Blog

 

ลองใช้ Surface 2 และเทียบกับ Surface RT

by

เป็นการลองใช้ตัวเป็นๆ ตามที่สัญญาไว้จากเดือนก่อนโน้นในตอน หลังจาก Microsoft Surface 2 แล้วไงต่อ? โดยแน่นอนว่าในตอนนี้จะมาเจาะลึกตัว Surface 2 กันในเชิงฮาร์ดแวร์ต่างๆ เป็นหลัก เพราะในส่วนของซอฟต์แวร์คงพูดท้ายๆ เนื่องจากการใช้งานจริงๆ ไม่ได้แตกต่างจาก Surface RT มากนัก เพราะเป็น Windows RT 8.1 update เหมือนกันทั้งหมด โดยผมได้อัพเกรดเป็น Windows RT 8.1 update ตัวล่าสุดแล้วทั้ง Surface RT และ Surface 2 และใช้ Microsoft Account พร้อมปรับแต่งซอฟต์แวร์ให้พอคล้ายๆ กันตามแต่จะทำได้

ซึ่งในตอนนี้จะมีการเล่าถึงประสบการณ์ในการใช้งานคีย์บอร์ดทั้ง Type Cover 2, Touch Cover และ Touch Cover 2 ซึ่งคิดว่าน่าจะเป็นตัวที่เหมาะสมต่อการใช้งานร่วมกับ Surface ได้ แต่เสียดายผมไม่มี Type Cover ตัวแรกมาเทียบกับ Type Cover 2

2

Read more

 

เว็บศูนย์เตือนภัยพิบัติแห่งชาติของไทยควรปรับปรุงอย่างเร่งด่วน!!!

by

เมื่อวานเว็บศูนย์เตือนภัยพิบัติแห่งชาติเกิดล่ม และการเข้าถึงหน้าหน้ารายงานแผ่นดินไหวเกิด Error 404 เหมือนข้อมูลจะเสียหาย หรืออะไรสักอย่างผมไม่แน่ใจตอนเข้า

เมื่อมาเช็คในช่วงเที่ยงของวันนี้ในหน้าเดิม หน้ารายงานแผ่นดินไหว เพิ่งมี 2 รายงาน แต่แน่นอนมันแปลกๆ ผมเลยเช็ค จาก archive.org ที่ https://web.archive.org/web/*/http://www.ndwc.go.th/web/index.php?option=com_content&view=category&id=41&Itemid=175 เหมือนจะมีรายงานเก่าๆ อยู่ แต่ดูแล้วจะหยุดอยู่ช่วงเดือนตุลาคม 2556 ที่ผ่านมา (รายงานอื่นๆ พวกน้ำท่วม ก็หยุดอยู่ช่วงพฤศจิกายน 2556)

2014-05-06_141311แน่นอน โอเค อาจจะมีข้อผิดพลาดอะไรบ้าง แต่สิ่งที่น่าสนใจคือเว็บศูนย์เตือนภัยพิบัติแห่งชาติของไทยมีรายงาน 2 ฉบับ แถมอัพวันนี้ และข้อมูลไม่อัพเดทล่าสุด เพราะเหมือนผมเช็คข่าวแล้วพบว่ามี after shock อยู่หลายครั้ง กลับไม่มีรายงานเลย

ผมเลยเข้าไปดู USGS เผื่อเช็ค ทาง USGS โผล่รายงานมา 5 รายงานแถมรายงานตามเวลาจริง ข้อมูลครบ เสียด้วย (ดูได้ที่ http://on.doi.gov/1seOuhl)

2014-05-06_142016โอเคว่า แผ่นดินไหวมันแจ้งเดือนล่วงหน้าไม่ได้ แต่แน่นอนว่าหลังจากเกิดเหตุแล้วความเร็วในการสรุปเพื่อแจ้งข้อมูลสู่ประชาชนทุกช่องทางที่ตนมีอยู่ เพื่อนำไปสู่การประสานหน่วยงานต่างๆ แล้วลงพื้นที่ช่วยเหลือต่างหากที่ช้า ซึ่งเว็บศูนย์เตือนภัยพิบัติแห่งชาติเป็นช่องทางหนึ่งที่ประชาชนทั่วไปสามารถเข้าถึงได้อย่างรวดเร็วกลับไม่มีข้อมูลที่ชัดเจน ทันต่อเหตุการณ์ และรวดเร็วมากพอ ก็หวังว่าจะปรับปรุงให้ดี รวมไปถึงเข้าถึงได้อย่างมีเสถียรภาพกว่านี้ในเวลาที่จำเป็นจริงๆ

