แบ็กดอร์การเข้ารหัสลับคืออะไร และเหตุใดจึงอันตราย?

แบ็กดอร์การเข้ารหัสลับคือช่องทางที่สร้างขึ้นโดยเจตนาเพื่อหลีกเลี่ยงการเข้ารหัสลับ อธิบายถึงระบบที่ให้สิทธิ์พิเศษเพื่อเข้าถึงข้อมูลที่เข้ารหัสสำหรับฝ่ายที่ได้รับอนุมัติ โดยพื้นฐานแล้ว ระบบนี้ช่วยให้เจ้าหน้าที่บังคับใช้กฎหมายมีมาสเตอร์คีย์ในการเข้าถึงข้อความที่เข้ารหัส รัฐบาลมักตีกรอบเรื่องนี้ว่าเป็น "การเข้าถึงโดยชอบด้วยกฎหมาย" เนื่องจากได้รับการออกแบบมาเพื่อให้เจ้าหน้าที่สามารถถอดรหัสข้อมูลได้เมื่อจำเป็น

โดยทั่วไป ข้อมูลออนไลน์จะได้รับการเข้ารหัสโดยใช้ TLS ซึ่งจัดการการเข้ารหัสลับข้อมูลระหว่างการส่ง เมื่อข้อมูลมาถึงผู้ให้บริการ เช่น Google, Dropbox หรือ Facebook ข้อมูลจะถูกถอดรหัส จากนั้นจะถูกเข้ารหัสใหม่อีกครั้งบนเซิร์ฟเวอร์โดยใช้คีย์การเข้ารหัสลับที่ควบคุมอยู่ ซึ่งหมายความว่าผู้ให้บริการสามารถเข้าถึงข้อมูลได้ จึงไม่จำเป็นต้องมีแบ็กดอร์การเข้ารหัสลับ เนื่องจากรัฐบาลสามารถบังคับให้ผู้ให้บริการส่งมอบข้อมูลดังกล่าวได้

ใน การเข้ารหัสลับจากต้นทางถึงปลายทาง ข้อมูลจะถูกเข้ารหัสบนอุปกรณ์ของผู้ส่ง และจะไม่ถูกถอดรหัสจนกว่าจะถึงอุปกรณ์ของผู้รับ ผู้ให้บริการ เช่น Proton หรือ Signal จะไม่มีวันเข้าถึงคีย์การเข้ารหัสลับได้ จึงไม่สามารถถอดรหัสใดๆ ได้ แม้จะได้รับคำสั่งทางกฎหมายก็ตาม นั่นคือจุดที่เจ้าหน้าที่บังคับใช้กฎหมายและผู้กำหนดนโยบายผลักดันให้มีแบ็กดอร์การเข้ารหัสลับ

สิ่งสำคัญคือต้องแยกแยะแบ็กดอร์การเข้ารหัสลับออกจากการโจมตีแบบแบ็กดอร์ แบ็กดอร์การเข้ารหัสลับคือคุณสมบัติที่สร้างขึ้นในระบบโดยเจตนาเพื่อเข้าถึงภายใต้เงื่อนไขบางประการ เช่น เมื่อได้รับการร้องขอจากเจ้าหน้าที่บังคับใช้กฎหมาย และนำไปใช้กับผู้ใช้ทุกคน ในทางกลับกัน การโจมตีแบบแบ็กดอร์ เช่น การโจมตีที่บงการโดย Salt Typhoon คือช่องโหว่ที่ซ่อนอยู่ซึ่งเกิดจากแฮกเกอร์และใช้เพื่อเข้าถึงโดยไม่มีการตรวจจับ

หากผู้โจมตีพบแบ็กดอร์การเข้ารหัสลับ ก็จะสามารถใช้ประโยชน์จากช่องทางนั้นได้ในลักษณะเดียวกับแบ็กดอร์ที่ติดตั้งไว้ ความแตกต่างคือแบ็กดอร์การเข้ารหัสลับมีอยู่แล้วโดยการออกแบบ

การเข้ารหัสลับทำงานเหมือนกับแม่กุญแจของห้องพักโรงแรม: ในการเข้ารหัสลับมาตรฐานอย่าง TLS ผู้ใช้จะเป็นผู้ถือกุญแจ แต่ผู้จัดการโรงแรม (ผู้ให้บริการ) จะเก็บกุญแจสำรองไว้และสามารถเปิดประตูได้หากตำรวจร้องขอ

