จะเกิดอะไรขึ้นหลังไมโครซอฟท์หยุดออกแพตช์ความปลอดภัย

คนที่เข้าใจการทำงานของระบบความปลอดภัยคอมพิวเตอร์ คงทราบดีว่าปัญหาเรื่อง "รูรั่ว" หรือช่องโหว่ความปลอดภัย เป็นเกมแมวจับหนูที่ไม่มีวันจบสิ้น เพราะตอนสร้างซอฟต์แวร์ขึ้นมา คนสร้างก็ไม่รู้หรอกว่ามันมีช่องโหว่ตรงไหนบ้าง ดังนั้นเมื่อซอฟต์แวร์วางขายแล้ว ทั้งคนในคนนอก ไม่ว่าจะหวังดีหรือประสงค์ร้าย ก็มีหน้าที่ค้นหาช่องโหว่เหล่านี้ ฝั่งของไมโครซอฟท์เองก็มีหน้าที่อุดช่องว่างเหล่านี้ไปเรื่อยๆ เท่าระยะเวลาที่สัญญาไว้

ในกรณีของ Windows XP จะไม่มีอัพเดตแพตช์ใดๆ หลังวันที่ 8 เมษายนนี้ แต่ Windows รุ่นอื่นๆ ที่ใหม่กว่าจะยังได้อัพเดตแพตช์ต่อไป

เมื่อ Windows เป็นระบบปฏิบัติการที่มีพื้นฐานเดียวกัน ชิ้นส่วนบางชิ้นก็ตกทอดสืบเนื่องกันมานานหลายชั่วคน ดังนั้นมีโอกาสสูงที่จะพบช่องโหว่สักแห่งมีผลกับ Windows ทุกรุ่น

ถ้าหากเกิดกรณีแบบนี้ขึ้น ไมโครซอฟท์จะอุดช่องโหว่บน Windows รุ่นใหม่ๆ แต่ไม่อุดรูเดียวกันบน Windows XP แบบนี้ก็เสร็จโจรสิครับ (ช่องโหว่แบบนี้เรียกว่า zero-day attack)

สิ่งที่แฮ็กเกอร์จะทำคือโหลดแพตช์ของ Windows รุ่นใหม่ๆ มาแกะดูว่า ไมโครซอฟท์อุดรูอย่างไร จากนั้นก็ reverse engineer เขียนมัลแวร์ที่อาศัยช่องโหว่เดียวกันไปเจาะ Windows XP ได้แบบง่ายๆ เลย (จากเดิมที่ต้องงมหาช่องโหว่เอง ก็เปลี่ยนเป็นลอกการบ้านไมโครซอฟท์แทน ง่ายกว่ากันเยอะ)

ไมโครซอฟท์เคยออกมาเตือนเรื่องนี้อย่างเป็นทางการแล้ว ย้อนอ่านในข่าวเก่า

ช่องโหว่ลักษณะนี้มีโอกาสสูงที่จะป้องกันไม่ได้ด้วยแอนตี้ไวรัสหรือซอฟต์แวร์ความปลอดภัยต่างๆ (อาจสกรีนได้บ้างที่ระดับของไฟร์วอลล์) เพราะเป็นช่องโหว่ของตัวระบบปฏิบัติการโดยตรงนั่นเอง

เก่ากว่า เสี่ยงกว่า

เวลา 12 ปีเปลี่ยนบิล เกตส์ จากหนุ่มเฟี้ยวเป็นชายกลางคน เส้นผมเริ่มสีเทา ช่วงเวลาเดียวกันนี้ โลกของความปลอดภัยก็พัฒนาไปมาก มีเทคนิคและกระบวนการมากมายที่ช่วยปกป้องให้ระบบปฏิบัติการปลอดภัยมากขึ้น

ผมขออ้างข้อมูลของไมโครซอฟท์เอง (Microsoft Security Blog) ที่บอกว่า Windows แต่ละรุ่นมีพัฒนาการด้านความปลอดภัยที่ดีขึ้นอย่างไร (คลิกเพื่อดูภาพขนาดเต็ม)

