน Gmail, Yahoo และอีเมลองค์กร ฟรี หรือเพิ่มความสามารถในราคา $5/เดือน
- ProtonVPN: VPN ที่ช่วยป้องกันผู้ให้บริการเคเบิลหรือมือถือแชร์กิจกรรมของคุณ ฟรี หรือเพิ่มความสามารถในราคา $5/$10 ต่อเดือน
- Signal: ทดแทนข้อความ SMS, Facebook Messenger และแอปแชตที่ไม่ปลอดภัย ฟรี
- หลักการพื้นฐานคือหลีกเลี่ยงเครื่องมือที่ เก็บข้อมูล หรือจัดเก็บข้อมูลไว้ในที่ที่ผู้ใช้ควบคุมไม่ได้ หรือทำให้ข้อมูลเปิดเผยต่อสาธารณะ
- หากมีเครื่องมือที่เลิกใช้ได้ยาก ควรตรวจสอบนโยบายความเป็นส่วนตัวและวิธีปกป้องข้อมูลของบริการนั้นด้วยตนเอง
เครื่องมือที่ควรหลีกเลี่ยงและเหตุผล
- Google Maps ควรหลีกเลี่ยงเมื่อเข้าร่วมการชุมนุม
- Google Maps ติดตามผู้ใช้ และ Google เก็บข้อมูลติดตามตำแหน่งไว้อย่างละเอียด
- ข้อมูลนี้อาจถูกส่งมอบให้หน่วยงานบังคับใช้กฎหมาย และใช้เชื่อมโยงว่าคุณอยู่ในสถานที่ชุมนุมใด พื้นที่ใดในสถานที่นั้น หรือใกล้จุดเกิดเหตุใด ได้ในระดับนาทีและระดับไม่กี่ฟุต
- ทางเลือกคือ Apple Maps และ DuckDuckGo Maps ซึ่งไม่ได้ติดตามผู้ใช้แบบเดียวกัน และพยายามทำให้ข้อมูลที่ผู้ให้บริการแผนที่เก็บเป็นนิรนาม
- Telegram ไม่แนะนำ เนื่องจากมีประวัติปัญหาด้านความปลอดภัยและข้อจำกัดในการปกป้องข้อความกลุ่ม
- ข้อความแบบตัวต่อตัวรองรับการเข้ารหัสแบบ end-to-end แต่ข้อความกลุ่มไม่รองรับ
- ข้อความกลุ่มอาจถูกรายงานว่าเป็น “spam” หรือ “abuse” และเนื้อหาทั้งหมดอาจถูกตรวจสอบโดยพนักงานและผู้รับจ้างของ Telegram
- ข้อมูลดังกล่าวอาจถูกส่งต่อให้หน่วยงานบังคับใช้กฎหมาย และโหมดเข้ารหัสเต็มรูปแบบก็ไม่ได้เปิดใช้เป็นค่าเริ่มต้นในทุกบทสนทนา
- WhatsApp ก็มีปัญหาคล้ายกันจึงไม่แนะนำ และทางเลือกคือ Signal ซึ่งถูกออกแบบมาเพื่อความปลอดภัยส่วนบุคคลตั้งแต่ต้น
- Discord กำลังได้รับความนิยมมากขึ้นในชุมชนนักเคลื่อนไหว แต่มีความเสี่ยงสูงสำหรับการใช้งานลักษณะนี้
- ข้อความและรูปภาพที่โพสต์ลงในเซิร์ฟเวอร์ Discord อาจมองเห็นได้จากนอกเซิร์ฟเวอร์หรือแม้แต่นอก Discord
- Discord ส่งมอบข้อมูลให้หน่วยงานบังคับใช้กฎหมายเมื่อมีคำขอ และแม้จะมีนโยบายแจ้งผู้ใช้ แต่การแจ้งอาจถูกงดเว้นตามกฎหมาย
- ตามนโยบายความเป็นส่วนตัว Discord อาจเก็บข้อความ รูปภาพ พฤติกรรม ข้อมูลอุปกรณ์ และแม้แต่กิจกรรมบางส่วนที่เกิดขึ้นนอก Discord
- แม้สมัครด้วยนามแฝง ข้อมูลอุปกรณ์และพฤติกรรมก็อาจเพียงพอให้เทียบเคียงกับข้อมูลอื่นจนระบุตัวจริงได้อีกครั้ง
- แม้นโยบายการเก็บข้อมูลจะค่อนข้างเป็นมิตรต่อผู้บริโภค แต่เมื่อนำเงื่อนไขการเก็บ รักษา และส่งมอบข้อมูลมารวมกัน ก็เป็นความเสี่ยงที่ยากจะยอมรับได้สำหรับนักเคลื่อนไหว
ความปลอดภัยเชิงปฏิบัติการก่อน ระหว่าง และหลังการชุมนุม
- ก่อนการชุมนุม ควรลด ร่องรอยการเปิดเผยตัวตน และเตรียมพร้อมด้านการสื่อสาร
