เทคโนโลยีทางด้านสารสนเทศได้เข้ามากลายเป็นส่วนหนึ่งของชีวิตประจำวันของเราอย่างรวดเร็ว นอกจากจะเข้ามาช่วยอำนวยความสะดวกให้กับการทำงานในหลาย ๆ ด้านแล้ว ช่วยให้เราเข้าถึงแหล่งความรู้ที่มีอยู่มากมายจากหลาย ๆ ที่ทั่วโลก หรือช่วยให้เราสามารถติดต่อสื่อสารข้ามโลกได้ผ่านจอคอมพิวเตอร์ รวมทั้ง ในบางครั้งเรายังสามารถที่จะทำธุรกรรมทางการเงินได้อย่างรวดเร็ว โดยไม่ต้องเสียเวลาไปที่ธนาคาร เพื่อเข้าคิวรอเหมือนอย่างในอดีต เหล่านี้คือ ความสะดวกสบายที่เราได้รับ เมื่อความนิยมทางด้านเทคโนโลยีสารสนเทศแพร่หลายอย่างมาก และเราก็ยอมรับให้ความสะดวกสบายเหล่านี้ กลายมาเป็นส่วนหนึ่งของชีวิตประจำวันของเรา
แต่สิ่งที่ตามมาก็คือ เมื่อการมาถึงของความสะดวกสบาย จะแอบแฝงไว้ด้วยอาชญากรรมทางด้านอิเล็กทรอนิกส์ ที่เกิดขึ้น คู่ขนานไปกับความก้าวหน้าทางเทคโนโลยี ยิ่งเราพึ่งพาอิเล็กทรอนิกส์มากเท่าไหร่ พัฒนาการในการโจรกรรมข้อมูลทางด้านอิเล็กทรอนิกส์ ก็ยิ่งทวีความรุนแรงและก้าวหน้ามากเท่านั้น อาชญากรจะแฝงตัวและสวมรอยเป็นเหยื่อเพื่อเข้าถึงข้อมูลหรือก่อความเสียหายใด ๆ ก็ได้ โดยที่เหยื่อไม่มีทางรู้ตัว หรือ รู้ตัวเมื่อปัญหาบานปลายไปมากแล้ว สิ่งที่เราเลี่ยงไม่ได้เลย คือ การป้องกันตัวเองในเบื้องต้น โดยจะต้องเกี่ยวข้องกับระบบการระบุตัวตนของเราให้ชัดเจน ซึ่งการระบุตัวตนนี้ จะเป็นสิ่งที่บ่งบอกถึงระดับของสิทธิ์ในการเข้าถึงข้อมูลที่เรากำลังทำงานด้วย ระบบการระบุตัวนี้ ประกอบด้วย 3 สิ่ง คือ
- Account คือ ชื่อ username และ password ของผู้ใช้
- Authentication คือ การระบุว่าตัวตนของเราว่า เราเป็นใครในระบบที่เราเกี่ยวข้องอยู่
- Authorize คือ กำหนดระดับของสิทธิ์ในการเข้าถึงข้อมูลของระบบหรือบ่งบอกว่า เรามีสิทธิ์ทำอะไรกับระบบได้บ้าง
3 สิ่งที่กล่าวมาในข้างต้น การ authentication และการ authorization เป็นส่วนที่ผู้ดูแลระบบจะเป็นดำเนินการแทนผู้ใช้ แต่ในส่วนของ account นั้น ผู้ใช้อาจเป็นผู้กำหนดได้ทั้ง username และในส่วนของ password ในส่วนของ username มักจะเป็นส่วนที่ไม่เป็นความลับนัก บางครั้งจะสามารถเปิดเผยได้ ส่วน password จะเป็นส่วนที่มีผลทางด้านความปลอดภัยมากที่สุด เนื่องจาก หากผู้ไม่ประสงค์ดีล่วงรู้ username ของผู้ใช้ได้อย่างถูกต้อง แต่ password ผิด ก็จะทำให้การระบุตัวตนนั้นล้มเหลวได้ และไม่สามารถเข้าถึงข้อมูลส่วนตัวของผู้ใช้ได้
การตั้ง password ที่ยาก จึงเป็นเรื่องสำคัญ ที่จะช่วยให้เราปลอดภัยมากยิ่งขึ้น โดยเฉพาะ เมื่อต้องใช้งานระบบที่เป็นสาธารณะ อย่างเช่น อีเมล์ฟรีในอินเตอร์เน็ต หรือการใช้ instant message เป็นต้น บริษัท Microsoft ได้เผยแพร่เอกสารที่น่าสนใจฉบับหนึ่งในนั้น ซึ่งมีหัวข้อว่า “Strong Password” ซึ่งได้ให้คำอธิบายเกี่ยวกับการตั้ง password พอสรุปใจความได้ว่า
“password นั้น จะเป็นด่านแรกที่ป้องกันการเข้าถึงข้อมูลภายในองค์กรโดยไม่ได้รับอนุญาต”
“การตั้ง password ที่ไม่ดี จะทำให้ผู้ที่โจมตี สามารถเข้าสู่ระบบคอมพิวเตอร์และเครือข่ายได้โดยง่าย ในขณะที่การตั้ง password ที่ดีพอ จะยากต่อการแกะรอยแม้จะใช้ซอฟต์แวร์เพื่อการแกะ password ที่มีการพัฒนาอย่างต่อเนื่องและมีประสิทธิ์ภาพสูงขึ้นก็ตาม หรืออาจต้องใช้เวลานานมาก”
แล้วอะไรบ้าง ที่เข้าข่ายการตั้ง password ที่ไม่ดี? เราพิจารณาได้จาก..
