ช่องโหว่ API ในแพลตฟอร์มสตรีมมิ่ง ความเสี่ยงที่ทำให้ข้อมูลลับรั่วไหล

ในขณะที่ยักษ์ใหญ่ด้านความบันเทิงอย่าง Netflix หรือ Disney+ ทุ่มงบประมาณมหาศาลเพื่อสร้างระบบป้องกันเนื้อหาอย่างเข้มงวด เพื่อป้องกันการรับชมโดยไม่สมัครสมาชิกหรือการข้ามโซนภูมิภาค แต่ในโลกของแพลตฟอร์มสตรีมมิ่งที่เน้นการใช้งานเฉพาะทาง เช่น การถ่ายทอดสดกีฬาหรือการประชุมภายในองค์กร กลับพบว่ายังมีช่องโหว่ร้ายแรงที่เปิดโอกาสให้บุคคลภายนอกเข้าถึงเนื้อหาได้โดยไม่ต้องผ่านการยืนยันตัวตน

ข้อมูลนี้ถูกเปิดเผยโดย Farzan Karimi นักวิจัยอิสระในงานประชุมด้านความปลอดภัยระดับโลกอย่าง Defcon ณ เมืองลาสเวกัส ซึ่งเขาได้ชี้ให้เห็นถึงข้อผิดพลาดในการออกแบบระบบที่ทำให้เนื้อหาจำนวนมากถูกเปิดเผยสู่สาธารณะอย่างไม่ตั้งใจ

จุดเริ่มต้นของการค้นพบและภัยเงียบในระบบ API

ย้อนกลับไปในปี 2020 Karimi เคยตรวจพบการตั้งค่าที่ผิดพลาดใน API (Application Programming Interface) หรือชุดคำสั่งที่ใช้ในการเชื่อมต่อและรับส่งข้อมูลระหว่างแอปพลิเคชัน ซึ่งส่งผลให้เขาสามารถเข้าถึงวิดีโอการประชุมภายในของบริษัท Vimeo ได้เกือบ 2,000 รายการ แม้ว่าในครั้งนั้นทางบริษัทจะรีบแก้ไขปัญหาอย่างรวดเร็ว แต่เหตุการณ์ดังกล่าวทำให้เขามั่นใจว่ายังมีแพลตฟอร์มอื่น ๆ ที่ประสบปัญหาในลักษณะเดียวกัน

Karimi ได้พัฒนาเทคนิคการวิเคราะห์วิธีการที่ API ดึงข้อมูลและโต้ตอบกัน จนสามารถสร้างเครื่องมือที่ช่วยระบุแพลตฟอร์มที่มีช่องโหว่ได้อย่างรวดเร็วและแม่นยำ โดยในงาน Defcon เขาได้นำเสนอข้อมูลเกี่ยวกับแพลตฟอร์มสตรีมมิ่งกีฬาชื่อดังแห่งหนึ่ง (ซึ่งไม่ได้ระบุชื่อเนื่องจากยังอยู่ในขั้นตอนการแก้ไข) เพื่อเตือนให้ผู้พัฒนาตระหนักถึงความเสี่ยงนี้

กลไกการทำงานของ API และช่องโหว่ที่ถูกมองข้าม

เพื่อให้เห็นภาพชัดเจน API ทำหน้าที่เหมือนพนักงานรับส่งข้อมูล ตัวอย่างเช่น เมื่อเราค้นหาภาพยนตร์เรื่อง Fight Club ระบบจะใช้ API หลายตัวทำงานร่วมกันเพื่อดึงข้อมูลที่แตกต่างกัน เช่น ความยาวของหนัง, ตัวอย่างภาพยนตร์, รายชื่อนักแสดง และข้อมูลทางเทคนิคอื่น ๆ (Metadata)

โดยปกติแล้ว API บางตัวจะถูกตั้งค่าให้ต้องมีการ Authentication หรือการยืนยันตัวตนก่อนส่งข้อมูล แต่ปัญหาที่พบบ่อยคือ ผู้พัฒนาบางรายปล่อยให้ API ตัวอื่น ๆ ส่งข้อมูลออกมาโดยไม่ต้องตรวจสอบสิทธิ์ โดยตั้งสมมติฐานว่าผู้ใช้งานจะต้องผ่านการยืนยันตัวตนจากหน้าบ้านมาแล้วเท่านั้น

