คำอธิบายข้อสอบ Registered Information Security Specialist ฤดูใบไม้ร่วง 2023 (เรวะ 5) ภาคบ่าย ข้อ 2 — ไฟล์ที่ถูกนำออกจาก Wi-Fi สำหรับผู้มาเยือน

ห้ามต่อ USB แล้ว ห้ามบันทึกไฟล์ลงดิสก์ท้องถิ่นแล้ว ตัดการสื่อสารไปเว็บเมลและที่เก็บบนคลาวด์ที่บริษัทไม่อนุญาตแล้ว ห้ามแนบไฟล์ในอีเมลแล้ว เลิกเซิร์ฟเวอร์ไฟล์ในองค์กรแล้ว

แม้กระนั้น ไฟล์งานยังถูกนำออกได้

ข้อสอบ Registered Information Security Specialist ปีงบประมาณ 2023 ภาคฤดูใบไม้ร่วง ภาคบ่าย ข้อ 2 เป็นข้อที่กวาดรูที่ยังเหลือ โดยใช้บริษัทเสื้อผ้า M ซึ่งทำมาตรการถึงขั้นนี้แล้วเป็นฉาก¹ บทความนี้เป็นเล่มที่สองของซีรีส์ต่อจาก คำอธิบายข้อ 1 ครั้งก่อน (XSS แบบเก็บ) และขอบเขตที่ย้ายจากเว็บแอปพลิเคชันไป เครือข่ายในองค์กรและการรับรองเครื่อง

ข้อ 1 เป็นข้อที่ถามว่า «มาตรการที่เรียงในเว็บแอป ถูกเลี่ยงตรงไหน» ส่วนข้อ 2 เป็นข้อที่ถามว่า «การออกแบบมาตรการ ตั้งใจปกป้องช่วงใด» มาตรการของบริษัท M ไม่มีอันใดผิด เพียงแต่พอตรวจการระบุช่วงที่ปกป้องทีละอย่าง ด้านนอกทันทีนั้นว่าง

สิ่งที่ได้จากบทความนี้ นอกจากตัวอย่างคำตอบของแต่ละข้อและหลักฐาน ยังมีมุมตรวจที่ใช้ในงานจริงได้ตามตัวในสามพื้นที่ คือเครือข่ายไร้สาย ใบรับรองเซิร์ฟเวอร์ และการจำกัดที่อยู่ IP ต้นทาง ผู้ที่อ่านเพื่อเตรียมสอบอ่านหมวดทีละข้อได้ ผู้ที่ต้องการแค่มุมปฏิบัติ อ่านจากหมวด 11 และ 12 ก็ความหมายต่อเนื่อง

1. สรุปก่อนเลย

• ช่องทางคือ ห้องประชุม บริษัท M ห้ามนำพีซีส่วนตัวเข้ามา แต่ที่ห้ามคือเฉพาะห้องทำงาน ห้องประชุมอยู่นอกขอบเขต ในห้องประชุมมีทั้งเครือข่ายไร้สายสำหรับพนักงานและสำหรับผู้มาเยือน
• เส้นทางที่พนักงานนำออกมีสอง วิธีเปลี่ยนที่อยู่ MAC แล้วต่อเครือข่ายไร้สายสำหรับพนักงาน กับ วิธีแค่ต่อเครือข่ายไร้สายสำหรับผู้มาเยือน อย่างหลังง่ายกว่ามาก สิ่งที่ต้องมีคือคีย์ล่วงหน้าที่แจกให้ผู้มาเยือนอย่างเดียว
• ที่เก็บบนคลาวด์ (บริการ B) จำกัดให้ «ลงชื่อเข้าใช้ได้จากที่อยู่ IP โกลบอลของบริษัท M เท่านั้น» แต่ การสื่อสารของเครือข่ายไร้สายสำหรับผู้มาเยือนก็ถูกแปลงด้วย NAT เดียวกันเป็นที่อยู่ IP โกลบอลเดียวกัน จึงเลี่ยงข้อจำกัดนี้ การจำกัดด้วยที่อยู่ IP ต้นทางเป็นการตั้งที่อนุญาต ทุกคนที่แชร์ทางออก ไม่ใช่เครื่อง
• AP ปลอม + ไซต์ปลอมโดยผู้โจมตีภายนอกถูกหยุดด้วย การตรวจใบรับรองเซิร์ฟเวอร์ ที่ได้ผลคือสองจุด «ออกจากผู้ออกใบรับรองที่เชื่อถือหรือไม่» และ «ชื่อเซิร์ฟเวอร์ในใบรับรองตรงกับปลายทางหรือไม่» ตามคำอธิบายการให้คะแนนของ IPA อัตราถูกของข้อที่ให้ตอบสองจุดนี้ต่ำ
• แม้พิมพ์ผิดเป็น http:// HSTS แทนที่ด้วย HTTPS แล้วค่อยเชื่อม จึงเป็นข้อผิดพลาดใบรับรองเช่นกัน และบนโฮสต์ที่เปิด HSTS ห้ามให้ทางเลือกเพิกเฉยคำเตือนแล้วเดินต่อแก่ผู้ใช้
• ฟังก์ชันแชร์ไฟล์ ที่ถูกต้องก็เป็นเส้นทางนำออกได้ ระบุที่อยู่อีเมลส่วนตัวของตนเองเป็นที่อยู่ของผู้แชร์ภายนอกก็พอ มีการอนุมัติจากหัวหน้า แต่มีหัวหน้าที่ไม่ตรวจปลายทาง
• เสาของมาตรการมีสาม ทำให้เครือข่ายไร้สายสำหรับพนักงานเป็น EAP-TLS แล้วรับรองด้วยใบรับรองลูกข่ายทีละเครื่อง ใส่คีย์ลับใน TPM ให้ดึงจากพีซีงานไม่ได้ แยกเครือข่ายไร้สายสำหรับผู้มาเยือนจากเครือข่ายของบริษัท M (หรือแยกที่อยู่ IP โกลบอลของทางออก) แล้ว ลบ VLAN กฎกรอง และ SSID ที่เลิกใช้

แผนที่ความรู้ของบทความนี้

บทความนี้เป็นคำอธิบายที่ใช้ข้อสอบ Registered Information Security Specialist ปีงบประมาณ 2023 ภาคฤดูใบไม้ร่วง ภาคบ่าย ข้อ 2 เป็นกรณี เพื่อจัดรีวิวการออกแบบรอบเครือข่ายไร้สายและใบรับรองเซิร์ฟเวอร์ WPA2-PSK ที่ทุกคนแชร์คีย์เดียวกันมีจุดอ่อนที่ผู้รู้คีย์ใครก็ตั้ง AP ปลอม (evil twin) ที่แยกจากของจริงไม่ได้ แต่ถ้ามีการตรวจใบรับรองเซิร์ฟเวอร์กับ HSTS การลงชื่อเข้าใช้ไซต์ปลอมจะไม่ตั้ง สำหรับการนำออกโดยพนักงาน EAP-TLS ที่ใช้ใบรับรองลูกข่ายกับ RADIUS เป็นมาตรการต่อการปลอมที่อยู่ MAC และการแยกเครือข่ายสำหรับผู้มาเยือนเป็นมาตรการต่อปัญหาที่การจำกัดที่อยู่ IP ต้นทางถูกเลี่ยงด้วยทางออก NAT ที่หลายเครือข่ายแชร์ การเก็บคีย์ลับใน TPM ให้ดึงไม่ได้คือกุญแจที่ทำให้การรับรองด้วยใบรับรองทำงานจริง

flowchart LR
    accTitle: แผนที่ความรู้ข้อสอบ Registered Information Security Specialist ฤดูใบไม้ร่วง 2023 (เรวะ 5) ภาคบ่าย ข้อ 2 (เครือข่ายไร้สายกับใบรับรองเซิร์ฟเวอร์)
    accDescr: แผนภาพที่แสดงโครงที่ความอ่อนของ WPA2-PSK เพราะเป็นคีย์ร่วมนำสู่การปลอมที่อยู่ MAC และการโจมตี evil twin ในทางกลับกันการตรวจใบรับรองเซิร์ฟเวอร์กับ HSTS กันการลงชื่อเข้าใช้ไซต์ปลอม EAP-TLS กับ RADIUS และคีย์ลับที่เก็บใน TPM ทำให้การรับรองเป็นต่อเครื่อง และขีดของการจำกัดที่อยู่ IP ต้นทางที่ถูกแชร์ด้วย NAT จนถึงการแก้ไข
    wpa2_psk["WPA2-PSK"]
    eap_tls["EAP-TLS"]
    evil_twin["การโจมตี evil twin (ฝาแฝดปีศาจ)"]
    phishing["ฟิชชิง"]
    mac_address_filtering["ตัวกรองที่อยู่ MAC"]
    mac_address_spoofing["การปลอมที่อยู่ MAC"]
    server_certificate_validation["การตรวจใบรับรองเซิร์ฟเวอร์"]
    certificate_chain["โซ่ใบรับรอง"]
    root_ca["ใบรับรอง CA ราก"]
    certificate_revocation_check["การตรวจเพิกถอนใบรับรอง"]
    trust_anchor_risk["ความเสี่ยงการใช้จุดยึดความเชื่อถือในทางที่ผิด"]
    hsts["HSTS (HTTP Strict Transport Security)"]
    hsts_preload_list["รายการพรีโหลด HSTS"]
    client_certificate["ใบรับรองลูกข่าย"]
    radius["RADIUS"]
    ieee_802_1x["IEEE 802.1X (EAP over LAN)"]
    network_policy_server["Network Policy Server (NPS)"]
    private_key["คีย์ลับ"]
    tpm["TPM"]
    key_exfiltration_risk["ความเสี่ยงการนำคีย์ลับออก"]
    shared_egress_ip_bypass["การเลี่ยงข้อจำกัด IP ต้นทางด้วย IP ทางออกร่วม"]
    nat["NAT (การแปลงที่อยู่เครือข่าย)"]
    guest_network_isolation["การแยกเครือข่ายสำหรับผู้มาเยือน"]
    unused_config_cleanup["การลบการตั้งที่เลิกใช้"]
    source_ip_restriction["การจำกัดที่อยู่ IP ต้นทาง"]
    wpa2_psk -->|"อาจก่อให้เกิด"| evil_twin
    evil_twin -.->|"อาจก่อให้เกิด"| phishing
    mac_address_filtering -->|"ไม่แนะนำให้ใช้กับ"| mac_address_spoofing
    eap_tls -->|"แนวทางที่แนะนำสำหรับ"| mac_address_spoofing
    server_certificate_validation -.->|"ป้องกัน"| phishing
    server_certificate_validation -->|"ใช้"| certificate_chain
    server_certificate_validation -->|"ใช้"| root_ca
    server_certificate_validation -.->|"ใช้"| certificate_revocation_check
    root_ca -.->|"อาจก่อให้เกิด"| trust_anchor_risk
    hsts -.->|"ป้องกัน"| phishing
    hsts -->|"ต้องมี"| server_certificate_validation
    hsts_preload_list -.->|"บรรเทา"| evil_twin
    eap_tls -->|"ใช้"| client_certificate
    eap_tls -.->|"ใช้"| radius
    eap_tls -.->|"ใช้"| ieee_802_1x
    network_policy_server -->|"อิมพลีเมนต์"| radius
    client_certificate -->|"ต้องมี"| private_key
    private_key -.->|"ถูกเก็บใน"| tpm
    tpm -.->|"ป้องกัน"| key_exfiltration_risk
    shared_egress_ip_bypass -.->|"ต้องมี"| wpa2_psk
    nat -->|"อาจก่อให้เกิด"| shared_egress_ip_bypass
    guest_network_isolation -->|"ป้องกัน"| shared_egress_ip_bypass
    guest_network_isolation -->|"ควรทำก่อน"| unused_config_cleanup
    source_ip_restriction -.->|"ใช้ร่วมไม่ได้"| nat

