Security – Page 3 – @FordAntiTrust

multi-factor authentication ด้วย OTP ก็ไม่ได้ปลอดภัย 100% หากโดน intercept หมายเลขโทรศัพท์มือถือ

October 6, 2022May 10, 2016 by @FordAntiTrust

บริการต่างๆ ที่ให้เปิด multi-factor authentication มีจุดที่สำคัญที่มักจะให้เราจดจำ และตั้งค่าเพิ่มเติม นั้นคือ backup code และหมายเลขโทรศัพท์มือถือสำหรับรับ reset password หากตัว authenticator ใช้งานไม่ได้

แน่นอน backup code ซ่อนและเก็บได้ ตรงนี้น่าจะพออุ่นใจบ้างหากเก็บไว้ในที่ที่ลับมากๆ ส่วนหมายเลขโทรศัพท์มือถือนั้นแตกต่าง เพราะอาจโดน intercept ตัวเบอร์โทรศัพท์นั้นๆ แล้วนำ code ที่ได้จาก OTP ไปใช้งาน

ซึ่งเมื่อเร็วๆ นี้นักเคลื่อนไหวทางการเมืองถูก hack บัญชี Telegram โดยเกิดจากถูก intercept หมายเลขโทรศัพท์ เพื่อรับรหัส OTP สำหรับเข้าใช้งาน account แอพ Telegram ของเค้า ซึ่งเป็นสิ่งที่เกิดขึ้นได้จริงแล้ว

เพราะโดยปรกติ Telegram ไม่มีการให้ตั้งรหัสผ่านในครั้งแรก แต่ใช้การส่งรหัส OTP เพื่อยืนยันการใช้งานผ่านหมายเลขโทรศัพท์มือถือที่ลงทะเบียนไว้ อ้างอิง Is Telegram Really Safe for Activists Under Threat? These Two Russians Aren’t So Sure.

ทางแก้ที่ Telegram แนะนำ ณ ตอนนี้คือตั้งรหัสผ่านเพิ่มเข้ามาช่วยในการยืนยันตัวตน (ในเมนูของ Telegram มีให้ตั้ง) ทางแก้ไขนี้รวมไปถึง คำแนะนำที่ว่า ควรสื่อสารด้วย secret chat (end-to-end encryption) และตรวจสอบ fingerprints (encryption key) ของคนที่กำลังคุยด้วยเสมอ

จากเหตุการณ์ของ Telegram นี้ ก็กลับมาดูที่ประเทศไทยของเรา การออกซิมการ์ดใหม่ผ่านช่องทางที่มีการตรวจสอบไม่รัดกุม อาจจะเป็นช่องทางที่การใช้งาน multi-factor authentication ด้วย OTP นั้นมีจุดโหว่ และสร้างความไม่มั่นใจต่อหมายเลขโทรศัพท์ที่จะใช้งานควบคู่กับ multi-factor authentication ว่าจะอยู่รอดปลอดภัยได้มากแค่ไหน ตรงนี้เป็นสิ่งที่ผู้ให้บริการต้องตระหนักและช่วยเหลือผู้ใช้งานให้ได้รับความปลอดภัยสูงสุด

ตู้ Service Vending ออก SIM ไม่มีขั้นตอนยืนยันตัวตนที่รัดกุม เบอร์มือถือที่แจ้งรับ OTP จาก internet banking มีความเสี่ยง

October 6, 2022May 2, 2016 by @FordAntiTrust

อัพเดทเพิ่มเติม 4/5/2016 19:25
1. ทาง blognone.com ได้ติดต่อสอบถามกับทาง AIS เพื่อแจ้งปัญหาแล้ว และมีจดหมายชี้แจ้งมาแล้วเช่นกัน
2. ผมได้รับการติดต่อจากทาง PR ของ AIS เป็นการส่วนตัวเพื่อแจ้งให้ทราบว่า ทาง AIS กำลังปรับปรุงขั้นตอนเหล่านี้ให้รัดกุมมากขึ้น

เมื่อวันเสาร์ผมเจอประเด็นน่าสนใจในงาน MiSS Day เรื่องขอ SIM card ใหม่จากตู้ Service Vending (ตู้ออก SIM card อัตโนมัติมีคนรีวิวไว้เผื่อนึกภาพไม่ออก) ของค่ายมือถือรายหนึ่ง (ในงานไม่ได้ระบุว่าค่ายไหน) แต่แน่นอน ผมจำค่ายดังกล่าวได้ เพราะโฆษณาไว้นานพอสมควร โดยระบุไว้ว่า เพียงแค่เสียบบัตรประชาชนก็ออก SIM card ใหม่ได้เลย ซึ่งทางวิทยากรมองว่า เป็นช่องโหว่ที่สามารถขโมยหมายเลขโทรศัพท์มือถือของเราได้ง่ายมากหากบัตรประชาชนผู้ใช้งานถูกขโมย หรือสูญหาย รวมไปถึงหากผู้ใช้งานเป็นเป้าหมายในในการแฮกระบบอื่นๆ ก็อาจเป็นช่องทางที่จดขโมยช่องทางรับ OTP ของบริการอย่าง internet banking หรือบริการ online ที่ใช้ความสามารถยืนยันตัวหลายหลายปัจจัย (2-factor authentication) ที่ใช้หมายเลขโทรศัพท์ดังกล่าวในการผูกระบบ OTP กับเบอร์มือถือนั้น ซึ่งถือเป็นสิ่งที่ซีเรียสมาก

