สมาร์ตโฮม & อุปกรณ์ IoT

01บ้านที่มีคอมพิวเตอร์ซ่อนอยู่ทุกห้อง What IoT really is

สี่ทุ่มคืนวันพุธ แม่ส่งข้อความเข้ากลุ่มไลน์ครอบครัวว่า “กล้องห้องหลานมันหมุนเองได้ด้วยเหรอ” ทุกคนในกลุ่มเงียบไปพักหนึ่ง เพราะไม่มีใครเปิดแอปดูกล้องตัวนั้นเลยทั้งวัน

เรื่องแบบนี้ไม่ได้ต้องการแฮกเกอร์อัจฉริยะ บ่อยครั้งมันเริ่มจากกล้องราคาไม่กี่ร้อยบาทที่ยังใช้รหัสผ่านจากโรงงาน หรือบัญชีแอปที่ใช้รหัสเดียวกับเว็บช้อปปิ้งที่เคยรั่ว บทนี้จะไล่ให้ดูว่าทำไมของในบ้านถึงกลายเป็นช่องโหว่ได้ และที่สำคัญกว่า คือเราปิดช่องพวกนั้นได้อย่างไรด้วยมือตัวเอง

อินเทอร์เน็ตของสรรพสิ่ง (Internet of Things หรือ IoT) ฟังดูไกลตัว แต่ความจริงคือของใช้ธรรมดาที่ถูกใส่ชิปคอมพิวเตอร์ตัวเล็ก ๆ แล้วต่ออินเทอร์เน็ตได้ ลองเดินดูรอบบ้านคนไทยสักหลัง เราจะเจอกล้องวงจรปิดหน้าบ้านที่ดูผ่านมือถือได้ เบบี้มอนิเตอร์ในห้องลูก ปลั๊กอัจฉริยะที่สั่งเปิดแอร์ก่อนถึงคอนโด หลอดไฟที่เปลี่ยนสีได้ หุ่นยนต์ดูดฝุ่นที่วาดแผนที่บ้านเก็บไว้ สมาร์ตทีวีในห้องนั่งเล่น ลำโพงที่สั่งงานด้วยเสียง และกล่องที่หลายบ้านลืมไปแล้วว่ามีอยู่ คือเราเตอร์ที่ช่างมาติดตั้งพร้อมเน็ตบ้าน

ข้างในของทุกชิ้นมีส่วนประกอบเหมือนคอมพิวเตอร์ย่อส่วน มีหน่วยประมวลผล มีหน่วยความจำ มีระบบปฏิบัติการขนาดเล็ก และมีซอฟต์แวร์ที่ฝังมากับเครื่องเรียกว่าเฟิร์มแวร์ ต่างกันตรงที่มันไม่มีหน้าจอให้เราเห็นว่าข้างในกำลังทำอะไร และมันเปิดอยู่ตลอดเวลา ไม่เคยถูกปิดเครื่องเลยสักวัน

อีกเรื่องที่คนส่วนใหญ่ไม่รู้ คืออุปกรณ์เหล่านี้แทบไม่ได้คุยกับมือถือเราตรง ๆ มันส่งข้อมูลขึ้นไปที่ “คลาวด์” หรือเซิร์ฟเวอร์ของผู้ผลิต แล้วแอปในมือถือเราก็ไปดึงข้อมูลจากคลาวด์นั้นอีกที เราถึงดูกล้องหน้าบ้านจากที่ทำงานได้ ข้อดีคือสะดวก ข้อเสียคือมีของที่ต้องดูแลเพิ่มเป็นสามจุด ได้แก่ ตัวเครื่อง เราเตอร์ที่เป็นทางออกของบ้าน และบัญชีของเราบนคลาวด์ผู้ผลิต

ศัพท์น่ารู้: IoT (Internet of Things)

อุปกรณ์ทั่วไปที่ต่ออินเทอร์เน็ตได้และทำงานเองโดยไม่ต้องมีคนนั่งหน้าจอ ตั้งแต่กล้อง ปลั๊ก ไปจนถึงตู้เย็นและเครื่องซักผ้า ในบ้านเรียกรวม ๆ ว่าสมาร์ตโฮม ส่วนในโรงงานจะเป็นอีกโลกหนึ่งที่เราจะคุยกันในบทถัดไป

ศัพท์น่ารู้: เฟิร์มแวร์ (Firmware)

ซอฟต์แวร์ที่ฝังอยู่ในตัวเครื่อง ทำหน้าที่เป็นทั้งระบบปฏิบัติการและแอปของอุปกรณ์ชิ้นนั้น การ “อัปเดตเฟิร์มแวร์” จึงเท่ากับการซ่อมช่องโหว่ในสมองของเครื่อง ถ้าผู้ผลิตไม่ออกเฟิร์มแวร์ใหม่ ช่องโหว่ก็อยู่อย่างนั้นตลอดไป

02ทำไมของพวกนี้ถึงเจาะง่าย Why IoT devices are weak

ถ้าเทียบกับโน้ตบุ๊กหรือมือถือ อุปกรณ์ IoT ส่วนใหญ่เกิดมาในโลกที่แข่งกันที่ราคาและฟีเจอร์ ผู้ผลิตอยากขายกล้องที่ชัดกว่า ถูกกว่า มาถึงเร็วกว่า ส่วนความปลอดภัยเป็นต้นทุนที่ลูกค้ามองไม่เห็นตอนยืนเลือกของหน้าร้าน มันจึงมักเป็นสิ่งแรกที่ถูกตัด จุดอ่อนที่เจอซ้ำแล้วซ้ำอีกมีอยู่ห้าเรื่อง

