Blognone - Development

อินเทลเปิดตัว Beacon Mountain ชุดเครื่องมือสำหรับแอนดรอยด์

lew — Sat, 18 May 2013 18:27:49 +0000

ความพยายามของอินเทลที่จะดึงนักพัฒนามาพัฒนาบนแอนดรอยด์ให้รองรับ x86 มีมานาน แต่ตอนนี้อินเทลออกเครื่องมือสำหรับการพัฒนาบนแอนดรอยด์เพื่อให้นักพัฒนาสามารถเข้าถึงพลังประมวลผลได้ดีขึ้นไม่ว่าจะพัฒนาสำหรับ ARM หรือ x86 ในชื่อ Beacon Mountain

Beacon Mountain จะรวมเอาชุดซอฟต์แวร์ของอินเทลเช่น

Hardware Accelerated Execution Manager: ชุดรันอีมูเลเตอร์บน virtualization ทำให้การรันทำได้เร็วกว่าอีมูเลเตอร์ปกติมาก
Integrated Performance Primitives: ไลบรารีพื้นฐานทางคณิตศาสตร์ที่ใช้คำสั่งบนซีพียูใหม่ๆ มาช่วยเร่งความเร็ว
Graphics and System Performance Analyzers: ตัววิเคราะห์ประสิทธิภาพโปรแกรม
Threaded Building Blocks: ชุดพัฒนาซอฟต์แวร์ให้รองรับหลายคอร์ของอินเทล
ชุดซอฟต์แวร์เหล่านี้หลายตัวเป็นสินค้าเสียเงินของอินเทลมาก่อนสำหรับการรันบนพีซี แต่การมาใช้ Beacon Mountain จะใช้งานได้ฟรี โดยตัว Beacon Mountain นั้นจะมาเป็นชุดรวมเอาชุดพัฒนาของแอนดรอยด์มาในตัว

เป้าหมายของอินเทลคงตรงไปตรงมาว่าอยากให้นักพัฒนา โดยเฉพาะกลุ่มนักพัฒนาเกมที่พัฒนาด้วย NDK หันมาพัฒนาเพื่อรองรับ x86 ให้มากขึ้น แทนที่จะพัฒนาสำหรับ ARM แล้วมารันบน x86 ผ่านทางตัวแปลงซึ่งอาจจะมีปัญหาทั้งประสิทธิภาพและความเข้ากันได้ การตอบแทนนักพัฒนาที่มาพัฒนาเพื่อ x86 ก็เป็นการได้เข้าใช้งานเครื่องมือของอินเทล

ที่มา - Intel Software, Hot Hardware

Intel,Android, Development, Mobile

[Google I/O] Adobe เปิดตัว Toolkit for Dart ย้ายโครงการแฟลชมารันบนเบราว์เซอร์

lew — Wed, 15 May 2013 21:00:54 +0000

Adobe นั้นเริ่มถอนตัวจากความพยายามผลักดันแฟลชบนเบราว์เซอร์มาได้พักใหญ่ๆ แนวทางใหม่ของแฟลชคือการเป็นเครื่องมือสร้างภาพเคลื่อนไหวบน HTML5 แทน และวันนี้ Adobe ก็เปิดชุดเครื่องมือสำหรับพัฒนาภาพเคลื่อนไหวด้วย Dart ในชื่อ Toolkit for Dart

ชุดเครื่องมือจะรองรับการย้ายภาพเคลื่อนไหวพื้นฐานของแฟลชมาเป็นไฟล์ HTML5 และ Dart แต่ส่วน ActionScript นั้นจะต้องเขียนใหม่เป็น Dart ด้วยตัวเอง ความได้เปรียบคือ Dart นั้นใกล้เคียงกับ ActionScript กว่า Javascript พอสมควร การฝึกฝนของนักพัฒนาจึงน่าจะสะดวกกว่า และ Dart เองก็คอมไพล์เป็น Javascript ได้อีกที

โครงการนี้สร้างมาจากฐานของโครงการ StageXL for Dart และทาง Adobe จะปล่อยโครงการนี้ออกมาเป็นโอเพนซอร์สหลังการเปิดตัว Flash Professional CC ในวันที่ 17 มิถุนายนที่จะถึงนี้

ที่มา - Dart News & Updates

Adobe, Dart, Google, HTML5, Google I/O, Development, Browser

[Google I/O] API ใหม่บนแอนดรอยด์ พร้อม IDE ตัวใหม่ Android Studio

lew — Wed, 15 May 2013 20:18:12 +0000

กูเกิลประกาศเปิดตัว API ใหม่บนแอนดรอยด์ที่ไม่ได้เป็นฟีเจอร์ของแอนดรอยด์รุ่นใหม่อีกต่อไป แต่จะถูกอัพเดตผ่าน Google Play ลงไปบนแอนดรอยด์ตั้งแต่รุ่น 2.2 ขึ้นไปแทน ฟีเจอร์ต่างๆ ได้แก่

