ความปลอดภัย
LPIC.cc ให้ความสำคัญกับความปลอดภัยและความเป็นส่วนตัวในฐานะหลักการออกแบบหลักมาตั้งแต่วันแรก ไม่ใช่สิ่งที่เพิ่มภายหลัง ด้านล่างคือภาพรวมของมาตรการที่ทำงานอย่างต่อเนื่องในระบบ production
มาตรการความปลอดภัยหลัก
เข้ารหัส HTTPS ทั้งเว็บไซต์
ทุกการเชื่อมต่อถูกบังคับให้ใช้ HTTPS (TLS 1.2 ขึ้นไป) พร้อมเปิด HSTS ระยะยาว เบราว์เซอร์จะปฏิเสธการเชื่อมต่อแบบ plaintext ทุกครั้ง ข้อมูลถูกเข้ารหัสแบบ end-to-end ผู้โจมตีกลางทางไม่สามารถดักฟังหรือแก้ไขได้
แฮชรหัสผ่านด้วย bcrypt
รหัสผ่านสำหรับแชร์ไฟล์ที่ผู้ใช้ตั้งจะถูกเก็บในรูปแบบแฮชทางเดียวตามมาตรฐานอุตสาหกรรม bcrypt แม้แต่เซิร์ฟเวอร์ของเราเองก็ย้อนกลับไปเป็นข้อความจริงไม่ได้ และรหัสผ่านแบบ plaintext ไม่เคยอยู่ในระบบใด ๆ ของเรา
ไฟล์หมดอายุอัตโนมัติ
ไฟล์ที่อัปโหลดจะถูกเก็บไว้ 30 วันนับจากการดูครั้งล่าสุด เมื่อพ้นกำหนด ลิงก์แชร์จะหมดอายุทันทีและไฟล์ถูกคิวไว้เพื่อลบ ไม่ต้องจัดการด้วยตนเอง และไม่มีใครสามารถเข้าถึงไฟล์ที่หมดอายุได้อีก
URL อัปโหลดแบบ presigned อายุสั้น
เมื่ออัปโหลด เซิร์ฟเวอร์จะออก URL แบบ presigned ที่มีอายุสั้นเพื่อให้เบราว์เซอร์ส่งไฟล์ตรงไปยัง cloud object storage URL นี้หมดอายุอย่างรวดเร็วและนำกลับมาใช้ใหม่ไม่ได้ ช่วยป้องกันการอัปโหลดที่ไม่ได้รับอนุญาต
Content Security Policy ที่เข้มงวด
นโยบายเริ่มต้นปฏิเสธทรัพยากรภายนอกทั้งหมดและอนุญาตเฉพาะ origin ที่จำเป็นน้อยที่สุด เมื่อใช้ร่วมกับ header X-Frame-Options และ Referrer-Policy จะช่วยลดพื้นที่โจมตี XSS, clickjacking และการรั่วไหลของ referrer
Rate limiting หลายชั้น
endpoint ที่อ่อนไหว เช่น login, upload และการตรวจสอบรหัสผ่าน ได้รับการปกป้องด้วย rate limiting ที่จะ cool down ทันทีเมื่อพบพฤติกรรมผิดปกติ ปิดกั้นการ brute-force และ bot โดยไม่กระทบผู้ใช้จริง
ป้องกันบอทแบบไร้แรงเสียดทานด้วย Turnstile
ฟอร์มสำคัญถูกป้องกันด้วย Cloudflare Turnstile ซึ่งใช้สัญญาณอุปกรณ์และพฤติกรรมแยกคนกับบอทอยู่เบื้องหลัง โดยไม่มี captcha ภาพให้คลิก ไม่รบกวนประสบการณ์ผู้ใช้
Log IP แบบปกปิด
IP แบบเต็มจะไม่ถูกเก็บถาวร ก่อนเขียนลง log สถิติหรือ log ความปลอดภัย ระบบจะปกปิดส่วนท้าย (เช่น 1.2.3.***) ส่วน IP ดิบจะอยู่ในหน่วยความจำเพียงชั่วครู่เพื่อประกอบการตัดสินใจป้องกันแบบเรียลไทม์แล้วถูกทิ้ง ลดความเสี่ยงหาก log รั่วไหล
มาตรการความปลอดภัยเพิ่มเติม
| มาตรการ | รายละเอียด |
|---|---|
| Parameterized queries | คำสั่งฐานข้อมูลทั้งหมดใช้ parameter binding เพื่อกำจัดช่องโหว่ SQL Injection ตั้งแต่รากฐาน |
| ตรวจสอบข้อมูลนำเข้า | endpoint ของ API บังคับใช้ schema validation (required, min, max, email ฯลฯ) ข้อมูลที่ไม่ถูกต้องจะถูกปฏิเสธก่อนถึง business logic |
| ป้องกัน CSRF | ทุกคำขอที่เปลี่ยนสถานะต้องมี CSRF Token แยกต่างหาก และ Cookie ตั้งค่า HttpOnly + Secure + SameSite=Strict เพื่อสกัดการปลอมแปลงคำขอข้ามไซต์ตั้งแต่ต้นทาง |
| นโยบาย CORS ที่เข้มงวด | อนุญาตให้เฉพาะโดเมนทางการเท่านั้นที่เรียกใช้ API คำเรียกข้าม origin ที่ไม่ได้รับอนุญาตจะถูกปฏิเสธ |
| ป้องกัน DDoS ด้วย Cloudflare | edge node จะตรวจจับและลดทอนทราฟฟิกผิดปกติอัตโนมัติ ก่อนจะไปถึงเซิร์ฟเวอร์ต้นทาง |
| Log ปกปิดข้อมูลอ่อนไหว | เฟรมเวิร์ก logging จะปกปิด IP, Token และรหัสผ่านโดยค่าเริ่มต้น แม้ log จะรั่วไหลออกไป ข้อมูลอ่อนไหวก็ไม่ถูกเปิดเผย |
การเปิดเผยอย่างรับผิดชอบ
หากคุณพบช่องโหว่ด้านความปลอดภัยของ LPIC.cc กรุณาแจ้งแบบส่วนตัวที่ [email protected] เราสัญญาว่า:
- ตอบรับการรายงานภายใน 48 ชั่วโมง
- จะไม่ดำเนินคดีทางกฎหมายกับนักวิจัยด้านความปลอดภัยที่มีเจตนาดี
- หลังจากแพตช์ถูกปล่อย เราจะกล่าวขอบคุณอย่างเปิดเผยในหน้านี้ หากคุณต้องการ
เพื่อไม่ให้กระทบผู้ใช้รายอื่น กรุณาหลีกเลี่ยงการสแกนอัตโนมัติหรือทดสอบ load กับระบบ production
อัปเดตล่าสุด: 21 เมษายน 2569 (2026)