การรักษาความปลอดภัยบนระบบคอมพิวเตอร์
จำแนกการรักษาความปลอดภัยออกเป็น 2 ด้าน ได้แก่
1. ความปลอดภัยของข้อมูล (Information Security) ข้อมูลจัดเป็นทรัพย์สินประเภทหนึ่งขององค์กร และเป็นหัวใจหลักสำหรับการดำเนินธุรกิจ ดังนั้นจำเป็นต้องให้ความสำคัญในการรักษาความปลอดภัยของข้อมูล เช่นเดียวกับการรักษาความปลอดภัยของตัวเครื่องและอุปกรณ์ หรืออาจให้ความสำคัญมากกว่าด้วยซ้ำไป
2. ความปลอดภัยทางกายภาพ (Physical Security) ได้แก่ ทรัพย์สินหรืออุปกรณ์ต่าง ๆ
มาตรการการรักษาความปลอดภัยของข้อมูล
1. การระบุตัวบุคคลและอำนาจหน้าที่ (Authentication&Authorization) เพื่อระบุตัวบุคคลที่ติดด่อ หรือทำธุรกรรมร่วมด้วย
2.การรักษาความลับของข้อมูล (Confidentiality) เพื่อรักษาความลับในขณะส่งผ่านทางเครือข่ายไม่ให้ความลับถูกเปิดโดยบุคคลอื่นที่ไม่ใช่ผู้รับ
3.การรักษาความถูกต้องของข้อมูล (Integrity) เพื่อการป้องกันไม่ให้บุคคลอื่นที่ไม่ใช่ผู้รับแอบเปิดดู และแก้ไขเปลี่ยนแปลงข้อมูล
4. การป้องกันการปฏิเสธ หรือ อ้างความรับผิดชอบ (None-Repudiation) เพื่อป้องกันการปฎิเสธความรับผิดในการทำธุรกรรมระหว่างกัน เช่น การอ้างว่าไม่ได้ส่งหรือไม่ได้รับข้อมูล ข่าวสาร
การรักษาความปลอดภัยของข้อมูล
การเข้ารหัส (Cryptography)
คือ การทำให้ข้อมูลที่จะส่งผ่านไปทางเครือข่ายอยู่ในรูปแบบที่ไม่สามารถอ่านออกได้ ด้วยการเข้ารหัส (Encryption) ทำให้ข้อมูลนั้นเป็นความลับ ซึ่งผู้ที่มีสิทธิ์จริงเท่านั้นจะสามารถอ่านข้อมูลนั้นได้ด้วยการถอดรหัส (Decryption)
ลายมือชื่อดิจิตอล (Digital Signature) หรือเรียกอีกอย่างว่า ลายเซ็นดิจิตอล ใช้ในการระบุตัวบุคคลเพื่อแสดงถึงเจตนาในการยอมรับเนื้อหาในสัญญานั้น ๆ และป้องกันการปฏิเสธความรับผิดชอบ เพิ่มความน่าเชื่อถือในการทำธุรกรรมร่วมกัน
กระบวนการสร้างและลงลายมือชื่อดิจิทัล
1. นำเอาข้อมูลอิเล็กทรนอิกส์ต้นฉบับ (ในรูปแบบของ file) ที่จะส่งไปนั้น มาผ่านกระบวนการทางคณิตศาสตร์ที่เรียกว่า ฟังก์ชันย่อยข้อมูล (Hash Function) เพื่อให้ได้ข้อมูลที่สั้น เช่นเดียวกับการเข้ารหัสข้อมูลอีกชั้นหนึ่ง ซึ่งข้อมูลจะอ่านไม่รู้เรื่อง จากนั้นก็นำข้อมูลดังกล่าวมาทำการเข้ารหัส (Encryption) อีกที
2. จากนั้นทำการ “ข้ารหัสด้วยกุญแจส่วนตัวของผู้ส่ง” เรียกขั้นตอนนี้ว่า “Digital Signature”
