- VeraCrypt ซอฟต์แวร์เข้ารหัสโอเพนซอร์ส ถูกบล็อกการเผยแพร่อัปเดตบน Windows ทั้งหมด หลังจาก Microsoft ยกเลิกบัญชีอย่างกะทันหัน ซึ่งสะท้อนให้เห็นถึง ความเปราะบางของซัพพลายเชน ของซอฟต์แวร์โอเพนซอร์สที่พึ่งพาบริษัทเทคโนโลยีขนาดใหญ่
- Mounir Idrassi ผู้พัฒนา VeraCrypt พบว่าในช่วงกลางเดือนมกราคม บัญชีสำหรับลงนามไดรเวอร์และบูตโหลดเดอร์ของ Windows ถูกยกเลิกโดยไม่มีการเตือนล่วงหน้า และหลังจากนั้นแม้จะพยายามติดต่อก็ได้รับเพียงคำตอบอัตโนมัติที่ดูเหมือนสร้างโดย AI
- ข้อความทางการเพียงฉบับเดียวที่ Microsoft ส่งมาคือการแจ้งว่า "ไม่เป็นไปตามข้อกำหนด" แต่บัญชีกลับถูกยุติโดย ไม่มีการระบุเหตุผลที่ชัดเจนหรือกระบวนการอุทธรณ์ และไม่มีคำอธิบายเลยว่าข้อกำหนดใดที่จู่ ๆ ก็ไม่ผ่าน
- Jason Donenfeld ผู้พัฒนา WireGuard ก็เปิดเผยว่าเผชิญปัญหาเดียวกัน แสดงให้เห็นว่าเรื่องนี้ไม่ได้จำกัดอยู่แค่ VeraCrypt
- แม้ยังอัปเดตบน Linux และ macOS ได้ต่อไป แต่เนื่องจาก ผู้ใช้ส่วนใหญ่ใช้งานบนแพลตฟอร์ม Windows การไม่สามารถเผยแพร่บน Windows ได้จึงเป็นผลกระทบร้ายแรงต่อทั้งโครงการ
VeraCrypt คืออะไร
- เครื่องมือโอเพนซอร์สสำหรับปกป้องไฟล์ในรูปแบบ การสร้างพาร์ทิชันเข้ารหัส ภายในไดรฟ์ หรือเป็นโวลุมเข้ารหัสแยกต่างหาก
- สร้างขึ้นบนพื้นฐานของ TrueCrypt รุ่นก่อนหน้า และยังมีฟังก์ชัน โวลุมซ้อน (hidden volume) สำหรับกรณีที่ถูกบังคับให้เปิดเผยข้อมูลยืนยันตัวตน
ลำดับเหตุการณ์
- Idrassi อธิบายด้วยตนเองในฟอรัม SourceForge ถึงเหตุผลที่เงียบหายไปหลายเดือน
- ในช่วงกลางเดือนมกราคม เขาพบว่า บัญชีสำหรับลงนามไดรเวอร์และบูตโหลดเดอร์ของ Windows ที่ใช้งานมาหลายปี จู่ ๆ ก็ไม่สามารถใช้ได้
- ไม่มีอีเมลหรือคำเตือนล่วงหน้าใด ๆ โดยข้อความเดียวที่ได้รับจาก Microsoft มีเพียงการแจ้งว่า "ปัจจุบันไม่เป็นไปตามข้อกำหนด"
- ข้อความดังกล่าวมีเพียงการแจ้งว่า ไม่สามารถอุทธรณ์ได้ และคำขอถูกปิดแล้ว
- ไม่มีคำอธิบายใด ๆ เลยว่าบริษัท IDRIX ของ Idrassi จู่ ๆ ไม่ผ่านข้อกำหนดข้อใด
ปฏิกิริยาและความกังวลของผู้พัฒนา
- เขาติดต่อฝ่ายสนับสนุนของ Microsoft แต่ได้รับเพียง คำตอบอัตโนมัติที่ดูเหมือนสร้างโดย AI
