เขียนโปรแกรมสาย Security ด้วย Python

Python พื้นฐานที่ใช้บ่อยในงาน security

คุณไม่ต้องเป็นโปรแกรมเมอร์เต็มตัวก็เริ่มได้ ขอแค่เข้าใจก้อนความรู้ไม่กี่อย่าง ได้แก่ ตัวแปรและสตริง (ข้อความ), ลูป for เพื่อทำซ้ำกับข้อมูลหลายบรรทัด, เงื่อนไข if, ฟังก์ชันเพื่อจัดโค้ดเป็นก้อน และการเรียกใช้ไลบรารีมาตรฐาน สามตัวที่จะเจอตลอดในบทนี้คือ hashlib (ทำแฮช), secrets (สุ่มค่าแบบปลอดภัย) และ hmac (เทียบค่าลับแบบปลอดภัย)

ตัวอย่างเล็ก ๆ ที่รวมพื้นฐานหลายอย่างไว้ด้วยกัน

import hashlib, secrets

# สุ่ม token สำหรับ session อย่างปลอดภัย (ใช้ secrets ไม่ใช่ random)
token = secrets.token_hex(16)

# ทำ SHA-256 เพื่อตรวจความถูกต้องของไฟล์ (integrity) ไม่ใช่เก็บรหัสผ่าน
digest = hashlib.sha256(b"hello lab").hexdigest()
print(token, digest)

จุดสำคัญตั้งแต่บรรทัดแรก: เวลาต้องสุ่มอะไรที่เกี่ยวกับความปลอดภัย เช่น token หรือรหัสผ่านชั่วคราว ให้ใช้โมดูล secrets เสมอ อย่าใช้ random ธรรมดา เพราะ random คาดเดาได้และไม่ได้ออกแบบมาเพื่องานลับ

เทียบให้เห็นภาพ

กฎง่าย ๆ ที่จำไว้: รหัสผ่านต้อง hash ไม่ใช่ encrypt เพราะเราไม่จำเป็นต้องรู้รหัสผ่านจริงของผู้ใช้เลย เราแค่ต้องตรวจว่า "ตรงกันไหม" ก็พอ ส่วนข้อมูลที่ต้องอ่านกลับ เช่น เลขบัตรที่ต้องเอามาใช้ต่อ ถึงจะใช้ encryption

เครื่องมือที่ 1: ตัวตรวจความแข็งแรงของรหัสผ่าน

สคริปต์นี้รับรหัสผ่านเข้ามา แล้วบอกว่ามันอ่อนตรงไหน เพื่อช่วยผู้ใช้ของเราตั้งรหัสให้ดีขึ้น มันเป็นเครื่องมือป้องกัน ไม่ใช่เครื่องเดารหัสของคนอื่น

ตรวจเกณฑ์เบื้องต้นของรหัสผ่านหนึ่งตัว

import re

def check_strength(pw):
    problems = []
    if len(pw) < 12:
        problems.append("สั้นเกินไป ควรยาวอย่างน้อย 12 ตัว")
    if not re.search(r"[A-Z]", pw):
        problems.append("ไม่มีตัวพิมพ์ใหญ่")
    if not re.search(r"[0-9]", pw):
        problems.append("ไม่มีตัวเลข")
    return problems  # ลิสต์ว่าง = ผ่านเกณฑ์เบื้องต้น

ความยาวสำคัญกว่าความซับซ้อน รหัสยาว ๆ ที่จำได้อย่างวลีหลายคำต่อกัน มักแข็งแรงกว่ารหัสสั้นที่มีอักขระพิเศษเยอะ ในงานจริงเรายังควรเทียบกับรายการรหัสที่รั่วบ่อย (เช่นชุด rockyou ที่ใช้ศึกษากันทั่วไป) เพื่อกันไม่ให้ผู้ใช้ตั้งรหัสที่โลกรู้กันหมดแล้ว

เครื่องมือที่ 2: แฮชรหัสผ่านด้วย bcrypt

ตอนผู้ใช้สมัคร เราจะไม่เก็บรหัสจริง แต่เก็บค่าที่แฮชแล้ว ตอนล็อกอินก็เอารหัสที่พิมพ์มาแฮชแล้วเทียบ วิธีที่ถูกต้องคือใช้อัลกอริทึมที่ออกแบบมาเพื่อรหัสผ่านโดยเฉพาะ เช่น bcrypt หรือ argon2 ซึ่งใส่ salt ให้อัตโนมัติและ "ช้าโดยตั้งใจ"

