บทที่ 9 ความปลอดภัยระบบเครือข่าย

บทที่ 9 ความปลอดภัยระบบเครือข่าย

ความปลอดภัยของเครือข่าย
เพราะระบบสื่อสารไร้สาย และระบบอินเตอร์เน็ท กลายเป็นวิธีการสื่อสารหลักในปัจจุบัน แต่ความปลอดภัยที่เป็นอยู่ไม่ดีพอ จึงต้องมีการพัฒนาด้านการรักษาความปลอดภัยของข้อมูล ปี 2532 ทีมงานกลุ่มแรกชื่อ CERT (Computer Emergency Response Team) คอยให้ความช่วยเหลือและรักษาความปลอดภัยจาก กลุ่มแฮกเกอร์ (Hacker) หรือโปรแกรมไวรัสต่างๆ แฮกเกอร์ คือบุคคลที่เขียนโปรแกรมเพื่อเจาะเข้าไปในระบบเครือข่ายที่ตนเองไม่ได้รับอนุญาตให้เข้าไปใช้บริการ

ความปลอดภัยของเครือข่าย
ผู้ดูแลระบบเครือข่าย (Network Administrator) คือผู้ทำหน้าที่ดูแลเครือข่าย พร้อมทั้งได้สิทธิ์ในการเข้าถึงข้อมูลทุกประเภท จะคอยจัดระดับความปลอดภัยให้เครือข่าย เพื่อป้องกันผู้บุกรุก

9.1 การรักษาความปลอดภัยทางกายภาพ
เป็นวิธีการควบคุมบุคคลภายนอกเข้ามาเจาะฐานข้อมูล ด้วยการนำเครื่องใช้งานทั้งหมดมาอยู่ในบริเวณที่กำหนดไว้ มีการปิดห้อง มีกุญแจเข้าออกอย่างเข้มงวด นอกจากนี้ยังมีการนำวิธีการอื่นๆ เช่น การอ่านลายนิ้วมือ DNA เพื่อประกอบการเข้าถึงข้อมูลด้วย ระดับความปลอดภัย เส้นใยแก้วนำแสง > สื่อสารแบบมีสาย > สื่อสารแบบไร้สาย อุปกรณ์ที่นิยมใช้เรียกว่า อุปกรณ์โทรกลับ (Call back unit) เป็นอุปกรณ์ที่เมื่อใส่รหัสแล้วต้องวางสายก่อน แล้วหลังจากที่เช็คกับรหัส และเวลาที่ตั้งไว้ล่วงหน้าแล้ว อุปกรณ์จะติดต่อกลับมาเพื่อให้ใช้งานได้ แต่มีข้อเสียคือ เสียค่าใช้จ่าย ไม่สามารถใช้งานนอกสถานที่ที่กำหนดไว้ได้

9.2 ซอฟแวร์รักษาความปลอดภัย
เป็นวิธีการเพิ่มเติมจากการรักษาความปลอดภัยทางกายภาพ มีหลายวิธี เช่น การใช้ชื่อผู้ใช้และรหัสผ่าน การเข้ารหัสข้อมูล การใช้ลายเซ็นดิจิตอล ชั้นสื่อสาร SSL

การเข้ารหัสข้อมูล (Encryption) คือการเปลี่ยนข้อมูลในรูปหนึ่งไปสู่แบบอื่นที่ไม่มีความหมายใดๆ สำหรับผู้ที่ไม่ทราบวิธีการเข้ารหัส รูปที่ 9.1 การเข้ารหัสแบบคีย์สมมาตร - DES มีกุญแจรหัสยาว 56 บิต - 3DES กุญแจรหัสยาว 112 บิต หรือ DES 2 ชุดนั่นเอง - Blowfish มีกุญแจยาว 32 ถึง 448 บิต - IDEA ยาว 128 บิต มีความปลอดภัยสูงมาก ของบริษัท Ascom-Tech

การเข้ารหัสโดยใช้กุญแจสาธารณะ หรือ แบบอสมมาตร คือการเข้ารหัสโดยกุญแจที่ใช้เข้ารหัสจะแตกต่างกับกุญแจที่ใช้ถอดรหัส นั่นคือการเข้ารหัสและการถอดรหัสจำเป็นต้องใช้กุญแจเป็นคู่ กุญแจที่ใช้เข้ารหัสจะถือเป็นกุญแจสาธารณะที่เรียกว่า public key โดยที่บุคคลที่จะเข้ารหัสข้อมูลจะได้รับ public key ในการเข้ารหัส ส่วนบุคคลที่สามารถถอดรหัสได้คือบุคคลที่มีกุญแจส่วนตัวที่เรียกว่า private key ขั้นตอนวิธีที่เป็นที่รู้จักสำหรับการเข้ารหัสลับแบบกุญแจอสมมาตรคือ RSA

แบบกุญแจสมมาตร ข้อดี มีความรวดเร็ว เพราะใช้การคำนวณที่น้อยกว่า สามารถสร้างได้ง่ายโดยใช้ฮาร์ดแวร์ ข้อเสีย การบริหารจัดการกุญแจทำได้ยากเพราะ กุญแจในการเข้ารหัส และ ถอดรหัส เหมือนกัน แบบกุญแจอสมมาตร การบริหารจัดการกุญแจทำได้ง่ายกว่า เพราะใช้กุญแจในการเข้ารหัส และ ถอดรหัสต่างกันสามารถระบุผู้ใช้โดยการใช้ร่วมกับลายมือชื่ออิเล็กทรอนิกส์ ใช้เวลาในการเข้า และ ถอดรหัสค่อนข้างนาน เพราะต้องใช้การคำนวณอย่างมาก สำหรับมาตรฐานของขบวนการรหัสที่มีใช้อยู่ จะแสดงไว้ในตารางต่อไปนี้