3. ส่ง Digital Signature ไปพร้อมกับข้อมูลต้นฉบับตามที่ระบุในข้อ 1 เมื่อผู้รับ ๆ ก็จะตรวจสอบว่าข้อมูลนั้นถูกแก้ไขระหว่างทางหรือไม่ โดยนำข้อมูลต้นฉบับที่ได้รับ มาผ่านกระบวนการย่อยด้วย ฟังก์ชันย่อยข้อมูล (Hash Function) จะได้ข้อมูลที่ย่อยแล้ว เช่นเดียวกับการคลายข้อมูลที่ถูกบีบอัดอยู่ และ
4. นำ Digital Signature มาทำการถอดรหัสด้วย “กุญแจสาธารณะของผู้ส่ง (Public Key) ก็จะได้ข้อมูลที่ย่อยแล้วอีกอันหนึ่ง จากนั้นเปรียบเทียบข้อมูลที่ย่อยแล้ว ที่อยู่ในข้อ3 และข้อ 4 ถ้าข้อมูลเหมือนกันก็แสดงว่าข้อมูลไม่ได้ถูกแก้ไขระหว่างการส่ง
ใบรับรองดิจิทัล (Digital Certificate)
การขออนุญาตใช้ใบรับรองดิจิทัล (Digital Certificate) ก็เพื่อเพิ่มความน่าเชื่อถือในการทำธุรกรรมร่วมกันบนเครือข่าย Internet ซึ่งหน่วยงานที่สามารถออกใบรับรองดิจิทัล (Digital Certificate) นี้ได้จะเป็น “องค์กรกลาง” ที่มีชื่อเสียงเป็นที่น่าเชื่อถือ เรียกองค์กรกลางนี้ว่า “Certification Authority:CA”
Digital Certificate จะถูกนำมาใช้สำหรับยืนยันในการทำธุรกรรม ว่าเป็นบุคคลนั้นจริงตามที่ได้อ้างไว้ ซึ่งสามารถจำแนกประเภทของใบรับรองดิจิตอล ได้ 3 ประเภท ได้แก่
1. ใบรับรองเครื่องแม่ข่าย (Server)
2. ใบรับรองตัวบุคคล
3. ใบรับรองสำหรับองค์กรรับรองความถูกต้อง
Certification Authority (CA)
CA คือ องค์กรรับรองความถูกต้อง ในการออกใบรับรองดิจิตอล (Digital Certificate ) ซึ่งมีการรับรองความถูกต้องสำหรับบริการต่อไปนี้
1. การให้บริการเทคโนโลยีการรหัส ประกอบด้วย
- การสร้างกุญแจสาธารณะ
- กุญแจลับสำหรับผู้จดทะเบียน
- การส่งมอบกุญแจลับ การสร้างและการรับรองลายมือชื่อดิจิตอล
2. การให้บริการเกี่ยวกับการออกใบรับรอง ประกอบด้วย
- การออก การเก็บรักษา การยกเลิก การตีพิมพ์เผยแพร่ ใบรับรองดิจิตอล - การกำหนดนโยบายการออกและอนุมัติใบรับรอง
3. บริการเสริมอื่น เช่น การตรวจสอบสัญญาต่าง ๆ การทำทะเบียน การกู้กุญแจ
สำหรับประเทศไทย ยังไม่มีองค์กร “CA” ซึ่งปัจจุบันหน่วยงานที่ต้องการความน่าเชื่อถือในการทำธรรมบน Web จำเป็นต้องใช้บริการเทคโนโลยีดังที่กล่าวมาจากต่างชาติ แต่คงไม่นานคาดว่าหน่วยงานในภาครัฐอย่างเช่น NECTEC (www.nectec.or.th) คงสามารถพัฒนาเทคโนโลยีต่าง ๆ ดังกล่าวเพื่อให้ใช้บริการภายในประเทศได้
ขั้นตอนการขอ Digital Certificates
การรักษาความปลอดภัยบนระบบเครือข่าย
SSL ใช้ในการรักษาความปลอดภัยสำหรับการทำธุรกรรมต่าง ๆ ผ่านอินเทอร์เน็ต ซึ่ง SSL นั้นจะใช้ในการเข้ารหัส (encrypt) ข้อมูล ใช้ในการตรวจสอบและยืนยันฝ่ายผู้ขายว่ามีตัวตนอยู่จริง มีขั้นตอนการทำงานของ SSL ดังนี้
