คัมภีร์สยบแฮกเกอร์ #10

ระบบโทรกลับ (Dial-Back System)
ระบบโทรกลับเป็นระบบซอฟท์แวร์ที่ถูกเพิ่มเติมเข้าไปในการทำงานของโมเดม โดยที่เมื่อคุณติดต่อเข้าไปหาระบบคอมพิวเตอร์ผ่านโมเดม ซอฟท์แวร์นี้จะขอให้คุณป้อนข้อมูลบางอย่างเพื่อตรวจสอบว่าคุณได้รับอนุญาตให้ใช้ระบบ จากนั้นก็จะตัดการติดต่อ แล้วซอฟท์แวร์จะโทรกลับไปหาคุณเอง ระบบโทรกลับบางระบบสามารถกำหนดได้ด้วยว่าจะโทรกลับเฉพาะหมายเลขโทรศัพท์ใดบ้าง
เมื่อแฮคเกอร์มาเจอกับระบบโทรกลับ พวกเขามักจะไม่เสี่ยงที่จะเจาะเข้าไป เพราะถึงแม้ว่าจะมีทั้งชื่อและรหัสผ่านที่ถูกต้องอยู่ในมือแล้ว แฮคเกอร์ยังจะต้องบอกหมายเลขโทรศัพท์ของตนให้กับระบบด้วย ซึ่งตามปกติระบบจะบันทึกหมายเลขโทรศัพท์เหล่านี้ไว้ตลอด ดังนั้น จึงไม่เป็นการยากที่ผู้ดูแลระบบจะสืบสาวไปหาตัวผู้บุกรุกได้
จึงถือได้ว่าระบบโทรกลับเป็นเกราะป้องกันระบบที่แข็งแกร่งที่สุดในการป้องกันนักเจาะระบบผ่านทางโทรศัพท์ อย่างไรก็ตาม ระบบป้องกันนี้ของคุณควรจะมีการทำงานที่ยืดหยุ่นพอสมควร มิฉะนั้น อาจเกิดเหตุการณ์ดังตัวอย่างต่อไปนี้
[ผู้ดูแลระบบคอมพิวเตอร์ของโรงงานเล็กๆ แห่งหนึ่งเลือกที่จะสร้างซอฟท์แวร์ระบบโทรกลับด้วยตัวเอง และเนื่องจากเขาเป็นคนเดียวเท่านั้นที่มีสิทธิติดต่อกับระบบคอมพิวเตอร์ผ่านทางโทรศัพท์ เขาจึงสร้างระบบโทรกลับอย่างง่ายที่สุด คือเมื่อมีการติดต่อเข้าไปยังโมเดม ระบบจะตัดการติดต่อนั้น แล้วหมุนโทรศัพท์กลับมาที่บ้านของเขาทันที เมื่อเริ่มใช้ระบบโทรกลับนี้ไปได้ไม่นาน ผู้ดูแลระบบต้องตื่นขึ้นกลางดึกเป็นประจำ เนื่องจากเสียงโทรศัพท์ที่ดังขึ้นไม่ขาดสาย เมื่อสืบสาวไปที่ต้นเหตุแล้ว เขาจึงพบว่าระบบโทรกลับของเขานั่นเองที่คอยหมุนโทรศัพท์ปลุกเขาอยู่เรื่อย ก็เพราะมีแฮคเกอร์พยายามเจาะระบบโดยการติดต่อกับโมเดมของระบบ ทำให้ระบบโทรกลับต้องทำงานหนัก และผลที่ตามมาคือ ผู้ดูแลระบบรายนั้นมีอันไม่ต้องหลับไม่ต้องนอนไปหลายคืน]
ตัวอย่างนี้ชี้ให้เห็นว่า ระบบโทรกลับควรมีการตรวจสอบที่ละเอียดลออพอสมควร หาไม่ก็จะเกิดปัญหาขึ้นได้