ลายเซ็นดิจิตอล ในการส่งข้อมูลผ่านเครือข่ายนั้น นอกจากจะทำให้ข้อมูลที่ส่งนั้นเป็นความลับสำหรับผู้ไม่มีสิทธิ์โดยการใช้เทคโนโลยีการรหัสแล้ว สำหรับการทำนิติกรรมสัญญาโดยทั่วไป ลายมือชื่อจะเป็นสิ่งที่ใช้ในการระบุตัวบุคคล (Authentication) และ ยังแสดงถึงเจตนาในการยอมรับเนื้อหาในสัญญานั้นๆซึ่งเชื่อมโยงถึง การป้องกันการปฏิเสธความรับผิดชอบ (Non-Repudiation) สำหรับในการทำธุรกรรมทางอิเล็กทรอนิกส์นั้นจะใช้ ลายมือชื่ออิเล็กทรอนิกส์ (Electronic Signature) ซึ่งมีรูปแบบต่างๆเช่น สิ่งที่ระบุตัวบุคคลทางชีวภาพ (ลายพิมพ์นิ้วมือ เสียง ม่านตา เป็นต้น) หรือ จะเป็นสิ่งที่มอบให้แก่บุคคลนั้นๆในรูปแบบของ รหัสประจำตัว ตัวอย่างที่สำคัญของลายมือชื่ออิเล็กทรอนิกส์ที่ได้รับการยอมรับกันมากที่สุดอันหนึ่งคือ ลายเซ็นดิจิตอล (Digital Signature) ซึ่งจะเป็นองค์ประกอบหนึ่งใน โครงสร้างพื้นฐานกุญแจสาธารณะ (Public Key Infrastructure, PKI)

ลายเซ็นดิจิตอล Digital Signature คือ ข้อมูลอิเล็กทรอนิกส์ที่ได้จากการเข้ารหัสข้อมูลด้วยกุญแจส่วนตัวของผู้ส่งซึ่งเปรียบเสมือนเป็นลายมือชื่อของผู้ส่ง คุณสมบัติของลายเซ็นดิจิตอล นอกจากจะสามารถ ระบุตัวบุคคล และ เป็นกลไกการป้องกันการปฏิเสธความรับผิดชอบแล้ว ยังสามารถป้องกันข้อมูลที่ส่งไปไม่ให้ถูกแก้ไข หรือ หากถูกแก้ไขไปจากเดิมก็สามารถล่วงรู้ได้

กระบวนการสร้างลายเซ็นดิจิตอลมีขั้นตอนดังนี้ เริ่มจากการนำเอาข้อมูลอิเล็กทรนอิกส์ต้นฉบับที่จะส่งไปนั้นมาผ่านกระบวนการทางคณิตศาสตร์ที่เรียกว่า ฟังก์ชันย่อยข้อมูล (Hash Function) เพื่อให้ได้ข้อมูลที่สั้นๆ ที่เรียกว่า ข้อมูลที่ย่อยแล้ว (Digest) ก่อนที่จะทำการเข้ารหัส เนื่องจากข้อมูลต้นฉบับมักจะมีความยาวมากซึ่งจะทำให้กระบวนการเข้ารหัสใช้เวลานานมาก จากนั้นจึงทำการเข้ารหัสด้วยกุญแจส่วนตัวของผู้ส่งเอง ซึ่งจุดนี้เปรียบเสมือนการลงลายมือชื่อของผู้ส่งเพราะผู้ส่งเท่านั้นที่มีกุญแจส่วนตัวของผู้ส่งเอง และ จะได้ข้อมูลที่เข้ารหัสแล้ว เรียกว่า ลายเซ็นดิจิตอล จากนั้นก็ทำการส่งลายเซ็นดิจิตอลไปพร้อมกับข้อมูลต้นฉบับ ไปยังผู้รับ ผู้รับก็จะทำการตรวจสอบว่าข้อมูลที่ได้รับถูกแก้ไขระหว่างทางหรือไม่ โดยการนำข้อมูลต้นฉบับที่ได้รับ มาผ่านกระบวนการย่อยด้วย ฟังก์ชันย่อยข้อมูล จะได้ข้อมูลที่ย่อยแล้วอันหนึ่ง และ นำลายเซ็นดิจิตอลมาทำการถอดรหัสด้วย กุญแจสาธารณะของผู้ส่ง ก็จะได้ข้อมูลที่ย่อยแล้วอีกอันหนึ่ง แล้วทำการเปรียบเทียบ ข้อมูลที่ย่อยแล้วทั้งสองอัน ถ้าหากว่าเหมือนกัน ก็แสดงว่าข้อมูลที่ได้รับนั้นไม่ได้ถูกแก้ไข แต่ถ้าข้อมูลที่ย่อยแล้ว แตกต่างกัน ก็แสดงว่า ข้อมูลที่ได้รับถูกเปลี่ยนแปลงระหว่างทาง

ลายเซ็นดิจิตอล

ใบรับรองดิจิตอล (Digital Certificate) ด้วยการรหัส และ ลายเซ็นดิจิตอล ในการทำธุรกรรม เราสามารถ รักษาความลับของข้อมูล สามารถรักษาความถูกต้องของข้อมูล และ สามารถระบุตัวบุคคลได้ระดับหนึ่ง เพื่อเพิ่มระดับความปลอดภัยในการระบุตัวบุคคลให้น่าเชื่อถือมากขึ้น ใบรับรองดิจิตอล (Digital Certificate) ซึ่งออกโดยองค์กรกลางที่เป็นที่เชื่อถือ เรียกว่า องค์กรรับรองความถูกต้อง(Certification Authority) จะถูกนำมาใช้สำหรับยืนยันในตอนทำธุรกรรมว่าเป็นบุคคลนั้นๆจริง สำหรับรายละเอียดในใบรับรองดิจิทัลทั่วไปมีดังต่อไปนี้ ข้อมูลระบุผู้ที่ได้รับการรับรอง ได้แก่ ชื่อ องค์กร ที่อยู่ ข้อมูลระบุผู้ออกใบรับรอง ได้แก่ ลายเซ็นดิจิตอลขององค์กรที่ออกใบรับรอง หมายเลขประจำตัวของผู้ออกใบรับรอง กุญแจสาธารณะของผู้ที่ได้รับการรับรอง วันหมดอายุของใบรับรองดิจิทัล ระดับชั้นของใบรับรองดิจิทัล ซึ่งมีทั้งหมด 4 ระดับ ในระดับ 4 จะมีกระบวนการตรวจสอบเข้มงวดที่สุด และ ต้องการข้อมูลมากที่สุด หมายเลขประจำตัวของใบรับรองดิจิทัล ประเภทของใบรับรองดิจิทัลยังแบ่งออกเป็น 3 ประเภท คือ ใบรับรองเครื่องแม่ข่าย ใบรับรองตัวบุคคล ใบรับรองสำหรับองค์รับรองความถูกต้อง