โดยหลังจากเลิกงานนี้ในช่วงเย็น ผมได้ติดต่อกับทาง call center ค่ายมือถือดังกล่าว เพื่อทำเรื่องปิดช่องการออก SIM card จากช่องทางนั้น โดนแจ้งวัตถุประสงค์อย่างชัดเจนว่าขอไม่ให้ออก SIM card ใหม่กับช่องทางดังกล่าวด้วยเหตุผลข้างต้น และให้ออก SIM card กับพนักงานแทนเท่านั้น ซึ่งทาง call center แจ้งกลับมาว่า ไม่สามารถปิดการขอ SIM card ผ่านช่องทางดังกล่าวได้

เมื่อเป็นเช่นนั้น คำแนะนำในตอนนี้สำหรับทุกคนที่ใช้ค่ายมือถือดังกล่าวในการรับ OTP เพื่อทำธุรกรรมทางการเงิน หรือบริการออนไลน์ต่างๆ ควรเก็บบัตรประจำตัวประชาชนของท่านไว้ให้ดี เพราะบัตรประชาชนที่ใช้กับตู้ดังกล่าว ไม่ได้ใช้การยืนยันความเป็นเจ้าของบัตรผ่านรหัส PIN แบบเดียวกับบัตรเครดิตหรือบัตรเอทีเอ็ม ทำให้เพียงแค่มีบัตรประชาชนก็เพียงพอในการออก SIM card ได้ทันทีตามที่ได้กล่าวข้างต้น ซ้ำร้ายกว่านั้น การที่ไม่มีการยืนยันความเป็นเจ้าของบัตรผ่านรหัส PIN แม้ว่าจะมีการแจ้งหายกับทางเจ้าหน้าที่ตำรวจไว้ ก็ไม่มีระบบอายัดบัตรดังกล่าวที่สามารถทำให้บัตรที่สูญหายไปนั้น ระงับการใช้งานผ่านบัตรดังกล่าวได้แบบเดียวกับบัตรเครดิตหรือบัตรเอทีเอ็ม นั้นหมายความว่า ณ ตอนนี้เราไม่สามารถปิดการใช้งานบัตรที่สูญหาย และสามารถนำบัตรนั้นไปออก SIM card ได้แม้จะมีการแจ้งความหมายและออกบัตรใหม่ไปแล้วก็ตามที

อ้างอิง

เปิดใช้ความสามารถ Letter Sealing ในแอพ LINE บน iOS เพื่อเข้ารหัสข้อความจากปลายทางถึงปลายทาง ช่วยป้องกันการดักอ่านข้อมูล

October 6, 2022October 13, 2015 by @FordAntiTrust

จากข่าว LINE เปิดฟีเจอร์ Letter Sealing เข้ารหัสแบบ End-to-End แล้ว เป็นความพยายามเพิ่มความเป็นส่วนตัวของการคุยกันของลูกค้าจากทาง LINE ซึ่งในขณะนี้สามารถเข้ารหัสข้อความแบบคุยกัน 1 ต่อ 1 หรือแชร์ตำแหน่งระหว่างกันได้แล้ว โดยเป็นการเข้ารหัสข้อความจากปลายทางถึงปลายทาง (End-To-End, E2EE) ช่วยป้องกันการดักอ่านข้อมูล หรือการเปิดอ่านข้อความจากฝั่งผู้ให้บริการเอง โดยข้อความที่คุยกันจะอ่านได้เพียงเครื่องที่ส่ง และเครื่องที่รับข้อความเพียงเท่านั้น

สำหรับคนที่ใช้ iOS ความสามารถนี้ต้องมาเปิดเอง ซึ่งการเปิดใช้งานก็ไม่ได้ยากอะไร

1. ไปที่ Settings ของแอพ LINE

2. ไปที่ Chats & Voice Calls

3. ทำการเปิดการใช้งาน Letter Sealing ผ่านตัวเลือก

โดยจะมีข้อความเตือนว่า ข้อความพรีวิวที่ Notification จะไม่สามารถแสดงผลได้ ซึ่งก็เข้าใจได้ในเชิงความเป็นส่วนตัวในการใช้งาน

เพียงเท่านี้ก็เรียบร้อยแล้ว ….

