Kaspersky ออกรายงาน The ProjectSauron APT รายงานถึงมัลแวร์ Sauron ที่ได้ชื่อจากตัวแปรในคอนฟิกของมัลแวร์เอง โดยความพิเศษของมันคือมัลแวร์มีความยืดหยุ่นสูงมาก มีโมดูลปรับแต่งได้กว่า 50 รายการ มีโครงสร้างที่รองรับการใช้งานในระยะยาว จนเชื่อได้ว่ามันได้รับการสนับสนุนในระดับรัฐ

จนตอนนี้ Kaspersky พบผู้ติดมัลแวร์นี้แล้วกว่า 30 องค์กรกระจายอยู่ใน รัสเซีย, อิหร่าน, รวันดา, และประเทศที่พูดอิตาลีบางชาติ โดยมุ่งเน้นหน่วยงานรัฐบาล, หน่วยงานวิจัย, บริษัทโทรคมนาคม, และบริษัทการเงิน

ระบบแคชเชียร์ (Point-of-Sale - POS) MICROS ที่ออราเคิลซื้อมาในปี 2014 โดยยังไม่มีข้อมูลว่าผลกระทบจากการรั่วไหลครั้งนี้ส่งผลกระทบมากน้อยเพียงใด แต่ตอนนี้ทาง MICROS ก็บังคับผู้ใช้ทั้งหมดรีเซ็ตรหัสผ่าน

MICROS ถูกใช้งานบนแคชเชียร์ถึง 330,000 จุดทั่วโลก รวมถึงแบรนด์ใหญ่ๆ เช่น Adidas, Burger King, และ Hilton

การทางหลวงไต้หวันระบุว่าได้ส่งเรื่องไปยัง Niantic ผู้สร้างเกม Pokemon Go ให้เว้นพื้นที่ทางหลวงออกไปจากเกม หลังจากก่อนหน้าที่การรถไฟไต้หวันก็ประกาศห้ามเล่นเกม และติดต่อ Niantic เพื่อขอให้เว้นพื้นที่สถานีออกจากเกมเช่นกัน

ยอดผู้ถูกจับเพราะใช้โทรศัพท์ขณะขับรถในไต้หวันพุ่งสูงขึ้น หลังจากเกมเปิดตัวมาเพียงไม่กี่วันมีผู้ถูกจับแล้ว 1,210 ราย โดยผู้ขับขี่รถยนต์จะถูกปรับ 3,000 ดอลลาร์ไต้หวัน (ประมาณ 3,300 บาท) และผู้ขับขี่จักรยานยนต์จะถูกปรับ 1,000 ดอลลาร์ไต้หวัน (ประมาณ 1,100 บาท)

ที่มา - Strait Times

ไมโครซอฟท์ออกอัพเดต KB3151631 ยกเลิกการรองรับกระบวนการเข้ารหัส RC4 ใน IE11 และ Microsoft Edge เช่นเดียวกับ Google Chrome และไฟร์ฟอกซ์

ไมโครซอฟท์เป็นผู้เสนอให้ยกเลิกการรองรับ RC4 เองในปี 2014 โดยเสนอกระบวนการเข้า IETF ในเอกสาร RFC7465

Google Maps เดิมใช้เรียกรถจาก Uber ได้เมื่อเลือกเส้นทาง ตอนนี้กูเกิลก็ประกาศว่าสามารถเลือก GrabTaxi และ GrabCar ได้แล้ว แต่ยังไม่ชัดเจนนักว่า GrabBike จะร่วมด้วยหรือไม่ (ตอนที่ทดลอง ยังไม่สามารถเรียกได้) เพราะกูเกิลไม่ได้ระบุว่ามี GrabBike ร่วมด้วย แต่ก็ระบุถึงรถจักรยานยนต์ไว้ด้วย