Hacker กับ Cracker แตกต่างกันอย่างไร และมีวิธีป้องกันอย่างไร Hacker เป็นคำแสลงที่ใช้เรียก ผู้ที่คลั่งไคล้การสำรวจหรือลักลอบเข้าไปยังระบบคอมพิวเตอร์ขององค์กรต่างๆ เพื่อความสนุกสนานและการเรียนรู้ โดยไม่ได้มีเจตนาที่จะสร้างความเดือดร้อนให้แก่ใครทั้งสิ้น แต่คนส่วนมากมีความเข้าใจที่ผิดกับ Hacker มาโดยตลอด โดยเข้าใจว่า Hacker คือ Cracker ซึ่งเป็นผู้ที่เจาะเข้าไปในระบบคอมพิวเตอร์เหมือนกันแต่ด้วยจุดประสงค์ร้าย เช่น ต้องการทำลายระบบ สร้างความปั่นป่วน ขโมยข้อมูลบางอย่าง หรือเพื่อสร้างชื่อให้กับตนเอง ด้วยความเข้าใจผิดนี้ ทำให้คำสองคำนี้ถูกใช้แทนกันอยู่เสมอ การป้องกันทั้ง Hacker หรือ Cracker นั้นสามารถทำได้ แต่ในความเป็นจริงแล้ว ความน่าจะเป็นที่บริษัทของคุณจะตกเป็นเหยื่อของคนกลุ่มนี้ นั้นน้อยมาก เพราะปกติแล้ว Hacker จะมุ่งไปที่เว็บไซต์ของบริษัทหรือองค์กรที่มีชื่อเสียงโด่งดัง เช่น CNN, Yahoo!, หรือ Microsoft เพื่อเป็นการสร้างชื่อของตนให้เป็นที่รู้จักหรือกล่าวขานถึงในเหล่า Hacker หรือ Cracker ด้วยกัน การป้องกันที่ได้ผลดีที่สุดก็คือ การติดตั้งระบบป้องกันที่ทันสมัยและเป็นที่ยอมรับ เช่น ฝากอินเทอร์เน็ตไว้บนเครือข่ายเฉพาะและป้องกันด้วยรหัสผ่าน (Password) ซีเคียวเซิร์ฟเวอร์ (Secured Server) ไฟร์วอลล์ (Firewall) เป็นต้น อย่างไรก็ดีพึงจำไว้ว่า ไม่มีวิธีการรักษาความปลอดภัยแบบใดในโลกที่สามารถป้องกัน Hacker ได้ร้อยเปอร์เซ็นต์ ตราบใดที่คุณยังมีเครือข่ายคอมพิวเตอร์ภายในเชื่อมต่อกับอินเทอร์เน็ต

เมื่อใดจึงจะเรียกว่าไวรัส (Viruses) เมื่อใดจึงจะเรียกว่าหนอน (Worms) ไวรัส (Viruses) คือ โปรแกรมคอมพิวเตอร์ประเภทหนึ่งที่ถูกออกแบบมาให้แพร่กระจายตัวเองจากไฟล์หนึ่งไปยังไฟล์อื่นๆ ภายในเครื่องคอมพิวเตอร์ ไวรัสจะแพร่กระจายตัวเองอย่างรวดเร็วไปยังทุกไฟล์ภายในคอมพิวเตอร์ หรืออาจจะทำให้ไฟล์เอกสารติดเชื้ออย่างช้าๆ แต่ ไวรัสจะไม่สามารถแพร่กระจายจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่งได้ด้วยตัวมันเอง โดยทั่วไปเกิดจากการที่ผู้ใช้เป็นพาหะ นำไวรัสจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่ง เช่นเวลาที่ส่ง โดยแนบเอกสารหรือไฟล์ที่มีไวรัสไปด้วย,การทำสำเนาไฟล์ที่ติดไวรัสไปไว้บนไฟล์เซริฟเวอร์, การแลกเปลี่ยนไฟล์โดยใช้แผ่นดิสก์เก็ต เมื่อผู้ใช้ทั่วไปรับไฟล์ หรือดิสก์มาใช้งาน ไวรัสก็จะแพร่กระจาย ภายในเครื่องและจะเป็นวงจรในลักษณะนี้ต่อไป หนอน (Worms) ในอีกความหมายหนึ่ง เป็นสิ่งที่อันตรายต่อระบบมาก (สามารถทำความเสียหายต่อระบบได้จากภายใน เหมือนกับหนอนที่กัดกินผลไม้จากภายใน) โดยทั่วไปก็จะคล้ายกับไวรัสคอมพิวเตอร์ และด้วยการอาศัยพฤติกรรมการทำงานของมนุษย์ยุค IT ในการแพร่กระจายตัวเองไปยังเครื่องคอมพิวเตอร์เครื่องอื่น หนอนร้ายเป็นโปรแกรมคอมพิวเตอร์ที่ถูกออกแบบมาให้สามารถแพร่กระจายตัวเองจากเครื่องคอมพิวเตอร์เครื่องหนึ่งไปยังอีกเครื่องหนึ่งโดยอาศัยระบบเน็ตเวิร์ค ( ) ซึ่งการแพร่กระจายสามารถทำได้ด้วยตัวของมันเองอย่างรวดเร็วและรุนแรงกว่าไวรัสมาก

Spam คืออะไร Spam คือ การส่งข้อความที่ไม่เป็นที่ต้องการให้กับคนจำนวนมากๆจากแหล่งที่ผู้รับไม่เคยรู้จักหรือติดต่อมาก่อน โดยมากมักอยู่ในรูปของ ที่มีเนื้อหาในทางโฆษณาประชาสัมพันธ์สินค้าหรือบริการ นอกจากจะทำให้ผู้รับรำคาญใจและเสียเวลาในการกำจัดข้อความเหล่านั้นแล้ว Spam ยังทำให้ประสิทธิภาพการขนส่งข้อมูลบนอินเทอร์เน็ตลดลงด้วย