- ไม่มี password เลย หากระบบใดที่อนุญาตให้เรามี account ที่ไม่มี password ได้ ระบบนั้นก็อาจถูกแกะรอยเพื่อเข้าถึงข้อมูลโดยผู้ไม่ประสงค์ดีไม่จำเป็นต้องใช้ความพยายามแต่ประการใด
- ใช้คำต่อไปนี้ เป็น password
- ชื่อจริง หรือ นามสกุลจริง ที่คนทั่วไปทราบดีอยู่แล้ว
- ใช้ชื่อของสิ่งที่อยู่ใกล้ตัวผู้ใช้ เช่น ชื่อหน่วยงาน ชื่อคนรู้จักของผู้ใช้ ยี่ห้อรถยนต์ ยี่ห้อคอมพิวเตอร์ หรือคำที่หาได้รอบโต๊ะทำงานของผู้ใช้ เป็นต้น
- ใช้วันเดือนปีเกิดของผู้ใช้ ซึ่งหากนำมาเรียงต่อกันจะได้ 8 หลัก
- ใช้หมายเลขโทรศัพท์ที่มีความเกี่ยวข้องกับผู้ใช้
- ใช้คำที่มีความหมายและหาได้ในพจนานุกรม
- ใช้ตัวเลขที่เป็นอนุกรมกัน เช่น 1111111, 123456789, 987654321 เป็นต้น
- ใช้คำว่า “password” หรือใช้ username มาตั้งเป็น password
จะเห็นว่า การตั้ง password ด้วยคำเหล่านี้ มักเป็นคำที่ง่ายและใกล้ตัวผู้ใช้มาก นั่นย่อมเป็นเบาะแสแรกที่อาชญากรจะนำมาใช้ในการแกะรอยหา password เสมอ เพราะไม่จำเป็นต้องใช้เครื่องมือหรือซอฟต์แวร์ใด ๆ ช่วยเลย และยังใช้เวลาไม่นานอีกด้วย
ส่วนหลักการตั้ง password ที่ดีนั้น มีดังนี้
- ใช้อักขระขั้นต่ำ 7 ตัวอักษร
- ไม่ใช่คำใด ๆ ก็ตามที่เข้าข่ายการตั้ง password ที่ไม่ดี
- ไม่ใช้ password ซ้ำกับ password ที่เคยใช้ไปแล้วในระบบงานอื่น ๆ และการเปลี่ยน password ใหม่ ไม่ควรใช้ password ที่เดิมที่ใช้
- ควรประกอบด้วยอักขระอื่น ๆ หลาย ๆ ตัว ผสมอยู่ใน password ที่ตั้ง เช่น ตัวอักษรพิมพ์เล็ก (a, b, c, d, e…), ตัวอักษรพิมพ์ใหญ่ (A, B, C, D, E….), ตัวเลข (1, 2, 3, 4, 5….) หรือแม้แต่อักขระพิเศษ (~, !, @, #, $, %, ^, &, *, (, ), ) เป็นต้น
- ใช้คำที่ไม่มีในพจนานุกรม
ที่มา
• Strong passwords: How to create and use them, Microsoft, http://www.microsoft.com/protect/yourself/password/create.mspx
• Strong passwords: How to create and use them, Microsoft, http://www.microsoft.com/protect/yourself/password/create.mspx
จากหลักการข้างต้น สามารถนำมาสร้างเป็น password ได้หลายรูปแบบ อย่างเช่น Ks#47*)@@w^& เป็นต้น หรืออาจใช้โปรแกรมประเภท password generator ช่วยในการตั้ง password ที่มีความยากต่อการแกะรอยได้ เช่น Password Generator ซึ่งสามารถดาวน์โหลดได้ที่ http://www.gaijin.at/
