สายลมแห่งการเปลี่ยนแปลง

ในรอบปีที่ผ่านมา ผมมีเรื่องอยากจะขยายความโดยเฉพาะ ส่วนใหญ่มาจากต่างประเทศ แต่เป็นผู้กำหนดวิถึชีวิตและการผูกขาดวิธีการใช้งาน รวมถึงเปลี่ยนแปลงชีวิตเราทุกคนที่อยู่ในยุคดิจิทัล
ซึ่งผมขอเรียกว่า "เส้นทางที่ถูกลิขิตไว้ บนก้อนเมฆแห่งข้อมูล"

แสงอาทิตย์กำลังจะลับขอบฟ้าที่หมู่บ้านในวันสิ้นปีผ่านกล้องเก่าๆที่ผู้เขียนไม่ได้ตั้งใจถ่าย

เส้นทางที่ถูกลิขิตไว้ บนก้อนเมฆแห่งข้อมูล  คือ อะไร? ตอบสั้นว่า มีคนสร้างบ้าน สร้างช่องทางให้เราหมดแล้ว  เราไม่มีสิทธิที่จะออกนอกลู่นอกทางได้เลย

 ที่จะพบในปี 2560 มีดังนี้

1) สมองไหลทางดิจิทัล
 สมองไหลในที่นี้ไม่ใช่สมองไหลจากทางกายภาพที่เกิดจากคนเลย แต่กับกลายเป็นวิถีชีวิตการใช้งานที่สมองไหล ไปใช้บริการในต่างประเทศ

นั้นหมายถึงปริมาณการใช้งานข้อมูลอินเทอร์เน็ตในประเทศไทย จะออกต่างประเทศมากขึ้น
เหตุผลมี 2 เรื่อง
เหตุผลที่ 1 เพราะต่างประเทศสะดวกกว่าทั้งเทคโนโลยี ความเร็ว ความเสถียร  ธุรกิจที่มีโอกาสหายในประเทศไทย คือ Hosting , Co-location บน IDC (Internet Data Center)  เนื่องจากเราจะเจอบริการอย่าง DigitalOcean  , AWS   , Google และ Microsoft  จะดึงให้เราสมองไหลมากขึ้น

เหตุผลที่ 2 ที่ทำให้ธุรกิจ Hosting , Co-location หรือ Cloud ในประเทศไทย โดยเฉพาะสีเทาถึงเทามากเป็นดำ จะย้ายไปต่างประเทศก่อนหน้านั้นแล้ว  ยังคงเหลือแต่พวกไม่ใช่สีเทา เป็นสีขาว ก็อาจจะย้ายไปอยู่ต่างประเทศหมดในเร็ววันนี้ เพราะเป็นห่วงในการตีความ พรบ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ตัวใหม่ที่พึ่งผ่านและมีผลบังคับใช้เดือนเมษาฯ ปี 60
เท่ากับว่าธุรกิจนี้เคยรุ่งเรือง แต่เจอ Platform แบบครบเครื่องจากต่างแดนเข้าไป  ก็ไปไม่เป็นเหมือนกัน

ลองคิดภาพตาม IDC ที่เจ๋งสุดในประเทศไทย อยากมากก็มีความใหญ่เท่ากับจำนวน 10 ตึก  แต่ IDC ผู้ให้บริการในต่างประเทศ Google , Microsoft , AWS   ใหญ่พอกับอำเภอหนึ่งของประเทศเรา อันนี้จะไปเอาอะไรสู้ ?

แล้วธุรกิจจะมีปัญหาไหม  ไม่มีเพราะยังมีหน่วยงานราชการไทย จะต้องใช้ของไทย จำเป็นต้องวางในประเทศ หากวางในราคาประหยัด ก็อาจจะโดน F5 สะกิดนิดสะกิดหน่อยอาจหล่มได้

ดังนั้นหมายความว่า
บริการ Cloud ในประเทศไทยจะดูด้อยลง
เพราะโครงสร้างและเทคโนโลยีจะสู้ผู้ให้บริการระดับโลก ที่ลงมาแข่งขันตรงไม่ได้ โลกมันโหดร้าย การลงทุนของผู้ให้บริการเราอย่างไงก็สู้ระดับโลกไม่ได้  ตอนนี้ มี Player ในระดับที่โค่นและฝ่าด่านเพื่อชนะบริการเหล่านี้ได้ยาก เช่น AWS Amazon Cloud , Google Cloud , Microsoft Cloud  3 เจ้านี้ปัจจุบันติดต่อขายลูกค้าตรง ผ่าน Web Services โดยไม่มี Sales มาเคาะประตูขายถึงที่อีกแล้ว  คุณจะใช้ได้ทั้งเป็น VM หรือ จะเป็นทั้ง Infrastructure ที่มาพร้อมกับโปรแกรมมิ่งชั้นสูง ที่ทำให้เราเพิ่ม ขยาย หรือลด ปริมาณการใช้งานแล้วแต่ใจคุณต้องการ แล้วมีให้เลือกประเทศที่ให้บริการอีกด้วย  โครงสร้างที่เชื่อมถึงกันหมดทำให้ระบบความเสถียรภาพมีสูงมาก  สำหรับผู้ใช้งาน ถือว่าสะดวกมาก
การปรับตัวคือเป็นเพียงผู้ขายเทคโนโลยีของ Player ที่กล่าวมา สำหรับการขายสินค้าและบริการระดับองค์กรใหญ่ในประเทศไทยเท่านั้น   ส่วนรายเล็กและขนาดกลาง ที่ขาดความรู้ก็อาจเป็นลูกค้าได้  ซึ่งถือว่าน้อยลงเพราะความรู้หาได้จาก Google ไปแล้ว   DIY ด้วยตัวเองจึงเป็นเรื่องง่ายๆ สำหรับคนยุคดิจิทัล

สรุปว่า สมองไหลในที่นี้ไม่ใช่สมองไหลจากทางกายภาพที่เกิดจากคนเลย แต่กับกลายเป็นวิถีชีวิตการใช้งานที่สมองไหล ไปใช้บริการในต่างประเทศ  ทางกายภาพกับตรงข้ามเสียด้วยซ้ำเพราะปัจจุบันนี้ทำงานที่ไหนก็ได้หมดแล้ว ผ่านก้อนเมฆแห่งข้อมูลซึ่งตรงก้อนเมฆนี้แหละที่เกิดสมองไหล

ในโลกความเป็นจริงคือ ผู้ใช้บริการภาคเอกชนมีโอกาสย้าย Host ในนี้ประกอบด้วย Web Services , IOT (Internet of Thing) ที่ Sensor ในบ้านเราจะส่งข้อมูลผ่านก้อนเมฆที่คาดว่าจะอยู่ไปอยู่ต่างประเทศใช้บริการเช่น AWS , Google , Microsoft และ DigitalOcean หรือแม้กระทั่ง Cloudflar  ไปเพราะสะดวกรวดเร็ว ทุกอย่างผ่านออนไลน์  และมีความเสถียรสูง จะเหลือแต่หน่วยงานภาครัฐไทย ที่ยังคงต้องใช้บริการกับรายเดิมๆ ในประเทศ
ซึ่งทำให้การแข่งขันสูง คือ "คู่แข่งเยอะ แต่ผู้ใช้บริการส่วนใหญ่จะเหลือแต่ภาครัฐ  เปรียบอาหารมีชิ้นเดียวแต่เหล่าสิงโต เสือดาว ช้าง ไปจนถึงแมวน้อยก็กระโดดแย่งชิงกัน"
รายเล็กๆที่ทำธุรกิจด้านนี้อาจต้องคิดใหม่ เพราะแข่งขันในประเทศยากลำบากขึ้น

การปรับตัวอย่างชาญฉลาดจะอยู่รอดได้  
ถึงแม้ดูเหมือนว่าเราจะติดกับดักเทคโนโลยี และวิถีการใช้งานของตัวเราเอง  แต่ก็มีสิ่งที่ทำให้ผู้ประกอบการหน้าใหม่ที่เข้าวินได้เหมือนกัน  ในอดีตเราเคยใช้คำว่า Agility  ถึงจะสำเร็จ  ยังใช้ได้อยู่ แต่ถึงอย่างไร มันต้องใช่ด้วย หากทำอะไรที่ทุกคน ต้องร้องคำว่า "Wow"   นี้อย่างไงก็รอดในปี 2560   สิ่งที่ระมัดระวังคือต้องไม่โกหกผู้บริโภค  เพราะสมัยนี้ผู้บริโภคเข้าถึงข้อมูลได้หมดแล้ว  Google และ facebook  รวมไปถึง Pantip  เป็นที่ผู้บริโภคเกือบทุกคนที่เลือกใช้บริการค้นหาข้อมูลก่อนซื้อแน่นอน
แจ็คผู้ฆ่ายักษ์ ยังมี เช่น ธุรกิจ Startup  ถึงแม้ตัวเลขในปีที่ผ่านมา  จะเหลือรอดตายมาได้แค่ 3%  นอกนั้นเข้าสู่ห้อง ICU  ก็ตาม แต่เพียงหนึ่งใน 3 นั้นหากโดนจริงจะถูกบริษัทขนาดใหญ่เข้ามาเร่งปุ๋ยทันที จนมีโอกาสเข้าตลาดหลักทรัพย์ที่เป็นความต้องการของยุคนี้ที่ทุกบริษัทต้องเข้าตลาดทุนหมด  จะเหลือแต่ SME ตาดำๆ แล้วล่ะสิเพราะบริษัทเข้าตลาดหลักทรัพย์หมด

2)  รัฐเปลี่ยนมุมคิดเรื่อง พรบ. คอมพิวเตอร์ใหม่ จะได้บวกมากกว่าลบ
พรบ. คอมพิวเตอร์ ตัวใหม่ มีความกำกวม ในการตีความอย่างมาก โดยเฉพาะเรื่องของประชาชนที่กลัวโดนตรวจสอบเนื้อหาจากภาครัฐ  การไม่เป็นอิสระเสรีในเชิงความคิด  สรุปสั้นๆ  ประชาชนไม่ไว้ใจรัฐ
เพราะในหลายมาตราและหลายอำนาจ ที่ดูแล้วจะเน้นตรวจ "Content" เนื้อหามากกว่าจะช่วยป้องกันภัยอันตรายกับการใช้งานอินเทอร์เน็ตของประชาชนตา (ดำๆ)
ถ้ารัฐเปลี่ยนแนวคิดใหม่  ให้ พรบ คอมพิวเตอร์ นี้ จะทำให้ประชาชนทุกคนในประเทศไทยที่ใช้งานอินเทอร์เน็ตมีความมั่นคงปลอดภัยทางข้อมูลมากขึ้น   และตัดเรื่องอำนาจการพิจารณาที่ไร้การตรวจสอบออกหรือเขียนชี้ให้ชัดว่าขั้นตอนเป็นอย่างไร  โดยเน้นความปลอดภัยประชาชนมาก่อนจะเป็นการดีกว่า เช่น  นับแต่นี้ประชาชนในประเทศไทยที่ใช้งานอินเทอร์เน็ต จะติดเชื้อ Botnet น้อยลง  บริษัท ห้างร้านที่ใช้อินเทอร์เน็ต จะติด Ransomware น้อยลง  ผู้ให้บริการอินเทอร์เน็ต จะส่ง Spam น้อยลง
ประชาชนในประเทศไทยจะไม่ถูกหลอกจากเว็บหลอกลวงทางเทคนิค Phishing   ประชาชนในชาติจะติดเชื้อ Malware น้อยลง   ทำจริงๆ จังๆ จะเรียกแขกให้มาใช้งานอินเทอร์เน็ตในประเทศไทย  จากข้อ 1-2 ที่ผมกล่าวข้างต้น ก็จะทำเศรษฐกิจและสังคมดิจิทัลในประเทศไทยกลับคืนชีพมาได้บ้าง
ตัดเรื่อง Block หรือ ลบ (ในกฏหมายที่พูดถึงการ"ลบ" เป็นการสะท้อนการไม่เข้าใจของผู้ใหญ่ เพราะยุคสมัยนี้มันถ้าต้องลบด้วยคงต้องไปคุยผู้ให้บริการในต่างประเทศ เช่น ที่ Google , Apple  และ Line เป็นต้น ฝั่งหนึ่งอยู่ในเครื่องเราอีกฝั่งหนึ่งบนก้อนเมฆก็เก็บเหมือนกัน ลองคิดดูมีผู้ให้บริการไหนที่มีข้อมูลเรามากกว่า 2 รายที่กล่าวมาไหม อย่าไปเทียบเลย ถึงแม้ baidu กำลังจะมาในไทยแต่ก็ยังห่างไกล) อย่าได้ให้ประชาชนตาดำคิดว่ารัฐทำ Single gateway  ซึ่งในทางเทคนิคและการปฏิบัติแล้วทำได้ยากมากแทบไม่มีความเป็นไปได้เลย ถึงทำก็ไม่คุ้ม ที่ผมกล่าวมาข้างต้นก็พอสรุปได้ว่าไม่มีผลเพราะคนส่วนหนึ่งผ่าน VPN โดยใช้ Cloud จากภายนอกประเทศ คนที่ทำการส่วนใหญ่อำพรางไอพีทั้งนั้น ส่วนบุคคลปกติไม่มีความจำเป็นต้องอำพรางไอพีเพื่อเข้าถึงข้อมูล  รู้ทั้งรู้ว่าเกิดการอำพรางตัวตนและไอพีอยู่แล้ว  Log files ก็จะหาได้แต่ลงไอพีในต่างประเทศ แล้วจะมีประโยชน์อันใด

"ท่านที่ทำหน้าที่สืบสวนสอบสวนด้านนี้ ท่านควรกระโดดข้ามเรื่องไอพีแอดเดรสได้แล้ว มีอีกตั้งหลายวิธีที่ทำให้ท่านรู้ว่าใครเป็นใครบนพื้นที่ออนไลน์แห่งนี้"

ด้วยเหตุทั้งหมดนี้จึงบอกได้ Single gateway ไม่เกิดแน่นอนคนที่ทำให้เกิดคือไปหลอกผู้ใหญ่ในบ้านเมืองไทย ลองคิดดูทุกวันนี้การเข้าใช้งานเป็น HTTPS เกือบหมดแล้ว จะ block เป็น URL ที่มี path เช่น https://www.facebook.com/abcdefg   ไม่มีทางทำได้  ก็หลายปีก่อนมีผู้ใหญ่บ้านเราสั่ง block ทั้ง domain ลงไปที่ facebook ก็ทำให้ทั้งประเทศใช้งานไม่ได้ เรื่องนี้เป็นเพราะขาดความรู้   เมื่อก่อนผมได้คุยเรื่อง SSL ระดับผู้หลักผู้ใหญ่ในบ้านเรา แทบไม่มีใครรู้เรื่องเลย  ต้องขยายความให้วุ่นวาย แต่มาวันนี้มีพัฒนาการที่ดีขึ้นเริ่มคุยภาษาดอกไม้กันได้ ตั้งแต่เป็นข่าวพบเครื่องถอด SSL ที่กองทัพ อยากจะบอกว่าไม่ได้ง่ายอย่างงั้นครับ

ทุกวันนี้การเข้าถึงเว็บไซต์เป็น  HTTPS เกือบหมดแล้ว แม้กระทั่งเว็บโป๊ ยังเป็น HTTPS   เลยการจะ Block  (ที่เป็น path ไม่ใช่ domain) หรือ ดูข้อมูลได้จำเป็นต้องแกะ SSL ให้ได้ก่อน ซึ่งนั้นคือต้องลง CA  ทุกเครื่องในประเทศ ท่านคิดว่าเป็นไปได้ไหม ?