ภัยคุกคามพาณิชย์อิเล็กทรอนิกส์มีอะไรบ้าง การประกอบพาณิชย์อิเล็กทรอนิกส์ อาจจะเกิดภัยคุกคามต่อเว็บไซต์ได้ จึงเป็นสิ่งสำคัญที่เราทุกคนควรจะทราบว่า มีภัยคุกคามใดบ้างที่อาจเกิดขึ้นได้ เพื่อการเตรียมการป้องกันล่วงหน้า ตัวอย่างภัยคุกคามที่ควรระวังสำหรับพาณิชย์อิเล็กทรอนิกส์ เช่น การเข้าสู่เครือข่ายที่ไม่ได้รับอนุญาต การทำลายข้อมูลและเครือข่าย การเปลี่ยน การเพิ่ม หรือการดัดแปลงข้อมูล การเปิดเผยข้อมูลแก่ผู้ที่ไม่ได้รับอนุญาต การทำให้ระบบบริการของเครือข่ายหยุดชะงัก การขโมยข้อมูล การปฏิเสธการบริการที่ได้รับ และข้อมูลที่ได้รับหรือส่ง การอ้างว่าได้ให้บริการทั้งๆ ที่ไม่ได้ทำ และหรือการอ้างว่าได้รับส่ง ไวรัสที่แอบแฝงมากับผู้ที่เข้ามาใช้บริการ

ภัยคุกคามอื่นๆบนอินเทอร์เน็ตมีอะไรบ้าง นอกเหนือจากเว็บไซต์ที่เกี่ยวกับสื่อลามกอนาจาร และการพนันแล้ว ห้องสนทนา (Chat Room) และ เว็บบอร์ด (Web Board) สามารถเป็นอีกภัยอันตรายหนึ่งที่คาดไม่ถึงจากอินเทอร์เน็ตที่ส่งผลกระทบโดยตรงต่อเยาวชนไทย เพราะอินเทอร์เน็ตยังเป็นสื่อใหม่ที่มาตรการการควบคุมสิทธิเสรีภาพของผู้ใช้ยังไม่เกิดขึ้น ดังนั้น การกระทำใดๆในห้องสนทนา และ เว็บบอร์ด จึงเกิดขึ้นได้อย่างไร้ขอบเขต จนกลายเป็นที่ระบายออกซึ่งอารมณ์และความรู้สึกของผู้ใช้ ที่บางส่วนเต็มไปด้วยความรุนแรงและ ความคึกคะนอง ในห้องสนทนา ทุกคนสามารถคุยอะไรกับใครก็ได้ รายละเอียดต่างๆไม่มีการเปิดเผย รู้เพียงแต่ชื่อที่ใช้ในการสนทนาเท่านั้น ดังนั้นจึงไม่มีทางรู้ได้เลยว่า เรากำลังพูดคุยอยู่กับใคร สิ่งที่คนนั้นพูดอยู่เป็นความจริงหรือไม่ ดังจะเห็นตามหน้าหนังสือพิมพ์ที่อาชญกรรมที่เกิดกับวัยรุ่นสมัยนี้บางครั้งมีจุดเริ่มต้นมาจากการพูดคุยกันในห้องสนทนาบนอินเทอร์เน็ต สำหรับเว็บบอร์ดก็สามารถสร้างความปั่นป่วนให้แก่สังคมได้

“คุกกี้” (“Cookie”) คืออะไร “คุกกี้” หมายถึง ข้อมูลสั้นๆ ซึ่งเมื่อคุณเข้าไปในเว็บไซต์หนึ่งๆแล้วเว็บแม่ข่าย (Web Server)สามารถใส่ข้อมูลนั้นลงในคอมพิวเตอร์ของคุณ เพื่อทำให้เว็บบราวเซอร์ของคุณจดจำข้อมูลจำเพาะอะไรบางอย่าง ซึ่งเว็บแม่ข่ายจะมาอ่านอีกทีเมื่อคุณเข้าเว็บไซต์นั้นอีกครั้ง เหตุผลที่เว็บไซต์เลือกใช้ “คุกกี้” ได้แก่ ความสามารถในการ กำหนดรูปแบบข้อมูลตามความชอบส่วนตัว (Personalization) เช่น My Yahoo ช่วยสำหรับการขายสินค้าหรือ บริการ ออนไลน์ เช่น Amazon.com เพื่อจุดประสงค์ในการติดตาม ลิงค์ที่มีความนิยมสูง หรือ ข้อมูลพื้นฐานส่วนบุคคล (Demographics) เช่น Doubleclick.com “คุกกี้” อาจเปรียบเทียบได้กับ ใบต้นขั้วของบริการซักรีด นั่นคือ คุณจะนำเอาเสื้อผ้ามาทิ้งไว้ให้ ซัก แล้วได้รับใบต้นขั้วไว้ เมื่อ คุณกลับมาด้วยต้นขั้วนั้น คุณก็จะได้รับเสื้อผ้าที่มาฝากซักกลับไป “คุกกี้” ถือเป็น HTTP (HyperText Transfer Protocol) Header ซึ่งเป็นข้อความที่ถูกบันทึกลงในหน่วยความจำของเว็บบราวเซอร์ ประกอบด้วย ข้อมูลต่างๆเช่น ชื่อและค่าของ “คุกกี้”, วันหมดอายุ, โดเมนที่ ใช้“คุกกี้”นี้ได้, พาธ (Path)ที่ใช้“คุกกี้”นี้ได้ , และ ข้อมูลอื่นๆแล้วแต่เว็บไซต์จะกำหนด

