CTO เลดเจอร์เตือนอย่าปล่อยช่องโหว่ปั่นกระแส เรียกร้องเปิดเผยอย่างมีความรับผิดชอบ

ชาร์ล กีเยเมต์(Charles Guillemet) ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยี (CTO) ของเลดเจอร์(Ledger) ออกมาเรียกร้องให้อุตสาหกรรมฮาร์ดแวร์วอลเล็ตยึดหลัก 'การเปิดเผยช่องโหว่อย่างมีความรับผิดชอบ' โดยชี้ว่าในยุคที่ปัญญาประดิษฐ์ (AI) ช่วยลดอุปสรรคในการค้นหาช่องโหว่ลงไปมาก การรีบเปิดเผยเพียงเพื่อเรียกกระแสความสนใจกลับยิ่งเพิ่มความเสี่ยงให้กับผู้ใช้งาน

กีเยเมต์ระบุผ่านโพสต์บนโซเชียลมีเดียว่า AI ทำให้การค้นพบช่องโหว่ทำได้ง่ายขึ้นมาก แต่นั่นก็ทำให้ความได้เปรียบที่ฝ่ายป้องกันเคยมีเหนือฝ่ายโจมตีลดน้อยลงไปด้วยเช่นกัน เขาระบุว่าด้วยเหตุนี้ ขั้นตอน 'การเปิดเผยแบบร่วมมือ' ซึ่งแจ้งผู้ผลิตเป็นการภายในก่อน กำหนดกรอบเวลาแก้ไข แล้วจึงเปิดเผยต่อสาธารณะพร้อมกัน จึงสำคัญกว่าที่เคยเป็นมา โดยฟอร์ไซต์นิวส์(Foresight News) รายงานคำกล่าวนี้เมื่อวันที่ 7 (ตามเวลาท้องถิ่น)

เขาวิจารณ์ว่ามีบางฝ่ายข้ามขั้นตอนดังกล่าวไปเลือกวิธีที่เรียกความสนใจโดยตรง เช่น นำช่องโหว่ที่แก้ไขไปแล้วมาปั้นแต่งให้ดูเหมือน 'การถูกเจาะระบบที่กำลังเกิดขึ้น' หรือปล่อยรายละเอียดของช่องโหว่ที่ยังไม่ได้รับการแก้ไขออกมาก่อนเวลาอันควร หรือปล่อยข้อมูลแบบทีเซอร์เพื่อกระตุ้นความสนใจ

กีเยเมต์เรียกพฤติกรรมเหล่านี้ว่า 'การแลกทราฟฟิกด้วยความเสี่ยงของคนอื่น' พร้อมชี้ว่าแม้จะไม่มีความเสียหายด้านเงินทุนเกิดขึ้นจริง แต่การสร้างความตื่นตระหนกโดยไม่จำเป็นอาจทำให้ผู้ใช้เลิกเก็บสินทรัพย์ด้วยตัวเอง (self-custody) ไปเลยก็ได้ สะท้อนว่าวิธีการเปิดเผยช่องโหว่เองก็ส่งผลต่อพฤติกรรมด้านความปลอดภัยของผู้ใช้ได้เช่นกัน

เขาขอให้ผู้ใช้งานอัปเดตซอฟต์แวร์ให้เป็นเวอร์ชันล่าสุดอยู่เสมอและปฏิบัติตามหลักความปลอดภัยพื้นฐาน ส่วนนักวิจัยด้านความปลอดภัยควรแจ้งช่องโหว่ผ่านช่องทางที่ผู้ผลิตกำหนดไว้อย่างเป็นทางการ พร้อมเสนอให้อุตสาหกรรมยึดการเปิดเผยแบบร่วมมือเป็นบรรทัดฐานร่วมกัน และร่วมกันขีดเส้นแบ่งกับการเปิดเผยที่มุ่งเรียกกระแสเพียงอย่างเดียว

ฟอร์ไซต์นิวส์รายงานว่า นอกจากเลดเจอร์แล้ว ยังมีหลายหน่วยงาน อาทิ เทรซัวร์(Trezor), Foundation Devices, AnchorWatch และกลุ่มพันธมิตรด้านความปลอดภัย SEAL(Security Alliance) ที่เห็นพ้องให้ยึดการเปิดเผยแบบร่วมมือเป็นหลักการเปิดเผยข้อมูลร่วมของอุตสาหกรรม

ก่อนหน้านี้เลดเจอร์เคยโต้แย้งว่าได้แก้ไขข้อบกพร่องที่ TestMachine หยิบยกขึ้นมาไปแล้วก่อนที่จะถูกเปิดเผยต่อสาธารณะ ทำให้คำกล่าวของกีเยเมต์ในครั้งนี้ถูกมองว่าเป็นการขยายประเด็นข้อถกเถียงเรื่องวิธีการเปิดเผยช่องโหว่ ให้กลายเป็นปัญหาระดับอุตสาหกรรมฮาร์ดแวร์วอลเล็ตโดยรวม

ฮาร์ดแวร์วอลเล็ตเป็นอุปกรณ์รักษาความปลอดภัยที่ออกแบบมาให้ผู้ใช้ตรวจสอบที่อยู่ จำนวนเงิน และรายละเอียดการเรียกใช้สัญญาบนหน้าจอของอุปกรณ์เอง ก่อนอนุมัติธุรกรรมบล็อกเชนขั้นสุดท้าย เนื่องจากหัวใจสำคัญของความปลอดภัยอยู่ที่ข้อมูลบนหน้าจอต้องตรงกับสิ่งที่กำลังจะลงนามจริง อุตสาหกรรมจึงมองว่าวิธีการเปิดเผยข้อบกพร่องที่พบมีผลโดยตรงต่อความเชื่อมั่นของผู้ใช้งาน