ทำไมรัฐไม่เปลี่ยนคำว่า Block เป็น Protect แทน แล้วทำแบบกระจาย ไม่ใช่รวมศูนย์ที่ ISP  ซึ่งในโลกความเป็นจริงแล้วหากท่านผู้มีอำนาจตรวจสอบแล้ว IP Public ที่ท่านพบไปลง โรงแรมแห่งหนึ่ง คือท่านก็จะแยกแยะไม่ออกอยู่ดีว่า ใครเป็นผู้ทำผิด หากโรงแรมแห่งนั้นไม่ได้เก็บ Log ที่มีคุณภาพ อย่างเก่งก็ได้แค่ชื่อเป็นอะไรก็ไม่รู้ แต่ไม่รู้ว่าทำอะไร พอหลักฐานไม่พอก็ยกฟ้องตามระเบียบ

หากรัฐทำการ Protect แทนคำว่า Block และติดตั้งแบบกระจายไปยังส่วนที่ควรจะควบคุมจะได้ดีกว่าไหม โรงเรียน โรงพยาบาล และพื้นที่สาธารณะที่ใช้ Free-wifi  ,หมู่บ้าน , ตำบล , อำเภอ จังหวัด เป็นต้น  เกิดการสร้างงานกระตุ้นเศรษฐกิจถึงรากหญ้าในทางอ้อมเพราะเกิดการสร้างงาน
ส่วนคำว่า Protect ในที่นี้คือ เว็บไซต์อันตราย ที่มีโอกาสติดเชื้อ(malware) , การหลอกลวง (Phishing)  และเนื้อหาไม่พึ่งประสงค์  เช่น การพนัน ลามกอนาจร และสิ่งผิดกฎหมาย รัฐต้องชัดจะป้องกันในส่วนไหน ไม่งั้นประชาชนจะตีความเอง  ตามมโนและประสบการณ์ของแต่ละบุคคล เมื่อทำเสร็จแล้วก็ควรมีรายงานบอกว่า ลดความเสี่ยงให้ประชาชนในประเทศปลอดภัยไปแล้วเท่าไหร่ กี่คนที่ช่วยเหลือเขาไปแล้ว  ในต่างประเทศ เช่น ญี่ปุ่น ไตหวัน และประเทศในทวีปยุโรป และสากลที่เขาทำกัน

อย่าใช้แนวคิด "เป็นนักตรวจสอบ แต่ให้เปลี่ยน นักช่วยเหลือ" จะดีกว่า ภาพจะดูดีขึ้นทันที


3) ตนเป็นที่พึ่งแห่งตน

ไม่มีอะไรจะดีไปกว่าการลงมือทำด้วยตัวเอง  สมัยนี้ไม่ว่าจะทำอะไร ก็สามารถทำด้วยตัวเองได้แบบง่ายๆ ผ่านช่องทางคลิปวีดิโอ หรือ การค้นหาข้อมูลด้วยตัวท่านเอง  ไม่ใช่เรื่องยากอีกต่อไป  จะมีเพียงเฉพาะทางที่ต้องมีความรู้เบื้องต้นมาก่อน  หากใครยังมีความเกียจคร้าน  ปล่อยเฉย ก็อาจจะโดนแซงไปได้ง่าย  งานด้าน IT Security ในประเทศไทย จะมีการเปลี่ยนแปลงเพราะมีบทเรียนและการเรียนรู้จากอดีตที่ผ่านมา และแน้วโน้มจากต่างประเทศ ดังนั้นบุคคลากรจำเป็นต้องมีความเชี่ยวชาญที่แท้จริง มิใช่มีแค่ Certificate อีกต่อไป
เพราะสิ่งที่จะเจอในอนาคต คือ หน่วยงานขนาดกลางและเล็ก แทบไม่มี Infrastructure  มีเพียงระบบไร้สาย Router / Switch และ notebook เชื่อมต่อไปยัง Cloud   ระบบความมั่นคงปลอดภัยอยู่ศูนย์กลางหมด ในศูนย์กลางที่ควบคุมทุกอย่างนั้น อาศัยบุคคลากรน้อยมากๆ เพราะมันจะเป็น Automatic เกือบทั้งหมด ทั้ง Automatic Incident Response  การแก้ไขปัญหาและสร้างขึ้นใหม่หากพบสิ่งผิดปกติ จะเกิดขึ้นการที่ Security Operation Center (SOC)  จะขนาดใหญ่  มีคนจำนวนหนึ่งจะเปลี่ยนไป จะกลายเป็น Mini SOC ที่ใช้เพียงไม่กี่อุปกรณ์ และไม่ต้องทำการเขียน rule ให้วุ่นวาย อีกต่อไป เพราะทุกอย่างจะทำงานแบบสอดคล้องกัน พร้อมแก้ไขปัญหาฉุกเฉินโดยอาศัยคนน้อยที่สุด
หน่วยงานที่ธุรกิจแทบไม่ต้องมีพนักงานด้านนี้อีกต่อไป  นี้คือมุมภายในองค์กร/ธุรกิจ ทั่วไป
ตนเป็นที่พึ่งแห่งตน ในแง่นี้ คือ มุมพนักงาน มุมบุคคลากร ที่ต้องเก่งอย่างมากมีความเชี่ยวชาญ ถึงจะอยู่รอดได้ ไม่เช่นนั้นไม่มีที่ไหนจ้างแน่  ต้องกลับมาเปิด Startup กันต่อ

แต่ในมุมระดับประเทศ นี้สิเข้มข้น

เนื่องด้วยสถานะการณ์ Cyber Security ระดับโลกเข้มข้นขึ้น
ตั้งแต่มีปรากฎการณ์  "Edward Snowden Effect" ประเทศมหาอำนาจได้ปรับตัวใหม่ โดยเฉพาะ จีน เกาหลีใต้  (บริษัทที่สัญชาติเกาหลีใต้ในประเทศไทย ใช้ Products Cyber Security ของตัวเองหมดเลย) อาจเป็นเพราะ มี "Awareness" ความตะหนักรู้จากการใช้งานงานมากขึ้น ทำให้เหล่าบรรดาประเทศมหาอำนาจไม่อยากเสี่ยงที่เกิดข้อมูลรั่ว

เราปฏิเสธไม่ได้อีกต่อไปว่า Cyber เป็นเรื่องไม่ล้อกันเล่น หรือ ขำขันอีกต่อไป ปลายเดือนธันวาคม 2559 ได้พบว่าทางสหรัฐได้ขับไล่ทูตรัสเซียจำนวน 35 นายออกนอกประเทศภายใน 72 ชั่วโมง เหตุผลมีความเป็นไปได้ว่า รัสเซียได้ทำการแฮกเข้าระบบฐานข้อมูลสำคัญของสหรัฐ
ยุทธวิธีนี้ ไม่ต่างอะไรกับการโชว์แฮกระบบ LI (Lawful Interception) ในสหภาพยุโรป ในงาน Blackhat เมื่อหลายปีก่อน ความหมายคือ  รัฐลงทุนทำระบบ LI โดยมีกฎหมายควบคุมอย่างชัดเจน แล้วแฮกเกอร์ค้นพบตัว Server ที่ทำ LI  รัฐลงทุนเป็นพันล้าน  แต่แฮกเกอร์รู้เป้าหมายแล้วแฮกลงทุนน้อยกว่ามาก แต่ได้ข้อมูลมหาศาล   เช่นกัน รัสเซีย รู้ว่าสหรัฐมีข้อมูลจำนวนมากการเข้าถึงระบบโดยทางลัดนี้ย่อมทำให้ได้ผลอย่างรวดเร็วกว่าที่ทำขึ้นมาเป็นไหนๆ อย่างไรก็ตามข่าวที่ได้รับมายังไม่ได้ระบุว่าเป็นการแฮกอะไรบ้าง แต่แน่ๆ คือกระต่อความมั่นคงของรัฐ   ซึ่งเหตุการณ์ดังกล่าว จะเป็นภาพสะท้อนว่า มีโอกาสที่เกิด "สงครามเย็นรอบใหม่"  ผ่านข่าวกรองและการโจมตีที่สายตามนุษย์มองไม่เห็น ผ่านช่องทางดิจิทัลได้เริ่มขึ้นและกินขยายความไปอย่างมาก

ประเทศไทยเราต้องตามให้ทัน ในปัจจุบันประเทศไทยไม่เคยคิดจะลงทุน R&D เอง  งบภาครัฐส่วนใหญ่จัดซื้อระบบ Cyber Security จากต่างประเทศเกือบ 100%  เช่นจาก จีน อิสราเอล สหรัฐ  ไม่เกิน 3 ประเทศนี้   คำถามว่า ประเทศไทยเราจะปลอดภัยได้อย่างไร ในเมื่อเทคโนโลยียังพึ่งพาคนอื่นเขา
ด้วยเทคโนโลยีสมัยใหม่จะวิ่งเป็น Cloud base หรือ มีการเชื่อมต่อ API จากภายนอก  งานระดับประเทศควรที่จะควบคุมได้ภายในประเทศไทย  ตามหลัก ตนเป็นที่พึ่งแห่งตน นี้คงไม่ผิด    อันไหนสำคัญควรควบคุม (Control) ถึงแม้จะทำเองดีไม่เท่าแต่ต้องควบคุมได้เองได้


สรุป การเปลี่ยนแปลงยังคงเกิดขึ้นโดยตลอด ทิศทางแนวโน้ม ยังคงเดิมมาแบบนี้สักพักหนึ่งแล้ว แต่จะผูกขาดมากขึ้น ผูกขาดตลอดเส้นทาง ตั้งแต่ OS ที่บรรจุลงไปในมือถือที่เราใช้ไป ยัน Cloud  รวมถึงการวิเคราะห์ข้อมูล Big data ที่จะรู้ทันเราตั้งแต่เกิดจนตาย จากเจ้าประจำในต่างแดน

สุดท้ายผมอยากให้ท่านกลับไปอ่านในสิ่งที่ผมเขียนเมื่อปีที่แล้ว http://nontawattalk.sran.org/2015/12/2559_31.html 
มันยังใช้ได้ และมีบางข้อเริ่มเห็นภาพชัดขึ้นเรื่อยๆเมื่อเวลาผ่านไป


ปล. ทั้งหมดเป็นเพียงการแสดงความคิดเห็นจากผู้เขียน มิได้อ้างอิงจะที่ใด บนทัศนะคติของข้าพเจ้าอย่างแท้จริง ดังนั้นผู้อ่านควรใตร่ตรองและหาเหตุผลสนับสนุนเองไม่จำเป็นต้องเชื่อทั้งหมด



เนื่องในโอกาสวาระดิถีขึ้นปีใหม่ 2560 ขออำนาจแห่งคุณพระศรีรัตนตรัย และสิ่งศักดิ์สิทธิ์ทั้งหลายในสากลโลกได้โปรดอำนวยพรให้ท่านผู้อ่านและครอบครัว มีแต่โชดดีปีใหม่ มีความสุข  ประสบกับความสำเร็จ และสมหวังตลอดปีใหม่และตลอดไป ขอจงมีแต่สิ่งดีๆเข้ามาในชีวิต มีสุขภาพร่างกายแข็งแรง ไม่มีโรคภัยเบียดเบียนและมีความก้าวหน้าในหน้าที่การงาน ตลอดปีใหม่ 2560 และตลอดไป

31/12/59
นนทวัตต์  สาระมาน
พ่อบ้าน

 

Log ที่มีคุณภาพนั้นเป็นอย่างไร ตอนที่2

จากความเดิมตอนที่แล้ว  ซึ่งทิ้งช่วงนานมาก  ... ถือโอกาสนี้มาสานต่อเขียนให้จบ
Log files มีความสำคัญในการทำ "Incident Response" หรือภาษาไทยแปลได้ว่าการรับมือเมื่อเกิดสถานการณ์ฉุกเฉิน  ซึ่งถือได้ว่าเป็นกระบวนการที่สำคัญที่ทุกองค์กรควรมีไว้

ดังนั้น Log files จึงต้องเก็บอย่างมีเหมาะสม และตรวจหาเหตุการณ์ที่เกิดได้

ที่กล่าวมาในตอนที่แล้วผมขอสรุปเพื่อสร้างเข้าใจดังต่อไปนี้
(1) Log files ที่เกิดจาก Local Host server ที่สำคัญ   เช่น  Authentication Server (Radius , LDAP) หรือการ Remote Access (VPN, RDP , SSH, FTP) , Proxy Server , Web Server , Internal Mail Server , Files Server  เป็นต้น เหล่านี้ เราสามารถเก็บ Log ได้อย่างสมบูรณ์ได้ ไม่ยากเย็น เนื่องจากมาจากแหล่งที่มาของ Server ที่ตั้งอยู่กับเราเอง
ส่วนใหญ่ทุกองค์กรที่มีความพร้อมสามารถเก็บในส่วนนี้ได้
ซึ่งองค์กรไหนให้ความสำคัญมีงบประมาณในส่วนนี้ก็จะจัดเก็บได้ครบถ้วน
แต่มีจุดอันตรายที่อาจตกในบางจุดได้ เช่น Proxy Server  ในอดีต องค์กรที่มีความพร้อมด้าน ICT นั้น ใช้ Proxy Server ในการทำ Caching เพื่อเพิ่มความเร็วในการเข้าถึงข้อมูลผ่าน HTTP  และป้องกันภัยคุกคามเช่นพวก files ที่อาจติดเชื้อไวรัส  จนมีสินค้าเกี่ยวกับการป้องกันภัยโดยทำตัวเป็น Proxy Server มาขายดิบขายดีในช่วงเวลาหนึ่ง  ปัจจุบันการทำ Caching มีบทบาทลดลง เนื่องจากความเร็วอินเทอร์เน็ตที่สูงขึ้น  Web Portal ขนาดใหญ่ลงทุนทำ CDN  เช่น google , facebook , line  แม้กระทั่ง pantip ก็ยังทำ CDN หมดแล้ว และ เว็บสำคัญใหญ่ๆ ตอนนี้เป็น HTTPS หมดแล้ว ป้องกันการ Strip ด้วย protocol HSTS ด้วย  ดังนั้น Proxy Server ในองค์กรจึงแทบหมดความหมายไป  ที่ผมกล่าวเช่นนี้เพราะ HTTPS ที่องค์กรต้องเพิ่มค่าใช้จ่าย (Cost) ในการทำ caching และ การ interception เพื่อตรวจหาภัยคุกคาม และ ค่าใช้จ่ายส่วนนั้นมากกว่าที่คิดมากครับ จึงอาจมีหลายองค์กร (ที่มีความพร้อมด้าน ICT) อาจไม่ลงทุนในส่วนนี้ก็เป็นไปได้  

(2) Log file ที่เกิดจากอุปกรณ์ระบบเครือข่าย และระบบรักษาความมั่นคงปลอดภัยในระบบเครือข่าย อันได้แก่ Firewall ,  NIDS  , NAC  , Vulnerability Assessment / Management   เป็นต้น  ซึ่ง หากเป็นอุปกรณ์ Appliance สมัยใหม่ ก็จะมีค่า syslog ซึ่ง System admin สามารถที่จะทำการโยน Log file นั้นไปสู่อุปกรณ์เก็บ Log ที่ส่วนกลางได้

(3) Log ที่เกิดจากพฤติกรรมการใช้งานพนักงานภายใน   ซึ่งส่วนนี้จริงๆแล้วก็เกิดจาก  Firewall log ได้ หรือ Proxy log ได้  แต่ที่ผมยกมาเป็นหัวข้อนั้น เนื่องจากส่วนนี้เป็นปัญหาที่สุด  เนื่องจากภัยคุกคามสมัยใหม่ได้มีการพัฒนาตัวในการส่งข้อมูลแบบเข้ารหัส (Encryption)  เพื่อหลบการตรวจจับจากอุปกรณ์ด้านการรักษาความมั่นคงปลอดภัยชนิดต่างๆ   ทั้งที่เป็นการเข้ารหัสผ่าน Protocol HTTPS ,  หรือทำ Tunnel VPN หรือ Tunnel SSH  ออกไปสู่ข้างนอก ผ่าน port มาตรฐานที่ทุกองค์กรต้องเปิดออก

และเรื่องสำคัญสำหรับองค์กรไหนที่จำเป็นต้องใช้ Social Network  อันนี้แทบไม่มีการเก็บ Log ถึงพฤติกรรมได้เลย อันเนื่องจากผู้ให้บริการ ที่เรียกว่า Content Provider นั้นอยู่ต่างประเทศทั้งหมดไม่ว่าเป็น Facebook , Line , google     การเก็บเกี่ยวกับพฤติกรรมเหล่านี้จึงทำได้ยากขึ้น

ดังนั้น Log ที่มีคุณภาพ สำหรับองค์กร ที่ยังต้องใช้งาน Social Network จำเป็นต้องมองเห็นพฤติกรรมภายในการรับส่งข้อมูล  HTTPS  หรือไม่ ?

