ความเชื่อใจในความมั่นคงปลอดภัยของระบบคอมพิวเตอร์ที่เลียนแบบมาจากโลกความเป็นจริงอย่างสุดท้าย นั่นคือการทำสัญญา ในโลกความเป็นจริงคนเราทำสัญญากันทุกวันตลอดเวลา เมื่อเราสั่งสินค้ากับแม่ครัวในร้านอาหาร แม่ค้าต้องนำอาหารที่เราสั่งมาเสิร์ฟให้อย่างถูกต้อง เมื่อเราทานแล้วเราต้องจ่ายเงินตามค่าอาหารที่ระบุไว้ หากแม่ครัวทำอาหารมาผิด เรามีสิทธิที่จะปฎิเสธไม่รับอาหาร และไม่จ่ายเงินค่าอาหารนั้นๆ
หลักการของการไว้วางใจได้ที่จะใช้คอมพิวเตอร์เป็นตัวกลางในการทำสัญญานับเป็นหลักการสำคัญ เพื่อให้เราใช้คอมพิวเตอร์เป็นตัวกลางในการทำธุรกรรมออนไลน์ได้อย่างหลากหลายเช่นทุกวันนี้ เราสามารถทำธุรกรรมออนไลน์ได้นับตั้งแต่การประกาศเรื่องทั่วๆ ไป เช่น หาอาสาสมัคร, ประกาศงาน ไปจนถึงการซื้อสินค้าออนไลน์ และทำธุรกรรมทางการเงิน
ในโลกความเป็นจริงที่เราเดินเข้าร้านอาหารและสั่งอาหาร หากมีฝ่ายหนึ่งฝ่ายใดผิดสัญญา อาจจะต้องมีการหาหลักฐานพยานเพื่อยืนยันความถูกต้อง คนที่นั่งร่วมโต๊ะกับเราอาจจะช่วยยืนยันกับแม่ครัวว่าเราสั่งอาหารถูกต้อง และแม่ครัวเป็นฝ่ายทำอาหารมาเสิร์ฟเราผิด กระบวนการเช่นนี้คือการบอกปฎิเสธ (repudiate) ในโลกคอมพิวเตอร์ธุรกรรมที่เราทำจำนวนมากจะทำกับคอมพิวเตอร์โดยตรง ธุรกรรมการเงินของเราอาจจะไม่มีใครมารับรู้ร่วมกับเรา เมื่อเรานั่งในห้องส่วนตัวต่อคอมพิวเตอร์ออนไลน์เข้ากับเซิร์ฟเวอร์โดยตรง
การบอกปฎิเสธได้หรือไม่เป็นเรื่องที่เราโต้เถียงกันได้เสมอแม้แต่ในโลกความเป็นจริง คนร้ายในคราบลูกค้าสักคนอาจจะมุ่งก่อกวนกิจการของร้านด้วยการสั่งอาหารแล้วอ้างว่าทำผิดรายการอยู่เสมอ ไปจนถึงการก่ออาชญากรรมเช่นการบุกทำลายร้าน เมื่อก่ออาชญากรรมแล้วหนีไปได้ ตำรวจก็ต้องหาหลักฐานที่เพียงพอเพื่อที่จะจับกุมและดำเนินคดีกับผู้ร้ายต่อไป
ขณะที่กระบวนการเข้ารหัสการป้องกันต่างๆ ช่วยให้ยืนยันได้ว่ามีการใช้กุญแจลับ, รหัสผ่าน, หรือการแชร์ข้อมูลระหว่างผู้ที่ถือรหัสผ่านตรงกัน จริงหรือไม่ กระบวนการเหล่านี้กลับไม่เพียงพอที่จะยืนยันความรับผิดชอบทางกฎหมาย หากมีการใช้กุญแจลับอย่างไม่ตั้งใจ, ถูกบังคับขู่เข็ญจากฝ่ายตรงข้าม, หรือกระทั่งเอกสารคอมพิวเตอร์นั้นถูกปลอมแปลงได้จากกระบวนการที่ไม่แข็งแกร่งเพียงพอ
ความเสี่ยงเช่นนี้ไม่ได้จำกัดอยู่ในโลกคอมพิวเตอร์เท่านั้น ในโลกความเป็นจริงสัญญาที่เราทำทุกวันนี้แม้มีหนังสือสัญญาเป็นทางการก็อาจจะถูกปฎิเสธความรับผิดชอบ รวมถึงไม่สามารถบังคับความรับผิดชอบตามกระบวนการทางกฎหมายได้ หากมีประเด็นโต้แย้งเช่น หนังสือสัญญาลงนามขณะที่คู่สัญญาไม่ได้สติ, ลายเซ็นถูกปลอม, หรือเนื้อหาในหนังสือสัญญาถูกปลอมแปลง กระบวนการทางกฎหมายทุกวันนี้จึงพยายามลดข้อโต้แย้งเหล่านี้ลงด้วยการเพิ่มพยานในหนังสือสัญญาต่างๆ เข้ามา