- Fused Location Provider: ตัวแจ้งตำแหน่งใหม่ หาตำแหน่งได้เร็วขึ้น แม่นขึ้นโดยกินแบตเตอรี่น้อยกว่า 1% ต่อชั่วโมง
- Geofencing: กำหนดให้แอพพลิเคชั่นถูกเรียกเมื่อผู้ใช้เข้าไปยังเขตที่กำหนด
- Activity Recognition: บอกได้ว่าผู้ใช้กำลังเดิน, นั่งรถ, หรือขี่จักรยานอยู่
- Google Cloud Messaging: รุ่นใหม่สามารถสร้างการเชื่อมต่อกับเซิร์ฟเวอร์ของกูเกิลได้ต่อเนื่อง (persistent connection) ทำให้ไม่ต้องเชื่อมต่อใหม่ทุกครั้งที่จะส่งข้อความ, ซิงก์การแจ้งเตือนข้ามอุปกรณ์ เมื่ออ่านข้อความจากอุปกรณ์ตัวหนึ่ง ชิ้นอื่นๆ จะยกเลิกการแจ้งเตือน, และสามารถรับข้อความจากอุปกรณ์ปลายทางกลับเข้ามาได้
- Google Play Game Service: จะรองรับการเซฟเกมบนเซิร์ฟเวอร์กูเกิล สามารถเซฟข้ามเครื่อง, มี API สำหรับประกาศความสำเร็จในเกม (Achievements), จัดลำดับคะแนนระหว่างหมู่เพื่อนใน Google+ (Leaderboard), และ Multiplayer ช่วยจัดการการสื่อสาร และการชวนเพื่อนเข้าร่วมเกมเดียวกัน

นอกจากตัว API ใหม่แล้ว แอนดรอยด์จะยังมี IDE ใหม่ในชื่อว่า Android Studio ที่เปลี่ยนฐานจาก Eclipse เป็น IntelliJ IDEA กูเกิลระบุว่ามันทำงานได้เร็วขึ้น มีฟีเจอร์ใหม่ๆ เช่นการพรีวิวรูปภาพและข้อความที่เราอ้างอิงจากไฟล์อื่นๆ และเครื่องมือตรวจสอบโค้ด

ฟีเจอร์สำคัญของ Android Studio คือเครื่องมือออกแบบหน้าจอใหม่ที่ให้เราเห็นภาพรวมว่าหน้าจอของแอพพลิเคชั่นของเราจะเป็นยังไงบนอุปกรณ์แบบต่างๆ โดยที่สามารถเห็นผลได้ทันทีที่แก้ไฟล์ XML

ตัว Android Studio มีให้ดาวน์โหลดแล้ว กูเกิลเตือนว่ามันยังเป็นรุ่นพรีวิวเท่านั้น และฟีเจอร์หลายๆ อย่างอาจจะยังไม่เสร็จสมบูรณ์

ที่มา - ArsTechnica

Android, Development, Google, IDE, Programming, Google I/O

โนเกียจัดประกวดแอพสำหรับ Asha ชิงรางวัลในไทย-ระดับโลก

mk — Tue, 14 May 2013 05:21:46 +0000

โนเกียจัดประกวดแอพสำหรับสมาร์ทโฟนตระกูล Asha ชิงรางวัลระดับโลกรวม 230,000 ยูโร (เกือบ 9 ล้านบาท)

ผู้สร้างแอพเลือกได้ว่าจะพัฒนาแอพสำหรับมือถือตระกูล Asha Full Touch (S40 ทั้งหมด) หรือ Asha 501 (Asha Platform) และเลือกได้อีกว่าจะใช้ Java หรือเว็บแอพเป็นเครื่องมือพัฒนา

ผู้เข้าแข่งขันต้องส่งแอพขึ้น Nokia Store ภายในวันที่ 2 สิงหาคม 2013 โดยรางวัลแยกเป็น 4 หมวดได้แก่ เพลง-บันเทิง, ข่าวสาร, เกม, อรรถประโยชน์และการทำงาน รางวัลสูงสุดในแต่ละหมวดคือเงิน 25,000 ยูโร (เกือบ 1 ล้านบาท) รายละเอียดดูได้จาก Asha Developer Competition

สำหรับนักพัฒนาในประเทศไทย โนเกียไทยยังแยกรางวัลระดับประเทศไทยอีก 20 รางวัล รวมมูลค่า 250,000 บาท และจัดอบรมนักพัฒนาร่วมกับ Software Park ด้วย

