การขอข้อมูลในแอปเกินความจำเป็น และข้อมูลส่วนตัวของเรา ไม่ใช่ของนักพัฒนาแอป แม้เก็บข้อมูลไปแล้วก็ตาม

ผู้พัฒนาแอปที่มีการขอ permission จาก OS อย่าง iOS หรือ Android หรือจากบริการบนเว็บอย่าง Facebook หรือTtwitter ควรขอ permission เพียงส่วนที่จำเป็นต้องใช้ จะขอเผื่อๆ ไว้ ก็ควรยอมรับคำถามของผู้ใช้บริการด้วยว่าขอไปเผื่อทำไม จัดเก็บอย่างไร เอาไปทำอะไรบ้างอย่างชัดเจน และเป็นทางการ

การมาต่อว่าดราม่าใส่คนตั้งคำถามต่อการขอ permission ถือเป็นสิ่งที่ผู้พัฒนาแอปไม่ควรทำ เพราะมันเป็นเรื่องความรับผิดชอบที่ควรชี้แจงและอธิบายให้สิ้นสงสัยอย่างเป็นมิตร

ส่วนผู้ตั้งคำถามจะยอมรับคำตอบหรือไม่ ถือเป็นสิ่งที่นักพัฒนาต้องยอมรับผลที่ตามมาเอง เพราะสิ่งที่นักพัฒนาขอไปนั้น คือ “ข้อมูลส่วนบุคคลของผู้อื่น เขามีสิทธิ์ในการตั้งคำถามที่เกี่ยวกับการจัดเก็บข้อมูลส่วนตัวของเขา ไม่ใช่นักพัฒนาที่ไปเก็บข้อมูลแล้วยึดสิทธิ์ในข้อมูลส่วนตัวของเขาไป เพราะข้อมูลที่จัดเก็บไป เราไม่ได้ให้ความยินยอมในสิทธิ์ของข้อมูลนั้นตลอดไป เราเพียงให้สิทธิ์ในการนำไปใช้เพียงช่วงเวลาหนึ่งเท่านั้น”

แน่นอนว่า เมื่อตอบไปแบบนี้ เราก็จะเจอความคิดเห็นกลับมาเพิ่มเติมว่า “ก็เราเป็นคนกดยินยอมให้เค้าไปเอง แล้วจะบ่นอะไรอีก คงเอากลับคืนมาไม่ได้แล้ว” ซึ่งหากมองในมุมนี้ นั้นหมายถึงผู้ออกความคิดเห็นชุดนี้ มิได้ตระหนักถึงสิทธิ์ในข้อมูลส่วนบุคคลของตนเท่าใดนัก ซึ่งไม่ใช่ทุกคนที่ยอมรับได้ และเราควรสร้างความตระหนักว่า ข้อมูลส่วนบุคคลเป็นสิทธิ์ของเราที่จะให้ใครดูแล และไม่ให้ใครดูแลก็ได้ ซึ่งแอปที่ทำตามข้อเรียกร้องนี้ได้อย่าง Facebook หรือ Twitter เองมีความสามารถในการ Delete Account เพื่อลบข้อมูลส่วนบุคคลเหล่านี้ออกไปจากระบบ และบริการ social network หรือแอปรายอื่นๆ ที่มีความโปร่งใส ก็มักจะเห็นความสามารถในการ Delete Account อยู่เสมอ เพราะกฎหมายในหลายประเทศระบุให้ทำบนพื้นฐานสิทธิ์ข้างต้น หากบริการใดๆ จะแสดงออกซึ่งการควบคุมดูแลในการให้บริการที่โปร่งใส ใส่ใจต่อสิทธิ์ในข้อมูลส่วนบุคคลของผู้ใช้งาน ก็ควรจะต้องมีความสามารถดังกล่าวด้วย

สุดท้าย ในร่างกฎหมายข้อมูลส่วนบุคคลฉบับล่าสุด (เท่าที่หาได้) มีระบุไว้ชัดเจนในเรื่องราวข้างต้น และหากว่าร่างกฎหมายนี้มีการปรับแก้ และหวังว่าจะไม่มีการเปลี่ยนแปลงในส่วนนี้ มันจะถูกบังคับใช้ นั้นหมายความถึงบริการ และแอปทุกๆ ตัว ต้องรองรับการร้องขอนี้ด้วยเช่นกัน

2016-06-05_124631

หมายเหตุ
ไฟล์รูปได้มาจากส่วนหนึ่งในเอกสาร “ร่างพ.ร.บคุ้มครองข้อมูลส่วนบุคคล (ฉบับความมั่นคงดิจิทัล)”
อ้างอิงจาก http://ilaw.or.th/node/3405

