การสมัคร Gmail เปลี่ยนเป็นการสแกน QR โค้ดและส่งข้อความ SMS แทนแล้ว
(discuss.privacyguides.net)- วิธีลงทะเบียนบัญชี Google ถูกเปลี่ยนจากเดิมที่ยืนยันผ่านการรับ SMS มาเป็นการ ส่ง SMS โดยตรงจากโทรศัพท์ของผู้ใช้ แทน
- เมื่อสแกน QR โค้ดบนสมาร์ตโฟน ระบบจะส่ง SMS ไปยัง Google โดยอัตโนมัติเพื่อทำ การยืนยันหมายเลขโทรศัพท์
- การเปลี่ยนแปลงนี้ทำให้การสร้างบัญชีผ่าน บริการรับเบอร์ชั่วคราว อย่าง SMSpool ถูกบล็อก
- แม้จะช่วยป้องกันฟิชชิงได้ แต่สำหรับผู้ใช้ที่ให้ความสำคัญกับความเป็นส่วนตัว ก็ทำให้การ สร้างบัญชีแบบไม่ระบุตัวตน ยากขึ้น
- ประเด็นที่ถูกจับตาเพิ่มขึ้นคือ จากการลงทะเบียนซิมแบบใช้ชื่อจริงและการจัดสรรหมายเลขใหม่ในแต่ละประเทศ Google จะสามารถติดตามตัวตนจากประวัติหมายเลขโทรศัพท์ในอดีต หรือขอให้ยืนยันตัวตนซ้ำได้หรือไม่
วิธีลงทะเบียนที่เปลี่ยนไป
- การลงทะเบียนผ่าน QR โค้ดแบบเดิมไม่สามารถใช้งานได้อีกต่อไป และเมื่อสแกน QR โค้ดบนสมาร์ตโฟน ระบบจะ ส่ง SMS จากโทรศัพท์ของผู้ใช้ไปยัง Google เพื่อยืนยันหมายเลขโทรศัพท์
- วิธีนี้ถูกนำมาใช้เพื่อเหตุผลด้านความปลอดภัย และมีผลให้ การฟิชชิงทำได้ยากขึ้น
- แต่ก็ทำให้การยืนยันผ่าน บริการที่มีไว้รับ SMS เท่านั้น อย่าง SMSpool ใช้งานไม่ได้อีก
ข้อกังวลด้านความเป็นส่วนตัว
- โดยปกติผู้ใช้ทั่วไปไม่ได้ใช้บริการยืนยันตัวตนผ่าน SMS อยู่แล้ว และกลุ่มที่ได้รับผลกระทบจากการเปลี่ยนแปลงนี้ส่วนใหญ่คือ ผู้ที่ให้ความสำคัญกับความเป็นส่วนตัว
- การซื้อบัญชีมือสองมี ความเสี่ยงในตัวเอง เพราะไม่สามารถรู้ความเชื่อมโยงกับเจ้าของเดิมได้
- ยังมีความเห็นด้วยว่า Google กำลังปิดกั้นมากขึ้นเรื่อย ๆ และอาจจำเป็นต้องหาวิธีอ้อม
การใช้การยืนยันด้วย QR โค้ดในแต่ละภูมิภาค
- มีการตั้งคำถามว่า การยืนยันด้วย QR โค้ดถูกใช้เหมือนกันทุกประเทศหรือไม่
- ในบางประเทศ (เช่น อิตาลี) การซื้อซิมจำเป็นต้อง ลงทะเบียนด้วยบัตรประจำตัว และหากสร้างบัญชีด้วยหมายเลขนั้นแล้วภายหลังหมายเลขถูกจัดสรรให้ผู้อื่น ก็ยังไม่ชัดเจนว่าสามารถติดตามได้หรือไม่
- Google เก็บ ประวัติของหมายเลขโทรศัพท์ทั้งหมด ที่ผู้ใช้เคยลงทะเบียนไว้ แต่จะไม่อนุญาตให้ยืนยันตัวตนด้วยหมายเลขที่ไม่ได้เป็นเจ้าของแล้ว
