VeriSign บริษัทด้าน DNS, ความปลอดภัยออนไลน์ และใบรับรองดิจิทัลรายใหญ่ของโลก (ปัจจุบันธุรกิจใบรับรองและ SSL ขายให้ Symantec ไปแล้ว) โดนแฮ็กและขโมยข้อมูลมาตั้งแต่ปี 2010

ข้อมูลนี้ถูกเปิดเผยหลังจากคณะกรรมการกำกับหลักทรัพย์ของสหรัฐ (SEC) ออกกฎใหม่ให้บริษัทในตลาดหลักทรัพย์ต้องรายงาน "การโดนเจาะระบบ" ให้นักลงทุนทราบด้วย ซึ่ง VeriSign ยื่นเอกสารนี้ในเดือนตุลาคมปีที่แล้ว และรอยเตอร์เพิ่งค้นพบข้อมูลนี้ในเอกสารกว่า 2,000 ชิ้นที่ SEC นำมาเผยแพร่

ตัวแทนของ VeriSign ยังปฏิเสธที่จะให้ข้อมูลกับผู้สื่อข่าว แต่รอยเตอร์ได้สัมภาษณ์ Ken Silva อดีต CTO (ออกจากบริษัทเมื่อ พ.ย. 2010) ซึ่งเขาระบุว่าไม่ได้รับรายงานเรื่องนี้มาก่อน ส่วนตัวแทนของ Symactec บอกว่าการเจาะระบบครั้งนี้ไม่มีส่วนเกี่ยวข้องกับธุรกิจ SSL ที่ซื้อกิจการมา

เมื่อปีที่แล้ว บริษัทความปลอดภัยออนไลน์ RSA (ในเครือ EMC) ก็เพิ่งโดนแฮ็กระบบ SecurID โลกออนไลน์ชักจะอันตรายขึ้นเรื่อยๆ

ที่มา - รอยเตอร์

ปรากฎการณ์เว็บทั่วโลกร่วมกันต่อต้านร่างกฏหมายต่อต้าน Stop Online Piracy Act ตลอดวันนี้ เว็บที่เข้าร่วม เช่น Wikipedia, Scribd, Wired หรือ EFF บทความนี้จะแนะนำว่าทำไมหน่วยงานจำนวนมากในโลกจึงต่อต้านกฏหมายฉบับนี้ และเมืองไทยเองเพิกเฉยต่อกระบวนการเหล่านี้มาอย่างไรกันบ้าง เพื่อบางทีที่เรามองเหตุการณ์ในต่างประเทศแล้วเราอาจจะมองเห็นภาพที่สังคมอินเทอร์เน็ตต่อการเซ็นเซอร์

ประเด็นกฏหมาย SOPA กลายเป็นประเด็นร้อนทางการเมืองของสหรัฐฯ หลังจากที่มีข่าวว่าสส. Eric Canter จะแขวนร่างกฏหมายนี้ วันนี้สส. Lamar Smith จากเท็กซัสก็ออกจดหมายข่าวระบุว่ากฏหมายนี้กำลังเดินหน้าต่อไป โดยจะเข้าสภาอีกครั้งในเดือนหน้า

สส. ทั้งสองคนมีตำแหน่งค่อนข้างสำคัญในการผ่านร่างกฏหมายนี้ โดย Eric Canter นั้นเป็นผู้นำวิปเสียงข้างมากของสภาผู้แทน ส่วน Lamar Smith นั้นเป็นประธานคณะกรรมมาธิการยกร่างกฏหมาย

ข่าวที่ว่า Eric Canter จะแขวนร่าง SOPA นั้นมาจากการให้ข่าวของสส. Darrell Issa อีกทีหนึ่ง ว่า Canter สัญญาว่าจะหยุดร่างกฏหมายนี้เอาไว้จนกว่าจะหาข้อตกลงกันได้ แทนที่จะผลักดันและต่อสู้กันด้วยคะแนนโหวต แต่โฆษกของ Smith ก็ระบุว่าเธอไม่เชื่อว่า Canter จะพูดสัญญาแบบนี้ต่อสาธารณะแต่อย่างใด

