คัมภีร์ สยบ hacker

คือแบบว่า post สนุกเกินไป ลืมไปเลยว่า หัวข้อกระทู้มันเกี่ยวข้องกับ section นี้ มารู้ตัวอีกที ก็ post ไปเยอะแล้ว

สำหรับคนที่ไม่รู้ว่าผมพล่ามอะไรก็ สรุปให้ฟังว่า กระทู้นี้ เป็นบทความที่ผมไป copy มาจาก pantip ซึ่ง บทความตอนที่หนึ่งให้กลับไปดูที่
http://seri.kmutt.ac.th/cs02/citec/forum/v....php?TopicID=21
แล้วตอนต่อๆ ไปก็จะมา post ต่อใน section นี้แล้วกัน
----------------------------------------------------------
การขโมยข่าวสารข้อมูล
แฮคเกอร์อาจมีเจตนาของการขโมยข่าวสารข้อมูลอยู่ที่การนำข่าวสารข้อมูลไปใช้เอง หรืออาจนำไปขายต่อให้คนอื่น หรือทำไปเพียงเพื่อพิสูจน์ว่าเขาทำได้เท่านั้น ข้อมูลบางอย่างเมื่อนำไปขายก็สามารถทำกำไรให้อย่างงาม เช่น หมายเลขบัตรเครดิตและข้อมูลเกี่ยวกับบัญชีธนาคาร ดังตัวอย่างต่อไปนี้
[พนักงาน 15 คนของบริษัทออโต้แลนด์ ซึ่งเป็นบริษัทขายรถยนต์ในเมืองสปริงฟิลด์ รัฐนิวเจอร์ซีย์ ได้ร่วมกันยักยอกเงินของบริษัทไปได้หลายล้านเหรียญ ด้วยการขโมยข้อมูลทางการเงินของบริษัท พนักงานขายได้ทำการเปลี่ยนที่อยู่ของเจ้าของบัตรเครดิตในข้อมูลที่ได้มา แล้วใช้เลขที่บัตรเครดิตเหล่านั้นไปสมัครเป็นสมาชิกบัตรเครดิตใหม่ กู้เงิน และเบิกเงินสด ทางการประมาณว่ามีผู้ตกเป็นเหยื่อของคนร้ายกลุ่มนี้ถึง 450 ราย
ทางฝ่ายบริษัทออโต้แลนด์ได้แจ้งตำรวจทันทีเมื่อตรวจพบว่ามีการแอบใช้เครื่องคอมพิวเตอร์โดยไม่ได้รับอนุญาต ก่อนหน้านั้น บริษัทเริ่มระแวงสงสัยอยู่ก่อนแล้ว เมื่อมีลูกค้าหลายรายแจ้งเข้ามาว่า พนักงานบางคนของบริษัทได้ติดต่อขอดูข้อมูลทางการเงินของลูกค้าอย่างผิดสังเกต
หลังจากการแกะรอยอยู่ 7 เดือน ทางการจึงรวบตัวเหล่าคนร้ายได้ โดยอาศัยการติดตั้งซอฟท์แวร์และกล้องวงจรปิดเพื่อจับตาดูผู้ต้องสงสัย เป็นเครื่องช่วยในการจับกุม]
ปัจจุบัน ข่าวสารข้อมูลมีค่าดั่งทองคำ ในทุกๆ วันจะมีการโอนย้ายเงินไปมาในระบบอิเลคทรอนิคส์มากยิ่งกว่าการใช้เงินที่จับต้องได้เสียอีก ระบบเครือข่ายที่ใช้โอนย้ายเงินจึงตกเป็นเป้าหมายที่แฮคเกอร์ทั้งหลายต้องการจะบุกเข้าไปอย่างหลีกเลี่ยงไม่ได้ แต่ยังดีที่ระบบเครือข่ายประเภทนี้ยังคงความแข็งแกร่งยากต่อการบุกรุกเข้าไปอยู่ แฮคเกอร์จึงจำต้องหันไปหาระบบที่มีความเข้มแข็งน้อยกว่า ซึ่งก็มีอยู่หลายทางด้วยกันในการเข้าไปให้ถึงข่าวสารข้อมูลที่มีความสำคัญทางด้านการเงิน เช่น การดักดูเลขที่บัญชีเงินฝากธนาคารและรหัสลับ แล้วหาข้อมูลส่วนตัวของเจ้าของบัญชีเพิ่มเติมอีกเล็กน้อย อาทิเช่น หมายเลขประกันสังคม นามสกุลเดิมของมารดา เป็นต้น แล้วนำข้อมูลที่รวบรวมทั้งหมดไปแอบอ้างเป็นเจ้าตัว เพื่อทำการยักย้ายถ่ายเทเงินออกจากบัญชีของเหยื่อในท้ายที่สุด
ยิ่งข้อมูลของบุคคลเข้าไปอยู่ในระบบคอมพิวเตอร์มากขึ้นเท่าใด การปกปิดความลับและข้อมูลส่วนตัวก็จะยิ่งเป็นไปได้ยากมากขึ้นเท่านั้น กระนั้น เราก็ต้องพยายามทุกวิถีทาง เพื่อป้องกันมิให้ความเป็นส่วนตัวของบุคคลถูกล่วงละเมิด เพราะสิทธิส่วนบุคคลของใครก็ตาม ย่อมเป็นสิ่งมีค่าที่ต้องถนอมไว้ให้ได้มากที่สุด

การขโมยใช้อุปกรณ์
นอกจากการลักขโมยโดยการยกฮาร์ดแวร์ไปอย่างเห็นๆแล้ว การเข้าใช้งานอุปกรณ์ทางคอมพิวเตอร์ เช่น ซีพียู ดิสค์ หน่วยความจำ ระบบเครือข่าย และเวลาของเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต ก็ถือว่าเข้าข่ายขโมยในกรณีนี้เช่นเดียวกัน รวมไปถึงการแอบใช้โทรศัพท์ของบริษัทเพื่อโทรศัพท์ทางไกลผ่านโมเดมด้วย
[พนักงานเกือบ 100 คนของห้องทดลองแปซิฟิค นอร์ธเวสท์ ถูกจับได้ว่าใช้อุปกรณ์คอมพิวเตอร์ของห้องทดลองไปในการเข้าเว็บไซต์ที่ให้บริการทางเพศในอินเทอร์เน็ตในระหว่างเวลาทำงาน ผลปรากฏว่าพนักงาน 21 คนถูกพักงาน ที่เหลือถูกตักเตือน ในบรรดาพนักงานที่ทำผิดมีทั้งผู้ชายและผู้หญิง ซึ่งทำงานอยู่ในระดับต่างๆ ในห้องทดลอง]
การพิสูจน์หลักฐานของการขโมยประเภทนี้มักเป็นไปได้ยาก และมีหลายครั้งหลายคราวที่ศาลไม่อาจเอาผิดกับแฮคเกอร์ได้ เพราะไม่สามารถคิดคำนวณความเสียหายที่เกิดขึ้น หนึ่งในข้อแก้ตัวที่แฮคเกอร์ชอบนำมาอ้าง ก็คือเขาเพียงแต่ใช้อุปกรณ์ในช่วงเวลาที่ไม่มีคนใช้เท่านั้น ดังนั้น จึงไม่น่าจะถือว่าเป็นการขโมย เพราะว่าไม่มีผู้สูญเสียสิ่งใดสิ่งหนึ่งไปแม้แต่น้อย

การกีดกันผู้อื่น
ความผิดประเภทนี้อาจเป็นผลมาจากการขโมยใช้อุปกรณ์อย่างที่เพิ่งกล่าวมา ซึ่งมากผิดปกติจนผู้ใช้ระบบคนอื่นๆ เกิดความไม่สะดวกในการใช้ระบบเดียวกัน หรืออาจเกิดจากความตั้งใจที่จะกีดกันผู้อื่นโดยตรง ไม่ว่าจะเป็นการตัดชื่อผู้ใช้ทั้งหมดออกจากระบบ การเปลี่ยนรหัสผ่าน การตัดการติดต่อระหว่างระบบคอมพิวเตอร์ศูนย์กลางกับเครื่องของผู้ใช้คนอื่น รวมถึงการปิดระบบด้วย