- เขาวิพากษ์วิจารณ์อย่างหนักถึงการขาดการสื่อสารของ Microsoft โดยระบุว่า "อย่างน้อยก็ควรอธิบายว่าเกิดปัญหาอะไรขึ้น"
- พร้อมชี้ว่า "เมื่อมีการตัดสินใจแบบนี้โดยไม่มีการสื่อสาร ความไม่แน่นอนต่ออนาคตก็ยิ่งเพิ่มขึ้น และการตอบกลับแบบอัตโนมัติจาก AI ก็ทำให้กระบวนการนี้ไร้ความเป็นมนุษย์"
WireGuard ก็เจอสถานการณ์เดียวกัน
- Jason Donenfeld ผู้พัฒนาของไคลเอนต์ VPN ยอดนิยม WireGuard ก็โพสต์ถึงปัญหาเดียวกันบน Hacker News
- เขาระบุว่า "ไม่มีการเตือน ไม่มีการแจ้งใด ๆ วันหนึ่งพอจะล็อกอินเพื่อเผยแพร่อัปเดต ก็พบว่าบัญชีถูกระงับไปแล้ว"
ผลกระทบที่ตามมา
- Windows เป็นแพลตฟอร์มที่ผู้ใช้ VeraCrypt ส่วนใหญ่ใช้งานอยู่ ดังนั้นการ ไม่สามารถเผยแพร่อัปเดตบน Windows ได้ จึงเป็นผลกระทบอย่างรุนแรงต่อโครงการ
- แม้ยังอัปเดตบน Linux และ macOS ได้ แต่สถานะปัจจุบันคือไม่สามารถรองรับแพลตฟอร์มหลักได้
- เหตุการณ์ครั้งนี้ตอกย้ำ ความเสี่ยงด้านซัพพลายเชน ที่อาจเกิดขึ้นเมื่อซอฟต์แวร์โอเพนซอร์สต้องพึ่งพาโครงสร้างพื้นฐานของบริษัทเทคโนโลยีขนาดใหญ่ แม้เพียงบางส่วน
- Microsoft ไม่ได้ตอบกลับคำขอให้แสดงความเห็น
5 ความคิดเห็น
ทุกครั้งที่เห็นเรื่องแบบนี้ ผมก็รู้สึกอยู่เสมอว่าการตรวจสอบลายเซ็นเป็นสิ่งที่ผู้ใช้ต้องทำ ไม่ใช่หน้าที่ของแพลตฟอร์ม นักพัฒนาต้องลงลายเซ็นด้วยคีย์ของตัวเอง และผู้ใช้ก็ควรอนุญาตคีย์ของนักพัฒนาที่เชื่อถือได้บนอุปกรณ์ของตนแล้วจึงใช้งาน
ถ้าไม่รู้เรื่องนี้แล้วจะให้ระบบจัดการให้เองทั้งหมด แบบนั้นมันไม่สมเหตุสมผล ไม่ว่าจะสนใจคอมพิวเตอร์มากน้อยแค่ไหน ถ้าเป็นสิ่งที่ตัวเองจะใช้งาน นี่คือพฤติกรรมพื้นฐานที่ต้องมี
ถ้าใช้โทรศัพท์มือถือและใช้อินเทอร์เน็ต ก็ไม่ควรเชื่อทุกอย่างที่เว็บเพจ ข้อความ หรือโทรศัพท์พูดโดยไม่มีเงื่อนไข และต้องมีความสามารถในการคัดกรองเลือกเชื่อ นี่เป็นแนวทางพื้นฐานในระดับนั้น
ถ้ามี UI แบบ Windows UAC ที่ให้กดปุ่มเดียวเพื่อยืนยันว่าจะเชื่อถือนักพัฒนาคนใดคนหนึ่งหรือไม่ อย่างน้อยคนที่ไม่รู้แนวคิดเรื่อง code signing กับคีย์ก็น่าจะใช้งานได้
เพราะหากไม่ใช่การรับรองอย่างเป็นทางการ ก็อาจถูกนำไปใช้ในทางที่ผิดผ่านการรับรองที่เป็นอันตรายได้..