มุมโต้แย้งด้านความปลอดภัย
- การให้โทรศัพท์ของผู้ใช้เป็นฝ่ายส่ง SMS เองอาจเปิดช่องให้เกิด การปลอมแปลงหมายเลขโทรศัพท์ ได้ จึงมีความกังวลต่อการนำวิธีนี้ไปใช้กับ MFA
- ท้ายที่สุดก็มีการคาดการณ์ว่า อาจเกิด บริการอ้อมแบบใหม่ ที่ให้บริการส่ง SMS ขึ้นมาแทน
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
มีคนไม่พอใจกับ Gmail เยอะก็จริง แต่ก็พอเข้าใจสถานการณ์ที่ Google เจออยู่ได้ในระดับหนึ่ง
มันแทบจะถูกผูกให้ต้องช่วย คงโครงสร้างพื้นฐานส่วนใหญ่ของอินเทอร์เน็ตไว้ฟรี และมีผู้ใช้มากเสียจนถ้าปิดลงมา โลกทั้งโลกคงวุ่นวายแน่
ค่าดูแลก็แพง ซับซ้อน และกินเวลา อีกทั้งยังเป็นทั้งต้นทางและปลายทางของสแปมกับการหลอกลวงด้วย ภาระในการเก็บข้อมูลไว้แทบตลอดกาลก็หนักมากเช่นกัน
ถึงอย่างนั้นก็ยังมองว่าแนวคิดเรื่องอีเมลฟรีนั้นมีปัญหาตั้งแต่รากฐานอยู่แล้ว ยากจะคาดหวังให้อีเมลฟรีดีหรือมีซัพพอร์ตที่ดี และที่ยังเหลืออยู่ทุกวันนี้ก็อาจเป็นเพราะกลัวผลกระทบมากกว่าความหวังดี สู้ใช้ บริการอีเมลแบบเสียเงิน ไปเลยน่าจะดีกว่าและสบายใจกว่า
สมัยนั้นกล่องเมลจาก ISP ถ้าให้ 25MB หรือ 50MB ก็ถือว่าค่อนข้างดีแล้ว แต่ Google ให้ถึง 1~2GB เพื่อดึงคนเข้ามา
Google มีสิทธิ์จะออกมาตรการกันการใช้งานในทางที่ผิด และไม่ได้มีหน้าที่ต้องให้ฟรี แต่ก็ไม่ใช่ว่าถูกบังคับให้ต้องทำอีเมลฟรี และการให้สิทธิประโยชน์มากกว่าคู่แข่งอย่างมหาศาลก็เป็นทางเลือกของตัวเอง
ยังควบคุมด้วยว่าอินเทอร์เน็ตทำงานอย่างไร จะบังคับใช้ HTTPS ก็ได้ จะจัดการ tracker หรือ etag อย่างไรก็ได้ตามใจ
สามารถขายข้อมูลทุกอย่างเกี่ยวกับผู้ใช้ได้ในราคาดี และตามเงื่อนไขการใช้งาน ต่อให้หั่นขายเมื่อไรก็ยากที่ผู้ใช้จะประท้วงได้ ภายนอกมันอาจดูเหมือนฟรี แต่คนจำนวนมากกำลังจ่ายค่า Google แบบพรีเมียมผ่านหลายวิธีอยู่
Google ยุคก่อนเคยได้รับความเคารพว่าใช้ความสร้างสรรค์และไอเดียดี ๆ ทำให้โลกดีขึ้น แต่ตอนนี้แม้ยังเปลี่ยนโลกอยู่ ก็ไม่ใช่ในทิศทางที่ดีสำหรับทุกคน
ถ้า Gmail แพงกว่าข้อมูลที่มันดูดและขายได้ทั้งทางตรงและทางอ้อม Gmail ก็คงไม่อยู่แล้ว
ถ้าธุรกิจจะติดต่อกับลูกค้า ก็ต้องจ่ายเงินเพื่อเข้า allowlist สำหรับการส่งจำนวนมาก และต้นทุนนั้นก็ถูกผลักไปยังลูกค้าที่ไม่เคยใช้ Gmail ด้วย