- อย่ากด “Going” บน Facebook และเก็บรายละเอียดไว้ในอุปกรณ์ส่วนตัวหรือบนกระดาษ
- ฝึกใส่รหัสปลดล็อกโทรศัพท์ เปิดและทดลองใช้ Emergency SOS บน iOS และ Lockdown mode บน Android
- ใช้ DuckDuckGo และเซสชันท่องเว็บแบบส่วนตัวในการค้นหาข้อมูลเกี่ยวกับการชุมนุม
- อัปเดต OS และแอปในอุปกรณ์ให้เป็นเวอร์ชันล่าสุดเพื่อรับแพตช์ความปลอดภัย
- สร้างบัญชี Signal และหากไม่ต้องการใช้หมายเลขโทรศัพท์ส่วนตัว สามารถลงทะเบียน Signal ด้วยหมายเลข Google Voice ได้
- หาเพื่อนที่จะไปด้วยกันและคุยแผนผ่าน Signal
- ระหว่างการชุมนุม ควรรักษา แผนการเดินทางกับเพื่อนร่วมทาง
- เคลื่อนที่ไปพร้อมกับเพื่อนร่วมชุมนุม
- ยืนยันแผนการนัดพบก่อนออกเดินทาง และหลังเจอกันแล้วให้กำหนดจุดสำรองเผื่อพลัดกัน
- ใช้ Apple Maps หรือ DuckDuckGo Maps สำหรับการนำทาง
- หากเป็นไปได้ ให้พิมพ์เส้นทางไว้ก่อนการชุมนุม
- Apple Maps ไม่มีโหมดออฟไลน์ จึงใช้งานไม่ได้หากไม่มีการเชื่อมต่ออินเทอร์เน็ต
- หลังการชุมนุม ควรลด ร่องรอยการสื่อสารชั่วคราว
- ออกจากและลบกลุ่ม Signal ที่สร้างขึ้นสำหรับการชุมนุมนั้น
- อย่าโพสต์รูปจากการชุมนุมลงโซเชียลมีเดีย
ร่องรอยตำแหน่งและการระบุตัวตนที่สมาร์ตโฟนทิ้งไว้
- สมาร์ตโฟนเป็นทั้งเครื่องมือที่สะดวกและอาจกลายเป็น อุปกรณ์ติดตาม อันทรงพลังสำหรับหน่วยงานบังคับใช้กฎหมายและบุคคลอื่น
- โทรศัพท์บันทึกและแบ่งปันข้อมูลตำแหน่งและกิจกรรมกับหลายบริการ และเมื่อเข้าร่วมการชุมนุม ฟังก์ชันเหล่านี้จะทิ้งร่องรอยดิจิทัลไว้เหมือนเศษขนมปัง
- หากโทรศัพท์สูญหายหรือถูกหน่วยงานบังคับใช้กฎหมายยึด ข้อมูลในเครื่องอาจถูกเปิดเผยต่อเจ้าหน้าที่ตำรวจ
- ฟังก์ชันไร้สายที่ต้องจัดการร่วมกันทั้งบน iOS และ Android:
- GPS: ใช้กับแผนที่และแอปตามตำแหน่ง โดยอาจมีการส่งอัปเดตตำแหน่งไปยัง Google, Apple หรือผู้พัฒนาแอป จึงแนะนำให้ปิดบริการระบุตำแหน่ง
- Bluetooth, WiFi, UWB: ส่งกระจายข้อมูลที่สามารถใช้ระบุตัวโทรศัพท์ได้เพื่อสื่อสารกับอุปกรณ์ใกล้เคียง ซึ่งอุปกรณ์ beacon หรืออุปกรณ์สแกนของร้านค้า หน่วยงานรัฐ หรือเจ้าหน้าที่ตำรวจอาจสังเกตได้
- เครือข่ายมือถือ: แม้ไม่ได้โทร ส่งข้อความ หรือท่องเว็บ โทรศัพท์ก็ยังเชื่อมต่อกับเสาสัญญาณตลอดเวลา ทำให้ระบุตำแหน่งได้ถึงระดับบล็อกถนน และผู้ให้บริการอาจบันทึกข้อมูลนี้ไว้
- อุปกรณ์อย่าง Stingray หรือ cell site simulator, IMSI catcher สามารถทำงานเหมือนเสาสัญญาณมือถือและให้ข้อมูลแบบเรียลไทม์ที่แม่นยำยิ่งขึ้นแก่ตำรวจ
- โหมดเครื่องบินช่วยปิดวิทยุสื่อสารเซลลูลาร์และการเชื่อมต่อไร้สายบางส่วนหรือทั้งหมดได้อย่างรวดเร็ว แต่การทำงานจะแตกต่างกันไปตามอุปกรณ์