ผมไม่เข้าใจว่าคุณหมายถึงอะไร
คุณหมายความว่าบุคคลที่สามสามารถปลอมแปลงการยืนยันตัวตนได้อย่างนั้นหรือ? นั่นก็ไม่ต่างจากระบบใบรับรองในปัจจุบันเลย มัลแวร์เองก็แนบใบรับรองที่ต้องจ่ายปีละหลายแสนวอนออกมากันอยู่แล้ว
หรือหมายถึงว่านักพัฒนาเองสามารถนำไปใช้ในทางที่ผิดได้? ถ้าอย่างนั้นตั้งแต่แรกก็แปลว่าโค้ดและตัวนักพัฒนาเองไม่น่าเชื่อถืออยู่แล้ว การเลือกว่าจะเชื่อถืออะไรเป็นทั้งสิทธิและหน้าที่ของผู้ใช้ ถ้าจะใช้ตรรกะแบบนั้น ก็ต้องเหมือนคนที่มีอาการย้ำคิดย้ำทำ เขียนทุกโปรแกรมขึ้นมาใช้เองทั้งหมดตั้งแต่ OS ไปจนถึงแอประดับปลายทาง
ไดรเวอร์ของ Windows น่าจะคนละอย่างนะ
ความเห็นบน Hacker News
เมื่อ 1 ปีก่อน ฉันใช้ Azure Trusted Signing เพื่อแจกจ่ายซอฟต์แวร์ FOSS สำหรับ Windows
ตอนนั้นมันเป็นวิธีที่ถูกที่สุดในการแจกจ่ายซอฟต์แวร์ฟรี
แต่เมื่อไม่กี่เดือนก่อน ตอนต่ออายุใบรับรอง เอกสารทั้งหมดของฉันถูกปฏิเสธเพราะปัญหา การตรวจสอบล้มเหลว และถึงจะเป็นผู้ใช้แบบเสียเงินก็ยังไม่สามารถคุยกับคนจริง ๆ ได้
สุดท้ายฉันไปออกใบรับรองผ่าน SignPath.org และพอหลังจากนั้นมาก็พอใจมาก
มันเคยเปิดให้บุคคลทั่วไปใช้ได้ แล้วก็เปลี่ยนเป็นให้เฉพาะบริษัทอเมริกันที่มีหมายเลข DUNS เท่านั้น แล้วก็กลับมาเปิดให้บุคคลบางส่วนอีกครั้ง
น่าจะเคยมีเหตุการณ์ที่ใครบางคนเอาใบรับรอง Trusted Signing ไปใช้ในทางที่ผิด
พอเห็นกรณีของ VeraCrypt เช้านี้ ฉันก็คิดขึ้นมาว่า “นี่กำลังบีบให้นักพัฒนาต้องหันไปใช้ Trusted Signing กันหมดหรือเปล่า?”
มันอาจขัดกับจิตวิญญาณของโอเพนซอร์สบ้าง แต่ถ้า Microsoft หรือ Google เล่นตุกติก ชุมชนก็น่าจะต่อต้านอย่างหนัก
ถ้ามีหน่วยงานแบบ FDroid ที่ให้ บิลด์ที่ตรวจสอบย้อนหลังได้ ก็จะทำให้การแจกจ่ายน่าเชื่อถือขึ้นในกรณีที่เกิดการโจมตีห่วงโซ่อุปทาน
แต่หน่วยงานแบบนี้ต้องมี ธรรมาภิบาลและเงินทุน ที่เพียงพอ
ฉันคิดว่าไม่ควรปล่อยให้เจ้าของแพลตฟอร์มเป็นคนตัดสินว่าซอฟต์แวร์ไหนรันได้บ้าง
การลงนามซอฟต์แวร์ ควรถูกมอบหมายให้บุคคลที่สามที่เป็นอิสระและไม่มีผลประโยชน์ทับซ้อน
นี่แหละคือเหตุผลที่ Digital Markets Act พยายามปกป้องนักพัฒนา
ฉันสงสัยว่ายังมีความคืบหน้าอะไรเกี่ยวกับการสอบสวน Apple ของ EU บ้างไหม
แค่ มีค่าใช้จ่ายสูง เท่านั้น และก็ไม่จำเป็นต้องใช้เครื่องมือของ Microsoft ด้วย
