Cyber Security Essentials

EP8 — Password, Secret & Certificate Management: ความเสี่ยงเงียบที่พังระบบได้ทั้งองค์กร

Posted on by MagnusIT

EP8 — Password, Secret & Certificate Management: ความเสี่ยงเงียบที่พังระบบได้ทั้งองค์กร

“ระบบไม่ได้ล่มเพราะโดนโจมตีเสมอไป
แต่ล่มเพราะรหัสผ่านหมดอายุ หรือ Certificate ไม่มีใครต่อ”

🔹 บทนำ: เหตุการณ์ที่เกิดซ้ำแล้วซ้ำเล่า

อยู่ดี ๆ

  • Web ใช้งานไม่ได้

  • API เชื่อมต่อกันไม่ติด

  • VPN เข้าไม่ได้

  • Email ส่งไม่ได้

  • Application error ทั้งระบบ

สาเหตุไม่ใช่ Zero-day
ไม่ใช่ DDoS
ไม่ใช่ Ransomware

แต่คือ
Password หมดอายุ / Certificate หมดอายุ / Secret ใช้งานไม่ได้

นี่คือหนึ่งในปัญหา System Security ที่ “ถูกลืม” มากที่สุด

🔹 ทำไม Password & Certificate ถึงถูกมองข้ามเสมอ?

✔ 1) ไม่ล่มบ่อย และไม่เตือนล่วงหน้า

ต่างจาก Disk หรือ CPU
Password และ Certificate จะ “พังทันที” เมื่อถึงวันหมดอายุ

ไม่มีกราฟให้ดู
ไม่มี Warning ที่ชัดเจน
จนกว่าระบบจะหยุดทำงาน

✔ 2) ไม่มีเจ้าของชัดเจน

คำถามที่พบบ่อย:

  • Password ใครดูแล?

  • Certificate ใครต่ออายุ?

  • Secret ใครสร้าง ใคร rotate?

คำตอบที่เจอคือ
“น่าจะเป็นของทีมอื่น”

✔ 3) ถูกฝังอยู่ในระบบลึกมาก

Password และ Secret มักอยู่ใน:

  • Script

  • Application config

  • CI/CD pipeline

  • Service account

  • Third-party integration

เปลี่ยนทีเดียว = กระทบหลายระบบ

✔ 4) ถูกมองว่าเป็นเรื่องเล็ก

“แค่รหัสผ่าน”
“แค่ certificate”

จนวันที่ระบบหลักของธุรกิจหยุดทำงานพร้อมกัน

🔹 ปัญหาที่พบจริงในองค์กรไทย

❌ ใช้ Shared Password

ทุกคนรู้รหัสเดียวกัน
แต่ไม่มีใครรู้ว่าใครใช้ทำอะไร

❌ Password ไม่เคย Rotate

ใช้รหัสเดิมมาหลายปี
แม้พนักงานที่ตั้งรหัสจะลาออกไปแล้ว

❌ Certificate ต่อแบบ manual

ต่อปีละครั้ง
แต่ไม่มี reminder
ไม่มี monitoring
ไม่มี automation

❌ Secret ฝังใน code

พอรั่ว → ต้องแก้ code ใหม่ทั้งหมด
ไม่สามารถ rotate ได้ทันที

❌ ไม่มี inventory

ไม่รู้ว่ามี Certificate กี่ใบ
หมดอายุวันไหน
ใช้กับระบบอะไรบ้าง

🔹 Password, Secret และ Certificate คือ “Identity” ของระบบ

ในยุคปัจจุบัน
ไม่ใช่แค่คนที่มี identity
ระบบก็มี identity

  • Service ↔ Service

  • API ↔ API

  • Application ↔ Database

ทั้งหมดพึ่งพา:

  • Password

  • Token

  • Key

  • Certificate

ถ้าสิ่งเหล่านี้พัง
ความเชื่อถือ (trust) ของทั้งระบบจะพังทันที

🔹 Password Management ≠ Secret Management ≠ Certificate Management

ประเภท ความเสี่ยง
Password ถูกเดา / ถูกแชร์ / ไม่ rotate
Secret / Token รั่วจาก code / CI/CD / repo
Certificate หมดอายุ / trust chain พัง

การจัดการทั้งสามอย่าง
ต้องใช้แนวคิดและวิธีที่ต่างกัน
แต่ถูก “ลืม” พร้อมกันเสมอ

🔹 องค์ประกอบของการจัดการที่ใช้งานได้จริง

1) Inventory ต้องชัด

รู้ว่า:

  • มี password / secret / cert อะไรบ้าง

  • ใช้กับระบบไหน

  • ใครเป็น owner

2) แยก Human vs Machine Identity

  • คน → IAM / MFA

  • ระบบ → Service account / cert / token

อย่าปนกัน

3) มี Lifecycle ชัดเจน

  • สร้าง

  • ใช้

  • rotate

  • revoke

ไม่ใช่ “ตั้งแล้วลืม”

4) Monitoring วันหมดอายุ

Certificate ที่หมดอายุ
ควรถูกมองว่าเป็น incident ที่รู้ล่วงหน้าได้

5) ลดการใช้ Shared Secret

Shared = ไม่มี accountability

🔹 แนวทางเริ่มต้นสำหรับองค์กรและ SME

  • เริ่มจากระบบที่ critical ที่สุดก่อน

  • ทำ inventory แบบ simple (ยังไม่ต้อง tool ใหญ่)

  • ตั้ง reminder วันหมดอายุ certificate

  • บังคับ password policy สำหรับ service account

  • แยก environment (prod / non-prod)

ไม่ต้อง perfect
แต่ต้อง “รู้ว่าอะไรอยู่ตรงไหน”

🔹 สรุป EP8

Password, Secret และ Certificate
ไม่ใช่เรื่องเล็ก
แต่เป็น รากของความเชื่อถือในระบบทั้งหมด

“ระบบไม่ได้พังเพราะถูกโจมตี
แต่พังเพราะความเชื่อถือหมดอายุ”

EP8 คืออีกหนึ่งตอนของ
System Security ที่ถูกลืม
ซึ่งองค์กรจะเห็นคุณค่า…ก็ต่อเมื่อมันพังแล้ว