ถ้าบริษัทไม่ยอมจ่ายค่าเข้า list แบบนั้น แต่มีลูกค้าที่ใช้ Gmail เยอะ ก็ต้องค่อย ๆ จำกัดอัตราการส่งอย่างระมัดระวัง จนอีเมลอาจไปถึงไม่ทันภายในวันเดียว
พวกผู้ให้บริการอีเมลมาร์เก็ตติ้งและแคมเปญก็จ่ายค่ารายการนี้เช่นกัน แล้วก็ผลักต้นทุนกลับไปให้ลูกค้า ไม่มีผู้ให้บริการอีเมลรายไหนที่รับอีเมลปริมาณมหาศาลถึงหลายล้านฉบับให้ฟรีจริง ๆ อยู่แล้ว
ถ้ามีคนจากทีม Gmail อยู่ที่นี่ อยากให้ช่วยอธิบายว่าทำไม Gmail ถึงยอมให้มีเมลฟิชชิงที่ใช้บริการของ Google เองอย่างไม่เหมาะสมได้ เช่น https://storage.googleapis.com/savelinge/
รายละเอียดเพิ่มเติมอยู่ที่นี่: https://news.ycombinator.com/item?id=46665414
อีกแบบคือแกล้งทำเป็นบริการติดตามการส่งของที่เราสั่งไว้ ค่อย ๆ สร้างเรื่องเป็นเวลาหลายวันเหมือนพัสดุหาย แล้วเสนอคูปองส่วนลดเท่ากับ “ยอดซื้อ” เพื่อหลอกให้ไปใช้บนเว็บฟิชชิง
Gmail ไม่เพียงแค่แยกเมลพวกนี้เป็นสแปมไม่ได้ แต่ยังจัดเป็น เมลสำคัญ พร้อมขึ้นการแจ้งเตือนลำดับต้นและสรุปให้อีกด้วย
*.bc.googleusercontent.comถูกใช้เป็น ฟาร์มสแปม มาหลายปีจนต้องบล็อกทั้งยวงไปแล้วแต่ Google ดูเหมือนไม่สนใจ เพราะไม่อยากทำให้ผู้ใช้ Compute Engine ไม่สะดวกแม้แต่นิดเดียว
@gmail.comถึงยังเข้า inbox อยู่เรื่อย ๆ ไม่ว่าจะกดเป็นสแปมกี่ครั้งก็ตามถ้าคำร้องเรียนถูกเมิน ก็คงเหลือทางเดียวคือส่งต่ออีเมลหลอกสมัครงานพวกนี้ไปให้ทีมกฎหมาย ทีมฉ้อโกง หรือทีมรับมือฟิชชิงของแบรนด์ที่ถูกแอบอ้าง ถ้าเป็นบริษัทที่ดูไม่ค่อยสนใจ หนังสืออย่างเป็นทางการในนามสำนักงานกฎหมาย อาจช่วยดันลำดับความสำคัญได้
เกี่ยวกับข้อความที่ว่า “ถ้าใช้ QR code บนสมาร์ตโฟน โทรศัพท์จะส่ง SMS ไปยัง Google เพื่อยืนยันหมายเลขโทรศัพท์” อยากรู้ว่ามีแหล่งข้อมูลที่ดีกว่าคอมเมนต์ในฟอรัมที่เข้าใจว่าการสแกน QR code อย่างเดียวทำให้ส่งข้อความได้หรือไม่
พอตรวจดูแล้วมันก็เป็นแค่ SMS URI เท่านั้น ไม่ได้ส่งอะไรอัตโนมัติ แค่เปิดข้อความที่ผู้ใช้จะส่งขึ้นมาให้
สรุปคือเป็นเพียงฟีเจอร์อำนวยความสะดวกแบบ QR code ที่ครอบอยู่บนการยืนยันเบอร์โทรแบบเดิม
ความเคลื่อนไหวล่าสุดของ Google ดูเหมือนหลักฐานชิ้นเด็ดที่ศาลต่อต้านการผูกขาดต้องการมาโดยตลอด มันคือ “ทำสิ่งนี้ ไม่งั้น...”
