Computer Science

ปัญหาเรื่อง Security ทุกๆคนต้องเผชิญอย่างไม่สามารถหลีกเลี่ยงได้ บางคนที่รู้เท่าทันก็ดีไป แต่บางคนก็ไม่รู้เท่าทันก็จะตกเป็นเหยื่อได้โดยง่าย ในครั้งนี้ เป็นเรื่องของ การ Attack แบบ Man-in-the-middle แน่นอนว่าใครอยู่ในวงการ Security ก็ต้องรู้จัก แต่การ Attack แบบนี้ ในชีวิตประจำวันก็มีให้เห็นทั่วไป โดยที่อาจจะไม่ทันได้สังเกตกัน

วันนี้ผมได้ไปที่ Fortune Town ซึ่งในนั้น มีบูทของผู้ให้บริการอินเตอร์เน็ตความเร็วสูงเจ้าหนึ่งเปิดบูทเล็กๆอยู่ แน่นอน เค้าคือ Sale กลุ่มนี้เป็นกลุ่มที่ผมไม่เคยคิดจะได้เข้าไปพูดคุยด้วยเลยแม้แต่น้อย เพราะว่าผมติด ADSL มานานมากๆแล้ว แต่วันนี้เพื่อนผมเข้าไปถาม ซึ่งบริการดีมาก เพื่อนผมไม่สามารถจำเบอร์โทรศัพท์บ้านตัวเองได้แล้วคุยกับผม พนักงาน ก็เสนอว่า จำชื่อเจ้าของเบอร์ได้ไหมคะ เพื่อนผมก็บอกไป เค้าก็ค้นมาให้เรียบร้อย เบอร์ xxx-xxxx ใช่มั๊ยคะ

อ๋อ ไม่ใช่คะ งั้นสงสัยชื่ออีกคนนึง เพื่อนผมตอบ....

ประเด็นคือ ถ้าผมเป็นโรคจิตคนนึง แล้วจำชื่อของคนที่ผมต้องการค้นหาได้ละ ง่ายนิดเดียว กดกด ผ่านพนักงาน True ก็ได้ข้อมูลแล้ว!!! ทั้งๆที่ คนที่ผมต้องการค้นหานั้น บางทีได้แจ้งความจำนงปิดบังข้อมูลไม่ให้สามารถใช้สมุดหน้าเหลือง หรือค้นหาผ่านเว็บไซต์ได้ แต่ผมกลับค้นหาได้โดยง่าย โดยให้พนักงานเป็นผู้ที่ค้นหาข้อมูลให้ผมเลย แค่นี้ผมก็ได้เบอร์มาเรียบร้อยแล้ว

ในขณะที่ การบริการลูกค้าทางโทรศัพท์ ของบริษัทแห่งนี้ จะมีการให้ป้อนรหัสผ่านก่อน แต่ถึงกระนั้นก็เถอะ ครั้งหนึ่ง ผมได้สอบถามรายละเอียดเกี่ยวกับเบอร์ของผม ว่าทำไม ถึงได้โปรโมชั่น ไม่เหมือนกับที่เพื่อนผมสมัคร แต่โชคดีที่พนักงาน Call Center มักจะได้รับการฝึกฝนวิทยายุทธ์ในการปกปิดข้อมูลลูกค้าทุกราย ก็เลยไม่ได้รับข้อมูลเกี่ยวกับโทรศัพท์ที่เกี่ยวข้องแต่อย่างใด

ประเด็นคือ การหลอกลวงแบบนี้ในต่างประเทศมีมานานมากๆแล้ว ตั้งแต่สมัยผมอยู่ประถม แต่สำหรับประเทศไทย เพิ่งมีเกิดกับคนรอบๆตัว หนักๆ ไม่นานมานี้ โชคดีที่เขาเหล่านั้น รู้ทันกลเม็ดเลยหลุดพ้นมาได้

อีกครั้งหนึ่ง มาถึงประตูบ้าน สอบถามข้อมูล ตอนแรกก็ทำท่าว่าจะพบคนนั้นคนนี้ แล้วตอนหลังหลอกถามข้อมูลภายในบ้าน ซึ่งก็พลาดได้ให้ข้อมูลบางอย่างไป

สุดท้ายแล้ว "แม่สอนว่า ไม่ให้พูดกับคนแปลกหน้า" น่าจะเป็นคำตอบสุดท้าย สำหรับ ความไว้วางใจ คนที่ไม่เคยเจอหน้าตากันมาก่อน เข้ามาถามข้อมูล อย่างนั้นหรือ??