ที่มา - อีเมลประชาสัมพันธ์โนเกียประเทศไทย

Nokia, Asha, Competition, Development, Mobile, S40, Thailand

Paypal เปิดตัว Android SDK สำหรับจ่ายเงินในแอพ

lew — Tue, 14 May 2013 02:38:16 +0000

Paypal เปิดตัว Android SDK สำหรับการรับจ่ายเงินในแอพพลิเคชั่น โดยผู้ใช้จะสามารถจ่ายได้ทั้งบัญชี Paypal และบัตรเครดิต ส่วน iOS นั้นมี SDK แบบเดียวกันมาตั้งแต่ช่วงเดือนมีนาคมที่ผ่านมา

ตัว SDK รองรับตั้งแต่ Android 2.2 ขึ้นไป เรื่องน่าสงสัยคือในระยะยาว เจ้าของแพลตฟอร์มอย่างแอปเปิลและกูเกิลจะมีท่าทีอย่างไรกับการจ่ายเงินแบบนี้

ที่มา - Paypal

Paypal, Android, Development

กูเกิลออก Content Recommendations แนะนำเนื้อหาที่เกี่ยวข้องสำหรับเว็บมือถือ

mk — Mon, 13 May 2013 15:09:33 +0000

กูเกิลเปิดตัวฟีเจอร์ใหม่ของแพลตฟอร์ม Google+ ชื่อ Content Recommendations for Mobile Site

อธิบายง่ายๆ มันเหมือนปลั๊กอินประเภท What's Related หรือ Related Content ที่ใช้กับ CMS สำหรับทำเว็บ เพียงแต่กรณีนี้จะเน้นไปที่ mobile site โดยปลั๊กอินของกูเกิลจะนำข้อมูลของผู้ใช้บน Google+ มาช่วยแนะนำบทความที่น่าจะเกี่ยวข้องให้ (เช่น เพื่อนของผู้ใช้คนนั้นแชร์หรือกด +1 บทความใดๆ บทความนั้นก็มีโอกาสสูงขึ้นที่จะถูกแนะนำ)

เจ้าของเว็บที่สนใจใช้ปลั๊กอินตัวนี้ก็แค่เพิ่มโค้ด JavaScript ลงไปอีกหนึ่งบรรทัด จากนั้นก็เปิด-ปิดการทำงานได้จากหน้า Google+ ของตัวเอง ส่วนฝั่งผู้เข้าชมเว็บที่เป็น mobile site ก็แค่เลื่อนหน้าจอขึ้น (หลังจากเลื่อนลง) ก็จะเห็น widget แนะนำเนื้อหาของกูเกิลโผล่ขึ้นมาครับ (ดูคลิปประกอบ)

ที่มา - Google+ Developers Blog

Google+, Google, Social Network, Development

กูเกิลเปิดระบบ Push Notification ให้ Chrome/Chrome OS

mk — Sat, 11 May 2013 02:36:49 +0000

กูเกิลโชว์ฟีเจอร์ push notification สำหรับ Chrome รุ่นพรีวิวมาสักระยะแล้ว แต่วันนี้ก็เปิดตัว Google Cloud Messaging for Chrome อย่างเป็นทางการ

หลักการทำงานของมันเหมือน push notification ของ Android (ที่ใช้ชื่อว่า Google Cloud Messaging for Android) นั่นคือนักพัฒนาแอพต้องส่งข้อมูลจากเซิร์ฟเวอร์ของตัวเองมายังเซิร์ฟเวอร์ GCM ของกูเกิลผ่าน API เพื่อให้กูเกิลส่ง notification ไปยังปลายทางอีกทีหนึ่ง

ฝั่งของผู้ใช้งานก็จำเป็นต้องล็อกอินเข้ากับ Chrome ด้วย ไม่อย่างนั้นจะไม่สามารถใช้งาน push notification ได้

ที่มา - Google Developers

Chrome, Chrome OS, Google, Development

กูเกิลเพิ่มปุ่ม Save to Google Drive สำหรับบันทึกไฟล์จากหน้าเว็บ

mk — Fri, 10 May 2013 01:55:00 +0000

กูเกิลเพิ่ม API ให้เจ้าของเว็บไซต์สามารถแปะปุ่ม "Save to Drive" บันทึกไฟล์ที่อยู่บนอินเทอร์เน็ตไปยัง Google Drive ของผู้ใช้โดยตรง

วิธีการแปะไม่มีอะไรซับซ้อน เจ้าของเว็บไซต์ต้องฝังสคริปต์ JavaScript ไฟล์เดียวกับปุ่ม Google+ ก่อน จากนั้นแทรกแท็ก div ตามที่กูเกิลกำหนดเท่านั้น