หนึ่ง รหัสผ่านตั้งต้นที่เหมือนกันทั้งล็อต อุปกรณ์รุ่นเก่าจำนวนมากออกจากโรงงานพร้อมชื่อผู้ใช้และรหัสผ่านชุดเดียวกันทุกเครื่อง และพิมพ์ไว้ในคู่มือที่ใครก็ดาวน์โหลดได้ ลองนึกภาพหมู่บ้านที่ทุกหลังซ่อนกุญแจสำรองไว้ใต้กระถางหน้าประตูเหมือนกันหมด ขโมยไม่ต้องเก่ง แค่เดินไล่ยกกระถางทีละบ้านก็พอ บนอินเทอร์เน็ตมีโปรแกรมอัตโนมัติคอยเดินไล่ลองรหัสพวกนี้อยู่ตลอดเวลา ไม่มีวันหยุด

สอง ไม่มีอัปเดต หรือมีแต่ไม่มีใครกด มือถือเตือนเราให้อัปเดตจนรำคาญ แต่กล้องบางรุ่นต้องเข้าแอปไปหาเมนูที่ซ่อนอยู่ลึก ๆ เอง บางยี่ห้อไม่เคยออกเฟิร์มแวร์ใหม่เลยตั้งแต่วางขาย และบางรายก็หายไปจากตลาดพร้อมกับบริการอัปเดต ทิ้งให้เครื่องที่ยังเสียบปลั๊กอยู่ในบ้านเรามีช่องโหว่ไปตลอดกาล

สาม เฟิร์มแวร์ราคาถูกที่ใช้ร่วมกันทั้งตลาด กล้องหลายยี่ห้อที่หน้าตาต่างกัน ข้างในอาจใช้แผงวงจรและเฟิร์มแวร์สำเร็จรูปจากผู้ผลิตต้นทางรายเดียวกัน แค่เปลี่ยนโลโก้และกล่อง เมื่อพบช่องโหว่หนึ่งจุด มันจึงกระทบเครื่องนับไม่ถ้วนพร้อมกัน และเจ้าของยี่ห้อปลายทางเองบางทีก็แก้ไม่ได้ เพราะไม่ได้เป็นคนเขียนโค้ด

สี่ ไม่มีหน้าจอ ไม่มีใครเฝ้า ถ้าโน้ตบุ๊กติดมัลแวร์ เรายังพอเห็นอาการ เครื่องช้า มีหน้าต่างแปลก ๆ หรือโปรแกรมป้องกันเด้งเตือน แต่ปลั๊กอัจฉริยะไม่มีอะไรแบบนั้นเลย มันถูกยึดได้ทั้งที่ยังเปิดปิดแอร์ได้ตามปกติ เจ้าของจึงไม่มีทางรู้ตัว และเพราะมันเปิดอยู่ทั้งวันทั้งคืน มันจึงเป็นที่ซ่อนตัวชั้นดีของคนร้าย

ห้า บัญชีคลาวด์คือกุญแจผี เมื่อทุกอย่างสั่งผ่านแอป บัญชีของเราบนแอปผู้ผลิตก็กลายเป็นกุญแจที่เปิดได้ทุกห้อง ใครได้รหัสผ่านไปก็ดูกล้องได้จากทุกมุมโลกโดยไม่ต้องแตะตัวเครื่องเลย ถ้าเราใช้รหัสเดียวกับเว็บอื่นที่เคยรั่ว คนร้ายก็แค่หยิบรหัสชุดนั้นมาลองล็อกอิน เทคนิคนี้เรียกว่าการยัดรหัสผ่าน (credential stuffing) ซึ่งเราคุยกันละเอียดแล้วในบท รหัสผ่าน ยืนยันสองชั้น & พาสคีย์

อ่านมาถึงตรงนี้อาจรู้สึกว่าควรโยนของทุกชิ้นในบ้านทิ้ง ไม่ต้องขนาดนั้นเลย ห้าข้อข้างบนแก้ได้เกือบทั้งหมดด้วยสามนิสัย คือ เปลี่ยนรหัสผ่านตั้งต้น อัปเดตให้เป็นนิสัย และเลือกซื้อของที่ผู้ผลิตยังดูแลอยู่ ส่วนที่เหลือเราจะค่อย ๆ เติมให้ครบในหัวข้อต่อ ๆ ไป

ศัพท์น่ารู้: รหัสผ่านตั้งต้น (Default password)

รหัสที่ติดมากับเครื่องจากโรงงาน มีไว้ให้เราล็อกอินครั้งแรกเพื่อตั้งค่า ปัญหาคือหลายคนไม่เคยเปลี่ยน และในเครื่องรุ่นเก่ามันมักเหมือนกันทุกเครื่อง เครื่องรุ่นใหม่ที่ดีจะบังคับให้ตั้งรหัสใหม่ตั้งแต่ครั้งแรก หรือพิมพ์รหัสเฉพาะของเครื่องนั้นไว้บนสติกเกอร์

ศัพท์น่ารู้: สิ้นสุดการดูแล (End of support / End of life)

วันที่ผู้ผลิตประกาศว่าจะไม่ออกอัปเดตความปลอดภัยให้รุ่นนั้นอีก เครื่องยังใช้งานได้ปกติ แต่ช่องโหว่ใหม่ที่ถูกค้นพบหลังจากนี้จะไม่มีใครซ่อมให้