- วิธีที่ปลอดภัยที่สุดคือเปิดโหมดเครื่องบินก่อน แล้วเข้าแอปตั้งค่าเพื่อตรวจสอบด้วยตนเองว่า Bluetooth และ WiFi ปิดจริง
การป้องกันการเข้าถึงเมื่อถูกยึดหรือทำหาย
- ระหว่างการชุมนุม โทรศัพท์อาจถูกตำรวจยึด และหลังจากได้ครอบครองอุปกรณ์ทางกายภาพแล้ว ตำรวจก็อาจพยายามดึงข้อมูลออกมา
- หน้าจอล็อกคือแนวป้องกันชั้นแรก แต่ในสถานการณ์การชุมนุม การยืนยันตัวตนด้วยชีวมิติ อาจกลายเป็นความเสี่ยง
- การสแกนนิ้วมือและใบหน้าสะดวกในชีวิตประจำวัน แต่หน่วยงานบังคับใช้กฎหมายอาจบังคับให้ผู้ใช้เอานิ้วหรือใบหน้าไปปลดล็อกอุปกรณ์ได้
- ระหว่างการชุมนุมควรหลีกเลี่ยงการปลดล็อกด้วยชีวมิติ
- การปัดลายเส้น แพตเทิร์น หรือรหัสสั้นอาจถูกเดาได้จากคราบน้ำมันนิ้วมือบนหน้าจอ ดังนั้นการพิมพ์รหัสยาวจึงปลอดภัยที่สุด
- ควรตั้งเวลา Auto-Lock ให้สั้นที่สุดเท่าที่เป็นไปได้ และให้ปุ่มเปิดปิดล็อกเครื่องได้ทันที
- การเข้ารหัสดิสก์ทั้งเครื่อง จะเก็บข้อมูลทั้งหมดในหน่วยความจำโทรศัพท์ในรูปแบบเข้ารหัส ทำให้แม้ถอดชิปเก็บข้อมูลออกมาก็ไม่สามารถอ่านเนื้อหาได้หากไม่มีอุปกรณ์เดิมและรหัสปลดล็อก
- iPhone สามารถใช้การเข้ารหัสดิสก์ทั้งเครื่องได้เมื่อกำหนดรหัสล็อกหน้าจอ
- บน Android สามารถตรวจสอบหรือเปิดการเข้ารหัสได้ที่ Settings → Security → Encrypt Phone
- การเปิดใช้การเข้ารหัสบน Android อาจใช้เวลาหลายชั่วโมงและต้องเสียบชาร์จไว้
- อุปกรณ์ที่เปิดตัวมาพร้อม Android 6 หรือต่ำกว่าอาจใช้ฟีเจอร์นี้ไม่ได้
การตั้งค่า iPhone และ Android
- บน iPhone ควรปรับ AirDrop, บริการระบุตำแหน่ง, ฟังก์ชันไร้สาย และการตั้งค่าล็อก
- ตั้งค่า AirDrop เป็น Receiving Off ที่ Settings → General → AirDrop
- ปิด Location Services ที่ Settings → Privacy → Location Services
- บน iOS หากไม่ปิด Location Services GPS จะยังทำงานต่อแม้อยู่ในโหมดเครื่องบิน
- ใช้โหมดเครื่องบินเพื่อปิด WiFi และเซลลูลาร์ และปิด Bluetooth แยกต่างหากที่ Settings → Bluetooth
- ปิด Face ID หรือ Touch ID และตั้ง Auto-Lock เป็น 30 วินาทีหรือสูงสุด 1 นาที
- ตั้ง Require Passcode เป็น Immediately
- ฝึกใช้ Emergency SOS แต่ปิดฟังก์ชันโทรฉุกเฉินอัตโนมัติ
- การกดปุ่มเปิดปิดค้างพร้อมปุ่มเพิ่มหรือลดเสียงปุ่มใดปุ่มหนึ่ง จะทำให้หน้าจอล็อก Emergency SOS ปรากฏขึ้น และหลังจากนั้นการล็อกอินด้วยชีวมิติจะถูกปิดจนกว่าจะใส่รหัสอีกครั้ง
- บน Android ควรปรับ บริการระบุตำแหน่ง โหมดเครื่องบิน และการล็อกหน้าจอ
- ปิด “Use location” ที่แผงการแจ้งเตือน หรือ Settings → Location
- เปิด Airplane mode ที่แผงการแจ้งเตือน หรือ Settings → Network & internet
- หากจำเป็น สามารถเปิดข้อมูลมือถือกลับมาได้ในขณะอยู่ในโหมดเครื่องบิน
- ต้องตรวจสอบว่า Bluetooth ปิดจริง เพราะหากมีอุปกรณ์ Bluetooth ที่เชื่อมต่ออยู่ Android อาจยังเปิดไว้ต่อ