ฝั่ง Grab ให้ส่วนลด 50 บาทสำหรับการเรียกครั้งแรกด้วยโค้ด THMAP

DARPA Cyber Grand Challenge การแข่งขันแฮกและป้องกันซอฟต์แวร์ (capture the flag - CTF) ที่แปลกกว่างานอื่นๆ คือระหว่างการแข่งขัน ไม่มีมนุษย์เข้าไปเกี่ยวข้องเลย แต่อาศัยปัญญาประดิษฐ์ทดสอบ, ป้องกัน, และโจมตี ซอฟต์แวร์กันเองทั้งหมด การแข่งขันรอบสุดท้ายเมื่อสัปดาห์ที่แล้วได้ผู้ชนะเป็นทีม ForAllSecure จากมหาวิทยาลัย Carnegie Mellon

การแข่งขันครั้งนี้ระหว่างแข่งแต่ละทีมจะได้รับไฟล์ไบนารีเป็นบริการแบบต่างๆ ที่วางช่องโหว่ไว้อย่างจงใจ ระบบ AI ของแต่ละทีมจะทดสอบไบนารีเพื่อหาช่องโหว่แล้วใช้ช่องโหว่เหล่านั้นโจมตีทีมอื่นๆ ทีมที่ถูกโจมตีอาจจะพบพฤติกรรมผิดปกติแล้วอุดช่องโหว่เหล่านั้น

เมื่อเดือนพฤษภาคมที่ผ่านมากูเกิลเปิดซอร์สระบบประสาทเทียม SyntaxNet สำหรับการอ่านรูปประโยคของคนทั่วไป สร้างขึ้นบน TensorFlow ตอนนี้กูเกิลก็เปิดซอร์สโมเดลภาษาที่ฝึกไว้พร้อมใช้งานแล้วอีก 40 ภาษาในชื่อโครงการ Parsey’s Cousins

โมดูล ESP8266 ไม่มีวงจร USB มาให้ในตัวทำให้ไม่สามารถทำงานจำลองเมาส์หรือคีย์บอร์ด ไปจนถึงอุปกรณ์อื่นๆ ได้เหมือนโมดูลที่มีวงจรเหล่านี้ในตัว เช่น Arduino Leonardo อย่างไรก็ดี ตอนนี้นักพัฒนาที่ชื่อ Charles Lohr ก็พัฒนาซอฟต์แวร์ USB ทำให้สามารถใช้งาน ESP8266 ผ่านพอร์ต USB ได้แล้ว

ซอฟต์แวร์สามารถเชื่อมต่อ USB ที่ความเร็วต่ำ 1.5Mbps แม้ว่าซีพียูอาจจะสามารถรองรับความเร็ว 12Mbps ได้ก็ตาม เพราะข้อจำกัดด้านหน่วยความจำ และอินเทอร์รัปต์

ตัวโครงการยังอยู่ระหว่างการพัฒนา Lohr ระบุว่าอย่าคาดหวังว่ามันจะใช้งานได้จริง แต่เบื้องต้นเขาสาธิตการใช้งานด้วยการจำลอง ESP8266 เป็นเมาส์ได้สำเร็จ และในโครงการยังเขียนถึงการอัพเดตเฟิร์มแวร์ผ่านสาย USB โดยตรง

เมื่อวานนี้ CA Browser Forum องค์กรที่สร้างข้อตกลงร่วมกันระหว่างหน่วยงานออกใบรับรองดิจิตอล (certification authority - CA) และผู้ผลิตเบราว์เซอร์ ลงคะแนนเสียงการแก้ข้อบังคับ (baseline requirement) ฉบับที่ 169 ผ่านอย่างเป็นเอกฉันท์

การแก้ไขที่ 169 นี้ระบุรายละเอียดการตรวจสอบความเป็นเจ้าของโดเมนอย่างชัดเจน จากเดิมที่เปิดทางให้ CA สร้างแนวทางการตรวจสอบของตัวเอง แต่ข้อบังคับใหม่จะลงรรายละเอียดมากกว่าเดิม พร้อมกับปิดช่องทางที่อนุญาตให้ CA สร้างแนวทางการยืนยันตัวตนเป็นของตัวเอง (หัวข้อ 3.2.2.4 ข้อบังคับ 7)

