บริการธนาคารออนไลน์หรือบริการรัฐบาลอิเล็กทรอนิกส์ของเกาหลีใต้ขึ้นชื่อเรื่องโปรแกรมติดตั้งสารพัดชนิดมาตั้งแต่โบราณ ก่อนหน้านี้คือ ActiveX และทุกวันนี้เปลี่ยนมาเป็นไฟล์ติดตั้งปลั๊กอินความปลอดภัย แต่แก่นแท้ของปัญหาก็ไม่ได้เปลี่ยนไป ถึงอย่างนั้น ช่วงหลังมานี้ก็มีวิธียืนยันตัวตนที่มาแทนใบรับรองดิจิทัลแบบเดิม และเริ่มมีบางแห่งที่ให้บริการออนไลน์ได้โดยไม่ต้องติดตั้งปลั๊กอิน exe จึงนับว่าสถานการณ์บางส่วนดีขึ้นกว่าแต่ก่อน แต่ความจริงที่ว่ายังมีเว็บไซต์ซึ่งบังคับให้ติดตั้งของพวกนี้อย่างเปิดเผยหลงเหลืออยู่จนถึงปี 2023 ก็ชวนให้สลดใจอย่างยิ่ง
Wladimir Palant ผู้มีชื่อเสียงจาก Adblock Plus ได้เขียนโพสต์ลงบล็อกของตนว่าเขาได้สืบค้นสภาพความมั่นคงปลอดภัยออนไลน์ลักษณะนี้ของเกาหลีใต้มาตั้งแต่เดือนกันยายนที่ผ่านมา (ภาษาอังกฤษ) โดยเขามองทะลุประเด็นได้อย่างแม่นยำ ตั้งแต่เหตุผลทางประวัติศาสตร์ที่เริ่มใช้ ActiveX เพื่อทำบริการอินเทอร์เน็ตแบงก์กิ้งด้วย อัลกอริทึม SEED ซึ่งเกาหลีพัฒนาขึ้นเองเพราะข้อจำกัดการส่งออกอัลกอริทึมเข้ารหัสของสหรัฐในทศวรรษ 1990 ไปจนถึงสภาพการบังคับติดตั้งปลั๊กอินความปลอดภัยที่ใครก็ตามที่เคยใช้อินเทอร์เน็ตแบงก์กิ้งในเกาหลีย่อมรู้ดี และยังชี้ให้เห็นด้วยว่า “ซอฟต์แวร์ความปลอดภัย” เหล่านี้แท้จริงแล้วเป็นของปลอมที่ไม่ได้ช่วยด้านความปลอดภัยเลย แต่สถานการณ์ปัจจุบันกลับถูกออกแบบไว้โดยเจตนาเพราะผลประโยชน์ที่เกี่ยวข้อง
ระหว่างการสืบค้น ดูเหมือนว่าเขาจะค้นพบและรายงานช่องโหว่ความปลอดภัยหลายรายการในผลิตภัณฑ์ปลั๊กอินความปลอดภัยเหล่านี้ แต่เขาก็เข้าใจอย่างชัดเจนเช่นกันว่าเพียงเท่านี้ไม่อาจแก้ปัญหาที่แท้จริงได้ อย่างไรก็ดี รายละเอียดเฉพาะของช่องโหว่ที่พบจะถูกเปิดเผยบนบล็อกของผู้เขียนตามธรรมเนียมการเปิดเผยหลังรายงานครบ 90 วัน โดยมีกำหนดเผยแพร่ในวันที่ 9 มกราคม 2023, 23 มกราคม และ 6 มีนาคม ตามลำดับ
และในกระบวนการค้นหาช่องโหว่ความปลอดภัย เขายังพบปัญหาด้านคุณภาพซอฟต์แวร์ดังต่อไปนี้ด้วย ซึ่งล้วนเป็นเรื่องที่หลายคนน่าจะคุ้นเคยกันดี
- ผู้พัฒนาที่สร้างสิ่งนี้ดูเหมือนจะไม่ชำนาญเรื่องปัญหาความปลอดภัยของหน่วยความจำ เช่น buffer overflow ทั้งที่ใช้ภาษา C
- คอมไพล์ด้วย Visual Studio ที่มีอายุ 15 ปี แทนที่จะใช้คอมไพเลอร์สมัยใหม่ที่มีกลไกหลากหลายสำหรับบรรเทาปัญหา
- ทั้งที่เป็นโปรแกรมความปลอดภัยแท้ ๆ แต่กลับปิดแม้กระทั่งฟีเจอร์ความปลอดภัยพื้นฐานเก่าแก่ เช่น ASLR หรือ DEP
- ใช้ไลบรารีโอเพนซอร์สเวอร์ชันเก่า (บางกรณีเก่ากว่า 10 ปี)
- ในกรณีส่วนใหญ่ การเข้ารหัสดูเหมือนถูกใช้เพียงเพื่อทำ obfuscation สำหรับขัดขวางการทำ reverse engineering
- ยังคงใช้พารามิเตอร์ของอัลกอริทึมเข้ารหัสที่ถูก deprecated ไปนานมากแล้ว
15 ความคิดเห็น
เมื่อวันที่ 2 มิถุนายน 2025 วงการวิชาการด้านความปลอดภัยของเกาหลีได้เผยแพร่งานวิจัยและเอกสารอื่น ๆ ที่ช่วยเติมเต็มเนื้อหานี้
