TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
OWASP (Open Web Application Security Project) องค์กรไม่แสวงหาผลกำไรที่เน้นวิจัยทางด้าน Web Application Security ออกเอกสาร OWASP Top 10 ทางด้าน Internet of Things ฉบับปี 2018 เพื่อให้ผู้ผลิตและนักพัฒนาที่สนใจทางด้าน IoT Security ได้ดาวน์โหลดไปศึกษาฟรีๆ ครับ
OWASP Internet of Things Project ถูกออกแบบมาเพื่อช่วยผู้ผลิต นักพัฒนา และผู้บริโภคเข้าใจประเด็นด้านความมั่นคงปลอดภัยที่เกี่ยวข้องกับ Internet of Things (IoT) ได้ดียิ่งขึ้น และช่วยให้ผู้ใช้ในบริบทต่างๆ สามารถตัดสินใจเกี่ยวกับความมั่นคงปลอดภัยเมื่อทำการสร้าง วางระบบ หรือประเมินเทคโนโลยี IoT ได้ดีขึ้นกว่าเดิม ซึ่ง OWASP Top 10 Internet of Things ปี 2018 ประกอบด้วยความเสี่ยงทั้งหมด 10 ประการที่มักเจอบนระบบ IoT ซึ่งสามารถสรุปได้ ดังนี้
1. รหัสผ่านอ่อนแอเกินไป คาดเดาได้ง่าย หรือถูกฮาร์ดโค้ดไว้
ใช้ Credentials ที่ง่ายต่อการถูก Brute Force, พบได้ทั่วไปในสาธารณะ หรือไม่สามารถเปลี่ยนแปลงได้ รวมไปถึง Backdoors ในเฟิร์มแวร์หรือซอฟต์แวร์ Client ที่ให้สิทธิ์ในการเข้าถึงแบบ Unauthorized Access บนระบบที่วางไว้
2. Network Services ที่ไม่มั่นคงปลอดภัย
Network Services ที่ไม่จำเป็นหรือไม่มั่นคงปลอดภัยที่รันอยู่บนตัวอุปกรณ์เอง โดยเฉพาะ Services ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต ซึ่งก่อให้เกิดปัญหาด้านการักษาความลับ ความถูกต้อง หรือความพร้อมในการให้บริการของข้อมูล (CIA) หรือก่อให้เกิดการเข้าควบคุมจากระยะไกลได้โดยไม่ได้รับอนุญาต
3. Ecosystem Interfaces ที่ไม่มั่นคงปลอดภัย
Web, Backend API, Cloud หรือ Mobile Interfaces บน Ecosystem ภายนอกอุปกรณ์ที่ก่อให้เกิดปัญหาด้านความมั่นคงปลอดภัยกับอุปกรณ์หรือส่วนประกอบที่เกี่ยวข้อง ปัญหาทั่วไปที่พบ ได้แก่ ไม่มีการพิสูจน์ตัวตนหรือการกำหนดสิทธิ์ในการเข้าถึง, ไม่มีการเข้ารหัสหรือใช้การเข้ารหัสที่ไม่แข็งแกร่งเพียงพอ และไม่มีการกรอก Input และ Output
4. การขาดกลไกในการอัปเดตอย่างมั่นคงปลอดภัย
การขาดความสามารถในการอัปเดตอุปกรณ์อย่างมั่นคงปลอดภัย ซึ่งรวมไปถึง ไม่มีการตรวจสอบเฟิร์มแวร์บนอุปกรณ์, ไม่มีการส่งมอบเฟิร์มแวร์อย่างมั่นคงปลอดภัย (ไม่เข้ารหัสบนช่องทางที่ส่ง), ไม่มีกลไกในการป้องกันการ Rollback และไม่มีการแจ้งเตือนเมื่อมีการเปลี่ยนแปลงที่เกี่ยวข้องกับความมั่นคงปลอดภัยจากการอัปเดต
5. การใช้ส่วนประกอบที่ไม่มั่นคงปลอดภัยหรือล้าสมัย
การใช้ส่วนประกอบของซอฟต์แวร์หรือไลบราลี่ที่ล้าสมัย (เลิกใช้ไปแล้ว) หรือไม่มั่นคงปลอดภัย ซึ่งอาจก่อให้เกิดปัญหาด้านความมั่นคงปลอดภัยแก่อุปกรณ์ รวมไปถึงการปรับแต่งแพลตฟอร์มระบบปฏิบัติการอย่างไม่มั่นคงปลอดภัย และการใช้ส่วนประกอบของซอฟต์แวร์และฮาร์ดแวร์ของผู้อื่นที่ได้มาจาก Supply Chain ที่ไม่มั่นคงปลอดภัย
6. การปกป้องความเป็นส่วนบุคคลไม่เพียงพอ
ข้อมูลส่วนบุคคลของผู้ใช้ที่ถูกจัดเก็บบนอุปกรณ์หรือบน Ecosystem ถูกนำไปใช้อย่างไม่มั่นคงปลอดภัย ไม่เหมาะสม หรือไม่ได้รับอนุญาต
7. การจัดเก็บและรับส่งข้อมูลอย่างไม่มั่นคงปลอดภัย
ไม่มีการเข้ารหัสข้อมูลหรือการควบคุมการเข้าถึงข้อมูลสำคัญในทุกๆ ที่ภายใน Ecosystem ไม่ว่าจะเป็นขณะถูกจัดเก็บ (At rest), ขณะรับส่ง (In transit) หรือขณะประมวลผล (Processing)
8. การขาดการบริหารจัดการอุปกรณ์
การขาดการสนับสนุนด้านความมั่นคงปลอดภัยบนอุปกรณ์ที่ใช้งานบนสายการผลิต ไม่ว่าจะเป็น Asset Management, Update Management, Secure Decommissioning, Systems Monitoring และ Response Capabilities
9. การตั้งค่าจากโรงงานที่ไม่มั่นคงปลอดภัย
อุปกรณ์หรือระบบถูกส่งมาโดยใช้การตั้งค่าจากโรงงาน (Default Settings) ที่ไม่มั่นคงปลอดภัย หรือไม่ยอมให้ผู้ประกอบการแก้ไขการตั้งค่าเพื่อทำให้ระบบมีความมั่นคงปลอดภัยมากยิ่งขึ้น
10. การขาดการเสริมแกร่งให้แก่อุปกรณ์ทางด้านกายภาพ
ไม่มีมาตรการเสริมแกร่งให้แก่อุปกรณ์ทางด้านกายภาพ (Physical Hardening) ซึ่งช่วยให้แฮ็กเกอร์สามารถทราบถึงข้อมูลสำคัญ ส่งผลให้สามารถทำการโจมตีจากระยะไกลหรือเข้าควบคุมอุปกรณ์จากภายในได้ในอนาคต
ผมพยายามแปลเป็นภาษาไทยให้เข้าใจง่ายๆ สำหรับผู้ที่ต้องการอ่าน OWASP Top 10 Internet of Things ปี 2018 ฉบับเต็มภาษาอังกฤษ รวมไปถึงหลักการและเหตุผล กระบวนการจัดทำเพื่อให้ได้มาซึ่งเอกสารดังกล่าว สามารถดูรายละเอียดเพิ่มเติมได้ที่: https://www.owasp.org/index.php/OWASP_Internet_of_Things_Project