[นักวิเคราะห์การเงินคนหนึ่งที่ทำงานให้กับมณฑลโคลัมเบียเกิดไม่พอใจการจัดสรรงบประมาณของมณฑล พอดีกับที่เขาได้รับสิทธิในการใช้ฐานข้อมูลเกี่ยวกับการเงินและการลงทุนอยู่ เขาจึงทำการเปลี่ยนรหัสผ่านของระบบคอมพิวเตอร์ที่เก็บฐานข้อมูล แล้วจัดการ"ลืม"รหัสผ่านใหม่โดยทันที การกระทำเช่นนี้ ทำให้มณฑลไม่สามารถนำงบประมาณไปใช้ตามแผนการที่วางไว้ได้ แต่นักวิเคราะห์รายนี้ยังไม่วายเล่นตลก โดยเขาได้ท้าให้ทุกคนเข้า"แข่งขันเดารหัสผ่าน" ซึ่งเขาจะบอกใบ้เกี่ยวกับรหัสผ่านนั้นให้วันละนิดละหน่อย ผู้เกี่ยวข้องต้องใช้เวลาหนึ่งสัปดาห์กว่าจะทำให้ระบบกลับทำงานได้ตามปกติ ท้ายที่สุด นักวิเคราะห์คนนั้นถูกไล่ออก]
โดยทั่วไป บริษัทมักตั้งคำถามว่า "บริษัทจะดำเนินธุรกิจต่อไปได้หรือไม่ หากระบบคอมพิวเตอร์เกิดใช้การไม่ได้ขึ้นมา ? " และ "ความสูญเสียทางด้านธุรกิจและตัวเงินจะมากน้อยขนาดไหน หากระบบคอมพิวเตอร์ถูกทำลายลง ? " เพื่อประกอบการประมาณความเสียหายของระบบคอมพิวเตอร์ในกรณีที่ต้องประสบกับเหตุการณ์น้ำท่วมหรือไฟไหม้ แต่มาถึงทุกวันนี้ คุณก็ควรรวมกรณีของความเสียหายที่เกิดจากการกระทำของแฮคเกอร์เข้าไปในแผนฉุกเฉินของระบบคอมพิวเตอร์ของคุณด้วย

การสร้างความรำคาญ
การกระทำอันมิชอบผ่านทางระบบคอมพิวเตอร์หลายต่อหลายอย่างเข้าข่ายความผิดประเภทนี้ นับตั้งแต่การก่อให้เกิดความรำคาญเล็กๆ น้อยๆ ไปจนถึงการก่อเรื่องร้ายแรงถึงขั้นคอขาดบาดตาย ปัจจุบันมีการใช้คอมพิวเตอร์มาควบคุมดูแลการทำงานของเครื่องมือเครื่องใช้ต่างๆ มากมาย ยกตัวอย่างเช่น เครื่องจักรขนาดใหญ่ในโรงงาน, ระบบช่วยชีวิตผู้ป่วยในโรงพยาบาล เป็นต้น ดังนั้น จึงเป็นไปได้ว่าเรื่องล้อเล่นนิดเดียวอาจลุกลามกลายเป็นเรื่องใหญ่โตไปได้
