เว็บไซต์ HTTPS ไม่ได้ปลอดภัยเสมอไป

จากกระทู้หนึ่งใน Pantip ซึ่งบอกเล่าถึง การทำ phishing ในหน้าเว็บไซต์ที่เป็น https ที่ใช่ชื่อกระทู้ว่า เดี๋ยวนี้เค้าตกปลากันผ่าน https ได้แล้วหรอ ทำให้รู้ว่าการที่เว็บไซต์ เป็น https ก็ใช่ว่าเราจะมั่นใจได้ว่าจะได้รับความปลอดภัยจริงๆจากเว็บไซต์ นั้น โดยเนื้อหาในกระทู้มีอยู่ว่า

เช้านี้ได้รับจดหมายฉบับนึงจาก apple แต่ที่อยุ่เมล์มาจาก yellowlighter

บอกว่าเราสั่งซื้อของจาก apple ไปพร้อมทั้งมีให้พิมพ์เอกสาร และหากจะยกเลิกก็มีลิงค์ให้

พอกดเข้าไปดู มาเป็นเว็บแอปเปิ้ลเลย ส่วนตัวผมจริงๆใช้ window phone เคยสมัครเว็บแอปเปิ้ลครั้งเดียวคือซื้อ iPhone ให้แฟน

ดูที่อยู่เว็บเป็น https ด้วย แต่ไม่ใช่ใบรับรองจาก apple แต่รับรองมาจากไหนก็ไม่รุ้

ก็ลองกรอกข้อมูลมั่วๆไป

ยังมีทักอีกว่าไม่มี @ นะ มันน่าจะเขียนอีกหน่อยว่าเป็น @icould จะได้เหมือนๆ

พอเข้าไปปุ๊ปก็บอกว่า id เราโดนบล็อค และก็จะให้กรอกข้อมูลส่วนตัวทุกอย่าง รวมไปถึงเลขบัตรเครดิตพร้อมรหัส

โดยหน้าเวปทุกหน้าเป็น https หมด คือมันลงทุนมาก ไปหาใบรับรองมาขนาดนี้เลย
ใครจะทำอะไรก็ระวังหน่อยอย่าดูแค่มี https ดูด้วยว่าใบรับรองมาจากไหน

ประเด็นคือเมื่อก่อนไม่มีกรณีแบบนี้ ใช้ https เราก็คิดว่ามี https ปลอดภัย ซึ่งจริงๆแล้ว https มันเอาไว้ป้องกันคนแอบดูเฉยๆไม่ได้กันเว็บปลายทางว่าปลอมหรือไม่ เราก็เลยคิดกันไปว่า https ปลอดภัย

แต่ต่อให้คลิ๊กไปดูข้อมูลใบ cert ก็ใช่ว่าจะรู้ว่าเป้นของแท้หรือเปล่า เพราะบางเว็บตัวจริงๆบางทีมันก็ไม่ได้ใช้ url ในการขอ cert ของเว็บนั้น
อย่างเวป http://AAA แต่พอเข้าไป login เพื่อใส่รหัสผ่านในการกู้คืนหรือทำธุรกรรมต่างๆมันจะเป็น https://BBB (ของเวปAAAแท้ๆ) เหมือนมันแยกเซิฟเวอร์ไปต่างหาก
แล้วจะมีสักกี่คนที่รู้ขนาดไปคลิกดูว่าใบ cert เป็นของใคร แล้วต่อให้คลิกดูจะรู้หรือเปล่าว่าเป็น url ของแท้หรือปลอมเพราะบางทีมันเลือกใช้ชื่อได้สมเหตุสมผลอย่าง recoveryapple, recovericloud มันก็ต้องมีหลงแน่ๆ งานนี้ก็ตัวใครตัวมันละกัน

จากเนื้อความในกระทู้ จขกท ได้สรุปประเด็นสำคัญไว้ให้ในส่วนท้ายแล้วว่า เว็บไซต์ที่มี https มีความปลอดภัยป้องกันคนแอบดู แต่ไม่ได้ป้องกันว่าเว็บนั้นเป็นเว็บไซต์ปลอมหรือไม่ ซึ่งถ้าเป็นเว็บไซต์ปลอมที่สร้างขึ้นมาโดยคนร้ายและทำใบรับรองเป็น https ก็สามารถหลอกให้คนหลงกลได้เช่นกัน
ศึกษาความแตกต่างระหว่าง http และ https ได้จากบทความ http กับ https บนเว็บไซต์ แตกต่างกันอย่างไร ?

ขอบคุณที่กระทู้  เดี๋ยวนี้เค้าตกปลากันผ่าน https ได้แล้วหรอ