คำตอบ คือ จำเป็น  แล้วเราจะทำอย่างไง ถึงจะเก็บข้อมูลตรงส่วนนี้ได้
ระดับ Firewall แบบ NG  Next Generation  ทุกตัวทำได้หมด   แต่ราคาแพงสุดขั้ว   และ Log ที่เก็บบันทึกในตัว Firewall หรือ Proxy ระดับสูงเหล่านี้  เมื่อดูที่ค่า syslog  ของอุปกรณ์ก็จะพบว่ามีแต่ Log ด้านภัยคุกคาม  (Threat data traffic log)  จะ log พฤติกรรมทั่วไป ก็หามีไม่  เนื่องจากปริมาณ Log จะเยอะมาก

ดังนั้นในมุมการเก็บ Log  ของต่างประเทศคือดูภัยคุกคามจริงๆ เช่นการแฮก การโจมตี Cyber attack เพื่อเยียวยาได้ทันท่วงที

แต่  Log  สำหรับคนไทย กับต้องคำนึงถึง ภัยที่เกิดจากการเนื้อหาที่ส่งข้อมูลกัน เนื้อหานี้แหละเป็นภัยคุกคามด้านความมั่นคงของประเทศไทย ทั้งการหมิ่นประมาท การส่งภาพ คลิปเสียง และวิดีโอ การส่งข้อความไม่เหมาะสม หมิ่นต่อสถาบันและความมั่นคงของชาติ เป็นต้น ซึ่งต่างประเทศมองในจุดนี้ว่าเป็นลักษณะการทำ Lawful interception มากกว่า Log ที่ Centralization log management ที่เป็นอยู่ที่เน้นไปด้าน การเกิด Cyber attack ,  internal Fraud  ที่เกิดขึ้นทางเทคนิค

แต่อย่างไรนั้นหากจำเป็นต้องเก็บ Log การใช้งาน Social network ภายในองค์กรจริงๆ นั้นสามารถทำได้
ซึ่งปัจจุบันทีมงาน SRAN เราได้พัฒนาตัวเก็บ Log ประเภทนี้ขึ้นมาเรียกว่า "Net Approved"   ซึ่งราคาเข้าถึงได้ และเก็บข้อมูล Social Network จากการถอดค่า HTTPS ออกเป็นข้อมูลที่อ่านออกได้
ปัจจุบันทางเราได้ทำอยู่รุ่นเดียว หากสนใจติดต่อได้ที่  info at  gbtech.co.th  ได้ตลอด


นนทวรรธนะ  สาระมาน

Nontawattana   Saraman

SRAN Dev Team

ในที่สุดเราก็มองเห็น HTTPS ด้วย SRAN {{ Net Approve }}

ก่อนหน้านี้ผมได้กล่าวไปแล้วเรากำลังอยู่ในยุคจุดจบ sniffer การดักรับข้อมูลทางระบบเครือข่าย จะไม่สามารถมองเห็นได้ง่ายอีกต่อไป เนื่องจากทุก Application ในอนาคตจะมีการเข้ารหัสผ่าน Protocol ที่ปลอดภัยมากขึ้น

จึงเป็นโจทย์ใหญ่ที่เราต้องเตรียมตัวรับมือ
- ไม่ว่าการเข้ารหัสของมัลแวร์บางชนิดที่ส่งข้อมูลผ่าน SSL หรือ HTTPS ออกไปนอกองค์กร
- การที่ไม่สามารถยืนยันการกระทำความผิดได้ภายในองค์กรและหน่วยงานที่ยังต้องใช้พวก Social Network ในการทำงาน อันเนื่องจากไม่สามารถส่ง ค่า syslog จาก Content Provider ในต่างประเทศส่งมาให้เราเก็บข้อมูลได้
- การไม่สามารถปิดกั้นเว็บเพจ URI ผ่าน HTTPS ได้

ผมและทีมงานได้ค้นคว้าและคิดว่าเราต้องทำอะไรสักอย่างเพื่อการมองเห็นสิ่งนี้

และการมองเห็นนี้จะไม่ได้ไปใช้ในทางที่ผิด แต่กลับเป็นประโยชน์กับหน่วยงาน องค์กร และบริษัท ที่จำเป็นต้องมองเห็นพฤติกรรมดังกล่าว

"HTTPS ควรมองเห็น" เพราะเราไม่มีทางได้ Log จากต่างประเทศได้ตลอดทุกกรณี มันเป็นเกมส์ด้านความมั่นคงระดับประเทศ แต่การมองเห็น HTTPS มันควรเกิดขึ้นกับองค์กร หรือบริษัท มิใช่ระดับประเทศเพราะนั้นมีคนอีกมากมายอาจได้รับผลกระทบทั้งที่เขาเสียค่าบริการ แต่อย่างไรก็ดีเสรีภาพก็ย่อมมาด้วยความรับผิดชอบ

ซึ่งผมชัดเจนว่า "ไม่ส่งเสริมให้ทำที่ Gateway ระดับประเทศนะครับ"  แต่ควรจะทำในระดับองค์กรการเก็บ Log ที่ควรระบุตัวตนผู้ใช้งานที่แท้จริงได้ หรือไม่ก็ปิดกั้นการเข้าถึง Application ที่ไม่สามารถมองเห็นได้ไปเลย ซึ่งจะทำได้เฉพาะในระดับองค์กร ห้างร้าน โรงเรียน บริษัทขนาดเล็ก และขนาดกลาง  หรือพื้นที่มีความเสี่ยงในการกระทำความผิด อันได้แก่ Free wifi ร้านอินเทอร์เน็ต เป็นต้น ส่วนองค์กรขนาดใหญ่ต้องมีการศึกษาและออกแบบระบบก่อนติดตั้งเครื่องมือ

"ระดับองค์กรทำได้เลย แต่ระดับประเทศยังไม่แนะนำ"

 

ภาพ ห้องปฎิบัติการ (LAB) เล็กๆจากงบประมาณจำกัดของเรา ที่ใช้ทำการทดสอบ SSL Capture บนระบบเครือข่าย

ภาพการติดตั้งยังคงเป็นแบบ Transparent โดยใช้อุปกรณ์เสริมเช่น อุปกรณ์ Net optics /Network TAP

เราพัฒนาบน SRAN รุ่น Hybrid  แต่เราไม่ทำการรับ syslog มีการเปลี่ยน Function การทำงานให้มีการระบุตัวตนการใช้งานก่อนถึงจะเข้าถึงอินเทอร์เน็ตได้

เราตั้งชื่อตัวใหม่นี้ว่า "Net Approve" ผมตั้งใจเป็นชื่อนี้ เนื่องจากมันต้องยืนยันบางสิ่งบางอย่างก่อนได้รับการเข้าถึงข้อมูลหรือออนไลน์

โดยมีฟังชั่นการทำงานที่เพิ่มมา ดังนี้คือ

(1) การ Redirect traffic เพื่อการ Authentication  โดยต้องมี accounting ในระบบและยืนยันการใช้งานโดย Data Owner ในองค์กร 

(2) ตรวจความเคลื่อนไหวและเครื่องผิดปกติ (Rouge Detection) เครื่องแปลกปลอมในองค์กร 

ทั้งนี้รวมถึงเครื่องที่มีโอกาสติดเชื้อมัลแวร์ (Malware) และ บอตเน็ต (Botnet) ด้วยเทคนิค "Passive Inventory"

(3) การมองเห็นข้อมูลจราจรแบบ SSL  ที่ผ่าน HTTPS พร้อมการระบุตัวตน ด้วยเทคนิค "SSL Capture" โดยไม่ทำให้บราวเซอร์ของผู้ใช้งานมองเห็นว่าเป็นใบรับรองความปลอดภัยที่ถูกต้อง (หน้าจอ https เป็นสีเขียว)

(4) การเก็บบันทึกข้อมูลจราจรที่รองรับได้ตาม พรบ. คอมพิวเตอร์ ทั้งฉบับเก่าและฉบับร่างใหม่ พร้อมการยืนยันการเข้าถึงและสิทธิในการเข้าถึงชั้นข้อมูล

(5) การสรุปปริมาณ Application Traffic ที่ใช้ในองค์กร  เป็นเมนูใหม่เรียกว่า "Application Monitoring" จะทำให้เราทราบถึงปริมาณ Bandwidth แต่ละ Application ที่ใช้ในองค์กรได้

ภาพฮาร์ดแวร์ต้นแบบ {{ Net Approve }}

 ภาพหน้าแสดงข้อมูลของ SRAN : {{ Net Approve }} ผลิตภัณฑ์ใหม่ของกลุ่ม SRAN กับการมองเห็น HTTPS หรือ SSL ได้

จากภาพจะพบว่าตอบได้ครบถ้วน Who , What , Where , When Why (How)

ในบริษัทแห่งหนึ่งที่ต้องการเก็บบันทึกข้อมูลจราจรคอมพิวเตอร์ ตามกฎหมาย ไม่ว่าเป็นกฎหมายเก่าหรือที่จะเกิดขึ้นใหม่  สิ่งสำคัญก็คือการระบุตัวผู้กระทำได้ ไม่เช่นนั้นก็ไม่เกิดประโยชน์ในการหาหลักฐานเมื่อเกิดเหตุการณ์ที่ต้องการขอดู Log file ย้อนหลัง

บริษัท หรือ หน่วยงานต่างๆ ก็ถือได้ว่าเป็นผู้ให้บริการ (ที่หมายถึงผู้ให้บริการ ก็เนื่องจากมีผู้ใช้งานมากกว่า 1 คน) โดยมีพนักงาน หรือบุคลากรในองค์กรนั้น เป็นผู้ใช้บริการ IP ที่ได้รับจาก ISP นั้นเมื่อใช้งานต้องสามารถระบุได้ว่าใคร ทำอะไร ที่ไหน อย่างไร  

ถึงเป็น Log file ที่มีคุณภาพ 

Log files ที่ดีต้องระบุตัวตนผู้ใช้งานพร้อมทั้งทราบถึงการกระทำสิ่งใดอยู่ได้ หากเก็บเยอะ แถมยังลงทุนสูง แต่ระบุส่วนนี้ไม่ได้ จะไม่เกิดประโยชน์เลย ในการจัดทำเรื่องนี้ต้องคำนึงถึงส่วนนี้ให้มาก ไม่เช่นนั้นจะเป็นการลงทุนโดยไม่เกิดประโยชน์

"สำคัญที่สุดคือเมื่อเกิดเหตุอันไม่พึ่งประสงค์ ต้องรู้ให้ได้ว่าคือใคร เป็นผู้กระทำ"

 

ภาพหน้าจอผู้ใช้งานในองค์กรเมื่อเข้า facebook (เพจ https://www.facebook.com/Defamily.Router จะไม่พบความผิดปกติ 

ภาพแสดงหน้าจอ Passive Inventory เทคนิคใหม่ที่เราไม่จำเป็นต้องใช้ Protocol ประเภท Network Management หรือ SNMP เราใช้แบบ Agent less คือไม่ต้องลงซอฟต์แวร์ใดๆ แต่สามารถเก็บข้อมูลบนระบบเครือข่ายได้ 

หน้าจอ Application Monitoring ที่สามารถบ่งบอกถึง Application ที่ผู้ใช้งานระบบสารสนเทศในองค์กรใช้ปริมาณ Bandwidth ซึ่งจะทำให้เราทราบถึงค่าการใช้งานที่เกินความจำเป็นได้

เราคาดว่า Net Approve จะพร้อมจำหน่ายในเดือนเมษายน ปีนี้  

นนทวรรธนะ  สาระมาน

Nontawattana  Saraman

19/01/58

จุดจบของ Sniffer ที่ส่งผลกระทบต่อการทำ Lawful Interception

คำว่า "Lawful Interception" ปัจจุบันมีการพูดถึงคำศัพท์ตัวนี้กันมากขึ้น
ผมเขียนเรื่องนี้ราวปี 2552 ช่วงนั้นในประเทศฝั่งที่คิดว่าเป็นประเทศแห่งเสรีทั้งการแสดงออกทางความคิดและการปฏิบัติได้มี Lawful Interception ชนิดที่เป็นเรื่องเป็นราวมีกฎเกณฑ์มีกฎระเบียบอย่างชัดเจน ไม่ว่าเป็นประเทศในยุโรป และอเมริกา ก็มีการทำ Lawful Interception ทั้งสิ้น  ถึงจะให้ 

เสรีภาพสูง แต่ก็ต้องมาพร้อมกับความรับผิดชอบในการกระทำ 

เพื่อเป็นการควบคุมและตรวจสอบผลการกระทำที่อาจจะละเมิดผู้อื่น การโจรกรรมข้อมูล รวมไปถึงการโจมตีบนไซเบอร์จนถึงการกระทำความผิดด้านอาชญากรรมทางคอมพิวเตอร์ฯ (Cyber Crime) ดังนั้นในประเทศที่พัฒนาแล้วมักจะมีการลงระบบที่เรียกว่า Lawful Interception ซึ่งในตอนนั้นผมคิดว่ามันน่าจะนำมาใช้ในประเทศไทย ที่เรากำลังใช้ พรบ.คอมพิวเตอร์ฯ กันอย่างมึนงงกับเรื่องฐานความผิดในมาตราที่ 8 ในการดักรับข้อมูล หรือเทียบได้กับเทคนิคการ sniff ข้อมูล

 อ่านที่
 http://nontawattalk.blogspot.com/search?q=lawful
 http://nontawattalk.blogspot.com/search?q=sniffer
ซึ่งการทำ Lawful Interception มีทั้งที่ใช้ด้านเทคโนโลยี และ มีส่วนที่ไม่ได้ใช้เทคโนโลยี (ไม่แสดงรายละเอียดในบทความนี้) ในส่วนที่เป็นด้านเทคโนโลยีนั้น มีส่วนประกอบที่สำคัญคือต้องมีการทำ "การสนิฟ (Sniff)" หรือ การดัก-รับ ข้อมูล

ขอย้ำว่า Sniffer เป็นเพียงเครื่องหนึ่งในการทำ Lawful Interception
มิใช่ Lawful Interception = sniffer นั้นเป็นความหมายที่แคบไป

ย้อนหลังไปราว 12 ปี คือปี 2546 ผมและทีมงานได้นำเครื่องแม่ข่าย (Server) ที่มีอย่างน้อย 2 การ์ดแลนเพื่อทำ Bridge mode บน linux เป็น interface br0 (ในเวลาต่อมาไม่นานเทคนิคนี้ถูกเรียกว่าการติดตั้งแบบ In-line mode และเป็นที่มาของอุปกรณ์ประเภท NIPS) ในสมัยนั้นเราทำเพื่อดักข้อมูลหลังจากอุปกรณ์ Router ในองค์กรหนึ่งที่ได้รับอนุญาติจากเจ้าของบริษัทเพื่อตรวจหาความผิดปกติ ซึ่งต่อมาเทคนิคนี้ได้พัฒนากลายเป็นอุปกรณ์ SRAN  ในยุคปัจจุบัน

 

ภาพเครื่อง SRAN ในยุคดั้งเดิมติดตั้งแบบ In-line mode ขวางการติดต่อสื่อสารระหว่างอุปกรณ์ Router และ Switch (วิธีการนี้เหมาะกับระบบเครือข่ายขนาดเล็กเพราะอาจเกิดคอขวดที่อุปกรณ์ที่ติดตั้งแบบ inlineได้ดังนั้นต้องดูปริมาณขนาด Throughput อุปกรณ์เป็นหลัก)

เราก็เริ่มจากการดักรับข้อมูลบนระบบเครือข่าย  ซึ่งเมื่อก่อนนั้นข้อมูลที่ส่งผ่านระบบเครือข่ายจะวิ่งบน Protocol ที่สำคัญคือ HTTP , FTP , Telnet ซึ่งล้วนแต่เป็น Plain text  (อ่านออกได้ด้วยสายตามนุษย์)  ยังไม่มีการเข้ารหัสอย่างเก่ง Telnet กลายร่างเป็น SSH   แต่ที่สำคัญเรามักดักรับข้อมูลและเรียนรู้พฤติกรรม เทคนิคนี้ใช้ได้เป็นอย่างดี ตราบที่พบ Protocol ที่กล่าวมา

การมองเห็นข้อมูลบนระบบเครือข่ายคอมพิวเตอร์นั้นโดยใช้ Sniffer ประกอบด้วยดังนี้
(1) Time  วัน เวลา
(2) Source IP  ไอพีแอดเดรสต้นทาง 
(3) Destination IP ไอพีแอดเดรสปลายทาง
(4) ค่า MAC Address ทั้ง Source และ Destination (หากติดตั้งใน LAN ค่า MAC นี้จะเป็นค่าของอุปกรณ์ Switch ดังนั้นผู้ที่ใช้ Sniffer ในการวิเคราะห์ปัญหาระบบเครือข่ายต้องมีประสบการณ์พอที่แยกแยะให้ออก)
(5) Source Port
(6) Destination Port
(7) ประเภท Protocol
(8) Payload  ที่บรรจุเนื้อหา (Content)
ซึ่งส่วนที่เป็นเนื้อหา มีด้วยกัน 2 ชนิด คือ 
(8.1) เนื้อหาของข้อมูลที่ไม่มีการเข้ารหัส (Plain text) 
(8.2) เนื้อหาของข้อมูลที่มีการเข้ารหัส (Encryption)

ซึ่งทั้ง 2 ชนิดเนื้อหาของข้อมูลนี้ขึ้นกับข้อ (7) คือ ประเภท Protocol
Protocol ที่นิยมใช้กันและข้อมูลสามารถมองเห็นเนื้อหาของข้อมูลได้จากโปรแกรม Sniffer  ได้แก่ HTTP (80) , Telnet (23) , FTP (21) เป็นต้น
ส่วนที่เข้ารหัส ได้แก่ Protocol ในการรับส่ง E-mail  , Protocol ในการทำ VPN และการ Remote ระยะไกล และสำคัญสุดคือ HTTPS(443)

และ HTTPS  ที่ใช้การเข้ารหัสแบบ SSL (Secure Socket Layer) นี้แหละที่บอกว่า
"เรากำลังเข้าสู่ยุค จุดจบของ Sniffer"

ที่กล่าวเช่นนี้เป็นเพราะว่าปัจจุบันนี้ Content Provider รายใหญ่ที่คนไทยเมื่อออนไลน์ต้องใช้บริการไม่ว่าเป็น Google  ,Youtube  , Facebook , Twitter  แม้กระทั่ง Blognone  ยังเข้ารหัส  เป็น https://   ทั้งสิ้น

 

ภาพ https ของ facebook.com

การสังเกตให้ดูที่รูปแม่กุญแจหากเป็นภาพล็อคนั้นหมายถึงทุกการติดต่อสื่อสารภายใต้โดเมนนี้จะมีการเข้ารหัสข้อมูล

จากภาพเป็นการแสดงถึงการมองเห็นข้อมูลหากไม่มีการเข้ารหัสในเนื้อหาบนระบบเครือข่ายคอมพิวเตอร์ ช่องที่เป็น Signature HTTP Web Traffic Data นั้นจะเห็น path URL ของไอพีต้นทางที่เรียกใช้งาน ส่วน Signature HTTPS นั้นไม่สามารถมองเห็นได้เป็นช่องว่าง เป็นหน้าจอในอุปกรณ์ SRAN Light รุ่น Hybrid