วันนี้เป็นวันแรกที่ Pokemon Go เปิดให้เล่นในไทยอย่างเป็นทางการ ผู้อ่าน Blognone เองก็คงจะเล่นเป็นจำนวนมาก จากเดิมที่มีคนเล่น Ingress กันเยอะอยู่แล้ว

ตอนนี้เลยเปิดเวทีให้สมาชิก Blognone มาแนะนำตัวกันว่าเล่น Pokemon Go ในชื่ออะไรและอยู่สีอะไรครับ ส่วนใครจะชักชวนใครเข้าสีไหนเพราะอะไรก็ใช้พื้นที่ตรงนี้ได้เลย

แอปเปิลประกาศเปิดโครงการหาบั๊กความปลอดภัยล่ารางวัลในงาน Blackhat โดยมีรางวัลสูงสุดถึง 200,000 ดอลลาร์ อย่างไรก็ดีโครงการนี้ไม่เปิดให้คนทั่วไป แต่ต้องเป็นนักวิจัยที่แอปเปิลเชิญเข้ามาเท่านั้น

การจัดหมวดหมู่ช่องโหว่แต่ละระดับรางวัลต่างกันไป ได้แก่

กูเกิลตีพิมพ์รายงานวิจัยร่วมกับมหาวิทยาลัยนิวยอร์ค รายงานการศึกษาวงการการรับติดตั้งซอฟต์แวร์ โดยเครือข่ายโฆษณาที่จ่ายเงินเพื่อให้ติดตั้งซอฟต์แวร์บนเครื่องผู้ใช้ ตั้งแต่ 0.1 ถึง 1.5 ดอลลาร์ต่อการติดตั้งแต่ละครั้ง นำไปสู่การติดตั้งซอฟต์แวร์ที่ผู้ใช้ไม่ต้องการ

วงการเหล่านี้มักอาศัยการบัลเดิลซอฟต์แวร์ไปกับตัวติดตั้งที่ได้รับความนิยม โดยสร้างตัวเลือกที่หลอกล่อผู้ใช้ เช่น ระบบว่าเป็น "Express Install" แล้วติดตั้งซอฟต์แวร์อื่นๆ ด้วยทันที

รายงานพบว่าซอฟต์แวร์ห้ากลุ่มหลักที่มักใช้บริการการรับติดตั้งเช่นนี้ ได้แก่

เฟซบุ๊กประกาศมาตรการเพิ่มเติมในการลดการแสดงเว็บ clickbait บน timeline โดยอาศัยการวิเคราะห์หัวข่าว ระบบของเฟซบุ๊กวิเคราะห์ว่าหัวข่าวมีแนวทางปิดบังข้อมูลที่ควรบอกให้คนอ่านได้รับรู้ หรือหัวข่าวชี้นำให้เข้าใจผิด

กระบวนการจับหัวข่าวแบบนี้เป็นรูปแบบเดียวกับการจับสแปมในอีเมลที่มักจับรูปแบบของประโยคที่คล้ายๆ กัน

จากนั้นเฟซบุ๊กจะหาเว็บต้นทางและเพจที่โพสหัวข้อมีแนวโน้ม clickbait เช่นนี้บ่อยๆ และเมื่อข้อมูลมากพอ เว็บเหล่านั้นจะถูกลงโทษด้วยการแสดงผลในพื้นที่ด้านล่าง timeline ลงไปทำให้คนเห็นได้น้อยลง ระบบนี้จะปรับตัวไปเรื่อยๆ หากเว็บหรือเพจหยุดโพสหัวข่าวที่ตรงเงื่อนไขของเฟซบุ๊กค่าจะกลับมาเป็นปกติอีกครั้ง

ไม่แน่ใจว่าระบบนี้อ่านภาษาไทยได้ไหม เสี่ยงกันเองครับ

เกมแพลตฟอร์ม 16 บิตคลาสสิคของดิสนีย์ อย่าง Aladdin (1993), The Lion King (1994), และ The Jungle Book (1994) ถูกนำกลับมาขายแบบถูกลิขสิทธิ์แล้วผ่านหน้าร้านเกมเก่า GOG.com