นอกเหนือจากหลักการตั้ง password ที่ดีพอแล้ว พฤติกรรมของผู้ใช้ยังเป็นปัจจัยในการเสริมความเข้มแข็งของ password ด้วย เนื่องจาก บ่อยครั้งที่การตั้ง password ยาก ๆ กลับถูกแกะรอยได้โดยง่าย เพียงเพราะความประมาทของผู้ใช้เพียงครั้งเดียว ฉะนั้น ข้อควรจำสำหรับผู้ใช้ที่ไม่อยากตกเป็นเหยื่อของการถูกแกะรอย password นั้น มีดังนี้
- อย่ากลัวที่จะจำ password ยาก ๆ เพราะการจำ คือ หนึ่งในวิธีบริหารสมอง จะเป็นผลดีในระยะยาว
- อนุโลมให้ใช้คำต่าง ๆ ที่ระบุไว้ว่าเป็นการตั้ง password ที่ไม่ดีได้ แต่ควรใช้วิธีการผสมเป็นคำ เช่น ใช้ชื่อสลับกับปีเกิด สลับกับตัวเลขสี่ตัวท้ายของเบอร์โทร สลับกับนามสกุล 3 ตัวอักษรแรก และผสมการสลับตัวอักษรพิมพ์เล็กพิมพ์ใหญ่ด้วย ตัวอย่างคือ “WisANu769354rAu” เป็นต้น จะทำให้เกิดความซับซ้อนมากยิ่งขึ้น
- ไม่จด username/password ใส่กระดาษ หรือถ้ากลัวลืมจริง ๆ ก็ควรจดลงบนสมุดบันทึกส่วนตัวที่มีแต่เราเท่านั้นที่เปิดอ่านได้ และเมื่อจำได้แล้วให้รีบลบหรือฉีกทิ้งเสีย
- ไม่บอก username/password กับใคร ไม่ว่าจะทางใดก็ตาม
- อย่าใช้ username/password ซ้ำ ๆ กันหลาย ๆ ที่ หลาย ๆ ระบบงาน เพราะหากผู้ไม่ประสงค์ดีแกะรอยได้สำเร็จที่หนึ่ง ก็เท่ากับสามารถแกะรอยที่อื่น ๆ ได้พร้อม ๆ กัน
- ไม่ใช้ตัวเลือกในการช่วยจำ password แทนเรา (เช่น ใน hotmail เป็นต้น) เพราะทำให้ผู้ที่ใช้เครื่องเดียวกัน สามารถเข้าถึงข้อมูลของเรา โดยไม่จำเป็นต้องแกะรอยใด ๆ และเป็นผลเสียต่อการจำ password
- ไม่ส่ง password ผ่านเครือข่าย network หรือ internet ใด ๆ ก็ตาม เช่น อีเมล์, instant message เป็นต้น หรือ application ใด ๆ ก็ตามที่เกี่ยวข้องกับระบบเครือข่าย เนื่องจาก บรรดาแฮกเกอร์ที่อาจแฝงตัวอยู่ในระบบเครือข่ายจะสามารถดักข้อมูลและนำไปถอดรหัสได้อย่างง่ายดาย
เหล่านี้ เป็นส่วนหนึ่งของหลักการตั้ง password ที่ดีให้เราได้นำไปประยุกต์ใช้เพื่อป้องกันการถูกแกะรอย password โดยอาชญากรหรือผู้ไม่ประสงค์ดี เมื่อเรายังอยู่ในโลกของความก้าวหน้าทางเทคโนโลยีที่เราพึ่งพาอยู่ หากเราประมาท ผลร้ายที่จะตามมาอาจมีตั้งแต่เล็กน้อยจนถึงเสียหายทั้งองค์กร ฉะนั้น ความไม่ประมาทจึงเป็นหนทางที่ดีที่สุดที่เราจะมองข้ามเสียมิได้ และต้องประกอบด้วยความรอบคอบต่อการใช้งานระบบอิเล็กทรอนิกส์ จึงจะทำให้เราปลอดภัยจากภัยคุกคามและใช้งานเทคโนโลยีสารสนเทศได้อย่างไร้ความกังวลที่สุด
