11 พ.ย. 69 นายธนพนธ์ บุตรศรีชา หรือปอนด์ อายุ 25 ปี นักศึกษาชั้นปีที่ 1 หลักสูตรความมั่นคงปลอดภัยไซเบอร์ วิทยาลัยการคอมพิวเตอร์ มหาวิทยาลัยขอนแก่น ซึ่งได้รับหนังสือขอบคุณอย่างเป็นทางการจากองค์การบริหารการบินและอวกาศแห่งชาติสหรัฐอเมริกา หรือ NASA ภายหลังตรวจพบและรายงานช่องโหว่ด้านความมั่นคงปลอดภัยในระบบสารสนเทศของหน่วยงาน ภายใต้นโยบายการเปิดเผยช่องโหว่ Vulnerability Disclosure Policy หรือ VDP โดยใช้ชื่อผู้รายงานว่า nullbyt3z
สำหรับช่องโหว่ที่นายธนพนธ์ระบุว่าตรวจพบเป็นประเภท Cross-Site Scripting หรือ XSS ซึ่งเป็นช่องโหว่ที่อาจเปิดโอกาสให้ผู้ไม่หวังดีแทรกโค้ดสคริปต์ลงในหน้าเว็บเพจ และนำไปใช้โจมตีผู้ใช้งานผ่านเว็บเบราว์เซอร์ได้ โดยนายธนพนธ์ได้ส่งรายงานผ่านช่องทางด้านความมั่นคงปลอดภัยของ NASA ตามแนวทางการเปิดเผยช่องโหว่อย่างรับผิดชอบ หรือ Responsible Disclosure ซึ่งกำหนดให้ผู้ค้นพบดำเนินการภายใต้ขอบเขตที่ได้รับอนุญาต แจ้งข้อมูลต่อเจ้าของระบบโดยตรง และไม่นำข้อมูลที่ตรวจพบไปใช้ประโยชน์โดยมิชอบ
นายธนพนธ์ บุตรศรีชา หรือปอนด์ อายุ 25 ปี เปิดเผยว่า จุดเริ่มต้นเกิดจากอาจารย์เห็นบุคคลที่เคยได้รับหนังสือขอบคุณจาก NASA โพสต์เรื่องราวลงในสื่อสังคมออนไลน์ จึงแนะนำให้ตนลองศึกษาระบบและค้นหาช่องโหว่ดู หากตรวจพบและรายงานได้ตามเงื่อนไขก็มีโอกาสได้รับหนังสือขอบคุณเช่นเดียวกัน ตนจึงนำความรู้ที่เรียนมาทดลองค้นหาช่องโหว่อย่างต่อเนื่อง โดยใช้เวลาประมาณ 1 เดือน และส่งรายงานไปประมาณ 10 ครั้ง แต่บางรายงานพบว่าซ้ำกับที่มีผู้อื่นแจ้งไว้ก่อนแล้ว กระทั่งตรวจพบช่องโหว่ที่ไม่ซ้ำ ซึ่งน่าจะเป็นรายงานฉบับที่ 8 หรือ 9 ที่ส่งเข้าไป ความยากของการค้นหาช่องโหว่ NASA คือมีผู้สนใจทดสอบระบบเป็นจำนวนมาก เนื่องจากเป็นองค์กรที่มีชื่อเสียงระดับโลก ทำให้รายงานที่ส่งไปต้องไม่ซ้ำกับของผู้อื่น สำหรับช่องโหว่ที่ตนตรวจพบเรียกว่า Cross-Site Scripting หรือ XSS ซึ่งมีความเสี่ยงที่ผู้โจมตีจะใช้ JavaScript ผ่านเว็บเบราว์เซอร์ ก่อนส่งลิงก์ให้เหยื่อคลิกเพื่อเข้าถึงข้อมูลบางประเภท เช่น คุกกี้ที่เกี่ยวข้องกับการเข้าสู่ระบบ โดยเป็นช่องโหว่ที่ตนพบจากการทดสอบระบบจริง ไม่ใช่เพียงการทดลองภายในห้องเรียน