- เลือก PIN หรือ Password ที่ Settings → Security → Screen Lock
- การแจ้งเตือนบนหน้าจอล็อกที่ปลอดภัยที่สุดคือ “Don’t show any notifications at all” และหากไม่สะดวกให้เลือก “Hide sensitive notification content”
- ตั้ง “Lock after screen timeout” เป็น Immediately และเปิด “Power button instantly locks”
- ปิด Smart Lock เพราะอาจทำให้โทรศัพท์อยู่ในสถานะปลดล็อกโดยไม่คาดคิด
- ตั้งค่า Settings → Display → Advanced → Screen timeout ให้สั้นที่สุดเท่าที่เป็นไปได้
ความเสี่ยงแยกต่างหากของแบ็กอัปและ AirDrop
- หากเปิด AirDrop ไว้ ข้อมูลที่ใช้ระบุตัวบุคคล เช่น หมายเลขโทรศัพท์และอีเมล อาจรั่วไหลไปยังอุปกรณ์ใกล้เคียงได้
- ในที่ชุมนุมหรือบริเวณใกล้เคียง ควรปิด AirDrop ไว้เสมอ และในชีวิตประจำวันก็ควรเปิดเฉพาะตอนแชร์ไฟล์เท่านั้น
- การแบ็กอัปคลาวด์ค่าเริ่มต้นของ iOS และ Android อาจเป็นปัญหาสำหรับนักเคลื่อนไหว
- iCloud Backup ถูกเข้ารหัสในลักษณะที่พนักงาน Apple เข้าถึงได้ และรูปภาพ รายชื่อติดต่อ ข้อความที่ไม่ได้เข้ารหัส ฯลฯ อาจถูกส่งมอบให้หน่วยงานบังคับใช้กฎหมาย
- iCloud Backup ยังเก็บกุญแจถอดรหัสสำหรับการเข้ารหัสดิสก์ทั้งเครื่องของโทรศัพท์ไว้ด้วย ดังนั้นหน่วยงานบังคับใช้กฎหมายอาจขอข้อมูลแบ็กอัปจาก Apple และใช้กุญแจนี้ปลดล็อกโทรศัพท์ทั้งเครื่องได้
- สำหรับนักเคลื่อนไหว ความเสี่ยงที่กุญแจถอดรหัสจะเข้าถึงได้โดยหน่วยงานบังคับใช้กฎหมายอาจมีน้ำหนักมากกว่าความสะดวก จึงไม่แนะนำให้ใช้ iCloud Backup
- Android ใช้ Google Drive สำหรับแบ็กอัป และโดยทั่วไปไม่รวมกุญแจถอดรหัส แต่จะรวมข้อมูลแอป ข้อมูลการโทร รายชื่อติดต่อ เหตุการณ์ในปฏิทิน วิดีโอ และรูปภาพโดยอัตโนมัติ
- ตั้งแต่ Android 9 “Pie” เป็นต้นไป มีแบ็กอัปแบบเข้ารหัส end-to-end ที่แม้แต่ Google ก็เปิดไม่ได้หากไม่มีรหัสผ่านของผู้ใช้ และจะเปิดให้อัตโนมัติเมื่อหน้าจอล็อกป้องกันด้วย PIN แพตเทิร์น หรือรหัสผ่าน
- ไม่ควรใช้แบ็กอัปคลาวด์ของ Android ก่อน Android 9
การเข้ารหัส การประชุม และการจัดการรหัสผ่านเพื่อความปลอดภัยในชีวิตประจำวัน
- หากต้องการเข้ารหัสข้อความส่วนตัว จำเป็นต้องมี การเข้ารหัสแบบ end-to-end (E2EE)
- หลายแอปพูดถึงคำว่า “เข้ารหัส” แต่แอปที่เข้ารหัสตลอดเส้นทางจริงตั้งแต่โทรศัพท์ผู้ใช้ถึงโทรศัพท์ผู้รับมีเพียงบางส่วนเท่านั้น
- หากไม่มีคุณสมบัติ end-to-end สำเนาข้อความจะถูกเก็บผ่านเซิร์ฟเวอร์กลางและบริษัทผู้ให้บริการอาจเข้าถึงได้
- สำหรับการประชุมออนไลน์ Zoom, Google Meet และ Microsoft Teams ไม่ได้ให้ความเป็นส่วนตัวตามที่นักเคลื่อนไหวต้องการ และแนะนำให้ใช้ Jitsi
- Jitsi ไม่บันทึกหรือเก็บเนื้อหาการประชุม