ในแผนภาพ เส้นทึบหมายถึงความสัมพันธ์ที่ถือเสมอ และเส้นประหมายถึงความสัมพันธ์ที่มีเงื่อนไข (เงื่อนไขอยู่ในการอธิบายของแต่ละความสัมพันธ์ในหน้าละเอียด) รายการความสัมพันธ์ทั้งหมด (รวม 24 รายการ พร้อมหลักฐานและระดับความเชื่อมั่น) และนิยามของแนวคิดหลักรวบรวมไว้ที่ หน้าละเอียดของแผนที่ความรู้ (เป็นภาษาญี่ปุ่น) ข้อมูล: JSON-LD / Turtle

2. เกี่ยวกับกรณี — แหล่งที่มา และการปฏิบัติในบทความนี้

ข้อที่หยิบคือข้อต่อไปนี้

แหล่งที่มา: ข้อสอบ Registered Information Security Specialist ปีงบประมาณ 2023 ภาคฤดูใบไม้ร่วง ภาคบ่าย ข้อ 2

IPA ระบุว่าข้อสอบที่เผยแพร่แล้ว โดยหลักไม่ต้องขออนุญาตหรือเสียค่าใช้ เว้นกรณีที่กฎหมายกำหนดเป็นพิเศษ แต่ไม่ได้สละลิขสิทธิ์ และกำหนดให้ระบุแหล่งที่มาในรูปแบบ «ปีงบประมาณ ภาค ประเภทข้อสอบ ช่วงเวลา หมายเลขข้อ ฯลฯ» และหากดัดแปลงบางส่วนของข้อ ต้องระบุเช่นกัน²

บทความนี้ ไม่ได้คัดลอกรูปและตารางในเล่มข้อตามตัว แทนที่ด้วยรูปย่อและสรุปที่บริษัทเราเขียนขึ้นในขอบเขตที่จำเป็นต่อการอธิบายกลไก ข้อและตัวอย่างคำตอบก็สรุป ต้นฉบับของเล่มข้อ ตัวอย่างคำตอบ และคำอธิบายการให้คะแนนดาวน์โหลดได้ฟรีจากหน้า IPA จึงแนะนำให้อ่านขณะเปิดไว้ในมือ^{1 3 4}

ข้อกับการตรงของบทความนี้

เริ่มอ่านจากข้อที่อยากแก้ก็ได้

คำบรรยายในเล่มข้อ และการปฏิบัติในบทความนี้

สรุปว่าปฏิบัติส่วนใดอย่างไร เพื่อเทียบกับต้นฉบับได้

3. ฉากของข้อ — สิ่งที่บริษัท M «ทำอยู่แล้ว»

บริษัท M เป็นบริษัทย่อยของบริษัท L ทำธุรกิจเสื้อผ้า พนักงาน 100 คน อาคารสำนักงาน หันถนนใหญ่ในกรุงที่มีคนผ่านมาก ประโยคนี้จะได้ผลทีหลัง

ปีก่อน พนักงานของบริษัท M บันทึกไฟล์ออกแบบสินค้าซึ่งเป็นข้อมูลลับที่เก็บในเซิร์ฟเวอร์ไฟล์ในองค์กรลง USB แล้วนำไปบริษัทคู่แข่ง มีการทบทวนมาตรการความปลอดภัยตามคำแนะนำของบริษัทแม่ L สิ่งที่ทบทวนแล้วมีสามอย่างต่อไปนี้

• นำ ซอฟต์แวร์ป้องกันการรั่วไหลของข้อมูล เข้าโน้ตบุ๊กที่ให้พนักงานยืม (ต่อไปเรียกพีซีงาน) แล้วตั้งห้ามต่อสื่อเก็บภายนอกอย่าง USB ห้ามบันทึกไฟล์ลงดิสก์ท้องถิ่นยกเว้นการติดตั้งซอฟต์แวร์ ตัดการสื่อสารไปเว็บเมลและที่เก็บบนคลาวด์ที่บริษัทไม่อนุญาต ห้ามติดตั้งซอฟต์แวร์ที่บริษัทไม่อนุญาต ห้ามแนบไฟล์ตอนส่งอีเมล
• รวมที่เก็บไฟล์งานไว้ที่เดียวที่ที่เก็บบนคลาวด์ที่ใช้มาแล้ว (ต่อไปเรียกบริการ B) แล้วทบทวนการตั้ง
• เลิกเซิร์ฟเวอร์ไฟล์ในองค์กร

เหตุการณ์ครั้งก่อนเป็นเส้นทาง «เซิร์ฟเวอร์ไฟล์ในองค์กร» → «USB» จึงปิดทั้งสองปลายของเส้นทางนั้น เส้นตรง

โครงเครือข่าย

ในอาคารสำนักงานมีห้องทำงานและห้องประชุม ในห้องทำงานใช้เครือข่ายไร้สายสำหรับพนักงานได้ ในห้องประชุมใช้ได้ทั้งสำหรับพนักงานและสำหรับผู้มาเยือน โปรเจกเตอร์ในห้องประชุมใช้โดยต่อเครื่องที่ผู้มาเยือนนำมา (พีซี แท็บเล็ต สมาร์ตโฟนที่ผู้มาเยือนนำมา) หรือพีซีงานเข้าเครือข่ายไร้สายสำหรับผู้มาเยือน

จำกัดขอบเขตที่จำเป็นต่อการอธิบายเป็นรูป ได้รูปต่อไปนี้

flowchart LR
    accTitle: โครงเครือข่ายของบริษัท M
    accDescr: เครือข่ายไร้สายสำหรับผู้มาเยือน เครือข่ายไร้สายสำหรับพนักงาน และเครือข่ายเซิร์ฟเวอร์ ถูกแปลงด้วย NAT ของ FW เดียวกันเป็นที่อยู่ IP โกลบอลหนึ่งที่อยู่แล้วออกไปบริการ B
    subgraph M["เครือข่ายในองค์กรของบริษัท M"]
        direction TB
        G["เครือข่ายไร้สายสำหรับผู้มาเยือน<br/>192.168.10.0/24<br/>(เฉพาะ AP ของห้องประชุม)"]
        E["เครือข่ายไร้สายสำหรับพนักงาน<br/>192.168.20.0/24<br/>(ห้องทำงานและห้องประชุม)"]
        S["เครือข่ายเซิร์ฟเวอร์<br/>192.168.30.0/24<br/>DHCP・DNS・ไดเรกทอรี"]
        FW["FW<br/>NAT แปลงต้นทางเป็น<br/>ที่อยู่ IP โกลบอล<br/>หนึ่งที่อยู่"]
        G --> FW
        E --> FW
        S --> FW
    end
    FW --> B["บริการ B<br/>(ที่เก็บบนคลาวด์)"]
    FW --> I["อินเทอร์เน็ต"]

ภาพ 1: เครือข่ายสำหรับผู้มาเยือน พนักงาน และเซิร์ฟเวอร์ ทั้งสามออกอินเทอร์เน็ตผ่าน NAT ของ FW เดียวกันเป็นที่อยู่ IP โกลบอลหนึ่งที่อยู่.

สเปกที่ควรจับมีดังนี้

และกฎความปลอดภัยมีสาม ห้ามนำพีซีงานออกนอกบริษัท ห้ามนำพีซี แท็บเล็ต สมาร์ตโฟนส่วนตัว ฯลฯ เข้าห้องทำงาน ห้ามนำไฟล์งานออกนอกบริษัทด้วยวิธีอื่นนอกฟังก์ชันแชร์ไฟล์ของบริการ B

สังเกตไหมว่ากฎข้อที่สองเขียน «เข้าห้องทำงาน» ห้องประชุมไม่ได้ถูกเขียน

วิธีเดินของข้อนี้

น.ส. Y จากฝ่ายสารสนเทศ ได้รับความช่วยเหลือจาก นาย S ซึ่งเป็น Registered Information Security Specialist (ผู้เชี่ยวชาญความมั่นคงปลอดภัยที่ขึ้นทะเบียน) ของบริษัทแม่ L แล้วตรวจว่ามาตรการต่อการนำไฟล์ออกจากบริการ B พอหรือไม่ ทั้งสองแยกพิจารณา การนำออกโดยผู้โจมตีภายนอก กับ การนำออกโดยพนักงาน ข้อ 1 คืออย่างแรก ข้อ 2 คืออย่างหลัง ข้อ 3 คือการวางมาตรการ

4. Wi-Fi ปลอมกับไซต์ปลอม — ข้อ 1(1)(2)

สิ่งที่ น.ส. Y ยกก่อนคือสถานการณ์ที่ ผู้มาเยือนที่เคยใช้เครือข่ายไร้สายสำหรับผู้มาเยือน ในฐานะผู้โจมตี เชื่อมเครือข่ายไร้สายสำหรับผู้มาเยือนจากใกล้บริษัท M แล้วเข้าถึงบริการ B

เหตุผลที่สถานการณ์นี้ตั้งได้คือวิธีรับรองของเครือข่ายไร้สายเป็น WPA2-PSK PSK (Pre-Shared Key, คีย์ล่วงหน้า) ตามชื่อคือวิธีที่ ทุกคนแชร์คีย์เดียวกัน คีย์ล่วงหน้าของเครือข่ายไร้สายสำหรับผู้มาเยือนมีไว้เพื่อบอกผู้มาเยือน พอบอกครั้งหนึ่ง ไม่มีทางยกเลิกสถานะที่คนนั้นจะรู้ต่อไป (นอกจากเปลี่ยนทั้งกอง) และอาคารสำนักงานหันถนนใหญ่ที่มีคนผ่านมาก ดังนั้นคลื่นถึงได้แม้จากนอกอาคาร

คำตอบของ นาย S ตรงนี้ชัด การลงชื่อเข้าใช้บริการ B ต้องมี [a] รหัสผู้ใช้ และ [b] รหัสผ่าน นี่คือตัวอย่างคำตอบของข้อ 1(1) (ลำดับไม่กำหนด) การต่อเครือข่ายไร้สายได้เองไม่หมายถึงการลงชื่อเข้าใช้บริการ B

AP ปลอมกับไซต์ปลอม

จากนั้น น.ส. Y เสนอสถานการณ์ที่ก้าวขึ้นอีกขั้น เตรียม AP ปลอม ที่ตั้งเหมือน AP ของเครือข่ายไร้สายสำหรับผู้มาเยือน และ ไซต์ปลอม ที่ URL เดียวกับบริการ B แล้วดัดแปลงการตั้ง DNS เพื่อขโมยรหัสผู้ใช้และรหัสผ่าน หากวาง AP ปลอมใกล้บริษัท M พนักงานบริษัท M อาจต่อพีซีงานเข้า AP ปลอมโดยผิด แล้วพยายามเข้าถึงบริการ B จึงเข้าถึงไซต์ปลอม แล้วลงชื่อเข้าใช้