1. How to delete all .svn with only one command

• # find . -name ".svn" -exec rm -rf {} \;

2. SVN commit [Ref]

• If commit by enter no comments, it may show error message that some files will be ignore to add to repository. "This line, and those below, will be ignored".
• Try svn commit -m "commit message you want".

4. SVN Client and Public/Private Key

• Use Pageant of Putty package

Final: Ubuntu Service command (Management) [Ref]

• # update-rc.d SERVICE-NAME remove

รายละเอียดที่เก็บได้จาก Barcamp

แนะนำให้อ่านของ [Link] อันนี้ก่อน เพราะค่อนข้างครอบคลุมประเด็นทีเดียว

Making Magick with SSH by Joson Smith มาจาก Proven Corporation

คนนี้เป็นมืออาชีพมากๆครับ คำสั่งต่างๆสามารถเขียนได้อย่างรวดเร็ว ทำงานอย่างเร็วในการเข้าถึงส่วนต่างๆ ไม่ว่าจะเป็น Presentation ที่ทำเป็น HTML ใช้โปรแกรม Compile เอา ไม่แน่ใจว่าใช้โปรแกรมอะไร กับ Swap Desktop ทราบภายหลังจากพี่ Sugree ว่า Features นี้มีอยู่ใน Ubuntu Version ใหม่แล้ว

ประเด็นของ SSH ที่ไม่เคยรู้มาก่อน ก็เป็นพวกการทำ VPN ส่วน Port Forwarding เคยใช้มาก่อนหน้าแล้ว ถึงอย่างไรก็ตาม เทคนิคในการนำเสนอน่าติดตามมากทีเดียว SSH สามารถสร้างเป็น Tab เหมือน Firefox ได้ด้วย อันนี้เพิ่งรู้ แต่รู้สึกว่าใช้โปรแกรมที่ชื่อว่า screen เข้ามาช่วย

Session นี้มีคำถามอยู่ แต่หมดเวลาพอดี ไม่ทันได้ถาม เสียดายมาก พอดีมีโครงการจะทำ MySQL Tunnel ระหว่างเครื่อง Web Server กับเครื่อง MySQL Server แต่ไม่แน่ใจในเรื่องของ Performance ว่าจะลดทอนอะไรอย่างไร

Google Summer of Code by Sugree

อันนี้พูดถึงโครงการของ Google ครับ ตอนแรกผมเข้าใจว่ามีแต่ Student เข้าร่วมได้เสียอีก แต่ปรากฏว่าสามารถเข้าร่วมได้ในบทบาทอื่น เช่น การเป็น Mentor หรือผ่าน Opensource Organization โดยปกติจะรับสมัครช่วงมีนาคม นับว่าเป็นโครงการที่ดี เดี๋ยจะลองสมัครไปเป็น Mentor ดู

Ruby shared Host by Speedthai.com

ผู้พัฒนา Shared Host รายแรกที่ สามารถใช้ภาษา Ruby ได้ เขาก็เป็นคนมาแนะนำ เขาแนะนำการใช้ FastCGI มีการ Setup ครั้งแรกที่ Setup ยาก เพียงครั้งเดียว แต่ว่าสามารถทำ Performance ได้ดีกว่า สามารถ Fork Process ของ Application Ruby ได้อัตโนมัติ รวมถึงการ Release หน่วยความจำ ตั้งเวลาไว้ เมื่อโปรแกรมไม่มีการใช้งาน เพื่อลดการใช้ Memory ตอน Demo เขาใช้ VHCS Control Panel มา Modified แต่มี Direct Admin ที่พอจะใช้งานได้อยู่บ้าง ส่วนตอนนี้กำลัง Create Control Panel สำหรับ Ruby อยู่ ชื่อว่า Redgem ที่ Sourceforge.net