- ข้อมูลที่ให้ระหว่างเข้าร่วม เช่น ชื่อที่ป้อนและแชต จะถูกลบเมื่อการประชุมสิ้นสุด
- ผู้เข้าร่วมส่วนใหญ่ไม่จำเป็นต้องมีบัญชี
- การสร้างห้องประชุมต้องมีบัญชี และสามารถเข้าสู่ระบบด้วยบัญชี Google, GitHub หรือ Facebook ได้
- สำหรับผู้สร้างห้องที่ต้องการความเป็นส่วนตัว แนะนำให้สร้าง บัญชี GitHub ด้วยอีเมลใช้ครั้งเดียวเพื่อเข้าสู่ระบบ Jitsi
- สามารถเริ่มประชุมได้ที่ meet.jit.si
- พื้นฐานของความปลอดภัยด้านรหัสผ่านมีสามข้อ
- เปิดใช้ 2FA ทุกที่ที่รองรับ
- ใช้รหัสผ่านที่ยาว แข็งแรง และเดายาก
- ใช้ตัวจัดการรหัสผ่านเพื่อเก็บรหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบริการ
- 2FA คือการยืนยันตัวตนเพิ่มเติมอีกชั้นตอนเข้าสู่ระบบ โดยอาจใช้แอปยืนยันตัวตน อีเมล หรือข้อความ SMS เป็นปัจจัยที่สอง
- 2FA แบบไหนก็ยังดีกว่าไม่มีเลยมาก แต่แต่ละวิธีมีระดับความปลอดภัยต่างกัน
- Google Authenticator ให้สมดุลที่ดีระหว่างความสะดวกและความปลอดภัย
- ตัวเลือกที่แข็งแรงกว่าคือใช้กุญแจความปลอดภัยแบบกายภาพอย่าง Yubikey
- รหัสใช้ครั้งเดียวทางอีเมลหรือ SMS ไม่ปลอดภัยเท่าวิธีก่อนหน้า แต่ก็ยังดีกว่าไม่มี 2FA
- รหัสผ่านที่ยาวจะถูกถอดได้ยากกว่า ไม่ว่าประกอบด้วยอักขระประเภทใด
- รหัสผ่าน 8 ตัวอักษรอาจถูกลองครบทุกความเป็นไปได้ได้แทบจะทันทีด้วยเครื่องมือโจมตีสมัยใหม่ แต่ 10 ตัวอักษรอาจต้องใช้เวลาหลายชั่วโมง
- แนะนำให้ใช้ passphrase ยาวที่จำง่ายและประกอบด้วยหลายคำ
- สามารถใช้ Diceware เพื่อสร้าง passphrase แบบสุ่มแต่ยังจำได้
- ตัวสร้าง Diceware: https://diceware.dmuth.org/
- ตัวจัดการรหัสผ่านทำงานเหมือนตู้นิรภัยส่วนตัว และเปิดได้ด้วยรหัสผ่านหลักเท่านั้น
- คุณจึงสามารถใช้รหัสผ่านที่สุ่มและไม่ซ้ำกันอย่างสมบูรณ์สำหรับแต่ละบริการ
- แม้บริการหนึ่งรั่วไหล ก็จะช่วยป้องกันปัญหาการใช้รหัสผ่านเดียวกันซ้ำกับบริการอื่น
- เครื่องมือที่แนะนำคือตัวจัดการรหัสผ่านโอเพนซอร์ส BitWarden
- สำหรับคำถามความปลอดภัย ควรใช้ วลีรหัส แทนคำตอบจริง
- ตัวอย่างเช่น สำหรับคำถามอย่าง “โรงเรียนที่คุณเรียนตอน ป.6 คือที่ไหน” ให้ตอบเป็นชื่อตัวการ์ตูนที่คุณชอบในตอนนั้นแทนชื่อโรงเรียนจริง เพื่อให้คนรู้จักเดาได้ยากขึ้น
รูปภาพ โซเชียลมีเดีย และแหล่งเรียนรู้เพิ่มเติม
- ควรพิจารณาอย่างรอบคอบว่าจะแชร์การเข้าร่วมกิจกรรมกับใครบ้าง
- อย่าใช้อีเมลสำหรับบทสนทนาเกี่ยวกับการชุมนุม
- ควรค้นหาชื่อเต็มของตัวเองบน Google เป็นครั้งคราวเพื่อดูว่ามีข้อมูลอะไรปรากฏบ้าง
- อย่า “check in” สถานที่ชุมนุมบน Facebook หรือบริการอื่น
- ตำรวจมักได้ข้อมูลผู้ใช้จาก Facebook และบริษัทโซเชียลมีเดียอื่นผ่านหมายเรียก
- อย่าถ่ายรูปคนอื่นโดยไม่ได้รับอนุญาต
- หากถ่ายรูปแล้ว อย่านำไปโพสต์บนโซเชียลมีเดีย