 

 

บัตรเชิญระบุ private ควรระวังก่อนเผยแพร่

by

บัตรเชิญถ้าระบุว่า private ถ้าเป็นงานที่คนสนใจมากๆ แล้วมีข่าวออกมา คนนำเสนอข่าวมักจะไม่นิยมเผยแพร่ข้อมูลเต็มทั้งหมด (อย่างมากก็แค่วัน ส่วนสถานที่ และเวลามักไม่ระบุ) เพราะถือเป็นมารยาทสื่อครับ บางงาน บัตรเชิญถือเป็น confidential information ซึ่งเหมือนข่าวที่ได้มาจากเอกสารหลุดที่ระบุ confidential โดยมักจะไม่โพสหรือนำเสนอฉบับเต็มๆ ให้อ่าน แต่มักจะสรุปๆ มาเป็นข่าวลือ ข่าวหลุด หรือถ้าจะโพสก็มักจะโพสแต่หน้าเอกสารหน้าแรกที่ไม่มีใจความสำคัญครับ เพราะอาจโดนฟ้องได้เพราะเป็นเอกสารภายในซึ่งถือเป็นความลับทางการค้าครับ

เราๆ คนไทยอาจจะเฉยๆ แต่เมืองนอกซีเรียสมาก ตัวอย่างง่ายๆ อย่างตอนเปิดตัว iOS 7 และใน Apple Developer Account สามารถเข้าถึงเอกสาร iOS 7 ต่างๆ ได้ก่อนผู้ใช้งานทั่วไป โดยมีข้อมูลว่าจะมีการเปลี่ยนแปลงอะไรบ้าง เอาเข้าจริงๆ ถ้าเข้าไปอ่านข้อมูลในนั้น แล้วเอามาเผยแพร่สู่คนทั่วไป ก็ถือว่าผิด NDA และ confidential information เหมือนกัน

ปล. ผมก็พลาดบ่อยๆ ต้องย้อนกลับมาแก้ไขเหมือนกันครับ

 

บั๊ก Heartbleed และความใส่ใจต่อการใช้ TLS/SSL ในเว็บคนไทย

by

ว่ากันตามจริง เว็บคนไทยส่วนใหญ่ไม่ได้รับผลกระทบจากบั๊ก Heartbleed กันเสียเท่าไหร่นัก เพราะ “ส่วนใหญ่ไม่ใช้ TLS/SSL” ซึ่งแม้แต่เว็บอันดับต้นๆ ของไทยเท่าที่ตรวจสอบก็ไม่ได้ใช้แม้จะมีการรับ-ส่งข้อมูลสำคัญเช่น ชื่อสมาชิก และรหัสผ่าน อย่าเป็นเรื่องปรกติ

ในความคิดเห็นส่วนตัวแล้วอยากให้มีการออกประกาศ เพื่อสร้างความใส่ใจต่อการคุ้มครองข้อมูลส่วนตัวว่า “เว็บไทยที่มีการรับข้อมูลที่สำคัญ จำพวกชื่อสมาชิก และรหัสผ่าน ควรใช้ TLS/SSL ในการติอต่อสื่อสารข้อมูลอย่างยิ่ง” เพราะเว็บคนไทยเราน้อยมากที่จะใช้ TLS/SSL ซึ่งหากเว็บที่ไม่ได้ใช้ TLS/SSL ในขั้นตอนการรับ-ส่งข้อมูลสำคัญเหล่านั้นเป็นปัญหาที่หนักหนาสาหัสกว่าบั๊กของ Heartbleed มากนัก เพราะปัญหาบั๊ก Heartbleed นั้นตั้งถูกตั้งบนสมมติฐานว่า private key อาจจะถูกขโมยไป ทำให้การดักฟังข้อมูลระหว่างเว็บและสมาชิกที่สื่อสารบน TLS/SSL ถูกดักฟังได้จากการใช้ private key ที่ถูกขโมยไปนำมาถอดรหัสเพื่อดักฟัง แต่เว็บที่ไม่มี TLS/SSL เพื่อบริการให้กับสมาชิกโดยป้องกันการถูกดักฟังนั้น คนดักฟังไม่ต้องสนใจว่าจะหาอะไรมาถอดรหัสออดแต่อย่างใด เพราะข้อมูลที่สื่อสารไปมานั้นมันเปลื่อยโล่งทั้งหมด ใครดักฟังก็เห็นได้ทันที และมันเป็นปัญหาที่ใหญ่กว่ามาก