[นักศึกษาคนหนึ่งลุกจากหน้าจอคอมพิวเตอร์ของเขาโดยไม่ได้ออกจากระบบให้เรียบร้อย จึงมีใครคนหนึ่งแอบเข้ามาใช้คอมพิวเตอร์ของเขาส่งอีเมลล์ขู่เอาชีวิตประธานาธิบดีของสหรัฐอเมริกา ดูเหมือนเป็นเรื่องล้อเล่น แต่หน่วยสืบราชการลับไม่เห็นเป็นเรื่องตลก และได้มาถึงที่มหาวิทยาลัยเพื่อสอบสวนผู้ที่มีชื่อในอีเมลล์ว่าเป็นผู้ส่งอีเมลล์นั้น แต่ทางผู้ดูแลระบบคอมพิวเตอร์ของมหาวิทยาลัยยืนยันในความบริสุทธิ์ของนักศึกษา เพราะจากการตรวจสอบบันทึกการทำงานของระบบ พบว่าไม่มีการทำงานใดๆ ที่คอมพิวเตอร์เครื่องนั้นอยู่นาน จนกระทั่งอีเมลล์ถูกส่งออกไป และภายหลังจากนั้น ก็ไม่มีการทำงานใดๆ ที่คอมพิวเตอร์เครื่องนั้นอีกนานเช่นกัน ข้อเท็จจริงอีกประการหนึ่งคือ โปรแกรมส่งอีเมลล์ที่ใช้ส่งก็ไม่ใช่โปรแกรมที่นักศึกษาคนนั้นใช้อยู่เป็นประจำด้วย หลักฐานเหล่านี้เป็นเครื่องยืนยันว่า มีผู้ประสงค์ร้ายแอบมาส่งอีเมลล์ในขณะที่เจ้าของเครื่องตัวจริงผละจากหน้าจอไปทำธุระที่อื่น หน่วยสืบราชการลับยอมรับในเหตุผลและยังคงควานหาตัวผู้ส่งอีเมลล์นั้นต่อไป]

การก่อการร้าย
หมายถึงปฏิบัติการของผู้ก่อการร้ายที่มุ่งทำลายข้อมูลและระบบคอมพิวเตอร์ เรื่องนี้กำลังเป็นที่สนใจอย่างกว้างขวาง เพราะเป็นเรื่องที่เร้าใจและกระตุ้นจินตนาการได้พอๆ กับนิยายวิทยาศาสตร์เลยทีเดียว หลายคนคาดคะเนระดับความเสียหายไปต่างๆ นานา ซึ่งเป็นไปตามความเป็นจริงที่ว่า ยิ่งคอมพิวเตอร์เข้ามาเกี่ยวข้องกับกิจกรรมต่างๆ ในชีวิตมนุษย์มากเท่าใด การก่อการร้ายผ่านระบบคอมพิวเตอร์ก็ยิ่งมีมากขึ้นเท่านั้น
[ดูเหมือนว่าวงการธุรกิจและรัฐบาลของสหรัฐอเมริกายังไม่ตระหนักถึงความเปราะบางของระบบที่เรามีอยู่ เมื่อเปรียบเทียบกับทุกๆ ประเทศในโลกแล้ว เรา (สหรัฐ) เป็นประเทศที่พึ่งพาระบบอิเลคทรอนิคส์มากที่สุด เดี๋ยวนี้ เราไม่ได้มีแต่ศัตรูที่ทำอะไรโง่ๆ ประเภทที่เช่ารถบรรทุกเพื่อขนลูกระเบิดแล้วขับเข้าไปในเวิลด์เทรด เซ็นเตอร์เพียงอย่างเดียวเท่านั้น แต่ฝ่ายตรงข้ามของเรากำลังเก่งกาจขึ้นทุกวันๆ
เราได้รับรู้คำกล่าวของอดีตเจ้าหน้าที่ข่าวกรองอาวุโสท่านหนึ่งที่ว่า "ผมขอเงิน 1 พันล้านเหรียญกับคนอีก 20 คน แล้วผมจะทำอเมริกาให้เป็นอัมพาตทั้งประเทศ ผมจะหยุดการทำงานของระบบการเงินและตู้เอทีเอ็มทั้งหมด ผมจะปั่นคอมพิวเตอร์ทุกเครื่องในประเทศนี้ให้กระเจิง" นั่นทำให้ผมมั่นใจยิ่งขึ้นว่า เรากำลังจะต้องเผชิญกับการก่อการร้ายกับข้อมูลและระบบคอมพิวเตอร์ ซึ่งผู้กระทำไม่ใช่เป็นเพียงแฮคเกอร์ระดับมือสมัครเล่น แต่เป็นประเทศฝ่ายตรงข้ามหรือกลุ่มอาชญากรที่มีการปฏิบัติการอย่างเป็นระบบและมีประสิทธิภาพสูง