เพื่อปกป้องผู้ใช้งานระบบอินเทอร์เน็ตให้มีความมั่นคงปลอดภัย สพธอ. ถือว่าความมั่นคงปลอดภัยเป็นสิ่งสำคัญที่ละเลยไม่ได้ และเพื่อให้มีการใช้งานระบบอินเทอร์เน็ตได้อย่างมั่นคงปลอดภัย ไม่ตกเป็นเหยื่อสำคัญผิดจากผู้ไม่หวังดี จึงขอแนะนำ เผยแพร่ ตัวอย่างความรู้ แนวทางปฏิบัติที่เหมาะสม เพื่อสร้างความตระหนักให้ผู้ใช้งานอินเทอร์เน็ตสามารถป้องกันข้อมูลส่วนตัวและและลดความเสี่ยงในการใช้งานคอมพิวเตอร์ ดังนี้
การป้องกันข้อมูลตัวส่วน
|   |
การป้องกันข้อมูลตัวส่วน
การตั้งรหัสผ่านที่คาดเดาได้ยาก
โดยทั่วไปเพื่อความปลอดภัยมีการเสนอให้ตั้งรหัสผ่านอย่างน้อย 8 ตัวอักษร และหลีกเลี่ยงการตั้งรหัสผ่านด้วย หมายเลขโทรศัพท์ ชื่อเล่น ชื่อสัตว์เลี้ยง หรือคำที่ตนเองชอบพูดถึงบ่อย สำนักงานข่าวซีเอ็นเอ็นได้เสนอข่าวโดยอ้างอิงจากผู้เชี่ยวชาญจากสถาบันวิจัยเทคโนโลยีแห่งรัฐจอร์เจียในสหรัฐอเมริกา เสนอวิธีการตั้งรหัสผ่านที่เดายาก ควรตั้งให้ยาวอย่างน้อง 12 ตัวอักษร และควรต้องใช้อักขระหรือสัญลักษณ์พิเศษ ร่วมด้วย และอีกกรณีตัวอย่างที่น่าสนใจคือวิธีการของ อีเบย์ ที่แนะนำให้ตั้งรหัสผ่านจากประโยคในเนื้อเพลงที่สอดแทรกอักขระพิเศษ ที่สำคัญ ภายหลังที่ได้รหัสผ่านที่คาดเดาได้ยากแล้ว ก็ควรเปลี่ยนรหัสผ่านเป็นระยะๆ ด้วย รวมถึงระมัดระวังการใส่รหัสผ่านบนเครื่องคอมพิวเตอร์สาธารณะหรือเครื่องคอมพิวเตอร์ของบุคคลอื่น และควรตั้งรหัสผ่านสำหรับการใช้งานกับบัญชีธนาคารออนไลน์ ไม่ซ้ำกับบัญชีเว็บอีเมล เว็บเกม หรือแม้กระทั้งเว็บเครือข่ายสังคม
โดยทั่วไปเพื่อความปลอดภัยมีการเสนอให้ตั้งรหัสผ่านอย่างน้อย 8 ตัวอักษร และหลีกเลี่ยงการตั้งรหัสผ่านด้วย หมายเลขโทรศัพท์ ชื่อเล่น ชื่อสัตว์เลี้ยง หรือคำที่ตนเองชอบพูดถึงบ่อย สำนักงานข่าวซีเอ็นเอ็นได้เสนอข่าวโดยอ้างอิงจากผู้เชี่ยวชาญจากสถาบันวิจัยเทคโนโลยีแห่งรัฐจอร์เจียในสหรัฐอเมริกา เสนอวิธีการตั้งรหัสผ่านที่เดายาก ควรตั้งให้ยาวอย่างน้อง 12 ตัวอักษร และควรต้องใช้อักขระหรือสัญลักษณ์พิเศษ ร่วมด้วย และอีกกรณีตัวอย่างที่น่าสนใจคือวิธีการของ อีเบย์ ที่แนะนำให้ตั้งรหัสผ่านจากประโยคในเนื้อเพลงที่สอดแทรกอักขระพิเศษ ที่สำคัญ ภายหลังที่ได้รหัสผ่านที่คาดเดาได้ยากแล้ว ก็ควรเปลี่ยนรหัสผ่านเป็นระยะๆ ด้วย รวมถึงระมัดระวังการใส่รหัสผ่านบนเครื่องคอมพิวเตอร์สาธารณะหรือเครื่องคอมพิวเตอร์ของบุคคลอื่น และควรตั้งรหัสผ่านสำหรับการใช้งานกับบัญชีธนาคารออนไลน์ ไม่ซ้ำกับบัญชีเว็บอีเมล เว็บเกม หรือแม้กระทั้งเว็บเครือข่ายสังคม
ภัยร้ายจาก phishing "พิชชิ่ง" (phishing)
