เด็ก มข. อย่างโหด! ค้นพบช่องโหว่ XSS ในระบบ NASA จน NASA ส่งหนังสือขอบคุณ

“ใครจะไปคิดว่าจากคำแนะนำสั้นๆ ของอาจารย์ จะกลายเป็นกลายเป็นจุดเริ่มต้นที่ทำให้นักศึกษาไทยค้นพบช่องโหว่ในระบบของ NASA องค์กรอวกาศระดับโลก”

นี่คือเรื่องราวของ “ปอนด์” ธนพนธ์ บุตรศรีชา ในนามแฝง (nullbyt3z) นักศึกษาชั้นปีที่ 1 วิทยาลัยการคอมพิวเตอร์ มหาวิทยาลัยขอนแก่น ใช้เวลาราว 1 เดือน ศึกษาและตรวจสอบระบบของ NASA จนพบช่องโหว่ด้านความปลอดภัย ซึ่งนำไปสู่การได้รับหนังสือขอบคุณอย่างเป็นทางการจาก SAISO องคืกร NASA เมื่อวันที่ 5 พ.ย. 69 ที่ผ่านมา 

แล้วอยู่ดีๆไปพบช่องโหว่ในระบบ NASA ได้ยังไง?

จุดเริ่มต้นเกิดจากอาจารย์นำเรื่องราวของนักวิจัยที่เคยค้นพบช่องโหว่ในระบบ NASA และได้รับหนังสือขอบคุณจากองค์กรมาเล่าให้ฟัง เขาจึงเกิดความสนใจ และอยากลองนำความรู้ที่เรียนมาใช้กับระบบจริงบ้าง 

ซึ่งตลอดระยะเวลากว่า 1 เดือน เขาส่งรายงานแจ้งสิ่งที่ตรวจพบให้ NASA ตรวจสอบรวมประมาณ 10 ครั้ง ก่อนจะพบช่องโหว่สำคัญในรายงานครั้งที่ 8 หรือ 9 ซึ่งเป็นช่องโหว่ประเภท Cross-Site Scripting (XSS)

โดยเขาส่งรายงานช่องโหว่ผ่านโครงการ Vulnerability Disclosure Policy (VDP) ของ NASA ซึ่งเป็นช่องทางที่เปิดให้นักวิจัยภายนอกแจ้งจุดอ่อนของระบบ เพื่อให้ NASA นำไปตรวจสอบและแก้ไข โดยไม่เผยแพร่รายละเอียดของช่องโหว่หรือใช้ประโยชน์จากช่องโหว่นั้นก่อนที่หน่วยงานจะแก้ไข

แล้วช่องโหว่ XSS คืออะไร อันตรายยังไง?

ช่องโหว่ XSS เกิดขึ้นเมื่อเว็บไซต์มีระบบป้องกันข้อมูลไม่ดีพอ ทำให้แฮกเกอร์สามารถแทรกชุดคำสั่งเข้าไปในหน้าเว็บไซต์ และใช้เป็นช่องทางเข้าถึงข้อมูลของผู้ใช้งาน อย่างคุกกี้ที่เกี่ยวข้องกับการเข้าสู่ระบบ ซึ่งอาจนำไปสู่การเข้าถึงบัญชีของผู้อื่นโดยไม่ได้รับอนุญาต

แม้จะเป็นช่องโหว่ที่พบได้ในเว็บไซต์ทั่วไป แต่หากเกิดขึ้นกับระบบของหน่วยงานสำคัญ ก็อาจเพิ่มความเสี่ยงต่อข้อมูลและความปลอดภัยของระบบได้เหมือนกัน

“เด็กไทย” ไม่แพ้ใครในโลก

เจ้าตัวเผยว่ารู้สึกภูมิใจกับความพยายามตลอด 1 เดือนที่ผ่านมา และตั้งใจพัฒนาทักษะด้าน Cybersecurity ให้มากขึ้น พร้อมแนะนำผู้ที่สนใจสายงานนี้ว่าควรเริ่มเรียนรู้ตั้งแต่พื้นฐานการเขียนโปรแกรม ทำความเข้าใจกฎหมายที่เกี่ยวข้อง และให้ความสำคัญกับจริยธรรมในการใช้ความรู้ เพราะทักษะด้านนี้ต้องมาพร้อมความรับผิดชอบด้วย

กรณีของปอนด์จึงเป็นตัวอย่างที่หน้าภาคภูมิใจของเด็กไทย ที่นำความรู้จากห้องเรียนมาทดลองกับระบบจริง จนได้รับการยอมรับจากองค์กรระดับโลก แสดงให้เห็นว่า ความสามารถด้านไซเบอร์สามารถพัฒนาและสร้างผลงานในระดับสากลได้