ในเอกสารเหมือนยกตัวอย่าง และกล่าวถึง Public-key encryption ซึ่งผมมองว่า TLS ก็เข้าข่ายและ PGP ที่เข้ารหัสข้อความที่มักใช้ในอีเมลก็อาจรวมด้วยครับ (ตอนออกเป็นกฎหมายอาจใช้คำที่กว้างกว่าอย่าง Public-key encryption เพื่อที่เผื่อไว้สำหรับอนาคต หากมีเทคโนโลยีเข้ารหัสอื่นๆ ที่ใช้หลักการเดียวกันบน protocal อื่นๆ)

ถ้าทำจริงก็ต้องเป็นแบบนั้นครับ

นั่นหมายถึงฉิบหายทุกย่อมหญ้า

ทหารยังอยู่ก็คงมีกตหมายงอกออกมาอีกแหละครับ

ขึ้นบัดใดสู่คอมมิวนิส ลาว (เลือกผู้นำบางกลุ่มไม่ใด้) จีน (ปิดหูปิดตา)

+1 ครับ ผมเองก็อยากจะพูดแบบนี้ แต่ว่าไม่รู้จะพูดยังไงดี

หรือสุดท้ายข้อมูลไอพีก็เปิดเผยอยู่ดี นอกจากจะใช้ TOR

ทำไมผมอ่านถึงตรงนี้ แล้วนึกถึงประกาศร่างขอบเขตของงาน (Term of Reference) หละเนี่ย 5555+

root CA ในองค์กร เกิดได้และถูกกฎหมาย(ไทย) เนื่องจากในสัญญาจ้างจะมีระบุว่า การใช้company resource ต้องทำไปเพื่อการทำงานขององค์กรเท่านั้น ใช้ในเรื่องส่วนตัวถือว่าผิด ฉะนั้นการสอดส่องการใช้งานต่างๆของเครือข่ายในองค์กร ก็ถือว่าไม่ผิด เพราะเป็นการสอดส่องการทำงาน(เขาอ้างว่าเพื่อการmonitor การไหลของข้อมูลลับในการทำงาน ว่ารั่วไหลหรือไม่) ถ้าใครนำไปใช้ส่วนตัวก็ถือว่าผิดกฎบริษัทแต่แรก (เคยเจอหลายบ. remote มา capture หน้าจอของพนักงานโดยไม่รู้ตัวด้วยซ้ำ ส่วนใหญ่ที่เจอคือแอบเล่นเกม ก็โดนกล่าวโทษพักงานกันไป)

แต่ในตปท.เคสนี้อาจถือว่าละเมิดความเป็นส่วนตัว เพราะการใช้email ส่วนตัวในที่ทำงานผ่านpc ของที่ทำงานผ่านinternet ของที่ทำงานเป็นสิทธิ์ส่วนตัว(?)ที่ละเมิดไม่ได้ ส่วนการใช้ทรัพยากรขององค์กรเพื่อธุระส่วนตัวก็เป็นการละเมิดอีกส่วนหนึ่ง ที่ต้องฟ้องร้องแยกตะหาก(คือฟ้องว่าละเมิดใช้ของบ.เพื่อส่วนตัวได้ แต่ไปบังคับสอดส่องไม่ได้?)

แต่พอกลับมามอง scale ระดับประเทศ ผมเข้าใจว่าบางประเทศก็บังคับ root CA ทั้งประเทศกันมาแล้ว ก็เป็นเรื่องในแง่ว่า ประชาชนเป็นเพียงทรัพยากรของท่านผู้นำ เลยต้องโดนสอดส่องได้ตลอดเวลาหรือไม่?

อีกมุมหนึ่ง ผมว่าการดัก หรือตรวจ ว่าคนคนนี้เล่นเวบอะไร ยังไม่น่ากลัวเท่าการบังคับถอดรหัส เพื่อตรวจสอบว่าคนคนนี้ส่งหรือรับข้อความอะไรนะครับ

การใช้งาน Cloud Computing ถูกกำกับดูแลด้วยแนวทาง IT Outsourcing แต่ต้องไปดูเป็นกรณีว่าจะเข้า Critical IT Outsourcing ด้วยหรือไม่ แต่ต้องขอ ธปท ใช้งานเป็นรายกรณีไป ไม่ใช่ปิดทาง แต่ต้องมีการกำกับดูแล

ระงับ ก็แสดงว่าคุณไม่สามารถใช้การเข้ารหัสในการเชื่อมต่อได้ ต้องเชื่อมต่อแบบ plain text ธรรมดา

ในอีกแง่ ก็คือเขาดูคุณได้ง่ายขึ้นโดยไม่ต้องไปถอดกุญแจอะไรเลย

และจริงๆในประโยคนี้ "รัฐมนตรีอาจประกาศกำหนดหลักเกณฑ์ ระยะเวลาและแนวทางการปฏิบัติสำหรับการระงับการทำให้แพร่หลายหรือลบข้อมูลคอมพิวเตอร์ของผู้ให้บริการให้เป็นไปในแนวทางเดียวกันภายใต้พัฒนาการทางเทคโนโลยีที่เปลี่ยนไป เช่น ข้อมูลคอมพิวเตอร์ที่เข้ารหัสด้วยเทคโนโลยี SSL (Secure Socket Layer) ซึ่งถูกสร้างขึ้นมาเพื่อเพิ่มความปลอดภัยในการสื่อสารหรือส่งข้อมูลบนเครือข่ายอินเทอร์เน็ตที่มีการเข้ารหัสแบบ Public-key encryption นั้น จำเป็นต้องมีวิธีการและเครื่องมือพิเศษในการดำเนินการจึงจะสามารถกระทำได้สำเร็จ …”

อาจตีความแบบกว้างได้ว่า การบังคับให้ใช้ root CA ของทางการ ก็เป็นมาตรการเพื่อป้องกันการหลีกเลี่ยงการระงับของการเข้ารหัสด้วยเช่นกัน โดยถือเป็นวิธีการและเครื่องมือพิเศษ ที่เขียนเอาไว้แล้ว