ทั้งสามเกมเล่นได้บนวินโดวส์, แมค, และลินุกซ์ และรองรับการใช้คอนโทรลเลอร์ ตัวเกมมาพร้อมกับภาพโปสเตอร์ 16 บิต

ราคาเต็ม 9.99 ดอลลาร์ต่อเกม ช่วงแนะนำเหลือ 8.99 ดอลลาร์ต่อเกม ซื้อยกชุดเหลือ 19.98 ดอลลาร์

ที่มา - GOG.com: Aladdin, The Lion King, The Jungle Book

ที่งาน Blackhat USA 2016 นักวิจัย Elie Bursztein ทดสอบแนวคิดการวางไดร์ฟ USB ทิ้งไว้ทั่วมหาวิทยาลัยอิลลินอยส์ถึง 297 ชิ้น โดยเนื้อหาในไฟล์เป็นไฟล์ HTML ที่เรียกกลับไปยังเซิร์ฟเวอร์เมื่อเปิดขึ้นมา

Bursztein รายงานว่าไดร์ฟถูกเก็บไปทั้งหมด 290 ชิ้น และถูกเปิดไฟล์จนกระทั่งมีการรายงานกลับเซิร์ฟเวอร์สำเร็จ 135 ชิ้น คิดเป็น 45% เขาทำแบบสอบถามให้ผู้ที่พบไดร์ฟตอบว่าทำไมจึงเปิดดู 68% ระบุว่าพยายามส่งคืนเจ้าของ 18% ระบุว่าเพราะความสงสัย

บริการ Google Compute Engine เข้ารหัสข้อมูลบนดิสก์ตลอดเวลา แต่ข้อมูลปกติจะใช้กุญแจเข้ารหัสของกูเกิลเองที่ผู้ใช้ไม่มีสิทธิ์ควบคุมอะไร ตอนนี้กูเกิลเปิดบริการ Customer-Supplied Encryption Keys (CSEK) เปิดให้ผู้ใช้เข้ารหัสดิสก์บนคลาวด์ด้วยกุญแจที่สร้างเองได้

ข้อจำกัดเพิ่มขึ้น คือการสร้างเครื่องใหม่ที่ใช้อิมเมจที่เจ้ารหัส จะต้องส่งกุญแจไปยังกูเกิลทุกครั้ง และผู้ใช้ต้องระวังในการจัดการกุญแจด้วยตัวเอง กูเกิลแนะนำให้เก็บกุญแจบนเครื่องที่เข้ารหัสดิสก์เสมอ

ลูกค้าที่ใช้งานบริการนี้ได้ยังจำกัดอยู่ไม่กี่ประเทศเท่านั้น เช่น สหรัฐฯ, อังกฤษ, ไต้หวัน, ญี่ปุ่น, เยอรมัน กูเกิลระบุว่าหากใครต้องการใช้งานสามารถส่งเรื่องเข้าไปขอได้ และกูเกิลจะพิจารณาเปิดเพิ่มเติมจากคำร้องเหล่านี้

Evan Klitzke จาก Uber เขียนบล็อกเล่าถึงสถาปัตยกรรมภายในของ Uber ที่แต่เดิมพัฒนาระบบหลังบ้านด้วย Python และ PostgreSQL ทั้งระบบ แต่ระบบใหม่ๆ กลับหันไปใช้ Schemaless บน MySQL แทน

สำนักงานกำกับการโทรคมนาคมอินเดีย (Telecom Regulatory Authority of India - TRAI) เผยแพร่รายงานสอบทานการสนับสนุนการเข้าถึงบริการธนาคาร เลียนแบบหลายชาติที่ประสบความสำเร็จในการให้บริการธนาคารผ่านโทรศัพท์มือถือ เช่น M-Pesa ของเคนยา, G-Cash ของฟิลิปปินส์ แต่หลังจากเปิดระบบมาเกือบสองปี สถิติเดือนพฤษภาคมที่ผ่านมา กลับมี "ความพยายามใช้งาน" เพียง 3.7 ล้านครั้ง เท่านั้นทั้งที่อินเดียมีผู้ใช้โทรศัพท์มือถือถึงพันล้านคน และมีผู้ใช้ในพื้นที่ห่างไกลถึง 450 ล้านคน

