Posts

การเข้ารหัสแบบ RSA และ ECC จะไม่ปลอดภัยอีกต่อไป ในยุค Quantum Computer – เตรียมพร้อมตั้งแต่วันนี้ด้วย PQC Solution จาก Utimaco

/in , , ,

คอมพิวเตอร์ควอนตัม เป็นเทคโนโลยีคอมพิวเตอร์รูปแบบใหม่ที่ใช้ปรากฏการณ์ด้านฟิสิกส์ควอนตัมในการประมวลผล ซึ่งมีคุณสมบัติเด่นในการแก้ปัญหาทางคณิตศาสตร์ด้วยความรวดเร็ว โดยแต่เดิมไม่สามารถแก้ปัญหาได้ หรือแก้ได้แต่ใช้ระยะเวลายาวนาน ทำให้วิธีการเข้ารหัสแบบเดิม ได้รับผลกระทบอย่างหลีกเลี่ยงไม่ได้

คอมพิวเตอร์ควอนตัมที่มีพลังมากเพียงพอ ร่วมกับ Shor’s Algorithm และ Grover’s Algorithm จะสามารถทำลายความปลอดภัยของวิธีการเข้ารหัสเดิม โดยสามารถแยกตัวประกอบที่เป็นจำนวนเฉพาะขนาดใหญ่ และแก้ปัญหา Discrete Logarithm ได้อย่างรวดเร็ว รวมถึงสามารถค้นหากุญแจที่ใช้ในการเข้ารหัสได้เร็วขึ้นกว่าเดิม ส่งผลให้การเข้ารหัสแบบ Asymmetric บนพื้นฐาน RSA, ECC ไม่ปลอดภัยอีกต่อไป และทำให้การเข้ารหัสแบบ Symmetric เช่น AES อ่อนแอลงกว่าร้อยละ 50

National Institute of Standards and Technology (NIST) เป็นหน่วยงานที่สร้างมาตรฐาน ข้อกำหนด แนวทางปฏิบัติสำหรับเทคโนโลยีสารสนเทศ ของประเทศสหรัฐอเมริกา มีคำแนะนำ SP 800-78-5 เกี่ยวกับการเข้ารหัสแบบ RSA-2048 ว่าจะยังคงปลอดภัยจนถึงปี ค.ศ. 2030 ซึ่งหากนับจากปัจจุบัน ดูเหมือนว่าจะยังมีเวลาอีก 6 ปี ในการเปลี่ยนวิธีเข้ารหัสเป็นวิธีใหม่ที่มีความปลอดภัย แต่ก็เป็นเพียงการประมาณการเท่านั้น

เทคโนโลยีคอมพิวเตอร์ควอนตัมอาจมีการพัฒนาอย่างรวดเร็ว จนมีพลังและความเสถียรมากเพียงพอก่อนปี 2030

ดังนั้น องค์กรจึงต้องเริ่มวางแผน และเตรียมพร้อมในการเปลี่ยนผ่านวิธีเข้ารหัสตั้งแต่วันนี้

ล่าสุด NIST ได้ประกาศมาตรฐานวิธีการเข้ารหัสที่ปลอดภัยจากคอมพิวเตอร์ควอนตัม หรือ Post Quantum Cryptography (PQC) ในเดือนสิงหาคมที่ผ่านมา 3 วิธี  ได้แก่ ML-KEM, ML-DSA และ SLH-DSA ใน FIPS 203, FIPS 204 และ FIPS 205 ตามลำดับ ซึ่งเป็นจุดเริ่มต้นสำคัญสำหรับอุตสาหกรรมเทคโนโลยีสารสนเทศในการปรับเปลี่ยนเพื่อความปลอดภัยในอนาคต

ท่านสามารถรับชมวีดีโองานสัมมนาออนไลน์ย้อนหลัง แนะนำ Solution ด้าน PQC, Crypto Agility จาก Utimaco และ Throughwave ได้ที่นี่

 

