การประกาศล่าสุดของ D-Link ที่ปฏิเสธการแก้ไขช่องโหว่ร้ายแรงในโมเด็มรุ่นเก่ากว่า 60,000 เครื่อง ได้จุดประเด็นการถกเถียงในวงกว้างเกี่ยวกับความปลอดภัยของ IoT การวางแผนการเลิกใช้งาน และทางเลือกที่ยั่งยืนในอุตสาหกรรมอุปกรณ์เครือข่าย แม้ว่าจุดยืนของบริษัทเกี่ยวกับอุปกรณ์ที่หมดอายุการใช้งาน (EOL) จะไม่ใช่เรื่องผิดปกติ แต่ความรุนแรงของช่องโหว่และการจัดการสถานการณ์ของบริษัทได้กระตุ้นให้ชุมชนเทคโนโลยีเรียกร้องหาทางออกที่ปลอดภัยและยั่งยืนมากขึ้น
ฝันร้ายด้านความปลอดภัย
ช่องโหว่ที่พบในโมเด็ม D-Link DSL6740C นั้นน่ากังวลเป็นพิเศษ ไม่เพียงแค่ความรุนแรงแต่รวมถึงวิธีการที่ถูกนำไปใช้ การวิเคราะห์จากชุมชนเผยให้เห็นว่าช่องโหว่หนึ่งเกิดจากการเขียนโค้ดที่แย่มาก โดยละเลยหลักการพื้นฐานด้านความปลอดภัย ตามที่สมาชิกในชุมชนอธิบายว่า โค้ดดังกล่าวอนุญาตให้มีการแทรกคำสั่งโดยตรงผ่านพารามิเตอร์เว็บ ซึ่งแสดงให้เห็นถึงความล้มเหลวขั้นพื้นฐานในสถาปัตยกรรมความปลอดภัยที่เกินกว่าข้อบกพร่องของซอฟต์แวร์ทั่วไป
พบช่องโหว่ที่วิกฤติ:
- CVE-2024-11068 (ระดับความรุนแรง 9.8): การเปลี่ยนรหัสผ่านผ่าน API ที่มีสิทธิ์พิเศษ
- CVE-2024-11067 (ระดับความรุนแรง 7.5): ข้อบกพร่องในการเข้าถึงพาธ
- CVE-2024-11066 (ระดับความรุนแรง 7.2): การเรียกใช้โค้ดจากระยะไกล (RCE)
- ช่องโหว่การฉีดคำสั่งที่มีความรุนแรงสูงเพิ่มเติม: CVE-2024-11062, CVE-2024-11063, CVE-2024-11064, CVE-2024-11065
ทางเลือก Open-source
ในการตอบสนองต่อการจัดการสถานการณ์ของ D-Link ชุมชนเทคโนโลยีได้หันมาสนับสนุนโซลูชัน open-source โดยเฉพาะ OpenWRT และ OPNSense ทางเลือกเหล่านี้มีข้อได้เปรียบหลายประการเหนือเฟิร์มแวร์แบบกรรมสิทธิ์ รวมถึงวงจรการสนับสนุนที่ยาวนานขึ้นและการอัปเดตความปลอดภัยที่ขับเคลื่อนโดยชุมชน อย่างไรก็ตาม ยังมีข้อจำกัดด้านฮาร์ดแวร์ที่ต้องพิจารณา:
ในระดับราคาที่ต่ำกว่า อุปกรณ์ที่รองรับ OpenWRT สามารถให้คุณค่าที่น่าทึ่ง และส่วนใหญ่น่าจะยังคงได้รับการสนับสนุนต่อไปอีกหลายทศวรรษ
ทางเลือกที่แนะนำ:
- อุปกรณ์ที่รองรับ OpenWRT
- ผลิตภัณฑ์ Ubiquiti (Unifi)
- ฮาร์ดแวร์ที่รองรับ OPNSense
- เราเตอร์ MikroTik (สำหรับผู้ใช้ขั้นสูง)
ผลกระทบต่อสิ่งแวดล้อม
นอกเหนือจากความกังวลด้านความปลอดภัย ชุมชนได้ยกประเด็นสำคัญเกี่ยวกับความรับผิดชอบต่อสิ่งแวดล้อม แนวคิด แค่ซื้อเครื่องใหม่ ที่ D-Link แนะนำได้รับการวิพากษ์วิจารณ์ถึงผลกระทบต่อสิ่งแวดล้อม ผู้วิจารณ์เห็นว่าผู้ผลิตควรรับผิดชอบต่อวงจรชีวิตผลิตภัณฑ์ทั้งหมด รวมถึงการกำจัดที่เหมาะสมและผลกระทบต่อสิ่งแวดล้อม
ก้าวต่อไป: ทางออกของอุตสาหกรรม
การอภิปรายได้จุดประเด็นทางออกหลายประการ รวมถึงการบังคับให้เปิดเผยเฟิร์มแวร์แบบเปิดสำหรับอุปกรณ์ที่หมดอายุการใช้งาน และกรอบการกำกับดูแลที่เข้มงวดขึ้น สมาชิกบางคนในชุมชนแนะนำว่าผู้ผลิตควรเปิดให้ใช้ตัวเลือกเฟิร์มแวร์แบบเปิดเมื่อยุติการสนับสนุนฮาร์ดแวร์ เพื่อให้ชุมชนสามารถดูแลความปลอดภัยสำหรับอุปกรณ์รุ่นเก่าได้
คำแนะนำในทางปฏิบัติสำหรับผู้ใช้
สำหรับผู้ที่กำลังใช้งานอุปกรณ์ D-Link ที่มีช่องโหว่ ชุมชนแนะนำให้ดำเนินการทันทีดังนี้:
- พิจารณาอัปเกรดเป็นอุปกรณ์ที่รองรับเฟิร์มแวร์ open-source
- หากไม่สามารถเปลี่ยนได้ทันที ให้จำกัดการเข้าถึงจากระยะไกลและตั้งรหัสผ่านการเข้าถึงที่ปลอดภัย
- มองหาผู้ผลิตทางเลือกที่มีประวัติด้านความปลอดภัยที่ดีกว่าและมีข้อผูกมัดในการสนับสนุนที่ยาวนานขึ้น
สถานการณ์นี้เป็นสัญญาณเตือนทั้งผู้บริโภคและผู้ผลิตเกี่ยวกับความสำคัญของการสนับสนุนด้านความปลอดภัยในระยะยาวและศักยภาพของโซลูชัน open-source ในอุปกรณ์เครือข่าย
อ้างอิง: D-Link says it won't patch 60,000 older modems, as they're not worth saving