<script src="https://apis.google.com/js/plusone.js"></script>
<div class="g-savetodrive"
 data-filename="My Statement.pdf"
 data-sitename="My Company Name"
 data-src="/path/to/myfile.pdf">
</div>

ที่มา - Google Developers Blog

Google Drive, Cloud Storage, Development, Google,

Firefox OS Simulator 3.0 ออกรุ่นจริงแล้ว

mk — Fri, 03 May 2013 01:33:25 +0000

Firefox OS Simulator 3.0 ออกรุ่นพรีวิวเมื่อเดือนมีนาคมที่ผ่านมา ตอนนี้เปลี่ยนสถานะเป็นรุ่นจริงพร้อมให้ดาวน์โหลดผ่าน Firefox Add-ons แล้ว

ของใหม่ที่เพิ่มจากรุ่นพรีวิวได้แก่

เปลี่ยนมาใช้ Firefox OS เวอร์ชันใหม่
ช็อตคัตบนคีย์บอร์ดสำหรับติดตั้งหรือลบแอพ เพื่อให้นักพัฒนาทดสอบแอพได้สะดวกขึ้น
ลดขนาดของตัว Simulator ลง (เหลือประมาณ 48MB)
เริ่มต้นโปรแกรมรวดเร็วขึ้น
แก้บั๊กทั่วไป เสถียรขึ้น
รองรับการปิดโปรแกรมตามปุ่มลัดของระบบปฏิบัติการ (เช่น Alt+F4, Cmd+Q, Ctrl+Q)

ที่มา - Mozilla Hacks

Firefox OS, Mozilla, Development

Facebook ซื้อบริษัททำเครื่องมือพัฒนาแอพ Parse

mk — Fri, 26 Apr 2013 00:32:24 +0000

Facebook ประกาศเข้าซื้อกิจการบริษัททำเครื่องมือพัฒนาแอพมือถือ Parse โดยไม่เปิดเผยมูลค่า

ชุดเครื่องมือของ Parse จะช่วยนักพัฒนาแอพในงานด้าน back-end เช่น การเก็บข้อมูลหรือรันโค้ดบนกลุ่มเมฆ, ระบบแจ้งเตือนแบบพุช, ฟีเจอร์ด้านโซเชียลและการล็อกอิน โดยทั้งหมดนักพัฒนาใช้วิธีเช่าบริการของ Parse และไม่ต้องลงทุนทำเซิร์ฟเวอร์เอง

Parse ยืนยันว่าแอพเดิมทั้งหมดยังใช้งานได้ตามปกติ และลูกค้าจะไม่ถูกบังคับให้ใช้ระบบของ Facebook อย่างแน่นอน

ส่วน Facebook ระบุว่าซื้อ Parse เพื่อผนวกเป็นส่วนหนึ่งของ Facebook Platform เพื่ออำนวยความสะดวกกับนักพัฒนาให้เชื่อมต่อกับ Facebook ได้ง่ายขึ้นนั่นเอง

ที่มา - Facebook Developers, Parse Blog

Acquisition, Development, Facebook, Mobile App

Facebook เริ่มทดสอบเก็บรูปด้วย WebP

mk — Tue, 23 Apr 2013 00:46:13 +0000

WebP เป็นฟอร์แมตของไฟล์รูปภาพที่กูเกิลพัฒนาขึ้นเพื่อใช้แทน JPEG ด้วยเหตุผลว่าขนาดไฟล์เล็กกว่าในคุณภาพใกล้เคียงกัน ซึ่งจะส่งผลมากต่อต้นทุนค่าเซิร์ฟเวอร์สำหรับผู้ให้บริการรายใหญ่ระดับกูเกิล

ถึงแม้ช่วงแรกๆ เราแทบไม่เห็นข่าวบริษัทอื่นใช้ WebP ตามกูเกิลเลย แต่ล่าสุดมีคนไปค้นพบว่า Facebook เองก็เริ่มทดสอบการเก็บไฟล์เป็น WebP บ้างแล้ว โดยไฟล์รูปภาพที่อัพโหลดขึ้นไปจะถูกแปลงเป็น WebP และให้บริการเฉพาะลูกค้าที่ใช้ Chrome หรือ Opera ที่รองรับ WebP แล้วเท่านั้น

Facebook ยังไม่แถลงข้อมูลใดๆ ในเรื่องนี้ แต่แรงจูงใจก็น่าจะชัดเจนว่าต้องการประหยัดค่าใช้จ่ายเหมือนกูเกิล