และข้อมูลสถิติว่า Windows แต่ละรุ่นโดนเจาะหรือติดมัลแวร์-ไวรัสต่างกันมากน้อยแค่ไหน (มีถึงเฉพาะ Windows 7)

ช่างมันฉันไม่แคร์

ผู้ใช้ Windows XP จำนวนไม่น้อย (โดยเฉพาะกลุ่มที่ใช้ของเถื่อน) ปิดการอัพเดต Windows เพื่อป้องกันปัญหา Windows Genuine Advantage (WGA) และไม่ได้แคร์เรื่องความปลอดภัยของระบบปฏิบัติการอยู่แล้ว

ถ้าเป็นคอมส่วนตัวใช้เอง แบกรับปัญหาเองได้ รับผิดชอบเองเป็น (ซึ่งเวลาเกิดเหตุแล้วมักจะไม่เป็นเช่นนั้น :P) อันนั้นก็ถือเป็นเรื่องอิสระในการใช้ชีวิตของปัจเจกชน

แต่ถ้าเป็นคอมพิวเตอร์ขององค์กร ห้างร้าน หน่วยงานต่างๆ ความเสี่ยงพวกนี้ถือเป็นภาระความรับผิดชอบและ "หน้าที่" ของฝ่าย IT support ที่จะต้องป้องกันไม่ให้ปัญหาเหล่านี้เกิดขึ้น

คนใช้ Windows XP ยังมีเยอะแค่ไหนในไทย?

ในตลาดโลก สถิติล่าสุดจาก Net Applications ระบุว่ามีคนใช้ Windows XP อยู่ที่ 28.98% ของระบบปฏิบัติการของพีซี ซึ่งถือว่ายังเยอะมาก (นับเฉพาะเครื่องคอมที่ต่อเน็ต)

สำหรับในเมืองไทย ข้อมูลที่ผมหาได้มี 2 แหล่งที่มา

แห่งแรกคือ StatCounter บอกว่าสถิติล่าสุดของไทย มีคนใช้ Windows XP เหลืออยู่ 28.89% (มกราคม 2014) ส่วนกราฟสถิติช่วง 1 ปีย้อนหลังของผู้ใช้เน็ตไทย เห็นแนวโน้มชัดเจนว่า Windows XP ลดลงตลอดแต่ก็ยังเหลือผู้ใช้อยู่อีกเป็นจำนวนมาก

อีกเจ้าคนไทยคุ้นเคยกันดี สถิติของ TrueHits บอกว่าเดือนธันวาคม 2013 คนไทยใช้ XP ที่ 22.19% ซึ่งแนวโน้มก็ลดลงเรื่อยๆ เช่นกัน

ความเสี่ยงของการใช้ Windows XP ที่หมดอายุแล้ว

มีบทความ-รายงาน-บทวิเคราะห์จำนวนมากที่พูดถึงปัญหาของการใช้งาน Windows XP ที่หมดอายุแล้ว ผมขออ้างอิงรายงานของ Lenovo ที่พาดหัวไว้ซะน่ากลัวว่า Windows XP – A Compliance and Risk Nightmare in April 2014 ซึ่งแบ่งปัญหาออกเป็น 3 ข้อ

1. ความเสี่ยงทางเทคนิคที่จะโดนโจมตีผ่านช่องโหว่ความปลอดภัย (ตามที่อธิบายไปแล้วข้างต้น)
2. ความเสี่ยงที่จะถูกจารกรรมข้อมูล แล้วองค์กรโดนปรับหรือโดนฟ้อง (บางประเทศมีกฎหมายคุ้มครองข้อมูลของลูกค้า ทำหายแล้วโดนปรับ)
3. ค่าใช้จ่ายในการบำรุงรักษาระบบไอทีในระยะยาวจะเพิ่มสูงมาก การบำรุงรักษาระบบปฏิบัติการเก่ามีต้นทุนระยะเวลาสูงกว่าระบบปฏิบัติการใหม่ๆ ที่มีความพร้อมกว่าในทุกด้าน