สนใจ Utimaco ติดต่อ Throughwave Thailand

ผู้ที่สนใจ Solution ของ Utimaco สามารถติดต่อทีมงาน Throughwave Thailand ซึ่งมี Certified Engineer คอยให้คำปรึกษาและบริการได้โดยตรงที่ info@throughwave.co.th หรือโทร 02-210-0969 ได้ทันที หรือสามารถเยี่ยมชมเว็บไซต์ของ Throughwave Thailand ได้ที่ https://www.throughwave.co.th/

2 วันสุดท้าย! ลงทะเบียนร่วมรับฟัง Webinar “เปลี่ยนผ่านการเข้ารหัสสู่ Quantum Safe เริ่มต้นได้แล้วด้วย Best Practice สำหรับองค์กร” [19 ก.ย. 2567 – 14.00น.]

/in , , , ,

Throughwave และ Utimaco ขอเชิญ CTO, COO, IT Security, IT Manager, IT Operation, Software Developer และผู้เกี่ยวข้องในสายไอทีทุกท่าน เข้าร่วมงานสัมมนาออนไลน์ในหัวข้อ “ทิศทางของการเปลี่ยนผ่านการเข้ารหัสสู่ Quantum Safe และแนวทางสำหรับองค์กร”

โดยในหัวข้อนี้ท่านจะได้เรียนรู้ถึงเทรนด์ของการอัปเกรดแอปพลิเคชันจากการเข้ารหัสแบบเก่าสู่อัลกอริทึมที่ปลอดภัยจากการมาถึงของ Quantum Computing ซึ่งการ์ทเนอร์และผู้เชี่ยวชาญหลายสำนักชี้ว่าการเปลี่ยนแปลงที่จะมาถึงราวปี 2030 อาจส่งผลกระทบต่อความมั่นคงปลอดภัยที่เคยมีในไม่ช้า

นอกจากนี้ท่านยังจะได้เรียนรู้ถึงกลยุทธ์ แนวทาง และการวางแผนเพื่อรับมือกับการเปลี่ยนผ่าน รวมถึงความท้าทายที่ต้องประเมิน เช่น แอปพลิเคชัน ฮาร์ดแวร์ การเปลี่ยนกุญแจเข้ารหัส และแผนอัปเกรดระบบสำคัญในองค์กร เพื่อให้ระบบ IT สำคัญทั้งหมดขององค์กรสามารถเข้ารหัสได้ด้วยอัลกอริธึมที่มั่นคงปลอดภัยยิ่งกว่าเดิม รองรับต่ออนาคตและข้อบังคับใหม่ๆ ได้อย่างมั่นใจ

โดยงานจะจัดขึ้นในวันพฤหัสบดีที่ 19 กันยายน 2567 เวลา 14.00 – 15.30น.

ยุคของ Quantum Computing กำลังจะมาถึงในไม่ช้า โดยมีการคาดการณ์กันว่าในปี 2030 ความสามารถในการประมวลผลของควอนตัมอาจเอาชนะการเข้ารหัสแบบเดิมที่เคยมีมา นั่นจึงเป็นหัวข้อที่หลายองค์กรจะต้องเริ่มกลับมาประเมินตัวเอง โดยเฉพาะท่านที่อยู่ในแวดวงธุรกิจที่มีความสำคัญและข้อมูลมีมูลค่าสูง เช่น ธุรกิจการเงิน บริการแอปพลิเคชันด้านการเงิน ผู้ให้บริการที่เกี่ยวข้อง หน่วยงานภาครัฐ โทรคมนาคม

อุปสรรคในการเปลี่ยนผ่านจากระบบการเข้ารหัสแบบเดิมสู่ Quantum Safe ก็มีความท้าทายอยู่ไม่น้อย เริ่มต้นตั้งแต่การประเมินสถานการณ์เกี่ยวกับแอปพลิเคชันเดิมที่มีอยู่ในองค์กรถึงความพร้อม เช่น บางแนวทางอาจต้องมีการแก้ไขโค้ด หรือหากไม่สามารถทำได้จะแก้ปัญหาได้อย่างไร ฮาร์ดแวร์ที่ใช้ในการประมวลผล รวมถึงกระบวนการอัปเดตกุญแจเข้ารหัสและการบริหารจัดการกุญแจ โดยสิ่งเหล่านี้ต้องได้รับการวางแผนอย่างรัดกุมผ่านการวิเคราะห์มาอย่างถี่ถ้วน