reCAPTCHA, Gmail, Google Suite, Android, Chrome, Colab, Google Play ทั้งหมดควรถูกแยกออกจากเครื่องจักรโฆษณาของ Google และต้องเป็นธุรกิจที่อยู่รอดได้ด้วยตัวเอง
Gmail ควรต้องแข่งแย่งผู้ใช้กับผู้ให้บริการอีเมลรายอื่น และ reCAPTCHA ก็ควรต้องรับภาระต้นทุนโครงสร้างพื้นฐานทั้งหมดจากรายได้ของ reCAPTCHA เอง แบบนี้จะช่วยทำให้สภาพการแข่งขันราบเรียบขึ้น ลดเสียงวิจารณ์ และทำให้ทุกฝ่ายหายใจสะดวกขึ้น
ไม่นานมานี้ช่วยธุรกิจขนาดเล็กตั้งค่า Google Workspace แล้วไปติดกำแพงตั้งแต่ขั้นตอนสมัคร
ผมบอกเจ้าของไปเลยว่า ถ้า Google จุกจิกขนาดนี้ตั้งแต่ขั้นสมัคร แล้วถ้าวันหนึ่งบัญชีโดนล็อกตอนที่งานลูกค้าผูกอยู่จะเป็นยังไง จึงยกตัวอย่างเรื่องราวสยองเกี่ยวกับการถูกล็อกบัญชี Google ให้ดูหลายกรณี สุดท้ายเลยเลือก โซลูชันทำงานร่วมกันสำหรับธุรกิจ เจ้าอื่น
คำตอบจริงจากทีมซัพพอร์ตคือ “ตรวจสอบแล้วพบว่าคุณได้อัปเกรดจาก Business Standard เป็น Business Plus และตอนนี้พื้นที่เก็บข้อมูลแสดงเป็น 0 ไบต์ โปรดอย่ากังวล นี่เป็นเรื่องปกติมาก”
แล้วยังบอกอีกว่า “เมื่อมีการอัปเกรด subscription ระบบ backend จะต้องแยก allocation พื้นที่เดิมของ Business Standard ออกก่อน แล้วจึง provision โควตาใหม่ของ Business Plus ในช่วงเปลี่ยนผ่านนี้โควตาจะถูกตั้งค่าเริ่มต้นเป็น 0 ชั่วคราว”
สุดท้ายยังแนะนำให้เปิดข้อจำกัดพื้นที่เก็บข้อมูลต่อผู้ใช้หรือข้อจำกัดพื้นที่ของ shared drive แล้วปิดหลังจาก 5 นาที แต่ความพยายามนั้นไม่ช่วยให้รีเซ็ตโควตาเร็วขึ้น และสุดท้ายก็ต้องรอหลายชั่วโมงอยู่ดี
ทุกปีมันแย่ลงทีละนิด ขนาดจ่ายเงินใช้อยู่ ด้วยขนาดของ Gmail แล้วก็แทบไม่มีหวังจะได้ซัพพอร์ตจริงจัง ความเสี่ยงนั้นสูงเกินกว่าจะรับไหว
แต่ในช่วงปีที่ผ่านมาเริ่มได้ยินพนักงานบ่นว่า ป๊อปอัปเกี่ยวกับ AI น่ารำคาญ ทั้งที่ไม่ได้อยากใช้
ถึงอย่างนั้นก็ไม่แปลกใจถ้า Microsoft จะมีซัพพอร์ตดีกว่า แม้ตัวผลิตภัณฑ์เองจะแย่กว่า
เมื่อกี้ลองทำขั้นตอนสมัครเองแล้ว ไม่ต้องใช้ QR code เลย ยังเป็นขั้นตอนเดิมที่เหมือนมาหลายปี
เลือก ส่วนตัว/บุตร/ธุรกิจ, กรอกชื่อ, เลือกอีเมล, วันเกิด, อีเมลกู้คืนหรือข้าม, รหัสผ่าน, กรอกเบอร์โทร, ยืนยัน รหัส 2FA, เสร็จสิ้น ตามลำดับ