“คุกกี้” (“Cookie”) คืออะไร ตัวอย่างการใช้คุ้กกี้ เช่น ใช้สำหรับการซื้อขายออนไลน์ เมื่อคุณเข้าไปใน เว็บไซต์ขายสินค้าแห่งหนึ่ง แล้วตัดสินใจจะซื้อโดย นำเอาสินค้านั้น ใส่ลงในรถเข็น (Shopping Cart สิ่งที่เปรียบเสมือนรถเข็นช็อปปิ้งในซุปเปอร์มาร์เก็ตซึ่งในเว็บมักจะทำเป็นรูปรถเข็น หรือ ตระกร้า วางไว้คู่กับสินค้าแต่ละรายการ เมื่อต้องการซื้อ ลูกค้าจะคลิ้กที่รถเข็นนั้นซึ่งเปรียบเสมือนการนำเอาสินค้านั้นลงรถเข็น หรือ ตะกร้า ดูรายละเอียดเพิ่มเติมในหัวข้อ 4.2) ซึ่งข้อมูลเหล่านี้เองจะถูกจับใส่ในคอมพิวเตอร์คุณ และ เมื่อคุณจะชำระเงินค่าของ เว็บแม่ข่ายก็จะอ่าน ข้อมูลเหล่านั้น( ซึ่งถือได้ว่าเป็นวิธีที่มีประสิทธิภาพมากกว่าให้เว็บแม่ข่ายจดจำรายละเอียดทั้งหมดเพราะในเวลาเดียวกันอาจมีลูกค้าจำนวนมากมายซึ่งจะทำให้การทำงานเป็นไปอย่างเชื่องช้า) หรือ ในบางทีคุณอาจจะยังไม่อยากจ่ายเงิน (Check Out) ในวันนั้น โดยยังค้างของที่เลือกไว้ในรถเข็น ซึ่งก็หมายความว่าเว็บแม่ข่ายได้บันทึกข้อมูลรายการซื้อของคุณไว้ในคอมพิวเตอร์ของคุณ พอวันหลังกลับเข้ามาในเว็บไซต์นั้นอีก คุณก็สามารถทำการช้อปต่อได้เลย โดยที่ของยังอยู่ในรถเข็น หรือ พร้อมจ่ายเงินได้เลย ซึ่งถือเป็นความสะดวกอย่างหนึ่ง

ตัวอย่างเนื้อหาในไฟล์ “คุกกี้” foo=bar; path=/; domain= expires=Sat, 14-Feb :14; ( ชื่อ = ค่า ) ( พาธ ) ( โดเมน ) ( วันเวลาหมดอายุ ) ชื่อไฟล์ “คุกกี้” และ สถานที่เก็บจะแตกต่างกันไปขึ้นกับ ระบบปฏิบัติการที่ใช้ และเว็บบราวเซอร์ที่ใช้ เช่น ถ้าใช้ระบบปฏิบัติการ Windows และ เว็บบราวเซอร์เป็น Explorer รูปแบบของชื่อไฟล์จะเป็น ซึ่งจะแยกไฟล์ตามเว็บไซต์ (ซึ่ง username จะไม่ได้ถูกส่งไป) สำหรับเวอร์ชัน 3.x จะอยู่ใต้ c:\Windows\Cookies\ ส่วนเวอร์ชัน 4.x จะอยู่ใน c:\Windows\Temporary Internet Files แต่ถ้าเป็น Netscape ชื่อไฟล์จะเป็น “cookies.txt” ซึ่งต่างจากของ Explorer คือ รวม คุกกี้ของเว็บไซต์ต่างๆไว้ไฟล์เดียว จะอยู่ใต้ c:\Program Files\Netscape\Users\ ผู้ใช้สามารถลบไฟล์นั้นทิ้งได้ หากไม่ต้องการ ถ้าผู้ใช้ต้องการจะรู้ว่าเมื่อใดที่เข้าเว็บไซต์หนึ่งๆแล้ว เว็บแม่ข่ายพยายามจะส่ง “คุกกี้” มายังเครื่องคอมพิวเตอร์ของคุณ เพื่อที่จะเลือกว่าจะรับ “คุกกี้” นั้นหรือไม่ ก็สามารถกำหนดได้ ในกรณี Netscape 4.0 ให้ไปที่ เมนู Edit => Preferences => Advanced คุณสามารถเลือกที่จะ รับ คุกกี้ทุกกรณี รับบางกรณี ไม่รับเลย หรือเตือนว่ามีการพยายามส่ง “คุกกี้” เข้ามา สำหรับ กรณี Explorer 4.0 คุณสามารถเลือกรับคุกกี้ทุกกรณี เตือนก่อนจะรับ หรือไม่รับเลย สำหรับ Explorer 5.0 ให้ไปที่ เมนู Tools => Internet Options => Security ซึ่งคุณสามารถเลือกระดับความปลอดภัยได้ 4 ระดับ คือ “Internet Sites” “Local Sites” “Trusted Sites” และ “Restricted Sites” ถ้าเลือก “Internet” และ เลือก “Custom Level” คุณสามารถเลือกว่า จะรับคุกกี้ทุกกรณี เตือนก่อนรับหรือไม่รับเลย ในการลบไฟล์ “คุกกี้” หรือ ปฏิเสธการรับ “คุกกี้” นั้นอาจจะพบกับผลกระทบบางอย่างเช่น ในบางเว็บไซต์อาจจะเข้าไม่ได้ หรือ การแสดงผลอาจผิดเพี้ยนไปได้

ไฟล์ “คุกกี้” ไม่ใช่ โปรแกรม หรือ ปลั๊กอิน (Plug-in) ไม่สามารถเป็นไวรัส ไม่สามารถอ่านฮาร์ดไดรฟ์ของคุณได้ ซึ่งไม่สามรถที่จะทำให้เว็บแม่ข่ายค้นหาทุกสิ่งทุกอย่างเกี่ยวกับตัวคุณ หรือ สิ่งที่อยู่ในคอมพิวเตอร์ ของคุณ แต่รายละเอียดส่วนตัวของคุณจะถูกบันทึกเข้าไปในไฟล์ “คุกกี้” ได้ก็ต่อเมื่อคุณเองเป็นผู้ให้ข้อมูลนั้นกับเว็บไซต์หนึ่งๆ และ ถูกบันทึกเข้าไว้ในไฟล์ “คุกกี้” แต่อย่างไรก็ตามในเวทีระดับนานาชาติในขณะนี้ ก็มีการถกเถียงกันถึงเรื่อง การคุ้มครองข้อมูลส่วนบุคคล ซึ่งเรื่องของ “คุกกี้” ก็เป็นหนึ่งในประเด็นย่อยที่สำคัญทางเทคนิค ที่มีการกล่าวถึงอยู่เสมอ ซึ่งเราคงจะต้องจับตามองกันต่อไป