ที่เรียก evil twin (ฝาแฝดปีศาจ) หากตั้ง AP ด้วย SSID เดียวกับเครือข่ายไร้สายสำหรับผู้มาเยือนและคีย์ล่วงหน้าเดียวกัน จากมุมเครื่องจะแยกจาก AP ที่ถูกต้องไม่ได้ เพราะสิ่งที่เครื่องยืนยันเกี่ยวกับ AP ได้ใน WPA2-PSK มีแค่ «รู้คีย์ล่วงหน้าเดียวกัน» AP ที่ไม่รู้คีย์ทำขั้นตอนการเชื่อมไม่จบ แต่พูกลับ คนที่รู้คีย์ใครก็ได้เป็น «AP ของจริง» ได้ คีย์ที่แจกให้ผู้มาเยือน ควรถือว่าถูกแจกให้ผู้โจมตีด้วย

คำตอบของ นาย S ตรงนี้ก็ชัด เมื่อพนักงานพยายามเข้าถึงไซต์ปลอมด้วย HTTPS จะมีข้อความข้อผิดพลาดว่าไม่ใช่การเชื่อมที่ปลอดภัย พร้อมอย่างน้อยหนึ่งในสี่รายการต่อไปนี้ที่แสดงในเว็บเบราว์เซอร์ตามใบรับรองเซิร์ฟเวอร์ที่ใช้กับไซต์ปลอม

• ใบรับรองเซิร์ฟเวอร์นี้ไม่ใช่ใบรับรองเซิร์ฟเวอร์ที่ออกจากผู้ออกใบรับรองที่เชื่อถือ (ช่องว่าง c)
• ชื่อเซิร์ฟเวอร์ที่บันทึกในใบรับรองเซิร์ฟเวอร์นี้ต่างจากชื่อเซิร์ฟเวอร์ปลายทาง (ช่องว่าง d)
• ใบรับรองเซิร์ฟเวอร์นี้ถูกเพิกถอน
• ใบรับรองเซิร์ฟเวอร์นี้หมดอายุ

สองข้อล่างถูกเขียนในเล่มข้อตั้งแต่ต้น สองข้อบน (ช่องว่าง c และ d อย่างละไม่เกิน 40 ตัวอักษร ลำดับไม่กำหนด) คือสิ่งที่ตอบในข้อ 1(2)

sequenceDiagram
    accTitle: AP ปลอมกับไซต์ปลอมถูกหยุดด้วยการตรวจใบรับรอง
    accDescr: เมื่อพนักงานเชื่อม HTTPS ผ่าน AP ปลอม จะเกิดข้อผิดพลาดว่าไม่ได้ออกจากผู้ออกใบรับรองที่เชื่อถือหรือชื่อเซิร์ฟเวอร์ไม่ตรง แล้วหน้าลงชื่อเข้าใช้จะไม่ถูกแสดง
    autonumber
    participant U as พีซีงานของพนักงาน
    participant F as AP ปลอม・ไซต์ปลอม<br/>(ผู้โจมตี)
    participant B as บริการ B (ที่ถูกต้อง)

    Note over F: ตั้ง AP ด้วย SSID เดียวกับ<br/>เครือข่ายไร้สายสำหรับผู้มาเยือนและคีย์ล่วงหน้าเดียวกัน
    U->>F: ต่อ AP ปลอมโดยผิด
    Note over F: ดัดแปลง DNS ให้ชื่อโดเมนของ<br/>บริการ B ชี้ไปไซต์ปลอม
    U->>F: เชื่อม HTTPS ไป URL ของบริการ B
    F-->>U: ใบรับรองเซิร์ฟเวอร์ของไซต์ปลอม
    Note over U: การตรวจไม่ผ่าน<br/>・ไม่ได้ออกจากผู้ออกใบรับรองที่เชื่อถือ<br/>・ชื่อเซิร์ฟเวอร์ในใบรับรองต่างจากปลายทาง
    Note over U: แสดงข้อผิดพลาดว่าไม่ใช่การเชื่อมที่ปลอดภัย<br/>หน้าลงชื่อเข้าใช้ไม่ถูกแสดง
    Note over U,B: ไม่ได้สื่อสารกับ<br/>บริการ B ที่ถูกต้องตั้งแต่ต้น

ภาพ 2: การเข้าถึง HTTPS ผ่าน AP ปลอมล้มที่การตรวจใบรับรองเซิร์ฟเวอร์ แล้วหน้าลงชื่อเข้าใช้จะไม่ถูกแสดง.

การตรวจใบรับรองมองอะไร

คำอธิบายการให้คะแนนเขียนถึงข้อนี้ดังนี้

ข้อ 1(2) อัตราถูกต่ำ แม้ผู้โจมตีเตรียมไซต์ปลอม หากเข้าถึงด้วย HTTPS การตรวจใบรับรองเซิร์ฟเวอร์จะล้มเหลว การตรวจใบรับรองเซิร์ฟเวอร์เป็นความรู้พื้นฐานในการรักษาความปลอดภัยของการสื่อสาร จึงอยากให้เข้าใจรวมว่าตรวจรายการใดอย่างเป็นรูปธรรม

แม้รู้ว่า «ข้อผิดพลาดใบรับรองออก» คนที่แยกได้เป็นสี่รายการว่า กำลังยืนยันอะไรแล้วจึงไม่ผ่าน มีน้อย จัดสี่รายการที่รูปที่ 2 ยก ด้วยมุมว่าเป็นการยืนยันเพื่ออะไร ได้ดังนี้

จากมุมผู้โจมตี สองข้อบนเป็นกำแพงที่ข้ามไม่ได้ หากทำใบรับรองที่ลงนามเองจะตกข้อแรก หากออกใบรับรองฟรีอย่างถูกต้องสำหรับโดเมนตนเอง (เช่น b-service.example.net) ปลายทางเป็นโดเมนของบริการ B จึงตกข้อที่สอง เพราะ ใบรับรองสำหรับชื่อโดเมนของบริการ B ออกไม่ได้ถ้าไม่ได้จัดการโดเมนของบริการ B คู่สองจุดนี้พูดได้ว่าเป็นแก่นของกลไกใบรับรอง

ขั้นตอนการตรวจเส้นทางใบรับรองถูกกำหนดใน RFC 5280⁵ ขั้นตอนเทียบชื่อที่เขียนในใบรับรองกับชื่อปลายทางถูกกำหนดใน RFC 6125⁶

ทั้งสี่รายการไม่ได้มีผลเท่ากัน

ตรงนี้แยกคำตอบของข้อสอบกับการทำงานจริงของเบราว์เซอร์ สี่รายการบนเป็นสิ่งที่รูปที่ 2 ของโจทย์ยกเป็น «รายละเอียดข้อผิดพลาดที่อาจแสดง» ห้ามอ่านว่าทุกเบราว์เซอร์ตรวจทั้งสี่ด้วยความชัวร์เท่ากัน

สามข้อ คือผู้ออก ชื่อเซิร์ฟเวอร์ และวันหมดอายุ ตัดสินได้ด้วยข้อมูลในมือตอนรับใบรับรอง จึงถูกตรวจเสมอ สิ่งที่หยุดการโจมตีของข้อนี้ก็คือสามข้อนี้

ในทางกลับกัน การตรวจเพิกถอนอย่างเดียวมีนิสัยต่าง ว่าถูกเพิกถอนหรือไม่ไม่ได้เขียนในใบรับรอง ต้องไปดึงข้อมูลอื่น จึงขึ้นกับการอิมพลีเมนต์และการตั้ง

• Chrome โดยปกติไม่ตรวจ OCSP หรือ CRL ออนไลน์ แทนที่นั้นแจกรายการจำกัดชื่อ CRLSet ที่มุ่งบล็อกใบรับรองอย่างเร็วในยามฉุกเฉิน และส่วนที่ถูกดึงจากรายการเพิกถอนของ CA มีแค่บางส่วน⁷
• แม้การอิมพลีเมนต์ที่สอบถาม OCSP โครงที่ปล่อยการเชื่อมผ่านเมื่อไม่ได้คำตอบ (soft-fail) ถูกใช้อย่างกว้าง

ดังนั้นอย่าทำให้ «คีย์ลับรั่วแล้วเพิกถอนก็พอ» เป็นเสาของมาตรการ การเพิกถอนเป็น สิ่งที่ควรทำ แต่ ไม่ใช่กลไกที่ได้ผลชัวร์ในทุกเบราว์เซอร์ของผู้ใช้ การย่อช่วงที่ใช้ได้ของใบรับรองในปีหลังก็เป็นคำตอบฝั่งอุตสาหกรรมต่อที่การเพิกถอนพึ่งไม่ได้ เมื่อสงสัยว่ารั่วคีย์ในองค์กรตนเอง ต้องทำคู่กับการขอเพิกถอน คือสลับใบรับรอง และทำให้สิ่งที่คีย์นั้นปกป้อง (เซสชัน คีย์ API ฯลฯ) เป็นโมฆะด้วย

กับดักในงานจริง — «ผู้ออกใบรับรองที่เชื่อถือ» ใครเป็นคนกำหนด

ต่อจากนี้เป็นเรื่องนอกโจทย์ ข้อแรกของตารางบน ขึ้นกับว่าเครื่องนั้นเชื่อถืออะไร รายการความเชื่อถือถือโดยเบราว์เซอร์หรือ OS และบน Windows คือ «ผู้ออกใบรับรองรากที่เชื่อถือ» ของที่เก็บใบรับรอง

กล่าวคือ ในสถานการณ์ต่อไปนี้ การตรวจข้อแรกผ่านได้

• แจกใบรับรองรากของผู้ออกใบรับรองในองค์กร (CA ส่วนตัว) ไปพีซีงาน คีย์ลับของ CA นั้น หรือขั้นตอนการออกใบรับรอง ถูกผู้โจมตีกุม
• พร็อกซีหรือสินค้าความปลอดภัยที่ตรวจเนื้อหาการสื่อสารใส่ใบรับรองรากของตนเองลงเครื่องเพื่อจบ TLS สินค้าหรืองานนั้นถูกผู้โจมตีกุม
• เพราะ «ข้อผิดพลาดใบรับรองออก» ใครสักคนเคยลงทะเบียนข้อยกเว้น หรือใส่ใบรับรองที่ลงนามเองลงรากที่เชื่อถือ

ข้อที่สามเห็นจริงในสนามบ่อย รูปอย่างสิ่งที่เคยใส่ด้วยมือครั้งหนึ่งเพื่อลบข้อผิดพลาดใบรับรองของระบบในองค์กร แล้วยังเหลือในอิมเมจที่ถูกส่งต่อจากพีซีของผู้ที่ลาออก เนื้อที่เก็บผู้ออกใบรับรองรากที่เชื่อถือคือคำประกาศว่าเครื่องนั้นเชื่อใคร จึงควรเป็นเป้าการทำรายการ การตัดสินว่าควรใส่ที่เก็บใดด้วยอะไร จัดใน คู่มือปฏิบัติที่เก็บใบรับรองของ Windows

สำหรับการตรวจข้อที่สอง (ชื่อเซิร์ฟเวอร์ตรงกัน) มีจุดระวังในงานจริงแยก การโจมตีที่ผู้ใช้ดูชื่อโดเมนผิด ใบรับรองไร้พลัง หากผู้โจมตีได้โดเมนที่สับสนอย่าง b-serv1ce.example.com แล้วออกใบรับรองอย่างถูกต้องสำหรับโดเมนนั้น เบราว์เซอร์จะไม่ออกข้อผิดพลาด สิ่งที่ใบรับรองรับประกันคือ «ชื่อเซิร์ฟเวอร์ปลายทางตรงกับชื่อเซิร์ฟเวอร์ในใบรับรอง» ไม่ใช่ «ชื่อเซิร์ฟเวอร์นั้นเป็นคู่ที่ผู้ใช้ตั้งใจ» กลไกที่ไม่พึ่งสายตาผู้ใช้ในก้าวสุดท้ายนี้คือวิธีอย่างพาสคีย์ (WebAuthn) ที่ตรวจต้นกำเนิดฝั่งตัวรับรอง รายละเอียดอยู่ใน ทำไมพาสคีย์จึงปลอดภัย