ผมสร้างบัญชี
testregistrationflow@gmail.comไปแล้ว และก็ลืมรหัสผ่านไปเรียบร้อย ถือว่าเผาบัญชีทิ้งหนึ่งอัน ใครจะลองtestregistrationflow1@gmail.comแบบไม่ใช้ QR code ก็ได้ชื่อเรื่องนี้น่าจะอธิบายผิดไปจากความจริง ว่าเป็น flow เฉพาะที่ใช้กับคนที่พยายามสร้างบัญชี Gmail จำนวนมากแบบโปรแกรมอัตโนมัติ
ดูเหมือนไม่มีการระบุเพดานไว้อย่างเป็นทางการ และวิธีแก้เดียวที่ผู้คนหาเจอคือขอให้คนอื่นช่วยยืนยันด้วยเบอร์ของเขา
ที่ลำบากกว่านั้นคือเวลาหลุดออกจากบัญชีเดิม ถ้าพยายามล็อกอิน ระบบจะขอเบอร์โทรสำหรับ 2FA และต่อให้ใส่เบอร์เดิมที่ใช้ยืนยันตอนสมัครครั้งแรก ก็ยังล้มเหลวเพราะระบบบอกว่าเบอร์นี้ถูกใช้บ่อยเกินไป
แบบนั้นก็จะล็อกอินกลับเข้าบัญชีปกติที่มีอยู่แล้วไม่ได้ แน่นอนว่าควรเพิ่มวิธี 2FA แบบอื่นหรือเพิ่ม passkey ไว้ แต่ก็ยังเข้าใจยากว่าทำไมถึงยืนยันซ้ำด้วยเบอร์เดิมที่เคยใช้ไม่ได้
แถมเวลาไปสมัครบริการ Google อื่น ๆ ก็ยังใช้ หมายเลข Google Voice สำหรับการยืนยันบัญชีด้วย 2FA ไม่ได้อีก
ถ้าจำกัดจำนวนการเชิญบัญชีใหม่ที่แต่ละบัญชีทำได้ให้มีน้อยและมีขีดจำกัดชัดเจน ก็อาจเป็นวิธีหนึ่งในการกันพวกมิจฉาชีพได้
การบอกว่า “ต้องสแกน QR code” ก็เหมือนบอกว่าถ้าจะเปิดประตูรถไฟต้องสแกน QR code ทั้งที่ข้อกำหนดจริงคือการเชื่อมโทรศัพท์เข้ากับข้อมูลการชำระเงินเพื่อใช้เรียกเก็บเงิน แล้วดันไม่พูดส่วนนั้น
สิ่งที่ Google ตรวจสอบตรงนี้ไม่ใช่ความสามารถในการแปลง data matrix ให้เป็นไบต์
เรื่องแบบนี้ดูเหมือนเป็นการเปลี่ยนด้าน “ความปลอดภัย” แต่ในขณะเดียวกันก็ดูสะดวกมากสำหรับการค่อย ๆ ลบ workflow ที่ รักษาความเป็นส่วนตัว ออกไปจำนวนมาก
ขั้นต่อไปอาจเป็นการผูกเข้ากับ สกุลเงินดิจิทัลของธนาคารกลาง ที่ต้องใช้เบอร์โทรเพื่อเข้าถึงกระเป๋าเงิน และผูกกับบัตรประชาชนหรือพาสปอร์ตชื่อจริงเพื่อจำกัดการเดินทาง
2FA กลายเป็นลิ่มที่ทุบทำลายความเป็นส่วนตัวจนแหลกไปแล้ว
การบังคับให้ผู้ใช้เป็นฝ่ายส่ง SMS ดูเป็นวิธีที่ดีมากในการตัดบริการเหล่านั้นออก ทำให้บอตใช้งานต่อไม่ได้
แต่ก็ไม่แน่ใจว่า workflow แบบรักษาความเป็นส่วนตัวในบัญชี Google จะมีความหมายอะไรนัก Google ติดตามผู้ใช้ได้อยู่แล้วแม้ไม่รู้เบอร์โทร