45 คะแนน โดย kunggom 2023-01-04 | 15 ความคิดเห็น | แชร์ทาง WhatsApp

บริการธนาคารออนไลน์หรือบริการรัฐบาลอิเล็กทรอนิกส์ของเกาหลีใต้ขึ้นชื่อเรื่องโปรแกรมติดตั้งสารพัดชนิดมาตั้งแต่โบราณ ก่อนหน้านี้คือ ActiveX และทุกวันนี้เปลี่ยนมาเป็นไฟล์ติดตั้งปลั๊กอินความปลอดภัย แต่แก่นแท้ของปัญหาก็ไม่ได้เปลี่ยนไป ถึงอย่างนั้น ช่วงหลังมานี้ก็มีวิธียืนยันตัวตนที่มาแทนใบรับรองดิจิทัลแบบเดิม และเริ่มมีบางแห่งที่ให้บริการออนไลน์ได้โดยไม่ต้องติดตั้งปลั๊กอิน exe จึงนับว่าสถานการณ์บางส่วนดีขึ้นกว่าแต่ก่อน แต่ความจริงที่ว่ายังมีเว็บไซต์ซึ่งบังคับให้ติดตั้งของพวกนี้อย่างเปิดเผยหลงเหลืออยู่จนถึงปี 2023 ก็ชวนให้สลดใจอย่างยิ่ง

Wladimir Palant ผู้มีชื่อเสียงจาก Adblock Plus ได้เขียนโพสต์ลงบล็อกของตนว่าเขาได้สืบค้นสภาพความมั่นคงปลอดภัยออนไลน์ลักษณะนี้ของเกาหลีใต้มาตั้งแต่เดือนกันยายนที่ผ่านมา (ภาษาอังกฤษ) โดยเขามองทะลุประเด็นได้อย่างแม่นยำ ตั้งแต่เหตุผลทางประวัติศาสตร์ที่เริ่มใช้ ActiveX เพื่อทำบริการอินเทอร์เน็ตแบงก์กิ้งด้วย อัลกอริทึม SEED ซึ่งเกาหลีพัฒนาขึ้นเองเพราะข้อจำกัดการส่งออกอัลกอริทึมเข้ารหัสของสหรัฐในทศวรรษ 1990 ไปจนถึงสภาพการบังคับติดตั้งปลั๊กอินความปลอดภัยที่ใครก็ตามที่เคยใช้อินเทอร์เน็ตแบงก์กิ้งในเกาหลีย่อมรู้ดี และยังชี้ให้เห็นด้วยว่า “ซอฟต์แวร์ความปลอดภัย” เหล่านี้แท้จริงแล้วเป็นของปลอมที่ไม่ได้ช่วยด้านความปลอดภัยเลย แต่สถานการณ์ปัจจุบันกลับถูกออกแบบไว้โดยเจตนาเพราะผลประโยชน์ที่เกี่ยวข้อง

ระหว่างการสืบค้น ดูเหมือนว่าเขาจะค้นพบและรายงานช่องโหว่ความปลอดภัยหลายรายการในผลิตภัณฑ์ปลั๊กอินความปลอดภัยเหล่านี้ แต่เขาก็เข้าใจอย่างชัดเจนเช่นกันว่าเพียงเท่านี้ไม่อาจแก้ปัญหาที่แท้จริงได้ อย่างไรก็ดี รายละเอียดเฉพาะของช่องโหว่ที่พบจะถูกเปิดเผยบนบล็อกของผู้เขียนตามธรรมเนียมการเปิดเผยหลังรายงานครบ 90 วัน โดยมีกำหนดเผยแพร่ในวันที่ 9 มกราคม 2023, 23 มกราคม และ 6 มีนาคม ตามลำดับ

และในกระบวนการค้นหาช่องโหว่ความปลอดภัย เขายังพบปัญหาด้านคุณภาพซอฟต์แวร์ดังต่อไปนี้ด้วย ซึ่งล้วนเป็นเรื่องที่หลายคนน่าจะคุ้นเคยกันดี