ความซับซ้อนในกระบวนการทางกฎหมายเหล่านี้จะยุ่งยากขึ้น เมื่อเป็นความผิดทางอาญาที่เอกสารและหลักฐานต่างๆ จะถูกใช้เพื่อนำผู้ร้ายรับโทษทางอาญา กระบวนการพิจารณาหลักฐานและการให้น้ำหนักของหลักฐานในคดีแพ่งที่เป็นการทำสัญญาระหว่างสองฝ่าย กับคดีอาญานั้นมีความต่างกันไป โดยกระบวนการทางแพ่งนั้นอิงกับการชั่งน้ำหนักของหลักฐาน ว่าฝ่ายใดมีน้ำหนักมากกว่ากัน ขณะที่คดีอาญานั้นหลักฐานต้องหนักแน่นพอที่จะสิ้นข้อสงสัยที่มีเหตุผล (beyond reasonable doubt)
ปัญหาสำคัญของกระบวนการบังคับสัญญาอิเล็กทรอนิกส์ทางกฎหมายคือเราจะยอมรับข้อมูลอิเล็กทรอนิกส์ซึ่งอาจจะเป็นไฟล์เป็นหลักฐานเทียบเท่าหนังสือสัญญาตามกฎหมายทั่วไปหรือไม่ หรือการใช้ล็อกไฟล์จะสามารถยืนยันในศาลว่าเป็นร่องรอยของการกระทำต่างๆ ได้หรือไม่
ประเด็นหลักฐานอิเล็กทรอนิกส์มีการระบุไว้ใน พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 ตามมาตรา 11 ที่ระบุให้ใช้หลักฐานอิเล็กทรอนิกส์เป็นหลักฐานได้ทั้งคดีแพ่งและคดีอาญา โดยอาศัยความน่าเชื่อถือของการสร้าง การเก็บรักษา ความครบถ้วน และกระบวนการระบุผู้ส่งข้อมูล
กระบวนการใช้หลักฐานอิเล็กทรอนิกส์ในไทยนั้นยังไม่มีแนวทางชัดเจนนักเนื่องจากกฎหมายเป็นกฎหมายใหม่ และยังไม่มีคดีเป็นแนวทางมากนัก ประเทศที่มีกฎหมายด้านคอมพิวเตอร์มายาวนานอย่างสหรัฐฯ นั้นมีคู่มือการใช้หลักฐานอิเล็กทรอนิกส์ความยาวเกือบ 300 หน้าอธิบายกรณีต่างๆ ที่เคยเกิดขึ้นกับการใช้หลักฐานอิเล็กทรอนิกส์ หรือแนวทางการใช้หลักฐานดิจิตอลสำหรับตำรวจสหราชอาณาจักร
เนื้อหารายละเอียดนั้นมีจำนวนมาก แต่หลักการเบื้องต้น ได้แก่
นอกจากนี้ยังระบุถึงรายละเอียดของความสมบูรณ์ของสัญญาอิเล็กทรอนิกส์ ในมาตรา 15 ถึงมาตรา 25 ของพระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์โดยรวมแล้วระบุให้สัญญาอิเล็กทรอ
กระบวนการเหล่านี้มีการออกแบบกระบวนการทางรหัสวิทยาและกระบวนการอื่นๆ รองรับไว้ทั้งสิ้น เช่นกระบวนการยืนยันผู้ส่ง เอกสารสามารถยืนยันได้ด้วยกระบวนการเซ็นลายเซ็นดิจิตอล กระบวนการยืนยันความถูกต้องของข้อมูลมีการใช้ฟังก์ชั่นแฮช กระบวนการตรวจสอบว่าไม่มีการส่งข้อมูลซ้ำนั้นเอกสารมักมีหมายเลขลำดับกำกับเอาไว้ หลายครั้งกำกับด้วยเวลาเพื่อไม่ให้ใช้ข้อความเดิมมาส่งซ้ำได้อีก ขณะที่ระบบตอบรับเรามักเห็นในอีเมลเมื่อสมัครบัญชีใช้งานเว็บใหม่ ที่บริการจะส่งอีเมลมาให้เรากดยืนยันด้วย URL พิเศษที่สร้างขึ้นเฉพาะ หากเรากดก็เป็นการตอบรับว่าเราเป็นเจ้าของบัญชีอีเมลที่ใช้สมัครใช้บริการจริง