SSL ทำงานอย่างไร ในการทำพาณิชย์อิเล็กทรอนิกส์ หรือการทำธุรกรรมต่างๆผ่านอินเทอร์เน็ตนั้นสิ่งสำคัญที่จะขาดเสียไม่ได้เลย ได้แก่ระบบรักษาความปลอดภัยที่ดีในเว็บไซต์นั้นๆ ซึ่งในปัจจุบันมี อยู่ 2 แบบที่ใช้กันคือ SSL (Secure Sockets Layer) SET (Secure Electronic Transaction) ซึ่งจะมีความซับซ้อน และมีค่าใช้จ่ายที่สูงกว่าแบบแรกจึงยังไม่เป็นที่นิยมใช้ SSL นั้นจะใช้เพื่อเข้ารหัส (encrypt) ข้อมูลตัวมันเองนั้น ใช้เพียงแค่การตรวจสอบหรือยืนยันได้เฉพาะฝั่งผู้ขายเท่านั้น ว่ามีตัวตนจริงไม่สามารถยืนยันตัวผู้ซื้อได้ ซึ่ง SSL นี่จะมีความเร็วในการทำงานมากกว่า PKI ประมาณ เท่าทีเดียวและยังสามารถใช้งานกับบราวเซอร์ต่างๆได้

SSL ทำงานอย่างไร

9.3 หัวข้อในการพิจารณาความปลอดภัย
ซอฟต์แวร์ป้องกันไวรัส (Anti-Virus Software)มีหน้าที่อะไร ซอฟต์แวร์ป้องกันไวรัสเป็นสิ่งที่จะขาดไม่ได้เลยสำหรับระบบป้องกันเว็บไซต์และคอมพิวเตอร์ทุกระบบ หน้าที่ของซอฟต์แวร์ประเภทนี้คือการทำลายไวรัส ซึ่งทำได้เฉพาะไวรัสที่ตรวจพบในเครื่องคอมพิวเตอร์เท่านั้น อีกนัยหนึ่งก็คือซอฟต์แวร์ประเภทนี้ไม่สามารถป้องกันไวรัสไม่ให้เข้าสู่เครื่องคอมพิวเตอร์ได้ ดังนั้นไม่ว่าจะซื้อซอฟต์แวร์นี้จากบริษัทใดก็ตาม ประสิทธิภาพสูงสุดจะมีอยู่เพียงชั่วระยะเวลาหนึ่งเท่านั้น เมื่อมีไวรัสตัวใหม่เกิดขึ้น ซอฟต์แวร์เดิมที่มีอยู่ก็ไม่สามารถตรวจพบและทำลายได้ ดังนั้นการปรับปรุงซอฟต์แวร์ให้ทันสมัยอยู่เสมอจึงเป็นสิ่งสำคัญที่สุด ซอฟต์แวร์ป้องกันไวรัสที่มีชื่อเสียงและเป็นที่นิยมในอันดับต้นๆของโลกได้แก่ Norton Antivirus ของ Symantec ( และ McAfee ของ Network Associates, Inc. (

การชำระเงินด้วยบัตรเครดิตโดยผ่านสื่ออินเทอร์เน็ต มีความปลอดภัยเพียงใด การชำระเงินด้วยบัตรเครดิตผ่านสื่ออินเทอร์เน็ตนั้นย่อมมีความเสี่ยงอยู่บ้าง เพราะเป็นช่องทางใหม่ที่ประชาชนยังขาดความคุ้นเคย และความเข้าใจอย่างแท้จริง แต่เมื่อวิเคราะห์ดูแล้วพบว่าความเสี่ยงนั้นอาจไม่มากอย่างที่คิด โดยเฉพาะกับเว็บไซต์ที่มีชื่อเสียง มีภาพลักษณ์ดี และ อยู่ในธุรกิจมานาน เช่น Amazon.com, Dell.com, หรือ Thailand.com เพราะ เว็บไซต์เหล่านี้ย่อมคำนึงถึงภาพพจน์ของบริษัทที่ออกไปเป็นหลัก ดังนั้นไม่ว่าจะเป็นระบบรักษาความปลอดภัย หรือ เทคโนโลยีต่างๆ จะได้รับการดูแลรักษาอย่างเต็มที่ เพื่อให้ความเชื่อมั่นกับลูกค้าว่าข้อมูลทุกอย่างจะถูกเก็บไว้ในที่ที่ปลอดภัยที่สุด และบุกรุกของ Hacker จะเป็นไปได้ยาก ยิ่งไปกว่านั้น การชำระเงินด้วยบัตรเครดิตบนอินเทอร์เน็ตอาจมีความเสี่ยงน้อยกว่าการใช้กับร้านค้าทั่วไป เช่น ภัตตาคาร หรือ ปั๊มน้ำมันเสียอีก เพราะ เวลาที่คุณให้บัตรเครดิตกับทางร้านไปแล้ว ไม่มีใครรูดบัตรให้คุณเห็นต่อหน้าเลย ต้องไปที่หลังร้าน หรือ เคาน์เตอร์แคชเชียร์เสมอ แล้วจะมั่นใจได้อย่างไรว่าสลิปบัตรที่ถูกรูดไปไม่ได้มีมากกว่า 1 ใบหรือ พนักงานในร้านไม่ได้แอบคัดลอกเบอร์บัตรเครดิตของคุณไว้ ซึ่งการกระทำดังกล่าวเกิดขึ้นได้ง่ายและรวดเร็วกว่าการลักลอบเจาะเข้าไปในเว็บไซต์หลายเท่านัก อย่างไรก็ดี ใช่ว่าทุกเว็บไซต์จะปลอดภัยทั้งหมดร้อยเปอร์เซ็นต์ ก่อนจะซื้อสินค้าจากเว็บไซต์ใด ผู้ซื้อควรพิจารณาเว็บไซต์นั้นอย่างละเอียดรอบคอบเสียก่อน ถ้าสามารถอ่านนโยบายด้านรักษาความปลอดภัยของเว็บไซต์ได้ก่อนก็จะดีมาก

