ทำไม WiFi องค์กรต้องมี Captive Portal และ RADIUS Server เก็บ Log

9 ใน 10 บริษัทที่ผมเคยเข้าไป Audit ระบบ Network มักจะตกใจเมื่อผมแจ้งว่า เครือข่าย WiFi สำนักงานที่พวกเขากำลังใช้งานกันอยู่นั้น มีความเสี่ยงที่จะโดนรับผิดชอบแทนผู้กระทำผิดตาม พ.ร.บ.คอมพิวเตอร์ฯ แบบเต็มๆ หลายแห่งยังคงเปิดใช้รหัสผ่าน WiFi เดียวกันทั้งออฟฟิศ หรือแปะรหัสไว้บนผนังให้แขกและพนักงานใช้งานร่วมกัน โดยไม่มีการยืนยันตัวตนรายบุคคล และไม่มีการจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์อย่างถูกต้องเลยครับ

ในฐานะที่ผมทำระบบ Network Infrastructure และ WiFi Hotspot ให้กับองค์กรมาหลายปี ผมเห็นเจ้าของกิจการหลายท่านต้องปวดหัวเมื่อมีหมายเรียกจากเจ้าหน้าที่ตำรวจ ขอข้อมูลว่าใครเป็นคนโพสต์ข้อความผิดกฎหมาย หรือปล่อยมัลแวร์เข้าสู่ระบบในช่วงเวลาหนึ่ง แต่ทางฝ่าย IT กลับตอบไม่ได้เพราะไม่มี Log ระบุตัวตนที่ชัดเจน วันนี้ผมเลยอยากมาสรุปให้ฟังแบบเข้าใจง่ายๆ ว่าทำไม Captive Portal และ RADIUS Server ถึงเป็นคู่หูที่ขาดไม่ได้สำหรับระบบ WiFi องค์กรยุคนี้ครับ

ทำไมแค่แจกรหัส WiFi แบบเดิม (PSK) ถึงมีความเสี่ยงทางกฎหมายสูง?

หลายองค์กรเลือกใช้การตั้งรหัสผ่านแบบ Pre-Shared Key (PSK) หรือรหัสผ่านเดียวที่ใช้ร่วมกันทั้งบริษัท เพราะมันง่ายและประหยัด แต่ในมุมของ Network Security และข้อบังคับทางกฎหมาย การทำแบบนี้คือช่องโหว่ขนาดใหญ่ครับ

พ.ร.บ.คอมพิวเตอร์ฯ มาตรา 26 ต้องการข้อมูลอะไรจากเรา?

ตามกฎหมาย พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ผู้ให้บริการ (ซึ่งรวมถึงบริษัท องค์กร โรงแรม หรือร้านค้าที่ให้บริการ WiFi แก่บุคคลอื่น) มีหน้าที่ต้องจัดเก็บ Log หรือข้อมูลจราจรทางคอมพิวเตอร์ไว้ไม่น้อยกว่า 90 วัน โดยต้องระบุรายละเอียดได้อย่างน้อยดังนี้:

• Identity: ระบุตัวตนได้ว่าใครเป็นผู้ใช้งาน ณ ช่วงเวลานั้น (ชื่อ-นามสกุล, เลขบัตรประชาชน, เบอร์โทรศัพท์ หรือ Username)
• Addressing: IP Address และ MAC Address ของเครื่องผู้ใช้งานที่ได้รับแจกจาก DHCP
• Timestamp: เวลาเริ่มเชื่อมต่อ (Log-in) และเวลาเลิกเชื่อมต่อ (Log-out) ที่ตรงกับเวลาจริง (NTP Time)
• Traffic Info: ข้อมูลการเชื่อมต่อออกไปยังเครือข่ายภายนอก

ถ้าเราใช้แค่รหัส WiFi เดียวกันทั้งบริษัท เมื่อเกิดเหตุผิดกฎหมาย สิ่งที่คุณจะหาได้จาก Router ทั่วไปมีเพียงแค่ IP Address และ MAC Address ของอุปกรณ์ ซึ่ง MAC Address นั้นสามารถปลอมแปลง (Spoofing) ได้ และไม่สามารถพิสูจน์ในชั้นศาลได้เลยว่าใครคือคนที่นั่งใช้งานเครื่องนั้นจริงๆ ในที่สุด เจ้าของสถานที่หรือเจ้าขององค์กรนั่นแหละครับที่จะตกเป็นผู้ต้องสงสัยเสียเอง

Captive Portal และ RADIUS Server ทำงานร่วมกันอย่างไรในการเก็บ Log?