  • ผู้พัฒนาที่สร้างสิ่งนี้ดูเหมือนจะไม่ชำนาญเรื่องปัญหาความปลอดภัยของหน่วยความจำ เช่น buffer overflow ทั้งที่ใช้ภาษา C
  • คอมไพล์ด้วย Visual Studio ที่มีอายุ 15 ปี แทนที่จะใช้คอมไพเลอร์สมัยใหม่ที่มีกลไกหลากหลายสำหรับบรรเทาปัญหา
  • ทั้งที่เป็นโปรแกรมความปลอดภัยแท้ ๆ แต่กลับปิดแม้กระทั่งฟีเจอร์ความปลอดภัยพื้นฐานเก่าแก่ เช่น ASLR หรือ DEP
  • ใช้ไลบรารีโอเพนซอร์สเวอร์ชันเก่า (บางกรณีเก่ากว่า 10 ปี)
  • ในกรณีส่วนใหญ่ การเข้ารหัสดูเหมือนถูกใช้เพียงเพื่อทำ obfuscation สำหรับขัดขวางการทำ reverse engineering
  • ยังคงใช้พารามิเตอร์ของอัลกอริทึมเข้ารหัสที่ถูก deprecated ไปนานมากแล้ว

15 ความคิดเห็น

 
kunggom 2025-06-14

เมื่อวันที่ 2 มิถุนายน 2025 วงการวิชาการด้านความปลอดภัยของเกาหลีได้เผยแพร่งานวิจัยและเอกสารอื่น ๆ ที่ช่วยเติมเต็มเนื้อหานี้

 
kunggom 2023-03-31

เมื่อไม่นานมานี้มีการประกาศว่ามีการโจมตีแฮ็กที่ใช้ INISAFE CrossWeb EX V3 ของ Initech

ตามข้อมูลของหน่วยข่าวกรองแห่งชาติ หน่วยข่าวกรองแห่งชาติ สำนักงานตำรวจแห่งชาติ สำนักงานส่งเสริมสังคมสารสนเทศแห่งเกาหลี (KISA) และสถาบันวิจัยเทคโนโลยีความมั่นคงแห่งชาติ ได้ยืนยันว่าเมื่อปลายปีก่อน เกาหลีเหนือได้ใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์รับรองความปลอดภัยทางการเงิน 'INISAFE' ของ Initech บริษัทผู้เชี่ยวชาญด้านการเงินและความปลอดภัยในเครือ KT[030200] เพื่อแฮ็กพีซีราว 210 เครื่องในหน่วยงานสำคัญทั้งในและต่างประเทศประมาณ 60 แห่ง รวมถึงหน่วยงานของรัฐ หน่วยงานสาธารณะ และบริษัทด้านกลาโหมและไบโอ
ซอฟต์แวร์ที่ถูกใช้ในการแฮ็กคือเวอร์ชัน 'INISAFE CrossWeb EX V3 3.3.2.40' และต่ำกว่า ซึ่งเป็นซอฟต์แวร์ใบรับรองสำหรับภาคการเงินอิเล็กทรอนิกส์และภาครัฐ โดยคาดว่ามีการติดตั้งอยู่บนพีซีของหน่วยงาน บริษัท และผู้ใช้ส่วนบุคคลทั้งในและต่างประเทศมากกว่า 10 ล้านเครื่อง

หน่วยข่าวกรองแห่งชาติระบุว่า “เราได้เริ่มตอบสนองฉุกเฉินตั้งแต่เดือนมกราคมปีนี้ และได้เสร็จสิ้นการวิเคราะห์โดยละเอียดเกี่ยวกับหลักการทำงานของมัลแวร์ดังกล่าว” พร้อมเสริมว่า “โดยอ้างอิงจากข้อมูลการวิเคราะห์นี้ เราได้ร่วมมือกับบริษัท A เพื่อสาธิตการโจมตีและการป้องกันจริง และพัฒนาแพตช์ความปลอดภัยเสร็จสิ้นแล้ว”