ปัญหาการบอกปฎิเสธความรับผิดชอบที่สำคัญในโลกคอมพิวเตอร์คือการกระทำของคอมพิวเตอร์ที่สามารถกระทำแทนเราได้หลายอย่าง เว็บบริการประมูลสินค้าออนไลน์อาจจะมีบริการประมูลอัตโนมัติที่ให้ผู้ใช้กำหนดวงเงินไว้ล่วงหน้าแล้วซอฟต์แวร์จะประมูลให้เองโดยไม่ต้องถามความสมัครใจของผู้ใช้อีกครั้ง
กระบวนการหนึ่งที่จะยืนยันว่าผู้ใช้รับรู้กระทำออนไลน์คือการให้ผู้ใช้ใส่รหัสผ่านซ้ำอีกครั้ง เว็บซื้อสินค้าส่วนมากจึงยังคับให้ผู้ใช้ใส่รหัสผ่านอีกครั้งเมื่อต้องทำคำสั่งบางอย่างที่สำคัญเช่นการเข้าดูประวัติการใช้งาน หรือการกดสั่งซื้อสินค้า แม้ผู้ใช้นั้นจะเพิ่งล็อกอินมาไม่นานก็ตาม
ประเด็นการปฎิเสธความรับผิดชอบเป็นข่าวเรื่อยมาในเว็บประมูลอย่าง eBay ที่ผู้ใช้อ้างว่ามีลูกของเขาใช้บัญชีที่ล็อกอินทิ้งไว้กดประมูลแล้วขอยกเลิกรายการประมูล แต่โดยส่วนมากแล้วผู้ขายสินค้ามักยอมรับคำร้องขอยกเลิกรายการประมูล
แต่คดีที่สำคัญในช่วงหลังคือคดีการซื้อสินค้าจากหน้าร้านในสมาร์ตโฟน ก่อนหน้านี้ผู้ผลิต เช่น แอปเปิลและกูเกิล มักอำนวยความสะดวกให้กับลูกค้าที่จะซื้อสินค้าได้ง่าย โดยเลือกที่จะถามรหัสผ่านลูกค้าหากต้องการซื้อสินค้าในหน้าร้านเช่น iTunes หรือ Google Play แต่หากมีการซื้อซ้ำอีกในช่วงเวลาไม่นานนัก การซื้อครั้งต่อๆ มาก็จะไม่มีการถามรหัสผ่านซ้ำ
คดีนี้ผู้ปกครองจำนวนหนึ่งอ้างว่าได้ซื้อเกมโดยใส่รหัสผ่านและยื่นเครื่องให้กับลูกเล่น แต่ปรากฎว่าลูกสามารถนำไปซื้อไอเท็มในเกมได้โดยพ่อแม่ไม่รับรู้ทำให้หลายคนถูกเรียกเก็บเงินจำนวนมาก สุดท้ายทั้งแอปเปิลและกูเกิลต่างต้องปรับหน้าจอเช่นนี้ โดยแอปเปิลเลือกที่จะถามรหัสผ่านซ้ำทุกครั้งที่ซื้อสินค้า ขณะที่กูเกิลนั้นเลือกที่จะแจ้งเตือนลูกค้าว่าหากซื้อสินค้าซ้ำจะไม่ต้องใส่รหัสผ่านอีกภายในเวลาที่กำหนด และให้ลูกค้าปิดความสามารถนี้ได้
กระบวนการทางกฎหมายยังเป็นโลกที่ใหม่มากสำหรับทั้งนักวิชาการคอมพิวเตอร์ (ที่จำนวนมากไม่สนใจวิชากฎหมาย) และนักกฎหมาย (ที่หลายคนไม่สามารถทำความเข้าใจเทคโนโลยีได้ดีนัก) กระบวนการเรียนรู้เพื่อสร้างเส้นแบ่งที่ชัดเจน แนวทางจากต่างชาติที่มีประสบการณ์มากกว่าอาจจะเป็นบทเรียนให้กับนักพัฒนาที่จะสร้างระบบที่บังคับใช้ได้ แนวปฎิบัติเช่นการถามผู้ใช้ย้ำเมื่อมีการทำธุรกรรม หรือถามรหัสผ่านซ้ำแม้มีการล็อกอินแล้วก็ตามนับเป็นแนวทางที่เราเรียนรู้ได้
บทความนี้นับเป็นบทความสุดท้ายตามโครงของบทความชุดความปลอดภัยคอมพิวเตอร์ที่ผมเขียนมาตั้งแต่ปลายปี 2012 โดยแบ่งออกเป็นสามภาค
ผมหวังว่าชุดบทความนี้น่าจะเพียงพอสำหรับการเรียนการสอนวิชาความปลอดภัยคอมพิวเตอร์เบื้องต้นประมาณหนึ่งภาคการศึกษา ถ้ามีโอกาส ชุดบทความทั้งหมดอาจจะได้ตีพิมพ์โดยรวบรวมปรับปรุงให้ดีขึ้นหรือเพิ่มเติมเนื้อหาบางส่วนต่อไป