5. เหตุผลที่ยังหยุดแม้พิมพ์ http:// — ข้อ 1(3)

น.ส. Y ไม่ยอม ถ้าในสถานะต่อ AP ปลอม พนักงานพิมพ์ URL ของบริการ B ในเว็บเบราว์เซอร์แล้วพิมพ์ผิดเป็น http:// จะไม่แสดงข้อความข้อผิดพลาดหรือ

เป็นข้อสงสัยที่สม หากเชื่อมด้วย HTTP ใบรับรองเซิร์ฟเวอร์ไม่ปรากฏตั้งแต่ต้น ไซต์ปลอมดูเหมือนจะแสดงหน้าลงชื่อเข้าใช้โดยไม่มีข้อผิดพลาดใด

คำตอบของ นาย S คือ «ไม่เป็นไร เปิด HSTS ไว้แล้ว ดังนั้นแม้กรณีนั้นก็แสดงข้อความข้อผิดพลาดเดียวกับเมื่อกี้» ข้อ 1(3) ถาม การเคลื่อนของเว็บเบราว์เซอร์จนถึงก่อนแสดงข้อความข้อผิดพลาด ไม่เกิน 60 ตัวอักษร

ตัวอย่างคำตอบคือ «แทนที่การเข้าถึง HTTP ด้วยการเข้าถึง HTTPS แล้วเข้าถึง จากนั้นรับใบรับรองเซิร์ฟเวอร์จากไซต์ปลอม»

ในเบราว์เซอร์เกิดอะไร

HSTS (HTTP Strict Transport Security) เป็นกลไกที่ไซต์ประกาศด้วยส่วนหัว Strict-Transport-Security ว่า «ต่อไปโฮสต์นี้ต้องมาด้วย HTTPS» แล้วเบราว์เซอร์จำไว้ RFC 6797 เป็นผู้กำหนด⁸

เมื่อพยายามเข้าถึงโฮสต์ที่จำไว้ด้วย http:// เบราว์เซอร์เคลื่อนดังนี้

1. แทนที่สคีมของ URL จาก http เป็น https หากพอร์ต 80 ถูกระบุชัด ให้แปลงเป็น 443 (RFC 6797 ข้อ 8.3)
2. ผลคือเชื่อมด้วย HTTPS ตอนนี้ DNS ถูกดัดแปลง ดังนั้นปลายทางคือไซต์ปลอม
3. รับใบรับรองเซิร์ฟเวอร์จากไซต์ปลอม
4. การตรวจล้มเหลว แล้วเป็นข้อผิดพลาดเดียวกับหมวด 4

สำคัญคือ การแทนที่ในข้อ 1 จบก่อนออกเครือข่าย คำขอ HTTP ข้อความธรรมดาไม่ถูกส่งตั้งแต่ต้น จึงไม่เกิดสถานการณ์ «เชื่อมด้วย HTTP จึงไม่มีใบรับรอง»

กด «เพิกเฉยแล้วเดิน» ไม่ได้

อีกอย่าง HSTS มีนิสัยที่ใหญ่ในงานจริง RFC 6797 ข้อ 8.4 กำหนดว่าหากเกิดข้อผิดพลาดระหว่างสร้างช่องทางสื่อสารที่ปลอดภัยกับโฮสต์ที่เปิด HSTS ไม่ว่าเป็นคำเตือนหรือร้ายแรง ต้องตัดการเชื่อม และข้อ 12.1 เรียกพฤติกรรมนั้นว่า “No User Recourse” (ไม่ให้ทางเลี่ยงแก่ผู้ใช้) และระบุว่าห้ามให้ทางเลือกอย่าง «การเชื่อมนี้ไม่ปลอดภัย แต่จะดำเนินการต่อหรือไม่»

ข้อผิดพลาดใบรับรองปกติ เบราว์เซอร์จำนวนมากมีเส้นทางอย่าง «การตั้งขั้นสูง» «ดำเนินการต่อ» ในหน้าคำเตือน ในงานจริง ภาพที่ผู้ใช้ชินข้อผิดพลาดใบรับรองของระบบในองค์กรแล้วกดสิ่งนี้แบบสะท้อนไม่ใช่ของแปลก HSTS ปิดการสะท้อนนั้น ในฐานะการป้องกันต่อไซต์ปลอม แม้พูดได้ว่า «กดไม่ได้» นี้ได้ผลกว่าตัวการตรวจใบรับรองเอง

ข้อสมมติของ HSTS — ครั้งแรกอย่างเดียวปกป้องไม่ได้

อย่างไรก็ดี HSTS มีข้อสมมติ ตามที่ RFC 6797 ข้อ 8.1 กำหนด โฮสต์หนึ่งกลายเป็น «โฮสต์ HSTS ที่รู้จัก» เมื่อ ตัวแทนผู้ใช้ได้รับส่วนหัว Strict-Transport-Security บนช่องทางสื่อสารที่ปลอดภัย กล่าวคือเบราว์เซอร์นั้นต้องเคยถึงไซต์ที่ถูกต้องด้วย HTTPS อย่างน้อยครั้งหนึ่ง

ดังนั้นกรณีต่อไปนี้จะไม่ถูกปกป้อง

• พีซีงานที่เพิ่งแจกใหม่ การเข้าถึงครั้งแรกเกิดใต้ AP ปลอมทันที
• สร้างโปรไฟล์เบราว์เซอร์ใหม่ หรือลบข้อมูลท่องแล้วบันทึก HSTS ก็หาย
• อายุของบันทึก (max-age) หมดแล้ว

การเติมปัญหาครั้งแรกนี้คือ รายการพรีโหลด HSTS หากอยู่ในรายการโดเมนที่ฝังในเบราว์เซอร์ล่วงหน้า จะถูกบังคับ HTTPS แม้ไม่เคยเข้าถึงเลย

อย่างไรก็ดี หากพิจารณาลงทะเบียนไซต์ของตนเอง ตรวจเงื่อนไขก่อน ข้อกำหนดการลงทะเบียนมีดังนี้⁹

• ให้ใบรับรองที่ใช้ได้
• หากรอรับที่พอร์ต 80 ให้เปลี่ยนเส้นทางจาก HTTP ไป HTTPS บนโฮสต์เดียวกัน
• ให้ทุกซับโดเมนด้วย HTTPS (รวม www หากมีระเบียน DNS)
• คืนส่วนหัว Strict-Transport-Security ที่ฐานโดเมนมี max-age 31536000 วินาที (1 ปี) ขึ้นไป, includeSubDomains, preload

ที่ได้ผลคือข้อที่สามคู่กับ includeSubDomains หากซับโดเมนเก่าสำหรับในองค์กรเป็น HTTP อย่างเดียว หรือยังไม่มีใบรับรอง พอลงทะเบียนทันทีจะถึงสิ่งนั้นไม่ได้ ให้ทำรายการซับโดเมนทั้งหมดก่อนลงทะเบียน

และ การถอนไม่ง่าย โดยทั่วไปรับคำขอลบ แต่กว่าการเปลี่ยนจะถึงเบราว์เซอร์ของผู้ใช้ใช้เวลาหลายเดือน และสำหรับเบราว์เซอร์นอก Chrome ไม่มีการรับประกัน⁹ ปลอดภัยที่จะเข้าด้วยมุมว่าพรีโหลดไม่ใช่การตั้ง «พลาดแล้วค่อยคืน»

ในทางกลับกันฝั่งที่ใช้ บริการคลาวด์ที่ใช้ในงานรองรับ HSTS หรือไม่ เป็นมุมที่ใส่ในรายการตรวจตอนเลือกได้

6. วินาทีที่การอนุมัติกลายเป็นพิธี ฟังก์ชันแชร์กลายเป็นเส้นทางนำออก — ข้อ 2(1)

ต่อจากนี้ย้ายไปพิจารณาการนำออกโดยพนักงาน

นาย S ตรวจการดำเนินงานฟังก์ชันแชร์ไฟล์ก่อน หัวหน้าตรวจที่อยู่อีเมลปลายทางกับไฟล์อย่างจริงก่อนอนุมัติหรือไม่ คำตอบของ น.ส. Y คือ «ดูเหมือนมีหัวหน้าที่ตรวจไม่ได้ด้วย»

จากนั้นที่ นาย S ชี้คือข้อ 2(1) ตอบอย่างเป็นรูปธรรมไม่เกิน 40 ตัวอักษรถึง วิธีใช้ฟังก์ชันแชร์ไฟล์ในทางที่ผิด เพื่อให้ดาวน์โหลดไฟล์จากนอกบริษัท M ได้

ตัวอย่างคำตอบคือ «ระบุที่อยู่อีเมลส่วนตัวของตนเองเป็นที่อยู่อีเมลของผู้แชร์ภายนอก»

การออกแบบถูก แต่งานรั่ว

ฟังก์ชันแชร์ไฟล์ของบริการ B ถูกสร้างอย่างคิดมาแล้ว

• การแชร์ต้องมีการอนุมัติจากหัวหน้า
• ลิงก์แชร์ภายนอก ไม่ถูกแจ้งทั้งแก่ตนเองและหัวหน้า ผู้แชร์เองส่งต่อลิงก์แล้วนำออกไม่ได้
• ลิงก์มีสตริงสุ่มที่เดายาก และมีอายุ 1 วัน

ข้อที่สองโดยเฉพาะเป็นการออกแบบที่รู้ตัวเรื่องการนำออกจากภายใน แม้กระนั้นก็ทะลุได้ เพราะ ถ้าทำให้ปลายทางเป็นตนเอง ลิงก์ที่ «ไม่ถูกแจ้งแก่ตนเอง» ก็ถึงมือตนเอง

และเงื่อนไขที่ช่องทางนี้เปิดมีอย่างเดียว คือ «หัวหน้าไม่ตรวจปลายทาง» เวิร์กโฟลว์อนุมัติถูกออกแบบด้วยข้อสมมติว่าผู้อนุมัติดูเนื้อ หากไม่ดู นั่นเป็นแค่เส้นทางส่งอัตโนมัติ

เงื่อนไขที่การอนุมัติกลายเป็นพิธีถูกกำหนดไว้แล้ว

เมื่อการอนุมัติกลายเป็นพิธีในงานจริง สาเหตุโดยทั่วไปเป็นอย่างใดอย่างหนึ่งต่อไปนี้

สิ่งที่บริษัท M ในข้อนี้ขาดหลักคือสองข้อท้าย พอใส่กลไกให้ผ่านการอนุมัติ ก็ต้องมีกลไกดูผลที่อนุมัติทีหลังด้วย แค่เห็นรายการได้ว่าการแชร์ภายนอกไปโดเมนเมลฟรีมีกี่รายการต่อเดือน วิธีนี้ก็หาเจอง่ายขึ้นมาก

ภาพรวมว่าธุรกิจขนาดกลางและเล็กควรเริ่มจากตรงไหน อยู่ใน วิธีเดิน «แนวปฏิบัติมาตรการความมั่นคงปลอดภัยสารสนเทศของธุรกิจขนาดกลางและเล็ก» ฉบับที่ 4.0 ของ IPA

7. ช่องทางชื่อห้องประชุม — ข้อ 2(2)