1. ผู้ใช้ติดต่อ ไปยัง Web Server ที่ใช้ระบบ SSL
2. จากนั้น Server จะส่งใบรับรอง (Server Certificate) กลับมาพร้อมกับเข้ารหัสด้วยกุญแจสาธารณะ (Public Key) ของเซิร์ฟเวอร์
3. คอมพิวเตอร์ฝั่งผู้รับจะทำการตรวจสอบตัวตนของฝั่งผู้ขายจากใบรับรอง (Server Certificate) จากนั้นก็จะทำการสร้างกุญแจโดยการสุ่มและทำการเข้ารหัสกุญ ด้วยกุญแจสาธารณะของเซิร์ฟเวอร์ที่ได้รับมา เพื่อส่งกลับไปยัง Server
4. เมื่อ Server ได้รับข้อมูลส่งกลับก็จะถอดรหัสด้วยกุญแจส่วนตัว (Private Key) ก็จะได้กุญแจของลูกค้ามาไว้ใช้ในการติดต่อสื่อสาร
5. จากนั้นก็สามารถติดต่อสื่อสารกัน โดยการเข้ารหัสติดต่อสื่อสาร
การป้องกัน Hacker กับ Cracker
การป้องกันที่ได้ผลดีที่สุดคือการใช้ รหัสผ่าน (Password) และใช้ Server ที่มีความปลอดภัยสูง (Secured Server) ไฟร์วอลล์ (Firewall) และเราท์เตอร์ (Router) แต่ไม่ว่าจะป้องกันด้วยวิธีใดก็แล้วแต่ ก็ไม่สามารถมั่นใจได้ว่าวิธีนั้น ๆ จะสามารถป้องกันได้ 100% ตราบใดที่เครื่องคอมพิวเตอร์นั้นยังมีการเชื่อมต่อระบบเครือข่าย
Password
เป็นการรักษาความปลอดภัยขั้นพื้นฐานในการ Login เข้าสู่ระบบ โดยการตั้งรหัสผ่าน (Password) นั้นควรมีความยาวอย่างน้อย 6 ตัวอักษร และไม่ควรง่ายต่อการเดา และควร Update รหัสผ่านอยู่บ่อย ๆ ครั้ง
Firewall
กำแพงไฟ (Firewall) เป็นได้ทั้งฮาร์ดแวร์และซอฟต์แวร์ องค์กรที่มีการเชื่อมต่อเครื่อข่ายกับภายนอก จะใช้ Firewall เพื่อกันคนนอกเข้ามาในเครือข่ายโดยไม่ได้รับอนุญาต ป้องกันการบุกรุกจาก Hacker และ Cracker ที่จะทำอันตรายให้กับเครือข่ายขององค์กร ซึ่ง Firewall จะอนุญาตให้เฉพาะข้อมูลที่มีคุณลักษณะตรงกับเงื่อนไขที่กำหนดไว้ ผ่านเข้าออกระบบเครือข่ายได้
นอกจากนี้ Firewall ยังสามารถกรอง Virus ได้ แต่ไม่ทั้งหมด และก็ไม่สามารถป้องกันอันตรายที่มาจากเครือข่ายอินเทอร์เน็ตทุกรูปแบบได้
Clipper Chip
เป็นวงจรฮาร์ดแวร์ทางอิเล็กทรอนิกส์ที่จะเข้ารหัสเพื่อใช้ในการสื่อสารกันบนอินเทอร์เน็ต คลิปเปอร์ชิปได้รับการเสนอโดยรัฐบาลสหรัฐฯ ชิปนี้ได้จัดทำขึ้นโดยที่ทางรัฐบาลสามารถถอดรหัสนี้ได้ ทำให้เกิดการโต้เถียงกันมากว่ารัฐบาลสหรัฐฯ สามารถติดตามการติดต่อสื่อสารบนอินเทอร์เน็ตได้หมด
อย่างไรก็ตามทางรัฐบาลสหรัฐฯ ก็อ้างว่า รัฐบาลจะถอดรหัสข้อมูลตามคำสั่งศาลเท่านั้น
ไม่มีความคิดเห็น:
แสดงความคิดเห็น