 จากภาพ เมื่อ Capture ข้อมูลบนระบบเครือข่าย ที่มีการติดต่อสื่อสาร HTTPS ด้วยโปรแกรม Wireshark จะพบว่าค่า Payload ที่ผ่านการติดต่อสื่อสารแบบ HTTPS นั้นไม่สามารถอ่านออกได้เนื่องจากมีการเข้ารหัสข้อมูล

ดังนั้นโลกอินเทอร์เน็ตในยุคนี้และยุคหน้าจะประสบปัญหาการตรวจจับข้อมูล (Interception) โดยเฉพาะเจ้าหน้าที่ ที่ปฏิบัติงานในด้านนี้ ที่มีหน้าที่หาผู้กระทำความผิดฯ หรือจะใช้วิเคราะห์แก้ไขปัญหาระบบเครือข่ายอาจไม่สามารถใช้วิธีการดังกล่าวอย่างเต็มประสิทธิภาพ ไม่เหมือนก่อนอีกต่อไป

ภัยคุกคามที่เกิดขึ้นก็จะแฝงตัวมากับการเข้ารหัสผ่านช่องทาง SSL มากขึ้นเพราะมันหลบเลี่ยงการตรวจจับได้จากอุปกรณ์ป้องกันภัยคุกคามในองค์กรได้ระดับหนึ่ง

การซ่อนตัวบนโลกอินเทอร์เน็ตผ่านโปรแกรมอำพรางไอพีแอดเดรสก็มีการเข้ารหัสไม่สามารถมองเห็นการกระทำในค่า Payload หรือ Content (8.2) ได้เลย จึงเป็นเครื่องมือของแฮกเกอร์ได้ใช้ช่องทางนี้ปกปิดเส้นทางการทำงานของตนเองได้เป็นอย่างดี

การแกะรอยผู้กระทำความผิดเป็นไปได้ยากขึ้น ปัจจุบันเว็บการพนัน, เว็บลามกอนาจาร, รวมถึงแอฟลิเคชั่นบนมือถือหลายตัวมีการติดต่อสื่อสารแบบ SSL (HTTPS) หมดแล้ว

แล้วใครล่ะจะมองเห็น HTTPS ?
ตามหลักการที่ถูกต้องก็คือไม่มีใครมองเห็น แต่ในโลกความเป็นจริง การมองเห็นจะเห็นได้ที่ Provider หรือผู้ให้บริการ  ที่ไม่ใช่ผู้ให้บริการอินเทอร์เน็ตในประเทศไทยเรา  แต่เป็นผู้ให้บริการชนิดที่เรียกว่า "Content Provider" ส่วนมากตอนนี้คือจากประเทศสหรัฐอเมริกา ไม่ว่าเป็น Google , Facebook , Microsoft   มีการชิงพื้นที่กันอยู่คือ จีน Baidu  และ ญี่ปุ่น + เกาหลีใต้ ที่ Line
Content Provider เหล่านี้จะมองเห็น  โดยการมองเห็นจะเกิดจาก Log ของ Application ถึงแม้จะมี Server ในการประมวลผลอยู่หลายร้อยหลายพันเครื่อง และการติดตั้งอาจกระจายไปอยู่ในที่ต่างๆ แต่ Log file ชนิดที่เป็น local application log ที่ออกมาจากเครื่องแม่ข่าย (Server) จะทำให้แกะรอยได้

ซึ่งใน Log ที่กล่าวมานั้นจะสามารถอธิบายลักษณะผู้ใช้งานประเภทผู้ใช้งาน ผู้ชาย ผู้หญิง อายุ  ประเทศ การศึกษา รสนิยม ความสนใจ รวมถึงชีวประวัติของบุคคลนั้นได้เลย
ที่เรียกว่า การทำ Data Mining จาก Big Data

ในด้านความมั่นคง ข้อมูลดังกล่าวก็ต้องเป็นเครื่องมือสำคัญของประเทศมหาอำนาจ ได้ช่วงชิงความได้เปรียบอีกต่อไป ประเทศที่กลับตัวทันมักจะพัฒนาเองขึ้นมาจะไม่ยึดติดกับสิ่งที่ทำมา เช่นจีนตอนนี้สร้าง Baidu เป็นต้น

สรุป
Network Sniffer จะปรับตัวให้มองเห็นการเข้ารหัสในอนาคตจะพบการทำ MITM (Man In The Middle) เพื่อดักรับข้อมูลที่เข้ารหัสโดยเฉพาะ HTTPS มากขึ้น  ซึ่งส่วนนี้จะเกิดขึ้นก่อนใครคือในองค์กร บริษัทเอกชน ที่ต้องการควบคุมพนักงานตามกฏระเบียบองค์กร 
การทำ MITM ในองค์กรจะแตกต่างกับในระดับประเทศพอสมควร ทั้งการออกแบบและผลกระทบที่เกิดจากผู้ใช้งาน โดยเฉพาะด้านความรู้สึก การวิพากษ์วิจารณ์ ประเทศไหนที่คิดจากทำนั้นคงต้องดูหลายส่วนโดยเฉพาะผลกระทบต่อเสรีภาพที่ชอบอ้างกัน

Log file never die จะขอใช้คำนี้คงได้เพราะถึงอย่างไร Log ที่มาจาก Application ที่ติดตั้งใน Server นั้นๆ ย่อมมองเห็นทุกอย่างถ้าต้องการทำให้เห็น
และผู้ที่ครอบครอง Log นี้คือ Content Provider ที่คนไทยเราติดอยู่ จนถึงติดอันดับ 1 ใน 5 ของโลกเกือบทุกตำแหน่ง
เช่น https://www.sran.net

ภาพหน้าจอเว็บ sran.net ที่มีเป็น https

คนที่ดักรับข้อมูลทางระบบเครือข่ายจะมองไม่เห็นเพราะ https แต่เจ้าของเว็บ sran.net จะมองเห็น Log อันได้มาจาก Application Log ที่ทำหน้าที่เป็น Web Application คือ Log Apache  เป็นต้น



รัฐบาลควรศึกษาให้ดี หากลงทุน Lawful interception โดยใช้ MITM มาเกี่ยวข้องต้องลงทุนสูงมาก และเมื่อเทคโนโลยีเปลี่ยน จะใช้งานไม่ได้อย่างที่คิดไว้ ควรหาที่ปรึกษาที่เคยผ่านการทำงานประเภทนี้ไว้เพื่อเป็นแนวทางการทำงานที่ยั้งยืน

หากทำ MITM บนเครือข่ายคอมพิวเตอร์พบว่าหน้าจอจะเปลี่ยนไปดังภาพ

 จากภาพจะพบว่า https ที่แสดงบนบราวเซอร์จะแสดงค่าเป็นรูปกากบาท หรือ ตัวแดงขึ้นมาเพื่อเตือนว่าเป็น Certification จาก SSL ที่ผิด  

ถ้าเห็นแบบนี้บน google , facebook , youtube  ก็ให้รู้ไว้เลยว่ามีการดักข้อมูลอยู่  ซึ่งจะทำให้ไม่ขึ้นรูปตัวแดงนี้ ก็ต่อเมื่อต้องลง Certification ที่สร้างขึ้นมาเท่านั้น
กรณีอย่างนี้เคยเป็นข่าวสำหรับผู้ให้บริการอินเทอร์เน็ตบนสายการบิน ที่ชื่อว่า "gogo" ซึ่งผู้ใช้งานพบว่า youtube.com มี certification ที่ผิดปกติแล้ว capture หน้าจอเป็นข่าวใหญ่ไปช่วงปีใหม่ที่ผ่านมา

หน้าตา certification ที่ถูกสร้างขึ้นจาก gogo

 ซึ่งการลงในแต่ละระบบปฏิบัติการ (OS) ชนิดบราวเซอร์ ทั้ง PC และ มือถือ ลงแตกต่างกัน
เทคนิคนี้จะใช้ได้สำหรับองค์กร หรือบริษัท ที่ออกนโยบายควบคุมการใช้งานอินเทอร์เน็ตภายในองค์กร
ในระดับประเทศนั้นท่านผู้อ่านก็ลองคิดดูเอาเองว่าจะมีผลกระทบอะไร ?

เมื่อรู้แล้วสิ่งที่ทำให้ล่วงรู้ถึงข้อมูลภายใน HTTPS ได้นั้นคือ local server ของ application log ซึ่งเกิดจากผู้ให้บริการ Content provider แล้วพวกนั้นเขาจะส่ง log ให้เราหรือ ? google ส่ง log  facebook ส่ง log ให้เราหรือ ???

สิ่งที่รัฐควรจะทำ
ควรมาคบคิดกันว่า Log ที่เกิดจาก Content Provider ทำอย่างไรไม่ให้มันอยู่ในต่างประเทศ หรือ ทำอย่างไง ให้คนไทยใช้ของไทยกันมากขึ้น พัฒนาเองกันมากขึ้น เช่น Browser , Content Provider ที่สร้าง Social Network , Search engine , เครื่องมือซอฟต์แวร์ ซึ่งจะเป็นหนทางที่ยั้งยืนและมีประโยชน์ในระยะยาวสำหรับประเทศเรามากกว่า แต่ก็เท่ากับ "เราต้องอดเปรี้ยวไว้กินหวานมากๆ" อย่าพยายามเชื่อฝรั่งมากส่วนที่มาเป็นนายหน้าขายเทคโนโลยีหาใช่ตัวจริงเสียงจริงในการพัฒนา (Develop) ควรฟังและประยุกต์ให้เป็นของเราเอง


นนทวรรธนะ  สาระมาน
Nontawattana  Saraman
9 มค 58

ถามตอบเพื่อสร้างความเข้าใจระบบ Lawful Interception (LI)

ด้วยว่าคำว่า LI หรือ Lawful Interception ยังมีหลายท่านยังสงสัยกับคำศัพท์ดังกล่าวนี้พอสมควร ในฐานะที่ผมเป็นคนแรกๆ ที่เผยแพร่บทความที่เกี่ยวกับ LI มาจึงอยากจะสร้างความเข้าใจให้เกิดขึ้นสำหรับผู้เริ่มศึกษาและผู้ที่จะนำไปสื่อสารหรือเผยแพร่ข้อมูลได้อย่างถูกต้องและเหมาะสมให้ก่อประโยชน์แก่สังคมต่อไปในอนาคต

จึงขอเริ่มด้วยการ ถาม-ตอบ เกี่ยวกับคำศัพท์ Lawful Interception กันก่อน โดยมีคำถามตั้งต้นดังนี้

1. Lawful Interception คืออะไร ?

2. การจัดทำ Lawful Interception ทำเพื่ออะไร ?

3. มีการดำเนินการจัด LI ทำอย่างไรแบบ step by step ?

4. ปัญหาและอุปสรรคในการดำเนินการอะไรบ้าง ?

5. LI ได้ประโยชน์อย่างไร ?

6. ใครเป็นผู้ได้- ใครเสียประโยชน์จากการทำ LI ?

7. การทำ LI มีผลกระทบต่อสังคมอย่างไร ?

โดยข้อ 4 ถึง 7 ยังไม่ขอกล่าวถึงในที่นี้

คำถามที่ 1 : Lawful Interception คืออะไร ?

ตอบ :

คือระบบการตรวจสอบข้อมูลสารสนเทศที่ถูกต้องตามกฏหมาย หรือ กฏระเบียบภายในองค์กร

ซึ่งเราสามารถแบ่งรูปแบบในการตรวจสอบข้อมูลแบบ LI ดังนี้

- ระดับโลก / ระดับภูมิภาค

- ระดับประเทศ

- ระดับบริษัท และหน่วยงาน

1. ระดับโลก / ระดับภูมิภาค นั้นจะพบว่าการสร้างเป็นกฏระเบียบการปฏิบัติการ Lawful Interception มีความพยายามให้เป็นสากลโดยการออกมาตรฐานต่างๆเพื่อมารองรับได้แก่ สถาบันมาตรฐานโทรคมนาคมแห่งยุโรป (European Telecommunications Standards Institute : ETSI) โครงการ 3rd Generation Partnership Project (3GPP) หรือองค์กรต่าง ๆ ของเคเบิลแล็บส์ (CableLabs) ที่รับผิดชอบด้านเครือข่ายไร้สาย/อินเทอร์เน็ต เครือข่ายไร้สาย และระบบเคเบิล ตามลำดับ ในสหรัฐฯ ข้อบังคับที่เทียบเคียงได้ให้อำนาจตามกฎหมาย Communications Assistance for Law Enforcement Act (CALEA) ซึ่งได้ระบุความสามารถเจาะจงโดยการประกาศใช้ ด้วยความร่วมมือของคณะกรรมการกลางกำกับดูแลกิจการสื่อสาร (Federal Communications Commission) และกระทรวงยุติธรรม

2. ระดับประเทศ ในแต่ละประเทศอาจมีกฏระเบียบแตกต่างกันไป ขึ้นกับการบริหารและการปกครองของแต่ละประเทศ อย่างเช่นประเทศที่เป็นสังคมนิยม หรือ สาธารณรัฐก็จะมีความเด็ดขาดในการออกกฏเกณฑ์ต่างๆที่เกี่ยวข้องกับการใช้งานข้อมูลสารสนเทศและอินเทอร์เน็ต เช่นประเทศ จีน พม่า และประเทศแถบอาหรับ , ส่วนประเทศที่เป็นเสรี ที่มีระบอบประชาธิปไตย ก็มีหลายประเทศที่ทำ LI อย่างเป็นกิจลักษณะ โดยเฉพาะประเทศที่พัฒนาแล้ว เช่น อเมริกา แคนาดา ญี่ปุ่น เป็นต้น ด้วยเหตุว่าการเปิดเสรีในแสดงความคิดเห็นในการกระทำใดๆก็ตามนั้น ผู้แสดงความคิดต้องรับผิดชอบการกระทำของตนด้วย เพราะถึงจะเสรีแต่ก็ตรวจสอบได้ หากพบการก่อเหตุอันจะทำให้เป็นภัยแก่ประเทศของตนเอง แล้วนั้นต้องป้องกันภัยไม่ให้ภัยนั้นตกสู่ประชาชน นี้เป็นแนวคิดของประเทศที่เสรีที่พัฒนาแล้ว

สำหรับประเทศไทยนั้นได้มีการนำ LI พิจารณาหลายครั้งแต่ปัจจุบันยังคงไม่ได้ทำกันอย่างเป็นกิจลักษณะและยังไม่มีหน่วยงานที่รับผิดชอบอย่างเป็นทางการ

3. ระดับบริษัท / หน่วยงาน ได้แก่ ธนาคาร บริษัทมหาชน หรือ บริษัทที่เกี่ยวข้องกับการผลิต บริษัทที่เกี่ยวข้องกับข้อมูลการให้บริการประชาชน เหล่านี้ล้วนแล้วแต่จัดทำ Lawful Interception ซึ่งความแตกต่างในระดับประเทศและภูมิภาคนั้น คือ การดำเนินการและการออกกฏเกณฑ์ต่างๆ ที่อาจจะเกิดผลลัพธ์ในเชิงรูปธรรมได้สะดวกว่าในระดับอื่นที่กล่าวมา

คำถามที่ 2 : การจัดทำ Lawful Interception ทำเพื่ออะไร ?