- รูปภาพมีข้อมูลแฝง เช่น เวลาและสถานที่ถ่าย
- หากจำเป็นต้องส่งรูปหรือวิดีโอ ควรส่งให้คนที่ไว้ใจได้ ด้วยช่องทางที่ปลอดภัย หลังการชุมนุมสิ้นสุดไปแล้วนานพอ และเมื่ออยู่ห่างจากสถานที่นั้นแล้วเท่านั้น
- มีเพื่อนร่วมชุมนุมและสื่อสารกันผ่าน Signal
- ใน Signal ให้เปิด “Disappearing Messages” สำหรับบทสนทนาที่อ่อนไหว
- แหล่งข้อมูลสำหรับเรียนรู้เพิ่มเติม:
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ลังเลที่จะแนะนำ Proton เพราะหลีกเลี่ยงการเข้าไปยุ่งกับการเมืองไม่ได้ ดูเหมือน Mullvad จะไม่เคยพลาดแบบเดียวกัน: https://theintercept.com/2025/01/28/proton-mail-andy-yen-tru...
ตอนนี้ใช้ถ้อยคำชวนให้เข้าใจผิดอย่าง “privacy by default” ซึ่งความหมายที่ Proton ตั้งใจสื่อคือ โดยปกติจะไม่บันทึก แต่ถ้ามีคำขอจากหน่วยงานสืบสวนก็อาจถูก “บังคับ” ให้บันทึกผู้ใช้บางรายได้
แหล่งที่มา: https://therecord.media/protonmail-forced-to-collect-an-acti...
https://x.com/andyyen/status/1884907496705339544
ยังไงคนที่นี่ก็น่าจะเข้าใจอยู่แล้วว่าการเข้ารหัสทำงานอย่างไร เลยไม่ใช่ประเด็นใหญ่อะไร
ถ้าเป็นสื่อกระแสหลักก็เป็นเรื่องที่คาดได้ และส่วนตัวผมมองว่ากลายเป็นการประชาสัมพันธ์ให้ Proton ไปด้วยซ้ำ
แหล่งข้อมูลเพิ่มเติมเกี่ยวกับหัวข้อนี้:
EFF Surveillance Self Defense: Activist or Protester? https://ssd.eff.org/playlist/activist-or-protester
Privacy Guides: The Protester's Guide to Smartphone Security https://www.privacyguides.org/articles/2025/01/23/activists-...
นอกเหนือจากนั้นควรอ่าน แหล่งข้อมูลสายอนาธิปไตย ด้วย เช่น: https://opsec.riotmedicine.net/downloads#mobile-phone-securi...
ขั้นที่ 1: กำหนด threat model ของตัวเอง
ขั้นที่ 2: ตระหนักว่าในสภาพแวดล้อมปัจจุบัน มาตรการเหล่านี้ยังไม่เพียงพอสำหรับ threat model นั้น ซึ่งจริง ๆ ก็แทบจะใช้ได้กับ threat model เกือบทุกแบบ
ขั้นที่ 3: แต่ก็ตระหนักด้วยว่ามาตรการบางอย่างเหล่านี้อาจกลับดึงความสนใจมาที่ตัวคุณ
ถ้าคุณอยู่ในตำแหน่งที่ค่อนข้างปลอดภัย คุณสามารถช่วย ทำให้แนวปฏิบัติด้านความเป็นส่วนตัวกลายเป็นเรื่องปกติ เพื่อเป็นฉากบังให้คนที่ต้องการมันในตอนนี้ และอาจช่วยตัวคุณเองได้หากวันหนึ่งจำเป็นต้องใช้
อ้างอิงด้วยว่า https://qubes-os.org มีอยู่จริง มันคือระบบปฏิบัติการที่ผมใช้ทุกวัน
ผมไม่เห็นว่า การปิด biometric authentication จะดึงความสนใจมาที่ตัวคุณได้อย่างไร และก็อยากรู้ด้วยว่าทำไมสิ่งนี้ถึงยังไม่ใช่มาตรการที่เพียงพอด้านความปลอดภัย
บางคนที่นี่คงรู้ปัญหาของคำแนะนำแนวนี้กันอยู่แล้ว งั้นขอขยับไปอีกขั้น
https://www.notrace.how/ / http://i4pd4zpyhrojnyx5l3d2siauy4almteocqow4bp2lqxyocrfy6pry...