อย่างไรก็ตาม การเก็บไฟล์เป็น WebP ยังมีปัญหาอยู่บ้าง เพราะผู้ใช้ที่ดาวน์โหลดไฟล์บน Facebook กลับไปพบว่าไม่สามารถเปิดไฟล์ WebP ได้ (เนื่องจากโปรแกรมดูภาพยังไม่ค่อยรองรับมากนัก)

ที่มา - CNET

WebP, Facebook, Development

[App.th] ดูเว็บเต็มหน้าจอ พร้อมทดสอบ WebView ด้วย Clear Browser บน iOS

flyingcomma — Mon, 22 Apr 2013 04:01:52 +0000

Clear Browser เป็น iOS Browser ที่ถูกออกแบบมาเพื่อให้สามารถท่องอินเทอร์เน็ตและทดสอบเว็บไซต์ได้อย่างสวยงามในรูปแบบเต็มหน้าจอ โดย default ด้วยการออกแบบการใช้งานที่ไม่เกะกะสายตา สร้างมาเพื่อเน้นภาพมากกว่าข้อความ และขนาดกับความไวเหมาะกับการใช้เปิดเว็บไซต์อย่างรวดเร็ว

นอกจากนี้ Clear Browser ยังเหมาะกับนักพัฒนา ด้วยฟังก์ชันการตั้งค่า UIWebView เหมาะสำหรับการทดสอบเว็บไซต์ เว็บแอ็พ หรือการทำแอพพลิเคชันที่ใช้เทคโนโลยีเว็บเข้ามาช่วย

ฟังดูแล้วอาจจะดูเป็นแอพที่ไม่มีอะไร แต่ผลตอบรับจากเว็บรีวิวและผู้ใช้เราค่อนข้างดี เลยอยากให้ลองโหลดฟรีไปลอง ว่าการท่องเว็บด้วยแอพที่ถูกออกแบบมาให้เปิดเว็บแบบเต็มหน้าจอ จริงๆนั้นรู้สึกดีกว่าจริงหรือไม่

ฟังก์ชันเด่นๆของ Clear Browser:

หน้าจอ History และ Bookmarks ที่เน้นรูปภาพมากกว่า page title
การออกแบบการใช้งานสวยงาม ไม่เกะกะการชมเว็บไซต์
Settings ที่เหมาะสำหรับในการใช้ทดสอบ UIWebView บน iOS
Search หรือใส่ URL ได้จากที่เดียวกัน (เหมือน Google Omnibar)
Gestures สำหรับ back, forward (เลื่อนจากขอบจอขวาไปซ้าย หรือซ้ายไปขวา)
Refresh ได้ด้วยการลากจากด้านบน (เหมือนเวลาใช้ Facebook)
Tab browsing (ยังไม่สมบูรณ์)

Clear Browser ไม่ได้ถูกสร้างมาเพื่อทดแทน Safari หรือ Chrome แต่อยากให้ลองใช้เพื่อเป็นทางเลือกเวลาอยากเข้าเว็บอะไรเร็วๆ หรือต้องการทดสอบหน้าเว็บต่างๆดูครับ

Clear Browser ในตอนแรกนั้นเป็นเพียงเครื่องมือที่เราทำขึ้นมาเพื่อทดสอบการใช้เว็บในการทำแอพพลิเคชันมือถือของทางทีมงาน แต่เราใช้ไปใช้มากลายเป็นว่าเราเริ่มเข้าเบราว์เซอร์ตัวนี้มากกว่าพวก Chrome, Safari ด้วยซ้ำ เลยลองออกแบบรูปแบบหน้าตาและการใช้งานเพิ่มเติมและลองปล่อยขึ้น App Store ดูซะเลย

แอพพลิเคชัน Clear Browser นี้ถูกปล่อยออกมาสักพักแล้วและได้รับผลตอบรับจากเว็บรีวิวต่างประเทศค่อนข้างดี เช่น

App Advice App of the Week
iPad Club Netherlands
หรือดูจากการ tweet ใน twitter search ก็ได้เช่นกันครับ
วิดีโอที่เราได้รับการรีวิวจากเว็บต่างประเทศ:

ล่าสุดเราเพิ่งมีเวลามาจับแอพตัวนี้ใหม่ เลยเพิ่ม Gestures และ Tab Browsing ซึ่งยังไม่ค่อยสมบูรณ์เอาซะเลยแต่เราอยากลองดูเสียงตอบรับเพื่อที่จะนำมาใช้ประโยชน์ในการพัฒนาต่อไปครับ

Clear Browser นั้นสามารถดาวน์โหลดได้ฟรี แต่หากติดใจ เรามี in-app purchase เพื่อปลดล็อกเวอร์ชันเต็ม (Developer Settings และ Unlimited History & Bookmarks) อยู่ที่ $1.99 เป็นค่าสนับสนุนในการใช้ครับ