แบบผิด อย่าทำ: เก็บรหัสตรง ๆ หรือแฮชเร็วเปล่า ๆ

# plaintext = อันตรายสุด
db_save(username, password)

# แฮชเร็วไม่มี salt ก็ยังเสี่ยงต่อ rainbow table
bad = hashlib.md5(password.encode()).hexdigest()

แบบถูก: bcrypt มี salt ในตัวและตั้งใจให้แฮชช้า

import bcrypt

# ตอนสมัคร
hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt())
db_save(username, hashed)

# ตอนล็อกอิน เทียบแบบปลอดภัย
ok = bcrypt.checkpw(attempt.encode(), hashed)

เข้าใจการโจมตีเพื่ออ่าน log ให้ออก: brute force

brute force คือการลองรหัสผ่านทีละค่าเรื่อย ๆ จนเจอ หรือลองบัญชีเดิมด้วยรหัสยอดฮิตหลายตัว (credential stuffing) ในแง่ผู้ป้องกัน สิ่งที่เราสนใจไม่ใช่วิธีทำ แต่คือ "หน้าตาของมันใน log" ซึ่งมักเป็นการล็อกอินล้มเหลวจำนวนมากในเวลาสั้น ๆ จาก IP เดียว

นับจำนวนการล็อกอินล้มเหลวแยกตาม IP จากไฟล์ log ของเครื่องเราเอง

from collections import Counter

fails = Counter()
for line in open("auth.log"):
    if "Failed password" in line:
        ip = line.split("from ")[1].split()[0]
        fails[ip] += 1

# IP ที่พลาดบ่อยผิดปกติ = ควรสงสัยไว้ก่อน
for ip, n in fails.most_common(5):
    print(ip, n)

สคริปต์นี้เปลี่ยน log ดิบเป็นสรุปที่คนอ่านได้ใน 5 บรรทัด ในงานจริงเราจะต่อยอดให้มันส่งแจ้งเตือนอัตโนมัติเมื่อ IP ไหนพลาดเกินเกณฑ์

honeypot คืออะไร

honeypot คือ "กับดักน้ำผึ้ง" เป็นบริการหลอกที่เราตั้งขึ้นในเครือข่ายของเราเอง เพื่อล่อให้ผู้บุกรุกเข้ามายุ่ง ของจริงไม่มีใครควรมาต่อ ดังนั้นถ้ามีการเชื่อมต่อเข้ามาที่ honeypot เมื่อไร แปลว่ามีบางอย่างผิดปกติแน่ ๆ มันเป็นเครื่องมือ "ตรวจจับ" ล้วน ๆ ไม่ได้ไปโจมตีใคร

honeypot อย่างง่ายที่แค่จดว่าใครมาต่อ ผูกกับ localhost ในแล็บเท่านั้น

import socket, datetime

s = socket.socket()
s.bind(("127.0.0.1", 2222))   # localhost ในแล็บเท่านั้น
s.listen()
while True:
    conn, addr = s.accept()
    print(datetime.datetime.now(), "มีการเชื่อมต่อจาก", addr)
    conn.close()

เข็มทิศเวลาเขียนเครื่องมือ security

ถามตัวเองสามข้อก่อนรันสคริปต์ทุกครั้ง: หนึ่ง เป้าหมายเป็นของเราหรือแล็บของเราไหม สอง จุดประสงค์คือการตรวจ ป้องกัน หรือทำความเข้าใจ ไม่ใช่ทำลายหรือขโมยใช่ไหม สาม ถ้าเจ้าของระบบเห็นสิ่งที่เราทำ เขาจะโอเคไหม ถ้าตอบไม่ผ่านข้อใดข้อหนึ่ง ให้หยุด เครื่องมือที่จุดประสงค์หลักคือเจาะระบบคนอื่นที่ไม่ยินยอม เราไม่เขียนและไม่ใช้

ข่าวดีคือทักษะเขียนโค้ดฝั่งป้องกันในบทนี้ ทั้งการแฮชที่ถูกต้อง การตรวจรหัสผ่าน และการอ่าน log ล้วนเป็นทักษะที่ตลาดงานต้องการจริง และฝึกได้เต็มที่บนแพลตฟอร์มถูกกฎหมายอย่าง picoCTF หรือกับเว็บฝึกที่จงใจมีช่องโหว่อย่าง OWASP Juice Shop ที่คุณติดตั้งเองในแล็บ

คำถามทบทวนท้ายบท