ศาลอุทธรณ์ของฝรั่งเศสได้ตัดสินลงโทษปรับเงินนักข่าว/แฮกเกอร์ชาวฝรั่งเศส จากการนำเอกสารในฐานข้อมูลภายในของหน่วยงานรัฐบาลไปเผยแพร่ ที่ได้มาจากการเข้า URL ที่ถูกต้องจากกูเกิล
Olivier Laurelli (ใช้ฉายาออนไลน์ว่า Bluetouff) ทำธุรกิจความปลอดภัยออนไลน์ที่ชื่อว่า Toonux และเป็นผู้ร่วมก่อตั้งเว็บไซต์ข่าว Reflets.info ได้เข้าอินเทอร์เน็ตผ่าน VPN ที่ใช้ IP address ของปานามา (เป็นบริการของ Toonux) ค้นหาข้อมูลผ่านเครื่องมือค้นหาของกูเกิล และได้บังเอิญเข้าไปเจอเอกสารภายในของหน่วยงานความปลอดภัยด้านอาหาร สิ่งแวดล้อม และอาชีพของฝรั่งเศส ( ANSES )
Laurelli ได้ใช้เครื่องมือดาวน์โหลดเอกสารทั้งหมดเข้ามาเก็บไว้ในเครื่องของตัวเอง และในภายหลังได้ส่งต่อเอกสารบางส่วนให้กับผู้ร่วมเขียน Reflets คนหนึ่ง ซึ่งต่อมา เว็บไซต์ Reflets ก็ได้เผยแพร่สไลด์บางอันที่เกี่ยวข้องกับสารนาโน
เมื่อ ANSES ได้มาพบว่า มีสไลด์ภายในถูกเผยแพร่บนเว็บไซต์ Reflets จึงได้แจ้งตำรวจว่า อาจมีการบุกรุกเข้าสู่ระบบคอมพิวเตอร์และขโมยข้อมูลจากเครื่องคอมพิวเตอร์ ทำให้สำนักข่าวกรองของฝรั่งเศส (DCRI) เข้ามาร่วมสอบสวนกรณีนี้ด้วย
DCRI พบว่า ไฟล์ถูกดาวน์โหลดผ่าน IP address จากปานามา และพบต่อไปว่า เป็น IP address ที่ใช้ผ่านบริการ VPN ที่บริหารโดยผู้ร่วมก่อตั้ง Reflets ทำให้สาวไปถึงตัว Laurelli ได้ ตัว Laurelli นั้นเชื่อว่า การดาวน์โหลดผ่าน VPN นี้ (และใช้ IP address จากปานามา) เป็นส่วนสำคัญที่ทำให้เจ้าหน้าที่เชื่อว่ามีการกระทำความผิดเกิดขึ้น
เว็บไซต์ส่วนตัวของ Laurelli ได้เผยแพร่เอกสารบางส่วนจากศาล ซึ่งได้อธิบายว่า การสอบสวนภายในของ ANSES พบว่า เพียงแค่ใส่ URL เอกสารที่ถูกต้อง ก็จะสามารถอ้อมระบบยืนยันตัวตน (authentication) ได้
ศาลชั้นต้นนั้นได้ตัดสินว่า Laurelli ไม่มีความผิด ทำให้ DCRI อุทธรณ์คำตัดสิน ในขณะที่ ANSES ซึ่งเป็นหน่วยงานเจ้าของเอกสารเลือกที่จะไม่อุทธรณ์ เว็บไซต์ข่าวเทคโนโลยีของฝรั่งเศสที่ได้เข้าฟังการพิจารณาคดีได้บรรยายบรรยากาศการไต่สวนอุทธรณ์ครั้งแรกว่า ผู้พิพากษาและอัยการดูขาดความรู้ความเข้าใจที่จำเป็นเกี่ยวกับเทคโนโลยี
