คำถามแรก “Splync ปลอดภัยหรือไม่”
เมื่อ Splync ออกเวอร์ชัน MVP เพื่อนของฉันบางคนได้ทดลองแอปจริง พวกเขาลงทะเบียนด้วยอีเมลและรหัสผ่าน สร้างโปรเจ็กต์ และบันทึกรายจ่าย ทุกอย่างทำงานได้ดี ยกเว้นบั๊กเล็กน้อย แต่คำถามแรกที่พวกเขาถามไม่เกี่ยวกับดีไซน์ ฟีเจอร์ หรือความเร็ว แต่เป็นเรื่องความปลอดภัย พวกเขาสามารถไว้วางใจ Splync กับการบันทึกรายจ่ายประจำวันได้จริงหรือ นั่นเป็นคำถามที่ยุติธรรมและสำคัญ ข้อมูลการเงินส่วนบุคคลเป็นสิ่งที่ละเอียดอ่อนมาก และแอปที่จัดการข้อมูลเหล่านี้ต้องปลอดภัย
Splync ใช้ HTTPS ไม่ใช่ HTTP
Splync จำเป็นต้องใช้อินเทอร์เน็ตเพื่อให้ผู้ใช้เชื่อมต่อข้อมูล แชร์โปรเจ็กต์ และซิงโครไนซ์รายจ่ายข้ามอุปกรณ์ นั่นหมายความว่า ทุกตัวเลขที่คุณบันทึกและทุกปุ่มที่คุณแตะจะเดินทางผ่านเว็บไปยังเซิร์ฟเวอร์ ถ้าไม่มีการป้องกัน ใครก็ตามที่อยู่ในเครือข่าย Wi-Fi เดียวกันอาจสอดส่องดูการรับส่งข้อมูลได้ นี่คือเหตุผลที่ Splync ใช้ HTTPS ไม่ใช่ HTTP
ทำไม HTTP ถึงไม่ปลอดภัย
HTTP (Hypertext Transfer Protocol) เคยเป็นมาตรฐานในการสื่อสารผ่านอินเทอร์เน็ต แต่มีข้อบกพร่องที่ร้ายแรง: มันส่งข้อมูลเป็นข้อความที่ไม่เข้ารหัส ลองนึกภาพว่าคุณเขียนความลับลงบนโปสการ์ดแทนที่จะปิดผนึกในซองจดหมาย ใครก็ตามที่จัดการจดหมาย — พนักงานไปรษณีย์ คนส่งของ หรือแม้แต่คนแปลกหน้าที่แอบมองผ่านหน้าต่าง — สามารถอ่านทุกคำ นั่นคือสิ่งที่การเชื่อมต่อ "http" เก่า ๆ เป็นในยุคต้น ๆ ของเว็บ มันทำงานได้ แต่ไม่เป็นส่วนตัว HTTPS แก้ปัญหานี้โดยการใส่ข้อความของคุณในซองที่เข้ารหัสซึ่งมีเพียงคุณและเซิร์ฟเวอร์ที่ถูกต้องเท่านั้นที่สามารถเปิดได้
HTTPS ปกป้องคุณอย่างไร
เมื่อคุณเปิด Splync สมาร์ทโฟนของคุณและเซิร์ฟเวอร์ของเราจะเริ่มสนทนา — แต่พวกมันไม่ไว้วางใจกันทันที ก่อนอื่นพวกมันจะทำพิธีเล็ก ๆ ที่เรียกว่า handshake มันเหมือนกับคนแปลกหน้าสองคนแลกเปลี่ยนบัตรประจำตัวก่อนแชร์ความลับ ในการ handshake นั้น โทรศัพท์ของคุณตรวจสอบใบรับรองดิจิทัลของเซิร์ฟเวอร์ ซึ่งพิสูจน์ว่าเป็น Splync จริง ๆ และไม่ใช่ผู้แอบอ้างที่พยายามเป็นเรา เมื่อความไว้วางใจถูกสร้างขึ้น ทั้งสองฝ่ายตกลงที่จะใช้กุญแจลับชั่วคราว — เป็นรหัสผ่านชนิดหนึ่งที่ใช้เฉพาะสำหรับเซสชันนี้
Handshake เริ่มการสื่อสารที่ปลอดภัย