คำถามถัดไปของ นาย S คือ «นำพีซีส่วนตัวเข้าห้องประชุมได้ไหม» คำตอบของ น.ส. Y คือ «ไม่ได้ห้ามนำเข้าห้องประชุม จึงนำเข้าได้»

ตรงนี้มีวิธีที่ 1 และวิธีที่ 2 ทั้งคู่เป็นโครงเรื่อง ดาวน์โหลดไฟล์จากบริการ B ด้วยพีซีส่วนตัว แล้วพาพีซีส่วนตัวนั้นออกไปทั้งเครื่อง การตั้งซอฟต์แวร์ป้องกันการรั่วไหลที่ใส่ในพีซีงานไม่มีผลกับพีซีส่วนตัวเลย

วิธีที่ 1 — การปลอมที่อยู่ MAC

วิธีที่ 1 คือเปลี่ยน [e] ที่อยู่ MAC ของอินเทอร์เฟซเครือข่ายไร้สายของพีซีส่วนตัว เป็นที่อยู่ MAC ของอินเทอร์เฟซเครือข่ายไร้สายของพีซีงาน แล้วต่อพีซีส่วนตัวเข้าเครือข่ายไร้สายสำหรับพนักงาน การตอบช่องว่าง e คือข้อ 2(2)

สิ่งที่ปกป้องทางเข้าเครือข่ายไร้สายสำหรับพนักงานคือคีย์ล่วงหน้าของ WPA2-PSK กับตัวกรองที่อยู่ MAC ทั้งสอง พนักงานข้ามได้

• คีย์ล่วงหน้า ถูกตั้งในพีซีงาน และพนักงานเป็นผู้ใช้พีซีงาน ตราบที่เป็นวิธีที่ทุกคนแชร์คีย์อันเดียว ข้อสมมติคือ «ผู้ใช้รู้ได้»
• ที่อยู่ MAC ถูกเขียนทับฝั่งเครื่องได้ โดยปกติเปลี่ยนจากการตั้ง OS หรือคุณสมบัติไดรเวอร์ ไม่ต้องมีเครื่องมือพิเศษ ยิ่งกว่านั้นที่อยู่ MAC บนเฟรมเครือข่ายไร้สายไม่ถูกเข้ารหัส ดังนั้นรับคลื่นใกล้ ๆ ก็รู้ที่อยู่ MAC ของพีซีงานที่ลงทะเบียนแล้วได้

ตัวกรองที่อยู่ MAC กับการไม่แจ้ง SSID มีความหมายในฐานะการจัดระเบียบที่ลดการเชื่อมผิด แต่ไม่ใช่กลไกการรับรองที่หยุดคู่ที่ตั้งใจเข้า ให้ตรวจในโครงของตนเองด้วยว่ากำลังนับสองสิ่งนี้เข้า «มาตรการ» หรือไม่

วิธีที่ 2 — แค่ต่อเครือข่ายไร้สายสำหรับผู้มาเยือน

วิธีที่ 2 เรียบง่ายกว่า ต่อพีซีส่วนตัวเข้าเครือข่ายไร้สายสำหรับผู้มาเยือน ดาวน์โหลดไฟล์จากบริการ B แล้วพาพีซีส่วนตัวออกไปทั้งเครื่อง แค่นั้น

ไม่ต้องปลอมที่อยู่ MAC สิ่งที่ต้องมีคือคีย์ล่วงหน้าของเครือข่ายไร้สายสำหรับผู้มาเยือน ซึ่งเป็นสิ่งที่แจกให้ผู้มาเยือน พนักงานจะไม่รู้ได้อย่างไร

ตรงนี้ย่อมเกิดข้อสงสัยต่อไป บริการ B น่าจะจำกัดให้ «รหัสผู้ใช้ที่กำหนดให้พนักงานบริษัท M ลงชื่อเข้าใช้ได้จากที่อยู่ IP โกลบอลของบริษัท M เท่านั้น» หรือ

การจำกัดที่อยู่ IP ต้นทางอนุญาตอะไร

อ่านการตั้งไฟร์วอลล์ในโจทย์แล้วคำตอบออก การสื่อสารจากเครือข่ายไร้สายสำหรับผู้มาเยือนออกอินเทอร์เน็ต ก็ถูกแปลงด้วย NAT เดียวกันเป็นที่อยู่ IP โกลบอลหนึ่งที่อยู่เดียวกันกับการสื่อสารจากเครือข่ายไร้สายสำหรับพนักงาน

จากมุมบริการ B ทั้งสามแยกไม่ได้ ข้อจำกัดด้วยที่อยู่ IP ถูกเลี่ยง

โครงนี้ปรากฏซ้ำนอกข้อสอบด้วย การจำกัดด้วยที่อยู่ IP ต้นทางไม่ได้หมายถึง «จากเครื่องนี้เท่านั้น» มันหมายถึง «จากทุกคนที่ออกด้วยที่อยู่ IP โกลบอลนี้» ยกตัวอย่างแบบฉบับที่ช่วงที่ตั้งใจอนุญาตกับช่วงที่ถูกอนุญาตจริงคลาด

ไม่ใช่เรื่องที่การจำกัดด้วยที่อยู่ IP ต้นทางไร้ความหมาย เป็นเรื่องที่ อย่าใช้ข้อจำกัดแค่แผ่นเดียว พอจำกัดด้วยที่อยู่ IP แล้วซ้อนกลไกระบุตัวเครื่องเอง (ใบรับรองลูกข่ายหรือใบรับรองอุปกรณ์) และกลไกระบุผู้ใช้ (การรับรองหลายปัจจัย) จึงแสดง «คนนี้ ของเครื่องนี้» ได้ มาตรการของข้อนี้ก็เดินไปทิศนั้นพอดี

8. ตรึงเครื่องด้วยใบรับรอง — ข้อ 3(1)–(4)

เป็นมาตรการต่อวิธีที่ 1 บริษัท M เลือก EAP-TLS เป็นวิธีรับรองของเครือข่ายไร้สายสำหรับพนักงาน และจะเตรียมเซิร์ฟเวอร์รับรอง

ข้อ 3(1) — RADIUS

ข้อ 3(1) ถามโปรโตคอลบน UDP ที่เซิร์ฟเวอร์รับรองใช้กับ EAP ตัวอย่างคำตอบคือ RADIUS

จัดโครงแล้วตัวละครมีสามฝ่าย

ระหว่างพีซีงานกับ AP คือ IEEE 802.1X (EAP over LAN) ระหว่าง AP กับเซิร์ฟเวอร์รับรองคือ RADIUS RADIUS ทำงานบน UDP¹⁰ ขั้นตอนของตัว EAP-TLS ถูกกำหนดใน RFC 5216¹¹ เมื่อประกอบบน Windows Server ผู้รับบทเซิร์ฟเวอร์รับรองคือ Network Policy Server (NPS)¹²

จับว่าอะไรเปลี่ยนเมื่อย้ายจาก WPA2-PSK ไป EAP-TLS

แถวสุดท้ายต้องเติม คู่ที่ลูกข่ายตรวจใบรับรองใน EAP-TLS คือ เซิร์ฟเวอร์รับรอง ไม่ใช่ AP AP เป็นแค่ออเทนติเคเตอร์ที่ส่งต่อบทสนทนา EAP ลูกข่ายไม่ได้ยืนยันตัวตนของตัว AP เอง

ที่ยังเป็นเครื่องเตรียมต่อ evil twin ในหมวด 4 ได้ เพราะวัสดุคีย์ที่ถูกสร้างเมื่อการรับรองสำเร็จ ตกถึงแค่ AP ที่ถูกต้องซึ่งถือความลับร่วมของ RADIUS AP ที่ผู้โจมตีตั้งเองโดยไม่มีเซิร์ฟเวอร์รับรองที่ถูกต้องข้างหน้า ทำขั้นตอนนี้จนจบไม่ได้ สิ่งที่ลูกข่ายตรวจโดยตรงคือเซิร์ฟเวอร์รับรอง และความถูกต้องของ AP ถูกดึงทางอ้อมจากตรงนั้น นี่คือโครง

อย่างไรก็ดีมีเงื่อนไข ถ้าฝั่งลูกข่ายไม่ได้ตั้งว่า «จะเชื่อใบรับรองเซิร์ฟเวอร์ที่ผู้ออกใบรับรองใดออก ชื่อใด» เมื่อผู้โจมตีเตรียมเซิร์ฟเวอร์รับรองของตนเองจะแยกไม่ได้ จริงมีโครงที่ใส่ EAP-TLS แล้ว แต่ปิดการตรวจใบรับรองเซิร์ฟเวอร์ในโปรไฟล์ลูกข่าย พอนำเข้าใช้ ให้ตรวจรวมถึงตรงนั้น

ข้อ 3(2) — คำตอบผิดที่คำอธิบายการให้คะแนนชี้

คำอธิบายของ น.ส. Y ต่อดังนี้ จะตั้งเซิร์ฟเวอร์ CA ใหม่แล้วออกใบรับรองลูกข่าย ไม่ใช่ให้พนักงานติดตั้งลงพีซีงานของตนเอง แต่ เก็บลงพีซีงานด้วยฟังก์ชันของเซิร์ฟเวอร์ไดเรกทอรี และ [f] ที่คู่กับใบรับรองลูกข่าย ถูกเก็บใน TPM ของพีซีงานเพื่อ [g] แล้วปกป้อง

ข้อ 3(2) ถามช่องว่าง f ตัวอย่างคำตอบคือ คีย์ลับ

คำอธิบายการให้คะแนนเขียนดังนี้

ข้อ 3(2) อัตราถูกค่อนข้างสูง แต่มีคำตอบบางส่วนอย่าง “คีย์สาธารณะ” หรือ “ใบรับรองเซิร์ฟเวอร์” PKI เป็นเทคโนโลยีสำคัญที่เป็นฐานของเทคโนโลยีความปลอดภัยหลากหลาย จึงอยากให้เข้าใจว่าถูกใช้ในฉากใดอย่างไร

คีย์สาธารณะอยู่ในใบรับรองแล้วถูกแจกทั่วโลก ไม่เป็นเป้าที่ต้องปกป้อง สิ่งที่ต้องปกป้องคือ คีย์ลับที่ควรมีแค่เจ้าของใบรับรองนั้น «รับรองด้วยใบรับรองลูกข่าย» ตามความหมายที่แม่นคือ «พิสูจน์ว่าถือคีย์ลับที่คู่กับคีย์สาธารณะในใบรับรอง โดยแสดงลายเซ็นด้วยคีย์นั้น» ดังนั้นถ้าทำสำเนาคีย์ลับได้ การรับรองด้วยใบรับรองก็สูญความหมาย

ใส่ใน TPM แล้วอะไรเปลี่ยน — ข้อ 3(3)

ข้อ 3(3) ถามช่องว่าง g ไม่เกิน 20 ตัวอักษร ตัวอย่างคำตอบคือ «เพื่อไม่ให้ดึงจากพีซีงานได้»

หากวางคีย์ลับเป็นไฟล์บนเครื่อง นั่นเป็นข้อมูลที่คัดลอกได้ หากคัดลอกไปพีซีส่วนตัว พีซีส่วนตัวนั้นยืนยันตัวตนในฐานะพีซีงานผ่านได้ สิ่งที่ตั้งใจปิดวิธีที่ 1 (การปลอมที่อยู่ MAC) แค่ถูกแทนที่ด้วย «การปลอมใบรับรอง»