เป็นการหลอกลวงในรูปแบบการปลอมแปลง จดหมายอิเล็กทรอนิกส์ หรือข้อความที่สร้างขึ้นหลอกให้ผู้งานสำคัญผิดเปิดเผยข้อมูลทางด้านการเงินหรือข้อมูลส่วนตัวต่างๆ เช่น บัญชีใช้งานและรหัสผ่าน (User name / Password), ข้อมูลหมายเลขบัตรเครดิต หรือหมายเลขบัตรประจำตัวอื่นๆ วิธี phishing มักจะเริ่มต้นด้วยการส่งอีเมล หรือข้อความที่อ้างว่ามาจากองค์กรต่างๆ ที่ผู้ใช้งานอาจเคยติดต่อ เช่นเว็บไซต์ธนาคาร เว็บไซต์ที่เคยซื้อขายสินค้าบริการ เพื่อขอให้ท่าน ยืนยันข้อมูลส่วนตัวให้เป็นปัจจุบัน โดยอ้างให้สำคัญผิดว่า หากไม่ดำเนินการอาจก่อให้เกิดความเสียหายต่างๆตามมาได้ เพื่อให้ข้อความที่สร้างหลอกนั้นมีความสมจริงมากขึ้น คนร้ายมักใส่ hyperlink ให้ดูเหมือน URL ขององค์กรนั้นๆ แท้ที่จริงแล้วเป็นเว็บไซต์ปลอม (Spoofed Website) และเมื่อผู้ใช้งานถูกทำให้สำคัญผิดเข้ามาใช้งานแล้ว วิธีป้องกัน ไม่ควรใช้ links ในอีเมลเพื่อเข้าใช้งานยังเว็บไซต์ และหากผู้ใช้งานสังสัยควรจะติดต่อทางโทรศัพท์ไปยังองค์กรนั้นๆ โดยตรงและควรใช้งานผ่านการพิมพ์ URL ขององค์กรนั้นใหม่ทุกครั้งที่ใช้งาน
เป็นการหลอกลวงในรูปแบบการปลอมแปลง จดหมายอิเล็กทรอนิกส์ หรือข้อความที่สร้างขึ้นหลอกให้ผู้งานสำคัญผิดเปิดเผยข้อมูลทางด้านการเงินหรือข้อมูลส่วนตัวต่างๆ เช่น บัญชีใช้งานและรหัสผ่าน (User name / Password), ข้อมูลหมายเลขบัตรเครดิต หรือหมายเลขบัตรประจำตัวอื่นๆ วิธี phishing มักจะเริ่มต้นด้วยการส่งอีเมล หรือข้อความที่อ้างว่ามาจากองค์กรต่างๆ ที่ผู้ใช้งานอาจเคยติดต่อ เช่นเว็บไซต์ธนาคาร เว็บไซต์ที่เคยซื้อขายสินค้าบริการ เพื่อขอให้ท่าน ยืนยันข้อมูลส่วนตัวให้เป็นปัจจุบัน โดยอ้างให้สำคัญผิดว่า หากไม่ดำเนินการอาจก่อให้เกิดความเสียหายต่างๆตามมาได้ เพื่อให้ข้อความที่สร้างหลอกนั้นมีความสมจริงมากขึ้น คนร้ายมักใส่ hyperlink ให้ดูเหมือน URL ขององค์กรนั้นๆ แท้ที่จริงแล้วเป็นเว็บไซต์ปลอม (Spoofed Website) และเมื่อผู้ใช้งานถูกทำให้สำคัญผิดเข้ามาใช้งานแล้ว วิธีป้องกัน ไม่ควรใช้ links ในอีเมลเพื่อเข้าใช้งานยังเว็บไซต์ และหากผู้ใช้งานสังสัยควรจะติดต่อทางโทรศัพท์ไปยังองค์กรนั้นๆ โดยตรงและควรใช้งานผ่านการพิมพ์ URL ขององค์กรนั้นใหม่ทุกครั้งที่ใช้งาน
วิธีป้องกันการถูกขโมยข้อมูลส่วนบุคคล