Open Social / Facebook อันนี้เสียดายไม่ได้เข้าฟัง

Haskell Functional Programming อันนี้เข้าฟังช่วงแรกไม่ทัน เลยหลุด ฟังไม่เข้าใจเลย เลยหนีมาฟังห้องข้างๆแทน เรื่องของ Capacity Test แต่ว่าไม่มี Comments

หลังจากนั้นฟังหัวข้อ SA กับ SpeedThai อีกครั้ง ตอนนี้เรารู้สึกเหมือนเรียนวิชา Requirement Engineering ใหม่อีกรอบ เพราะเป็นเนื้อหาวิชานั้นเลย เช่น วิธีการเก็บ Requirement รูปแบบต่างๆ จริงๆ มี Comments แต่ว่าหมดเวลาเสียก่อน คือ เรื่องของ Requirement Documents จะต้องวัดค่าได้ เพราะว่ามันจะควบคู่กับเอกสาร TOR ในการตีความตอนรับมอบงานของลูกค้า รวมถึงเอกสาร SRS Practice ของ IEEE 830-1998 ด้วย แล้วก็เรื่องวิธีการเก็บ Requirement ที่มีมุมมองความลึกแคบแตกต่างกัน เช่น การทำแบบสอบถาม จะได้ข้อมูลแบบกว้าง แต่การสัมภาษณ์จะได้ข้อมูลแบบลึก เวลาการ Interview จะต้องมีการกำหนดรูปแบบคำถาม ซึ่งระหว่างกลุ่ม Manager กับ Operation จะแตกต่างกัน รวมถึง เอกสาร SA หลายอย่าง สามารถแทนที่ได้ด้วย UML แล้ว หลายแผนภาพ เป็นแบบเก่า ที่ปัจจุบัน หนังสือเรียนมีอยู่ แต่ไม่ได้ใช้กันแล้ว

Java Multithread

อันนี้พูดเรื่อง Mahlee ว่าจะเอามาลองใช้งานดูบ้างอยู่ ถ้าหากว่าง มีคำถาม แต่ไมได้ถามออกไป เช่นการ Compare กับ Java Script Library ประเภทอื่นๆ

L10N

เรื่องของ Localization ตรงนี้ มีคำถาม แต่ไม่ทันได้ถาม เพราะหมดเวลาก่อน แต่ก็ได้ถามไปแล้วหลายคำถาม จริงๆติดประเด็นอยู่ว่า แล้วถ้าเราสร้างโปรแกรมขึ้นมาเอง เราจะ Generate ในส่วนของ Translation อะไรอย่างไร ให้มันสามารถ Code Readability กับ Transalation ablity พร้อมๆกัน ส่วนใหญ่เค้าแนะนำโปรแกรมบน Linux แต่เราถนัดแต่โปรแกรม poEdit บน Windows ซึ่ง ใช้ล่าสุดก็ยังมีปัญหากับภาษาไทยอยู่ สุดท้ายก็เลยไม่ได้ใช้ทำงานอะไรจริงๆจังๆเสียที

Security Patterns

อันนี้เป็นคนพูดเอง เน้นเชิง Discussion หน่อย เพราะว่าเตรียมตัวมาไม่ทัน ได้หลายๆคนมาช่วยไว้ ทำให้งานสามารถ Present ได้ครบเวลา ซึ่งติดตามได้จาก [Entry นี้]

หลังจากนั้นเป็นอันหมด

หัวข้อที่เหลือมีที่น่าสนใจอยู่หลายอันที่ไม่ได้เข้าฟัง อย่างเช่น งานวิจัยทางด้าน Biology กับคอมพิวเตอร์ อยากฟัง แต่ว่าหลุด Schedule ไป