ข้อมูลส่วนบุคคลเป็นสิ่งที่ควรควบคุมการเผยแพร่

จากกรณีในกระทู้ กลโกงบัตรเครดิตรูปแบบใหม่เพื่อเอาเงินจากบัตรเครดิต เข้าสู่บัญชี E-Wallet ยี่ห้อหนึ่ง ส่วนที่น่าสนใจคือ ข้อมูลบุคคลของลูกค้าหลายๆ อย่าง เป็นข้อมูลที่หาได้ไม่ยากนักตาม social network ต่างๆ บางอย่างเป็นข้อมูลที่ลูกค้าเผยแพร่โดยไม่ตั้งใจ  ตัวอย่างเช่น

  • หมายเลขบัตรประจำตัวประชาชน (อยากโชว์บัตรหน้าบัตรใหม่ หรือหลุดจากการเผยแพร่ของหน่วยงานภาครัฐ และเอกชนต่างๆ)
  • วันเดือนปีเกิด (มาพร้อมๆ กับพวกชอบโชว์บัตรประจำตัวประชาชน หรือข้อมูลที่เผยแพร่ผ่าน social network หลายๆ บริการ)
  • ที่อยู่ตามภูมิลำเนา
  • ที่อยู่ในการจัดส่งเอกสารในบริการนั้นๆ (ใบแจ้งหนี้ที่มักไม่ได้ทำลายจนอ่านไม่ได้ก่อนทิ้ง)
  • หมายเลขบัตรเครดิต (ในกรณีของบริการบัตรเครดิต ในบิลแจ้งหนี้จะมีส่วนของบาร์โค้ดที่ผ่านหมายเลขบัตรเครดิตได้อยู่)
  • วงเงินที่ใช้ในบริการนั้นๆ (ในกรณีของบริการบัตรเครดิต หรือหมายเลขโทรศัพท์มือถือ ที่มักมาพร้อมๆ กับใบแจ้งหนี้เสมอ)
  • หมายเลขโทรศัพท์ที่ใช้ผูกกับบริการนั้นๆ 

จากทั้งหมดที่ว่ามา ควรควบคุมการใช้งานสำเนาบัตรประจำตัวประชาชนว่าเคยใช้และให้ใครไปบ้าง ส่วนใบแจ้งหนี้ควรทำลายใบแจ้งหนี้ที่ไม่ใช้แล้วทิ้งแบบอ่านไม่ออกไป (จะเผาหรือใช้เครื่องทำลายเอกสารก็ว่ากันไป) เพราะในนั้นมีข้อมูลสำคัญอยู่เสมอๆ ทั้งนี้ใบเสร็จรับเงินที่ใช้รหัสสมาชิก หรือพวกบิลบริการ delivery ก็มีที่อยู่ของเราอยู่ในนั้นพร้อมชื่อ ก็ควรทำลายทิ้งด้วยวิธีการเดียวกันเช่นกัน ตรงนี้ต้องอาศัยความใส่ใจพอสมควร เป็นไปได้เก็บบิลทุกอย่างมาทำลายทิ้งที่บ้านน่าจะปลอดภัยกว่าด้วยซ้ำ

เพราะการถูกโจมตีแบบนี้นั้น สามารถกระทำได้ผ่านข้อมูลส่วนบุคคลพื้นฐานที่เราได้เผยแพร่อย่างทั่วไป ซึ่งนำมาสู่การขโมยตัวตน เพราะในขั้นตอนการยืนยันตัวตนนั้น เราใช้ข้อมูลส่วนบุคคลเหล่านี้ในการทำหน้าที่แทนตัวบุคคลเพื่อยืนยันตัวตน และการโจมตีด้วยวิธีการนี้ไม่ต้องใช้ความชำนาญทางคอมพิวเตอร์มากนัก แต่ใช้การเก็บรวบรวมข้อมูลของผู้ที่เป็นเป้าหมายก็เพียงพอแล้ว

เมื่อข้อมูลพวกนี้เป็นสิ่งสำคัญ ควรใส่ใจต่อการเผยแพร่และควบคุมการเผยแพร่ผ่านช่องทางต่างๆ ให้ได้มากที่สุดเท่าที่จะทำได้ จะช่วยให้การขโมยตัวตนของเราเพื่อไปปลอมแปลงการทำธุรกรรมได้ยากขึ้น

multi-factor authentication ด้วย OTP ก็ไม่ได้ปลอดภัย 100% หากโดน intercept หมายเลขโทรศัพท์มือถือ

บริการต่างๆ ที่ให้เปิด multi-factor authentication มีจุดที่สำคัญที่มักจะให้เราจดจำ และตั้งค่าเพิ่มเติม นั้นคือ backup code และหมายเลขโทรศัพท์มือถือสำหรับรับ reset password หากตัว authenticator ใช้งานไม่ได้