TPM สร้างคีย์ในนั้น แล้วถือในสถานะดึงออกไม่ได้ การคำนวณอย่างลายเซ็นเกิดใน TPM ตัวคีย์ไม่ตกถึง OS แอปพลิเคชัน หรือมัลแวร์ ผลคือ คีย์ลับนั้นถูกตรึงที่ชิ้นส่วนกายภาพหนึ่งชิ้นของเครื่องนั้น

เมื่ออิมพลีเมนต์บน Windows ให้ระบุ Microsoft Platform Crypto Provider เป็นผู้ให้บริการที่เก็บคีย์ (KSP) ของแม่แบบใบรับรอง ผู้ให้บริการนี้ปกป้องคีย์ด้วย TPM และเลือกไม่ได้หากแม่แบบใบรับรองมีเครื่องหมาย «อนุญาตการส่งออกคีย์ลับ»¹³ เป็นข้อจำกัดที่สม หากส่งออกได้ การปกป้องก็ไร้ความหมาย

บทบาทของชิ้นส่วน TPM เอง อยู่ใน คู่มือปฏิบัติ BitLocker จากบริบทการเข้ารหัสไดรฟ์ มุมคิด «ไม่ยอมให้คีย์ลับออกนอกอุปกรณ์» เป็นแนวเดียวกับการออกแบบตัวรับรองที่อธิบายใน ทำไมพาสคีย์จึงปลอดภัย

ทำไมพูดได้ว่า «ไม่มีปัญหา» — ข้อ 3(4)

นาย S ที่ฟังคำอธิบายของ น.ส. Y ตอบว่า «ถ้าเก็บแบบนั้น คิดว่าไม่มีปัญหา» ข้อ 3(4) ถามเหตุผลนั้นไม่เกิน 40 ตัวอักษร

ตัวอย่างคำตอบคือ «เพราะข้อมูลรับรองที่จำเป็นต่อ EAP-TLS เก็บได้แค่ในพีซีงาน»

ไล่ลำดับได้ดังนี้

1. ใบรับรองลูกข่ายไม่ได้ให้พนักงานติดตั้งเอง แต่ถูกแจกไปพีซีงานด้วยฟังก์ชันของเซิร์ฟเวอร์ไดเรกทอรี ไม่ผ่านมือพนักงาน
2. คีย์ลับอยู่ใน TPM ดึงจากพีซีงานไม่ได้
3. ดังนั้นสิ่งที่ต่อเครือข่ายไร้สายสำหรับพนักงานด้วย EAP-TLS ได้มีแค่พีซีงานที่บริษัทแจก
4. พีซีส่วนตัว แม้ปลอมที่อยู่ MAC ก็ผ่านการรับรองไม่ได้ วิธีที่ 1 ถูกปิด

ระวังคำพูดแบบมีเงื่อนไขว่า «ถ้าเก็บแบบนั้น» หากวางคีย์ลับเป็นไฟล์บนพีซีงาน นาย S น่าจะไม่พูดว่าไม่มีปัญหา แม้ «การรับรองด้วยใบรับรองลูกข่าย» เดียวกัน ช่วงที่ปกป้องได้เปลี่ยนตามวิธีวางคีย์ลับ

สิ่งที่ TPM ไม่ปกป้อง

ในทางกลับกัน ไม่ใช่เรื่องที่ใส่ใน TPM แล้วสบายใจ TPM รับประกันแค่ «คีย์นั้นไม่ถูกทำสำเนาไปเครื่องอื่น» สิ่งต่อไปนี้ไม่ถูกปกป้อง

• เมื่อตัวเครื่องถูกนำออก หากนำพีซีงานออก ก็เท่ากับนำ TPM ออกไปด้วย ตามกฎของบริษัท M ห้ามนำพีซีงานออกนอกบริษัท แต่กฎกับการบังคับทางเทคนิคคนละเรื่อง ต้องมีการเข้ารหัสไดรฟ์ (รวมการรับรองก่อนบูต) และการดำเนินงานเพิกถอนใบรับรองเมื่อสูญหายแยก
• การแอบอ้างเป็นผู้ใช้ TPM ระบุเครื่อง แต่ไม่รับประกันว่าคนที่ใช้งานเครื่องนั้นเป็นใคร การรับรองผู้ใช้จำเป็นแยก
• มัลแวร์ที่ทำงานบนเครื่อง อ่านคีย์ลับไม่ได้ แต่โค้ดที่ทำงานบนเครื่องนั้น «ขอให้ TPM ลงนาม» ได้ กันการทำสำเนาคีย์ได้ แต่กันการใช้ในทางที่ผิดระหว่างเครื่องถูกยึดไม่ได้

9. แยกที่อยู่ IP ของทางออก — ข้อ 3(5)

เป็นมาตรการต่อวิธีที่ 2 (แค่ต่อเครือข่ายไร้สายสำหรับผู้มาเยือน) บริษัท M พิจารณาสองทาง ทางเปลี่ยนการตั้ง NAT ของ FW กับทางใช้บริการเครือข่ายไร้สาย (บริการ D)

ข้อ 3(5) ถามเนื้อหาการเปลี่ยนของอย่างแรกไม่เกิน 70 ตัวอักษร ตัวอย่างคำตอบมีสาระว่า «ทำให้ที่อยู่ IP ต้นทางเมื่อเข้าถึงอินเทอร์เน็ตจากเครือข่ายไร้สายสำหรับผู้มาเยือน เป็นที่อยู่ IP อื่นจากที่อยู่ IP โกลบอลที่ใช้อยู่ตอนนี้» (ในโจทย์ระบุที่อยู่ IP โกลบอลนั้นเป็น a1.b1.c1.d1)

ดังที่เห็นในหมวด 7 วิธีที่ 2 ตั้งได้เพราะการสื่อสารของเครือข่ายไร้สายสำหรับผู้มาเยือนออกด้วยที่อยู่ IP โกลบอลเดียวกับพนักงาน ดังนั้นแปลงเฉพาะเครือข่ายไร้สายสำหรับผู้มาเยือนเป็นที่อยู่ IP โกลบอลอื่นก็พอ ข้อจำกัดที่อยู่ IP ฝั่งบริการ B ไม่ต้องเปลี่ยน มีแค่การเข้าถึงจากเครือข่ายไร้สายสำหรับผู้มาเยือนที่หลุดจากตรงนั้น

สิ่งนี้ตั้งได้เพราะฝั่ง WAN ของบริษัท M ถูกกำหนดที่อยู่ IP โกลบอลหลายที่อยู่ อ่านการตั้งอินเทอร์เฟซของ FW ในโจทย์ ซับเน็ตมาสก์ฝั่ง WAN คือ 255.255.255.248 คือ /29 ที่อยู่ที่ใช้ได้ไม่ใช่หนึ่งที่อยู่ เป็นเบาะแสเงียบแต่ชัวร์ที่ให้อ่านตารางในโจทย์ละเอียด

ว่าจะใช้มือเดียวกันในองค์กรตนเองได้หรือไม่ ขึ้นกับว่าสายที่สัญญาใช้ที่อยู่ IP โกลบอลหลายที่อยู่ได้หรือไม่ ถ้ามีแค่อันเดียว ทางนี้ใช้ไม่ได้ กรณีนั้นเป็นทางแยกในหมวดถัดไป

10. จนถึงลบการตั้งที่เลิกใช้จึงเป็นมาตรการ — ข้อ 3(6)(7)

ผลพิจารณา บริษัท M ตัดสินใจใช้บริการ D

• วางเราเตอร์เครือข่ายไร้สายที่บริการ D ให้ยืม (เราเตอร์ D) ในห้องประชุม
• บนเราเตอร์ D เปิดฟังก์ชันเซิร์ฟเวอร์ DHCP และฟังก์ชันเซิร์ฟเวอร์แคช DNS
• เครื่องที่ผู้มาเยือนนำมา ไม่ผ่านเครือข่ายของบริษัท M เชื่อมอินเทอร์เน็ตด้วย SIM ที่ติดในเราเตอร์ D
• โปรเจกเตอร์ไม่ใช้เครือข่ายไร้สายสำหรับผู้มาเยือน เปลี่ยนเป็นวิธีต่อด้วยสาย HDMI

flowchart LR
    accTitle: หลังมาตรการให้แยกเครือข่ายสำหรับผู้มาเยือน
    accDescr: ฝั่งพนักงานใช้ EAP-TLS กับ TPM ส่วนเครื่องที่ผู้มาเยือนนำมาออกอินเทอร์เน็ตด้วย SIM ของเราเตอร์ D โดยไม่ผ่านเครือข่ายของบริษัท M
    subgraph M["เครือข่ายในองค์กรของบริษัท M (หลังมาตรการ)"]
        direction TB
        E["เครือข่ายไร้สายสำหรับพนักงาน<br/>EAP-TLS + RADIUS<br/>คีย์ลับอยู่ใน TPM"]
        S["เครือข่ายเซิร์ฟเวอร์"]
        FW["FW"]
        E --> FW
        S --> FW
    end
    subgraph K["ห้องประชุม"]
        T["เครื่องที่ผู้มาเยือนนำมา"]
        D["เราเตอร์ D<br/>ออกอินเทอร์เน็ตตรงด้วย SIM"]
        T --> D
    end
    FW --> B["บริการ B"]
    D --> I["อินเทอร์เน็ต"]

ภาพ 3: เครือข่ายสำหรับผู้มาเยือนถูกแยกจากเครือข่ายของบริษัท M ทั้งทางกายภาพและทางตรรกะ และจะไม่ออกด้วยที่อยู่ IP โกลบอลเดียวกันอีก.

เครือข่ายสำหรับผู้มาเยือนถูกแยกจากเครือข่ายของบริษัท M ทั้งทางกายภาพและทางตรรกะ จะไม่ออกด้วยที่อยู่ IP โกลบอลเดียวกันอีก

ข้อ 3(6) — การสื่อสารที่เลิกจำเป็น

เมื่อเครื่องที่ผู้มาเยือนนำมาเลิกใช้เครือข่ายของบริษัท M การสื่อสารไปเซิร์ฟเวอร์ DHCP และเซิร์ฟเวอร์ [h] ที่เคยจำเป็นจะเลิกจำเป็น ตัวอย่างคำตอบของช่องว่าง h คือ DNS

เราเตอร์ D เองมีฟังก์ชันเซิร์ฟเวอร์ DHCP และฟังก์ชันเซิร์ฟเวอร์แคช DNS ดังนั้นเครื่องที่ผู้มาเยือนนำมาไม่ต้องใช้เซิร์ฟเวอร์ DHCP และเซิร์ฟเวอร์ DNS ในเครือข่ายเซิร์ฟเวอร์ของบริษัท M อ่านคำอธิบายในโจทย์ซ้ำแล้วเขียนไว้อย่างนั้นตามตัว

ข้อ 3(7) — ยกการตั้งที่ควรลบทั้งหมด

ข้อ 3(7) ให้ตอบ หมายเลขรายการที่ควรลบจากการตั้งอินเทอร์เฟซ VLAN และการตั้งการกรองของ FW ตามการเปลี่ยนนี้ แต่ละอย่างทั้งหมด

คำตอบคือ จากการตั้งอินเทอร์เฟซ VLAN คือ VLAN ของเครือข่ายไร้สายสำหรับผู้มาเยือน (รายการ 1) จากการตั้งการกรองคือสองอย่าง คือ กฎที่อนุญาต HTTP/HTTPS จากเครือข่ายไร้สายสำหรับผู้มาเยือนไปอินเทอร์เน็ต (รายการ 1) และ กฎที่อนุญาตการเข้าถึง DNS ของเครือข่ายเซิร์ฟเวอร์จากเครือข่ายไร้สายสำหรับผู้มาเยือน (รายการ 4) คู่กัน ลบการตั้ง SSID สำหรับผู้มาเยือนจากการตั้ง AP