ความปลอดภัยของเว็บไซต์สังเกตได้จากหลายๆปัจจัย ดังต่อไปนี้ 1.ชื่อเสียงของเว็บไซต์ เว็บไซต์ที่มีชื่อเสียง ไม่ว่าจะทำอะไร ย่อมต้องคำนึงถึงภาพพจน์ของตนเองอยู่เสมอ การสังเกตชื่อเสียงของเว็บไซต์ดูได้จากความนิยมของเว็บไซต์ ระยะเวลาที่เปิดดำเนินการมา หรือจากบริษัทที่เป็นเจ้าของเว็บไซต์นั้นว่าเป็นอย่างไร เช่น Thai.com เป็นไซเบอร์มอลล์ที่ดำเนินธุรกิจโดย บริษัท Internet Thailand จำกัด (มหาชน) ซึ่งเป็นผู้ให้บริการอินเทอร์เน็ตที่อยู่ในธุรกิจมาอย่างยาวนาน มีความมั่นคงไว้ใจได้ รายละเอียดประเภทนี้ สามารถหาดูได้บนเว็บไซต์นั้นเอง ภายใต้หัวข้อที่เกี่ยวกับประวัติของเว็บไซต์ เช่น About Us หรือ Company Profile หรือในหัวข้อเกี่ยวกับความปลอดภัยอื่นๆ เช่น Term of Use, Security Information และ Privacy Policy สำหรับเว็บไซต์พาณิชย์อิเล็กทรอนิกส์ อย่างไรก็ดี หากไม่พบรายละเอียดดังกล่าว ผู้บริโภคควรสอบถามไปยังเว็บไซต์โดยตรงได้ด้วยอีเมล์ หรือ โทรศัพท์ก่อนจะตัดสินใจใดๆ 2.เว็บไซต์จะต้องสนับสนุนระบบ SSL (Secure Socket Layer) ในระหว่างการเลือกชมสินค้าบนเว็บไซต์อยู่นั้น การสังเกตว่าเว็บไซต์นั้นสนับสนุนระบบ SSL หรือไม่ สังเกตได้จาก 2 จุดบนบราวเซอร์ แห่งแรกคือ URL ปกติการเข้าถึงเว็บไซต์ใดๆนั้นจะมี URL ที่เป็น HTTP (HyperText Transmission Protocol) เป็นมาตรฐาน แต่หากว่ากำลังเข้าสู่โหมด(Mode) รักษาความปลอดภัยของ SSL URL จะเปลี่ยนเป็น HTTPS (Hyper Text Transmission Protocol, Secure) ส่วนอีกแห่งหนึ่งก็คือที่ Title Bar ด้านล่าง ในระบบ SSL จะมีรูปแม่กุญแจสีเหลืองปรากฎอยู่ด้านซ้ายมือ สำหรับ Internet Explorer ส่วน Netscape Communicator จะเป็นรูปกุญแจที่สมบูรณ์ (ไม่แตกหัก) สีเหลืองปรากฏอยู่ที่ด้านขวามือ

ความปลอดภัยของเว็บไซต์สังเกตได้จากหลายๆปัจจัย ดังต่อไปนี้ 3.เว็บไซต์ควรจะได้รับการรับรองเรื่องความปลอดภัย อีกปัจจัยหนึ่งที่สามารถเสริมสร้างความมั่นใจในตัวเว็บไซต์ให้กับผู้บริโภคได้ คือการได้รับการรับรองเรื่องความปลอดภัยจากองค์กรผู้ให้บริการด้านความปลอดภัยที่มีชื่อเสียง ก่อนที่จะตัดสินใจซื้อสินค้าจากเว็บไซต์ใด ผู้บริโภคควรมองหาสัญลักษณ์ขององค์กรนั้นๆเสียก่อน เช่น เครื่องหมาย Verisign’s Secure Site ซึ่งจะพบได้ตามเว็บไซต์พาณิชย์อิเล็กทรอนิกส์ชั้นนำต่างๆ อย่างไรก็ดีหากไม่มีสัญลักษณ์ประเภทดังกล่าวปรากฏอยู่ ท่านอาจทำการสอบถามไปทางเว็บไซต์โดยตรงเลยก็ได้ 4.นโยบายส่งเสริมความมั่นใจหลังการขาย โดยทั่วไปแล้วเว็บไซต์ที่ดี เชื่อถือได้ จะต้องระบุนโยบายหลังการขายอย่างละเอียดไว้บนเว็บไซต์เพื่อให้ลูกค้าทราบ นโยบายหลังการขายที่สำคัญได้แก่ นโยบายตรวจสอบข้อมูลสินค้าที่สั่งซื้อ นโยบายคืนสินค้าและคืนเงินที่ชำระไปแล้ว บางเว็บไซต์ยังมีการแสดงข้อมูลเกี่ยวกับการตรวจดูสถานะสินค้าที่อยู่ในระหว่างการจัดส่งด้วยว่าอยู่ ณ ที่ใด ซึ่งผู้บริโภคที่สั่งซื้อสินค้าหรือบริการไว้ สามารถตรวจสอบข้อมูลดังกล่าวได้จากทางเว็บไซต์หรือโทรศัพท์ จนกว่าสินค้าจะถึงมือ ผู้บริโภคควรเลือกร้านที่มีตัวแทนหรือผู้จัดส่งภายในประเทศ เพื่อสะดวกในการติดต่อข้อมูลการจัดส่ง และเมื่อสินค้าที่ได้รับชำรุดหรือไม่ตรงกับที่สั่งไว้ ก็จะสามารถติดต่อเพื่อส่งคืนได้โดยง่าย เงื่อนไขเรื่องการจัดส่งสินค้าคืน และการเรียกคืนเงินที่ชำระแล้วมักระบุวิธีการและระยะเวลาไว้อย่างชัดเจน ในกรณีที่ผู้บริโภคยังไม่ได้รับสินค้าหรือบริการตามสัญญาหรือสินค้าเสียหาย ไม่ถูกต้องตามที่สั่งซื้อไว้ ผู้ขายหรือร้านค้าหลายแห่งจะยินยอมรับผิดชอบค่าใช้จ่ายทั้งหมด เนื่องจากไม่ใช่ความผิดของผู้บริโภค ร้านค้าอาจเสนอให้เก็บเงินจำนวนนั้นไว้เพื่อสั่งซื้อสินค้าอื่นหรืออาจคืนเงินสดด้วยเช็ค หรือโอนเงินเข้าบัญชีของผู้บริโภคตามมูลค่าที่หักไป (ในกรณีที่ชำระด้วยบัตรเครดิต)