ระยะเวลาเริ่มกระชั้นเข้ามาทุกปีหากท่านไม่วางแผนเสียแต่วันนี้ Quantum Computing อาจสร้างปัญหาให้แก่การดำเนินธุรกิจหรือเกิดเป็นความเสี่ยงได้ ไม่เพียงแต่การโจมตีจากภายนอกเท่านั้นแต่ยังรวมไปถึงพันธะผูกพันธ์ทางกฏหมายที่กำกับดูแลในอุตสาหกรรม โดยเฉพาะกลุ่มการเงิน ธุรกิจบริการด้านสุขภาพ และอื่นๆ

ในปัจจุบันผู้เชี่ยวชาญได้เตรียมการสำหรับอัลกอริทึมที่ทนทานต่อการมาถึงของ Quantum แล้วที่เรียกว่า Quantum Safe ซึ่ง Utimaco ในฐานะผู้นำเสนอโซลูชัน Hardware Security Module(HSM) และ Key Management ได้เตรียมอัลกอริทึมเหล่านี้ไว้พร้อมให้บริการกับภาคธุรกิจองค์กรแล้ว จึงเป็นที่มาของหัวข้อการสัมมนาในครั้งนี้

 

ผู้บรรยาย :

  • บุญชัย เลิศบุญยพันธ์, Presales Engineer – Throughwave
  • Eddie Yong, Regional Sales Director, ASEAN – Utimaco
  • ภริญญา หาวิระ, Country Manager, Thailand – Utimaco

วันเวลา : วันพฤหัสบดีที่ 19 กันยายน 2567 เวลา 14.00 – 15.30น.

ลิงก์ลงทะเบียน : https://us06web.zoom.us/webinar/register/WN_ISHc3vKKRE6mxvsd4Tpolg

https://www.techtalkthai.com/throughwave-webinar-begin-to-to-quantum-safe-with-utimaco/

Utimaco กับการทำ Identity Management ใน Zero Trust

/in , ,

ในปัจจุบันองค์กรและหน่วยงาน ต่างมองหาโซลูชันที่จะเข้ามาช่วยเสริมความปลอดภัยตาม Zero Trust Architecture มากขึ้น โดยใน Concept ของ Zero Trust Architecture เอง ก็ประกอบไปด้วยโซลูชันที่ทำหน้าที่แตกต่างกันออกไปเพื่อทำให้องค์กรสามารถออกแบบรูปแบบรักษาความปลอดภัยของข้อมูลได้อย่างยืดหยุ่นและเหมาะสมกับแต่ละองค์กร

หนึ่งในนโยบายหลักที่เป็นส่วนสำคัญในการออกแบบ Zero Trust Policy คือ Identity Management Policy ซึ่งมีส่วนช่วยให้มีการยืนยันตัวตนผู้ใช้งานในรูปแบบต่าง ๆ ก่อนการเข้าถึง Resource ขององค์กร โดยเฉพาะองค์กรที่มีบุคลากรจำนวนมาก โดยจะก่อให้เกิดช่องโหว่ระหว่างกระบวนการสร้าง แก้ไข เปิด/ปิด รวมถึงการให้สิทธิ์ในการใช้งาน Credential ของแต่ละบุคคล ทั้งยังใช้ระยะเวลาในการดำเนินการ การประมวลผล รวมถึงการตรวจสอบย้อนหลัง ส่งผลให้กลายเป็นจุดอ่อนที่อาจถูกโจมตีได้

