แอปส่งข้อความ Tchap ของฝรั่งเศสถูกอ้างว่าละเมิดข้อมูลบนดาร์กเว็บ
แพลตฟอร์มส่งข้อความภายในสำหรับรัฐบาลฝรั่งเศสเท่านั้นอย่าง Tchap กลายเป็นศูนย์กลางของเหตุการณ์ด้านความปลอดภัยร้ายแรง หลังจากอาชญากรไซเบอร์โพสต์คำกล่าวอ้างการละเมิดข้อมูลบนฟอรัมดาร์กเว็บ โดยอ้างว่าขโมยข้อมูลละเอียดอ่อนขนาดหลายกิกะไบต์จากระบบ การละเมิดครั้งนี้ถือเป็นการละเมิดข้อมูลการส่งข้อความที่ปลอดภัยของรัฐบาลครั้งสำคัญ และยิ่งน่าตกใจมากขึ้นเมื่อทางการฝรั่งเศสยังไม่ได้ยืนยันว่ามีข้อมูลใดถูกบุกรุกจริงหรือไม่ ความไม่แน่นอนนั้นเพียงอย่างเดียวทำให้เกิดคำถามใหญ่เกี่ยวกับสถานะความปลอดภัยของเครื่องมือสื่อสารที่รัฐสร้างขึ้น
เกิดอะไรขึ้น: คำกล่าวอ้างการละเมิดข้อมูล Tchap และสิ่งที่ผู้โจมตีอ้างว่าขโมยไป
คำกล่าวอ้างของผู้โจมตีปรากฏบนฟอรัมดาร์กเว็บที่มีการซื้อขายและโฆษณาข้อมูลที่ถูกขโมยเป็นประจำ ตามคำกล่าวอ้าง ผู้บุกรุกเข้าถึงการสื่อสารภายในและดึงข้อมูลขนาดหลายกิกะไบต์จาก Tchap แพลตฟอร์มส่งข้อความที่ใช้โปรโตคอล Matrix ซึ่งถูกนำมาใช้งานเฉพาะสำหรับข้าราชการพลเรือนและเจ้าหน้าที่รัฐบาลฝรั่งเศส
Tchap ถูกออกแบบให้เป็นทางเลือกที่อยู่ภายใต้อธิปไตยและควบคุมโดยฝรั่งเศส แทนที่แพลตฟอร์มสำหรับผู้บริโภคอย่าง WhatsApp หรือ Telegram ทำให้รัฐบาลสามารถกำกับดูแลโครงสร้างพื้นฐานการสื่อสารของตนได้โดยตรง นั่นทำให้การละเมิดที่ถูกกล่าวหามีความละเอียดอ่อนเป็นพิเศษ แพลตฟอร์มนี้เป็นที่เก็บการสนทนาระหว่างเจ้าหน้าที่จากกระทรวงและสถาบันสาธารณะต่างๆ ของฝรั่งเศส หมายความว่าการยืนยันการโจรกรรมข้อมูลอาจเปิดเผยการหารือเชิงนโยบาย ข้อมูลบุคลากร และเนื้อหาการปฏิบัติการที่อาจเป็นความลับ
จนถึงขณะนี้ ทางการฝรั่งเศสได้รับทราบเหตุการณ์ดังกล่าวแล้ว แต่ระบุว่ายังไม่สามารถยืนยันได้ว่ามีข้อมูลถูกนำออกไปจริงหรือไม่ การยอมรับนั้นบ่งชี้ถึงช่องว่างที่อาจเกิดขึ้นในความสามารถด้านการบันทึกข้อมูล การเฝ้าติดตาม หรือการตอบสนองต่อเหตุการณ์ภายในโครงสร้างพื้นฐานด้านความปลอดภัยของแพลตฟอร์ม
เหตุใดเครื่องมือส่งข้อความที่รัฐบาลสร้างขึ้นจึงเป็นเป้าหมายที่มีมูลค่าสูง
แพลตฟอร์มส่งข้อความของรัฐอย่าง Tchap เป็นเป้าหมายที่น่าดึงดูดใจอย่างแม่นยำเพราะใครเป็นผู้ใช้ การบุกรุกแอปผู้บริโภคที่สำเร็จอาจได้แชทและรูปภาพส่วนตัว การละเมิดแพลตฟอร์มสำหรับรัฐบาลเท่านั้นอาจได้การหารือระดับรัฐมนตรี การประสานงานระหว่างหน่วยงาน หรือการสื่อสารด้านบุคลากรที่ละเอียดอ่อน มูลค่าด้านข่าวกรองที่อาจเกิดขึ้นนั้นมหาศาล