https://www.anarsec.guide/
สิ่งแรกอย่างหนึ่งที่มักเห็นได้จากรายการแบบนี้คือ เขาแนะนำ Firefox แทน Chrome หรือไม่ นี่เป็นเหมือนบททดสอบที่ดีมาก
ในเชิงวาทกรรม Firefox ดูเหมือนโค้ดที่เป็นมิตรกับนักกิจกรรมและความเป็นส่วนตัวมากกว่า Chrome มาก แต่ Chrome มี การป้องกันขณะรัน ที่ซับซ้อนและผ่านการตรวจสอบมาอย่างดีกว่ามาก
Firefox อาจดูเหมือนเป็นคำแนะนำที่ดีกว่า แต่ถ้าเป้าหมายคือไม่ให้ตกเป็นเป้าหมายผ่าน exploit ได้ง่าย ๆ หรือพูดอีกแบบคือในต้นทุนต่ำ ก็ไม่ใช่แบบนั้น
กลับกัน มีโอกาสมากกว่าที่ข้อมูลจะถูกส่งมอบหรือขายให้รัฐบาลในฐานะส่วนหนึ่งของชุดข้อมูลขนาดใหญ่ เช่น geofence ดังนั้นเมื่อคิดในมุมนั้น ผมก็จะไม่แนะนำผลิตภัณฑ์ของ Google
ถ้าเป็นนักกิจกรรมที่ถูกเล็งเป้าแบบเฉพาะเจาะจงจริง ๆ ก็ควรจะพ้นระดับ infosec เบื้องต้นไปแล้ว และก็คงไม่ควรใช้เบราว์เซอร์ทั้งสองตัวนี้เลยหากไม่มีการพิจารณาและการป้องกันเพิ่มเติมอย่างมาก
ขอคารวะเหล่าฮีโร่ภายในองค์กร แต่เมื่อกี้เรื่องคำมั่นว่าจะเลิกใช้ AI นั่นคืออะไรกันแน่
อีกอย่างก็สงสัยว่า Safe Browsing ของ Chrome ในประเด็นนี้ช่วยยกระดับความปลอดภัยของผู้ใช้ได้อย่างเห็นได้ชัดหรือไม่
มันเป็นการส่งข้อมูลส่วนตัวของผู้ใช้ไปให้ Google สแกน ดังนั้นการแลกเปลี่ยนนั้นก็ควรจะคุ้มค่า
ถ้าเป็นนักกิจกรรม exploit ก็น่ากลัวอยู่แล้ว แต่ผมคิดว่าภัยที่ตรงกว่าคือการติดตามที่เราเจออยู่ทุกวันแบบรู้ตัวบ้างไม่รู้ตัวบ้าง
แค่เห็นว่าตารางแรกแนะนำ VPN แทน Tor ก็เริ่มรู้สึกน่าสงสัยแล้ว
https://gist.github.com/joepie91/5a9909939e6ce7d09e29
แน่นอนว่านี่เป็นเพียงประสบการณ์ส่วนตัว แต่ประเด็นคือ Tor เองก็ไม่ได้สมบูรณ์แบบแน่ ๆ เลยสงสัยว่า แค่เพราะบทความแนะนำอย่างใดอย่างหนึ่งแทนอีกอย่าง จะถึงขั้นทำให้ควรตั้งข้อกังขากับบทความทั้งชิ้นเลยหรือไม่
โดยส่วนตัวไม่เชื่อว่ามาตรการพื้นฐานที่บทความเสนอ เช่น การปิดบริการระบุตำแหน่ง จะสร้างความแตกต่างได้เมื่อเจอกับ คู่ต่อสู้ที่ซับซ้อน อย่างรัฐ
โทรศัพท์สมัยใหม่เต็มไปด้วยเฟิร์มแวร์ปิดซอร์สที่มีช่องโหว่มากมาย และเราก็รู้ว่า exploit แบบ remote code execution ระดับ 0-day นั้นเป็นไปได้ [1] ระบบปฏิบัติการดีกว่าหน่อยก็จริง แต่ก็เคยตกเป็นเป้าของ exploit แบบ remote code execution เช่นกัน [2]
ต่อให้ปิดโทรศัพท์ก็ไม่ได้แปลว่าจะเงียบจริง ๆ เสมอไป เครือข่าย Find My ของ Apple ทำงานได้แม้เครื่องจะปิดอยู่ แน่นอนว่าปิดฟีเจอร์นี้ได้ แต่ตราบใดที่ยังมีความสามารถในการติดตามอุปกรณ์ที่ปิดอยู่ ก็ต้องตั้งสมมติฐานว่าผู้เล่นระดับรัฐมี exploit หรือ backdoor สำหรับข้ามสวิตช์ซอฟต์แวร์พื้นฐานเหล่านี้
ถ้าคุณอยู่ใน watchlist ก็ต้องถือว่าทุกอย่างที่ทำบนโทรศัพท์จะเข้าไปอยู่ในฐานข้อมูลของหน่วยงานบังคับใช้กฎหมายหรือหน่วยข่าวกรอง
[1] https://googleprojectzero.blogspot.com/2023/03/multiple-inte...