รูปแบบการทำ Identity Management ที่องค์กรควรจะบังคับใช้งาน ได้แก่

  1. Multi Factor Authentication (MFA) คือการยืนยันตัวตนผู้ใช้งานมากกว่า 1 ขั้นตอน/วิธีการ ด้วย Something you know (Username, Password), Something you have (OTP, Smartcard, USB Token, Cryptographic Key) และ Something you are (Biometric) เพื่อเพิ่มระดับความปลอดภัยในการเข้าใช้งาน
  2. Contextual Identity Management คือการให้สิทธิ์การเข้าถึงตามสถานการณ์เฉพาะ โดยอาจประเมินจากประเภทของระบบงาน ระดับความสำคัญ หรือข้อมูลของผู้ใช้งานเอง เช่น Network Location, Group, Device เป็นต้น เพื่อให้สิทธิ์การเข้าถึงอย่างเฉพาะเจาะจง และรัดกุมมากขึ้น
  3. Single Sign-On (SSO) คือการให้ผู้ใช้งานใช้ Credential ซึ่งอยู่บน Active Directory ขององค์กรเพียงชุดเดียวในการเข้าถึง Application และ Service เพื่อลดจำนวนของ Local Account ตามระบบงานต่าง ๆ ซึ่งไม่ได้ถูกบริหารจัดการสิทธิ์โดยตรงจากส่วนกลาง ซึ่งเป็นจุดเริ่มต้นของการทำ Passwordless Authentication

การใช้ Cryptographic key จึงเป็นหนึ่งในตัวเลือกที่องค์กรจะนำไปใช้งานเพื่อเพิ่มความปลอดภัยให้กับข้อมูลตามหลักการ Zero trust ทั้งยังเป็นส่วนประกอบในการสร้าง X.509 Digital Certificate ซึ่งเป็นรูปแบบของการยืนยันตัวตนผู้ใช้งานที่ถูกนำไปใช้อย่างแพร่หลาย และสามารถนำไปใช้ในกระบวนการเข้ารหัสข้อมูล เพื่อรักษาความปลอดภัยข้อมูลที่สำคัญขององค์กรได้อีกด้วย

Utimaco SecurityServer เป็นผลิตภัณฑ์ Hardware Security Module (HSM) ที่ถูกออกแบบมาสำหรับจัดเก็บ Cryptographic Key รวมถึงประมวลผลด้าน Cryptography Operation ได้แก่ การเข้ารหัสและถอดรหัสข้อมูลโดยเฉพาะ โดยสามารถใช้งานกับอัลกอริทึมสำหรับการเข้ารหัสได้หลากหลาย สามารถเชื่อมต่อกับระบบงานหรือแอพพลิเคชันที่ต้องการเข้ารหัสได้ผ่าน Cryptographic APIs ที่เป็นมาตรฐาน และตัวอุปกรณ์ Hardware Security Module ยังถูกออกแบบมาให้ทนทานต่อการเปลี่ยนแปลงของสภาพแวดล้อมรวมถึงการการโจรกรรม ตามมาตรฐาน FIPS 140-2 ทั้งยังมี True Random Number Generator ในการสุ่มชุดข้อมูลสำหรับสร้าง Cryptographic key จึงมั่นใจได้ว่า การนำ Cryptographic key ไปใช้งาน มีความปลอดภัยสูงสุดยากต่อการปลอมแปลง

Utimaco u.trust LAN crypt เป็นผลิตภัณฑ์สำหรับเข้ารหัสข้อมูลและแฟ้มข้อมูลบนเครื่องผู้ใช้งาน โดยสามารถกำหนดสิทธิ์การเข้าถึงให้กับผู้ใช้งาน รวมถึงป้องกันการเข้าถึงข้อมูล และการนำข้อมูลออกจากองค์กรโดยไม่ได้รับอนุญาต

สนใจ Utimaco ติดต่อ Throughwave Thailand

ผู้ที่สนใจ solution ของ Utimaco สามารถติดต่อทีมงาน Throughwave Thailand ซึ่งมี Certified Engineer คอยให้คำปรึกษาและบริการได้โดยตรงที่ info@throughwave.co.th หรือโทร 02-210-0969 ได้ทันที หรือสามารถเยี่ยมชมเว็บไซต์ของ Throughwave Thailand ได้ที่ https://www.throughwave.co.th/

บทบาทสำคัญของ Hardware Security Module (HSM) ในการใช้ Cloud ขององค์กรในยุคปัจจุบัน

/in , ,

 

