เราเสียประโยชน์กันไปแค่ไหนแล้ว กับการส่งซ่อมสินค้านานนับเดือน

พอดีว่าผมส่งแท็บเล็ตแบรนด์หนึ่งเข้า ศ. ไปเกือบๆ 1 เดือนแล้ว แต่ก็ยังไม่ได้รับเครื่องกลับมา โดยอุปกรณ์ดังกล่าวมีระยะเวลารับประกัน 1 ปี แต่ใช้งานได้ประมาณ 6 เดือนก็มีปัญหา เลยเข้า ศ. เพื่อรับการซ่อมแซมส่วนที่มีปัญหาไป

ผมมานั่งคิดๆ ว่าการที่เราส่งสินค้าไปซ่อมแล้วใช้เวลาเป็นเดือนในการซ่อม ทำให้เราเสียโอกาสในการใช้งานไปในระยะเวลาดังกล่าว แบรนด์ต่างๆ กลับไม่มีแนวคิดที่จะต่อระยะเวลาประกันออกไปให้ตามระยะเวลาที่ที่ ศ. บริการใช้ในการซ่อมเครื่องที่เราซื้อมา แล้วจากการสำรวจก็เป็นทุกแบรนด์เสียด้วย ผมจึงมานั่งสรุปกับตัวเองง่ายๆ ว่า เราควรซื้อแบรนด์ที่มีความเสี่ยงในการเสียให้น้อยที่สุด หรืออย่างเลวร้ายที่สุดคือ เป็นแบรนด์ที่ซ่อมเร็วที่สุด เพื่อว่าเราในฐานะลูกค้าจะได้เสียประโยชน์น้อยที่สุดไป

การซ่อมเร็วผมไม่เรียกว่าเป็นเรื่อง “ดี” ถ้าไม่มีการขยายระยะเวลารับประกันออกไปแต่ผมเรียกว่า “เสียประโยชน์น้อยที่สุด” มากกว่า

จริงๆ ส่วนตัวมองว่า แบรนด์ต่างๆ ควรมีขอบเขตการรับผิดชอบร่วมในการที่สินค้าของตนที่ต้องส่งเข้า ศ. บริการเพื่อซ่อมแซมอันอยู่ในเงือนไขประกัน ซึ่งถือเป็นความรับผิดชอบที่ผู้ผลิตต้องต่อระยะไปตามระยะเวลาอยู่ในการดูแลของ ศ. บริการแล้ว และหากการซ่อมแซมกินเวลาเกินกว่าที่ควรจะเป็น ควรมีการชดเชยระยะการรับประกันออกไป หรือหากกินระยะเวลาเกินเลยมากจนลูกค้ารับไม่ได้ เช่น นานระดับ 3 – 6 เดือน รวมไปถึงสินค้า หรือชิ้นส่วนอะไหล่ไม่ได้ผลิตแล้ว แบรนด์ต่างๆ ควรมีหน้าที่คืนเงินตามอัตราส่วนที่สมน้ำสมเนื้อให้กับลูกค้าของตนเพื่อจะได้ไม่ต้อง “รอ” และนำเงินส่วนนั้นไปซื้อเครื่องรุ่นอื่นๆ หรือแบรนด์อื่นๆ ต่อไป แน่นอนว่าการนำเครื่องชดเชยแทน ผมมองว่าไม่ใช่เรื่องที่ดีเท่าไหร่ เพราะการชดเชยเครื่องใหม่ ไม่ว่าจะรุ่นเดิม หรือรุ่นทดแทน ส่วนตัวมองว่าอาจจะมีการหมกเม็ดได้จากแบรนด์ต่างๆ ควรให้ลูกค้าได้ชดเชยด้วยเงินสด แล้วไปซื้อจากหน้าร้านอื่นๆ แทน ซึ่งส่วนตัวได้เคยได้รับการชดเชยจากแบรนด์หนึ่งในการคืนเงินเต็มจำนวนอันเนื่องจากสินค้าที่ส่งเปลี่ยนนั้น ไม่มีการผลิตอีกต่อไปโดยสินค้านั้นยังอยู่ในระยะประกันอยู่ ซึ่งถือเป็นเรื่องที่ดี

เราคงได้ฉุกคิดว่า การส่งสินค้าเข้า ศ. บริการ เพื่อซ่อมแซมนั้น เราเสียประโยชน์อย่างไร และแบรนด์ควรรับผิดชอบเพิ่มเติมอย่างไร

อย่าไว้ใจเว็บแบรนด์ระดับโลกให้เก็บรหัสผ่านที่สำคัญของคุณ

จากกระทู้ต้นเรื่อง Starbucks Thailand ทำแบบนี้ได้ไง

ผมเลยลองทดสอบดูตามข้อมูลที่ https://www.starbuckscard.in.th/cards/forgot-password.aspx

2014-03-04_101523แล้วกรอกอีเมลที่ตัวเองได้ลงทะเบียนไว้แล้วพบว่ารหัสผ่านที่ส่งมานั้น ทาง Starbucks ส่งมาเป็น plaintext จริงๆ ตามข้อมูลด้านล่างนี้ (ผมขอนำรหัสผ่านจริงๆ ออกเพื่อประกอบการนำเสนอ และใส่ข้อความอื่นๆ แทน)

2014-03-04_101432แน่นอนว่าไม่ใช่แค่เว็บเท่านั้น เมื่อเกือบ 2 เดือนที่แล้ว Starbucks ก็ได้ทำพลาดแม้แต่ใน App ของตัวเองใน App Store เช่นกัน ตามรายการข่าวบางส่วน เช่น Starbucks: We Stored Your Passwords in Plaintext หรือ Starbucks App Saves Usernames, Passwords in Plain Text 