เพื่อแก้ปัญหานี้ เราจึงต้องนำโซลูชัน Captive Portal ร่วมกับ RADIUS Server มาปรับใช้ในระบบ WiFi องค์กรครับ ทั้งสองส่วนนี้ทำงานประสานกันเสมือนยามเฝ้าประตูและสมุดลงชื่อเข้า-ออกของอาคาร

1. Captive Portal: หน้าต่างยืนยันตัวตน (Authentication Gateway)

เมื่ออุปกรณ์ของพนักงานหรือ Guest เชื่อมต่อสัญญาณ WiFi ระบบจะบังคับเปลี่ยนหน้าเว็บเบราว์เซอร์ไปที่หน้า Captive Portal ทันที ผู้ใช้จะไม่สามารถออกอินเทอร์เน็ตได้จนกว่าจะกรอก Username/Password ของตัวเอง หรือลงทะเบียนยืนยันตัวตนผ่าน OTP ทางเบอร์โทรศัพท์มือถือ หน้าที่ตรงนี้คือการผูกตัวตนจริงของบุคคลเข้ากับอุปกรณ์ ณ วินาทีนั้นครับ

2. RADIUS Server: ศูนย์กลางตรวจสอบและบันทึกประวัติ (AAA System)

RADIUS Server (เช่น FreeRADIUS หรือ MikroTik User Manager) ทำหน้าที่เป็นสมองกลางด้านความปลอดภัย โดยรับข้อมูลการเข้าใช้จาก Captive Portal มาตรวจสอบกับ Database และบันทึกข้อมูลตามหลัก AAA:

• Authentication: ตรวจสอบว่า Username และ Password ถูกต้องหรือไม่
• Authorization: กำหนดสิทธิ์ว่าผู้ใช้นี้เข้าถึง VLAN ไหน ได้ Speed ความเร็วเท่าไหร่
• Accounting: บันทึกเวลาเข้า-ออก, IP Address, MAC Address และปริมาณ Data ที่ใช้งาน

3. Centralized Log Server: ระบบจัดเก็บข้อมูลที่ไม่ถูกดัดแปลง

ข้อมูล Accounting จาก RADIUS Server และ Syslog จาก MikroTik Router หรือ Access Point จะถูกส่งต่อไปเก็บยัง Centralized Log Server ที่ปลอดภัย ข้อมูลเหล่านี้จะถูกเข้ารหัส Hashing เพื่อป้องกันการแก้ไขดัดแปลง และเก็บไว้ตามระยะเวลา 90 วันที่กฎหมายกำหนดครับ

4 สิ่งสำคัญที่ต้องตั้งค่าในระบบเพื่อไม่ให้ฟาวล์เมื่อโดนเรียกตรวจ

จากประสบการณ์ที่ผมได้ไปเซ็ตระบบและทดสอบกับลูกค้าหลายๆ แห่ง การมีแค่ RADIUS Server ไม่ได้แปลว่าจะรอดพ้นกฎหมาย 100% หากขาดการตั้งค่า 4 ข้อนี้ครับ:

• 1. ซิงค์เวลาอุปกรณ์ด้วย NTP Server: เวลาใน MikroTik Router, RADIUS Server และ Log Server ต้องตรงกันเป๊ะตามเวลามาตรฐานสากล หากเวลาใน Log ไม่ตรง ข้อมูลนั้นจะไม่สามารถใช้เป็นหลักฐานทางกฎหมายได้เลยครับ
• 2. เก็บ Log การแจก IP Address (DHCP Binding Log): ต้องบันทึกว่า IP Address ไหน ถูกแจกให้ MAC Address ใด ณ เวลาใดอย่างละเอียด
• 3. ระบบจัดเก็บ Log ต้องเข้าถึงได้เฉพาะผู้ดูแลระบบ: Log Storage ต้องได้รับการปกป้อง สิทธิ์ Access ต้องจำกัดเฉพาะ Network Administrator และมีการทำ Hashing Certificate เพื่อยืนยันว่า Log ไม่ถูกแก้ไข
• 4. ระยะเวลาจัดเก็บไม่ต่ำกว่า 90 วัน: ต้องคำนวณ Storage บน Log Server ให้เพียงพอต่อ Traffic ขององค์กร เพื่อไม่ให้ระบบวนลบ Log เก่าก่อนครบกำหนด 90 วัน

สรุปจากประสบการณ์ของผม: การลงทุนที่คุ้มค่ากว่าค่าปรับและการถูกดำเนินคดี

หลายองค์กรมองว่าการวางระบบ Captive Portal และ RADIUS Server มีต้นทุนและความยุ่งยาก แต่ถ้าลองเปรียบเทียบกับความเสี่ยงเมื่อเกิดคดีความทางไซเบอร์ ทั้งค่าปรับตาม พ.ร.บ.คอมพิวเตอร์ฯ และความเสียหายต่อชื่อเสียงของบริษัท ถือว่าการลงทุนทำระบบยืนยันตัวตนและเก็บ Log ให้ถูกต้องตั้งแต่วันนี้เป็นการคุ้มครองธุรกิจที่คุ้มค่าที่สุดครับ

หากองค์กรของคุณยังใช้รหัส WiFi รวม หรือยังไม่แน่ใจว่าระบบเก็บ Log ที่มีอยู่นั้นถูกต้องตามมาตรฐานกฎหมายหรือไม่ ทีมงาน SIAM-LOGIN ของเราพร้อมให้คำปรึกษา ออกแบบ และติดตั้งระบบ Network Security ให้ตอบโจทย์องค์กรของคุณอย่างมืออาชีพครับ