ส่วนขั้นตอนการรายงานนั้น NASA จะตรวจสอบก่อนว่าช่องโหว่ที่ส่งเข้าไปซ้ำกับรายงานของผู้อื่นหรือไม่ หากไม่ซ้ำจะมีการแจ้งสถานะและดำเนินการแก้ไข ก่อนส่งหนังสือขอบคุณให้ผู้รายงาน ซึ่งตนรู้สึกดีใจมากเมื่อทราบว่าช่องโหว่ที่ค้นพบไม่ซ้ำกับผู้อื่น เพราะทุ่มเทเวลาค้นหานานประมาณ 1 เดือน และพยายามส่งรายงานหลายครั้งกว่าจะประสบความสำเร็จ ขณะที่พ่อแม่เมื่อทราบข่าวก็ดีใจมากเช่นเดียวกัน การนำความรู้จากห้องเรียนมาทดลองใช้กับระบบจริง ทำให้เข้าใจว่าช่องโหว่ด้านความมั่นคงปลอดภัยไซเบอร์มีความเสี่ยงและอาจก่อให้เกิดอันตรายได้จริง จึงอยากให้ผู้สนใจเข้ามาศึกษาเรื่องนี้มากขึ้น โดยการเรียนในหลักสูตรจะเริ่มจากพื้นฐานการเขียนโปรแกรม หรือ Programming รวมถึงกฎหมายที่เกี่ยวข้องกับความมั่นคงปลอดภัยไซเบอร์ สิ่งสำคัญที่อาจารย์เน้นย้ำเสมอคือ การทดสอบระบบทุกครั้งต้องอยู่ภายในขอบเขตที่ได้รับอนุญาตเท่านั้น ไม่สามารถเข้าไปทดสอบระบบโดยไม่ได้รับอนุญาต เพราะเป็นการกระทำที่ผิดกฎหมาย สำหรับการค้นหาช่องโหว่ในลักษณะนี้ ตนเพิ่งทดลองกับ NASA เป็นแห่งแรก และยังไม่ได้ทดลองกับองค์กรอื่น แม้จะทราบว่ามีโครงการ Bug Bounty ที่เปิดให้ค้นหาช่องโหว่โดยมีค่าตอบแทนก็ตาม ส่วนเป้าหมายหลังจากนี้ตั้งใจจะพัฒนาทักษะด้านความมั่นคงปลอดภัยไซเบอร์ของตัวเองให้สูงขึ้น
จากหนังสือขอบคุณของ NASA ลงวันที่ 5 พฤศจิกายน 2569 ซึ่งออกจากสำนักงานใหญ่ NASA อาคาร Mary W. Jackson กรุงวอชิงตัน ดี.ซี. สหรัฐอเมริกา ลงนามโดย เคลวิน เทย์เลอร์ (Kelvin Taylor) เจ้าหน้าที่อาวุโสด้านความมั่นคงปลอดภัยสารสนเทศขององค์การ หรือ SAISO สังกัดสำนักงานประธานเจ้าหน้าที่สารสนเทศ NASA หรือ OCIO ระบุถึงผู้ใช้ชื่อ nullbyt3z ว่า NASA ขอแสดงความชื่นชมต่อความพยายามในฐานะนักวิจัยด้านความปลอดภัยไซเบอร์อิสระ ที่สามารถค้นพบและรายงานช่องโหว่ด้านความปลอดภัยตามนโยบายและแนวทางการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบของหน่วยงาน
เนื้อหาในหนังสือยังระบุว่า ความสามารถในการค้นหาและรายงานช่องโหว่ด้านความปลอดภัยถือเป็นทักษะที่มีคุณค่าอย่างยิ่งในอุตสาหกรรมความมั่นคงปลอดภัยสารสนเทศ โดยรายงานที่ได้รับมีส่วนช่วยให้ NASA รับทราบช่องโหว่ที่ก่อนหน้านี้ยังไม่เป็นที่ทราบ และช่วยสนับสนุนการปกป้องความถูกต้องสมบูรณ์และความพร้อมใช้งานของข้อมูลสารสนเทศของหน่วยงาน พร้อมแสดงความขอบคุณต่อการมีส่วนร่วมและความเชี่ยวชาญของผู้รายงาน ซึ่งช่วยสนับสนุนภารกิจด้านวิทยาศาสตร์ เทคโนโลยี การบิน และการสำรวจอวกาศของ NASA
- คอนเทนต์พิเศษ
สำหรับคุณ - TOP สังคม
- วิดีโอยอดนิยม