ผมเชื่อว่าของพวกนี้ไม่เห็นโลงศพไม่หลั่งน้ำตาครับ อีกไม่นานเราคงเห็น "การโจมตี Windows XP ครั้งใหญ่" ที่สร้างผลสะเทือนในวงกว้าง ซึ่งจะกลายเป็นจุดเปลี่ยน กระตุ้นให้หน่วยงานต่างๆ หันมาสนใจปัญหานี้ (แต่ระหว่างนั้นจะโดนลูกหลงด้วยหรือไม่ ก็ขึ้นกับความใส่ใจขององค์กรแล้ว)

ความเข้ากันได้ของซอฟต์แวร์และฮาร์ดแวร์

นอกจากปัญหาเรื่องช่องโหว่ความปลอดภัยแล้ว เราก็คงรู้กันดีว่า ยังมีเรื่องความเข้ากันได้กับฮาร์ดแวร์รุ่นใหม่ๆ ที่ไม่มีไดรเวอร์ของ XP แล้ว และซอฟต์แวร์ชื่อดังหลายตัวก็แทบไม่รองรับ XP แล้วเช่นกัน

ผมลองรวมข้อมูลแบบคร่าวๆ ดูว่า ซอฟต์แวร์อะไรบ้างที่รองรับหรือไม่รองรับ XP

• Chrome ใช้งานได้อีก 1 ปีไปจนถึงเดือนเมษายน 2015 (อ้างอิง)
• Firefox ยังไม่มีแผนที่จะเลิกรองรับ Windows XP (อ้างอิง) (แต่ทิ้ง XP SP1)
• Opera ยังไม่มีแผนที่จะเลิกรองรับ Windows XP (อ้างอิง)
• Office 2003 หมดอายุพร้อม Windows XP ในวันที่ 8 เม.ย. (อ้างอิง)
• Office 2007 บนระบบปฏิบัติการทุกตัว หมดอายุปี 2017 (อ้างอิง)
• อโดบีประกาศ Photoshop รุ่นถัดไปไม่สนับสนุน Windows XP แล้ว (CS6 เป็นรุ่นสุดท้าย)
• Microsoft Security Essentials จะหยุดอัพเดตพร้อม Windows XP
• Apple iCloud ไม่รองรับ XP แล้ว

ทางออก

คำตอบแบบกำปั้นทุบดินคือ อัพเกรดครับ เปลี่ยนไปใช้อะไรก็ได้ที่ใหม่กว่า Windows XP จะย้ายค่ายไปใช้แมคหรือลินุกซ์ก็ไม่มีปัญหา

คำตอบแบบละเอียดแยกตามกรณี

1. ผู้ใช้ตามบ้าน

สำหรับผู้ใช้ทั่วไปที่มีคอมพิวเตอร์ของตัวเองและรัน Windows XP แยกได้เป็น 2 กลุ่มใหญ่ๆ

1.1 ใช้ Windows XP เพราะคอมเก่า

ถึงแม้สเปกขั้นต่ำของ Windows แทบไม่เปลี่ยนแปลงเลยนับจาก Vista เป็นต้นมา แต่มันก็ยังมีช่องว่างของฮาร์ดแวร์ขั้นต่ำสำหรับ XP และ Vista ขึ้นไปอยู่

• สเปกฮาร์ดแวร์ขั้นต่ำ Windows XP
• สเปกฮาร์ดแวร์ขั้นต่ำ Windows Vista
• สเปกฮาร์ดแวร์ขั้นต่ำ Windows 8.1

สำหรับคนกลุ่มที่ยังใช้คอมสเปกต่ำกว่า Vista (แต่ยังรัน XP ได้) ผมแนะนำว่าซื้อคอมใหม่สถานเดียวครับ คอมสมัยนี้ถูกกว่าเดิมมากแล้ว เงินหลักต่ำหมื่นก็ซื้อคอมสเปกดีๆ ได้สบาย แถมคอมตัวเก่าก็น่าจะคุ้มการลงทุนแล้ว ถ้ายังอยากเก็บไว้ใช้จริงๆ ก็แนะนำให้เปลี่ยนเป็นลินุกซ์แทน (แต่เอาจริงแล้วลินุกซ์ที่รันบนฮาร์ดแวร์ต่ำขนาดนั้นได้ก็ไม่ค่อยมีอีกเหมือนกัน)