นอกจากนี้ยังมีปัญหาความซับซ้อนขององค์กร เมื่อแพลตฟอร์มเดียวให้บริการข้าราชการพลเรือนหลายพันคนจากหลายหน่วยงาน พื้นผิวการโจมตีก็กว้างใหญ่ แต่ละบัญชีผู้ใช้ แต่ละอุปกรณ์ และการเชื่อมต่อ API แต่ละจุดล้วนเป็นจุดเข้าที่อาจเกิดขึ้นได้ การรักษาสุขอนามัยด้านความปลอดภัยที่สม่ำเสมอในการใช้งานลักษณะนั้นเป็นเรื่องยากอย่างแท้จริง แม้ว่าจะมีทรัพยากรไอทีของรัฐบาลโดยเฉพาะก็ตาม
เหตุการณ์นี้ไม่ได้เกิดขึ้นอย่างโดดเดี่ยว ฝรั่งเศสกำลังเผชิญกับรูปแบบของการเปิดเผยข้อมูลของสถาบัน ก่อนหน้านี้ในปีนี้ การรั่วไหลครั้งใหญ่จากผู้ให้บริการอีเมลฝรั่งเศสเปิดเผยข้อมูลมากกว่า 40 ล้านระเบียน รวมถึงการสื่อสารที่เชื่อมโยงกับบริษัทขนาดใหญ่และหน่วยงานรัฐ เมื่อนำมารวมกัน เหตุการณ์เหล่านี้ชี้ให้เห็นว่าโครงสร้างพื้นฐานดิจิทัลของฝรั่งเศส ทั้งภาครัฐและเอกชน ตกอยู่ภายใต้แรงกดดันอย่างต่อเนื่องจากผู้ไม่หวังดี
การเข้ารหัสจากต้นทางถึงปลายทาง กับ แพลตฟอร์มของรัฐ: เหตุการณ์ Tchap เปิดเผยอะไร
Tchap ถูกสร้างขึ้นบนโปรโตคอล Matrix แบบเปิดและมีการเข้ารหัส แต่คำกล่าวอ้างการละเมิดได้เน้นย้ำถึงความตึงเครียดที่นักวิจัยด้านความปลอดภัยพูดถึงมานาน: ความแตกต่างระหว่างการเข้ารหัสจากต้นทางถึงปลายทางในฐานะหลักประกันทางคริปโตกราฟี กับความปลอดภัยในการปฏิบัติงานจริงของระบบที่โฮสต์และจัดการการสื่อสารที่เข้ารหัส
แม้ว่าข้อความจะถูกเข้ารหัสระหว่างการส่ง แต่ช่องโหว่ฝั่งเซิร์ฟเวอร์ การกำหนดค่าการควบคุมการเข้าถึงที่ผิดพลาด หรือบัญชีผู้ดูแลระบบที่ถูกบุกรุก สามารถเปิดเผยข้อมูลก่อนที่จะถูกเข้ารหัสหรือหลังจากการถอดรหัส การเข้ารหัสจากต้นทางถึงปลายทางปกป้องเนื้อหาขณะเคลื่อนที่ระหว่างอุปกรณ์ แต่ข้อมูลเมตา ข้อมูลประจำตัวของบัญชี และบันทึกของเซิร์ฟเวอร์มักจะยังคงเข้าถึงได้สำหรับใครก็ตามที่สามารถบุกรุกชั้นโครงสร้างพื้นฐาน
แพลตฟอร์มของรัฐเพิ่มความเสี่ยงอีกชั้นหนึ่ง: พวกมันมีแนวโน้มที่จะถูกพัฒนาและดูแลโดยทีมขนาดเล็กที่มีทรัพยากรน้อยกว่าผู้ให้บริการเชิงพาณิชย์ และได้รับการอัปเดตช้ากว่า แพตช์ความปลอดภัยที่แพลตฟอร์มเชิงพาณิชย์ติดตั้งได้ภายในไม่กี่วัน อาจใช้เวลาหลายสัปดาห์หรือหลายเดือนในสภาพแวดล้อมของรัฐบาล เนื่องจากกระบวนการจัดซื้อและข้อกำหนดการทดสอบความเข้ากันได้
การแลกเปลี่ยนที่รัฐบาลต้องเผชิญนั้นเป็นเรื่องจริง การใช้แพลตฟอร์มผู้บริโภคอย่าง Signal หรือ WhatsApp ทำให้เกิดข้อกังวลด้านความโปร่งใส อธิปไตย และการเก็บบันทึก การสร้างแพลตฟอร์มของรัฐหมายถึงการยอมรับความเสี่ยงด้านความปลอดภัยที่มาพร้อมกับระบบนิเวศการพัฒนาที่เล็กกว่าและวงจรการอัปเดตที่ช้ากว่า