ศาลอุทธรณ์ได้ตัดสินว่า Laurelli ไม่มีความผิดฐานบุกรุกระบบสารสนเทศ แต่มีความผิดฐานขโมยเอกสารและเก็บรักษาเอกสารไว้โดยมิชอบ ซึ่งลงโทษปรับ 3,000 ยูโร (ประมาณ 130,000 บาท) ซึ่งส่วนหนึ่งที่ทำให้ศาลตัดสินลงโทษ มาจากการที่ Laurelli ยอมรับว่า หลังจากที่เจอเอกสารแล้ว เขาได้พยายามลองกลับเข้าไปที่โฮมเพจ และพบว่าเป็นหน้าล็อกอิน ซึ่งแสดงว่าเขารับรู้ตั้งแต่แรกว่าเป็นเอกสารที่ตั้งใจจะปกปิดไว้ และยังคงตั้งใจดาวน์โหลดเอกสารไปเผยแพร่
เว็บไซต์ Le Point ของฝรั่งเศส ได้เขียนว่าถึงว่า "คำตัดสินนี้ควรจะสร้างความวิตกกังวลให้กับพลเมืองทั้งหมด โดยเฉพาะอย่างยิ่งกับนักข่าว" และได้อ้างถึง Grégoire Pouget จากองค์กรนักข่าวไร้พรมแดน ( RSF ) ที่กล่าวว่า คำตัดสินนี้ เป็นบรรทัดฐานที่น่าวิตกกังวลมาก
ที่มา - Ars Technica , Le Point (fr)
Comments
คราวหลังก็แกล้งทำเอกสารปลอมๆ รั่ว แล้วฟ้องรัวๆ เลยครับ แหม่
เพียงแค่ใส่ URL เอกสารที่ถูกค้อง -> ถูกต้อง
เปรียบได้กับ นาย ก. เห็นเอกสารราชการอยู่ในลิ้นชักของนาย ข. ซึ่งเปิดทิ้งไว้ เลยหยิบออกมาและเอาไปเผยแพร่ซินะ
แต่ถ้าไม่ได้ให้การว่ารู้ว่าจริงๆ แล้วจะ login เข้าระบบ ก่อนถึงจะเห็นเอกสารได้ก็น่าจะรอดจริง
ผมมีตัวอย่างหนึ่งอยากจะถามว่า (อันนี้เรื่องจริง ซึ่งคิดว่าหลายคนก็น่าจะเคยเจอ)
เว็บราชการแห่งหนึ่งมีเอกสารอยู่หลายรายการ มีระบบล็อคอิน สามารถเปิดอ่านบางไฟล์ได้ ไม่ว่าจะล็อคอินหรือไม่ แต่บางไฟล์แม้จะล็อคอินก็ไม่สามารถอ่านได้ (เหมือนกับต้องใช้ user อีกระดับนึง ระดับทั่วไปไม่สามารถอ่านได้) ที่นี้ระบบจัดเก็บเอาไฟล์ทั้งหมดไว้โฟลเดอร์เดียวกัน โดยชื่อไฟล์สามารถดูได้ทั่วไปแม้จะไม่ได้ล็อคอิน
ฉะนั้นเวลาที่ผมต้องการอ่านไฟล์ที่ปกติไม่สามารถอ่านได้ ก็จะทำการแก้ไข url ให้ตรงกับเอกสารก็จะสามารถอ่านได้ทันที ดังนี้อยากทราบความเห็นว่ากรณีดังกล่าวจะเป็นความผิดทางกฎหมายหรือไม่
ถ้าตามกฎหมายไทยถือว่าผิดครับ
บล็อกส่วนตัวที่อัพเดตตามอารมณ์และความขยัน :P
มองง่าย ๆ เหมือนกับ ... นาย ก. วางกระเป๋าเงินไว้บนโต๊ะตัวเอง นาย ข.เห็นเข้าก็เลยเดินไปหยิบเป็นของตัวเอง
ถามว่า นาย ก. ประมาทที่เอากระเป๋าวางไว้เฉย ๆ ไหมก็ใช่ แต่ในกรณีนี้นาย ข.ที่เดินไปหยิบมาเนี่ยถือว่าขโมย
... ถ้าไม่ตรงประเด็นพอลองเปลี่ยนจากกระเป๋าเงินเป็นเอกสารราชการก็ได้ครับ
ผมก็คิดแบบนี้นะ คือระบบมันมีช่องโหว่จริงๆ แต่เรื่องเอาไปแจกต่อก็ไม่ควร
แต่อันนี้ไม่เชิงเป็นการขโมยนะครับ น่าจะเป็นการเอาเอกสารราชการไปถ่ายเอกสารมากกว่า เพราะของต้นฉบับก็ยังอยู่ไม่ได้โดนลบ ถ้าพูดว่าขโมยผมเข้าใจว่าของต้นฉบับต้องหายไปและเปลี่ยนมือไปอยู่กับอีกคน