- ตรวจสอบรายการใช้งานอยู่เสมอ ในการใช้งานเว็บไซต์ต่างๆ ที่ต้องกรอกชื่อบัญชีและรหัสผ่านก่อนใช้งานทุกครั้งนั้น เว็บไซต์เหล่านั้น มักมีข้อมูลประวัติการใช้งานของเรา จึงควรตรวจสอบประวัติข้อมูลการใช้งาน เพื่อสังเกตความผิดปกติว่าเป็นการใช้จากเราเพียงคนเดียวหรือไม่
- หลีกเลี่ยงการใช้ข้อมูลส่วนตัวมากเกินจำเป็นในเว็บไซต์ซี้อขาย ในการทำธุรกรรมทางเว็บไซต์ ควรหลีกเลี่ยงการให้ข้อมูลส่วนตัวเกินจำเป็น เนื่องจากหากให้ข้อมูลส่วนตัวของเรามากก็จะมีความเสี่ยงมากขึ้น เช่นผู้ที่ได้รับข้อมูลส่วนตัวจากเราจะสามารถรักษาความลับได้อย่างปลอดภัยหรือไม่
- ระมัดระวังอีเมลที่สอบถามข้อมูลส่วนบุคคล หากได้รับอีเมลจากบุคคลที่ไม่รู้จัก สอบถามเกี่ยวกับข้อมูลส่วนบุคคล ไม่ควรตอบข้อมูลส่วนบุคคลกลับทางอีเมล และหากอีเมลดังกล่าวมาจากธนาคารหรือองค์กรที่เราเคยใช้บริการ ก็ควรติดต่อสอบถามทางโทรศัพท์เพื่อให้มั่นใจว่าไม่ถูกหลอกสอบถามข้อมูลส่วนบุคคลทางอีเมล
- มีรหัสผ่านที่คาดเดาได้ยาก ควรตั้งรหัสผ่านที่คาดเดายาก โดยใช้อักขระพิเศษร่วมด้วยและมีความยาวไม่น้อยกว่า 8 ตัวอักษร และควรเปลี่ยนรหัสผ่านเป็นระยะๆอย่างต่อเนื่อง เพื่อลดโอกาสในการที่คนร้ายพยายามแกะรหัสผ่านของเรา
- ควรระมัดระวัง Wifi Hot spots ปลอม เป็นภัยที่มีหลักการคล้ายกับ Phishing ปัจจุบันมีผู้ใช้งานอุปกรณ์มือถือ (moblie device) มากขึ้น คนร้ายจึงทำการปล่อยสัญญาณ Wifi ฟรีในที่สาธารณะ ผู้ใช้งานทั่วไปอาจสำคัญผิดลองเข้ามาใช้งานหวังต้องการใช้สัญญาณ Wifi ฟรี ซึ่งคนร้ายจะเตรียมเว็บไซต์ปลอมสำหรับการใช้บริการอินเทอร์เน็ตฟรี เมื่อผู้หลงผิดทำการต่อเชื่อมสัญญาณเข้ามาจะปรากฎหน้าต่างแจ้งถึงเงื่อนไขเพียงกรอกข้อมูลอีเมลตั้งรหัสผ่าน ก็จะสามารถใช้บริการอินเทอร์เน็ตฟรี ซึ่งโดยทั่วไปคนเรามั่งใช้รหัสผ่านซ้ำๆกันอยู่แล้ว ทำให้คนร้ายจะทำเอาข้อมูลที่ได้ไปทดลองสุ่มใช้กับเว็บไซต์ต่างๆ ซึ่งอาจจะทำเสียหายมาสู่ผู้สำคัญผิดได้
- ทำลายเอกสารที่มีข้อมูลส่วนบุคคล ควรระมัดระวังเอกสารหรือจดหมายส่วนตัวที่มีระบุข้อมูลส่วนบุคคล เช่นหมายเลขบัตรเครดิต, บัญชีผู้ใช้งาน หรือแม้แต่การแจ้งรหัสผ่านทางจดหมาย ควรเก็บรักษาในที่ปลอดภัยจากบุคคลภายนอก และหากไม่มีความจำเป็นต้องเก็บไว้เป็นหลักฐานหรือช่วยเตือนความจำเป็น ควรทำลายในลักษณะไม่สามารถนำกลับมาอ่านใหม่ได้ เช่นการย่อยทำลายเอกสารให้เป็นชิ้นเล็กๆ เป็นต้น โดยเฉพาะอย่างยิ่งเอกสารทางการเงินควรทำลายเอกสารก่อนทิ้งเสมอ รวมถึงควรลบข้อมูลและประวัติในการใช้ browser ภายหลังการใช้งานเสมอ เพื่อล้างข้อมูลส่วนบุคคลหรือข้อมูลติดต่อกับธนาคารทางอินเทอร์เน็ตไปด้วยในคราวเดียวกัน
