Apple ปรับปรุงการการเข้าถึง Full Disk Access บน macOS

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการที่ทาง Apple ทำการเพิ่มการควบคุมการเข้าใช้งานระบบเข้าถึงดิสก์อย่างสมบูรณ์ หรือ Full Disk Access (FDA) ซึ่งเป็นระบบบนระบบปฏิบัติการ macOS ที่ช่วยให้แอปพลิเคชันที่ผู้ใช้งานเปิดอนุญาตให้เข้าถึงได้นั้นสามารรถเข้าถึงระบบไฟล์ และไฟล์ส่วนตัวของผู้ใช้งานได้อย่างสมบูรณ์ เช่น ข้อมูลที่อยู่ภายใน Mail, Messages, Safari, และ ข้อมูลสำรองใน Time Machine เป็นต้น โดยทั่วไปนั้นระบบนี้มักถูกใช้กับแอปพลิเคชันที่สำคัญอย่างยิ่งยวดต่อความปลอดภัยของระบบเช่นแอนตี้ไวรัส (Anti-Virus) ต่าง ๆ ระบบ FDA นี้เริ่มเปิดให้ใช้งานครั้งแรกบน macOS Mojave (version 10.14) โดยผู้ใช้งานนั้นสามารถปรับแต่งได้จากเมนู Settings >>> Privacy & Security

ในปัจจุบัน ด้วยความนิยมของแอปพลิเคชันด้านปัญญาประดิษฐ์ (AI หรือ Artificial Intelligence) ที่มีความสามารถอันหลากหลาย แม้แต่การทำงานด้วยตนเองโดยที่ผู้ใช้งานไม่ต้องสั่ง (Autonomous) ซึ่งด้วยการที่ผู้พัฒนาแอปพลิเคชันผู้ช่วย AI (AI Agent) บางรายนั้นต้องการให้ตัว AI ของตนสามารถทำงานได้ทุกอย่างอย่างหมดจด จึงได้ทำการกำหนดให้ตัวแอปขอสิทธิ์ในการเข้าถึง FDA ซึ่งอาจทำให้ข้อมูลส่วนตัวของผู้ใช้งานนั้นตกอยู่ภายใต้ความเสี่ยงได้ถ้าเผลอให้สิทธิ์ไป ทำให้ทาง Apple นั้นมีแผนที่จะอัปเกรดเพิ่มระบบแจ้งเตือนให้ผู้ใช้งานทราบถึงความเสี่ยงในการให้แอปพลิเคชัน AI เข้าถึง FDA อย่างชัดเจน (Explicit) ก่อนที่จะให้สิทธิ์ผู้ช่วย AI เหล่านี้เข้าถึงดิสก์อย่างสมบูรณ์ได้

ซึ่งถึงแม้ทาง Apple จะไม่ได้ประกาศว่า AI Agent ที่เป็นกรณีอยู่นั้นเป็นของผู้พัฒนารายใด แต่การประกาศปรับปรุงด้านการควบคุมการเข้าถึง FDA นั้นเกิดขึ้นหลังจากที่มีกรณีที่แอปพลิเคชันผู้ช่วย AI ตัวใหม่จาก META อย่าง Muse นั้นเข้าถึงข้อความส่วนตัวของนักข่าวบนแอป iMessages หลังจากที่นักข่าวนั้นอนุญาตให้ตัวแอปพลิเคชันเข้าถึง FDA โดยไม่ทราบถึงความเสี่ยงที่อาจเกิดขึ้น จากกรณีดราม่าในครั้งนี้ ทาง META ได้ออกมาแก้ต่างว่า การที่ตัว Muse จะสามารถเข้าถึงข้อความส่วนตัวได้นั้นจะต้องได้รับการอนุมัติ (Permission) 2 ชั้นเสียก่อน นั่นคือ

การอนุมัติในการเข้าถึง Full Disk Access

การอนุมัติในการเข้าถึงตัว Message

นอกจากนั้นการประกาศของ Apple ในการเพิ่มความเข้มงวดในการเข้าถึง FDA ดังกล่าวนั้นยังเป็นการประกาศหลังจากที่มีนักวิจัยไซเบอร์ประกาศถึงผลสำเร็จในการทดลองโจมตีระบบ (Proof-of-Concept) ด้วยการใช้ช่องโหว่ที่เกิดขึ้นระหว่างการพัฒนา หรือ Zero-Day บน แอปพลิเคชัน Muse ที่เปิดโอกาสให้แอปพลิเคชันอื่น ๆ หรือ คำสั่งที่รันจาก Terminal สามารถเข้าถึงโทเคนยืนยันตัวตน (Authentication Token) ของ Muse ได้ ทำให้เกิดความเสี่ยงที่แอปพลิเคชันแปลกปลอมที่มีอยู่บนเครื่องจะสามารถเข้าใช้งาน Muse โดยไม่ได้รับอนุญาตได้