สามารถดาวน์โหลด Clear Browser ได้จาก App Store ที่:

Contact:
เว็บไซต์ Clear Browser: http://aliceturtle.com/clear-browser/
และสามารถส่งคำถามหรือข้อติชมได้ที่คอมเม้นท์หรืออีเมล hello@aliceturtle.com หรือ contact@flyingcomma.com ได้เลยครับ

ขอบคุณทุกคนที่สนับสนุนครับ

(ป.ล. หากใครสนใจอยากทำแอพพลิเคชัน iPhone, Android, หรือ เว็บ ตอนนี้เรากำลังรับสมัครโปรแกรมเมอร์เช่นกันครับ )

App.th, Browser, Development, iOS, Mobile App

Script Injection/SQL Injection ความปลอดภัยพื้นฐานสำหรับเว็บ

lew — Mon, 08 Apr 2013 15:08:22 +0000

แม้ปัญหาความปลอดภัยจะเริ่มต้นในยุคแรกๆ ในโลกด้วยปัญหา buffer overflow แต่เมื่อโลกเข้าสู่ยุคของเว็บ และโดยเฉพาะเมื่อเว็บเริ่มไม่ใช่ไฟล์ html เปล่าๆ แต่เป็นเว็บที่สามารถปรับตามผู้ใช้งานได้ เริ่มจากยุคของ CGI ที่เป็นโปรแกรมภาษาต่างๆ เรื่อยมาถึงเว็บเซิร์ฟเวอร์แบบอื่นไม่ว่าจะเป็น J2EE หรือระบบ fastcgi ปัญหาความปลอดภัยของเว็บก็กลายเป็นปัญหาใหญ่ที่โลกเจอกันเรื่อยมาจนทุกวันนี้

ปัญหา script injection หรือการใส่สคริปต์เข้ามาในเซิร์ฟเวอร์นั้นเป็นการโจมตีที่ตรงตัวกับชื่อของมัน เมื่อเซิร์ฟเวอร์เปิดให้อัพโหลดไฟล์เข้าไปยังเซิร์ฟเวอร์ ไม่ว่าจะเป็นการอัพโหลดภาพ หรือการอัพโหลดไฟล์อื่นๆ ในเว็บเซิร์ฟเวอร์ที่รันไฟล์ภาษาสคริปต์นั้น โดยทั่วไปแล้วจะถูกคอนฟิกให้รันทุกไฟล์สคริปต์ เช่น เว็บเซิร์ฟเวอร์ Apache ที่ติดตั้ง PHP ทุกวันนี้จะถูกคอนฟิกให้รันทุกไฟล์ที่ลงท้ายชื่อไฟล์ด้วย ".php"

เว็บแอพพลิเคชั่นที่ไม่ระมัดระวังเพียงพอจะปล่อยให้มีการอัพโหลดชื่อไฟล์ที่ตรงตามเงื่อนไขของสคริปต์ ส่งผลให้แฮกเกอร์สามารถส่งไฟล์ใดๆ ขึ้นมารันบนเครื่อง และเมื่อรันแล้วจะได้สิทธิเท่ากับเว็บเซิร์ฟเวอร์ทุกประการ เช่น การอ่านไฟล์ทั้งหมด, การอ่านฐานข้อมูล (เพราะสามารถอ่านไฟล์คอนฟิกของเว็บแอพพลิเคชั่นได้) จนกระทั่งในเซิร์ฟเวอร์รุ่นเก่าๆ นั้น นิยมตั้งให้เว็บเซิร์ฟเวอร์ทำงานในฐานะผู้ใช้ root จะส่งผลให้การเผอเรอเพียงการปล่อยให้ผู้ใช้อัพโหลดไฟล์โดยไม่ตรวจสอบเพียงจุดเดียวสร้างความเสียหายได้อย่างมาก

ระบบจัดการเนื้อหารุ่นใหม่ๆ เมื่อมีส่วนใดที่ต้องรับไฟล์อัพโหลดจากผู้ใช้ มักจะจัดให้อยู่ในโฟลเดอร์เดียวกันทั้งหมด พร้อมกับตรวจสอบชื่อไฟล์ว่าไม่มีชื่อไฟล์ใดที่จะสามารถรันได้ เช่น การจำกัดชื่อไฟล์ให้รับเฉพาะไฟล์ที่ไม่สามารถรันได้ เช่นไฟล์ PNG, JPG หรือ PDF ใน กระบวนการรักษาความปลอดภัยจึงอาจจะทำได้โดยการคอนฟิกยกเลิกไม่ให้เว็บเซิร์ฟเวอร์รันสคริปต์ใดๆ ในโฟลเดอร์ที่ใช้สำหรับการรับไฟล์อัพโหลด และหากต้องการเพิ่มประเภทไฟล์ที่รับอัพโหลด ควรระวังไม่รับไฟล์ที่สามารถรันบนเซิร์ฟเวอร์ได้ เช่น สคริปต์ภาษาต่างๆ รวมถึงภาษาที่อาจจะไม่ได้ใช้งาน อย่างภาษา Perl (.pl)