ตอบ :

เป้าหมายของการทำ Lawful Interception นั้นคือ การตรวจสอบข้อมูลอันอาจก่อให้เกิดความเสียหาย การกระทบต่อความมั่นคงของ ภูมิภาค ประเทศ และ องค์กร

โดยข้อมูลในนี้คือการติดต่อสื่อสารระหว่างผู้ส่งสารและผู้รับสาร โดยผ่านผู้ให้บริการข้อมูล ซึ่งจะเฉพาะจงเจาะสำหรับข้อมูลที่สื่อสารผ่านระบบเครือข่ายคอมพิวเตอร์ และอินเทอร์เน็ต เป็นสำคัญ เนื่องจากข้อมูลบนอินเทอร์เน็ตมีความเสรีในตัว ซึ่งหากจะจำแนกเจาะจงว่าผู้ใดเป็นผู้ส่งสารนั้นจะไม่สามารถทำได้หากขาดระบบการทำ Lawful Interception

ข้อมูลที่ก่อให้เกิดความเสียหาย นั้น อาจแบ่งได้ดังนี้

- ข้อมูลที่เกิดจากการแสดงความคิดเห็นที่เป็นภัยต่อประเทศ และ องค์กร ซึ่งในที่นี้จะหมายถึงความคิดเห็นจากบุคคลทั่วไป หรือ พนักงานในองค์กร ที่มีลักษณะความคิดที่แตกต่างกัน ซึ่งนำไปสู่ความขัดแย้ง อันก่อให้เกิดผลเสียหายตามมา หากมีความผิดตามกฏระเบียบแบบแผน , กฏหมาย , วัฒนธรรมและศิลธรรมอันดีงามแล้วก็จะก่อให้เกิดความเสียหายต่อภาพลักษณ์องค์กร หรือประเทศ ได้ ยกตัวอย่างเช่น ในระดับประเทศ เป็นประเทศไทย การแสดงความคิดเห็นซึ่งมีผลกระทบต่อสถาบันหลักของประเทศ เช่น สถาบันพระมหากษัตริย์ ซึ่งถือได้ว่าเป็นศูนย์รวมจิตใจของประชาชนชาวไทย มีความอ่อนไหวในการแสดงความคิดเห็น หรือแม้กระทั่ง ความขัดแย้งทางความคิดเสื้อแดง เสื้อเหลือง เป็นต้น ในระดับองค์กร ก็จะมองในเรื่องทรัพยากรบุคคล อันทำให้เกิดความเสื่อมเสียขององค์กร และการเสียผลประโยชน์ขององค์กรเป็นหลัก

- ข้อมูลที่เป็นบ่อเกิดของอาชญากรรม ได้แก่ การหลอกลวงในชนิดต่างๆ ผ่านช่องทางการสื่อสาร ซึ่งในปัจจุบันก็จะพบข้อมูลประเภทนี้มากขึ้น เช่น อาชญากรรมข้ามประเทศ , การหลอกลวงผ่านแก๊ง Call Center ผ่านระบบ VoIP อินเทอร์เน็ต , การค้ามนุษย์, การค้ายาเสพติด ผ่านช่องทางสื่อสารอินเทอร์เน็ต เป็นต้น

- ข้อมูลที่เป็นภัยคุกคาม ได้แก่ การก่อการร้าย, การวางระเบิด, การขโมยข้อมูลภายในองค์กร/หน่วยงาน การละเมิดลิขสิทธิ ทรัพย์สินทางปัญญา และการกระทำอื่นที่ทำให้ประชาชนในประเทศและองค์กร เกิดความไม่ปลอดภัยในชีวิตและทรัพย์สิน เป็นต้น

- ข้อมูลที่เป็นภัยคุกคามทางเทคนิค ได้แก่ การแพร่ระบาดของไวรัสคอมพิวเตอร์ การบุกรุกเครือข่ายคอมพิวเตอร์จาก Hacker , การโจมตีเพื่อให้ระบบข้อมูลไม่สามารถทำงานได้ DDoS / DoS , การส่งข้อมูลขยะ (Spam) การหลอกลวง (Phishing) ทำให้เกิดผู้เสียหาย เป็นต้น

หากประเทศใด หรือ องค์กรใด ยังไม่มีระบบที่สามารถตรวจสอบข้อมูลอันเป็นภัยดังกล่าวมานั้น จะทำให้การก่อเหตุอันไม่เหมาะสมนั้นเกิดขึ้นอย่างต่อเนื่องและกระทบต่อชีวิตความเป็นอยู่ของประชาชนในประเทศนั้นได้ เนื่องจากการกระทำความผิดในรูปแบบการสื่อสารผ่านช่องทางเครือข่ายคอมพิวเตอร์และอินเทอร์เน็ตนั้นไม่สามารถตรวจสอบที่มาที่ไปของข้อมูลได้หากไม่มี กระบวนการ ,เทคโนโลยี และ บุคคลการ พอเพียง

ในบางประเทศที่มีการใช้งานข้อมูลอินเทอร์เน็ตจำนวนมาก เช่น จีน และ อเมริกา จึงสนใจการทำ Lawful Interception มากและมีกฏระเบียบที่ชัดเจนสำหรับความมั่นคงของชาติและการป้องกันประเทศของตนให้พ้นจากภัยอันตรายที่เกิดจากการสื่อสารข้อมูล เป็นต้น

คำถามที่ 3 : มีการดำเนินการจัด LI ทำอย่างไรแบบ step by step ?

ตอบ

ขั้นตอนการทำ Lawful Interception (LI) เนื่องจากในขั้นต้นได้บอกว่า LI นั้นเป็นระบบ ซึ่งในระบบนั้นจะมีส่วนประกอบย่อย โดยสามารถแยกเป็นองค์ประกอบได้ดังนี้

1. องค์ประกอบการดำเนินการ LI (Process) : การออกกฏเกณฑ์เพื่อปฏิบัติ อันเป็นที่ยอมรับในสังคม จะจัดทำเป็น

1.1 นโยบาย (Policy) เพื่อออกกฏระเบียบมาตราฐานกลาง (Compliance) ที่ใช้ในประเทศ หรือ องค์กร

1.2 กระบวนการปฏิบัติ (Procedure)

1.3 บทบาทหน้าที่รับผิดชอบ : หน่วยงานที่เกี่ยวข้อง หน่วยงานที่รับผิดชอบในการปฏิบัติงาน หน่วยงานที่กำกับดูแลการออกนโยบาย เป็นต้น

2. องค์ประกอบด้านเทคโนโลยี และการออกแบบระบบ Lawful Interception

2.1 ระดับประเทศ

- จัดทำตามแผนปฏับัติการตามนโยบายงานกลาง (Compliance) ที่กำหนดขึ้น

- ทำความเข้าใจสำหรับผู้ให้บริการข้อมูลเครือข่ายคอมพิวเตอร์และอินเทอร์เน็ต

- ศึกษาวงจรการเชื่อมต่อข้อมูลเครือข่ายคอมพิวเตอร์และอินเทอรเน็ตในฝั่งผู้ให้บริการ เพื่อออกแบบระบบให้รองรับกับปริมาณข้อมูลจราจรเครือข่ายคอมพิวเตอร์ (Traffic data)

- การจัดทำประเภทข้อมูลเพื่อใช้ในการทำการตรวจสอบ ได้แก่ ชนิดของ Protocol ที่ใช้สำหรับการสื่อสาร, ชนิดการสื่อสาร เป็นต้น

- การจัดทำระบบตรวจสอบข้อมูลที่สื่อสารกันภายในประเทศ

- การจัดทำระบบตรวจสอบข้อมูลที่สื่อสารจากภายในประเทศออกสู่ต่างประเทศ

- การจัดทำระบบตรวจสอบข้อมูลที่สื่อสารจากต่างประเทศเข้าสู่ภายในประเทศ

- ฐานข้อมูลการเก็บประวัติเพื่อสืบค้นเฉพาะกรณี

หากมีหน่วยงานที่ดูแลรับผิดชอบที่รัฐบาลมอบหมายให้ดูแล LI ต้องทำมากขึ้นโดยการนำข้อมูลจากผู้ให้บริการอินเทอร์เน็ตมาใช้ร่วม (ยังไม่ขออธิบายในขั้นนี้)

*** ในทางเทคนิคแล้วการตรวจสอบข้อมูลในระดับประเทศไม่สามารถที่เก็บบันทึกข้อมูลทุกการกระทำทั้งหมดในการสื่อสารได้ จะทำเป็นกรณีๆ ตามเป้าหมายที่ได้ต้องสงสัยไว้หรือบางแอฟลิเคชั่นที่สำคัญเพื่อเฝ้าติดตามเป็นกรณีพิเศษ ดังนั้นหากคิดว่าจะเป็นการละเมิดสิทธิส่วนบุคคลก็ต้องขอให้คิดใหม่ว่าในทางเทคนิคไม่มีทางที่เก็บข้อมูลได้หมดและข้อมูลที่ได้ก็ยังไม่ได้หมายความว่าคือบุคคลคนนั้นจริง เพราะในโลกการสื่อสารโดยเฉพาะการสื่อสารผ่านช่องทางอินเทอร์เน็ตสิ่งที่ตรวจสอบได้คือ IP Address เท่านั้น ดังนั้นค่า IP Address ไม่ได้บอกถึงว่าคนคนนั้นคือใครได้ ต้องมีขั้นตอนในการตรวจสอบเพิ่มเติมมากกว่านี้ ส่วนเรื่องเนื้อหาของข้อมูลที่ส่งผ่านเครือข่ายคอมพิวเตอร์และอินเทอร์เน็ต หากไม่ใช่เนื้อหาจากทางการข่าวให้เฝ้าสังเกต หรือ เนื้อหาที่ก่อให้เกิดอาชญากรรม เป็นเนื้อหาจากการใช้งานอินเทอร์เน็ตโดยทั่วไปก็ไม่ต้องกังวลเพราะการทำระดับประเทศต้องมีเป้าหมายชัดเจนถึงจะสามารถตรวจสอบข้อมูลได้ ***

2.2 ระดับบริษัท

- จัดทำตามแผนปฏับัติการตามนโยบายงานกลาง (Compliance) ที่กำหนดขึ้น

- จัดทำระบบฐานข้อมูลพนักงาน (Inventory) ค่าเครื่องคอมพิวเตอร์ ตามที่อยู่แผนกชั้น

- การจัดทำระบบตรวจสอบข้อมูลที่สื่อสารภายในองค์กร

- การจัดทำระบบตรวจสอบข้อมูลที่สื่อสารจากภายในองค์กรออกสู่นอกองค์กร

- การจัดทำระบบตรวจสอบข้อมูลที่สื่อสารจากภายนอกองค์กรเข้าสู่ภายในองค์กร

- การเก็บบันทึกข้อมูลจราจรคอมพิวเตอร์ (Log) ตามกฏหมาย

3. องค์ประกอบในการปฏิบัติการ (Operation) : หากได้มีการจัดตั้งหน่วยงานที่ดูแล เพื่อปฏิบัติการ ต้องจัดหาบุคคลากรที่มีความรู้ความสามารถ และมีบทบาทหน้าที่ในส่วนที่ได้จัดทำขึ้นตามแผนงานและนโยบายที่กำหนดไว้ เพื่อการปฏิบัติงานได้อย่างต่อเนื่องและก่อให้เกิดประโยชน์แก่สังคมส่วนรวม

โปรดอ่านตอนต่อไป ...

Nontawattana Saraman

นนทวรรธนะ สาระมาน

เขียน 28/01/55

หมายเหตุ :

- หากคัดลอกข้อมูลจากบทความนี้ไปเผยแพร่ ไม่ว่าจะเป็นสาธารณะหรือในที่ประชุม โปรดอ้างอิงชื่อผู้เขียน

- ผู้เขียนได้เขียนบทความนี้จากประสบการณ์ อาจมีบางแง่บางมุมที่แตกต่างกันจากที่ได้รับรู้ และบางแง่บางมุมที่ยังไม่สามารถเผยแพร่ได้อย่างครบถ้วน การนำไปเผยแพร่โปรดใช้วิจารญาณในการติดสินใจ

ภาพประกอบจากบทความ Shadow Factory Revelations : The illegal NSA Domestic Spy Dragnet

ข้อเท็จจริงในการดักข้อมูล sniffer

ครั้งแรกกะว่าจะไม่เขียนแล้วนั่งดูกระแสสังคมเงียบๆ และปล่อยให้เวลาเป็นตัวสร้าง ระดับการเรียนรู้ของผู้คนที่ใช้งานอินเตอร์เน็ตในประเทศไทยได้เรียนรู้กันเอง แต่อดไม่ได้จึงขอเขียนบทความนี้ขึ้นมาสักหน่อยเผื่อว่าใครค้นหาเจอแล้วได้พบข้อมูลนี้ขึ้น และเผื่อว่าจะเพิ่มมุมมองอีกด้านหนึ่งให้เป็นที่รับรู้กัน

จากข่าวที่ออกมาว่า กระทรวงเทคโนโลยีและการสื่อสาร หรือ ไอซีที นั้นได้ขอความร่วมมือจากภาคเอกชนในการแก้ไขปัญหาการละเมิดทรัพย์สินทางปัญญาบนเครือ ข่ายอินเทอร์เน็ต ออกใบอนุญาตให้กับผู้ประกอบการต้องติดตั้งอุปกรณ์ดักจับข้อมูลบนเครือข่าย อินเทอร์เน็ต หรือ Sniffer ไว้ที่เกตเวย์ด้วยเพื่อใช้ดักอ่านข้อมูลที่วิ่งบนระบบเน็ตเวิร์ค จนเกิดกระแสสังคมต่อต้านอย่างสูงจนเป็นประเด็นร้อนในสังคมออนไลท์เมืองไทยในช่วงอาทิตย์ที่ผ่านมา

ซึ่งทำให้สังคมออนไลท์มองว่าการนำ sniffer มาใช้นั้นจะผิดกฏหมายในมาตรา 8 ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และทำให้เป็นการละเมิดสิทธิส่วนบุคคล
หากแยกเป็นสองส่วนคือ เรื่องผิดกฏหมายในมาตรา 8 และเรื่องละเมิดสิทธิส่วนบุคคล

1. เรื่องผิดกฏหมาย
ซึ่งหากให้อธิบายในส่วนมาตรา 8 นั้นอาจกล่าวได้ว่าการกระทำผิดนั้นจะเกิดขึ้นได้ก็ต่อเมื่อการกระทำนั้นเกิดจากการกระทำโดยมิชอบด้วยกฏหมาย โดยดูที่เจตนาผู้ใช้เครื่องมือนี้เป็นหลัก จึงจะมีผลในมาตรา 8 หากชอบโดยกฏหมายแล้วนั้นการกระทำเช่นนี้ก็ไม่ผิด

ผมขอสร้างความเข้าใจเพิ่มขึ้น สักนิด โดยการยกตัวอย่าง บริษัท ABC เป็นโรงงานแห่งหนึ่ง ออกกฏให้พนักงานต้องพิสูจน์ตัวตนก่อนใช้งานคอมพิวเตอร์และเชื่อมต่ออินเตอร์เน็ต จากนั้นถ้าบริษัท ABC ได้จัดซื้อระบบ Monitoring System และประกาศให้พนักงานทุกคนรับทราบ ก็เพื่อดูพฤติกรรมการใช้งานผิดประเภทของพนักงานที่ใช้งานอินเตอร์เน็ต เช่น การส่งความลับบริษัทออกไปภายนอก , การติดไวรัสคอมพิวเตอร์การอินเตอร์เน็ตบราวเซอร์ เครื่องคอมพิวเตอร์ในเครือข่ายติด Spyware และเป็น botnet สร้างความเสียหายให้แก่บริษัทและชื่อเสียงองค์กร และอื่นๆ ที่พึ่งเป็นประโยชน์แก่องค์กร บริษัท ABC ซื้อระบบนี้ก็เพื่อป้องกันภัยที่อาจจะเกิดขึ้นในอนาคต คำถามว่าบริษัท ABC ทำผิด พรบ.คอมพ์ฯ หรือไม่ หากเราคิดเอาแต่ได้คือคิดฝั่งเราเองแต่อย่างเดียว ไม่เห็นอกเห็นใจ เจ้าของบริษัท ABC ผู้ที่ซื้อคอมพิวเตอร์ให้พนักงาน ให้เช่าสัญญาณอินเตอร์เน็ต จ่ายค่าไฟฟ้า ค่าลิขสิทธิ์ระบบปฏิบัติการ ซอฟต์แวร์ที่ใช้งาน และค่าซ่อมบำรุงต่างๆแล้วนั้น ก็แน่นอนอาจตีความหมายได้ว่าบริษัท ABC มีโอกาสผิด พรบ. แต่ในความเป็นจริงแล้ว ต้องบอกว่าบริษัท ABC ใช้ระบบ Monitoring System ซึ่งอาจใช้เทคนิคการ sniffer ก็ได้ แต่เป็นการทำโดยชอบ เพราะเขาได้ลงทุนระบบไปแล้ว และหากทำโดยชอบแล้วก็ไม่ถือว่าผิดมาตรา 8 ที่กล่าวมา กลับเป็นเรื่องดีเสียอีกที่ทำให้บริษัท ABC ไม่เสียโอกาสกับการทำ "Internal Threat" ที่อาจจะเกิดขึ้นได้ทุกองค์กรที่มีการเชื่อมต่ออินเตอร์เน็ต คำตอบในข้อนี้คือหากทำจริงก็ไม่ถือว่าผิดกฏหมาย แต่ต้องตีความหมายใหม่ซึ่งผมจะอธิบายต่อไป

กลับมาสู่ประเด็น รัฐบาลจะใช้ sniffer เพื่อดูเรื่องละเมิดทรัพย์สินทางปัญญา นั้นควรทำหรือไม่ ?
ตอบ : ในส่วนตัวผมคิดว่า "ควรทำ" แต่ควรเป็นเรื่องความมั่นคงของชาติ ไม่ใช่เรื่องละเมิดทรัพย์สินทางปัญญา ด้วยมีเหตุผลสมทบ 3 เหตุ ดังนี้