Lorrie Cranor หัวหน้าฝ่ายเทคโนโลยีของคณะกรรมการการค้าสหรัฐฯ (Federal Trade Commission - FTC) ขึ้นพูดในงาน PasswordCon ระบุถึงความเปลี่ยนแปลงด้านนโยบายของ FTC ที่เคยทวีตแนะนำผู้ใช้ให้เปลี่ยนรหัสผ่านบ่อยๆ เมื่อเธอเห็นทวีตนี้จึงไปพูดคุยกับหัวหน้าฝ่ายความปลอดภัยสารสนเทศ และหัวหน้าฝ่ายสารสนเทศ ระบุว่าผู้เชี่ยวชาญในช่วงหลังๆ ไม่แนะนำให้เปลี่ยนรหัสผ่านกันบ่อยๆ นัก

Backblaze ออกรายงานความน่าเชื่อถือฮาร์ดดิสก์ประจำไตรมาสอยู่เป็นประจำ ตอนนี้รายงานไตรมาสสองของปี 2016 ก็ออกมาแล้ว ความเปลี่ยนแปลงสำคัญคือมีรายงานฮาร์ดิสก์ขนาด 8TB จาก HGST และ Seagate เพิ่มเข้ามาแล้ว

ฮาร์ดดิสก์ขนาด 8TB ของ HGST มีจำนวนเพียง 45 ลูกเท่านั้น และจนตอนนี้ยังไม่มีลูกใดเสียหาย แต่ Backblaze ระบุว่าราคาไม่คุ้มสำหรับการใช้งานปริมาณมากๆ จึงไม่มีการติดตั้งเพิ่มเติม แต่ Seagate 8TB นั้นราคาสมเหตุสมผลกว่า จึงติดตั้งเพิ่มถึง 2,720 ลูก ระยะเวลาใช้งานรวม 35,840 วัน (เฉลี่ยเพียงลูกละสิบกว่าวันเท่านั้น) ตอนนี้เสียหายไปแล้ว 3 ลูก ทำให้เฉลี่ยอัตราการเสียหายต่อปีได้ 3.06%

Bitfinex ตลาดแลกเปลี่ยนเงินบิตคอยน์จากฮ่องกงประกาศหยุดการซื้อขายหลังถูกแฮก โดยคนร้ายได้เงินไปทั้งสิ้น 119,756 BTC หรือประมาณ 2,276 ล้านบาท

ทาง Bitfinex ระบุว่ากำลังอยู่ระหว่างการหาต้นตอของการแฮกครั้งนี้ และกำลังร่วมมือกับเจ้าหน้าที่ ผลกระทบระหว่างนี้ทำให้ราคาบิตคอยน์ตกลงอย่างรวดเร็ว จาก BTC ละ 23,000 บาทเหลือไม่ถึง 19,000 บาทในตอนนี้

กลุ่มแฮกเกอร์จากอิหร่านเปิดเผยรายการหมายเลขโทรศัพท์ที่ใช้บริการ Telegram กว่า 15 ล้านเลขหมาย จาก API ของ Telegram เอง ทางด้าน Telegram ออกมาระบุว่าได้จำกัดการเข้าถึง API ตั้งแต่ต้นปีที่ผ่านมา และการตรวจสอบหมายเลขจำนวนมากๆ แบบนี้จะทำไม่ได้อีกแล้ว

แฮกเกอร์กลุ่มเดียวกันยังระบุว่าสามารถเข้าถึงบัญชีผู้ใช้นับสิบบัญชีได้สำเร็จ ทาง Telegram ออกมาระบุว่าการแฮกบัญชีผ่านการดักฟัง SMS เป็นปัญหาที่รู้มาก่อนหน้านี้แล้ว และทาง Telegram พยายามเตือนผู้ใช้ให้เปิดบริการยืนยันตัวตนสองขั้นตอน (สร้างรหัสผ่านเพิ่มนอกเหนือจากการยืนยันตัวตนด้วย SMS)