นอกจากการอัพโหลดไฟล์แล้ว หลายครั้งสคริปต์ในการรันนั้นมีการนำอินพุตของผู้ใช้ไปเชื่อมกับสตริงเพื่อสร้างคำสั่งใหม่

$myvar = 'somevalue';
$x = $_GET['arg'];
eval('$myvar = ' . $x . ';');

คำสั่งเช่นนี้เปิดโอกาสให้ผู้ที่ใส่อินพุตเพื่อมุ่งร้ายต่อระบบสามารถเพิ่มคำสั่งอื่นๆ เช่น การใส่อินพุตเป็น 10; system('/bin/echo uh-oh') ทำให้อินพุตเช่นนี้สามารถรันคำสั่งใดๆ ก็ได้ตามที่ผู้ใช้ที่มุ่งร้ายต้องการในสิทธิเท่ากับที่เว็บเซิร์ฟเวอร์สามารถทำได้

กระบวนการนี้เจาะผ่านช่องโหว่ที่ซอฟต์แวร์กลั่นกรองอินพุตจากผู้ใช้ไม่ดีพอเช่นนี้เป็นปัญหาที่พบบ่อย โดยเฉพาะการใช้งานกับระบบฐานข้อมูล SQL ที่สคริปต์เว็บต่างๆ ต้องสร้างคำสั่ง SQL ไปยังฐานข้อมูล เราเรียกช่องโหว่เช่นนี้ว่า SQL Injection ตัวอย่างเช่นการสร้าง SQL จากอินพุต

$statement = "SELECT * FROM users WHERE name = '" + userName + "';";

ในคำสั่งเช่นนี้ไม่มีการตรวจสอบตัวแปร userName ที่เป็นอิตพุตก่อนใช้งาน อินพุตที่มุ่งร้ายอาจจะเป็น ' or '1'='1 ทำให้คำสั่ง SQL สุดท้ายกลายเป็นเป็น การเรียกรายชื่อผู้ใช้ทั้งหมดจากฐานข้อมูล

SELECT * FROM users WHERE name = '' OR '1'='1';

คำสั่งที่มุ่งร้ายในการดึงข้อมูลออกมาจากฐานข้อมูลเป็นแหล่งสำคัญที่เว็บต่างๆ ถูกเจาะฐานข้อมูลออกมา ผู้ร้ายบางส่วนอาจจะใช้ช่องโหว่แบบเดียวกันลบฐานข้อมูลออกไปทั้งหมด สร้างความเสียหายให้กับระบบมากยิ่งขึ้น

ระบบจัดการเนื้อหา และเว็บเฟรมเวิร์ครุ่นใหม่ๆ ทั้งหมดล้วนมีกระบวนการกรองอินพุตผู้ใช้ สำหรับคำสั่ง SQL นั้นการพัฒนาเว็บในช่วงหลังจะไม่แนะนำให้สร้างคำสั่ง SQL โดยตรงอีกต่อไป แต่แนะนำให้ครอบคำสั่งด้วยด้วยชั้นซอฟต์แวร์ เช่น ORM (object-relational mapping) ทำให้ผู้ใช้ที่มุ่งร้ายไม่สามารถสร้างโค้ดคำสั่งนอกเหนือจากรูปแบบที่เราต้องการได้อีกต่อไป

สำหรับ PHP ที่นิยมใช้ทำเว็บนั้น ในรุ่นหลังๆ มีการเพิ่มชั้น PHP Data Objects (PDO) ที่กระบวนการทำงานง่ายกว่า ORM แต่มีกระบวนการกรองอินพุตเช่น

$db = new PDO('mysql:host=localhost;dbname=', '', 'PASSWORD');
$stmt = $db->prepare("select contenttype, imagedata from images where id=?");
$stmt->execute(array($_GET['id']));

กระบวนการนี้ทำให้ผู้ใช้ที่มุ่งร้ายไม่สามารถสร้างอินพุตที่ทำงานนอกเหนือจากที่โค้ดกำหนดไว้ได้