Find my iPhone ไม่ต้องใช้ Two-step verification สำหรับเข้าใช้งานบน iCloud.com แม้จะเปิดใช้งาน Two-step verification ใน Apple ID

October 6, 2022September 27, 2015 by @FordAntiTrust

แม้เราจะเปิด Two-step verification ใน Apple ID แล้ว แต่ยังมีความสามารถหนึ่งที่ชื่อ Find my iPhone ที่สามารถเข้าถึงได้ทันทีโดยไม่ต้อง verify ผ่าน Two-step verification ได้ ทำให้เข้าไปดูว่าเครื่องที่ใช้กับ account นั้นอยู่ที่ไหน (Locate) ใช้เล่นเสียง (Play Sound), เข้าโหมดแจ้งหาย (Lost Mode) และแม้แต่ลบข้อมูล (Erase iPhone) ได้

ส่วนตัวมองว่าเป็นช่องว่างที่สำคัญ (อาจจะตั้งใจ) ที่อาจทำให้ผู้ไม่หวังดีสามารถเข้าถึงผ่านการเดารหัสผ่าน และเข้ามา “ลบข้อมูลใน iPhone” ของเราได้ทันที (ส่วนการติดตามว่าอยู่ที่ไหนนี่อีกเรื่องนึง แต่ถือว่าไม่ปลอดภัยเหมือนกัน)

ซึ่งแตกต่างจากค่ายอื่นๆ ที่ใช้อีเมล หมายเลขโทรศัพท์สำรอง รวมไปถึง recovery code ในการเข้าใช้งานแทน verification code ที่จะส่งมาให้กับ trusted device ที่อาจจะทำหายไปแทน ซึ่งดูแล้วไม่รัดกุมเท่าไหร่นัก

โดยคำแนะนำตอนนี้คือ ตั้งรหัสผ่าน Apple ID ให้แข็งแรงเข้าไว้ (ยากต่อการเดา) และเปลี่ยนบ่อยๆ เพื่อป้องกันเหตุจากการที่ผู้ไม่ประสงค์ดีใช้ความสามารถดังกล่าวในทางที่ผิด

หมายเหตุ ไม่รู้ว่าหาไม่เจอ หรือว่ามันเป็นแบบนี้อยู่แล้วนะ คือผมพยายามหาที่เปิดใช้ Two-step verification ในส่วนของ Find my iPhone แต่หาไม่เจอ ใครทราบเม้นไว้ก็ได้ครับ

ปิดความสามารถที่ทำตัวเสมือน keylogger ใน Windows 10 ที่จะส่งข้อมูลให้ Microsoft

October 6, 2022September 24, 2015 by @FordAntiTrust

ซอฟต์แวร์ในปัจจุบันมักมีการส่งข้อมูลพฤติกรรมการใช้งานของลูกค้ากลับไปยังผู้ผลิต เพื่อปรับปรุงตัวซอฟต์แวร์ และสร้างประสบการณ์ที่ดีในรุ่นถัดไปจนเป็นเรื่องปรกติ และใน Windows 10 นั้น มีการเก็บข้อมูลพฤติกรรมบางอย่างที่สุ่มเสี่ยงต่อการเก็บข้อมูลสำคัญ เช่น รหัสผ่าน หมายเลขบัตรเครดิต หรือข้อมูลธุรกรรมทางการเงินที่สำคัญ ซึ่งดักจับผ่านการพิมพ์บนคีย์บอร์ด (keylogger) แล้วนำส่งไปที่ Microsoft ซึ่งยังไม่มีรายงานว่าการเก็บข้อมูลที่พิมพ์ไปนั้น มีอะไร เก็บรักษาอย่างไร ปลอดภัยและไว้ใจได้แค่ไหน

สิ่งที่คลุมเครือ และไม่ชัดเจนแบบนี้ ในฐานะลูกค้าคนหนึ่งจึงคิดว่าควรปิดมันเสียจะดีกว่า

ขั้นตอนมีดังนี้

1. ไปที่ Start menu เลือก Settings

2. เลือกหัวข้อ Privacy

3. ในหัวข้อ General ที่ตัวเลือก Send Microsoft info about how I write to help us improve typing and writeing in the future ให้เลือกเป็น Off

4. ที่หัวข้อ Speech, inking, & typing ให้กดปุ่ม Stop Getting to know me เพื่อปิดการรับข้อมูลของ Cortana

ขั้นตอนไม่ได้ยุ่งยากซับซ้อนแต่อย่างใด โดยส่วนตัวแล้วแนะนำให้ปิดครับ