ใครที่ใช้แอพที่แสดงผลผ่าน WebView คงต้องตื่นตัวกันหน่อยแล้ว เพราะ Rapid7 ออกมาประกาศว่าพบช่วงโหว่ด้านความปลอดภัยบน WebView และเมื่อแจ้ง Google ก็ได้คำตอบกลับมาว่า จะทำการแก้ไขช่องโหว่นี้ให้กับ Android 5.0 และ 4.4 เท่านั้น โดยถ้าใครแจคพอตไปเจอแอพที่ไม่ประสงค์ดีเหล่านี้ก็มีสิทธิ์โดนเจาะทะลวงไส้ดึงข้อมูลต่างๆพร้อมพาสเวิร์ดไปได้ทันที

เดี๋ยวๆๆ…Webview มันคืออะไรน่ะ?

WebView เป็นสิ่งที่มีบน Android มาช้านานตั้งแต่สมัยที่นักพัฒนาไม่อยากทำแอปตัวเดียวสองครั้ง บน Android ชุดหนึ่งและ iOS ชุดหนึ่ง โดยหลายๆคนเลือกใช้ WebView ที่เป็นการทำหน้าตาและเมนูบางส่วนขึ้นมาเป็นแอพ แต่ว่าตรงส่วนแสดงผลจะดึงจากหน้าเว็บมาแสดง หรือเรียกอีกอย่างว่าทำแอพครอบตัวเอา web browser ซึ่งวิธีนี้จะง่ายต่อการพัฒนา ลดการทำซ้ำ แต่ยุคถัดมานั้นได้รับความนิยมน้อยลง ด้วยประสิทธิภาพและประสบการณ์ใช้งานที่ไม่ดีเท่าไหร่

ปัจจุบันยังเห็นแอพไทยบางเจ้ายังลักไก่ใช้ WebView อยู่ ไม่ยอมเขียนเป็น Native ขึ้นมาใหม่ ซึ่งก็มีสิทธิ์เจอปัญหาความปลอดภัยนี้เช่นกัน โดยเฉพาะแอปที่เกี่ยวกับธุรกรรมทางการเงินจะน่ากลัวเป็นพิเศษเลย

  
ตัวอย่าง Application ในไทยที่ยังใช้ WebView อยู่

เหตุผลที่ Google เลือกที่จะทำการแก้ไข้ช่องโหว่ให้กับ Android 4.4 ขึ้นไปเท่านั้นเพราะว่า ใน Android 4.4 นั้นไม่ได้ใช้ WebView ของ Stock Android Browser อีกต่อไปแล้ว แต่เปลี่ยนมาใช้ของ Chrome for Android จึงทำให้การอัพเดตต่างๆนั้นเป็นไปตามที่ทีมพัฒนา Chrome ทำออกมา นอกจากนั้น ใน Android 5.0 นั้น Google ได้ย้าย WebView ออกจากส่วนหนึ่งของระบบปฏิบัติการ มาเป็นส่วนหนึ่งของ Google Play Services แทน ทำให้สามารถดูแลได้ง่ายขึ้น

Rapid 7 คือใคร?

Rapid 7 เป็นคนชุมชน Open-source Security Community หรือกลุ่มผู้ที่พัฒนาด้านความปลอดภัยโดยไม่หวังผลกำไร ซึ่งค่อยทำหน้าที่ตรวจสอบช่องโหว่ของระบบต่างๆ เมื่อพบช่องโหว่ เขาจะทำการประกาศให้โลกรู้ว่า มีช่องโหว่ตรงนี้นะ เพื่อเป็นการบังคับให้เจ้าของซอฟต์แวร์นั้นๆ (ในที่นี้คือเหล่าผู้ผลิตมือถือและ Google) ให้ออกอัพเดตมาปิดช่องโหว่นั้นๆก่อนที่จะสายเกินไป ซึ่งปกติแล้วเหล่าบริษัทเหล่านั้นก็จะยอมออกอัพเดตมาเพราะไม่อยากให้ลูกค้าโดนเจาะข้อมูล แต่ในกรณีนี้ Google กลับบอกว่า 4.3 ลงไปไม่อัพเดตให้นะจ๊ะ ทั้งๆที่ Open-source Security Community ก็ประกาศช่องโหว่นี้ไปแล้ว ทำให้เกิดเป็นประเด็นที่หลายๆคนห่วงกันขึ้นมา

แล้วถ้า Google ไม่แก้ไขช่องโหว่ให้ แล้วใครจะทำหล่ะ? Google ก็ตอบมาง่ายๆว่า ใครก็ได้ทำมาเถอะ เดี๋ยวจะตรวจสอบให้ แต่ฉันไม่ทำนะ อ่าวๆ แล้วทีนี้จะทำยังไงดีหล่ะ? Google ก็ให้คำแนะนำอย่างตรงไปตรงมาว่า “ก็เปลี่ยนไปใช้ KitKat หรือ Lollipop ซะสิ จะได้ปลอดภัย” แหม่ พูดง่ายแต่ทำยากเหลือเกิน ผมนี้ลุกขึ้นยืนบนแพเลย

แล้วถ้าไม่ปิดช่องโหว่นี้หล่ะ จะเป็นอะไรไหม? เป็นครับ แต่เฉพาะในกรณีที่เราไปโหลดแอพแปลกๆซึ่งบังคับให้เราต้อง Login บริการต่างๆแอพเขา หรือถ้าเราเป็นคนที่ใช้ Browser ตัวที่มากับเครื่องไม่ใช่ Chrome ซึ่งผลกระทบก็อาจจะเป็นได้ตั้งแต่เรื่องเล็กๆอย่าง โดนขโมยรหัส login Facebook, Twitter หรืออาจจะเป็นเรื่องใหญ่ขนาด โดนขโมยรหัส Mobile Banking, ล้วงข้อมูลสำคัญจากอีเมลล์บริษัท ฯลฯ

ในส่วนของวิธีแก้ไข ก็ไม่ยากแค่หลีกเลี่ยงการใช้งาน Stock Browser หรือ Application ที่มี WebView เป็นส่วนประกอบ และเปลี่ยนไปใช้ Chrome for Android แทน


สัดส่วนผู้ใช้ Android Version ต่างๆในปัจจุบัน

ถ้าจะให้มองภาพรวมกว้างๆ ยังมี Android Smartphone กว่า 60% ที่ใช้ Android เวอร์ชั่น 4.3 หรือต่ำกว่า ทำให้มีผู้ที่ได้รับผลกระทบเป็นวงกว้างมากๆ rapid7 หนึ่งใน Open-source Security Community ได้ออกมาขอให้ Google ทบทวนการตัดสินใจนี้ใหม่และหันกลับมาแก้ไขช่องโหว่ให้ Android 4.3 ลงไป เพราะถ้า Google ไม่หันกลับมาแก้ไขตรงนี้ เราคงต้องทนใช้ชีวิตอยู่บนความเสี่ยงจนกว่าได้ฤกษ์เปลี่ยนมือถือใหม่

Source: Blognone, rapid7