กระบวนการเจาะเว็บในยุคหลังมีซอฟต์แวร์สามารถสแกนเว็บเพื่อค้นหาช่องโหว่ต่างๆ ได้อย่างมีประสิทธิภาพ การสร้างเว็บในยุคหลังจึงควรทำตามคำแนะนำของเฟรมเวิร์คต่างๆ อย่างระมัดระวัง แต่กระนั้นแม้แต่ระบบจัดการเนื้อหาชื่อดังจำนวนมากก็มีช่องโหว่ค้นพบใหม่อยู่เป็นระยะ การอัพเดตซอฟต์แวร์ให้ทันสมัยเสมอจึงเป็นเรื่องจำเป็น แม้จะเป็นการใช้เฟรมเวิร์คก็ตาม

ตัวอย่างจากในบทความนี้นำมาจาก Wikipedia: Code Injection, Wikipedia: SQL Injection, และ PHP Manual: PDO

Development, In-Depth, Security

กูเกิลเปิดเผยรายละเอียด API ของ Google Glass ทุกอย่างต้องทำผ่านเซิร์ฟเวอร์กูเกิล

lew — Mon, 08 Apr 2013 08:18:26 +0000

ที่งาน South by Southwest (SXSW) ปีนี้กูเกิลส่ง Timothy Jordan พนักงานฝ่ายสนับสนุนนักพัฒนา (Developer Advocate) มาเล่าถึง API ของ Google Glass ที่แม้ตอนนี้จะยังไม่มีขายโดยทั่วไปก็ตาม

API สำหรับ Google Glass นั้นมีชื่อว่า Mirror API เป็น API สำหรับเพิ่มเมนูเข้าไปในหน้าจอของ Glass โดยที่ทุกอย่างต้องทำผ่านเซิร์ฟเวอร์ของกูเกิลผ่านทางการยืนยันสิทธิ์ด้วย OAuth 2.0 เท่านั้น และเมื่อผู้ใช้มีการโต้ตอบกลับมายังแอพพลิเคชั่นของเรา เช่น การกด Like รูปภาพที่เราแสดงขึ้นไป เซิร์ฟเวอร์กูเกิลจะส่ง Callback กลับมายังเซิร์ฟเวอร์ของเรา

ด้วยกระบวนการเช่นนี้ การพัฒนาการใช้งานของ Glass จะไม่ใช่การสร้างแอพพลิเคชั่นไปรันบนเครื่องเหมือนกับแอนดรอยด์ แต่เป็นการส่งเนื้อหา เช่น หัวข้อข่าวล่าสุด ขึ้นไปแสดง และเมื่อผู้ใช้ต้องการเนื้อข่าว ข้อความขนาดยาวในเนื้อข่าวอาจจะระบุให้อ่านให้ผู้ใช้ฟังผ่านระบบ text-to-speech ของ Glass เอง และเมื่อผู้ใช้ต้องการโต้ตอบกับเนื้อหาเช่นคอมเมนต์หรือกด Like ก็สามารถวางเมนูย่อยๆ สำหรับเนื้อหาแต่ละอันลงไปได้

API ทั้งหมดนี้ยังอยู่ในระดับเบื้องต้นมากๆ และมีความเป็นไปได้ว่าจะมีการเปลี่ยนแปลงอีกหลายครั้งก่อนการจำหน่ายจริง

ถ้าเรากลัวว่าแอนดรอยด์จะทำให้กูเกิลรู้ว่าเราลงแอพพลิเคชั่นใดบ้าง งานนี้สำหรับ Glass กูเกิลจะรู้ว่าเราทำอะไรกับบริการใดบ้างทุกกระบวนการเลยทีเดียว

ที่มา - YouTube - Google Developers

Google Glass, Google, Development

Jolla เปิดให้ดาวน์โหลด Sailfish SDK แล้ว

mk — Sat, 06 Apr 2013 03:37:29 +0000

นักพัฒนาแอพที่สนใจระบบปฏิบัติการใหม่ ตอนนี้มีของใหม่มาให้ทดสอบแล้วครับ โดยบริษัท Jolla ผู้พัฒนาระบบปฏิบัติการ Sailfish ผู้สืบทอดเจตนารมณ์ของ MeeGo ประกาศเปิด Sailfish SDK ให้ดาวน์โหลดมาลองสร้างแอพแล้ว

ผู้สนใจสามารถโหลดได้จาก SailfishOS.org มี SDK ให้ดาวน์โหลดทั้งบนวินโดวส์ แมค ลินุกซ์ (ตัว UI เป็น Qt หรือ HTML5 และรันแอพจาก Android ได้)

ส่วนฮาร์ดแวร์จริงนั้นจะวางขายช่วงครึ่งหลังของปี โดยบริษัทยังไม่บอกรายละเอียดมากกว่านี้

ที่มา - @JollaHQ, GigaOm

Sailfish, Development, Jolla, Mobile,