เจ้าหน้าที่และประชาชนจะปกป้องการสื่อสารที่ละเอียดอ่อนได้อย่างไรในอนาคต
สำหรับสถาบันรัฐบาลที่กำลังทบทวนสถานะความปลอดภัยในการสื่อสารหลังจากเหตุการณ์ Tchap มีลำดับความสำคัญเชิงปฏิบัติบางประการที่โดดเด่น
ประการแรก การเฝ้าติดตามและบันทึกข้อมูลด้านความปลอดภัยเป็นสิ่งที่ขาดไม่ได้ ข้อเท็จจริงที่ว่าทางการฝรั่งเศสไม่สามารถยืนยันได้ทันทีว่ามีข้อมูลถูกนำออกไปหรือไม่ ชี้ให้เห็นถึงการมองเห็นกิจกรรมบนแพลตฟอร์มที่ไม่เพียงพอ การบันทึกข้อมูลที่แข็งแกร่ง การตรวจจับความผิดปกติ และขั้นตอนการตอบสนองต่อเหตุการณ์จำเป็นต้องถูกสร้างเข้าไปในแพลตฟอร์มของรัฐตั้งแต่เริ่มต้น ไม่ใช่เพิ่มเข้ามาทีหลัง
ประการที่สอง การควบคุมการเข้าถึงมีความสำคัญพอๆ กับการเข้ารหัส การจำกัดว่าบัญชีใดสามารถเข้าถึงช่องทางที่ละเอียดอ่อน การบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย และการตรวจสอบสิทธิ์อย่างสม่ำเสมอเป็นมาตรการพื้นฐานที่ลดรัศมีความเสียหายของข้อมูลประจำตัวที่ถูกบุกรุกเพียงชุดเดียว
ประการที่สาม ความโปร่งใสกับผู้ใช้เป็นสิ่งจำเป็น ข้าราชการพลเรือนที่ใช้ Tchap สำหรับงานที่ละเอียดอ่อนสมควรได้รับข้อมูลที่ทันเวลาและถูกต้องเกี่ยวกับสิ่งที่เกิดขึ้นและข้อมูลใดที่อาจถูกเปิดเผย ความไม่แน่นอนที่ยืดเยื้อจะกัดกร่อนความไว้วางใจในแพลตฟอร์มและอาจทำให้เจ้าหน้าที่หันไปใช้ทางเลือกที่ปลอดภัยน้อยกว่า
สำหรับประชาชนและบุคคลทั่วไปที่ติดตามเรื่องนี้ บทเรียนที่กว้างกว่านั้นตรงไปตรงมา: ไม่มีแพลตฟอร์มใดที่รอดพ้นจากการละเมิด รวมถึงแพลตฟอร์มที่ดำเนินการโดยรัฐบาลที่มีคำสั่งด้านความปลอดภัยอย่างชัดเจน การเก็บการสื่อสารส่วนบุคคลที่ละเอียดอ่อนไว้บนแพลตฟอร์มที่มีการเข้ารหัสจากต้นทางถึงปลายทางที่แข็งแกร่งและผ่านการตรวจสอบโดยอิสระ ผสานกับสุขอนามัยบัญชีที่ดี เช่น รหัสผ่านที่คาดเดายากและการยืนยันตัวตนสองปัจจัย ยังคงเป็นแนวทางที่น่าเชื่อถือที่สุดที่มีอยู่
เหตุการณ์ Tchap ยังคงพัฒนาต่อไป และขอบเขตทั้งหมดของคำกล่าวอ้างการละเมิดยังไม่ได้รับการตรวจสอบอย่างอิสระ แต่ความไม่แน่นอนนั้นเองเป็นบทเรียน หากแพลตฟอร์มส่งข้อความที่ปลอดภัยที่ดำเนินการโดยรัฐบาลไม่สามารถระบุได้อย่างรวดเร็วว่าข้อมูลของตนถูกขโมยหรือไม่ นั่นคือความล้มเหลวด้านความปลอดภัยในการปฏิบัติงานที่ร้ายแรง ไม่ว่าผลการตรวจพิสูจน์จะออกมาอย่างไรในท้ายที่สุด ทั้งสถาบันและบุคคลทั่วไปควรถือว่านี่เป็นสัญญาณเตือนให้ทบทวนและเสริมสร้างแนวปฏิบัติด้านความปลอดภัยในการสื่อสารของตนเอง