1.1 หากจะทำควรให้ความรู้ประชาชนก่อน (User ผู้ใช้อินเตอร์เน็ต) ถึงพิษภัยบนโลกไซเบอร์ ว่าปัญหาการใช้ข้อมูลบนโลกอินเตอร์เน็ตนับวันยิ่งผู้ใช้งานมากขึ้น มากขึ้นๆ และมีทั้งคุณและโทษ โดยในด้านโทษนั้นจะเห็นได้ชัดว่าอินเตอร์เน็ตเป็นเหตุปัจจัยให้เกิดคดีต่างๆมากมายเช่นกัน เช่น คดีหลอกหลวงคน จากการซื้อขายสินค้าในอินเตอร์เน็ต , คดีละเมิดทางเพศ ไม่เว้นแต่พระ , คดีหมิ่นประมาท , หรือจะเป็นการโจมตีระบบเครือข่ายจนไม่สามารถใช้งานได้ โดยปีที่แล้วก็มีข่าวอันโด่งดังคือ ข่าว DDoS/DoS ที่ประเทศเกาหลี จนเกาหลีไม่สามาถใช้อินเตอร์เน็ตได้ทั่วประเทศ แต่เกาหลีมีระบบ Monitoring ที่ดีจึงสามารถตรวจหาผู้โจมตีและเอาผิดดำเนินคดีได้ในระยะอันสั้น ถึงได้กล่าวว่าภัยเหล่านี้มีความถี่มากขึ้นๆ ซึ่งทุกวันนี้ ประเทศไทยเราเอง หากมีการกระทำผิดบนโลกอินเตอร์เน็ตและเป็นคดีความนั้น จะเป็นไปได้ยากมากในสืบหาผู้กระทำความผิด
ขอยกตัวอย่างกรณีแก๊งไนเจีย 419 ทาง FBI แจ้งมาที่ตำรวจไทยว่าแก๊งนี้อยู่ที่เมืองไทยโดยใช้ประเทศไทยเป็นฐานในการหลอกลวง (Phishing) ผู้คนทั่วโลกผ่าน e-mail เชื่อหรือไม่ว่าตำรวจเรากว่าจะหาแก๊งนี้และจับได้นั้นใช้ความสามารถของคนและโชค โดยแท้ และหาก FBI ไม่แจ้งมานั้นเราก็ไม่รู้หลอกว่าประเทศเราได้เป็นฐานของแก๊งนี้ใช้หลอกลวงขึ้น เหมือนดังว่าประเทศของเรากลายเป็นแหล่งเพาะเชื้อโรคด้านอาชญากรรมข้ามชาติไปเลยในกรณีนี้

ดังนั้นวิธีอย่างหนึ่งที่จะช่วยให้สังคมอินเตอร์เน็ตสงบได้ก็คือทุกๆที่มีการให้บริการข้อมูลควรมีการเก็บ Log และ Log ที่เก็บต้องเป็นประโยชน์ในการสืบสวนมิใช่เป็น Log ที่อ่านยาก จนไม่รู้จะหาผู้กระทำผิดและเป็นหลักฐานได้อย่างไร อันที่จริงแล้วก็มีประกาศเป็นกฏหมายในมาตรา 26 ของ พรบ.คอมพ์ฯ แต่หลายๆครั้งเราก็พบว่าหลายก็ยังไม่ได้มีการเก็บ Log : ขออธิบายเสริมนอกเรื่อง ว่าในการเก็บ Log ที่ดีนั้นถ้าเลือกได้ Log Server ไม่ควรรับ Log มาจาก Router หรือ Switch เหล่านี้การพิสูจน์หาหลักฐานแล้วแทบไม่มีประโยชน์จาก Log เหล่านั้นเลย เนื่องจากโลกอินเตอร์เน็ตทุกวันเป็น Content Application มิใช่เพียงแค่ Network IP , ดังนั้น Log จาก Router หรือ Switch มีประโยชน์เพียงการดูความผิดปกติจากการโจมตี DDoS/DoS และการแพร่ไวรัสชนิดที่ยังไม่มีฐานข้อมูล หากจำเป็นต้องเก็บ Log (ภายในองค์กร) ควรเป็น Log จาก Firewall (UTM) หรือ Proxy หรือ NIDS/IPS และ AD (Active Directory) เป็นอย่างน้อย (อ่านเพิ่มเติมจากบทความเทคนิคการสืบหาผู้กระทำความผิด , สืบจาก Log ) แต่การเก็บบันทึก Log ก็ไม่ได้ซึ่งเหตุการณ์ที่ทันเวลา และไม่สามารถบังคับให้ทุกทีเก็บ Log ได้เหมือนกันหมดเพราะเหตุปัจจัยด้านการออกแบบทั้งระบบ Log Management เองและ ระบบ Network ซึ่งแต่ละที่มีการออกแบบที่แตกต่างกันอยู่ และที่สำคัญคือทุนในการจัดซื้อจัดจ้างเทคโนโลยี สุดท้ายคือบุคคลากร ที่ทำงานด้านนี้ต้องประสานกันได้

1.2 กระทรวงไอซีที ไม่ควรใช้คำว่า sniffer หากเป็นลักษณะการ Tap ข้อมูลก็ต้องอธิบายให้เข้าใจว่าไม่มีทางที่เอาข้อมูลมาได้ทั้งหมด หรือหากได้ทั้งหมดด้วยทุนมหาศาลแล้วนั้น ก็ไม่สามารถที่รู้ได้ว่าใครเป็นใคร ในโลกอินเตอร์เน็ตได้ นอกเสียจาก IP Address ผู้ใช้งานเท่านั้น ควรใช้คำว่า การทำ Lawful interception ที่หลายๆประเทศทั้งยุโรป อเมริกา และ ญี่ปุ่น เกาหลี และจีน ก็ทำกันทั้งนั้น

ผมขอให้ข้อมูลเพิ่มเติมว่า ในต่างประเทศเขาเรียกการทำแบบนี้ว่า Lawful Interception หากแปลเป็นไทยคือการตรวจสอบข้อมูลโดยชอบด้วยกฏหมาย ซึ่งในต่างประเทศจะต้องออกกฏระเบียบ เป็นกฏหมายขึ้นมาก่อน แล้วให้หน่วยงานกลางเป็นผู้ดูแลเรื่องเหล่านี้ ซึ่งจะมีประโยชน์กับ ISP หรือผู้ให้บริการ หากมีคดีความ และเหตุการณ์ด้านความมั่นคงฉุกเฉิน จะได้ไม่ต้องขอข้อมูลจาก ISP อีกต่อไป ตำรวจและเจ้าหน้าที่จะตรงไปที่หน่วยงานกลางที่จัดตั้งขึ้นมานี้ทันที

ซึ่งหากเมืองไทยจะทำ กฏหมายเหล่านี้ นั้นมีอยู่แล้วในเรื่องความมั่นคงในราชอาณาจักร ทั้งกฏหมายไทย เช่นหน่วยงาน DSI หรือ หน่วยพิเศษทางทหารบางหน่วย ก็สามารถใช้กฏพิเศษเหล่านี้ได้ เพื่อจุดประสงค์ด้านความมั่นคงของชาติเป็นหลัก

1.3 กระทรวงไอซีที ควรมองเรื่องนี้ไปในทิศทางด้านความมั่นคงของสถาบันหลักของชาติไทยเป็นหลัก มากกว่าเรื่องละเมิดทรัพย์สินทางปัญญา เพราะหาก Implement สำเร็จ สิ่งที่ได้ตามมานั้นคือการ Trackback เรื่องละเมิดทรัพย์สินทางปัญญาได้อยู่แล้ว เป็นผลพ่วงทางอ้อม และสิ่งที่ได้มาจริงๆ นั้นก็เป็นเพียง IP Address ต้นทาง ที่ ISP จ่าย IP ให้ ไม่ได้รู้หลอกว่าเป็นใคร ซึ่งส่วนนั้นต้องไปตามกันต่อที่ระบบ Radius หรือระบบ Billing ที่จ่ายค่า account อินเตอร์เน็ตไปกับหมายเลขโทรศัพท์ซึ่งจะตามต่อได้แล้วว่าเป็นใคร ซึ่งมีกระบวนการทำงานอีกพอสมควร (ถึงแม้จะมี IPv6 ก็ตามขั้นตอนก็ไม่ได้แตกต่างไปเลย ยกเว้นบ้าง ISP ที่มีระบบ Inventory ดีๆ อาจจะ Trackback ได้ง่ายขึ้นโดยเฉพาะ พวกที่ใช้มือถือใช้งานอินเตอร์เน็ต เป็นต้น)

ในต่างประเทศให้ความสำคัญเรื่อง Lawful Interception มาก โดยเฉพาะประเทศที่มีบทเรียนด้านอาชญากรรมทางคอมพิวเตอร์มาแล้ว เช่น อเมริกา ทุกวันนี้หากกล่าวกันอย่างเต็มปากเต็มคำแล้ว ประเทศไทยเรายังโชคดีมาก ที่การใช้งานอินเตอร์เน็ตถือว่าเสรีมากๆ และไม่มีระบบระเบียบอะไรมาควบคุม และสาวตัวถึงต้นตอของการกระทำผิดผ่านทางอินเตอร์เน็ตได้ คือต้องอาศัยความสามารถส่วนบุคคลในการสืบ การติดต่อ ISP และการพิสูจน์หาหลักฐานในอินเตอร์เน็ตมากกว่าเทคโนโลยี อเมริกา จีน และประเทศในฝั่งยุโรป นั้นตรวจหมดใน Protocol ที่สำคัญ ไม่ว่าเป็น HTTP (Web) , SMTP , POP3 , Web Mail , VoIP อื่นๆ อเมริกาถึงขั้นตรวจภาพเพื่อตรวจหาการซ่อนข้อความไว้ในภาพ (Steganography) ที่ตรวจละเอียดจนไม่เหลือความเป็นส่วนตัวได้นั้นก็เพราะเขามีบทเรียนจากเหตุการณ์ 9/11 มาแล้วว่าผู้ร้ายซ่อนข้อมูลในภาพและส่ง e-mail กัน


2. เป็นการละเมิดสิทธิส่วนบุคคล หรือไม่ ?

"เรากังวลในเรื่องไม่น่ากังวล !!" เพราะสิ่งที่เราเป็นอยู่ทุกวันนี้ ข้อมูลเราก็หลุดไปสู่โลกภายนอกอยู่แล้ว
เรากังวัลเรื่องข้อมูลส่วนตัวเราจะถูกล่วงรู้ ?? จากรัฐบาลหรือผู้ทำระบบ หรือ อื่นๆ หากผมจะบอกว่าข้อมูลส่วนตัวของเรา นั้นจริงๆแล้วไม่มีความลับเลยตั้งแต่เราเชื่อมต่ออินเตอร์เน็ต หรือตั้งแต่เราซื้อคอมพิวเตอร์เครื่องนี้มาใช้เล่นอินเตอร์เน็ต แม้กระทั่งข้อความที่ผมพิมพ์อยู่นี้ อย่างน้อย robot จาก google คงตามผมเจอเพราะผมใช้ blogspot และค่า fingerprint บนระบบปฏิบัติการผม IP Address ที่ไปประทับแล้วใน blogspot (Log บน Web blogspot server) ไปเรียบร้อยแล้ว

ที่กล่าวไปอย่างงี้ คงมีคนเถียงผมเป็นแน่ จึงขอยกตัวอย่างว่าทำไมเราไม่ไปกังวลเรื่องอื่น เช่นเรื่องที่ผมจะกล่าวต่อไปนี้ เป็นตัวอย่าง ๆ ไปแล้วกันครับ

2.1 Peering ข้อมูลที่ไหลออกนอกประเทศ : เวลาเราเล่นอินเตอร์เน็ต สงสัยบ้างไหมว่า ทำไมดูเว็บบ้างเว็บเร็วจังเลย เช่น www.youtube.com , google.com , msn และ social network อื่นๆ ที่เร็วเป็นเพราะว่า ISP ในประเทศไทยแข่งขันกันอยู่เพื่อให้ลูกค้ามาใช้บริการมากๆ เขาต้องทำระบบ Caching เพื่อการที่ทำให้ข้อมูลในเร็วขึ้น แต่การ Caching google ได้นั้น ต้อง Peering ส่วนใหญ่ ISP จะทำ Peering Link ไปที่ประเทศสิงคโปร์ แล้วเราไม่เอะใจ ++ บ้างหรือว่า Caching อยู่ที่สิงคโปร์นั้น ข้อมูลใน Caching นั้นไม่ละเมิดความเป็นส่วนตัวเรา ? เพราะได้ทั้งเนื้อหาทั้งหมด (Content) ที่เราเปิดอยู่ได้ ทั้งนี้ก็เพื่อให้ความเร็วในครั้งต่อไปเราจะได้เปิดเร็วขึ้น คนอื่นที่เปิดคลิปเสียง คลิปวิดีโอที่เราเคยเปิดก็เปิดได้เร็วขึ้น แล้วที่สำคัญข้อมูลไม่ได้อยู่ในประเทศเรากับไปยังต่างประเทศ แบบนี้เราไม่กังวลหรือ ??

ภาพบริการ Peering ส่วนใหญ่จะใช้กับเว็บไซต์ยอดนิยม (ภาพจาก www.digitalsociety.org )

2.2 สงสัยบ้างไหมว่าซอฟต์แวร์ Anti-virus บางค่ายหรือเกือบทุกค่าย รู้ E-mail เราได้อย่างไร แถมส่งมาบอกว่า "License ซอฟต์แวร์ Anti-virus ที่คุณใช้อยู่หมดไปแล้ว ให้คุณซื้อและเสียเงินให้เขาได้แล้ว" น่าแปลกไหมทั้งที่เราไม่เคยกรอกข้อมูลให้เลย ?? เพราะเราคิดว่าหาซอฟต์แวร์ Anti-virus ฟรีมา ลงเวลา Install ก็กด Next ๆ ไม่ได้อ่านเงื่อนไขซอฟต์แวร์ หากอ่านให้ดีพบว่าหากเราไม่เสียค่า License ซอฟต์แวร์ Anti-virus ที่เราใช้อยู่เขามีสิทธิโดยชอบในเครื่องเรา สามารถดูข้อมูลในเครื่องเราได้ ในระดับหนึ่ง (ที่ทางเทคนิคค่าย Anti-virusทำได้) นั้นทำให้เขารู้ e-mail และกลุ่ม mail เพื่อนๆเราได้จากคอมพิวเตอร์เราเอง และอีกอย่าง Anti-virus ต้องการ Research ชนิดไวรัสคอมพิวเตอร์ใหม่ๆ การ Research ได้ดีก็ต้องอาศัยเครื่องคอมพิวเตอร์ของผู้ใช้งานเพื่อดูค่า Hashing ที่สร้างขึ้นในเครื่องนำมาสรรหาไวรัสใหม่ๆกัน ถ้าไม่เชื่อลองทำด้วยตัวเองดูไหมครับ ท่านใช้ Anti-virus ค่ายไหนอยู่ ลองใช้แบบไม่เสียตัง แล้วไม่สนเรื่องที่แจ้งว่า "ท่านต้องซื้อได้แล้ว" แล้วลองเอาโปรแกรมพวก Wireshark ไปรันตอนมันส่งข้อมูลออกไปสิแล้วจะเห็นความจริง Anti-virus หลายตัว run backgroud process ในเครื่องเราไม่ต่ำกว่า 1 process ส่วนหนึ่งก็อาจเรียกได้ว่ามีหน้าที่คล้ายกับ spyware ที่คอยส่งข้อมูลไปแจ้งเรื่อง bug และการ research อยู่ตลอด (ที่เขียนไปนี้ ผู้อ่านมีสิทธิที่ไม่เชื่อในสิ่งที่บอก แต่ขอให้ลองทำดูว่าเครื่องเราเองนั้นส่งอะไรออกไปข้างนอกเครือข่ายเราบ้าง)

2.3 ซอฟต์แวร์บราวเซอร์ ใครใช้ บราวเซอร์ IE6 อยู่ ก็จะพบว่ามีโปรแกรม Alexa ฝั่งเข้าในเครื่องเราเพื่อดูพฤติกรรมการใช้งานอินเตอร์เน็ตของเราเอง เพื่อจัดสถิติและเพื่อประโยชน์ในกลุ่มวิจัยการตลาด เพื่อให้สินค้าได้ซื้อขายได้ถูกประเภทกับท้องถิ่นที่ใช้งานมากขึ้น ยกตัวอย่างเช่นพฤติกรรมใช้อินเตอร์เน็ตในประเทศไทย ควรจะขายสินค้าไหนดี โฆษณาอะไรดี เป็นต้น
ผมแสดงถึงความสงสัยต่อ Alexa ดังนี้

-

** เราเคยสงสัยบ้างหรือไม่ว่า Alexa จัดอันดับเว็บไซต์ในประเทศไทยได้อย่างไร ? ทั้งทีไม่ได้ติดสคิปพวก Web stats ในเครื่อง Web Server เราเลย (http://www.alexa.com/topsites/countries/TH)

ผมไม่เคยติดสคิป alexa ใน www.sran.net แต่ดูนี้สิทำไม alexa ถึงรู้ว่ามีคนเข้าเว็บนี้กี่คน ส่วนใหญ่ใช้ keyword อะไรถึงรู้จัก www.sran.net (http://www.alexa.com/siteinfo/sran.net) alexa ก็อาศัยพวกคุณๆ ที่ใช้ tools bar หรือ IE ที่มากับระบบปฏิบัติการ Microsoft นั่นสิ แล้วแบบนี้เราทำไมไม่กังวลกันว่าข้อมูลส่วนตัวเราไม่รั่วไหลไปไหนเหรอ ??
alexa เอา cookie ในเครื่องเราไปเพื่อจัดทำสถิติ แล้วแบบนี้เราไม่กังวลหรือ ?