--อัลวิน ทอฟเฟลอร์]
ปัจจุบัน ยังไม่มีการบ่อนทำลายข้อมูลและระบบคอมพิวเตอร์ให้เห็นอย่างเด่นชัด เพียงแต่มีเค้าเท่านั้น เช่นในปี 1988 หน่วยงานราชการและมหาวิทยาลัยหลายแห่งในประเทศอิสราเอลได้ตรวจพบระเบิดเวลาซอฟท์แวร์ในระบบคอมพิวเตอร์ของตน เวลาที่ตั้งไว้ให้สร้างความเสียหายนั้นตรงกับเวลาที่มีกำหนดในไวรัส "อิสราเอล" ซึ่งเป็นไวรัสในเครื่องคอมพิวเตอร์พีซีพอดี ท้ายที่สุด ทั้งไวรัสและระเบิดเวลาก็ไม่สามารถแผลงฤทธิ์ในเวลาที่กำหนด เนื่องจากมีการถอดชนวนก่อน ไม่มีกลุ่มผู้ก่อการร้ายใดออกมาอ้างความรับผิดชอบในเหตุการณ์นี้ และเมื่อพิจารณาดูแล้ว การกระทำนี้ก็ยังไม่ถึงขั้นเป็นการก่อการร้ายเท่าใดนัก

---รู้จักความเสี่ยง---
จริงอยู่ที่สื่อมวลชนมักประโคมข่าวการบุกรุกเข้าสู่ระบบคอมพิวเตอร์ต่างๆ อย่างครึกโครม แต่แทบทุกคนในวงการคอมพิวเตอร์ต่างรู้ดีว่า ข่าวครึกโครมเหล่านั้นเป็นเพียงส่วนน้อยนิดของเหตุการณ์ที่เกิดขึ้นจริงทั้งหมดซึ่งเกิดขึ้นไม่เว้นแต่ละวัน
มีข้อที่น่าสังเกตคือ ถ้าหากมีโจรบุกเข้าปล้นธนาคารด้วยอาวุธปืน ผู้ร้ายรายนั้นก็จะถูกตามล่าตามล้างไปจนสุดหล้าจนกว่าจะถูกจับกุมตัวได้ แต่ถ้าเปลี่ยนอุปกรณ์ที่ใช้ในการปล้นมาเป็นคอมพิวเตอร์แล้ว นอกจากจะไม่เกิดอะไรขึ้นกับตัวคนร้ายแล้ว ทางธนาคารอาจจะไม่ยอมรับว่าเกิดการปล้นขึ้นด้วยซ้ำ เพราะห่วงเรื่องชื่อเสียงที่อาจเสื่อมเสียไป ต่อไปนี้เป็นตัวเลขสถิติที่สนับสนุนข้อสังเกตนี้
โดยเฉลี่ย คนร้ายที่บุกเข้าปล้นธนาคารจะปล้นเงินไปได้ประมาณ 2,500 ถึง 7,500 เหรียญต่อครั้ง เพื่อแลกกับความเสี่ยงถูกยิงตาย ตามสถิติของการปล้นธนาคารโดยใช้อาวุธ ทางการจับคนร้ายได้ประมาณ 50-60 เปอร์เซ็นท์ของคนร้ายทั้งหมดที่ก่อเหตุ 80 เปอร์เซ็นท์ของคนร้ายที่จับได้ถูกตัดสินลงโทษจำคุก 5 ปีโดยเฉลี่ย ในขณะที่การปล้นธนาคารในรูปของอาชญากรรมคอมพิวเตอร์จะฉกเงินไปได้คราวละประมาณ 50,000 ถึง 500,000 เหรียญโดยไม่ต้องเสี่ยงกับลูกกระสุนแม้แต่นัดเดียว มีเพียง 10 เปอร์เซ็นท์ของการปล้นทางคอมพิวเตอร์ที่สามารถสาวไปถึงตัวคนร้ายได้ และในบรรดาคนร้ายเหล่านั้น มีเพียง 15 เปอร์เซ็นท์ที่ถูกส่งดำเนินคดี แต่ไม่ใช่ทั้งหมดที่ถูกลงโทษ เพราะมีถึง 50 เปอร์เซ็นท์ที่ถูกปล่อยตัวไป เพราะขาดพยานหลักฐานที่แน่นหนา หรือไม่ก็ด้วยเหตุผลที่เจ้าทุกข์ไม่อยากตกเป็นข่าว เหลืออยู่เพียง 50 เปอร์เซ็นท์ที่ถูกลงโทษด้วยบทลงโทษ 5 ปีโดยเฉลี่ย
