EP.24 หุ้มเกราะให้ web traffic ด้วย HTTPS. แต่ traffic ที่ใหญ่ที่สุดในโลก — ที่บริษัทคุณใช้ทุกวันรับใบสั่งซื้อ ส่งใบแจ้งหนี้ คุยกับลูกค้า — คืออีเมล. และโปรโตคอลอีเมลที่ออกแบบในปี 1982 ไม่มี authentication เลย — ใครก็พิมพ์ From: [email protected] แล้วส่งได้ฟรี. EP.25 พาคุณดูระบบไปรษณีย์ของเมืองดิจิทัล — SPF (ป้อมยามดูที่อยู่ผู้ส่ง) / DKIM (ตราประทับขี้ผึ้ง) / DMARC (policy ของหมู่บ้าน) / BIMI (โลโก้ในกล่องจดหมาย) — เคสจริง Toyota Boshoku $37M / Ubiquiti $46M / Crelan Bank €70M — ทำไม FBI ประเมิน BEC fraud สะสมกว่า $55B ตั้งแต่ปี 2013 ถึง 2023 — และทำไม Gmail/Apple บังคับ DMARC ในปี 2024.

EP.23 พาคุณดู certificate + PKI — ระบบบัตรประชาชนของเมืองดิจิทัล. EP.24 ดูการใช้งานยอดฮิตของมัน — HTTPS — กุญแจสีเขียวข้างๆ URL ที่ทุกคนเคยเห็น แต่ส่วนใหญ่ไม่รู้ว่ามันบอกอะไรกันแน่ และที่สำคัญกว่า — มันไม่ได้บอกอะไร. EP นี้ผมพาคุณดู TLS Handshake แบบไม่ต้องอ่าน RFC — ดูว่า HTTPS ป้องกัน 3 อย่าง (Confidentiality / Integrity / Server Authentication) ไม่ป้องกัน 4 อย่าง (Data at rest / Phishing site ที่มี cert ถูกต้อง / Misconfig / Client malware) — และเคสจริง Heartbleed 2014 ที่ทำให้โลกอินเทอร์เน็ตทั้งโลกต้อง reset password ใน 1 สัปดาห์

EP.21 บอกว่า public key ใช้ encrypt + verify ได้. แต่ — คุณจะรู้ได้ยังไงว่า public key ที่เห็นนี่คือของ Google จริงๆ ไม่ใช่ของโจรปลอม? คำตอบ — PKI (Public Key Infrastructure) ระบบบัตรประชาชนของอินเทอร์เน็ตทั้งโลก. EP นี้ผมพาคุณดูราชวงศ์ที่ทุกคนเชื่อ (Root CA), ขุนนางที่ราชวงศ์แต่งตั้ง (Intermediate CA), บัตรประชาชนของแต่ละเว็บ (Leaf cert), กลไก revoke / OCSP / Certificate Transparency — และเคสจริง DigiNotar ปี 2011 — ราชวงศ์ของฮอลแลนด์ที่ถูกปลอม → บริษัทล่มสลายใน 3 สัปดาห์ → ทำให้เกิด Certificate Transparency

EP.21 จบ Asymmetric — RSA / ECC / Diffie-Hellman — ตู้ไปรษณีย์ที่ใครๆ ก็ใส่ของเข้าได้ แต่เปิดได้คนเดียว. EP.22 เข้าตระกูลที่ 3 — Hashing — และตระกูลนี้ต่างจาก 2 ตัวก่อนหน้าโดยสิ้นเชิง. Hashing ไม่ใช่ encryption (เพราะย้อนกลับไม่ได้) — มันคือ 'ลายนิ้วมือดิจิทัล' ของข้อมูลที่ใช้ใน password storage / file integrity / digital signature / blockchain. EP นี้พาคุณดู — properties 5 ข้อของ hash function ที่ดี, ตระกูล SHA ทั้งบ้าน (MD5 ตายแล้ว / SHA-1 โดน Google ฆ่าปี 2017 / SHA-2 ยังยืน / SHA-3 มาเป็น backup), ทำไม password ต้องใช้ slow hash ไม่ใช่ SHA-256, Collision attack + Birthday Paradox ที่ทำให้ 2^128 ลดเหลือ 2^64, และ HMAC + Merkle tree ที่ Bitcoin กับ Git ใช้กันทุกวัน.

EP.20 รู้ Symmetric ดี — แต่ปัญหา key distribution ยังไม่จบ. EP.21 ตอบ — Asymmetric encryption — สิ่งประดิษฐ์ที่นักวิจัย Cold War เปลี่ยนโลก. ตู้ไปรษณีย์ที่ใครก็ใส่จดหมายลงไปได้ — แต่เปิดออกได้คนเดียว. ผมพาคุณดู Diffie-Hellman 1976, RSA 1977, ECC ที่โลก crypto สมัยใหม่ใช้, Diffie-Hellman key exchange + ECDH ที่อยู่ใน TLS 1.3 ทุก HTTPS handshake, Perfect Forward Secrecy ที่ทำให้ session ในอดีตปลอดภัยตลอดกาล และ Digital Signature ที่เป็นรากของ code signing + iMessage + PGP.