คำอธิบายการให้คะแนนเขียนดังนี้

ข้อ 3(7) อัตราถูกสูง ต้องเข้าใจผลกระทบที่ตามการทบทวนการตั้งการกรองทั้งหมดของไฟร์วอลล์กับสภาพแวดล้อมเครือข่ายไร้สายแล้วตอบ และถูกเข้าใจอย่างเหมาะสม

เป็นข้อที่อัตราถูกสูง แต่ ในงานจริงองค์กรที่ทำถึงขั้นนี้ไม่มาก งานใส่กลไกใหม่มีทั้งงบและเส้นตาย แต่งานลบการตั้งเก่าไม่มี และสิ่งที่ลืมลบโผล่ในรูปต่อไปนี้

ไฟร์วอลล์ของข้อนี้เป็นวิธีที่ ประเมินจากกฎหมายเลขน้อยก่อน แล้วใช้กฎที่ตรงอันแรก (โจทย์ระบุชัดอย่างนั้น) ในวิธีนี้ การเหลือกฎอนุญาตที่เลิกใช้ไว้ด้านบน เท่ากับเหลือรูเพื่อไม่ให้ถึงกฎปฏิเสธท้าย

อย่างไรก็ดี อย่าสรุปวิธีประเมินนี้ไปทุกไฟร์วอลล์ วิธีตัดสินต่างตามสินค้า

ไม่ว่าวิธีใด ความอันตรายของการเหลืออนุญาตที่ไม่ใช้เองไม่เปลี่ยน ที่เปลี่ยนคือ «ทำไมอันตราย» และ «แก้ได้อย่างไร» ยืนยันว่าอุปกรณ์ของตนเองเป็นวิธีใด แล้วใส่มุม «ต้นทางและปลายทางยังมีอยู่หรือไม่» ในเป้าการทำรายการเป็นระยะ

เรื่องไฟร์วอลล์ฝั่งโฮสต์ ว่าจะจัดการกฎขาเข้าที่แอปธุรกิจต้องการอย่างไร อยู่ใน ไฟร์วอลล์ Windows กับแอปธุรกิจ

11. มาตรการที่ไม่ได้ผล กับมาตรการที่ได้ผล

รวมข้อนี้เป็นแผ่นเดียวได้ตารางต่อไปนี้ การตรงระหว่างมาตรการที่บริษัท M มี กับเส้นทางที่ถูกข้ามจริง

แถวสุดท้ายอย่างเดียวที่ «ได้ผล» และเมื่อเรียงสิ่งที่ถูกวางเป็นมาตรการ ได้ดังนี้

เทียบแล้วนิสัยต่างชัด มาตรการที่ถูกข้ามจำนวนมากเป็นสิ่งที่ห้าม «วิธี» ส่วน มาตรการที่ได้ผลและมาตรการที่ถูกวางเป็นสิ่งที่เปลี่ยน «เส้นทาง» หรือ «นิสัยของข้อมูลรับรอง» แม้ปิด USB ถ้ายังมีเส้นทางถึงไฟล์ การนำออกก็ตั้งได้ แม้ทำให้คีย์ล่วงหน้ายาว ความเป็นความลับร่วมก็ไม่เปลี่ยน

12. มุมตรวจในงานจริง

ยกมุมตรวจเมื่อทาบข้อนี้กับโครงขององค์กรตนเอง

1. เขียนมาตรการนำออกเป็นเส้นทางได้ ไม่ใช่วิธีหรือไม่ ไม่ใช่รายการวิธีอย่าง USB แนบอีเมล เว็บเมล แต่สร้าง «รายการเครื่องและเครือข่ายที่ถึงไฟล์งานได้» หากมีเส้นทางที่เครื่องนอกการจัดการถึงได้อย่างน้อยหนึ่งเส้น การห้ามวิธีจะถูกเลี่ยง
2. กฎนำเข้าและนำออกไม่ได้จำกัดสถานที่หรือไม่ «ห้ามนำเข้าห้องทำงาน» คืออนุญาตห้องประชุม แผนกต้อนรับ และพื้นที่ร่วม ตรวจว่าเขตทางกายภาพกับเขตเครือข่ายตรงกันหรือไม่
3. พูดได้หรือไม่ว่าการจำกัดที่อยู่ IP ต้นทางอนุญาตช่วงใดจริง นับทั้งหมดที่ออกด้วยที่อยู่ IP โกลบอลนั้น Wi-Fi สำหรับผู้มาเยือน เครือข่ายสำหรับผู้มาเยือน VPN ระหว่างสาขา เกตเวย์รวมสำหรับทำงานจากบ้าน สภาพแวดล้อมตรวจ
4. ข้อมูลรับรองของเครือข่ายไร้สายเป็นต่อเครื่องหรือไม่ คีย์ล่วงหน้าเป็นความลับร่วมที่ทุกคนถืออันเดียวกัน คนเดียวรั่วก็รั่วทั้งกอง และหยุดเฉพาะหนึ่งเครื่องก็ไม่ได้
5. ไม่ได้วนตัวกรองที่อยู่ MAC กับการไม่แจ้ง SSID เข้าจำนวนมาตรการหรือไม่ ทั้งคู่เป็นการจัดที่ลดการเชื่อมผิด ไม่ใช่การรับรอง
6. คีย์ลับของใบรับรองลูกข่ายอยู่ในสถานะดึงจากเครื่องไม่ได้หรือไม่ คีย์ลับที่วางเป็นไฟล์ทำสำเนาได้ ระบุผู้ให้บริการที่เก็บคีย์ที่ใช้ TPM และไม่อนุญาตการส่งออก
7. ลูกข่ายที่ใส่ EAP-TLS กำลังตรวจใบรับรองของเซิร์ฟเวอร์รับรองหรือไม่ ถ้าปิดตรงนี้ ความทนต่อเซิร์ฟเวอร์รับรองปลอมจะหาย
8. ข้อผิดพลาดใบรับรองเซิร์ฟเวอร์ไม่ได้ถูกผู้ใช้ข้ามด้วย «ดำเนินการต่อ» หรือไม่ ตั้ง HSTS บนไซต์ของตนเอง อย่าปล่อยข้อผิดพลาดใบรับรองของระบบในองค์กรจนผู้ใช้เรียนรู้ว่า «ข้อผิดพลาดคือสิ่งที่กดแล้วเดิน»
9. กำลังทำรายการเนื้อที่เก็บผู้ออกใบรับรองรากที่เชื่อถือหรือไม่ สิ่งที่อยู่ในนั้นคือคู่ที่เครื่องนั้นประกาศว่า «ถ้าเป็นใบรับรองที่ผู้ออกใบรับรองนี้ออก ถือว่าเป็นของจริง»
10. ผู้อนุมัติในเวิร์กโฟลว์อนุมัติได้รับวัสดุตัดสินหรือไม่ และกำลังดูผลที่อนุมัติทีหลังหรือไม่ ตรวจรายการการแชร์ไปโดเมนนอกองค์กรและเมลฟรีเป็นระยะ
11. ลบการตั้งของเส้นทางที่เลิกหรือไม่ อินเทอร์เฟซ VLAN กฎกรอง SSID รายการในรายการอนุญาต ให้ปฏิบัติงานลบด้วยเส้นตายเช่นเดียวกับงาน «ใส่ของใหม่»

บทส่งท้าย — มาตรการที่ไม่ได้เขียน «ช่วง» ไม่ปกป้อง

ถ้าข้อ 1 เป็นข้อที่ถามว่า «มาตรการนั้น หยุดการโจมตีใด ที่ขั้นใด» ข้อ 2 ที่ถามคือ «มาตรการนั้น ปกป้องช่วงใด»

มาตรการของบริษัท M ทุกอันมีช่วงโดยนัย ช่วงของซอฟต์แวร์ป้องกันการรั่วไหลถึงแค่พีซีงาน ช่วงของห้ามนำเข้าถึงแค่ห้องทำงาน ช่วงของตัวกรองที่อยู่ MAC ถึงแค่ «คู่ที่ไม่ปลอม» ช่วงของการจำกัดที่อยู่ IP ต้นทางถึงแค่ «ทุกคนที่ออกด้วยที่อยู่ IP โกลบอลนั้น» แต่ละช่วงทำงานถูก เพียงแต่ข้อต่อกับเพื่อนบ้านว่าง

ข้อนี้เป็นเรื่องปฏิบัติเพราะ บริษัท M ถูกวาดเป็นบริษัทที่ทำมาตรการอย่างจริงจัง หลังเหตุการณ์ปีก่อน ปิดทั้งสองปลายของเส้นทาง และใส่แม้ซอฟต์แวร์เฉพาะ ที่ยังมีรูไม่ใช่เพราะผู้รับผิดชอบเกียจคร้าน แต่เพราะวิธีเติมมาตรการทีละอย่างมองช่องว่างของช่วงไม่เห็น

จะหาช่องว่างได้ มีทางเดียวคือเขียน รายการเส้นทาง ไม่ใช่รายการมาตรการ สิ่งที่ น.ส. Y กับ นาย S ในข้อนี้ทำอยู่คือสิ่งนั้นพอดี แยกเป็น «ผู้โจมตีภายนอก» กับ «พนักงาน» แล้วปิดเส้นทางถึงทีละเส้น ความสามารถที่ IPA เขียนในเจตนาออกข้อว่า «ความสามารถสมมติภัยคุกคามในสภาพแวดล้อมที่ใช้เครือข่ายไร้สายจากมุมหลากหลาย» น่าจะหมายถึงงานนี้

ด้านให้คำปรึกษาที่เกี่ยวข้อง

KomuraSoft LLC รับรีวิวการออกแบบที่ยึดเครือข่ายและโครงเครื่องที่มีอยู่ และการอิมพลีเมนต์การแจกใบรับรองกับการปกป้องคีย์ในสภาพแวดล้อม Windows

• ที่ปรึกษาเทคนิคและรีวิวการออกแบบ
• พัฒนาแอป Windows
• ตรวจสอบบั๊กและหาสาเหตุ
• ติดต่อเรา

ลิงก์อ้างอิง

บทความที่เกี่ยวข้อง

บทความล่าสุดที่มีแท็กเดียวกัน เพื่อเจาะลึกหัวข้อใกล้เคียง

หัวข้อที่เกี่ยวข้อง

หน้าเหล่านี้วางหัวข้อไว้ในบริบทที่กว้างขึ้นของบริการและการตัดสินใจ

บริการที่เกี่ยวข้องกับหัวข้อนี้

บทความนี้เกี่ยวข้องโดยตรงกับบริการต่อไปนี้

คำถามที่พบบ่อย

คำถามที่มักพบในการปรึกษาเกี่ยวกับหัวข้อของบทความนี้

ห้ามต่อ USB และห้ามบันทึกลงดิสก์ท้องถิ่นแล้ว ทำไมยังนำไฟล์ออกได้

สิ่งที่ห้ามคือฟังก์ชันของพีซีงานที่บริษัทให้ยืม ไม่ใช่เส้นทางถึงที่ที่ไฟล์อยู่ ในข้อนี้พนักงานใช้พีซีส่วนตัวของตนเอง ไม่แตะพีซีงานเลย ต่อพีซีส่วนตัวเข้าเครือข่ายไร้สายของห้องประชุม ลงชื่อเข้าใช้ที่เก็บบนคลาวด์ (บริการ B) ด้วยรหัสผู้ใช้ของตนเอง ดาวน์โหลดไฟล์ แล้วพาพีซีส่วนตัวนั้นกลับไปทั้งเครื่อง การตั้งซอฟต์แวร์ป้องกันการรั่วไหลที่ใส่ในพีซีงานไม่มีผลกับพีซีส่วนตัวเลย บริษัท M ห้ามนำพีซีส่วนตัวเข้ามา แต่ที่ห้ามคือเฉพาะห้องทำงาน ห้องประชุมอยู่นอกขอบเขต แม้ปิดทีละวิธี (USB แนบอีเมล เว็บเมล) ถ้ายังมีเส้นทางถึงไฟล์ได้ การนำออกก็ตั้งได้