2.4 google เจ้าพ่อข้อมูล ใครที่ใช้บริการ google app ที่เป็นระบบ Cloud computing คุณไม่ต้องห่วงว่าทำไม e-mail ที่ใช้ google app โฆษณาข้างมุมขวามือของเรา ถึงได้เข้าถึงตัวเรา รู้จัก Life style เราเป็นอย่างดี ซึ่งหากเราใช้ บราวเซอร์จาก google , Mobile จาก google , mail จาก google , web ค้นหาจาก google แล้วนั้น โอ้ไม่ต้องกล่าวครับข้อมูลส่วนตัวเราไปอยู่ข้างนอกเกือบหมดแล้ว ข้อมูลส่วนตัวนั้นคือพฤติกรรมการใช้อินเตอร์เน็ตของเรา พฤติกรรม e-mail ที่ส่งเข้ามาใน mail box ของเรา อีกทั้ง google ยังสามารถใช้ crawler สำรวจเนื้อหา e-mail เราได้หากเราใช้บริการฟรี mail บน google app จึงขอบอกว่าโลกอินเตอร์เน็ตของเราถูก google สร้างกรอบขอบเขตให้อย่างหมดจดแล้ว ทั้งนี้ก็เพื่อความสะดวกสบายในการใช้งานอินเตอร์เน็ต ที่เราอยากรู้อะไรก็ได้รู้ อยากทำอะไรก็ได้ไม่ต้องลงโปรแกรมให้ยุ่งยาก เช่นมี widget มาให้พร้อม ไม่ต้อง Implement หา Mail Server ที่มีความปลอดภัยและเสรียฐสูงๆ แต่ทั้งหมดนั้นเราได้ง่ายเราก็ต้องยอมที่เสียความเป็นส่วนตัวไปบ้าง ?? แบบนี้เรายอมรับกันได้ ?? ข้อมูลของเราในมือของคนอื่น เรายอมได้หรือ ??

ภาพการ์ตูนล้อเลียนการสอดส่องข้อมูลของ google ภาพจาก theipinionsjournal

2.5 ที่ไหนมี Link ที่นั้นมี Bot อันนี้เป็นบทความล่าสุดที่เขียนขึ้น ผมพยายมพิสูจน์ดูว่า ใครจะเห็นข้อความผมก่อนจากที่ได้ลองโพสใน Twitter ปรากฏว่า bot ทั้งนั้น แล้ว bot พวกนี้มีไว้ทำไม ก็เพื่อเก็บเกี่ยวข้อมูลในการทำระบบ Search engine ลองอ่านรายละเอียดได้ที่ http://sran.org/g5 ก็เป็นอีกบทพิสูจน์หนึ่งว่าไม่มีความลับในโลกอินเตอร์เน็ต เพราะมี robot อยู่ทั่วอินเตอร์เน็ตเพื่อสอดแนมเรา
robot ที่วิ่งเข้าถึงข้อมูลของเราก่อนใครเพื่อนคงหนีไม่พ้น google เราเคยสงสัยบ้างไหมว่าทำไม google ถึงได้รู้ว่าประเทศของเรามี Keyword คำไหนที่เป็นที่นิยม และเลือกดูตามรายภูมิภาค ว่าจังหวัดไหนในประเทศไทยมีการใช้ Keyword ใดในการค้นหาข้อมูลมากที่สุด ทำไม google รู้ได้ ทั้งทีเราก็ไม่เคยรู้ตัวว่าข้อมูลเหล่านั้นไปที่ google ได้อย่างไร

ภาพแสดงหน้าจอเว็บไซต์ http://www.google.co.th/insights/search/#

อื่นๆอีกมากมาย ที่ข้อมูลเราหลุดไปทางอินเตอร์เน็ต โดยที่เราเองไม่รู้ตัว ... ซึ่งข้อมูลเหล่านั้นก็ส่งไปที่ประเทศต้นกำเนิดอินเตอร์เน็ตนั่นแหละ ที่กล่าวนั้นคิดว่าละเมิดมากกว่า sniffer ที่กระทรวงไอซีทีประกาศ เนื่องจาก การ sniffer นั้นเป็นไปไม่ได้ที่จะเอาข้อมูลมาทั้งหมด หรือหากเป็นไปได้ว่าข้อมูลทั้งหมด ก็คงไม่มีใครมานั่งดูอยู่ตลอดว่าใครเป็นใคร จะรู้ก็แค่เพียง IP Address ที่เราได้รับจากฝั่ง ISP เท่านั้นหากใช้ เมื่อรู้ IP ก็ยังต้องไปตามต่อว่าเบอร์โทรศัพท์ที่ ISP ส่งค่าให้ใช้อินเตอร์เน็ตได้นั้นเป็นใครที่จดทะเบียนไว้ ได้เบอร์โทรศัพท์ถึงได้ที่อยู่ ซึ่งมีขั้นตอนพอสมควร ที่หลายคนเป็นห่วงนั้น ผมเลยตั้งคำถามว่าจะกลัวอะไร หากเราไม่ได้ทำผิดอะไร ? ถ้าดูเว็บโป๊ ก็ไม่ต้องกลัวหลอก แต่ถ้าขายยาบ้านี้สิอาจจะถูกจับได้หากระบบบันทึกได้ จึงไม่อยากให้ผู้ใช้งาน (User ผู้ใช้งานอินเตอร์เน็ตไทย) ต้องกังวลเพราะที่ผมกล่าวไปทั้ง 5 ข้อมูลที่ส่งจากเครื่องเราได้ส่งไปโดยตรงด้วยซ้ำ หนักกว่าการ sniffer เสียอีก แบบนี้ยังไม่เห็นมีใครลุกขึ้นมาบ่น ..

มาถึงตรงนี้แล้วหลายคนอยากจะหนีไปให้ไกล แล้วใช้วิธีการต่างๆ นานา เพื่อเชื่อมต่ออินเตอร์เน็ตแบบที่ไม่มีใครรู้ว่าเราเป็นใคร เช่น การใช้ Network Tor ผมก็เคยเขียนเรื่องราวเกี่ยวกับ Tor และพวก Anonymous proxy มาว่า ไม่มีคนปกติที่ไหนจะใช้พวกนี้ ดังนั้นพวกที่ใช้ Tor หรือ Anonymous ก็อาจจะมีคนเฝ้าดูอยู่เพราะส่วนใหญ่เป็นพฤติกรรมที่ไม่พึ่งประสงค์ เช่น ขายยาในเว็บ หรือ เป็น Spammer อื่นๆ ... ดังนั้น Tor เองก็มี NSA spy จากอเมริการเฝ้าดูเราอยู่เช่นกัน (อาจมีมากกว่า NSA Spy..แล้วแต่ผู้ให้บริการที่แตกต่างกันในแต่ละประเทศ) ถ้าใครอยากอ่านเพิ่มเติมก็อ่านได้ที่
Anonymity Network เครือข่ายไร้ตัวตน ตอนที่ 1 และ ตอนที่ 2 หากใครจะใช้วิธี Tor หรือ Anonymous proxy ก็ให้คิดดูดีๆ อาจจะเป็นหนีเสือปะจระเข้ ก็ได้

ภาพ NSA Spy ที่คอยสอดแนมใน Anonymous proxy ข้อมูลภาพจาก www.linuxreviews.org

ที่กล่าวไปข้างต้น ไม่ใช่ว่าจะให้กลัวจนไม่ต้องใช้อินเตอร์เน็ตพอดี ทุกวันนี้ดีขึ้นกว่าเมื่อก่อน เพราะมีระบบ open source ที่ปล่อยให้เราตรวจสอบได้ทั้ง โปร่งใสขึ้น แต่ถึงอย่างไรความก้าวหน้าของเรากับระบบไอซีทีในต่างประเทศมันห่างไกลกันอยู่จึงทำให้ผู้ใช้งาน (User) ต้องการความสะดวกสบายมากกว่าข้อมูลส่วนตัว จึงเกิดเป็นเช่นนี้ขึ้น ผมคิดว่าเราควรสร้างโอกาสนี้เป็นการเผยแพร่ความรู้ให้ผู้ใช้งานให้มาก สร้างคนให้มีความรู้เบื้องต้นในการป้องกันตนเองจากการใช้ข้อมูลอินเตอร์เน็ต และการหันไปใช้ระบบ Open source อย่างสร้างสรรค์มากขึ้น

ที่ผมกล่าวๆ มานั้น จะเชื่อหรือไม่ นั้นไม่ว่ากัน แต่ถามว่าแบบนี้จากข้อ 2.1 - 2.5 ที่กล่าวไปนั้น เราไม่กังวลมากกว่าเรื่อง sniffer ที่เราถือว่าเป็นการละเมิดสิทธิส่วนบุคคล หรือไม่ ??

และใครกันแน่ที่ละเมิดสิทธิส่วนบุคคล ก่อนใคร ?? หากเป็นเพราะความไม่รู้จากตัวเราเอง และการเป็นผู้ใช้งานที่ดี เกินกว่าการเป็นนักทดลองศึกษา

จากข้อ 2.1-2.5 ซึ่งเป็นตัวอย่างที่กล่าวมานั้น ข้อมูลเราหลุดไปต่างประเทศ ที่ไม่ใช่ประเทศไทย แน่นอน google , yahoo , microsoft ค่าย anti-virus/spyware อาจไม่สนใจประเทศเล็กๆอย่างเราก็เป็นไปได้ เพียงแค่ต้องการดูพฤติกรรมการใช้งาน เพื่อไปทำการโฆษณาและการตลาดในต่างประเทศ เพื่อจะนำสินค้ามาขายให้พวกเราๆ นี้แหละ ให้สินค้าตรงกับกลุ่มเป้าหมายมากขึ้น ข้อมูลของเราที่วิ่งไปต่างประเทศนั้น เขาไม่สามารถบอกได้ว่า นี้คือ นาย ก. นี้คือเครื่อง นาย ข. รู้แค่ IP Adress ที่มาจากประเทศไทย ในภาคกลาง เหนือ ใต้ อีสาน จังหวัด เท่านั้น ไปมากกว่านั้น ณ ตอนนี้ยังทำไม่ได้ และที่ต้องการคือเรื่องเดียวคือ พฤติกรรมในการบริโภคสื่ออินเตอร์เน็ต ซึ่งผมขอบอกได้ว่าข้อมูลของเราหลุดไปนานแล้ว และทุกวันนี้ก็ยังหลุดอยู่ และยังคงเป็นเช่นนี้ต่อไปเรื่อยๆ หากเรา คนไทยไม่หันมาพัฒนาเทคโนโลยีของเราเองได้

สรุปว่า ที่เขียนไปเสียยาว ก็เพื่ออธิบายว่า "สิ่งที่เรากังวลและควรเป็นประเด็นคือ ได้เวลาแล้วหรือยัง ที่เราจะไม่ปล่อยให้ข้อมูลภายในประเทศของเราหลุดไปยังที่อื่นอีก" มากเสียกว่ากลัวเรื่อง sniffer

ผมคิดว่าหากใครได้อ่านจบแล้ว ก็ลองพิจารณาดูและควรหาทางช่วยกันเถอะครับ วันหนึ่งเราควรมีระบบค้นหา (Search engine) เองของประเทศเรา มีระบบ E-mail ที่ไว้ใจได้ มีความเสรียฐ มีระบบป้องกันไวรัส และที่สำคัญ Mail Server ต้องป้องกัน Spam mail ได้ดีเยี่ยม ทั้งหมดควรเกิดจากการพัฒนาขึ้นของคนในชาติเรา มีระบบ Caching ที่ไม่ต้องไปพึ่งต่างประเทศ มีระบบเฝ้าระวัง ที่ใช้เทคโนโลยีที่ควบคุมได้เอง กันเถอะ วันนี้ประเทศในยุโรปรู้ถึงเรื่องราวเล่านี้แล้ว จีนก็รู้แล้ว และอีกหลายประเทศ (จากข่าวเร็วๆนี้จีนก็ไม่ให้ google อยู่ในประเทศแล้ว) หากในอนาคตมีอินเตอร์เน็ตใช้ทั่วทุกมุมโลก สมรภูมิรบใหม่บนโลกใบนี้ก็จะหันมาชนะกันที่ข้อมูลข่าวสาร มากขึ้นและลองจิตนาการภาพดูว่าตอนนี้ใครคือผู้กุมเทคโนโลยีอินเตอร์เน็ตได้มากที่สุด .... หากเวลานั้นมาถึงจริงประเทศของเราก็เพียงแต่เป็นผู้ตามชาติที่แข็งแรงกว่าอย่างไม่ต้องสงสัย (อ่านเพิ่มเติมบทความสมรภูมิรบใหม่บนโลกไซเบอร์ Cyberwar) วันนี้เราเหมือนผู้เริ่มได้สนุกกับการใช้เทคโนโลยีอินเตอร์เน็ตที่ยังตื่นตาตื่นใจกัน ผมถึงเขียนในบรรทัดแรกตั้งแต่ตอนต้นบทความนี้แล้วว่า อยากปล่อยให้เวลา เป็นตัวพัฒนาระดับการเรียนรู้ของผู้ใช้งานอินเตอร์เน็ตเมืองไทยไปเองเสียก่อน ถึงจุดหนึ่งเราอาจต้องหันมาดูเรื่องความมั่นคงของข้อมูลมากขึ้น ตระหนักถึงผลร้ายผลเสีย โดยคำนึงถึงผลประโยชน์ของชาติเราเสียก่อน หลังจากที่เราได้อิ่มกับการใช้งานเทคโนโลยีไปพอสมควรแล้ว

วันนี้คิดว่ายังไม่สายเกินไป สำหรับประเทศไทย หากเราเริ่มลงมือ ให้โอกาสคนไทยได้ทำ เพื่อประเทศไทยของเรา

บทความนี้เขียนขึ้นจากทัศนะคติส่วนตัว โดยไม่มีธุรกิจมาเกี่ยวข้อง
นนทวรรธนะ สาระมาน
Nontawattana Saraman
26/01/53

การตรวจสอบข้อมูลตามกฎหมาย (Lawful interception)

การตรวจสอบข้อมูลตามกฎหมาย หรือ Lawful interception (LI) คือการได้มาซึ่งข้อมูลการสื่อสารผ่านเครือข่าย ดำเนินการโดยเจ้าพนักงานตามกฎหมายเพื่อวิเคราะห์หรือพิสูจน์หลักฐาน โดยทั่วไปข้อมูลนี้ประกอบด้วยสัญญาณหรือข้อมูลการจัดการด้านเครือข่าย หรือ เนื้อหาของการสื่อสารนั้น ถ้าไม่ได้รับข้อมูลนั้นในแบบเรียลไทม์ เราเรียกกิจกรรมดังกล่าวว่า การเข้าถึงข้อมูลที่เก็บรักษาไว้ (access to retained data)

มีหลักการมากมายในกิจกรรมนี้ รวมถึงการป้องกันโครงสร้างพื้นฐานและความปลอดภัยทางคอมพิวเตอร์ โดยทั่วไปแล้ว ผู้ประกอบธุรกิจโครงสร้างพื้นฐานทางเครือข่ายสาธารณะสามารถรับภาระในกิจกรรม LI เพื่อเป้าหมายเหล่านี้ได้ ส่วนผู้ประกอบธุรกิจโครงสร้างพื้นฐานทางเครือข่ายส่วนตัวมีสิทธิโดยปกติวิสัยที่จะคงไว้ซึ่งความสามารถด้าน LI ภายในเครือข่ายของตนถ้าไม่ได้ถูกสั่งห้าม

หลักการพื้นฐานอย่างหนึ่งของ LI คือการลักลอบดักข้อมูลการสื่อสารโทรคมนาคมโดยหน่วยงานบังคับใช้กฎหมาย หน่วยงานที่มีอำนาจควบคุมหรือบริหาร และหน่วยสืบข่าวกรองที่สอดคล้องกฎหมายท้องถิ่น ภายใต้กฎหมายบางระบบ การใช้งานโดยเฉพาะการเข้าถึงเนื้อหาการสื่อสารแบบเรียลไทม์ อาจมีการบังคับใช้ขั้นตอนและการรับมอบการอนุญาตจากเจ้าหน้าที่อย่างถูกต้อง เป็นกิจกรรมที่ก่อนหน้านี้เรียกว่า ไวร์แทพพิง (wiretapping) และมีมาตั้งแต่มีการลักลอบดักข้อมูลการสื่อสารอิเล็กทรอนิกส์

ด้วยมรดกตกทอดของโครงข่ายโทรศัพท์สวิตช์สาธารณะ (Public Switched Telephone Network : PSTN) เครือข่ายไร้สายและสายเคเบิล การลักลอบดักข้อมูลตามกฎหมายมักจะกระทำโดยการเข้าถึงสวิตช์ (switches) ไม่ว่าจะเป็นเครื่องจักรกลหรือดิจิทัลที่สนับสนุนการดักข้อมูลเป้าหมาย การเข้ามาของเครือข่ายแบบแพกเกตสวิตชิง (packet switched networks) เทคโนโลยีซอฟท์สวิตช์ (soft switch) และแอพพลิเคชั่นแบบ server-based ในสองทศวรรษที่ผ่านมาได้เปลี่ยนแปลงพื้นฐานของการดำเนินการเกี่ยวกับ LI ไป

การอธิบายทางเทคนิค

เกือบทุกประเทศมีข้อบังคับเกี่ยวกับความสามารถทาง LI และใช้ข้อบังคับและมาตรฐานที่พัฒนาโดยสถาบันมาตรฐานโทรคมนาคมแห่งยุโรป (European Telecommunications Standards Institute : ETSI) โครงการ 3rd Generation Partnership Project (3GPP) หรือองค์กรต่าง ๆ ของเคเบิลแล็บส์ (CableLabs) ที่รับผิดชอบด้านเครือข่ายไร้สาย/อินเทอร์เน็ต เครือข่ายไร้สาย และระบบเคเบิล ตามลำดับ ในสหรัฐฯ ข้อบังคับที่เทียบเคียงได้ให้อำนาจตามกฎหมาย Communications Assistance for Law Enforcement Act (CALEA) ซึ่งได้ระบุความสามารถเจาะจงโดยการประกาศใช้ ด้วยความร่วมมือของคณะกรรมการกลางกำกับดูแลกิจการสื่อสาร (Federal Communications Commission) และกระทรวงยุติธรรม