แต่ปัจจุบันกำลังมีการแก้ไขกฎหมายเกี่ยวกับเรื่องนี้อยู่ รวมไปถึงบทลงโทษที่จะรุนแรงขึ้นด้วย
การดำเนินคดีกับผู้กระทำผิดในข้อหาอาชญากรรมคอมพิวเตอร์ควรจะมีมากกว่าที่เป็นอยู่ในปัจจุบัน จากตัวเลขสถิติข้างบนแสดงให้เห็นชัดแล้วว่า ผู้กระทำผิดมักไม่ถูกลงโทษ ทำให้คนร้ายไม่รู้สึกเกรงกลัวกฏหมายแต่อย่างใด ดังนั้น การฟ้องร้องและการทำให้คดีปรากฏต่อสาธารณชนจึงเป็นหนทางที่จะช่วยให้อาชญากรรมคอมพิวเตอร์ลดน้อยลงได้ อย่างน้อยที่สุด ผู้ที่กำลังจะลงมือคงต้องคิดหนักขึ้นก่อนที่จะทำอะไรลงไป
เมื่อมีเหตุการณ์บุกรุกระบบคอมพิวเตอร์เกิดขึ้น คุณในฐานะผู้ดูแลระบบ ผู้รักษาความปลอดภัยระบบ หรือพนักงานของบริษัท จะถูกดึงเข้าไปมีส่วนร่วมในคดีความทันทีอย่างหลีกเลี่ยงไม่ได้ ทุกวันนี้ พนักงานของบริษัทจะต้องแบกรับความรับผิดชอบต่อข้อมูลของบริษัทมากขึ้น ทั้งในด้านความถูกต้อง ความลับ และการเรียกดูได้ของข้อมูล ถ้าคุณไม่สามารถปกป้องข้อมูลที่คุณรับผิดชอบอยู่ได้ดีพอ คุณเองนั่นแหละที่จะมีปัญหาในทางกฏหมาย
การล่วงละเมิดทางกฏหมายที่เกี่ยวข้องกับข้อมูลคอมพิวเตอร์มีอยู่ 3 ประการคือ การละเมิดกฏหมายทั่วไป(เรื่องเกี่ยวกับทางการ) การละเมิดกฏหมายเกี่ยวกับการดูแลรักษาทรัพย์สิน(เรื่องเกี่ยวกับผู้ถือหุ้นของบริษัท) และการละเมิดสิทธิส่วนบุคคล(เรื่องภายในบริษัท) คุณสามารถลดความเสี่ยงต่อการละเมิดกฏหมายทั้งสามประการนี้ได้ ด้วยการมีแนวทางและข้อปฎิบัติต่อข้อมูลอย่างถูกต้อง ซึ่งครอบคลุมทั้งในเรื่องของการป้องกันการใช้ซอฟท์แวร์เถื่อน การใช้ซอฟท์แวร์ลิขสิทธิ์อย่างถูกต้อง การวางแผนรองรับความเสียหายโดยเฉพาะความเสียหายในด้านความปลอดภัยของข้อมูลซึ่งเป็นสาเหตุสำคัญที่สุดที่ทำให้ข้อมูลใช้การไม่ได้ รวมไปถึงข้อปฏิบัติสำหรับพนักงานทั่วไปของบริษัทด้วย ได้แก่ กฏการใช้อุปกรณ์คอมพิวเตอร์ของบริษัท การควบคุมการใช้อีเมลล์ และการเก็บรายละเอียดเกี่ยวกับการใช้ระบบของพนักงานทุกคน แนวทางและข้อปฏิบัติเหล่านี้ ควรมีการนำมาใช้อย่างแข็งขันและต่อเนื่องในบริษัท