ถ้ามีโอกาสไปครั้งหน้า อาจจะพูดเรื่องของ Code Optimization (คือสนใจจะ Discussion แต่ไม่มีความรู้แฮะ) กับเรื่องของ MySQL HA/ Performance Tunning อะไรทำนองนั้น นอกเหนือจาก Security Patterns ที่ครั้งหน้าอาจจะมีอะไรน่าสนใจเพิ่มขึ้น ก็เป็นได้

จากรูป จะเห็นหัวข้อ Security Patterns อยู่ล่างซ้าย แปะไปสิบห้านาทีสุดท้าย

จากการที่ลงหัวข้อ 15 นาทีสุดท้าย ก่อนปิดเวลา Vote ตอนแรกคิดว่าจะไม่ได้พูดแล้ว ปรากฏว่า คะแนนเสียงเพิ่มขึ้นมาเป็นสิบแต้ม เลยได้รับการจัดเข้าตารางเวลา ตอน 5 โมงเย็น ซึ่งเป็นเวลาที่เขาลดห้อง Presentation จากสามห้อง เหลือเพียงสองห้อง เราก็คิดว่าเอาละ คนฟังเยอะแน่ๆ แย่แล้ว ไม่ได้เตรียม Slide มาด้วย เดิมทีตั้งใจว่าจะพูด ถ้าได้เตรียม Slide มา แต่เนื่องจากไม่ได้เตรียม Slide มา งั้นทำไงละทีนี้ ก็เป็นพูดสดละครับงั้น ตอนหลังแอบไปเติม คำว่า "Discussion" ต่อท้าย จะได้เหมือนกับเป็น Class ที่ให้ทุกคนมาแชร์ร่วมกัน แต่ถึงกระนั้น ชื่อหัวข้อหน้าห้อง ก็ไม่ได้แก้ไขอยู่ดี

[Source] 15 นาที ได้มาสิบเสียง แล้วถ้าเราไปแปะตั้งแต่ตอนเราถึง นี่จะได้กี่เสียงกันนะ

ตอนแรกว่าจะเอา Papers มาอ่านคร่าวๆ สุดท้าย ไม่ได้อ่านครับ อาศัยวิชาที่เพิ่งได้ร่ำเรียนมา 1 ครั้ง แต่ใช้ซะคุ้มเลย ก็คือ Mind Map เอามาใช้ในการนำเสนอ ก็คือ ขึ้นด้วย หน้าจอเปล่าๆ พอใครพูดอะไรมา เราก็ Note มาไว้ใน Mind Map ไว้ให้ งานนี้ มีคำชมครับ :$ เพิ่งแอบไปเปิดดูสรุปมา [ตามไปดูที่นี่]

====================================

เนื้อหา

อันนี้ เราต้องคิดมาก่อนเริ่มพูดนิดนึง ว่ามีเรื่องอะไรที่จะทำให้เกิดการพูดคุยได้บ้าง ก็เลยเริ่มต้นที่คำถามหลักๆก็แล้วกัน ว่า What? Why? How? Who? When? คือ ทำไมต้องมีละ Security Patterns? มันมีประโยชน์ยังไงบ้างละ Security Patterns? แล้วจะใช้มันยังไงได้บ้างละ ? แล้วมันมีรูปแบบ Patterns แบบไหนบ้างละ

เราก็พูดโยงกับเรื่องของ Design Patterns ของ Object-Oriented งานของ GoF หลังจากนั้นก็มาแจกแจง ว่าเราสามารถสร้าง Patterns ตามรูปแบบไหนได้บ้าง

• Attacking Patterns ดูว่าโดนโจมตีอย่างไร
• Physical ดูว่า เรามีอะไร Token, Username, Biometrics
• เอ ตาม Defense ได้มั๊ยนะ