[2] https://en.m.wikipedia.org/wiki/Pegasus_(spyware)
ถ้าต้องการความปลอดภัยจริง ๆ อย่างน้อยต้องมี อุปกรณ์สองเครื่อง เช่น ใช้เครื่องหนึ่งเป็นฮอตสปอตโดยเฉพาะ
ความเห็นส่วนใหญ่ในเธรดนี้พลาดประเด็นไปไกลมาก
มันไร้สาระที่จะมองข้ามความจริงที่ว่า คุณมีแนวโน้มจะถูกจับโดยตำรวจธรรมดาอย่าง Jim Bob มากกว่าจะถูกจับโดยผู้เล่นระดับรัฐลับสุดยอด
แก้ไข: เห็นได้ชัดว่าความรู้ของผมล้าสมัยไปมาก
หน้านี้บอกว่าอัปเดตล่าสุดเมื่อไม่กี่สัปดาห์ก่อน แต่คำแนะนำที่คัดค้าน การสำรองข้อมูล iCloud ดูเหมือนจะมีข้อผิดพลาดและสิ่งที่ตกหล่นอย่างชัดเจน
“กุญแจที่ใช้ปลดการเข้ารหัสดิสก์ทั้งลูกของโทรศัพท์ก็ถูกเก็บไว้ในข้อมูลสำรอง iCloud ด้วย ด้วยโครงสร้างนี้ หน่วยงานบังคับใช้กฎหมายสามารถขอข้อมูลสำรองจาก Apple และใช้กุญแจนั้นปลดล็อกโทรศัพท์ทั้งเครื่องได้ นอกจากนี้ยังทำให้ Apple สามารถกู้คืนอุปกรณ์ได้เมื่อผู้ใช้ลืมรหัสปลดล็อก”
นี่ไม่เป็นความจริง และถึงต่อให้เป็นจริง ก็ควรแนะนำให้นักกิจกรรมเปิด Advanced Data Protection ไม่ว่าในกรณีใด เพราะเมื่อเปิดแล้ว เกือบทุกอย่างรวมถึงข้อมูลสำรองโทรศัพท์บน iCloud จะถูกเข้ารหัสแบบ end-to-end ยกเว้นเมล รายชื่อ และปฏิทินบน iCloud
เมื่อเปิด Advanced Data Protection แล้ว Apple จะเข้าถึงข้อมูลไม่ได้และไม่สามารถช่วยกู้คืนใด ๆ ได้เลย เป็นความรับผิดชอบของผู้ใช้ที่จะต้องตั้งค่า recovery contact และ recovery key และเก็บรักษาไว้อย่างปลอดภัย
สงสัยว่าจริงหรือไม่ที่การสำรองข้อมูล iCloud ทำให้ทางการสามารถ ปลดล็อกอุปกรณ์จริงที่อยู่ตรงหน้า ได้ด้วย มันไม่ตรงกับความเข้าใจของผมเกี่ยวกับการทำงานของ circle of trust ของ Apple
ผมเข้าใจได้ว่าข้อมูลสำรองอาจถูกเจาะได้ และถ้ามีข้อมูลสำรอง ก็แทบจะเท่ากับมีข้อมูลส่วนใหญ่ที่อยู่ในโทรศัพท์แล้ว แต่ผมอยากรู้มากกว่าว่าสำเนาสำรองจะทำให้เจาะอุปกรณ์จริงผ่าน iCloud ได้อย่างไร
ทุกวันนี้ในตลาดสีเทา ราคา Firefox 0-day เมื่อเทียบกับ Chrome 0-day ที่รวมการหลบหนีแซนด์บ็อกซ์อยู่ที่ประมาณเท่าไร?
[1] https://opzero.ru/en/prices/
[2] https://www.crowdfense.com/exploit-acquisition-program/