EP.19 รู้แล้วว่า crypto มี 3 ตระกูล — Symmetric / Asymmetric / Hashing. EP.20 ผมพาคุณเจาะตระกูลแรก — Symmetric — ตระกูลที่เป็น workhorse ของโลก crypto. คุณจะเห็น AES (มาตรฐานที่ชนะการแข่งขัน NIST ปี 1998 และครองวงการมา 25 ปี), Block vs Stream cipher (ทำไม AES = block, ChaCha20 = stream — Google เลือกตัวไหนสำหรับ mobile), 4 Modes of Operation ที่สำคัญที่สุด (ECB ห้ามใช้กับ penguin image ที่กลายเป็นภาพสอนของวงการ, CBC, GCM, CTR), DES และ 3DES ที่ NIST เพิ่งฆ่าทิ้งในปี 2023, และทำไม WhatsApp + Signal เลือก AES-256-GCM.

EP.18 รู้แล้วว่าข้อมูลคืออะไร แบ่งระดับยังไง วงจรชีวิตเป็นยังไง. EP.19 คือคำตอบของวงการต่อคำถาม 1,000 ปี — ตอนข้อมูลเดินทาง + ตอนเก็บไว้ — ปกป้องยังไงไม่ให้คนกลางทางอ่านออก? คำตอบคือ Cryptography (รหัสลับ). และในวงการมี 3 ตระกูลใหญ่ — Symmetric (ตู้เซฟกุญแจเดียว) / Asymmetric (ตู้ไปรษณีย์เปิด-ปิดต่างกุญแจ) / Hashing (ลายนิ้วมือของของ). 3 ตระกูลนี้แก้ปัญหาคนละมุม — ทำไมถึงไม่ใช้ตัวเดียวจบ? EP นี้เป็น overview ก่อนที่ EP.20-22 จะลงลึกทีละตัว.

Part 2 จบ — Identity ครบทุกซอกทุกมุม. EP.18 เปิด Part 3 ด้วยคำถามที่ใหญ่ที่สุด — control ทั้งหมดที่ผ่านมา สุดท้ายปกป้องอะไร? คำตอบ: ข้อมูล. แต่ข้อมูลในเมืองไม่เท่ากันทุกชิ้น — บางอย่างเป็น public บางอย่าง top secret. และของทุกชิ้นมีวัยเกิด-เติบโต-เก่า-ตาย. EP นี้พาคุณดู 4-tier classification, 3 บทบาท Owner/Custodian/Steward, 6 phase ของ data lifecycle, secure disposal (wipe / degauss / shred / crypto-shredding), Data Sovereignty (GDPR / PDPA), และเคสจริงที่ Morgan Stanley จ่าย $35M ค่าปรับเพราะทิ้ง HDD ไม่ถูกวิธี.

Part 2 climax — เด็ก 17 ปีใน Florida เข้าควบคุมบัญชี Obama / Elon / Bill Gates ในคืนเดียว ไม่ใช่เพราะ hack Twitter ได้ — แต่เพราะ admin tool ของ Twitter ทำได้ทุกอย่าง และคน 1-2 คนถือกุญแจชุดนั้น. EP.17 เล่าเรื่อง PAM (ตู้เซฟของกุญแจ admin) + Zero Trust (mindset ของ Google ที่เปลี่ยนวงการ) — แล้วปิด Part 2 ด้วยข้อสรุปเดียว: Identity คือ perimeter ใหม่.

EP.11-15 ตอบคำถาม 'คุณคือใคร' (Authentication) ครบทุกซอกทุกมุม. EP.16 ขยับไปคำถามถัดมาที่ใหญ่กว่า — 'คุณทำอะไรได้บ้าง?' (Authorization). ยามที่ประตูตึกถามคุณ 2 รอบ — รอบแรก 'คุณคือใคร', รอบที่สอง 'บัตรนี้เปิดประตูห้องไหนได้บ้าง'. EP นี้ผมพาคุณดู 4 รูปแบบของการแจกสิทธิ์ที่ครองวงการ — RBAC (ตามตำแหน่งงาน), ABAC (ตาม context), MAC (ระบบบังคับ), DAC (เจ้าของแชร์เอง) — กฎทอง 3 ข้อ Least Privilege + Need-to-Know + Separation of Duties — เคสจริง Société Générale €4.9B ที่ trader คนเดียวพัง 1 แบงค์ฝรั่งเศส — และทำไม IDOR ครองอันดับ 1 ของ OWASP Top 10 ตั้งแต่ปี 2021.