03เมื่อกล้องหน้าบ้านกลายเป็นทหารรับจ้าง IoT botnets & Mirai

คำถามที่หลายคนสงสัยคือ คนร้ายจะยึดกล้องหน้าบ้านเราไปทำอะไร ในบ้านเราไม่มีความลับระดับชาติสักหน่อย คำตอบคือเขาไม่ได้อยากได้ “บ้านเรา” เขาอยากได้ เครื่องของเรา กับ สายอินเทอร์เน็ตของเรา มากกว่า

เครื่องที่ถูกยึดแต่ละเครื่องจะถูกฝังโปรแกรมเล็ก ๆ ที่คอยรอฟังคำสั่งจากเซิร์ฟเวอร์ของคนร้าย ซึ่งเรียกว่าเซิร์ฟเวอร์สั่งการ (Command and Control หรือ C2) เมื่อรวมเครื่องแบบนี้ได้เป็นหมื่นเป็นแสน มันก็กลายเป็นกองทัพที่เรียกว่า บอตเน็ต (Botnet) คนร้ายสั่งให้ทั้งกองทัพยิงข้อมูลขยะใส่เว็บไซต์เป้าหมายพร้อมกันจนเว็บล่ม ซึ่งก็คือการโจมตี DDoS ที่เราเล่าไว้ในบท DDoS & บอตเน็ต หรือใช้เครื่องของเราเป็นทางผ่าน เพื่อให้การกระทำผิดอย่างอื่นดูเหมือนมาจากบ้านคนธรรมดา

ฟังดูเหมือนนิยาย แต่ในปี 2016 โลกได้เห็นของจริงแล้ว และมันเริ่มจากของที่อยู่หน้าบ้านคนทั่วไปนี่เอง

บทเรียนที่เจ็บที่สุดของ Mirai คือมันไม่ได้ฉลาดเลย มันชนะเพราะคนจำนวนมหาศาลไม่เคยเปลี่ยนรหัสผ่านจากโรงงาน และเพราะเครื่องเหล่านั้นถูกเปิดให้ล็อกอินจากอินเทอร์เน็ตได้ตรง ๆ หลังโค้ดหลุดออกมา ก็มีคนเอาไปดัดแปลงเป็นสายพันธุ์ใหม่อีกมาก บางตัวไม่ได้ลองแค่รหัสผ่าน แต่ใช้ช่องโหว่ของเฟิร์มแวร์ที่ไม่เคยถูกอัปเดตด้วย ซึ่งก็ย้อนกลับมาที่จุดอ่อนข้อสองนั่นเอง

ข่าวดีที่ซ่อนอยู่ในเรื่องนี้ คือการป้องกันง่ายกว่าการโจมตีมาก เปลี่ยนรหัสผ่านตั้งต้น ปิดการเข้าถึงจากภายนอกที่ไม่ได้ใช้ และอัปเดตเฟิร์มแวร์ แค่สามอย่างนี้ เครื่องของเราก็หลุดจากรายชื่อเหยื่อของบอตแบบ Mirai ไปแล้ว

ศัพท์น่ารู้: บอตเน็ต (Botnet) และ C2

บอตเน็ตคือเครือข่ายของเครื่องที่ถูกยึดแล้วรอรับคำสั่งจากคนร้าย เครื่องแต่ละเครื่องเรียกว่าบอต ส่วนเซิร์ฟเวอร์ที่ส่งคำสั่งเรียกว่า C2 (Command and Control) ถ้าตัดเครื่องออกจาก C2 ได้ บอตก็เป็นแค่โปรแกรมที่รอคำสั่งที่ไม่มีวันมาถึง

04ตาและหูที่เราติดตั้งเอง Cameras, microphones & privacy

บอตเน็ตน่ากลัวในระดับโลก แต่ในระดับครอบครัว สิ่งที่น่ากลัวกว่าคือความเป็นส่วนตัว เพราะอุปกรณ์สมาร์ตโฮมคือ ตาและหูที่เราเอามาติดในบ้านด้วยมือตัวเอง กล้องเห็นว่าใครเข้าออกบ้านกี่โมง เบบี้มอนิเตอร์ได้ยินทุกเสียงในห้องลูก ลำโพงอัจฉริยะคอยฟังคำปลุกตลอดเวลา หุ่นยนต์ดูดฝุ่นบางรุ่นมีกล้องและวาดแผนผังห้องทั้งบ้าน ส่วนสมาร์ตทีวีหลายรุ่นเก็บข้อมูลว่าเราดูอะไร เพื่อเอาไปใช้แนะนำรายการและโฆษณา

ข่าวที่ทำให้คนทั้งโลกขนลุก ไม่ได้มาจากการเจาะเครื่องด้วยเทคนิคสูงส่ง ช่วงปลายปี 2019 มีข่าวในสหรัฐฯ หลายกรณีที่คนแปลกหน้าเข้าบัญชีกล้องในบ้านคนอื่น แล้วพูดกับเด็กผ่านลำโพงของกล้อง ผู้ผลิตกล้องรายนั้นชี้ว่าคนร้ายใช้รหัสผ่านที่รั่วจากเว็บอื่นมาลองล็อกอิน และเจ้าของบัญชีจำนวนมากยังไม่ได้เปิดยืนยันตัวตนสองชั้น นี่คือจุดอ่อนข้อห้าในหัวข้อที่แล้วแบบเต็ม ๆ ตัวกล้องไม่ได้ถูกแฮกเลย แต่กุญแจของบัญชีหลุดไปแล้ว