Initech ระบุว่า เมื่อเดือนมกราคมที่ผ่านมา หลังจากที่ผู้เชี่ยวชาญด้านความปลอดภัยชาวเยอรมัน Wladimir Palant ชี้ผ่านโพสต์ว่าซอฟต์แวร์ความปลอดภัยทางการเงินในประเทศจำนวนมากมีปัญหา และมีภาพผลิตภัณฑ์ของบริษัทปรากฏอยู่ในโพสต์นั้น บริษัทจึงเริ่มตรวจสอบช่องโหว่และพบปัญหาดังกล่าว
เจ้าหน้าที่ของ Initech กล่าวว่า “หลังจากค้นพบช่องโหว่ ระหว่างที่กำลังแก้ไขปรับปรุงอยู่นั้น ทางหน่วยข่าวกรองแห่งชาติก็ได้ติดต่อมา เราพัฒนาแพตช์ความปลอดภัยเพื่อบรรเทาช่องโหว่ที่เป็นปัญหาเสร็จสิ้นเมื่อวันที่ 20 กุมภาพันธ์และกำลังเผยแพร่อยู่ ขณะนี้มีบริษัทประมาณ 40% ที่ติดตั้งแพตช์เสร็จแล้ว อย่างไรก็ตาม ยังไม่ใช่ทุกบริษัทที่อัปเดตเสร็จสิ้น จึงยังคงแนะนำให้อัปเดตอย่างต่อเนื่อง”

แม้จะเป็นเรื่องที่คาดได้อยู่แล้ว แต่คงไม่ใช่ว่ามีปัญหาเฉพาะผลิตภัณฑ์นี้เท่านั้น เท่าที่ผมทราบ ช่วงหลังยังมีข่าวว่าพบช่องโหว่ด้านความปลอดภัยในโปรแกรมใบรับรองดิจิทัลของเกาหลีอีกอย่างน้อย 2 กรณีด้วยซ้ำ แถมหนึ่งในนั้นว่ากันว่าร่องรอยของนักรบข้อมูลข่าวสารจากแดนเหนือได้สัมผัสไปแล้วด้วย

นอกจากนี้ เมื่อจะปิดการทำงานและลบ VestCert จำเป็นต้องดำเนินการตามลำดับที่กำหนดก่อน โดยในการปิดโปรเซส ต้องไปที่แท็บโปรเซสของ Task Manager แล้วปิด Goji ก่อน จากนั้นจึงปิด VestCert หลังจากนั้นให้ตรวจสอบเวอร์ชันของ VestCert ที่ [Control Panel]-[Programs]-[Programs and Features] แล้วคลิก ‘Remove’ เพื่อลบออกอย่างสมบูรณ์

กลุ่มแฮ็กเกอร์ Lazarus ได้ทำการ inject เข้าไปในโปรเซส svchost.exe ผ่านช่องโหว่ของ MagicLine4NX จากนั้นดาวน์โหลดและรันโปรแกรมอันตราย ดังนั้นหากมีการติดตั้ง MagicLineNX เวอร์ชันที่มีช่องโหว่อยู่ จำเป็นต้องลบออกทันที

 
kunggom 2023-01-09

ในที่สุดก็เริ่มมีการเปิดเผยข้อมูลเกี่ยวกับช่องโหว่จริงแล้ว

 
kunggom 2023-01-09

รายแรก(?) คือโปรแกรมรักษาความปลอดภัยคีย์บอร์ด TouchEn nxKey ของ RaonSecure
ตัวช่องโหว่เองก็เป็นปัญหาอยู่แล้ว แต่สิ่งที่น่าประทับใจมากคือแม้แต่ในกระบวนการจัดการช่องโหว่นั้นก็ยังแสดงให้เห็นถึงความหละหลวมด้วย (?)

 
junho0102 2023-01-08

ห่านที่ออกไข่ทองคำ

 
soulee 2023-01-05

ฉันได้สรุปคอมเมนต์ใน HackerNews ไว้แล้ว

  • หน่วยงานกำกับดูแลทางการเงินของเกาหลีมีความอนุรักษนิยม แต่บรรดานักการเมืองและสื่อมักพยายามเข้าข้างผู้บริโภคทางการเงิน ดังนั้นแม้รหัสผ่านจะรั่วไหลเพราะคีย์ล็อกเกอร์ที่ติดตั้งอยู่ในคอมพิวเตอร์ของผู้ใช้ ก็ยังโทษว่าเป็นความผิดของธนาคาร นี่คือเหตุผลที่ธนาคารต้องซื้อโปรแกรมความปลอดภัย
  • ตัวสถาบันการเงินเองก็ไม่ได้ใส่ใจเรื่องความปลอดภัยนัก การใช้ OS ที่ล้าสมัยเป็นเรื่องที่พบได้บ่อยมาก