- ใช้ social networking ด้วยความระมัดระวัง ปัจจุบันมีการใช้เว็บเครือข่ายสังคมออนไลน์อย่างกว้างขวาง ผู้ใช้งานควรกำหนดระดับความมั่นคงปลอดภัยต่อข้อมูลส่วนบุคคลของตนที่อยู่บนเว็บเครือข่ายสังคมดังกล่าว พร้อมทั้งไม่ค่อยเปิดเผยให้กับผู้ใด
วิธีป้องกันการถูกฉ้อโกงทางเว็บไซต์
- ศึกษาข้อมูลความน่าเชื่อถือในสินค้าและผู้ขาย อาจใช้วิธีการส่งจดหมายอิเล็กทรอนิกส์หรือโทรศัพท์ไปสอบถามรายละเอียดสินค้าหรือบริการ เพื่อสังเกตความรวดเร็วในการตอบกลับและการมีตัวตนเองของธุรกิจนั้นๆ และสังเกตเพิ่มเต็มว่ามี trust mark บ้างหรือไม่ เช่น BBBOnline, Truste หรือ Verified เป็นต้น
- การจ่ายชำระเงินผ่านระบบควรสังเกตว่าระบบดังกล่าวมีความมั่นคงปลอดภัยหรือเข้ารหัสเสมอหรือไม่ เช่นอาจสังเกตจาก https หรือ ssl หรือเครื่องหมายแม่กุญแจที่ปรากฎ 3 หากสามารถเลือกชำระเงินแบบบัตรเดบิต(Debit Card) หรือ บัตรเครดิต (Credit Card) ก็ควรเลือกชำระใช้บัตรเครดิตเสมอ เนื่องจากหากมีปัญหาในตัวสินค้าที่สั่งซื้อ เจ้าของบัตรอาจจะสามารถปฏิเสธการชำระเงินได้ ในขณะที่กรณีบัตรเดบิตมีความเสี่ยงกว่าเนื่องจากจะถูกหักเงินจากบัญชีเงินฝากธนาคารทันทีที่ชำระผ่านบัตรเดบิต รวมทั้งควรตรวจอสอบใบแจ้งหนี้ทุกรอบบัญชี เพื่อตรวจสอบรายการที่อาจผิดปกติ
- ศึกษาว่าเว็บไซต์ที่กำลังจะซื้อสินค้าหรือบริการดังกล่าวมี กฎระเบียบเกี่ยวกับการรับประกันความพึงพอใจในสินค้าหรือไม่ มีนโยบายการรับคืนและคืนเงินทันทีเมื่อลูกค้าแจ้งความไม่พอใจในสินค้าหรือไม่
- ใช้ความระมัดระวังอย่างสูงหากพบการเสนอขายสินค้าบนเว็บไซต์ที่ราคาขายต่ำเกินความเป็นจริงอย่างมากรวมถึงสิ้นค้าหรือบริการที่อวดอ้างสรรพคุณเกินจริง
การป้องกันคอมพิวเตอร์
ประเภทภัยร้ายที่มักพบบ่อย
- malware เป็นคำเรียกย่อจาก "malicious" และ "software" ซึ่งเป็น software ที่ได้รับการออกแบบมาเพื่อแอบเข้าไปทำลายระบบคอมพิวเตอร์ โดยผู้สร้าง malware นั้นเป็นผู้ที่มีความรู้ และออกแบบมาให้มีจุดประสงค์ร้ายต่อระบบคอมพิวเตอร์และเครือข่าย โปรแกรมเหล่านี้ก็เช่น mass-mailing worm, KaZaa ซึ่งเป็น File sharing Network Worm ชนิดหนึ่ง, exploit malware รวมไปถึง zombie network และอื่นๆ