ระบบโทรกลับที่ดีจะต้องมีการบันทึกทุกๆ การติดต่อที่มีเข้ามา ไม่ว่าจะเป็นรายที่ได้รับอนุญาตให้ใช้ระบบหรือไม่ได้รับอนุญาตก็ควรที่จะถูกบันทึกไว้ทั้งหมด รวมทั้งการบันทึกข้อมูลต่างๆ ที่ผู้ใช้ป้อนเข้ามาด้วย ระบบโทรกลับที่ทันสมัยบางระบบสามารถทำงานควบคู่ไปกับโมเดมที่มีความสามารถของ Caller ID ซึ่งจะรับรู้หมายเลขโทรศัพท์ของผู้โทรเข้ามา และทำการโทรกลับไปที่หมายเลขนั้นโดยอัตโนมัติ ข้อมูลต่างๆภายในระบบ Caller ID ก็ควรจะถูกบันทึกไว้เป็นหลักฐานเช่นเดียวกัน

หน้าจออันตราย
เมื่อเปรียบเทียบกันระหว่างการเข้าสู่ระบบคอมพิวเตอร์ผ่านทางโมเดมและโทรศัพท์ กับการใช้หน้าจอและแป้นพิมพ์ที่ต่ออยู่กับระบบโดยตรงแล้ว อย่างหลังจะเป็นที่ชื่นชอบของแฮคเกอร์มากกว่า ด้วยเหตุผลอย่างน้อย 2 ประการ คือหนึ่ง ถึงแม้ว่าแฮคเกอร์จะป้อนชื่อหรือรหัสผ่านผิดไป 3 ครั้งแล้ว แต่พวกเขาก็ไม่ต้องหมุนโทรศัพท์ใหม่ให้เสียเวลา และสอง แฮคเกอร์มีโอกาสที่จะจ้องมองดูบรรดาผู้ใช้ทั่วไป เพื่อรอโอกาสที่มีคนเผลอลุกออกจากที่ไปโดยไม่ได้ออกจากระบบให้เรียบร้อย แฮคเกอร์ก็จะสวมรอยเข้าไปทันที ซึ่งอาศัยเวลาเพียงชั่วพริบตา แฮคเกอร์ก็จะสามารถสร้างความเสียหายหรือทำมิดีมิร้ายต่อระบบได้
โดยหลักการแล้ว หน้าจอที่ไม่มีคนใช้ควรจะตัดผู้ใช้ออกจากระบบโดยอัตโนมัติ แต่ในทางปฏิบัตินั้นไม่ง่ายดายแค่การตั้งเวลาให้กับเชลล์หรืออะไรทำนองนี้ เพราะผู้ใช้อาจกำลังใช้บางโปรแกรมอยู่ แต่เชลล์รับรู้การทำงานของโปรแกรมนั้นน้อยมาก หรือสำหรับบางโปรแกรม เชลล์อาจจะมองว่ากำลังทำงานอยู่ตลอดเวลา ทั้งที่จริงๆ แล้ว ผู้ใช้ได้ลุกหายไปตั้งนานแล้ว กรณีเหล่านี้ทำให้เกิดการทำงานที่กลับตาลปัตรของระบบ คือระบบอาจจะระงับการทำงานของหน้าจอและแป้นพิมพ์ในขณะที่ผู้ใช้กำลังใช้งานอยู่ หรือปล่อยให้ใครก็ได้มาใช้หน้าจอและแป้นพิมพ์อย่างสบายๆ หลังจากที่ผู้ใช้ตัวจริงเสร็จสิ้นการทำงานแล้ว นอกจากนั้น บางหน้าจออาจมีโปรแกรมประเภทสกรีน เซฟเวอร์ (โปรแกรมดับหน้าจอหรือสร้างภาพเคลื่อนไหวต่างๆ เพื่อป้องกันรอยค้างบนหน้าจอ เมื่อปล่อยหน้าจอไว้ที่ภาพใดภาพหนึ่งนานเกินไป) ที่ระงับการทำงานของหน้าจอโดยอัตโนมัติเมื่อไม่มีการใช้งานตามเวลาที่กำหนด ซึ่งโปรแกรมสกรีน เซฟเวอร์อาจเป็นช่องโหว่ให้แฮคเกอร์ใช้เป็นช่องทางเข้าไปวุ่นวายในระบบได้ หากตัวโปรแกรมมีจุดบกพร่องที่แฮคเกอร์ล่วงรู้และใช้เป็นประโยชน์