วิธีคิดที่ช่วยได้มาก คือไล่ตามเส้นทางที่ภาพจากกล้องเดินทาง จากในบ้านไปจนถึงมือถือเรา แล้วถามทีละช่วงว่ามีใครแอบดูได้ตรงไหน

มีอีกช่องหนึ่งที่คนมักลืม คือ คนใกล้ตัว แอปกล้องส่วนใหญ่ให้แชร์สิทธิ์ดูให้คนอื่นได้ เราอาจเคยแชร์ให้แฟนเก่า ช่างที่มาติดตั้ง หรือแม่บ้านที่ลาออกไปแล้ว ถ้าไม่เคยเข้าไปลบ คนเหล่านั้นก็ยังดูได้อยู่ การใช้กล้องหรืออุปกรณ์ติดตามตัวเพื่อสอดส่องคนในครอบครัวหรือคนรักโดยเขาไม่รู้ตัวเป็นปัญหาที่พบได้จริง ถ้าสงสัยว่ามีคนใช้อุปกรณ์ในบ้านเฝ้าดูเรา ให้เริ่มจากดูรายชื่อผู้ที่ได้รับแชร์และรายการอุปกรณ์ที่ล็อกอินบัญชีอยู่

ส่วนไมโครโฟน ลำโพงอัจฉริยะส่วนใหญ่มีปุ่มปิดไมค์ที่ตัวเครื่อง และในแอปมักมีหน้าประวัติคำสั่งเสียงให้เข้าไปดูและลบได้ สมาร์ตทีวีก็มักมีตัวเลือกปิดการเก็บข้อมูลการรับชมอยู่ในเมนูความเป็นส่วนตัว ใช้เวลาไม่ถึงสิบนาทีต่อเครื่อง และควรเลือกจุดติดกล้องให้เห็นเฉพาะพื้นที่ของบ้านเราเอง ไม่ส่องเข้าบ้านเพื่อนบ้าน เพราะความเป็นส่วนตัวของคนอื่นก็สำคัญเท่ากับของเรา

ศัพท์น่ารู้: การเข้ารหัสต้นทางถึงปลายทาง (End-to-end encryption, E2EE)

การเข้ารหัสภาพตั้งแต่ในตัวกล้อง และถอดรหัสได้เฉพาะในมือถือของเรา แม้ภาพจะถูกเก็บบนคลาวด์ ผู้ผลิตเองก็เปิดดูไม่ได้ กล้องบางยี่ห้อมีตัวเลือกนี้ให้เปิดในแอป ถ้ามี ควรเปิด แต่บางฟีเจอร์ เช่น การดูผ่านเว็บเบราว์เซอร์ อาจใช้ไม่ได้เมื่อเปิด E2EE

05เราเตอร์ ประตูหน้าบ้านของทุกเครื่อง The router is the front door

ถ้าบ้านเรามีอุปกรณ์ยี่สิบชิ้น เกือบทั้งยี่สิบชิ้นออกสู่อินเทอร์เน็ตผ่านกล่องใบเดียว คือเราเตอร์ มันทำหน้าที่เหมือน รปภ.หน้าคอนโด คนในตึกเดินออกไปข้างนอกได้สบาย แต่คนข้างนอกจะเดินเข้ามาเองไม่ได้ ถ้าไม่มีใครในตึกนัดไว้ก่อน กลไกนี้ทำให้อุปกรณ์ส่วนใหญ่ในบ้านไม่ถูกมองเห็นจากอินเทอร์เน็ตโดยตรง และเป็นด่านแรกที่ช่วยเราไว้มากกว่าที่คิด

แต่ รปภ.คนนี้ก็มีจุดอ่อน และจุดอ่อนส่วนใหญ่เกิดจากการตั้งค่าที่ทำให้ “สะดวก” เกินไป

• การฟอร์เวิร์ดพอร์ต (port forwarding) คือการเจาะประตูข้างบ้านทิ้งไว้ให้คนข้างนอกเดินตรงเข้าถึงกล้องหรือเครื่องบันทึกภาพได้เลย ช่างติดตั้งกล้องบางรายชอบตั้งแบบนี้ให้ลูกค้าดูภาพจากนอกบ้าน เครื่องที่ถูกเปิดแบบนี้คือเหยื่อแบบที่ Mirai ชอบที่สุด
• UPnP คือฟีเจอร์ที่ให้อุปกรณ์ในบ้านขอเปิดประตูข้างบ้านเองได้โดยไม่ต้องถามเรา สะดวกกับเครื่องเล่นเกมบางรุ่น แต่ถ้าอุปกรณ์ตัวไหนถูกยึด มันก็เปิดประตูให้คนร้ายได้เองเหมือนกัน
• การจัดการจากระยะไกล (remote management) คือหน้าตั้งค่าของเราเตอร์ที่เปิดให้เข้าจากอินเทอร์เน็ตได้ ถ้ารหัสแอดมินยังเป็นค่าเดิม ก็เท่ากับฝากกุญแจห้อง รปภ.ไว้หน้าตึก
• WPS คือปุ่มต่อ Wi‑Fi แบบไม่ต้องพิมพ์รหัส ออกแบบมาให้ง่าย แต่ในเราเตอร์หลายรุ่นเคยมีจุดอ่อนที่ทำให้คนแถวบ้านเข้า Wi‑Fi ได้ ถ้าไม่ได้ใช้ ปิดไว้ดีกว่า