เนื้อหายาวมากขึ้นเลยสรุปไว้ในบล็อก
https://soulee.dev/2023/01/05/korean-bogus-security

 
cychong 2023-01-05

หวังว่าคงจะได้อายกันในระดับนานาชาติบ้างแล้วจะได้มีการปรับปรุงนะครับ
ดูเหมือนจะมีคอมเมนต์จำนวนมากที่บอกว่าตกใจกับการที่วิธีแบบนั้นกำลังถูกใช้เป็นเครื่องมือให้บริษัทต่าง ๆ ปัดความรับผิดชอบอยู่ในตอนนี้

 
draupnir 2023-01-05

มีมีมจากต่างประเทศอันหนึ่งที่ว่า disappointed but not surprised ซึ่งทำให้นึกถึงขึ้นมาเลยครับ

 
kuroneko 2023-01-05

ดูเหมือนว่าคำว่าแอปพลิเคชันความปลอดภัยปลอม ๆ เพื่อใช้ปัดความรับผิดชอบจะตรงที่สุด...

 
kunggom 2023-01-05

เธรด Hacker News ที่ผู้เขียนต้นฉบับโพสต์:
https://news.ycombinator.com/item?id=34231364

คำแปลภาษาเกาหลีของบทความต้นฉบับที่ผู้อื่นโพสต์ไว้:
https://www.woojinkim.org/wiki/spaces/me/pages/733085820

 
roxie 2023-01-05

น่าอายจริงๆ

 
colus001 2023-01-04

ในเกาหลี ฉันมักมองว่าโดยมากแล้วเป้าหมายของกฎระเบียบมักลงเอยไม่ใช่การ "ปกป้องผู้ใช้" แต่เป็นการ "ทำให้ไม่ต้องรับผิดชอบ" และตัวอย่างที่ชัดเจนก็คือปลั๊กอินความปลอดภัยแบบติดตั้งลงบนคอมพิวเตอร์ของผู้ใช้ ดูเหมือนว่าทุกครั้งที่เกิดเหตุ ก็จะมีการเพิ่มอะไรสักอย่างเข้าไปทีละอย่าง จนมาถึงขั้นที่ต้องติดตั้งปลั๊กอินเพื่อจะติดตั้งมันอีกที แบบนี้ก็น่าตกใจเหมือนกันครับ 55

 
kunggom 2023-01-04

ใช่ครับ ในบทความที่แนะนำก็ชี้ประเด็นนั้นได้อย่างตรงเผงเลย

แล้วพอเห็นว่ามีการแนะนำให้ผู้ใช้ติดตั้งโปรแกรมเพิ่มเติมแยกต่างหาก เพื่อจะได้ติดตั้งปลั๊กอินความปลอดภัยหลายตัว ก็ถึงกับเรียกมันว่า “การจัดการสวนสัตว์แอป” (manage this application zoo) เลยครับ 555

 
colus001 2023-01-05

นึกว่าเป็นเรื่องที่มีแต่เราที่รู้ซะอีก ที่แท้ทุกคนก็รู้กันหมดเลย ฮือ ฮือ

 
xguru 2023-01-04

ตอนกำลังกินข้าวเย็นแล้วเห็นบทความนี้ ก็แค่คิดว่าเดี๋ยวพรุ่งนี้ค่อยสรุปมาโพสต์ แต่คุณเรียบเรียงไว้ดีมากแล้ว ขอบคุณครับ!!

คำที่บอกว่าได้สร้าง “ตลาดแอปพลิเคชันความปลอดภัยปลอม (bogus)” ขึ้นมานั้น โดนใจมากจริง ๆ