แนวโน้มองค์กรส่วนใหญ่ในทุก ๆ อุตสาหกรรม มีความต้องการย้ายระบบ IT ของตนไปยัง cloud ซึ่งจากข้อมูลของ Gartner ระบุว่าการใช้งาน cloud จะมีจำนวนเพิ่มมากขึ้นอย่างเห็นได้ชัด โดยนักวิเคราะห์ประเมินไว้ว่า กว่า 70% ของ workload จะทำงานอยู่บน cloud ภายในปี 2024

 

สิ่งที่ทำให้การใช้งาน cloud ได้รับความนิยม และมีจำนวนเพิ่มมากขึ้น ได้แก่

  • ลดค่าใช้จ่ายของระบบ เมื่อเปรียบเทียบกับ on-premises เช่น ค่าใช้จ่ายด้านฮาร์ดแวร์ ค่าใช้จ่ายสถานที่
  • ลดค่าใช้จ่ายการจ้างพนักงานที่มีความเชี่ยวชาญ
  • มีความยืดหยุ่นในการทำงานจากระยะไกล รวมถึงการทำงานร่วมกัน ที่มีทีมงานทั้งภายในและภายนอกองค์กร
  • สามารถเพิ่มและลดจำนวนทรัพยากร พื้นที่เก็บข้อมูลตามความต้องการ โดยไม่วุ่นวาย และซับซ้อนแบบ on-premise
  • นวัตกรรมที่มีประสิทธิภาพของ cloud computing ในลักษณะ decentralized
  • สามารถทำ disaster recovery ได้ง่ายกว่า หากเปรียบเทียบกับระบบ on-premises

แต่ในองค์กรต่าง ๆ นั้น มีทั้งข้อมูล แอปพลิเคชัน และบริการที่สำคัญ ซึ่งเป็นอุปสรรคของบางหน่วยงาน ที่จะต้องปฏิบัติตามมาตรฐาน และข้อกำหนดด้านความปลอดภัยเฉพาะ เช่น หน่วยงานราชการ ผู้ให้บริการสาธารณะ ธนาคาร เป็นต้น เนื่องการใช้งาน cloud ในอดีตอาจยังมีความปลอดภัยไม่เพียงพอ แต่ในปัจจุบัน การพัฒนาด้าน Cybersecurity ทำให้สามารถใช้งานระบบ cloud โดยมีความปลอดภัยเทียบเท่ากับ on-premises ได้

 

สิ่งสำคัญที่ต้องพิจารณาในการพัฒนาความปลอดภัยเมื่อใช้งาน cloud มีหลายแง่มุมที่น่าสนใจ ดังนี้

  • การรักษาความปลอดภัยในแต่ละ IT layer
  • การบริหารจัดการองค์ประกอบต่าง ๆ จากศูนย์กลาง
  • การแจ้งเตือน (Notification) และการเตือนภัย (Alert)
  • การออกแบบโดยคำนึงถึงความยืดหยุ่น
  • การสำรอง (Replication)
  • ความยืดหยุ่น และการขยายได้ (Scalability and Flexibility)
  • พื้นที่เก็บข้อมูลที่เหมาะสม และมีความปลอดภัยสำหรับการใช้งาน
  • ความต้องการของข้อกำหนดอุตสาหกรรม (Compliance) และการรับรอง (Certification)
  • การผูกขาดของผู้ให้บริการ cloud

 

จากสิ่งสำคัญข้างต้น การรักษาความปลอดภัยที่รัดกุมในแต่ละ layer ของระบบ IT จึงเป็นสิ่งสำคัญที่จะหลีกเลี่ยงภัยคุกคามและการโจมตีที่อาจเกิดขึ้นได้

“การใช้ Zero Trust Architecture (ZTA) framework จึงเป็นวิธีการหนึ่งที่จะหลีกเลี่ยงความเสี่ยงนั้น”

 

หากเปรียบเทียบวิธีการด้านความปลอดภัยอื่น ๆ จะพบว่า Zero Trust มีจุดเด่นในหลักการคือ “Never trust, Always verify” ซึ่งหมายถึง ต้องมีการตรวจสอบอย่างต่อเนื่องในทุก ๆ กระบวนการ ให้ผู้ใช้งาน อุปกรณ์ และแอปพลิเคชัน รวมถึงส่วนประกอบของระบบอื่น ๆ ทั้งหมด มีการยืนยันตัวตน ควบคุมการให้สิทธิ์ และตรวจสอบความถูกต้องก่อนที่จะเข้าถึงระบบ และข้อมูลได้