ที่สำคัญ เราเตอร์เองก็เป็นอุปกรณ์ IoT ชิ้นหนึ่ง มีเฟิร์มแวร์ มีหน้าแอดมิน มีรหัสผ่านตั้งต้นติดสติกเกอร์อยู่ใต้เครื่อง และเพราะมันคือประตูที่ทุกอย่างต้องผ่าน มันจึงเป็นเป้าหมายราคาแพงที่สุดในบ้าน ใครยึดเราเตอร์ได้ ก็มองเห็นและเบี่ยงทางข้อมูลของทุกเครื่องได้ หลายปีมานี้หน่วยงานความมั่นคงไซเบอร์หลายประเทศออกคำเตือนซ้ำ ๆ ว่ากลุ่มแฮกเกอร์ระดับรัฐชอบยึดเราเตอร์บ้านและออฟฟิศเล็กที่เลิกได้รับอัปเดตแล้ว เอาไปเป็นทางผ่านเพื่อซ่อนร่องรอยของตัวเอง เรื่องนี้เชื่อมกับบท APT พอดี

การตั้งค่าที่แนะนำสำหรับเราเตอร์บ้านทั่วไป หน้าตาเมนูของแต่ละยี่ห้อต่างกัน แต่ชื่อเรียกมักใกล้เคียงแบบนี้

# ด่านหน้าบ้าน: ปิดประตูที่ไม่ได้ใช้
Remote management (WAN access) : OFF
UPnP                           : OFF   # เปิดเฉพาะเมื่อจำเป็นจริง ๆ
Port forwarding                : ไม่มีรายการที่เราไม่รู้จัก
WPS                            : OFF

# กุญแจ: แยกกุญแจห้อง รปภ. ออกจากกุญแจบ้าน
Admin password                 : ยาว ไม่ซ้ำ และไม่ใช่รหัส Wi‑Fi
Wi‑Fi security                 : WPA3 หรือ WPA2/WPA3   # อย่าใช้ WEP หรือแบบเปิด

# ดูแลระยะยาว
Firmware auto-update           : ON

ถ้าเราเตอร์เป็นของผู้ให้บริการอินเทอร์เน็ตที่ช่างมาติดตั้งให้ บางรุ่นผู้ให้บริการอัปเดตเฟิร์มแวร์ให้จากระยะไกล บางรุ่นเราต้องเข้าไปกดเอง ถ้าไม่แน่ใจ โทรถามคอลเซ็นเตอร์ได้เลยว่าเครื่องรุ่นที่บ้านยังได้รับอัปเดตอยู่ไหม และถ้าเครื่องเก่ามากจนเลิกดูแลแล้ว ขอเปลี่ยนเครื่องใหม่ หรือซื้อเราเตอร์ของเราเองที่ยังได้รับอัปเดตมาต่อแทน

ศัพท์น่ารู้: UPnP (Universal Plug and Play)

มาตรฐานที่ให้อุปกรณ์ในเครือข่ายค้นหากันเองและขอให้เราเตอร์เปิดช่องทางจากภายนอกเข้ามาได้อัตโนมัติ สะดวกสำหรับเกมออนไลน์และบางแอป แต่ทำให้เราไม่รู้ว่าตอนนี้บ้านเรามีประตูข้างบ้านเปิดอยู่กี่บาน

ศัพท์น่ารู้: WPA2 และ WPA3

มาตรฐานการเข้ารหัส Wi‑Fi ที่ทำให้คนแถวบ้านดักฟังหรือเข้าเครือข่ายเราไม่ได้ถ้าไม่มีรหัส WPA3 เป็นรุ่นใหม่ที่ทนการเดารหัสได้ดีกว่า ถ้าเราเตอร์และอุปกรณ์รองรับให้เลือก WPA3 ถ้าอุปกรณ์เก่าบางชิ้นต่อไม่ได้ ให้ใช้โหมดผสม WPA2/WPA3

06แยกวง Wi‑Fi ให้อุปกรณ์ IoT Separate your home network

สมมติว่าเราทำทุกอย่างถูกหมดแล้ว แต่วันหนึ่งผู้ผลิตกล้องก็ยังพลาด มีช่องโหว่ใหม่ที่ยังไม่มีแพตช์ ถ้ากล้องตัวนั้นอยู่ใน Wi‑Fi วงเดียวกับโน้ตบุ๊กที่เก็บไฟล์งาน และมือถือที่มีแอปธนาคาร คนร้ายที่ยึดกล้องได้ก็เริ่มมองหาเครื่องอื่นในบ้านต่อได้ทันที เพราะในสายตาของเครือข่าย ทุกเครื่องเป็นเพื่อนบ้านติดกัน

ทางแก้คือคิดแบบบัตรผ่านในคอนโด บัตรของแม่บ้านเข้าได้เฉพาะชั้นที่ทำงาน บัตรของแขกเข้าได้แค่ล็อบบี้ บัตรของเจ้าของห้องถึงจะเข้าห้องได้ ในบ้านเราทำแบบเดียวกันได้ด้วย Wi‑Fi สำหรับแขก (guest network) ที่เราเตอร์บ้านแทบทุกรุ่นมีให้อยู่แล้ว เอาอุปกรณ์ IoT ทั้งหมดไปไว้ในวงนั้น ส่วนคอมและมือถือของคนในบ้านอยู่ในวงหลัก เราเตอร์บางรุ่นถึงกับมีเมนูชื่อ “เครือข่ายสำหรับ IoT” แยกให้โดยเฉพาะ