ฉะนั้นใครใช้งานเว็บคนไทยที่ไม่ได้ใช้การติดต่อบน TLS/SSL เพื่อใช้ในการเข้ระบบ ควรใช้รหัสผ่านแยกจากบริการสำคัญอื่นๆ ทุกบริการ เพื่อความปลอดภัยสูงสุด!!!

หมายเหตุเพิ่มเติม: Heartbleed เป็นบั๊กที่เป็นข้อผิดพลาดของซอฟต์แวร์สำหรับการติดต่อสื่อสารที่ชื่อ OpenSSL ซึ่งเป็นเพียงซอฟต์แวร์ยอดนิยมสูงมากตัวหนึ่งในกลุ่มใช้ open souce software ที่ใช้เป็นมาตรฐานสำหรับการติดต่อสื่อสารแบบ TLS/SSL ซึ่งมีผลกระทบต่อระบบที่ใช้งาน TLS/SSL เป็นวงกว้างมาก แต่กระนั้นในตลาดก็ยังมีซอฟต์แวรเข้ารหัสในรูปแบบเดียวกันตัวอื่นๆ ที่ไม่ได้รับผลกระทบเช่นระบบ IIS ของ Microsoft (ที่ธนาคารไทยส่วนใหญ่ใช้) หรือซอฟต์แวร์เข้ารหัสการสื่อสารตัวอื่นๆ ที่ไม่ได้ใช้ OpenSSL เป็นตัวเข้ารหัสการติดต่อสื่อสารด้วย TLS/SSL

 

ต่อไปรหัสผ่านอาจจะไม่จำเป็นสำหรับทุกๆ เว็บ

by

เรื่องรหัสผ่านนั้น มาในระยะหลังๆ ก็พบว่า บ้างเว็บก็เก็บรักษารหัสผ่านเราอย่างดี บ้างก็เก็บไว้ห่วยๆ นั้นยังไม่เท่าไหร่ (โดยเฉพาะเว็บของคนไทยหลายๆ เว็บ) แต่จากปัญหา Hearbleed ถึงแม้เว็บจะเก็บรหัสผ่านเราดีเพียงใด แต่ก็มีช่องโหว่ได้เช่นกัน ทำให้การให้เว็บต่างๆ เก็บรหัสผ่านเพื่อยืนยันการเข้าใช้ระบบต่างๆ นั้นเริ่มรู้สึกว่ามันจำเป็นน้อยลง เรื่อยๆ

ผมจึงมีแนวคิดที่เพิ่งคิดได้ว่าต่อไปทำเว็บอาจจะไม่จำเป็นต้องใช้รหัสผ่านแล้ว ใช้การเข้าระบบคล้ายๆ forgot password และมี activate link แทน หรือส่งเป็น OTP ผ่านมือถือแทนโดยใช้ลักษณะเป็นรายครั้ง โดยในส่วนของ OTP ผ่าน SMS นั้นแน่นอนว่าต้องขึ้นอยู่กับบริการแหละว่าแบบไหนควรใช้หรือไม่ควรใช้ ใช้อีเมลเป็นหลัก ส่วนบริการไหนมันซีเรียสมากๆ หรือลูกค้าที่จ่ายเงินใช้บริการ ก็คิดเป็นต้นทุนไป

ส่วนการเชื่อมต่อระหว่างแอพต่างๆ ใช้แนวคิด OAuth 2.0 แทน น่าจะปลอดภัยกว่ามากจากการไม่ต้องจดจำรหัสผ่านมากมายและแตกต่างกันในหลายๆ เว็บ ใช้การเข้าระบบผ่านช่องทางอีเมล หรือส่งรหัสผ่านเข้ามือถือเป็นหลักก็น่าจะเพียงพอและปลอดภัยขึ้น