แล้วก็โยงเข้ากับ Papers ที่เราใช้ในการ Present ตลอดเทอมนี้ ก็คือ "A study of security architectural patterns" งาน Patterns ที่มีการออกแบไว้แล้ว "Model Checking Security Pattern Compositions" การเช็คว่า Model ควมปลอดภัยที่สร้างขึ้นนั้น ปลอดภัยแล้วหรือยัง

งานนี้ทำให้เราได้รู้วิธีการจู่โจมในรูปแบบอื่นๆอีก ต้องขอบคุณ ไทโกะ, คุณเก่ง และก็พี่ System Engineering จากกันตนา มาช่วยแชร์ความรู้ ทำให้ Session ผ่านไปด้วยดี ใช้เวลาไปทั้งหมด 40 นาทีเต็ม ในการ Discussion ครั้งนี้ (เริ่มก่อนชาวบ้าน 10 นาที - จริงๆ ก่อนเวลา 15 นาที) หมดตรงเวลาพอดี

งานนี้ เราได้รู้ Patterns ของ Security มากขึ้น จุดงานที่สนใจ เห็นจะเป็นการเชื่อมโยงระหว่างงาน Security Design กับ Social Design ซึ่งมีงาน "Password Sharing: Implications for Security Design Based on Social Practice" ซึ่งเค้าพูดถึงเรื่อง Trusts ของ Social Practice กับ Security Engineering เอามาพูดเกริ่นๆด้วยอีกเช่นเดียวกัน

นอกจากนี้ ได้พูดถึง Model ในการ Authentication ของ Thawte (Web-of-Trust) กับ 3rd Party ด้วย งานนี้ ได้ไปเชื่อมกับ PGP Encryption ว่ามีเทคนิคที่เหมือนกันอย่างลงตัว

================================

ขอยก Quote จากเว็บไซต์ที่เขียนถึงเราเก็บไว้สักหน่อย

ถัดมาเรื่องสุดท้ายก็คือ “Security Pattern”
ซึ่งตอนนี้ผมเริ่มหมดแรงแล้ว เลยไม่ค่อยได้จดอะไรมาแล้วครับ
แต่คนนี้เค้าใช้ซอฟต์แวร์ mindmap ใช้ในการพรีเซนต์ซึ่งน่าสนใจมากทีเดียว
ในการให้คนที่ฟังสามารถจับจุดได้เป็นอย่างดี

ตอนนี้เครื่องกำลังโดยภัย Denial-of-Service อีกครั้ง จากสองหมายเลข IP Address ซึ่งอันหนึ่งมาจาก TOT อันหนึ่งมาจาก True อย่างไรก็ตาม ผลของความเสียหายไม่รุนแรงมากนัก เว็บเปิดได้อืดๆนิดหน่อย ก็เลยทำการ Drop Packet จากสองไอพีแอดเดรสทิ้ง ปัญหาการ DoS เกิดจากเว็บไซต์เดิม ที่อยู่ภายในเครื่อง ซึ่งกำลังตัดสินใจต่อไป ว่าอยากจะสนุกโดยการไปลองแจ้งความให้ดำเนินการเล่นๆดีมั๊ย ไหนๆเค้าก็มาสนุกกับเครื่องเราแล้ว

ตอนแรกว่าจะมาเขียนไดอาร์รี่ถึงเรื่องไปเที่ยววันนี้ซะหน่อย กลับกลายมาเป็นเจอ Issue เสียก่อน แต่ก็สนุกดี ตอนนี้จัดการกับพวก DoS ได้อย่างใจเย็นขึ้น ไม่ค่อยเครียดเหมือนครั้งแรกที่โดน เริ่มรู้ Process ที่จะต้องทำ ตั้งแต่แรกจนกระทั้งสืบย้อนกลับในขั้นตอนสุดท้าย ตอนนี้ก็เลยคงปล่อยให้มี DoS ต่อไปสักพัก เพราะระดับความรุนแรงไม่สูงนัก ถือเป็นการฝึกประสบการณ์ไปในตัว ว่าจะจัดการอย่างไร