สำหรับคนที่ไม่ชัวร์ว่าคอมของเราจะย้ายไปรัน Windows 7 ได้หรือไม่ (Windows 8.x ใช้สเปกเท่ากัน) ไมโครซอฟท์มีโปรแกรมช่วยวิเคราะห์ชื่อ Windows 7 Upgrade Advisor สามารถดาวน์โหลดมารันกันเล่นๆ ได้

1.2 ใช้ Windows XP เพราะคุ้นมือ

ผู้ใช้กลุ่มนี้มีคอมพิวเตอร์ที่สามารถเปลี่ยนไปใช้ Windows รุ่นใหม่กว่าได้ แต่ไม่เปลี่ยนด้วยเหตุผลที่ต่างๆ กันไป (ส่วนใหญ่เป็นเพราะคุ้นเคยกับ XP) คำแนะนำคือ "ถึงเวลาต้องอัพเกรด" แล้วครับ

ทางเลือกเดียวที่เด่นชัดในตอนนี้คือ ควักเงิน 5-6 พันบาทซื้อ Windows 8.1 ของแท้ จ่ายเงินทั้งทีก็ควรเลือกซอฟต์แวร์ใหม่ที่สุด (แต่ถ้ายังเลือกจะอยู่ในเส้นทางสายมืด อย่างน้อยอัพเกรดเป็น Windows 7 เถื่อนก็ยังดีกว่า XP เถื่อนอยู่ดีครับ)

การอัพเกรดจาก XP เป็นระบบปฏิบัติการใหม่ๆ อย่าง Windows 8.1 ไม่สามารถอัพเกรดได้ตรงๆ จำเป็นต้องแบ็คอัพข้อมูลแล้วลงโปรแกรมใหม่ ซึ่งมีต้นทุนเรื่องเวลาและทรัพยากรเพิ่มเข้ามา แต่มันก็เป็นเส้นทางที่ต้องข้ามผ่านครับ

2. ลูกค้าองค์กร

สำหรับลูกค้าองค์กรที่มักใช้ระบบปฎิบัติการที่ติดมากับพีซี ตรงนี้เป็นหน้าที่ของฝ่าย IT ในองค์กรที่จะต้องผลักดันให้ CIO/CEO ขององค์กรเห็นความสำคัญของการ "อัพเกรดฮาร์ดแวร์ใหม่" ครับ

ส่วนจะซื้อพีซี Windows 7 หรือ Windows 8.x คงขึ้นกับนโยบายของแต่ละหน่วยงาน (ไมโครซอฟท์เองก็เคยพูดไว้ว่า ถ้ายังไม่พร้อมสำหรับ Windows 8.x ก็ไม่เป็นไร แต่อย่างน้อยก็ควรรัน Windows 7 ขึ้นไป)

นอกจากนี้ในองค์กรที่มีความซับซ้อนของแอพพลิเคชันไม่เยอะ หรือแอพพลิเคชันส่วนใหญ่เป็นเว็บเบส จะเปลี่ยนไปใช้ระบบปฏิบัติการอื่นๆ ไม่ว่าจะเป็นแมค ลินุกซ์ หรือ Chrome OS ก็คงไม่เป็นปัญหาอะไรมากนัก

อีกประเด็นที่สำคัญสำหรับการอัพเกรดคือ แอพพลิเคชันขององค์กร (ที่เขียนกันมาตั้งนานแล้ว สมัยพีซีเอื้ออาทร) ยังใช้ได้เฉพาะบน Windows XP เท่านั้น อันนี้ไม่มีทางเลือกนอกจากการจ่ายเงินเพื่อปรับปรุงแก้ไขหรือเปลี่ยนแอพพลิเคชันใหม่ เป็นเรื่องของ mindset ผู้บริหารว่านี่คือการลงทุนเพื่อระบบไอทีที่ก้าวหน้าขึ้นในอนาคต ไม่เป็นคอขวดหรือภาระขององค์กร มันไม่ใช่การสิ้นเปลืองซื้อคอมใหม่สเปกแรงหรือระบบไอทีแพงๆ ตามแฟชั่นแต่อย่างใด