ปัญหาครั้งนี้ไม่ได้เกิดกับ VeraCrypt เจ้าเดียว
นักพัฒนาไดรเวอร์ Windows หลายรายก็ถูกไล่ออกจาก Partner Center แบบไม่มีคำอธิบายเช่นกัน
ดูกรณีที่เกี่ยวข้องได้ใน ฟอรัมชุมชน OSR เช่นกัน
Windscribe ก็เป็นกรณีที่สามที่บัญชีถูก Microsoft ปิด
ทวีตที่เกี่ยวข้อง
ด้านมืดของ Security as a Service กำลังปรากฏให้เห็น
Microsoft ทำให้กระบวนการลงนามง่ายขึ้นด้วย Trusted Signing แต่ก็สร้าง จุดล้มเหลวเพียงจุดเดียว ขึ้นมาด้วย
การที่โปรเจกต์ FOSS สำคัญอย่าง VeraCrypt ถูกบล็อกด้วยการติดธงอัตโนมัติ และไม่มีช่องทางให้คนเข้ามาแทรกแซงเลย เป็น โครงสร้างที่เปราะบาง
Secure Boot เป็นฟีเจอร์ความปลอดภัยที่ดี แต่ไม่ควรกลายเป็น เครื่องมือผูกขาดโดยผู้ขาย เพราะความไร้ประสิทธิภาพทางงานธุรการ
มีความเห็นว่าในโพสต์ก่อนหน้า ชื่อ “Veracrypt project update” ทำให้พลาดไป
ฉันยังคงหวังว่าสักวันผู้คนจะตระหนักว่า การเซ็นไฟล์ปฏิบัติการและ Secure Boot ไม่ได้เป็นเรื่องความปลอดภัยจริง ๆ แต่เป็นอุปกรณ์สำหรับควบคุมว่าผู้ใช้จะรันอะไรได้บ้าง
ฉันคิดว่าสมมติฐานของมาตรการบรรเทาเหล่านี้มันไม่สมเหตุสมผลสำหรับคอมพิวเตอร์ส่วนบุคคล
มันทำให้การนำไดรเวอร์อันตรายมาใช้ในทางที่ผิดยากขึ้น และลดการติด bootkit
ผู้ใช้ยังลงทะเบียนคีย์เองได้ด้วย
Microsoft ใช้มันเป็นเครื่องมือควบคุมก็จริง แต่ก็ไม่ได้แปลว่าต้องปฏิเสธคุณค่าของฟีเจอร์ความปลอดภัยนี้ไปเลย
มันรับประกัน การป้องกันการแก้ไขเฟิร์มแวร์ ในห่วงโซ่อุปทาน
ถ้าย้อนกลับไปเมื่อ 20 ปีก่อน ระบบแบบนี้คงดูดิสโทเปียมาก แต่ตอนนี้กลับกลายเป็นเรื่องธรรมดาไปแล้ว
“tivoization” ที่ Stallman เคยเตือนเอาไว้ก็กลายเป็นจริง
มันช่างน่าประชดที่ บริษัทที่ควบคุมสายโซ่ Secure Boot กลับมาปิดบัญชีลงนามของเครื่องมือเข้ารหัสดิสก์
อย่างที่ว่า “แพลตฟอร์มให้ได้ แพลตฟอร์มก็เอาคืนได้” ถ้าการแจกจ่ายต้องพึ่งพา ความเมตตาของบริษัทเดียว มันก็ไม่ใช่การแจกจ่ายที่แท้จริง
Microsoft ควรจะรับรู้ได้ว่า บัญชีนักพัฒนา WireGuard ก็ถูกปิดไปด้วย
มีข้อความว่า “ไคลเอนต์ VPN ยอดนิยมอย่าง WireGuard ก็กำลังเจอปัญหาเดียวกัน”
ฉันไม่เข้าใจว่าทำไมไม่แค่ สร้าง signing key ของตัวเอง แล้วใส่มันไว้ในตัวติดตั้งไปเลย
การใช้แพลตฟอร์มตัวกลางแบบนี้ดูเหมือนเป็นการหาเรื่องใส่ตัวเอง
ดูจาก กรณีของ Notepad++ ก็รู้ว่าผลลัพธ์จะออกมาแบบไหน