ตั้งแต่วินาทีนั้น ทุกสิ่งที่คุณส่ง — การเข้าสู่ระบบ ข้อมูลโปรเจ็กต์ รายจ่ายของคุณ — จะถูกเข้ารหัสด้วยกุญแจนั้น ถ้ามีใครพยายามสกัดกั้นสัญญาณ พวกเขาจะเห็นแต่ตัวอักษรสุ่ม เหมือนพยายามอ่านบทสนทนาที่ตะโกนใต้น้ำ ทั้งหมดนี้เกิดขึ้นโดยอัตโนมัติในเสี้ยววินาทีทุกครั้งที่คุณเปิดแอป คุณไม่เคยเห็นมัน แต่ HTTPS คอยยืนเฝ้า ทำให้ข้อมูลส่วนตัวของคุณยังคงเป็นส่วนตัว นั่นคือเหตุผลที่เราเรียกมันว่าโล่ที่มองไม่เห็น: มันทำงานเงียบ ๆ ในพื้นหลัง แต่ถ้าไม่มีมัน อินเทอร์เน็ตจะยังคงเป็นโลกของโปสการ์ดที่เปิดเผย
จะเกิดอะไรขึ้นถ้าแอปไม่ได้ใช้ HTTPS
ในการเข้าใจว่าทำไม HTTPS ถึงสำคัญ ลองจินตนาการถึงฉากง่าย ๆ คุณอยู่ที่ร้านกาแฟ จิบกาแฟขณะตรวจสอบรายจ่ายบนเครือข่าย Wi-Fi สาธารณะ ถ้าไม่มี HTTPS ทุกการแตะของคุณ — อีเมล รหัสผ่าน ชื่อโปรเจ็กต์ส่วนตัว — จะเดินทางผ่านอากาศเป็นข้อความที่ไม่เข้ารหัส ใครก็ตามที่อยู่ใกล้ ๆ พร้อมเครื่องมือพื้นฐานสามารถสกัดกั้นการเชื่อมต่อนั้นและอ่านทุกสิ่งได้ทีละบรรทัด สิ่งนี้เรียกว่าการโจมตีคนกลาง และในยุคต้น ๆ ของอินเทอร์เน็ตมันเป็นเรื่องธรรมดาอย่างน่าตกใจเพราะเว็บไซต์ส่วนใหญ่ไม่ได้เข้ารหัสการรับส่งข้อมูลเลย
วิธีตรวจสอบว่าเว็บไซต์ปลอดภัยหรือไม่
ปัจจุบันเบราว์เซอร์เตือนผู้ใช้ทันทีเมื่อไซต์ไม่ได้รับการปกป้องโดย HTTPS หากคุณเห็นที่อยู่เว็บเริ่มต้นด้วย "http://" อย่าใส่ข้อมูลที่ละเอียดอ่อนใด ๆ เลย — มันหมายถึงการเชื่อมต่อไม่ได้เข้ารหัส ตรวจสอบให้แน่ใจเสมอว่า URL เริ่มต้นด้วย "https://" และมีไอคอนล็อกเล็ก ๆ ปรากฏอยู่ข้าง ๆ ตัว "S" เล็ก ๆ ใน HTTPS ย่อมาจาก Secure และมันมีความหมายมาก มันบอกคุณว่าข้อมูลของคุณเดินทางอย่างปลอดภัยภายในอุโมงค์ที่เข้ารหัส ไม่ใช่บนโปสการ์ดที่เปิดออก
คุณสามารถตรวจสอบ URL ในแอปได้ไหม
คุณอาจสงสัยว่าจะตรวจสอบ URL ของแอปได้อย่างไร ซึ่งปกติแล้วมองไม่เห็น แอปสมัยใหม่ได้รับการออกแบบให้สื่อสารผ่านคำขอ HTTPS ที่ปลอดภัยเท่านั้น นักพัฒนาระบุที่อยู่เซิร์ฟเวอร์ที่แน่นอนในซอร์สโค้ดของแอป และระบบจะบล็อกการเชื่อมต่อ "http://" ที่ไม่ปลอดภัยโดยอัตโนมัติ ตัวอย่างเช่น บน iPhone ทุกแอปจะต้องใช้ HTTPS โดยค่าเริ่มต้น Apple บังคับใช้สิ่งนี้ผ่านเฟรมเวิร์กที่เรียกว่า App Transport Security (ATS) ซึ่งปฏิเสธการสื่อสารที่ไม่ได้เข้ารหัสใด ๆ นอกจากนักพัฒนาจะร้องขอข้อยกเว้นอย่างชัดเจน
Splync ปลอดภัยด้วย HTTPS
สมาร์ทโฟนของคุณเองทำหน้าที่เป็นผู้พิทักษ์ ปฏิเสธการเชื่อมต่อใด ๆ ที่ไม่ได้เข้ารหัส ดังนั้นถึงแม้ว่าคุณจะไม่เคยเห็น URL แต่ทุกครั้งที่ Splync เชื่อมต่อกับเซิร์ฟเวอร์ของเรา มันก็เดินทางผ่านโล่ที่มองไม่เห็นของ HTTPS อยู่แล้ว HTTPS ปกป้องเส้นทางระหว่างอุปกรณ์ของคุณและเซิร์ฟเวอร์ของเรา แต่เซิร์ฟเวอร์เองล่ะ นั่นคือที่ที่หัวข้อถัดไปของเรา SSH เข้ามา