เวลาตั้ง Wi‑Fi สำหรับแขก ให้มองหาตัวเลือกที่ชื่อประมาณ “ไม่อนุญาตให้เข้าถึงเครือข่ายภายใน” หรือ “แยกอุปกรณ์ออกจากกัน” (client isolation) แล้วเปิดไว้ และตั้งรหัส Wi‑Fi ของวงนี้ไม่ให้ซ้ำกับวงหลัก ถ้าเพื่อนมาเที่ยวบ้านก็ให้ใช้วงนี้ได้ด้วย ใครก็ตามที่ไม่ใช่คนในบ้านจะไม่เห็นเครื่องของเรา

ข้อแลกเปลี่ยนมีอยู่บ้าง อุปกรณ์บางชนิดต้องอยู่วงเดียวกับมือถือจึงจะทำงานได้ เช่น การส่งภาพจากมือถือขึ้นจอทีวี หรือการตั้งค่าบางยี่ห้อที่ค้นหาเครื่องในวงเดียวกันเท่านั้น ทางสายกลางคือย้ายของที่ไม่ต้องคุยกับมือถือโดยตรงไปวง IoT ก่อน เช่น กล้อง ปลั๊ก หลอดไฟ หุ่นยนต์ดูดฝุ่น ซึ่งส่วนใหญ่สั่งผ่านคลาวด์อยู่แล้ว ส่วนทีวีค่อยตัดสินใจทีหลัง ถ้าอยากเข้าใจเรื่องการแบ่งโซนให้ลึกกว่านี้ ไปต่อได้ที่บท ไฟร์วอลล์ VPN & การแบ่งโซนเครือข่าย

ศัพท์น่ารู้: การแบ่งโซนเครือข่าย (Network segmentation)

การแยกเครือข่ายออกเป็นวงย่อย แล้วกำหนดว่าวงไหนคุยกับวงไหนได้บ้าง เมื่อเครื่องในวงหนึ่งถูกยึด ความเสียหายจะถูกจำกัดอยู่ในวงนั้น ในบ้านทำได้ด้วย Wi‑Fi สำหรับแขก ในองค์กรมักใช้ VLAN และไฟร์วอลล์ระหว่างโซน

07เลือกซื้ออย่างไรไม่ให้ต้องเสียใจทีหลัง Buying safer devices

ความปลอดภัยที่ดีที่สุดเริ่มก่อนกดสั่งซื้อ เพราะถ้าผู้ผลิตไม่ออกอัปเดต เราตั้งค่าเก่งแค่ไหนก็ปิดช่องโหว่ในเฟิร์มแวร์เองไม่ได้ ก่อนหยิบกล้องตัวไหนลงตะกร้า ลองถามคำถามเหล่านี้ดู

• ผู้ผลิตบอกไหมว่าจะออกอัปเดตความปลอดภัยให้ถึงเมื่อไร ยี่ห้อที่จริงจังจะประกาศระยะเวลาดูแลไว้ในหน้าสินค้าหรือหน้าสนับสนุน ถ้าหาไม่เจอเลย ให้ถือว่าเป็นสัญญาณเตือน
• อัปเดตเองอัตโนมัติได้ไหม เครื่องที่อัปเดตเองได้ปลอดภัยกว่าเครื่องที่รอให้เราจำได้เองว่าต้องกด
• บังคับให้ตั้งรหัสผ่านเองตอนติดตั้งไหม หรือรหัสตั้งต้นเป็นแบบเฉพาะของแต่ละเครื่อง ไม่ใช่รหัสเดียวกันทั้งรุ่น
• แอปรองรับการยืนยันตัวตนสองชั้นไหม บัญชีคลาวด์คือกุญแจผี ถ้าแอปไม่มีตัวเลือกนี้ ก็คิดให้หนักขึ้น
• มีช่องทางให้นักวิจัยแจ้งช่องโหว่ไหม ผู้ผลิตที่เปิดรับรายงานช่องโหว่และออกแพตช์อย่างเปิดเผย คือผู้ผลิตที่ยอมรับว่าความปลอดภัยเป็นงานต่อเนื่อง
• ยี่ห้อมีตัวตนจริงไหม มีเว็บไซต์ มีตัวแทนหรือศูนย์บริการในไทย มีประวัติดูแลสินค้า กล้องราคาถูกผิดปกติที่ไม่มียี่ห้อ หรือแอปที่ต้องโหลดจากลิงก์แปลก ๆ แทนร้านค้าแอปทางการ ควรข้ามไป

หลายประเทศเริ่มเห็นปัญหานี้ แล้วออกกฎหมายหรือฉลากความปลอดภัยไซเบอร์มาช่วยผู้บริโภค แบบเดียวกับฉลากประหยัดไฟที่เราคุ้นเคย ตารางนี้สรุปตัวที่น่ารู้ ณ ตอนที่เขียนบทนี้

ของที่วางขายในไทยอาจไม่มีฉลากเหล่านี้ติดมา แต่เกณฑ์ของมันใช้เป็นเช็กลิสต์ตอนเลือกซื้อได้ดีมาก ถ้ายี่ห้อไหนขายในตลาดอังกฤษหรือยุโรปด้วย ก็มักต้องประกาศระยะเวลาดูแลไว้ ลองค้นชื่อรุ่นคู่กับคำว่า “support period” หรือ “security updates” ในเว็บไซต์ผู้ผลิตดู

08ตั้งค่าวันแรก ก่อนเสียบใช้จริง Day-one setup checklist

ได้ของมาแล้ว อย่าเพิ่งรีบติดผนัง ใช้เวลาสักครึ่งชั่วโมงตามลำดับนี้ ทำครั้งเดียว ปลอดภัยไปอีกนาน ลำดับนี้ใช้ได้ทั้งกับกล้อง ปลั๊ก หลอดไฟ หรือแม้แต่เราเตอร์ตัวใหม่