ในทางกลับกัน ด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง จะมีเพียงผู้ใช้เท่านั้นที่มีกุญแจ ดังนั้นจึงไม่มีใครสามารถเข้ามาได้ แบ็กดอร์การเข้ารหัสลับคือกรณีที่นิติบุคคลตามกฎหมาย (เช่น เจ้าหน้าที่บังคับใช้กฎหมาย) ขอให้ผู้จัดการสร้างมาสเตอร์คีย์ที่สามารถเปิดประตูทุกบานได้ เมื่อมีกุญแจดังกล่าวอยู่ ทุกคนรวมถึงรัฐบาลต่างชาติและแฮกเกอร์ก็อาจพยายามขโมยกุญแจนั้นได้

แบ็กดอร์การเข้ารหัสลับนี้อาจมีรูปแบบที่แตกต่างกันไป ทั้งนี้ขึ้นอยู่กับการออกแบบ

ในระบบรับฝากคีย์ (Key Escrow) คีย์การเข้ารหัสลับจะถูกจัดเก็บโดยบุคคลที่สาม เช่น รัฐบาล หากเจ้าหน้าที่บังคับใช้กฎหมายได้รับหมายศาล ก็สามารถกู้คืนคีย์ได้

ใน การสแกนฝั่งไคลเอนต์ (Client-Side Scanning) อุปกรณ์จะค้นหาไฟล์และข้อความก่อนที่จะเข้ารหัส และรายงานเนื้อหาที่ถูกตั้งค่าสถานะ เหมือนกับผู้จัดการโรงแรมที่ตรวจสอบทุกอย่างที่นำเข้ามาในห้องพักและจดบันทึกไว้ แม้ว่าประตูจะยังคงล็อกอยู่ก็ตาม

ในทศวรรษ 1990 รัฐบาลสหรัฐฯ ได้เปิดตัว ชิป Clipper(หน้าต่างใหม่) ซึ่งเป็นชิปเซ็ตเพื่อรักษาความปลอดภัยในการสื่อสารผ่านโทรศัพท์พื้นฐาน ชิปเซ็ตแต่ละตัวมาพร้อมกับคีย์วิทยาการเข้ารหัสลับของตัวเอง แต่สำเนาของคีย์นั้นถูกนำไปเก็บไว้ในฐานข้อมูลของรัฐบาลโดยใช้ระบบรับฝากคีย์ แนวคิดคือหากหน่วยงานของรัฐได้รับอำนาจตามกฎหมายในการดักรับการสื่อสารบางอย่างจากอุปกรณ์ที่ติดตั้งชิป Clipper ก็จะสามารถร้องขอคีย์และนำไปใช้เพื่อถอดรหัสบทสนทนาได้

ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่าการจัดเก็บคีย์ไว้ในระบบรับฝากคีย์จะทำให้เกิดจุดบกพร่องจุดเดียวที่ทำให้ระบบล้มเหลว (single point of failure) และผู้สนับสนุนความเป็นส่วนตัวได้คัดค้านแนวคิดที่รัฐบาลจะสามารถเข้าถึงบทสนทนาส่วนตัวของทุกคนได้ เพื่อเป็นการตอบสนอง นักพัฒนาจึงได้เปิดตัวเครื่องมือการเข้ารหัสลับสาธารณะที่แข็งแกร่ง เช่น PGP, PGPfone(หน้าต่างใหม่) และ Nautilus(หน้าต่างใหม่) ภายในเวลาเพียงสามปี ชิป Clipper ก็ถูกยกเลิกไป

รัฐบาล เจ้าหน้าที่บังคับใช้กฎหมาย และหน่วยข่าวกรองต่างเป็นผู้สนับสนุนหลักในการให้มีแบ็กดอร์การเข้ารหัสลับเพื่อเป็นช่องทางในการขยายการเข้าถึงการสื่อสารดิจิทัล หน่วยงานต่างๆ อ้างว่าเผชิญกับปัญหา “going dark” แม้จะมีคำสั่งศาลหรือหมายค้น แต่การเข้ารหัสลับที่แข็งแกร่งก็สามารถบล็อกการเข้าถึงหลักฐานสำคัญที่ใช้เพื่อรวบรวมข่าวกรองและสืบสวนอาชญากรรมได้

แรงกดดันนี้มักนำไปสู่การออกกฎหมาย เช่น พระราชบัญญัติอำนาจการสืบสวนของสหราชอาณาจักร และ พระราชบัญญัติการช่วยเหลือและการเข้าถึงของออสเตรเลีย ซึ่งให้อำนาจแก่เจ้าหน้าที่ในการบังคับให้บริษัทต่างๆ สร้างวิธีใหม่ๆ ในการทำลายการเข้ารหัสลับจากต้นทางถึงปลายทาง และมอบ “การเข้าถึงที่ชอบด้วยกฎหมาย” แก่ข้อมูลส่วนตัว