รายงานนี้สืบเนื่องจาก บั๊ก FaceTime ที่สามารถดักฟังเสียงปลายสายได้ แม้ไม่มีการรับสาย ซึ่งล่าสุดได้ ปิด บริการ FaceTime กลุ่มไปชั่วคราว โดยมีข้อมูลว่าแอปเปิลได้รับการแจ้งเตือนถึงช่องโหว่ดังกล่าวนี้มากว่า 1 สัปดาห์แล้ว เพียงแต่ยังไม่เป็นข่าว
ย้อนไปเมื่อวันที่ 20 มกราคม ผู้ใช้ Twitter ได้ทวีตเมนชั่นไปหา Apple Support ระบุว่าลูกชายของเขาพบช่องโหว่ร้ายแรงใน iOS ที่ทำให้สามารถดักฟัง iPhone/iPad ได้ โดยอีกฝ่ายไม่ต้องกดตอบรับ ผู้ร้องเรียนนั้นคือ Michele Thompson ซึ่งได้ข้อมูลจากลูกชายเขา ที่บังเอิญพบช่องโหว่นี้ ขณะกำลัง FaceTime กลุ่มกับเพื่อนก่อนเล่น Fortnite ด้วยกัน
My teen found a major security flaw in Apple’s new iOS. He can listen in to your iPhone/iPad without your approval. I have video. Submitted bug report to @AppleSupport ...waiting to hear back to provide details. Scary stuff! #apple #bugreport @foxnews
— MGT7 (@MGT7500) January 21, 2019
Thompson บอกว่าแอปเปิลไม่ได้ติดต่อกลับมา ซึ่งอาจเพราะข้อความนั้นพูดกว้าง ๆ เกินไป อย่างไรก็ตามเธอได้อีเมลไปหาฝ่ายความปลอดภัยผลิตภัณฑ์แอปเปิลอีกครั้ง โดยส่งลิงก์ YouTube แบบส่วนตัว เพื่ออธิบายบั๊กดังกล่าว พร้อมถามเรื่องผลตอบแทนที่น่าจะได้จากการค้นพบบั๊ก แต่แอปเปิลก็ไม่ได้ตอบอีเมล เธอจึงอีเมลไปหาอีกครั้งด้วยเนื้อหาที่หนักแน่นขึ้น แอปเปิลก็กลับตอบมาเพียงให้รายงานบั๊กนี้ผ่านบัญชีของนักพัฒนา พร้อมแนบขั้นตอนการรายงานบั๊กผ่านช่องทางดังกล่าว
อย่างไรก็ตามหลังรายงานบั๊กไปแล้ว ก็ยังไม่มีอัพเดตแก้ไขออกมา จนกระทั่งบั๊กดังกล่าวถูกเผยแพร่ต่อสาธารณะจนแอปเปิลต้องออกมาปิดบริการ FaceTime กลุ่มชั่วคราวนั่นเอง
ที่มา: The Verge
Comments
แบบนี้สามารถจะได้รับเงินรางวัลได้ป่ะครับ?
ไม่เสมอไปครับเพราะว่าเรื่องแบบนี้ไม่ได้ประกาศเป็นโครงการไว้แบบเปิดกว้างๆส่วนมากมีแต่ในงานแข่งขันต่างๆที่เกี่ยวกับเรื่องความปลอดภัยดังนั้นก็ขึ้นอยู่กับ Apple แล้วว่าจะให้หรือไม่
เด็กเก่ง มาก พยายาม ติดติด
เหมือนไม่ได้ใส่ใจ
ก็จะเป็นแบบกรณีที่มีนักวิจัยความปลอดภัยชาวตะวันออกกลาง (มั้ง) คนนึงที่พยายามอธิบายเฟสบุคถึงการพบช่องโหว่ แต่ทางเฟสบุคไม่ค่อยใส่ใจ และที่สำคัญคือภาษาของนักวิจัยคนนี้ไม่แข็งแรง ทำให้ทางเฟสบุคไม่เข้าใจสิ่งที่ต้องการสื่อ
นักวิจัยเลยแฮคเฟสของมาร์คแทน ปรากฎว่าผิดกติกาการรับรางวัล แล้วเฟสบุคก็แก้ช่องโหว่นี้ไป
นักวิจัยท่านนี้ได้รับเงินผ่านการระดมทุนแทน
มีข่าวในบล็อกนันด้วยครับ
แต่ก็มิได้นำพา
ผมว่าปัญหาน่าจะมาจากที่เด็กเป็นคนพบปัญหา ซึ่งดูแล้วไม่มีอะไรยืนยันว่าเป็นปัญหาที่เกิดขึ้นจริงหรือแค่มาปั่นป่วนเฉยๆ บวกกับปัญหายังไม่เกิดในวงกว้าง เลยทำให้ Apple เลือกปล่อยและไม่สนใจซะมากกว่า แม้จะมีผู้ปกครองมายืนยันให้ แต่ก็ทำแค่ให้แจ้งตามขั้นตอนปกติของนักพัฒนาแทน จนมีการเปิดช่องโหว่ตามข่าว
ซึ่งคนที่พบปัญหา ควรได้รางวัลนะ ไม่ว่าจะใครก็ตาม ถ้าสามารถพิสูจน์ได้ว่าเป็นปัญหาจริง ถ้าเป็นเด็กก็ควรส่งให้กับผู้ปกครอง หรือส่งให้เด็กโดยตรงถ้าผู้ปกครองอนุญาตหรือเป็นเด็กกำพร้า เป็นต้น
ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว
เรื่องส่งให้เด็กโดยตรง อันนี้เป็นข้อผูกพันทางกฎหมายน่ะครับ
นึกถึง การเปิด S3 bucket เป็น Public ของบริษัท IT ยักษ์ใหญ่ ที่เป็น partner AWS เลย
เปิดประตูหลังบ้านให้ NSA/CIA แบบเนียนๆ พอโดนจับได้ก็บอกว่าเป็นบัค
คิดเหมือนกันเลยครับ