แน่นอน backup code ซ่อนและเก็บได้ ตรงนี้น่าจะพออุ่นใจบ้างหากเก็บไว้ในที่ที่ลับมากๆ ส่วนหมายเลขโทรศัพท์มือถือนั้นแตกต่าง เพราะอาจโดน intercept ตัวเบอร์โทรศัพท์นั้นๆ แล้วนำ code ที่ได้จาก OTP ไปใช้งาน

ซึ่งเมื่อเร็วๆ นี้นักเคลื่อนไหวทางการเมืองถูก hack บัญชี Telegram โดยเกิดจากถูก intercept หมายเลขโทรศัพท์ เพื่อรับรหัส OTP สำหรับเข้าใช้งาน account แอพ Telegram ของเค้า ซึ่งเป็นสิ่งที่เกิดขึ้นได้จริงแล้ว

เพราะโดยปรกติ Telegram ไม่มีการให้ตั้งรหัสผ่านในครั้งแรก แต่ใช้การส่งรหัส OTP เพื่อยืนยันการใช้งานผ่านหมายเลขโทรศัพท์มือถือที่ลงทะเบียนไว้ อ้างอิง Is Telegram Really Safe for Activists Under Threat? These Two Russians Aren’t So Sure.

ทางแก้ที่ Telegram แนะนำ ณ ตอนนี้คือตั้งรหัสผ่านเพิ่มเข้ามาช่วยในการยืนยันตัวตน (ในเมนูของ Telegram มีให้ตั้ง) ทางแก้ไขนี้รวมไปถึง คำแนะนำที่ว่า ควรสื่อสารด้วย secret chat (end-to-end encryption) และตรวจสอบ fingerprints (encryption key) ของคนที่กำลังคุยด้วยเสมอ

จากเหตุการณ์ของ Telegram นี้ ก็กลับมาดูที่ประเทศไทยของเรา การออกซิมการ์ดใหม่ผ่านช่องทางที่มีการตรวจสอบไม่รัดกุม อาจจะเป็นช่องทางที่การใช้งาน multi-factor authentication ด้วย OTP นั้นมีจุดโหว่ และสร้างความไม่มั่นใจต่อหมายเลขโทรศัพท์ที่จะใช้งานควบคู่กับ multi-factor authentication ว่าจะอยู่รอดปลอดภัยได้มากแค่ไหน ตรงนี้เป็นสิ่งที่ผู้ให้บริการต้องตระหนักและช่วยเหลือผู้ใช้งานให้ได้รับความปลอดภัยสูงสุด

ตู้ Service Vending ออก SIM ไม่มีขั้นตอนยืนยันตัวตนที่รัดกุม เบอร์มือถือที่แจ้งรับ OTP จาก internet banking มีความเสี่ยง

อัพเดทเพิ่มเติม 4/5/2016 19:25
1. ทาง blognone.com ได้ติดต่อสอบถามกับทาง AIS เพื่อแจ้งปัญหาแล้ว และมีจดหมายชี้แจ้งมาแล้วเช่นกัน
2. ผมได้รับการติดต่อจากทาง PR ของ AIS เป็นการส่วนตัวเพื่อแจ้งให้ทราบว่า ทาง AIS กำลังปรับปรุงขั้นตอนเหล่านี้ให้รัดกุมมากขึ้น

เมื่อวันเสาร์ผมเจอประเด็นน่าสนใจในงาน MiSS Day เรื่องขอ SIM card ใหม่จากตู้ Service Vending (ตู้ออก SIM card อัตโนมัติมีคนรีวิวไว้เผื่อนึกภาพไม่ออก) ของค่ายมือถือรายหนึ่ง (ในงานไม่ได้ระบุว่าค่ายไหน) แต่แน่นอน ผมจำค่ายดังกล่าวได้ เพราะโฆษณาไว้นานพอสมควร โดยระบุไว้ว่า เพียงแค่เสียบบัตรประชาชนก็ออก SIM card ใหม่ได้เลย ซึ่งทางวิทยากรมองว่า เป็นช่องโหว่ที่สามารถขโมยหมายเลขโทรศัพท์มือถือของเราได้ง่ายมากหากบัตรประชาชนผู้ใช้งานถูกขโมย หรือสูญหาย รวมไปถึงหากผู้ใช้งานเป็นเป้าหมายในในการแฮกระบบอื่นๆ ก็อาจเป็นช่องทางที่จดขโมยช่องทางรับ OTP ของบริการอย่าง internet banking หรือบริการ online ที่ใช้ความสามารถยืนยันตัวหลายหลายปัจจัย (2-factor authentication) ที่ใช้หมายเลขโทรศัพท์ดังกล่าวในการผูกระบบ OTP กับเบอร์มือถือนั้น ซึ่งถือเป็นสิ่งที่ซีเรียสมาก