ที่มา - TechDirt, CFO World

หนึ่งในเป้าหมายสำคัญของกฏหมายป้องกันการละเมิดทรัพย์สินทางปัญญาอย่าง SOPA หรือ PIPA นั้นคือบรรดาเว็บ Torrent ทั้งหลาย (ผู้สนับสนุนกฏหมายนี้ก็เป็นกลุ่มผู้ถือลิขสิทธิ์อย่าง MPAA) แต่ทางแหล่งข่าวภายใน The Pirate Bay ก็ออกมาให้สัมภาษณ์กับ TorrentFreak ว่ากฏหมายเหล่านี้ไม่สามารถหยุดบริการได้แต่อย่างใด

The Pirate Bay เตรียมการเว็บตัวเองสำหรับการถูกบล็อคด้วยการถอดการให้บริการดาวน์โหลดไฟล์ torrent ออกจากเว็บ ทำให้เว็บมีขนาดเล็กลงมาก และหลังจากนั้นจึงพัฒนา CGIPROXY รุ่นพิเศษ ที่ทำให้ใครๆ สามารถเปิดบริการ proxy ไปยัง The Pirate Bay ได้โดยง่าย

นอกจากการเข้าถึงเว็บที่สร้าง proxy ได้ง่าย ยังมีประเด็นของการย้ายระบบ tracker จากเซิร์ฟเวอร์เดี่ยวไปใช้ระบบฐานข้อมูลแบบ DHT ทีไม่มีศูนย์กลาง ทำให้การบล็อคเครื่องใดเครื่องหนึ่งไม่มีผลกับระบบโดยรวมมากนัก

อย่างไรก็ดี แหล่งข่าวก็ยังระบุว่าประเด็นอย่าง SOPA/PIPA นั้นแสดงว่าสหรัฐฯ มีอิทธิพลต่ออินเทอร์เน็ตมากเกินไป และการควบคุมอินเทอร์เน็ตควรเป็นเรื่องของนานาชาติให้มากกว่านี้

ที่มา - TorrentFreak

หลังจากถูกต่อต้านอย่างหนักทั่วอินเทอร์เน็ต สส. Eric Cantor ก็ประกาศหยุดกระบวนการเสนอร่างกฏหมาย SOPA อย่างเป็นทางการ ถ้าไม่มีการดำเนินการต่อ กฏหมายฉบับนี้ก็จะค้างอยู่เป็นร่างต่อไป อย่างไรก็ดีกลุ่มผู้แทนอีกกลุ่มหนึ่งกำลังเสนอร่างกฏหมายคล้ายๆ กันในชื่อ PIPA

ร่าง PIPA ถูกเสนอเข้าไปยังรัฐสภาสหรัฐฯ โดยกลุ่มสว. โดยยังคงมีประเด็นสำคัญคือการบล็อค DNS เมื่อได้รับคำสั่งจากเจ้าหน้าที่

PIPA ยังคงเป็นประเด็นทางเทคนิคกันต่อไป เมื่อวิศวกรอินเทอร์เน็ตจำนวนหนึ่งออกมาแสดงความไม่เห็นด้วย โดยการเปลี่ยนแปลงค่าใน DNS เช่นนี้ทำไม่ได้ในระบบ DNSSEC ที่ทั้งโลกกำลังเปลี่ยนไปใช้งาน

ที่มา - Examiner

ช่วงหลังเราคงเห็น TLD (Top Level Domain) แปลกๆ กันหลายอัน ล่าสุดผู้ดูแลระบบโดเมนคือ ICANN ได้ประกาศว่าจะรับจด TLD อย่างอิสระหรือที่เรียกว่า gTLD (Generic Top Level Domain) แต่ค่าจดนั้นอยู่ที่ 185,000 ดอลลาร์ต่อ TLD หรือประมาณ 6 ล้านบาท