เมื่อไม่นานมานี้มีการประกาศว่ามีการโจมตีแฮ็กที่ใช้ INISAFE CrossWeb EX V3 ของ Initech
คำแนะนำให้อัปเดตความปลอดภัยสำหรับ INISAFE CrossWeb EX V3 ของ Initech
หน่วยข่าวกรองแห่งชาติ "เกาหลีเหนือใช้ประโยชน์จากช่องโหว่ของ INISAFE ในการแฮ็ก… แนะนำให้ติดตั้งแพตช์ความปลอดภัย" (สรุป)
แม้จะเป็นเรื่องที่คาดได้อยู่แล้ว แต่คงไม่ใช่ว่ามีปัญหาเฉพาะผลิตภัณฑ์นี้เท่านั้น เท่าที่ผมทราบ ช่วงหลังยังมีข่าวว่าพบช่องโหว่ด้านความปลอดภัยในโปรแกรมใบรับรองดิจิทัลของเกาหลีอีกอย่างน้อย 2 กรณีด้วยซ้ำ แถมหนึ่งในนั้นว่ากันว่าร่องรอยของนักรบข้อมูลข่าวสารจากแดนเหนือได้สัมผัสไปแล้วด้วย
ในที่สุดก็เริ่มมีการเปิดเผยข้อมูลเกี่ยวกับช่องโหว่จริงแล้ว
รายแรก(?) คือโปรแกรมรักษาความปลอดภัยคีย์บอร์ด TouchEn nxKey ของ RaonSecure
ตัวช่องโหว่เองก็เป็นปัญหาอยู่แล้ว แต่สิ่งที่น่าประทับใจมากคือแม้แต่ในกระบวนการจัดการช่องโหว่นั้นก็ยังแสดงให้เห็นถึงความหละหลวมด้วย (?)
ห่านที่ออกไข่ทองคำ
ฉันได้สรุปคอมเมนต์ใน HackerNews ไว้แล้ว
เนื้อหายาวมากขึ้นเลยสรุปไว้ในบล็อก
https://soulee.dev/2023/01/05/korean-bogus-security
หวังว่าคงจะได้อายกันในระดับนานาชาติบ้างแล้วจะได้มีการปรับปรุงนะครับ
ดูเหมือนจะมีคอมเมนต์จำนวนมากที่บอกว่าตกใจกับการที่วิธีแบบนั้นกำลังถูกใช้เป็นเครื่องมือให้บริษัทต่าง ๆ ปัดความรับผิดชอบอยู่ในตอนนี้
มีมีมจากต่างประเทศอันหนึ่งที่ว่า disappointed but not surprised ซึ่งทำให้นึกถึงขึ้นมาเลยครับ
ดูเหมือนว่าคำว่าแอปพลิเคชันความปลอดภัยปลอม ๆ เพื่อใช้ปัดความรับผิดชอบจะตรงที่สุด...
เธรด Hacker News ที่ผู้เขียนต้นฉบับโพสต์:
https://news.ycombinator.com/item?id=34231364
คำแปลภาษาเกาหลีของบทความต้นฉบับที่ผู้อื่นโพสต์ไว้:
https://www.woojinkim.org/wiki/spaces/me/pages/733085820
น่าอายจริงๆ
ในเกาหลี ฉันมักมองว่าโดยมากแล้วเป้าหมายของกฎระเบียบมักลงเอยไม่ใช่การ "ปกป้องผู้ใช้" แต่เป็นการ "ทำให้ไม่ต้องรับผิดชอบ" และตัวอย่างที่ชัดเจนก็คือปลั๊กอินความปลอดภัยแบบติดตั้งลงบนคอมพิวเตอร์ของผู้ใช้ ดูเหมือนว่าทุกครั้งที่เกิดเหตุ ก็จะมีการเพิ่มอะไรสักอย่างเข้าไปทีละอย่าง จนมาถึงขั้นที่ต้องติดตั้งปลั๊กอินเพื่อจะติดตั้งมันอีกที แบบนี้ก็น่าตกใจเหมือนกันครับ 55
ใช่ครับ ในบทความที่แนะนำก็ชี้ประเด็นนั้นได้อย่างตรงเผงเลย
แล้วพอเห็นว่ามีการแนะนำให้ผู้ใช้ติดตั้งโปรแกรมเพิ่มเติมแยกต่างหาก เพื่อจะได้ติดตั้งปลั๊กอินความปลอดภัยหลายตัว ก็ถึงกับเรียกมันว่า “การจัดการสวนสัตว์แอป” (manage this application zoo) เลยครับ 555
นึกว่าเป็นเรื่องที่มีแต่เราที่รู้ซะอีก ที่แท้ทุกคนก็รู้กันหมดเลย ฮือ ฮือ
ตอนกำลังกินข้าวเย็นแล้วเห็นบทความนี้ ก็แค่คิดว่าเดี๋ยวพรุ่งนี้ค่อยสรุปมาโพสต์ แต่คุณเรียบเรียงไว้ดีมากแล้ว ขอบคุณครับ!!
คำที่บอกว่าได้สร้าง “ตลาดแอปพลิเคชันความปลอดภัยปลอม (bogus)” ขึ้นมานั้น โดนใจมากจริง ๆ