โดยหลังจากเลิกงานนี้ในช่วงเย็น ผมได้ติดต่อกับทาง call center ค่ายมือถือดังกล่าว เพื่อทำเรื่องปิดช่องการออก SIM card จากช่องทางนั้น โดนแจ้งวัตถุประสงค์อย่างชัดเจนว่าขอไม่ให้ออก SIM card ใหม่กับช่องทางดังกล่าวด้วยเหตุผลข้างต้น และให้ออก SIM card กับพนักงานแทนเท่านั้น ซึ่งทาง call center แจ้งกลับมาว่า ไม่สามารถปิดการขอ SIM card ผ่านช่องทางดังกล่าวได้ 

เมื่อเป็นเช่นนั้น คำแนะนำในตอนนี้สำหรับทุกคนที่ใช้ค่ายมือถือดังกล่าวในการรับ OTP เพื่อทำธุรกรรมทางการเงิน หรือบริการออนไลน์ต่างๆ ควรเก็บบัตรประจำตัวประชาชนของท่านไว้ให้ดี เพราะบัตรประชาชนที่ใช้กับตู้ดังกล่าว ไม่ได้ใช้การยืนยันความเป็นเจ้าของบัตรผ่านรหัส PIN แบบเดียวกับบัตรเครดิตหรือบัตรเอทีเอ็ม ทำให้เพียงแค่มีบัตรประชาชนก็เพียงพอในการออก SIM card ได้ทันทีตามที่ได้กล่าวข้างต้น ซ้ำร้ายกว่านั้น การที่ไม่มีการยืนยันความเป็นเจ้าของบัตรผ่านรหัส PIN แม้ว่าจะมีการแจ้งหายกับทางเจ้าหน้าที่ตำรวจไว้ ก็ไม่มีระบบอายัดบัตรดังกล่าวที่สามารถทำให้บัตรที่สูญหายไปนั้น ระงับการใช้งานผ่านบัตรดังกล่าวได้แบบเดียวกับบัตรเครดิตหรือบัตรเอทีเอ็ม นั้นหมายความว่า ณ ตอนนี้เราไม่สามารถปิดการใช้งานบัตรที่สูญหาย และสามารถนำบัตรนั้นไปออก SIM card ได้แม้จะมีการแจ้งความหมายและออกบัตรใหม่ไปแล้วก็ตามที

อ้างอิง

เปิดใช้ความสามารถ Letter Sealing ในแอพ LINE บน iOS เพื่อเข้ารหัสข้อความจากปลายทางถึงปลายทาง ช่วยป้องกันการดักอ่านข้อมูล

จากข่าว LINE เปิดฟีเจอร์ Letter Sealing เข้ารหัสแบบ End-to-End แล้ว เป็นความพยายามเพิ่มความเป็นส่วนตัวของการคุยกันของลูกค้าจากทาง LINE ซึ่งในขณะนี้สามารถเข้ารหัสข้อความแบบคุยกัน 1 ต่อ 1 หรือแชร์ตำแหน่งระหว่างกันได้แล้ว โดยเป็นการเข้ารหัสข้อความจากปลายทางถึงปลายทาง (End-To-End, E2EE) ช่วยป้องกันการดักอ่านข้อมูล หรือการเปิดอ่านข้อความจากฝั่งผู้ให้บริการเอง โดยข้อความที่คุยกันจะอ่านได้เพียงเครื่องที่ส่ง และเครื่องที่รับข้อความเพียงเท่านั้น

สำหรับคนที่ใช้ iOS ความสามารถนี้ต้องมาเปิดเอง ซึ่งการเปิดใช้งานก็ไม่ได้ยากอะไร

1. ไปที่ Settings ของแอพ LINE

2. ไปที่ Chats & Voice Calls

2015-10-13 16.07.10c 2015-10-13 16.07.05

3. ทำการเปิดการใช้งาน Letter Sealing ผ่านตัวเลือก

โดยจะมีข้อความเตือนว่า ข้อความพรีวิวที่ Notification จะไม่สามารถแสดงผลได้ ซึ่งก็เข้าใจได้ในเชิงความเป็นส่วนตัวในการใช้งาน

เพียงเท่านี้ก็เรียบร้อยแล้ว ….

2015-10-13 16.06.50 2015-10-13 16.07.17

เราใช้คุกกี้เพื่อพัฒนาประสิทธิภาพ และประสบการณ์ที่ดีในการใช้เว็บไซต์ของคุณ คุณสามารถศึกษารายละเอียดได้ที่ นโยบายความเป็นส่วนตัว

Privacy Preferences

คุณสามารถเลือกการตั้งค่าคุกกี้โดยเปิด/ปิด คุกกี้ในแต่ละประเภทได้ตามความต้องการ ยกเว้น คุกกี้ที่จำเป็น

Allow All
Manage Consent Preferences
  • Always Active

Save