การใช้ Zero Trust นั้นไม่มีแม่แบบที่ตายตัว แต่มีเพียงข้อแนะนำว่า จะต้องป้องกันในทุกส่วนของระบบ IT เพราะในทุก ๆ ส่วน สามารถเป็นช่องทางให้เกิดการโจมตีได้ โดยเฉพาะอย่างยิ่งในการใช้งาน cloud เพื่อป้องกันการแทรกซึมของผู้ไม่หวังดีเข้าสู่ในระบบ

การใช้ Zero Trust ด้วย solution ต่าง ๆ เพื่อปกป้องระบบ และทรัพยากรที่อยู่บน cloud และ on-premises เป็นไปดังแผนภาพนี้

จะเห็นได้ว่า วิธีต่าง ๆ นั้น เกี่ยวข้องกับกุญแจสำหรับกระบวนการเข้ารหัส (Cryptographic Key) ซึ่งในกระบวนการสร้างและจัดเก็บ เป็นจุดเริ่มต้นที่สำคัญ เนื่องจากกุญแจเหล่านี้จะถูกใช้สำหรับเข้ารหัสข้อมูล รวมถึงการยืนยันตัวตน ซึ่งจะทำให้สามารถระบุตัวตน และจัดการสิทธิ์การเข้าถึงทรัพยากรต่าง ๆ ได้

ดังนั้น ระบบที่ดี จะต้องใช้งานกุญแจที่มีความน่าเชื่อถือ ซึ่งหมายถึงกระบวนการเหล่านี้ จะต้องดำเนินการด้วยความรัดกุม เพื่อเป็นพื้นฐานความปลอดภัยสำหรับทุก ๆ ระบบในองค์กร

 

Hardware Security Module (HSM) เป็นอุปกรณ์ที่สร้างความปลอดภัยให้กับกุญแจสำหรับกระบวนการเข้ารหัส จากความสามารถในการสร้าง สังเคราะห์ ประมวลผล และเก็บกุญแจ บนพื้นฐานความปลอดภัย ซึ่งหากเปรียบเทียบกับวิธีการสร้าง และเก็บกุญแจอื่น ๆ HSM จะมีประสิทธิภาพ และข้อดีมากกว่า ได้แก่

  • กุญแจดิจิทัลที่สร้างขึ้น มีคุณภาพสูง เนื่องจากใช้ algorithm และวิธีการสุ่ม ที่มีความปลอดภัย
  • ควบคุมการเข้าถึงและใช้งานกุญแจอย่างเข้มงวด เช่น การยืนยันตัวตนแบบ m out of n
  • มีความปลอดภัยทาง Physical สูง เนื่องจากอุปกรณ์ถูกติดตั้งอยู่กับที่ในตู้ rack มีความสามารถในการตรวจจับความเสียหายที่เกิดขึ้นทางกายภาพได้

HSM จึงเป็นอุปกรณ์ที่ได้รับการยอมรับและมีความปลอดภัยในกระบวนการเข้ารหัส มีความหลากหลายของประสิทธิภาพให้เลือกใช้งาน ทั้งในระดับเริ่มต้น จนถึงระดับสูง อีกทั้งมีการรับรองด้านความปลอดภัย (Security Certification) จึงทำให้มั่นใจว่าระบบที่ใช้งานกุญแจดิจิทัลนี้ มีความปลอดภัยเป็นไปตามข้อกำหนดเฉพาะขององค์กร

 

สนใจ Utimaco ติดต่อ Throughwave Thailand

ผู้ที่สนใจ solution ของ Utimaco สามารถติดต่อทีมงาน Throughwave Thailand ซึ่งมี Certified Engineer คอยให้คำปรึกษาและบริการได้โดยตรงที่ info@throughwave.co.th หรือโทร 02-210-0969 ได้ทันที หรือสามารถเยี่ยมชมเว็บไซต์ของ Throughwave Thailand ได้ที่ https://www.throughwave.co.th/