ข้อผิดพลาดด้าน OPSEC

OPSEC (การรักษาความปลอดภัยในการปฏิบัติงาน) คือแนวทางปกป้องข้อมูลและพฤติกรรมที่อาจใช้ระบุตัวคุณได้ เครื่องมือที่ดีที่สุดก็ล้มเหลวได้เมื่อพฤติกรรมของมนุษย์เปิดเผยความจริง

ประวัติศาสตร์เต็มไปด้วยผู้ปฏิบัติงานที่มีทักษะซึ่งถูกจับได้ ไม่ใช่เพราะการเข้ารหัสถูกทำลาย แต่เพราะความผิดพลาดเพียงครั้งเดียว บทเรียนนี้จะศึกษาความผิดพลาดเหล่านั้น เพื่อให้คุณหลีกเลี่ยงได้ในการทำงานที่ได้รับอนุญาต

ความผิดพลาดสุดคลาสสิกคือการเชื่อมโยงตัวตนที่ไม่เปิดเผยชื่อของคุณเข้ากับตัวตนจริง ตัวอย่างเช่น:

• เข้าสู่ระบบอีเมลส่วนตัวหรือบัญชีโซเชียลขณะใช้ Tor
• นำชื่อผู้ใช้เดิมมาใช้ซ้ำทั้งในบัญชีที่ไม่เปิดเผยชื่อและบัญชีจริง
• เข้าถึงเว็บไซต์ส่วนตัวและเว็บไซต์ลับจากเซสชันเดียวกัน

เพียงมีจุดซ้ำกันหนึ่งจุด ผู้สืบสวนก็สามารถเชื่อมโยงเรื่องราวเข้าด้วยกันได้อย่างถาวร

ไฟล์มีข้อมูลกำกับที่ซ่อนอยู่ รูปภาพจัดเก็บพิกัด GPS และหมายเลขประจำเครื่องกล้อง (EXIF) เอกสารจัดเก็บชื่อผู้เขียน รุ่นซอฟต์แวร์ และประทับเวลา

ให้ลบข้อมูลกำกับออกทุกครั้งก่อนแบ่งปันสิ่งใดก็ตามจากตัวตนที่ไม่เปิดเผยชื่อ

สไตโลเมทรี วิเคราะห์รูปแบบการเขียน ได้แก่ คำศัพท์ เครื่องหมายวรรคตอน คำผิดที่พบบ่อย และสำนวนการเขียน รูปแบบการเขียนของคุณสามารถใช้สร้างลายนิ้วมือเพื่อระบุตัวคุณข้ามบัญชีต่าง ๆ ได้ แม้ไม่มีสิ่งอื่นเชื่อมโยงบัญชีเหล่านั้น

ผู้ปฏิบัติงานเคยถูกเปิดเผยตัวตน เพราะโพสต์ที่ไม่เปิดเผยชื่อของพวกเขามีรูปแบบโดดเด่นตรงกับงานเขียนสาธารณะของตน

ช่วงเวลาที่คุณออนไลน์อยู่เปิดเผยข้อมูลได้มาก หากบัญชีที่ไม่เปิดเผยชื่อออนไลน์เฉพาะเวลา 9.00–17.00 น. ในเขตเวลาใดเขตเวลาหนึ่ง ก็จะช่วยจำกัดขอบเขตสถานที่และตารางเวลาของคุณได้

การเชื่อมโยงช่วงเวลาที่มีกิจกรรมกับบุคคลที่ทราบตัวตนเป็นเทคนิคเปิดเผยตัวตนที่ใช้ได้จริง ให้เปลี่ยนแปลงรูปแบบและหลีกเลี่ยงการทำให้กิจกรรมที่ไม่เปิดเผยชื่อสอดคล้องกับกิจวัตรประจำวัน

การใช้อีเมล หมายเลขโทรศัพท์ เซิร์ฟเวอร์ คีย์ SSH หรือกระเป๋า Bitcoin เดิมซ้ำในหลายการปฏิบัติงาน จะสร้างจุดเชื่อมโยงขึ้นมา ข้อมูลระบุเพียงรายการเดียวที่นำกลับมาใช้ซ้ำ อาจเชื่อมโยงกิจกรรมที่ควรแยกจากกันได้

แบ่งแยกเป็นส่วน: แต่ละตัวตนต้องมีโครงสร้างพื้นฐานที่แยกออกจากกันโดยสิ้นเชิง และไม่แตะต้องโครงสร้างของตัวตนอื่น

การเชื่อว่าเครื่องมือทำได้มากกว่าความสามารถจริงเป็นเรื่องอันตราย:

• คิดว่า VPN ทำให้คุณไม่เปิดเผยตัวตน (แท้จริงคือย้ายความไว้วางใจไปให้ผู้ให้บริการ)
• ใช้ HTTP ผ่านโหนดทางออก Tor และเปิดเผยข้อมูลรับรอง
• สมมติว่าโหมด “ไม่ระบุตัวตน” หรือ “การเรียกดูแบบส่วนตัว” ซ่อนคุณจากเครือข่ายได้

ทำความเข้าใจการรับประกันและข้อจำกัดที่แน่นอนของเครื่องมือแต่ละรายการ

หลักการป้องกันพื้นฐานคือการแบ่งแยกเป็นส่วน: แยกตัวตน อุปกรณ์ และโครงสร้างพื้นฐานออกจากกันอย่างเคร่งครัด เพื่อไม่ให้การรั่วไหลในส่วนหนึ่งลุกลามไปยังส่วนอื่น

ระบบปฏิบัติการอย่าง Tails (ไม่จดจำข้อมูล และส่งข้อมูลทั้งหมดผ่าน Tor) และ Qubes OS (รักษาความปลอดภัยผ่านเครื่องเสมือนที่แยกจากกัน) ได้รับการออกแบบมาโดยเฉพาะเพื่อบังคับใช้การแยกนี้

ผู้ปฏิบัติงานจำนวนมากถูกจับได้เพราะพวกเขาพูด: โอ้อวดในห้องสนทนา เล่าความลับให้เพื่อนที่ภายหลังกลายเป็นผู้ให้ข้อมูล หรือเผลอพูดรายละเอียดในโลกจริง เช่น สถานที่สำคัญในท้องถิ่น ชื่อสัตว์เลี้ยง หรือโรงเรียน

ยิ่งคุณพูดมากเท่าไร ก็ยิ่งสร้างข้อมูลสำหรับเชื่อมโยงมากขึ้นเท่านั้น ความเงียบคือ OPSEC ที่แข็งแกร่ง

OPSEC ที่ดีต้องเกิดจากความตั้งใจ ไม่ใช่การด้นสด กระบวนการมีดังนี้:

• ระบุสิ่งที่คุณต้องปกป้อง (ตัวตน สถานที่ และเจตนา)
• วิเคราะห์ภัยคุกคาม: ใครกำลังพยายามค้นหาคุณ และพวกเขามีความสามารถมากเพียงใด
• ประเมินจุดอ่อนในพฤติกรรมปัจจุบันของคุณ
• ใช้มาตรการรับมือและทบทวนมาตรการเหล่านั้นเป็นประจำ

วินัยมีประสิทธิภาพเหนือกว่าเครื่องมือใดเครื่องมือหนึ่ง

ปฏิบัติการจับกุมครั้งสำคัญหลายกรณีสะท้อนบทเรียนเหล่านี้ ผู้ปฏิบัติงานถูกจับได้เพราะ:

• นำชื่อผู้ใช้ในฟอรัมเก่ากลับมาใช้ซ้ำ ซึ่งสืบย้อนกลับไปยังอีเมลส่วนตัวได้
• โพสต์รูปภาพที่มีพิกัด GPS ใน EXIF ซึ่งเปิดเผยบ้านของตน
• เข้าสู่ระบบโครงสร้างพื้นฐานในครั้งหนึ่งโดยไม่เปิดใช้ชั้นการปกปิดตัวตน

การตั้งค่าทางเทคนิคมักทำได้ดีเยี่ยม แต่ความเผลอเพียงครั้งเดียวของมนุษย์ก็ทำให้ทุกอย่างจบลงได้ ศึกษากรณีเหล่านี้เพื่อซึมซับว่าความผิดพลาดเล็ก ๆ สะสมจนรุนแรงขึ้นได้อย่างไร

ระบุความล้มเหลวด้าน OPSEC

คุณได้ศึกษาความผิดพลาดด้าน OPSEC ที่ทำให้ผู้คนถูกเปิดเผยตัวตน:

• การผสมข้อมูลระบุตัวตน และการนำชื่อผู้ใช้หรือโครงสร้างพื้นฐานกลับมาใช้ซ้ำ
• การรั่วไหลของข้อมูลกำกับ การเปิดเผยรูปแบบการเขียน และรูปแบบด้านเวลา
• การไว้วางใจเครื่องมือเกินกว่าการรับประกันของเครื่องมือ รวมถึงการเผลอเปิดเผยข้อมูลทางสังคมและการโอ้อวด
• การป้องกันคือการแบ่งแยกเป็นส่วน (Tails, Qubes) และแผน OPSEC ที่จัดทำอย่างรอบคอบ

เนื้อหาเรื่องการไม่เปิดเผยตัวตนและ OPSEC จบลงเพียงเท่านี้ โมดูลถัดไป: ความเชี่ยวชาญด้าน Metasploit Framework