คือในแง่นึง การที่คนไม่ได้ล็อกบ้าน หรือเอากระเป๋าวางไว้ในที่สาธารณะ ไม่ได้เป็นข้ออ้างให้คนบุกรุก/ขโมยได้ การป้องกันระบบหละหลวมก็ไม่ได้แปลว่าบุกเข้าระบบไปได้ไม่ผิด เหมือนกัน
แต่สิ่งที่จะมองได้ว่าต่างคือ คนทั่วไป expect ได้ว่า การเดินเข้าบ้านคนอื่น เป็นพื้นที่หวงห้าม ไม่มีใครอยู่เฉยๆ ก็เดินไปเข้าบ้านคนอื่น หรือหยิบกระเป๋าคนอื่นที่วางอยู่บนโต๊ะ แต่กับในอินเทอร์เน็ต การเข้า URL หน้าเว็บต่างๆ เป็นเรื่องปรกติ ไม่มีใคร expect ว่าการพิมพ์ URL เข้าหน้าเว็บจะเป็นการบุกรุกระบบไปได้ (อย่างเต็มที่ การเอาไปเผยแพร่ก็เป็นเรื่องทรัพย์สินทางปัญญา)
มันเลยกลายเป็นว่า จุดที่กลายเป็นการบุกรุก คือการที่คนเอาไป รู้ว่าจริงๆ แล้วมันเป็นความผิดพลาดในการป้องกัน แค่นั้นหรือเปล่า แล้วถ้าไม่ได้ยอมรับว่ารู้ว่าเป็นระบบปิด จะยังผิดอยู่มั้ย
อาจจะลองเปรียบเทียบเป็นว่า มีคนเอาเอกสารลับ ไปวางในช่องใส่โบรชัวร์ แล้วคนเอาไปเผยแพร่ต่อ จะผิดมั้ย แล้วถ้าเห็นแล้วรู้ว่าจริงๆ เป็นเอกสารลับที่วางผิด จะเปลี่ยนแปลงความผิดมั้ย
อ้าว แล้วคือผมเคยเจอว่าเขาวาง link ให้โหลด แต่ระบุ url ผิด ผมก็เลยเอาพิมพ์ที่อยู่เองแบบนี้คือผิดหรือป่าว (คือผมก็แยกไม่ออกว่าเขาตั้งใจไม่ให้โหลด หรือพิมพ์ link ผิด)
เอาแบบขำๆ ก็พวก h**p://url.address.com (อิอิ)
เกิดไปโหลดรายงานการประชุมจากเว็บกระทรวงอะไรสักกระทรวงแล้วเอามาโพสต์ จะผิดด้วยไหมเนี่ย
Happiness only real when shared.
ประเด็นสำคัญอยู่ที่ว่า สำนึกรู้ไหมว่าของนั้น เป็นสิ่งทีเจ้าของไม่ต้องการเปิดเผย หรือไม่อยากให้คนอื่นรู้
กรณีเอกสารในลิ้นชัก wifi ในบ้าน เข้าใจได้ง่าย ว่าเจ้าของคงไม่ได้อยากให้คนนอกไปแอบดูไปแอบใช้ แม้จะไม่ได้วางระบบป้องกัน(เพราะอาจลืม หรือทำไม่เป็น)เพราะมันอยู่ในพื้นที่ส่วนตัว
แต่ถ้าเป็นเอกสารที่สืบค้นได้จาก search engine ล่ะ? เราจะรู้ได้อย่างไรว่าweb crawler/spyder ไม่ได้ไปเอาเอกสารปกปิด มาโชว์ในlink? เพราะเวบเอง มีทั้งพื้นที่สาธารณะและพื้นที่ส่วนตัว หากเราเข้าผ่านตรงโดยไม่ได้รับรู้ว่ามันคือพื้นที่ส่วนตัวที่ปกปิด จะมาหาว่าเราบุกรุกได้อย่างไร?
แต่เคสในข่าวข้างต้นก็มีข้อสงสัย ตั้งแต่การใช้VPN และการยอมรับว่ารับรู้ว่าเป็นเอกสารปกปิด(เพราะกลับไปเจอหน้าlogin) แล้วก็ยังเอามาเผยแพร่ต่อนั่นแหละ