1. เริ่มจากประตูหน้าบ้าน

   เข้าหน้าตั้งค่าเราเตอร์ เปลี่ยนรหัสแอดมินให้ยาวและไม่ซ้ำกับรหัส Wi‑Fi อัปเดตเฟิร์มแวร์ และปิด remote management, UPnP และ WPS ถ้าไม่ได้ใช้

2. สร้างวง Wi‑Fi สำหรับ IoT

   เปิด Wi‑Fi สำหรับแขก ตั้งชื่อให้จำง่าย ใช้รหัสคนละชุดกับวงหลัก และเปิดตัวเลือกแยกอุปกรณ์ออกจากเครือข่ายภายใน แล้วต่ออุปกรณ์ใหม่เข้าวงนี้

3. สร้างบัญชีแอปให้แข็งแรง

   ใช้อีเมลที่เราดูแลจริง ตั้งรหัสผ่านยาวที่ไม่ซ้ำกับเว็บไหน เก็บในตัวจัดการรหัสผ่าน และเปิดยืนยันตัวตนสองชั้นทันทีที่สร้างบัญชีเสร็จ

4. เปลี่ยนรหัสผ่านตั้งต้นของตัวเครื่อง

   ถ้าเครื่องมีรหัสของตัวเอง เช่น รหัสเข้าเครื่องบันทึกภาพหรือรหัสดูกล้อง ให้เปลี่ยนเป็นรหัสใหม่ที่ไม่ซ้ำ ห้ามปล่อยไว้เป็นค่าจากโรงงาน

5. อัปเดตเฟิร์มแวร์ และเปิดอัปเดตอัตโนมัติ

   เข้าเมนูข้อมูลอุปกรณ์ในแอป กดตรวจหาเฟิร์มแวร์ใหม่ ติดตั้งให้เสร็จก่อนใช้งานจริง แล้วเปิดตัวเลือกอัปเดตอัตโนมัติถ้ามี

6. ปิดของที่ไม่ได้ใช้ และให้สิทธิ์แอปเท่าที่จำเป็น

   ปิดการดูจากระยะไกลแบบเก่าที่ไม่ผ่านแอปทางการ ปิดไมค์ถ้าไม่ต้องการเสียง ปิดการเก็บข้อมูลการรับชมบนทีวี และดูว่าแอปขอสิทธิ์เข้าถึงตำแหน่งหรือรายชื่อติดต่อเกินความจำเป็นไหม

7. อย่าเปิดพอร์ตเพื่อดูกล้องจากนอกบ้าน

   ถ้าช่างหรือคลิปสอนในอินเทอร์เน็ตบอกให้ฟอร์เวิร์ดพอร์ตบนเราเตอร์เพื่อดูกล้อง ให้ปฏิเสธ ใช้แอปทางการของผู้ผลิตที่ส่งภาพผ่านคลาวด์แทน การเจาะประตูข้างบ้านทิ้งไว้คือสิ่งที่บอตแบบ Mirai รออยู่

ทำครบเจ็ดข้อแล้ว ให้ตั้งเตือนในปฏิทินไว้ทุกสามหรือหกเดือน เข้าไปดูว่ามีเฟิร์มแวร์ใหม่ไหม มีคนที่ไม่ควรมีสิทธิ์ยังอยู่ในรายชื่อแชร์ไหม และมีอุปกรณ์ที่เราไม่รู้จักโผล่ในรายการเครื่องที่ต่อเราเตอร์อยู่หรือเปล่า แอปของเราเตอร์ส่วนใหญ่แสดงรายการนี้ให้ดูได้ง่าย ๆ อยู่แล้ว

09เมื่อเครื่องทำตัวแปลก หรือแก่เกินดูแล Warning signs & retiring old devices

สัญญาณที่ควรสงสัย

อุปกรณ์ที่ถูกยึดมักไม่โวยวาย แต่ก็มีร่องรอยให้สังเกตได้ เช่น กล้องหมุนเองหรือไฟสถานะติดขึ้นมาตอนที่ไม่มีใครเปิดดู ได้ยินเสียงคนพูดจากลำโพงของกล้องหรือเบบี้มอนิเตอร์ แอปแจ้งว่ามีการล็อกอินจากเครื่องที่เราไม่รู้จัก ตั้งค่าหรือรหัสผ่านเปลี่ยนไปเอง หรือเน็ตบ้านช้าผิดปกติโดยหาสาเหตุไม่ได้ บางครั้งผู้ให้บริการอินเทอร์เน็ตก็อาจติดต่อมาบอกว่าเห็นการส่งข้อมูลผิดปกติจากบ้านเรา

ถ้าสงสัยว่าโดนยึด ทำตามนี้

1. ตัดอุปกรณ์ตัวนั้นออกจากเน็ตก่อน

   ถอดปลั๊กหรือปิด Wi‑Fi ของเครื่อง ถ้าเป็นกล้องในห้องนอนหรือห้องลูก ปิดไว้ก่อนจนกว่าจะจัดการเสร็จ

2. ยึดบัญชีคืนจากเครื่องที่ปลอดภัย

   เปลี่ยนรหัสผ่านบัญชีแอปผู้ผลิตจากมือถือหรือคอมที่เชื่อใจได้ สั่งออกจากระบบทุกเครื่อง เปิดยืนยันตัวตนสองชั้น และลบรายชื่อคนที่ได้รับแชร์ที่เราไม่รู้จัก