ซึ่งในความเป็นจริงแล้ว ระบบเว็บ หรือซอฟต์แวร์ต่างๆ โดยทั่วไปที่ใส่ใจต่อข้อมูลรหัสผ่าน ซึ่งเป็นข้อมูลที่อ่อนไหวง่ายที่สุด มักจะนำรหัสผ่านผู้ใช้งานไปผ่านกรรมวิธี hash ทางเดียว (one-way hashing; หรือลายเซ็นของข้อมูล) และใช้ salt ร่วมด้วย (ชุดอักขระสุ่มเฉพาะ) เพื่อความปลอดภัยสูงสุด การที่เว็บแบรนด์ดังจัดเก็บรหัสผ่านแบบ plain text หรือแม้แต่จัดเก็บแบบเข้ารหัสแต่สามารถย้อนกลับรหัสผ่านใดๆ ให้เป็น plain text ได้ ถือเป็นเรื่องที่ยอมรับไม่ได้ในวงการ Security ในด้านระบบยืนยันสิทธิ์ในการเข้าใช้ระบบ โดยสำหรับใครที่ไม่เข้าใจกรรมวิธี hash และใช้ salt ร่วมด้วย แนะนำให้อ่าน Hash: ไม่รู้ว่ามันคืออะไรแต่มันใช่ เผื่อจะเข้าใจมากขึ้น ว่าสิ่งที่ Starbucks กำลังทำอยู่นั้นเป็นสิ่งที่ยอมรับไม่ได้ และสามารถดูตัวอย่างเว็บที่ไม่ใส่ใจกับข้อมูลอ่อนไหวเหล่านี้ได้ที่ Plain Text Offenders

ฉะนั้นจากเหตุการณ์นี้ หลายคนอาจจะยังไม่เข้าใจปัญหาที่อาจจะเกิดขึ้นในอนาคต ผมจึงขอยกตัวอย่างง่ายๆ ว่าในอนาคตหากเว็บ Starbucks ถูก hack และเหล่าผู้ไม่ประสงค์ดีได้ทำการ dump ข้อมูลลูกค้าพร้อมรหัสผ่านออกไป การไม่คงสภาพรหัสผ่านที่สามารถย้อนกลับมาเป็น plain text ได้ จะช่วยปกป้องให้รหัสผ่านต่างๆ ของลูกค้าของตัวเองยังคงปลอดภัยอยู่สักระยะจากการใช้วิศวกรรมย้อนกลับ เพราะต้องใช้เวลาในการคำนวณ และกู้สภาพย้อนกลับผ่าน rainbow table (หรือการทำ rainbow hash cracking) แน่นอนว่าการใช้ salt ร่วมด้วยก็ช่วยได้ในระดับที่น่าพอใจ ซึ่งดีกว่าการจัดเก็บรหัสผ่านเป็นข้อมูล plain text ซึ่งผู้ไม่ประสงค์ดีสามารถนำไปใช้ได้เลยโดยไม่จำเป็นต้องใช้เทคนิคพิเศษใดๆ

แน่นอนว่าไม่มีอะไรปลอดภัยที่สุด ผมข้อเสริมเพื่อเป็นข้อมูลว่า ถึงแม้ผู้ให้บริการจะนำรหัสผ่านมาผ่านกรรมวิธี hash ทางเดียว และใช้ salt ในการจัดเก็บรหัสผ่าน เพื่อมั่นใจว่าจะสามารถคงสภาพรหัสผ่านให้ไม่สามารถย้อนกลับมาผ่านกรรมวิธี เชิงเทคนิคต่างๆ แต่เมื่อเกิดเหตุการณ์ถูก hack และมีการตรวจสอบว่ามีการ dump ข้อมูลลูกค้าออกไป ผู้ให้บริการก็มักจะขอร้องให้สมาชิกเข้ามาเปลี่ยนรหัสผ่านใหม่ เพื่อทำการสร้าง hash และ salt อีกครั้ง เพื่อมั่นใจว่าจะไม่ถูก hack จากรหัสผ่านชุดที่ถูก dump ออกไป ซึ่งเกิดเหตุการณ์เหล่านี้กับบริการหลายๆ บริการอยู่เป็นประจำ

คำแนะนำสุดท้าย แม้ไม่ใช่ทางออกที่ดีสุดซึ่งควรเป็นความรับผิดชอบของผู้ให้บริการ แต่ทางแก้ไขที่ดีกว่าเพื่อปกป้องตัวเองจากการที่ผู้ให้บริการไร้ซึ่งจิตสำนึกต่อข้อมูลส่วนตัวสมาชิก คือการพยายามใช้รหัสผ่านแยกกันไปในแต่ละบริการ เพื่อมั่นใจในความปลอดภัยของบริการอื่นๆ ที่จะไม่ถูกนำรหัสผ่านไปอ้างอิงใช้งานได้ในอนาคต

การเขียนข่าวเรื่อง “Starbucks Thailand ไม่เข้ารหัสข้อมูลรหัสผ่านของลูกค้า” มีจุดมุ่งหมายเพื่อเป็นการกระตุ้นให้ประชาชน หรือลูกค้า ได้ตรวจสอบถึงมาตรฐานความปลอดภัยในการจัดเก็บข้อมูลที่อ่อนไหว และเรียกร้องถึงความใส่ใจต่อข้อมูลเหล่านี้มากขึ้น การไม่ใส่ใจของผู้ให้บริการในข้อมูลที่อ่อนไหวเหล่านี้ ถือเป็นเรื่องที่ยอมรับไม่ได้ไม่ว่าจะบริการใดๆ ก็ตาม