แนวคิดนี้เรียกว่า Security through obscurity หรือการรักษาความปลอดภัยด้วยการปกปิด ซึ่งเป็นการเชื่อว่าหากไม่มีใครรู้วิธีเชื่อมต่อจุดต่าง ๆ ของ API เข้าด้วยกัน ข้อมูลก็จะปลอดภัย แต่ในความเป็นจริง เครื่องมืออัตโนมัติที่ Karimi พัฒนาขึ้นสามารถเจาะทะลุระบบเหล่านี้เพื่อเข้าถึงเนื้อหาที่ควรจะถูกล็อกไว้ (Paywall) ได้อย่างง่ายดาย

ข้อเท็จจริงสำคัญ

• ความเสี่ยงระดับองค์กร: ข้อมูลลับ เช่น แผนการเลิกจ้างพนักงาน หรือทรัพย์สินทางปัญญาที่พูดคุยในที่ประชุมผู้บริหาร อาจรั่วไหลสู่ภายนอกได้
• กลุ่มเสี่ยง: แพลตฟอร์มสตรีมมิ่งเพื่อการใช้งานเฉพาะทาง และระบบกล้องถ่ายทอดสดในสนามกีฬา มีโอกาสเกิดช่องโหว่สูงกว่าบริการสตรีมมิ่งกระแสหลัก
• สาเหตุหลัก: เกิดจากการตั้งค่า API ผิดพลาด (Misconfiguration) และการขาดการตรวจสอบสิทธิ์ในทุกจุดเชื่อมต่อข้อมูล
• แนวทางแก้ไข: การเลิกใช้โมเดลความปลอดภัยแบบปกปิด และหันมาใช้การตรวจสอบสิทธิ์ที่เข้มงวดในทุก API

สรุปความแตกต่างระหว่างระบบสตรีมมิ่งกระแสหลักและแพลตฟอร์มเฉพาะทาง

หัวข้อเปรียบเทียบ	บริการสตรีมมิ่งชั้นนำ (เช่น Netflix)	แพลตฟอร์มเฉพาะทาง/องค์กร
การลงทุนด้านความปลอดภัย	สูงมากและต่อเนื่อง	ปานกลางถึงต่ำ
การจัดการ API	มีการตรวจสอบและปิดช่องโหว่อย่างเข้มงวด	มักมีการตั้งค่าที่ผิดพลาดหรือละเลย
ระดับความเสี่ยงในการรั่วไหล	ต่ำ	สูง
รูปแบบการป้องกัน	ใช้ระบบยืนยันตัวตนที่ซับซ้อน	มักพึ่งพาการปกปิดเส้นทางข้อมูล (Obscurity)

คำถามที่พบบ่อย

API คืออะไรและเกี่ยวข้องกับความปลอดภัยอย่างไร?

API คือตัวกลางที่ช่วยให้ซอฟต์แวร์สองตัวสื่อสารกันได้ ในด้านความปลอดภัย หาก API ไม่มีการตรวจสอบสิทธิ์ (Authorization) ที่ถูกต้อง ผู้ไม่หวังดีสามารถส่งคำขอเพื่อดึงข้อมูลลับออกจากเซิร์ฟเวอร์ได้โดยตรงโดยไม่ต้องผ่านหน้าจอเข้าสู่ระบบ

ทำไมบริการอย่าง Netflix ถึงไม่ค่อยพบปัญหานี้?

เนื่องจากเป็นธุรกิจขนาดใหญ่ที่มีรายได้หลักจากการสมัครสมาชิก จึงมีการลงทุนในระบบรักษาความปลอดภัยสูงมาก และมีการตรวจสอบช่องโหว่ของ API อย่างสม่ำเสมอเพื่อป้องกันการสูญเสียรายได้

ข้อมูลประเภทใดบ้างที่เสี่ยงต่อการรั่วไหล?

ข้อมูลที่เสี่ยงที่สุดคือวิดีโอการประชุมภายในบริษัทที่มีเนื้อหาอ่อนไหว เช่น กลยุทธ์ทางธุรกิจ ข้อมูลพนักงาน หรือการถ่ายทอดสดกิจกรรมพิเศษที่จำกัดสิทธิ์การเข้าชม

เราจะป้องกันช่องโหว่ลักษณะนี้ได้อย่างไร?

ผู้พัฒนาควรนำหลักการ Zero Trust มาใช้ โดยกำหนดให้ทุก API ต้องมีการยืนยันตัวตนและตรวจสอบสิทธิ์ทุกครั้งก่อนส่งข้อมูล ไม่ว่าคำขอนั้นจะดูเหมือนมาจากแหล่งที่เชื่อถือได้หรือไม่ก็ตาม