เพื่อป้องกันไม่ให้ข้อมูลการสืบสวนถูกบุกรุก อาจมีการออกแบบระบบ LI ในรูปแบบที่ปกปิดการลักลอบดักข้อมูลจากความเกี่ยวข้องของผู้ประกอบธุรกิจการสื่อสารโทรคมนาคม เป็นข้อบังคับหนึ่งของอำนาจศาลในบางแห่ง

เพื่อให้มั่นใจได้ถึงขั้นตอนที่เป็นระบบ แต่ลดค่าใช้จ่ายของโซลูชั่นต่าง ๆ ในการลักลอบดักข้อมูล กลุ่มธุรกิจและหน่วยงานของรัฐบาลทั่วโลกได้พยายามจัดมาตรฐานขั้นตอนทางเทคนิคที่อยู่เบื้องหลังการลักลอบดักข้อมูล องค์การ ETSI เป็นหน่วยงานหลักในการผลักดันมาตรฐานต่าง ๆ ในการลักลอบดักข้อมูล ไม่เพียงเพื่อยุโรปเท่านั้น แต่สำหรับใช้ทั่วโลกด้วย คำอธิบายต่อไปนี้จะกล่าวถึงความคิดเห็นโดยสรุปเกี่ยวกับสถาปัตยกรรมของการลักลอบดักข้อมูลที่เสนอโดย ETSI

สถาปัตยกรรมนี้พยายามกำหนดวิธีการที่เป็นระบบที่สามารถขยายออกได้ ซึ่งผู้ประกอบธุรกิจเครือข่ายและเจ้าหน้าที่บังคับใช้กฎหมายสามารถปฏิสัมพันธ์ได้ โดยเฉพาะอย่างยิ่งเนื่องจากการพัฒนาของเครือข่ายทั้งในแง่ของความซับซ้อนและขอบเขตของบริการ สถาปัตยกรรมนี้ไม่เพียงแต่นำมาใช้กับการสนทนาทางโทรศัพท์ที่สื่อสารผ่านสายและไร้สายแบบดั้งเดิมเท่านั้น แต่ยังรวมถึงบริการแบบ IP-based เช่น วอยซ์ โอเวอร์ ไอพี (Voice over IP) อีเมล อินสแตนท์ เมสเซจจิง (instant messaging) เป็นต้น ได้มีการนำสถาปัตยกรรมนี้มาใช้ทั่วโลก (ในบางกรณีจะมีการเปลี่ยนแปลงศัพท์ที่ใช้เรียกเพียงเล็กน้อย) รวมถึงในสหรัฐฯ ในปริบทของโครงสร้างกฎหมาย CALEA มีสามระยะในสถาปัตยกรรมนี้คือ 1) การเก็บรวบรวมข้อมูลและเนื้อหาที่เกี่ยวข้องกับเป้าหมาย ที่ได้มาจากเครือข่าย 2) สื่อกลางที่จัดรูปแบบข้อมูลดังกล่าวให้สอดคล้องกับมาตรฐานที่กำหนดไว้ และ 3) การส่งข้อมูลและเนื้อหาดังกล่าวให้กับหน่วยงานบังคับใช้กฎหมาย (law enforcement agency : LEA)

ข้อมูลที่ได้จากการลักลอบดักข้อมูล (เรียกว่า Intercept Related Information หรือ IRI ในยุโรปและ Call Data หรือ CD ในสหรัฐฯ) ประกอบด้วยข้อมูลข่าวสารเกี่ยวกับการติดต่อสื่อสารของเป้าหมาย ได้แก่เป้าหมายของการโทรศัพท์ ( เช่น หมายเลขโทรศัพท์ของคู่สนทนา) ที่มาของการโทรศัพท์ (หมายเลขโทรศัพท์ของผู้โทรศัพท์) เวลาที่โทรศัพท์ ระยะเวลาของการโทรศัพท์ เป็นต้น เนื้อหาของการโทรศัพท์คือกระแสของข้อมูลการโทรศัพท์นั้น นอกจากนี้สถาปัตยกรรมนี้ยังมีเรื่องของการจัดการเกี่ยวกับการลักลอบดักข้อมูล ซึ่งครอบคลุมการสร้างและยกเลิกช่วงเวลาของการลักลอบดักข้อมูล กำหนดเวลา การชี้ตัวเป้าหมาย เป็นต้น การสื่อสารระหว่างผู้ประกอบธุรกิจเครือข่ายและ LEA ทำผ่านช่องทางที่เรียกว่าแฮนด์โอเวอร์ อินเทอร์เฟซ (Handover Interfaces : HI) โดยทั่วไปข้อมูลและเนื้อหาของการสื่อสารส่งจากผู้ประกอบธุรกิจเครือข่ายไปยัง LEA ผ่านทางวีพีเอ็น (VPN) แบบ IP-based ในรูปแบบที่เข้ารหัสลับไว้ การลักลอบดักข้อมูลการสื่อสารทางเสียงในแบบดั้งเดิมมักจะอาศัยการสร้างช่องทางสื่อสารไอเอสดีเอ็น (ISDN) ที่สร้างขึ้นในเวลาที่กระทำการลักลอบดักข้อมูลนั่นเอง

จากที่กล่าวไว้ข้างต้น สถาปัตยกรรม ETSI สามารถนำไปใช้กับบริการแบบ IP-based ซึ่ง IRI (หรือ CD) ขึ้นอยู่กับตัวแปรที่เกี่ยวข้องกับข้อมูลจราจรทางคอมพิวเตอร์จากแอพพลิเคชั่นที่กำหนดให้ถูกลักลอบดักข้อมูล ตัวอย่างเช่น ในกรณีของอีเมล ข้อมูล IRI ก็จะคล้ายคลึงกับข้อมูลในส่วนของเฮดเดอร์ (header) ของเนื้อหาอีเมล (เช่น ที่อยู่อีเมลปลายทาง ที่อยู่อีเมลต้นทาง เวลาที่ส่งอีเมลนั้น) เช่นเดียวกับข้อมูลข่าวสารเกี่ยวกับเฮดเดอร์ที่อยู่ภายในแพ็คเก็ตไอพี (IP packet) ที่นำเนื้อหานั้นมา (เช่น ที่อยู่ไอพีต้นทางของเครื่องแม่ข่ายอีเมลที่สร้างเนื้อหาอีเมลนั้น) แน่นอนที่ระบบลักลอบดักข้อมูลจะพยายามเก็บข้อมูลข่าวสารที่มีรายละเอียดมากเพื่อป้องกันการปลอมแปลงที่อยู่อีเมลซึ่งมักจะเกิดขึ้นบ่อย ๆ (เช่น การปลอมที่อยู่ต้นทาง) ในทำนองเดียวกัน วอยซ์ โอเวอร์ ไอพีก็มีข้อมูล IRI ของมันเอง รวมถึงข้อมูลที่ได้รับจากเนื้อหาของโปรโตคอล Session Initiation Protocol (SIP) ซึ่งใช้เพื่อสร้างและยกเลิกการติดต่อผ่านทาง VOIP

ในปัจจุบันคณะกรรมการ ETSI LI Technical Committee เน้นการทำงานไปที่การพัฒนารายละเอียดเกี่ยวกับ Retained Data Handover และ Next Generation Network รวมถึงการปรับปรุงมาตรฐาน TS102232 ให้เหมาะสมกับการใช้งานเครือข่ายในปัจจุบัน

มาตรฐานการตรวจสอบข้อมูลของสหรัฐฯ ซึ่งช่วยให้ผู้ประกอบธุรกิจเครือข่ายและผู้ให้บริการสามารถปฏิบัติตามกฎหมาย CALEA ที่ระบุไว้โดยคณะกรรมการกลางกำกับดูแลกิจการสื่อสาร (ซึ่งเป็นผู้มีอำนาจและเป็นเจ้าหน้าที่ตรวจสอบภายใต้กฎหมาย CALEA) องค์กรของเคเบิลแล็บส์ และสมาพันธ์ Alliance for Telecommunications Industry Solutions (ATIS) มาตรฐานของ ATIS ครอบคลุมถึงมาตรฐานใหม่สำหรับการเข้าถึงอินเทอร์เน็ตบรอดแบนด์และบริการ VoIP รวมถึงมาตรฐาน J-STD-025B ซึ่งเพิ่มข้อมูลใหม่ ๆ ให้กับ J-STD-025A ซึ่งเป็นมาตรฐานก่อนหน้า โดยรวมเอาการลักลอบดักข้อมูลเสียงแบบแพ็คเก็ต และเครือข่ายไร้สาย CDMA มาไว้ด้วย อย่างไรก็ตามกระทรวงยุติธรรมของสหรัฐฯ ระบุว่ามาตรฐานเหล่านี้ทั้งหมดยังมีข้อบกพร่องในการปฏิบัติตามกฎหมาย CALEA อยู่

เครื่องมือทางกฎหมายระดับโลกที่สำคัญที่สุดที่เกี่ยวข้องกับ LI คือ อนุสัญญาว่าด้วยอาชญากรรมทางคอมพิวเตอร์ (Convention on Cybercrime) เกิดขึ้นเมื่อวันที่ 23 พฤศจิกายน ค.ศ.2001 ที่กรุงบูดาเปสต์ สำนักงานเลขาธิการของอนุสัญญาดังกล่าวคือ สภายุโรป (Council of Europe) อย่างไรก็ตามได้มีผู้ลงนามในอนุสัญญาดังกล่าวจากทั่วโลกและมีขอบเขตการบังคับใช้ทั่วโลก

แต่ละประเทศมีข้อบังคับทางกฎหมายที่เกี่ยวกับการลักลอบดักข้อมูลตามกฎหมายที่แตกต่างกันไป ที่ประชุม Global Lawful Interception Industry Forum ได้ลงรายการของข้อบังคับเหล่านี้จำนวนมาก รวมถึงสำนักงานเลขาธิการของสภายุโรป ตัวอย่างเช่น ในประเทศสหราชอาณาจักร กฎหมายดังกล่าวเรียกว่า RIPA (Regulation of Investigatory Powers Act) ส่วนในสหรัฐฯ มีกฎหมายอาชญากรรมของรัฐบาลกลางและรัฐต่าง ๆ ในเครือจักรภพรัฐเอกราช เรียกว่า SORM

ยุโรป

ในสหภาพยุโรป ข้อมติของที่ประชุมคณะมนตรียุโรปเมื่อวันที่ 17 มกราคม ค.ศ.1995 ในส่วนของ Lawful Interception of Telecommunications ได้กำหนดมาตรการที่คล้ายคลึงกับกฎหมาย CALEA สำหรับใช้ทั่วยุโรป ถึงแม้จะมีประเทศสมาชิกของ EU บางประเทศไม่เต็มใจยอมรับมตินี้ เนื่องจากความกังวลเกี่ยวกับการละเมิดความเป็นส่วนตัว (ซึ่งเป็นหลักการที่มีการกล่าวถึงอย่างชัดเจนในยุโรปมากกว่าสหรัฐฯ) อย่างไรก็ตามดูเหมือนว่าในปัจจุบันมันได้กลายเป็นข้อตกลงทั่วไปด้วยมตินี้ น่าสนใจที่ข้อบังคับเกี่ยวกับการลักลอบดักข้อมูลในยุโรปเข้มงวดมากกว่าสหรัฐฯ เช่น มีข้อบังคับให้ผู้ประกอบธุรกิจการสื่อสารทางเสียงและอินเทอร์เน็ตสาธารณะในเนเธอร์แลนด์จะต้องสนับสนุนความสามารถในการลักลอบดักข้อมูลเป็นเวลาหลายปีมาแล้ว นอกจากนี้ สถิติที่เผยแพร่สู่สาธารณะยังชี้ให้เห็นว่าจำนวนของการลักลอบดักข้อมูลในยุโรปมีจำนวนเกินกว่าการลักลอบดักข้อมูลในสหรัฐฯ ถึงหลายร้อยครั้ง

ยุโรปยังคงดำรงไว้ซึ่งการเป็นผู้นำโลกในบทบาทส่วนนี้ โดยในปีค.ศ.2006 รัฐสภาและสภาที่ปรึกษาแห่งยุโรปได้ออกกฎระเบียบว่าด้วยการเก็บรักษาข้อมูล (Data Retention Directive) ข้อกำหนดของระเบียบนี้ครอบคลุมถึงการสื่อสารอิเล็กทรอนิกส์ทางสาธารณะทั้งหมดอย่างกว้างขวาง และบังคับให้มีการดักจับข้อมูลข่าวสารที่เกี่ยวข้องทั้งหมด รวมถึงสถานที่ของการสื่อสารทั้งหมด ต้องเก็บข้อมูลข่าวสารนั้นเป็นระยะเวลาอย่างน้อยสองปี และเตรียมพร้อมสำหรับการเรียกตามกฎหมาย มีประเทศอื่น ๆ ที่เอาอย่างระเบียบนี้อย่างกว้างขวาง

สหรัฐอเมริกา

ในสหรัฐฯ มีข้อบังคับสองฉบับของรัฐบาลกลางที่นำมาใช้กับการลักลอบดักข้อมูลส่วนหนึ่ง อีกส่วนหนึ่งให้ดำเนินการตามกฎหมายท้องถิ่น กฎหมาย Omnibus Crime Control and Safe Streets Act ปีค.ศ.1968 หัวข้อที่สามมีส่วนเกี่ยวข้องกับการลักลอบดักข้อมูลตามกฎหมายเพื่อการสืบสวนอาชญากรรม กฎหมายที่สอง Foreign Intelligence Surveillance Act หรือ FISA ปีค.ศ.1978 แก้ไขโดยกฎหมาย Patriot Act วางระเบียบในการดักข้อมูลเพื่อจุดประสงค์ในการหาข่าวกรอง ประเด็นในการสืบสวนจะต้องเกี่ยวข้องกับชาวต่างชาติหรือบุคคลที่ทำงานเป็นสายลับให้กับต่างชาติ ผู้ดำเนินการรายงานประจำปีของศาลสหรัฐฯ ระบุว่าคดีที่เกี่ยวข้องกับการลักลอบค้ายาเสพติด มักพบว่าโทรศัพท์มือถือเป็นรูปแบบการสื่อสารที่ถูกลักลอบดักข้อมูลอย่างเห็นได้ชัด

เพื่อช่วยบังคับใช้กฎหมายและเอฟบีไอให้บรรลุผลในการดำเนินการดักข้อมูลอย่างมีประสิทธิภาพ และเมื่อพิจารณาถึงการพัฒนาของการสื่อสารเสียงแบบดิจิทัลและเครือข่ายไร้สาย เหมือนกับประเทศส่วนใหญ่ในช่วงทศวรรษ 1990 มีส่วนผลักดันให้รัฐสภาสหรัฐฯ ผ่านกฎหมาย CALEA ในค.ศ.1994 กฎหมายนี้ได้ให้ขอบข่ายตามกฎหมายของรัฐบาลกลางสำหรับผู้ประกอบธุรกิจเครือข่ายในการให้การสนับสนุน LEA ในการจัดเตรียมหลักฐานและข้อมูลข่าวสารด้านยุทธวิธี ในปีค.ศ.2005 ได้มีการนำกฎหมาย CALEA มาใช้กับการเข้าถึงเครือข่ายอินเทอร์เน็ตบรอดแบนด์สาธารณะและบริการวอยซ์ โอเวอร์ ไอพีที่เชื่อมต่อเข้ากับเครือข่ายโครงข่ายโทรศัพท์สวิตช์สาธารณะ (Public Switched Telephone Network : PSTN)

ที่อื่น

ประเทศส่วนใหญ่ทั่วโลกรักษาข้อบังคับด้าน LI คล้ายคลึงกับยุโรปและสหรัฐฯ และได้เปลี่ยนมาใช้มาตรฐานของ ETSI อนุสัญญาว่าด้วยอาชญากรรมทางคอมพิวเตอร์ได้บังคับให้มีความสามารถนี้ด้วย

การใช้ที่ผิดกฎหมาย

นอกจากจะเป็นเครื่องมือบังคับใช้กฎหมายแล้ว ระบบ LI ยังอาจถูกใช้ในจุดประสงค์ที่ผิดกฎหมายด้วย เหตุการณ์นี้เกิดขึ้นในประเทศกรีซ ในระหว่างการจัดการแข่งขันกีฬาโอลิมปิค ปีค.ศ.2004 Vodafone Greece ผู้ประกอบธุรกิจโทรศัพท์ถูกปรับเป็นเงิน 1,000,000 เหรียญสหรัฐฯ ในปีค.ศ.2006 เนื่องจากไม่สามารถรักษาความปลอดภัยให้กับระบบเพื่อป้องกันการเข้าถึงที่ผิดกฎหมาย

นนทวรรธนะ สาระมาน
Nontawattana Saraman & Kiattisak Somwong
เรียบเรียง