สรุปข่าว
- 2FA ไม่ได้ปลอดภัย 100% หาก Secret Key หรือ Backup ของระบบ 2FA ถูกเก็บไว้บน Cloud ที่มีความเสี่ยง
- นักวิจัยด้านความปลอดภัยพบว่าแอพ 2FA บางประเภทสามารถสำรอง TOTP Secret ไปยัง Google Drive และในบางกรณีข้อมูลอาจถูกจัดเก็บโดยไม่มีการเข้ารหัสที่แข็งแรงเพียงพอ
- อย่างไรก็ตาม ไม่ได้หมายความว่า Google Authenticator หรือ Google Drive ถูกแฮ็ก โดย Google ระบุว่ารหัส Authenticator ที่ Sync กับ Google Account ถูกเข้ารหัสทั้งระหว่างส่งและขณะจัดเก็บ
แนวโน้มผลกระทบต่อราคา: Neutral
ประเด็นนี้ไม่ได้ส่งผลโดยตรงต่อราคา Bitcoin หรือสินทรัพย์คริปโต เนื่องจากเป็นเรื่องของความปลอดภัยบัญชีผู้ใช้งานมากกว่า อย่างไรก็ตาม หากเกิดเหตุการณ์โจมตีที่เกี่ยวข้องกับผู้ใช้งานจำนวนมาก อาจกระทบความเชื่อมั่นในแพลตฟอร์มคริปโตและสร้างแรงขายในระยะสั้นได้
คำเตือนเรื่อง 2FA บน Cloud กลับมาเป็นกระแสในชุมชนคริปโต
หลังมีประเด็นเรื่องของความปลอดภัยถูกพูดถึงมากขึ้นในปีนี้ ล่าสุดประเด็นเรื่องของระบบ 2FA และเปิดการสำรองข้อมูลผ่าน Cloud เช่น Google Drive ก็เริ่มมีการถูกหยิบบกมาพูดถึงด้วยเช่นกัน หลังมีกรณีผู้ใช้งานถูกแฮ็กจากการจัดเก็บข้อมูลสำหรับกู้คืน 2FA บนระบบ Cloud
ประเด็นสำคัญไม่ได้อยู่ที่ “Google Drive ถูกแฮ็ก” แต่เป็นเรื่องของ จุดล้มเหลวเพียงจุดเดียว หากผู้โจมตีสามารถเข้าถึงบัญชี Cloud หรือ Backup ที่เก็บ TOTP Secret ได้ ก็อาจนำข้อมูลดังกล่าวไปสร้างรหัส OTP ที่ถูกต้อง และใช้เป็นอีกขั้นตอนหนึ่งในการเข้าถึงบัญชีที่ผูกกับ 2FA ได้
งานวิจัยด้านความปลอดภัยที่ศึกษาระบบ 2FA หลายแอพพบว่า แอพบางตัวมีระบบสำรอง TOTP ไปยัง Google Drive และมีกรณีที่ข้อมูลถูกสำรองในรูปแบบที่ไม่ปลอดภัยเพียงพอ ขณะที่บางแอพมีการเข้ารหัส Backup แต่การออกแบบและการจัดการกุญแจแตกต่างกันไปในแต่ละแอพ
ไม่ใช่ทุกระบบ 2FA บน Google Drive จะมีความเสี่ยงเหมือนกัน
ประเด็นนี้จำเป็นต้องแยกให้ออก เพราะปัจจุบัน Google Authenticator มีระบบ Sync ผ่าน Google Account โดยตรง และ Google ระบุว่ารหัส Authenticator จะถูกเข้ารหัสทั้งระหว่างส่งและขณะจัดเก็บบนระบบของบริษัท
ขณะที่แอพ Third-party บางตัวมีระบบ Backup ของตัวเอง เช่น 2FAS ซึ่งปัจจุบันระบุว่า Backup บน Google Drive ถูกเข้ารหัส และผู้ใช้สามารถเพิ่มรหัสผ่านเพื่อป้องกัน Backup อีกชั้นหนึ่งได้
ดังนั้นคำแนะนำที่เหมาะสมกว่าการบอกว่า “ห้ามใช้ Google Drive กับ 2FA” คือ ผู้ใช้งานควรตรวจสอบว่าแอป 2FA ที่กำลังใช้อยู่จัดเก็บ Secret Key และ Backup อย่างไร รวมถึงเปิดใช้การเข้ารหัสเพิ่มเติมหากระบบรองรับ
ทำไมเรื่องนี้ถึงสำคัญกับผู้ถือครองคริปโต?
สำหรับบัญชีเว็บเทรดหรือ wallet คริปโตนั้น 2FA มักถูกใช้เป็นชั้นป้องกันเพิ่มเติมจากรหัสผ่าน หากแฮ็กเกอร์สามารถเข้าถึงทั้งรหัสผ่านและข้อมูลสำหรับสร้าง OTP ได้ ความแข็งแกร่งของ 2FA ก็อาจลดลงอย่างมาก
ที่ผ่านมา Siam Blockchain เองก็เคยรายงานกรณีที่ผู้ใช้งาน Binance ถูกโจมตี แม้จะเปิด 2FA เอาไว้ โดยในเหตุการณ์หนึ่งพบว่า Malware สามารถขโมยข้อมูลจากเครื่องและนำไปใช้เข้าถึงบัญชีต่าง ๆ ได้ ขณะที่เจ้าของเหตุการณ์ออกมาแนะนำว่าไม่ควรอัปโหลดข้อมูล 2FA ขึ้น Cloud และควรมี Backup แบบ Offline แทน
นอกจากนี้ ยังพบกรณีที่แฮ็กเกอร์ใช้ ‘วิศวกรรมสังคม (Social Engineering)’ โดยปลอมตัวเป็นเจ้าหน้าที่ฝ่ายสนับสนุน หลอกเอาข้อมูลสำคัญจากเหยื่อ และพยายามเข้าควบคุมระบบ 2FA ก่อนเข้าถึงสินทรัพย์คริปโต
แม้การเปิดใช้งาน 2FA จะเป็นหนึ่งในมาตรการรักษาความปลอดภัยที่ควรทำอย่างยิ่ง แต่ก็ไม่ได้หมายความว่าผู้ใช้งานจะปลอดภัยจากการถูกแฮ็กโดยสมบูรณ์ โดยเฉพาะหากนำ Secret Key หรือ Backup ของ 2FA ไปเก็บไว้ในระบบ Cloud โดยไม่ตรวจสอบวิธีการเข้ารหัสเสียก่อน
สำหรับผู้ถือครองคริปโต การแยก Backup ออกจากบัญชีออนไลน์จึงยังเป็นแนวทางที่น่าสนใจ โดยเฉพาะบัญชีที่ถือสินทรัพย์จำนวนมาก ขณะเดียวกันการใช้ Passkey หรือ Hardware Security Key ก็สามารถเพิ่มชั้นความปลอดภัยจากการโจมตีแบบ Phishing ได้อีกระดับ
ที่มา: Google Authenticator Help, 2FAS, KSU Faculty, Google Support , Siam Blockchain