นโยบายรัฐบาลกับมาตรการรักษาความปลอดภัยเป็นอย่างไร พาณิชย์อิเล็กทรอนิกส์ คือ การทำธุรกิจบนอินเทอร์เน็ตที่เชื่อมโยงผู้คนทุกมุมโลกเข้าด้วยกัน จึงเป็นการยากที่จะตรวจสอบว่าบุคคลเหล่านั้นเป็นใครบ้าง ดังนั้นการสร้างความเชื่อมั่นในระบบธุรกิจจึงเป็นสิ่งที่ขาดเสียไม่ได้เลย หน่วยงานของรัฐบาลที่เกี่ยวข้องกับนโยบายและมาตรการรักษาความปลอดภัยต่างๆ ได้แก่ 1.สำนักงานตำรวจแห่งชาติ จัดเตรียมบุคลากรที่สามารถจับผู้กระทำความผิด ตรวจตราดูแลความสงบสุขในการใช้เทคโนโลยีสารสนเทศ ภาระหน้าที่นี้เป็นส่วนที่ช่วยส่งเสริมธุรกิจการค้าและพาณิชย์อิเล็กทรอนิกส์ในประเทศไทยให้ขยายตัวได้ รัฐคงไม่สามารถปัดภาระให้แต่ละบริษัทจัดการรักษาความปลอดภัยด้วยเองได้ เพราะถนนหนทางบนอินเทอร์เน็ตที่เป็นสาธารณะยังมีอีกมาก อาจจะมีผู้ไม่ประสงค์ดีหาทางฉกฉวยโอกาสอยู่ การสร้างบุคลากรในสำนักงานตำรวจแห่งชาติจึงต้องเร่งกระทำ อย่างน้อยเพื่อให้ทันกับการพัฒนาทางเทคโนโลยีของผู้ไม่ประสงค์ดีเหล่านั้น 2.NECTEC จัดตั้ง Computer Emergency Response Team (CERT) เพื่อเป็นหน่วยงานที่คอยประสานงานในเรื่องการละเมิดความปลอดภัยบนเครือข่าย

Firewall คืออะไร คือ ฮาร์ดแวร์และซอฟต์แวร์ที่องค์กรต่างๆมีไว้เพื่อป้องกันเครือข่ายคอมพิวเตอร์ภายในของตนจากอันตรายที่มาจากเครือข่ายคอมพิวเตอร์ภายนอก เช่น ผู้บุกรุก หรือ Hacker Firewall จะอนุญาตให้เฉพาะข้อมูลที่มีคุณลักษณะตรงกับเงื่อนไขที่กำหนดไว้ผ่านเข้าออกระบบเครือข่ายภายในเท่านั้น อย่างไรก็ดี Firewall นั้นไม่สามารถป้องกันอันตรายที่มาจากอินเทอร์เน็ตได้ทุกรูปแบบ ไวรัสก็เป็นหนึ่งในนั้น ดังนั้นจึงไม่สามารถรับรองได้ว่าความปลอดภัยหรือความลับของข้อมูลจะมีอยู่ร้อยเปอร์เซนต์ถึงแม้ว่าจะมีการใช้ Firewall แล้วก็ตาม

ไฟร์วอลล์สามารถช่วยเพิ่มความปลอดภัยให้กับระบบได้โดย บังคับใช้นโยบายด้านความปลอดภัย โดยการกำหนดกฎให้กับไฟร์วอลล์ว่าจะอนุญาตหรือไม่ให้ใช้เซอร์วิสชนิดใด ทำให้การพิจารณาดูแลและการตัดสินใจด้านความปลอดภัยของระบบเป็นไปได้ง่ายขึ้น เนื่องจากการติดต่อทุกชนิดกับเน็ตเวิร์กภายนอกจะต้องผ่านไฟร์วอลล์ การดูแลที่จุดนี้เป็นการดูแลความปลอดภัยในระดับของเน็ตเวิร์ก (Network-based Security) บันทึกข้อมูล กิจกรรมต่างๆ ที่ผ่านเข้าออกเน็ตเวิร์กได้อย่างมีประสิทธิภาพ ป้องกันเน็ตเวิร์กบางส่วนจากการเข้าถึงของเน็ตเวิร์กภายนอก เช่นถ้าหากเรามีบางส่วนที่ต้องการให้ภายนอกเข้ามาใช้เซอร์วิส (เช่นถ้ามีเว็บเซิร์ฟเวอร์) แต่ส่วนที่เหลือไม่ต้องการให้ภายนอกเข้ามากรณีเช่นนี้เราสามารถใช้ไฟร์วอลล์ช่วยได้ ไฟร์วอลล์บางชนิด สามารถป้องกันไวรัสได้ โดยจะทำการตรวจไฟล์ที่โอนย้ายผ่านทางโปรโตคอล HTTP, FTP และ SMTP

ชนิดของไฟร์วอลล์แบ่งตามเทคโนโลยีที่ใช้ในการตรวจสอบและควบคุม แบ่งได้เป็น Packet Filtering Proxy Service Stateful Inspection เหมือน Packet Filtering แต่จะไม่ดูที่ header เพียงอย่างเดียว จะดูที่ message ด้วย

สถาปัตยกรรมของไฟร์วอลล์แบ่งได้เป็น Single Box Architecture Screened Host Architecture Multilayer Architecture

คำถามท้ายบท จงเปรียบเทียบระดับความปลอดภัยของ เส้นใยแก้วนำแสง โทรศัพท์มือถือ การใช้อินเตอร์เน็ต การเข้ารหัสแบบคีย์สมมาตร ต่างกับ อสมมาตรอย่างไร ทำไมต้องมี Digital Certificate มีระบบเครือข่ายที่สามารถป้องกัน Hacker ได้ 100% หรือไม่ SSL มีการทำงานอย่างไร Firewall มีหน้าที่อย่างไร

บทที่ 9 ความปลอดภัยระบบเครือข่าย

งานนำเสนอที่คล้ายกัน

งานนำเสนอเรื่อง: "บทที่ 9 ความปลอดภัยระบบเครือข่าย"— ใบสำเนางานนำเสนอ:

งานนำเสนอที่คล้ายกัน

เรื่องโครงการ

การติดต่อกลับ

เข้าสู่ระบบ

ลงทะเบียนผ่านเครือข่ายสังคม:

บทที่ 9 ความปลอดภัยระบบเครือข่าย

งานนำเสนอที่คล้ายกัน

งานนำเสนอเรื่อง: "บทที่ 9 ความปลอดภัยระบบเครือข่าย"— ใบสำเนางานนำเสนอ:

งานนำเสนอที่คล้ายกัน

เรื่องโครงการ

การติดต่อกลับ