- virus เดิมถูกพัฒนาขึ้นเพื่อทำการทดลองพิสูจน์ว่าโปรแกรมสามารถแพร่กระจายตัวเองออกไปในวงกว้างได้ ในเริ่มต้นเพียงสร้างความรำคาญในการใช้งานคอมพิวเตอร์ แต่ปัจจุบันผู้ประสงค์ร้ายได้พัฒนาให้สามารถทำลายความเสียหายให้กับไฟล์กับข้อมูลได้ โดยการแพร่กระจายไปติดไฟล์อื่นๆในคอมพิวเตอร์โปรแกรมจะทำการแนบตัวเองเข้าไป ไม่สามารถส่งตัวเองไปยังคอมพิวเตอร์เครื่องอื่นๆได้ ต้องอาศัยไฟล์พาหะ
- trojan เป็นเทคนิคที่ต้องอาศัยคนอื่นให้สำคัญผิดให้ดาวโหลดเอาไปใส่เครื่องเองหรือด้วยวิธีอื่นๆ สิ่งที่ trojan จะทำคือเปิดโอกาสให้ผู้ไม่ประสงค์ดีเข้ามาควบคุมเครื่องที่ติด trojan จากระยะไกล ซึ่งผู้บุกรุกจะทำอะไรก็ได้ และโทรจันยังมีอีกหลายชนิด เช่น Remote Access Trojan (RAT), Data Sending/Password Sending Trojan, Keylogger Trojan, Destructive Trojan, Denial of Service (DoS) Attack Trojan, Proxy Trojan, FTP Trojan เป็นต้น
- spyware เป็นโปรแกรมที่ไม่สามารถแพร่กระจายไปไฟล์อื่นๆ หรือส่งตัวเองไปยังคอมพิวเตอร์เครื่องอื่นๆได้ ต้องอาศัยเทคนิคการหลอกให้ผู้ใช้งานดาวโหลดเอาไปใส่เครื่องเองหรืออาศัยช่องโหว่ของ web browser ในการติดตั้งตัวเองลงในเครื่องเป้าหมาย สิ่งที่ spyware ทำคือรบกวนและละเมิดความเป็นส่วนตัวของผู้ใช้
การป้องกันภัย
- ติดตั้งโปรแกรมป้องกันไวรัส และเปิดให้โปรแกรมทำงานเสมอ
- ตื่นตัวติดตามข่าวสารเกี่ยวกับไววัส และควรติดตั้งโปรแกรมปรับปรุงระบบ (Patch) และมีการอัพเดทเป็นประจำ อัพเดทคอมพิวเตอร์ของท่านด้วยซอฟแวร์ป้องกันไวรัสรุ่นล่าสุด เช่น
- หากได้รับไฟล์ที่แนบมาพร้อมจดหมายอิเล็กทรอนิกส์ โดยระมัดระวังในการเปิดใช้งานไฟล์ที่แนบมานั้น และหลีกเลี่ยงการเปิดไฟล์ดังกล่าวหากเป็นจดหมายที่ไม่ได้มาจากบุคคลที่รู้จัก
- ควรติดตั้งและเปิดใช้บริการระบบ firewall เสมอ เพื่อป้องกันอันตรายที่มาจากอินเทอร์เน็ตหรือเน็ตเวิร์กภายนอก
- ควรปรับระดับการรักษาความปลอดภัยของ browser ให้ในระดับกลางถึงสูงเสมอ
- โปรดหลีกเลี่ยงและระมัดระวังการใช้โปรแกรมในลักษณะ Peer-to-Peer หากให้ microsoft windows โปรดติดตาม อัพเดทซอฟท์แวร์ด้านความปลอดภัยให้คอมพิวเตอร์ ได้จาก
- ซอฟท์แวร์ด้านความมั่นคงปลอดภัย (http://www.microsoft.com/en-us/security_essentials/default.aspx)
- เครื่องมือตรวจสอบความมั่นคงปลอดภัย (http://www.microsoft.com/security/scanner/en-us/default.aspx)
- ข้อมูลด้านความปลอดภัยที่เป็นประโยชน์ (http://www.microsoft.com/security/pc-security/protect-pc.aspx)
ไม่มีความคิดเห็น:
แสดงความคิดเห็น