Amazon S3 คืออะไร? ถูกแฮ็คได้จริงหรือ?!!!
Amazon S3 หรือที่มีชื่อเต็มๆ ว่า Amazon Simple Storage Service คือบริการคลาวด์ ของ Amazon Web Services (AWS) ซึ่งเป็นผู้ให้บริการคลาวด์อันดับหนึ่งของโลก ที่ทาง True เผลอเปิด Public ให้คนสามารถเข้าไปดูบัตรประชาชนของผู้ลงทะเบียนได้ หรือที่ทางฝั่งนู้นเรียกว่าว่าโดนแฮ็คนั่นล่ะครับ
เชื่อว่าก่อนหน้านี้ผู้ใช้งานธรรมดาอย่างเราก็คงไม่ได้รู้จักเจ้าตัว Amazon S3 กันเท่าที่ควร แต่ตอนนี้เมื่อเจอบทความนี้แสดงว่าคุณกำลังหาข้อมูลเพิ่มเติมเกี่ยวกับการใช้งานและความปลอดภัยอยู่ใช่ไหมครับ งั้นเรามาเริ่มรู้จักบริการนี้ให้มากขึ้นกันดีกว่า
• Amazon S3 คืออะไร?
คำตอบง่ายๆ ของคำถามนี้ Amazon S3 ก็คือคลาวด์นั่นแหละครับ ให้ละเอียดอีกนิดก็คือพื้นที่เก็บข้อมูลขนาดใหญที่อยู่ที่ไหนก็ไม่รู้บนอินเตอร์เน็ต ไม่มีเครื่องๆ ให้จับต้องแต่เก็บข้อมูลได้จำนวนมาก โดยคนไทยส่วนใหญ่จะใช้ AWS ที่สิงคโปร์เพราะว่าเป็นจุดที่ใกล้ประเทศไทยที่สุดแล้วเวลาเรียกใช้งาน
โดย S3 นั้นเป็นชื่อบริการตัวแรกสุดของ AWS ที่ให้บริการมาแล้วกว่า 12 ปี มีหน้าที่เก็บข้อมูลแบบออบเจคต์ (object storage) การเก็บวัตถุเป็นชิ้นๆ หรือเรียกได้ว่าเป็นพื้นที่เก็บไฟล์นั่นเอง (AWS มีบริการเก็บข้อมูลแบบอื่นๆ อีก อาทิ เก็บแบบฐานข้อมูล)
Amazon S3 มีความสามารถในการรองรับข้อมูลจำนวนมาก (scalability) การสำรองข้อมูล เก็บข้อมูล Big Data เพื่อใช้วิเคราะห์ ในระดับที่องค์กรทั่วไปไม่สามารถมีได้ พร้อมด้วยความน่าเชื่อถือของระบบ ที่การันตีว่าข้อมูลจะเข้าถึงได้เสมอ มีเซิร์ฟเวอร์กระจายตัวอยู่ทั่วโลก และชื่อเสียงที่มั่นคงในการเป็นคลาวด์อันดับหนึ่งของโลก
• Amazon S3 ปลอดภัยหรือไม่?
ความปลอดภัยของข้อมูลเป็นเรื่องสำคัญอย่างมาก โดยเฉพาะบริษัทใหญ่ที่ต้องเก็บรักษาข้อมูลลูกค้าไว้เป็นความลับ สำหรับ S3 เป็นบริการที่เปิดมานาน และผ่านมาตรฐานตามข้อกำหนดด้านกฎหมายและกฎระเบียบในประเทศต่างๆ ได้รับความไว้วางใจจากองค์กรชั้นนำทั่วโลก อย่าง Walmart, Netflix , Pinterest รวมถึงหน่วยงานรัฐบาลอย่างกระทรวงกลาโหมของสหรัฐ
แต่ถึงแม้ระบบจะรัดกุมแน่นหนาขนาดไหน ก็ไม่ได้หมายความว่าจะไม่มีข้อมูลรั่วไหลออกมา อย่างกรณีของ Walmart ที่บริษัท พาร์ทเนอร์ MBM Company ได้ทำการสร้าง AWS S3 Bucket (คำว่า Bucket เปรียบให้เข้าใจง่ายๆ คือ Folder) ที่มีชื่อว่า walmartsql เอาไว้จัดเก็บข้อมูลสำรองของ Database และไม่ได้ทำการตั้งค่าเอาไว้อย่างปลอดภัย ทำให้ข้อมูลลูกค้ากว่า 1.3 ล้านรายถูกเข้าถึงจากสาธารณะได้ ซึ่งข้อมูลที่ถูกเปิดเผยในครั้งนี้ได้แก่ข้อมูล Mailing List, ข้อมูลบัตรเครดิตที่ถูกเข้ารหัสเอาไว้, รายละเอียดการจ่ายเงิน, โค้ดสำหรับโปรโมชั่นต่างๆ และการสั่งซื้อสินค้า
จนมาถึงกรณีข้อมูลของ TrueMove H ที่เปิดโฟลเดอร์ไฟล์สำเนาบัตรประชาชน, ใบขับขี่, Passport จำนวน 11,400 ราย ของผู้ที่สมัครซื้อซิมพร้อมมือถือผ่าน iTruemart ก็พบว่าเกิดความผิดพลาดจากการตั้งความเป็นส่วนตัวของ Bucket แบบไม่รัดกุมเช่นกัน
• จะป้องกันข้อมูลไม่ให้รั่วไหลได้อย่างไร ?
อย่างที่บอกไปแล้วว่า “การตั้งค่า” เป็นส่วนที่สำคัญที่สุดในการรักษาความปลอดภัยของข้อมูล ซึ่งปกติแล้วค่าเริ่มต้นขอ Bucket ในระบบ AWS จะถูกกำหนดมาเป็นแบบ "private" ตั้งแต่แรก หมายความว่าเฉพาะเจ้าของเท่านั้นที่สามารถเข้าถึงข้อมูลได้ ซึ่งหากต้องมีการทำงานร่วมกันก็สามารถแชร์ยังเพื่อนร่วมงาน หรือเปิด Public ก็สามารถทำได้ในภายหลัง ผ่านเครื่องมือที่เรียกว่า policies and access control lists (ACLs)
ที่มา docs.amazonaws.cn/en_us/AmazonS3/latest/user-guide/bucket-permissions-check.html
ซึ่งสถานะของ Bucket ก็จะแสดงผลอยูด้านหน้า แบบชัดเจน (ชัดมากแบบมีการเน้นสีส้มเพิ่มเงา) เพื่อให้เจ้าของทราบสถานะการแชร์ข้อมูลอยู่เสมอ
โดยถ้าเจ้าของ Bucket เปิดสาธารณะไว้ แน่นอนว่าใครๆ ก็เข้าไปดูได้โดยไม่ต้องแฮ็คระบบอะไร กดเข้าได้สบายๆ ซึ่งถามว่าจะเข้าไปเจอ Bucket เหล่านี้ได้อย่างไร ก็มีโปรแกรมให้ค้นหาครับ (ผู้เชี่ยวชาญขององค์กรจะชอบตั้งชื่อ Bucket แปลกๆ ให้เรามองข้ามไปเพื่อป้องกันอีกต่อหนึ่ง)
สรุปว่าวิธีป้องกันข้อมูลไม่ให้รั่วไหลคือต้องมีสติ มีการวางแผนการทำงานที่รัดกุม จำกัดการเข้าถึงเฉพาะผู้เกี่ยวข้อง และหมั่นตรวจเช็คอยู่เสมอ แค่นี้ก็ปลอดภัยแล้วล่ะครับ
ข่าวสาร