บริการ B จำกัดให้ «ลงชื่อเข้าใช้ได้จากที่อยู่ IP โกลบอลของบริษัท M เท่านั้น» ทำไมหลุดจากเครือข่ายไร้สายสำหรับผู้มาเยือนได้

เพราะการสื่อสารของเครือข่ายไร้สายสำหรับผู้มาเยือนก็ผ่าน NAT ของไฟร์วอลล์เดียวกัน แล้วถูกแปลงเป็นที่อยู่ IP โกลบอลเดียวกันก่อนออกอินเทอร์เน็ต จากมุมบริการ B การเข้าถึงจากพีซีงานในองค์กร กับการเข้าถึงจากพีซีส่วนตัวที่ต่อเครือข่ายไร้สายสำหรับผู้มาเยือนในห้องประชุม เห็นเป็นที่อยู่ IP ต้นทางเดียวกัน แยกไม่ได้ การจำกัดด้วยที่อยู่ IP ต้นทางต้องเข้าใจว่าไม่ใช่ «จากเครื่องนี้เท่านั้น» แต่เป็นการตั้งที่อนุญาต «ทุกคนที่แชร์ทางออกนี้» สิ่งที่ออกด้วยที่อยู่ IP โกลบอลเดียวกันทั้งหมด อย่าง Wi-Fi สำหรับผู้มาเยือน VPN ระหว่างสาขา และเกตเวย์รวมสำหรับทำงานจากบ้าน ล้วนอยู่ในขอบเขตที่อนุญาต

เครือข่ายไร้สายสำหรับพนักงานมีตัวกรองที่อยู่ MAC นี่ไม่เป็นมาตรการหรือ

ไม่เป็น เพราะที่อยู่ MAC ถูกเขียนทับฝั่งเครื่องได้อย่างอิสระ วิธีที่ 1 ของข้อนี้คือเปลี่ยนที่อยู่ MAC ของอินเทอร์เฟซเครือข่ายไร้สายของพีซีส่วนตัวเป็นที่อยู่ MAC ของพีซีงานที่ลงทะเบียนแล้ว แล้วเชื่อม ที่อยู่ MAC ในเฟรมเครือข่ายไร้สายถูกส่งโดยไม่เข้ารหัส ดังนั้นรับใกล้ ๆ ก็รู้ที่อยู่ MAC ที่ลงทะเบียนแล้วได้ เช่นเดียวกับการไม่แจ้ง SSID แม้ปิดการแจ้ง SSID SSID ก็รู้ได้จากการแลกเปลี่ยนตอนเครื่องเชื่อม ตัวกรองที่อยู่ MAC กับการไม่แจ้ง SSID มีผลลดอุบัติเหตุเชื่อมผิด แต่ไม่ใช่กลไกการรับรองที่หยุดการเชื่อมโดยเจตนา

ถึงมีจุดเข้าถึงปลอมและไซต์ปลอม ทำไมพูดได้ว่าพนักงานไม่ถูกหลอก

เพราะเมื่อเชื่อมด้วย HTTPS ไซต์ปลอมผ่านการตรวจใบรับรองเซิร์ฟเวอร์ไม่ได้ รูปที่ 2 ของโจทย์ยกสี่รายการเป็นรายละเอียดข้อผิดพลาดที่อาจแสดงตอนนั้น ไม่ได้ออกจากผู้ออกใบรับรองที่เชื่อถือ ชื่อเซิร์ฟเวอร์ที่เขียนในใบรับรองต่างจากชื่อเซิร์ฟเวอร์ปลายทาง ถูกเพิกถอน และหมดอายุ ทั้งสี่ ผู้โจมตีหาใบรับรองที่ถูกต้องสำหรับชื่อโดเมนของบริการ B ไม่ได้ ดังนั้นถ้าใช้ใบรับรองที่ลงนามเองจะตกข้อแรก ถ้าใช้ใบรับรองที่ออกอย่างถูกต้องสำหรับโดเมนตนเองจะตกข้อที่สอง ตามคำอธิบายการให้คะแนนของ IPA อัตราถูกของข้อที่ถามเนื้อหาการตรวจนี้ต่ำ อนึ่ง ทั้งสี่รายการไม่ได้มีผลเท่ากัน สิ่งที่หยุดการโจมตีคือสองข้อแรก (ผู้ออกและชื่อ) กับวันหมดอายุ ซึ่งเบราว์เซอร์ตรวจเสมอ ส่วนการตรวจเพิกถอนขึ้นกับการอิมพลีเมนต์และการตั้ง ตัวอย่างเช่น Chrome โดยปกติไม่ตรวจ OCSP หรือ CRL ออนไลน์ แต่ใช้รายการจำกัดชื่อ CRLSet ที่มุ่งบล็อกฉุกเฉินเป็นหลัก อย่าคิดว่าเพิกถอนแล้วย่อมดีดได้ นอกจากนี้หากแจกใบรับรองรากของผู้ออกใบรับรองในองค์กรไปพีซีงาน และคีย์ลับหรือขั้นตอนการออกของผู้ออกนั้นถูกผู้โจมตีกุม การตรวจข้อแรกก็ผ่านได้

ถ้าพิมพ์ URL ผิดเป็น «http://» จะเกิดอะไร HSTS ทำอะไรอยู่

เบราว์เซอร์แทนที่ HTTP ด้วย HTTPS แล้วค่อยเชื่อม ดังนั้นผลคือข้อผิดพลาดของใบรับรองเซิร์ฟเวอร์เช่นกัน HSTS เป็นกลไกที่เบราว์เซอร์จำเนื้อหาส่วนหัวที่ได้รับตอนเคยเชื่อม HTTPS ไปไซต์นั้น RFC 6797 กำหนดว่าหาก URL ไปโฮสต์เป้าหมายมีสคีม http ตัวแทนผู้ใช้ต้องแทนที่ด้วย https และถ้าพอร์ต 80 ถูกระบุชัด ให้แปลงเป็น 443 กล่าวคือคำขอ HTTP ข้อความธรรมดาหายก่อนออกเครือข่าย ที่สำคัญกว่าคือ เมื่อการตรวจใบรับรองล้มเหลวในการสื่อสารกับโฮสต์ที่เปิด HSTS ถูกกำหนดให้ตัดการเชื่อมไม่ว่าเป็นคำเตือนหรือร้ายแรง และระบุชัดว่าห้ามให้ทางเลือก «การเชื่อมนี้ไม่ปลอดภัย แต่จะดำเนินการต่อหรือไม่» แก่ผู้ใช้ อย่างไรก็ดี HSTS สมมติว่าเบราว์เซอร์นั้นเคยถึงไซต์ที่ถูกต้องด้วย HTTPS แล้วได้รับส่วนหัว หากเครื่องใหม่เอี่ยม การเข้าถึงครั้งแรกเป็นไซต์ปลอมทันที จะไม่มีผล การเติมครั้งแรกนี้คือรายการพรีโหลดที่ฝังในเบราว์เซอร์

เก็บคีย์ลับของใบรับรองลูกข่ายใน TPM แล้วอะไรเปลี่ยน

คีย์ลับถูกนำออกจากพีซีงานนั้นไม่ได้ คีย์ลับที่วางเป็นไฟล์บนเครื่อง คัดลอกไปพีซีส่วนตัวแล้ว พีซีนั้นยืนยันตัวตนในฐานะพีซีงานผ่านได้ หากสร้างคีย์ใน TPM แล้วทำให้ส่งออกไม่ได้ การคำนวณอย่างลายเซ็นเกิดใน TPM เท่านั้น และตัวคีย์ไม่ตกถึง OS หรือมัลแวร์ ผลคือสิ่งที่ผ่านการรับรอง EAP-TLS ได้มีแค่พีซีงานที่บริษัทแจก ในข้อนี้ที่ นาย S พูดได้ว่า «ถ้าเก็บแบบนั้นก็ไม่มีปัญหา» เป็นเพราะเหตุนี้ เมื่ออิมพลีเมนต์บน Windows ให้ระบุ Microsoft Platform Crypto Provider เป็นผู้ให้บริการที่เก็บคีย์ของแม่แบบใบรับรอง และตั้งไม่ให้อนุญาตการส่งออกคีย์ลับ อย่างไรก็ดี TPM ปกป้องแค่ «คีย์ไม่ถูกทำสำเนาไปเครื่องอื่น» การที่คนถือเครื่องนั้นใช้ได้ไม่เปลี่ยน ต่อการสูญหายหรือถูกขโมยของเครื่อง ต้องเตรียมการเข้ารหัสไดรฟ์และการเพิกถอนใบรับรองแยก

ควรนำอะไรจากข้อนี้กลับไปใช้จริง

มีสี่อย่าง ประการแรก คิดมาตรการนำออกเป็นเส้นทาง ไม่ใช่วิธี แม้ปิด USB แนบอีเมล เว็บเมลทีละอย่าง ถ้ายังมีเครื่องที่ถึงไฟล์ได้ก็ไร้ความหมาย ประการที่สอง เขียนออกมาว่าการจำกัดด้วยที่อยู่ IP ต้นทางอนุญาตช่วงใดจริง หาก Wi-Fi สำหรับผู้มาเยือนหรือ VPN ใช้ทางออกเดียวกัน นั่นก็อยู่ในขอบเขตที่อนุญาต ประการที่สาม ทำให้การรับรองเครือข่ายไร้สายเป็นข้อมูลรับรองต่อเครื่อง คีย์ล่วงหน้าเป็นความลับร่วมที่ทุกคนถืออันเดียวกัน คนเดียวรั่วก็รั่วทั้งกอง หากใช้ EAP-TLS กับใบรับรองลูกข่าย และโครงที่ไม่ยอมให้คีย์ลับออกจาก TPM ข้อมูลรับรองจะถูกตรึงที่เครื่อง ประการที่สี่ ลบการตั้งที่เลิกใช้ ข้อสุดท้ายของข้อนี้ให้ยกการตั้งอินเทอร์เฟซ VLAN และกฎกรองของไฟร์วอลล์ที่เหลือหลังเลิกเครือข่ายไร้สายสำหรับผู้มาเยือนทั้งหมด ตามคำอธิบายการให้คะแนนของ IPA อัตราถูกสูง แต่ในงานจริงองค์กรที่ทำถึงขั้นนี้ไม่มาก

โปรไฟล์ผู้เขียน

หน้าแนะนำผู้เขียนบทความ

Go Komura

ผู้แทนของ KomuraSoft LLC

เชี่ยวชาญด้านการพัฒนาซอฟต์แวร์ Windows ที่ปรึกษาเทคนิค และการตรวจสอบบั๊ก โดยเฉพาะโปรเจกต์ที่มีระบบเดิมและบั๊กที่ทำซ้ำได้ยาก