3. รีเซ็ตเป็นค่าโรงงาน แล้วตั้งใหม่ตามเช็กลิสต์

   มัลแวร์แบบ Mirai อยู่ในหน่วยความจำ ปิดเปิดเครื่องใหม่มันก็หายไป แต่ถ้ารหัสยังเป็นค่าเดิม มันจะกลับมาใหม่ในไม่ช้า การรีเซ็ตจึงต้องตามด้วยการอัปเดตเฟิร์มแวร์และเปลี่ยนรหัสทุกครั้ง

4. ตรวจเราเตอร์ด้วย

   ดูว่ามีรายการฟอร์เวิร์ดพอร์ตที่เราไม่ได้ตั้งไหม รหัสแอดมินยังเป็นของเราไหม และเฟิร์มแวร์เป็นรุ่นล่าสุดหรือยัง ถ้าเราเตอร์ถูกแตะ อุปกรณ์ทุกชิ้นในบ้านต้องถูกตรวจซ้ำ

5. ขอความช่วยเหลือเมื่อเกินกำลัง

   ถ้ามีภาพหลุดออกไป มีการข่มขู่ หรือเสียหายทางการเงิน เก็บหลักฐาน เช่น ภาพหน้าจอการแจ้งเตือนล็อกอิน แล้วแจ้งตำรวจ หรือโทรสายด่วน 1441 ของศูนย์ AOC เพื่อขอคำแนะนำ

อุปกรณ์เก่า เลิกใช้ให้ถูกวิธี

อุปกรณ์ IoT อายุยืนกว่าที่ผู้ผลิตตั้งใจดูแลเสมอ กล้องที่ซื้อมาเมื่อหลายปีก่อนอาจยังถ่ายภาพได้ชัด แต่ถ้าผู้ผลิตประกาศเลิกดูแลแล้ว ทุกช่องโหว่ที่ถูกค้นพบหลังจากนี้จะอยู่กับมันตลอดไป ทางเลือกที่ดีที่สุดคือเปลี่ยนเป็นรุ่นที่ยังได้รับอัปเดต ถ้ายังจำเป็นต้องใช้ต่อจริง ๆ อย่างน้อยให้อยู่ในวง Wi‑Fi สำหรับ IoT และไม่เปิดให้เข้าถึงจากภายนอกเด็ดขาด

ก่อนขายต่อ ยกให้ญาติ หรือทิ้ง ให้ทำสี่อย่างนี้เสมอ หนึ่ง ลบเครื่องออกจากบัญชีแอป ไม่อย่างนั้นเจ้าของใหม่อาจใช้ไม่ได้ หรือแย่กว่านั้น บัญชีของเราอาจยังเห็นภาพในบ้านของเขา สอง รีเซ็ตเป็นค่าโรงงาน เพื่อล้างรหัส Wi‑Fi บ้านเรา แผนที่บ้านในหุ่นยนต์ดูดฝุ่น และการตั้งค่าทั้งหมด สาม ถอดการ์ดหน่วยความจำออกจากกล้อง เพราะคลิปที่บันทึกไว้อาจยังอยู่ในนั้น และลบคลิปบนคลาวด์ที่ไม่ต้องการแล้ว สี่ ทิ้งตัวเครื่องที่จุดรับขยะอิเล็กทรอนิกส์ ไม่ใช่ถังขยะทั่วไป เพราะแบตเตอรี่และแผงวงจรเป็นอันตรายต่อสิ่งแวดล้อม

กฎเดียวกันใช้กับเราเตอร์เก่าที่เปลี่ยนออก และมือถือเครื่องเก่าที่เคยลงแอปกล้องไว้ด้วย อย่าลืมว่ามือถือเครื่องนั้นอาจยังล็อกอินบัญชีกล้องค้างอยู่

10สรุปให้จำ Recap

อุปกรณ์สมาร์ตโฮมไม่ได้น่ากลัวในตัวเอง มันแค่เป็นคอมพิวเตอร์ที่ไม่มีใครเฝ้า ถ้าเราเป็นคนเฝ้ามันเองสักหน่อย บ้านก็ฉลาดได้โดยไม่ต้องเปิดประตูให้คนแปลกหน้า

• เปลี่ยนรหัสผ่านตั้งต้นทุกชิ้น รวมถึงรหัสแอดมินของเราเตอร์ ซึ่งไม่ใช่รหัสเดียวกับ Wi‑Fi
• อัปเดตเฟิร์มแวร์ให้เป็นนิสัย เปิดอัปเดตอัตโนมัติ และตั้งเตือนตัวเองให้เข้าไปดูเป็นระยะ
• บัญชีแอปคือกุญแจผี ใช้รหัสไม่ซ้ำ เปิดยืนยันตัวตนสองชั้น และทบทวนรายชื่อคนที่แชร์
• ปิดประตูข้างบ้าน ไม่ฟอร์เวิร์ดพอร์ต ปิด UPnP และ remote management ที่ไม่ได้ใช้
• แยกวง Wi‑Fi ให้อุปกรณ์ IoT เพื่อให้ความเสียหายหยุดอยู่ที่เครื่องเดียว
• ซื้อของที่ผู้ผลิตบอกระยะเวลาดูแล และปลดระวางให้ถูกวิธี: ลบออกจากบัญชี รีเซ็ต ถอดการ์ด แล้วทิ้งที่จุดรับขยะอิเล็กทรอนิกส์

ลองทบทวนดู