ผมคิดว่าระบบไอทีภายในองค์กรที่สร้างขึ้นมาตั้งแต่ยุค 2000 ต้นๆ (โดยเฉพาะกลุ่มที่เขียนเองหรือจ้างเขียน ไม่ได้ซื้อสำเร็จ) น่าจะเริ่มล้าสมัยหรือเจอข้อจำกัดกันบ้างแล้ว บวกกับโลกไอทีปัจจุบันกำลังเปลี่ยนรอบของเทคโนโลยีพอดี (แอพที่เคยถูกสร้างมาสำหรับ IE6 คงไม่สามารถรันบน iPad ได้แน่ๆ) ดังนั้นก็น่าจะถือโอกาสยกเครื่องระบบไอทีหรือแอพพลิเคชันภายในให้ทันสมัยขึ้นไปพร้อมๆ กัน (อาจจะเป็นแอพพลิเคชันบนเว็บ หรือระบบเดสก์ท็อปแบบ virtualized/VDI ก็ได้)

ในรายละเอียดแล้ว การอัพเกรดระบบไอทีขององค์กรจากยุค XP มาเป็นยุค Windows 7/8 ไม่ใช่เรื่องง่าย มีเรื่องจุกจิกหยุมหยิมอีกพอสมควร (แล้วทวีคูณความยากลำบากด้วยจำนวนเครื่องที่มี) ซึ่งคงไม่สามารถลงรายละเอียดได้ในบทความนี้ แต่สามารถหาข้อมูลเพิ่มเติมได้จากลิงก์ข้างล่าง

• งานวิจัยของ IDC ถึงต้นทุน ROI เปรียบเทียบระหว่างการใช้ XP ต่อไป กับการอัพเกรด (ราคาต้นทุนเป็นดอลลาร์ตามเรตฝรั่ง แต่ใช้ดูเป็นแนวทางได้)
• Microsoft Deployment Toolkit รวมชุดเครื่องมือช่วยย้ายและอัพเกรดระบบปฏิบัติการ
• Retiring Windows XP เว็บรวมข้อมูลเรื่องการหมดอายุ Windows XP ของไมโครซอฟท์
• รวมข้อมูลทางเทคนิคสำหรับการอัพเกรดเป็น Windows 7
• รวมข้อมูลทางเทคนิคสำหรับการอัพเกรดเป็น Windows 8

บทสรุป: ความเจ็บปวดที่ต้องก้าวผ่าน

ผมเข้าใจคนที่ยังใช้ XP อยู่ในตอนนี้ว่า ใจจริงก็อยากเปลี่ยนแหละนะ แต่ติดขัดว่าต้องจ่ายเงินเพิ่ม (ซื้อคอมใหม่หรือไลเซนส์ใหม่ และอัพเกรดแอพพลิเคชันองค์กรใหม่ในกรณีคอมองค์กร) และต้องปรับตัวฝึกการใช้งานระบบปฏิบัติการใหม่ๆ อีกมาก

แต่มันไม่มีทางเลือกครับ ฮาร์ดแวร์และซอฟต์แวร์คอมพิวเตอร์ไม่ใช่เครื่องใช้ไฟฟ้าแบบดั้งเดิมที่ใช้กันไปจนพัง แต่มันเป็นส่วนหนึ่งของ "โซลูชันทางไอที" ที่มีต้นทุนค่าบำรุงรักษาอยู่ตลอดเวลา วันนี้ได้เวลาควักเงินอีกก้อนเพื่อต่ออายุโซลูชันสำหรับอีก 5-10 ปีข้างหน้าแล้ว

นาฬิกานับถอยหลังไปเรื่อยๆ แล้วครับ