ซัมซุงปล่อย JerryScript เอนจินจาวาสคริปต์สำหรับรันบนไมโครคอนโทรลเลอร์ ออกมาเงียบๆ ตั้งแต่วันก่อน โดยซัมซุงมีกำหนดการบรรยายหัวข้อ "JerryScript: An Ultra-lightweight JavaScript Engine for the Internet of Things" ที่งาน Embedded Linux Conference & IoT summit 2016 เดือนตุลาคมนี้ที่เบอร์ลิน

JerryScript เป็นเอนจินจาวาสคริปต์ตามมาตรฐาน ECMAScript 5.1 เต็มรูปแบบ แต่มีขนาดไบนารีเพียง 160KB และใช้แรมขณะรันน้อยกว่า 64KB และแม้ว่าจะออกแบบมาเพื่อรันบนไมโครคอนโทรลเลอร์ แต่มันก็สามารถรันบนลินุกซ์ได้โดยไม่มีปัญหา

ตัวคอมไพลเลอร์เขียนด้วย C99 เต็มรูปแบบเพื่อให้พอร์ตไปยังชิปต่างๆ ได้ง่าย และยังรองรับการคอมไพล์จาวาสคริปต์ไว้ล่วงหน้า

เทคโนโลยีคอมพิวเตอร์ควอนตัมมีพัฒนาการอย่างต่อเนื่องในช่วงไม่กี่ปีที่ผ่านมา แม้ว่าจะยังไม่มีแนวโน้มว่าคอมพิวเตอร์เหล่านี้จะสามารถเจาะกระบวนการเข้ารหัสลับที่ใช้กันทุกวันนี้ได้ภายในเร็ววันก็ตาม แต่ NIST ก็เริ่มกระบวนการกำหนดมาตรฐานการเข้ารหัสลับหลังเข้าสู่ยุคคอมพิวเตอร์ควอนตัมแล้ว

NIST ระบุว่าการคาดการณ์ว่าคอมพิวเตอร์ควอนตัมระดับที่ใช้เจาะการเข้ารหัสลับที่เราใช้งานกันทุกวันนี้ น่าจะใช้เวลาประมาณ 20 ปี อย่างไรก็ดี กระบวนการเข้ารหัสที่เราใช้กันทุกวันนี้ก็ใช้เวลาในการพัฒนาโครงสร้างกันประมาณ 20 ปีเช่นกัน ทำให้กระบวนการวางมาตรฐานควรเริ่มโดยเร็ว

HSTS เป็นมาตรฐานการล็อกให้เบราว์เซอร์เข้าเว็บผ่าน HTTPS เท่านั้น โดยเปิดให้เว็บไซต์ประกาศตัวเองว่าต้องเข้าผ่าน HTTPS เท่านั้น หรือจะส่งรายชื่อให้ติดไปกับตัวติดตั้งเบราว์เซอร์ก็ได้ (เรียกว่า HSTS Preload) ตอนนี้เว็บขนาดใหญ่อย่างกูเกิลก็เริ่มเปิด HSTS บนเว็บหลัก www.google.com แล้ว

กูเกิลเป็นผู้ให้บริการแรกๆ ที่บังคับ HTTPS บนบริการที่มีความปลอดภัยสูง เช่น Gmail ที่ไม่เพียงแต่บังคับเข้าเว็บด้วย HTTPS เท่านั้นแต่ยังล็อกผู้ให้บริการรับรองตัวตน (CA) ไว้ด้วย ทำให้เมื่อ DigiNotar ถูกแฮก ผู้ใช้ก็รู้ตัวได้โดยง่ายเพราะ Chrome แจ้งเตือน แต่สำหรับเว็บหลักอย่าง www.google.com กลับยังไม่บังคับเข้าผ่าน HTTPS แต่อย่างใด