นอกจากการจดแบบอิสระแล้ว TLD ทั้งหมดจะไม่ถูกจำกัดเป็นภาษาอังกฤษอีกต่อไป

ทาง ICANN คาดว่า จะได้รับคำขอจดทะเบียนโดเมนเหล่านี้เป็นจำนวน 1,000 ถึง 1,500 ชุด โดยส่วนมากน่าจะเป็นแบรนด์ต่างๆ ที่ชิงจดเพื่อยุติปัญหาแบรนด์ของตัวเองถูกนำไปใช้งานใน TLD อื่นๆ ที่บริษัทเหล่านี้ต้องตามไปจดไม่หยุดหย่อน

ปัญหาเดิมๆ ที่เคยมีมาคือ ความน่ากลัวของการทำ phishing จะสูงขึ้น อาจจะมีใครสักคนจด .com ด้วยตัวอักษรที่คล้ายตัวโรมัน แต่ค่าใช้จ่ายของโดเมนเกือบ 6 ล้านบาทก็น่าจะทำให้คุ้มค่าได้ยากเพราะหากมีการปล่อยจนเกิด phishing จริงเพียงแค่ผู้ดูแลระบบทั่วโลกบล็อกโดเมนนั้นๆ ที่ลงทุนมาหลายล้านบาทก็จะไร้ค่าทันที

เร็วๆ นี้คงมีบริษัทไปจด .thai เอามาขายกันในประเทศ

ที่มา - The Register

กฏหมาย SOPA หรือ Stop Online Piracy Act นั้นเป็นกฏหมายที่สร้างข้อถกเถียงและแรงต่อต้านสูงมาก แต่ได้รับการสนับสนุนจากเจ้าของทรัพย์สินทางปัญญาหลายกลุ่ม ตั้งแต่เจ้าเก่าอย่างสมาคมภาพยนตร์สหรัฐฯ หรือ MPAA จนถึงเจ้าของแบรนด์สินค้าอย่างบริษัท L'Oreal แต่บริษัทที่อยู่ฝั่งอินเทอร์เน็ตอย่าง Go Daddy นั้นก็กลับไปลงชื่อร่วมสนับสนุนด้วย

กระแสโต้กลับต่อ Go Daddy นั้นแรงกว่าบริษัทอื่นๆ ที่ลงชื่อสนับสนุนกฏหมายฉบับนี้มาก เว็บใหญ่ๆ จำนวนมากขู่จะย้าย หรือย้ายโดเมนออกจาก Go Daddy หลังจากรายชื่อบริษัทที่ให้การสนับสนุนกฏหมายฉบับนี้ออกมา โดยเว็บใหญ่ๆ ที่ออกมาแสดงท่าที่เช่นนี้มีตั้งแต่ Wikipedia, FAIL Blog, ตลอดจน Stack Overflow

Go Daddy เจอกระแสโต้กลับเช่นนี้ก็ไม่สามารถอยู่เฉยได้ จำเป็นต้องออกประกาศถอนชื่อจากรายชื่อบริษัทที่ให้การสนับสนุนกฏหมาย แน่นอนว่าคำแถลงเต็มไปด้วยการแสดงความเชื่อมั่นในสิทธิของการแสดงออก แต่หลังจากนนี้จะมีใครเชื่อ Go Daddy มากแค่ไหนก็ยังเป็นคำถามต่อไป

บริษัทคู่แข่งเช่น Namecheap นั้นออกมาฉวยโอกาสนี้ทันทีด้วยการออกโปรโมชั่นพิเศษสำหรับการต่อต้าน SOPA โดยต้องใส่คูปอง SOPAsucks สำหรับการลดราคาค่าโอโดเมนเหลือ 6.99 ดอลลาร์ (จำกัด 10 โดเมน) หรือ BYEBYEGD และจนตอนนี้มีการย้ายไปแล้วกว่า 15,000 โดเมน

ที่มา - Go Daddy

โดเมนชั้นบนสุดในชื่อ .xxx นั้นเป็นโดเมนที่ถกเถียงกันมากที่สุดตัวหนึ่งในโลก หลังจากต่อสู้มาหลายปีเพื่อขออนุมัติ และเริ่มใช้งานในการรับจดทะเีบยนวงจำกัดเมื่อต้นปีที่ผ่านมา ตอนนี้ .xxx ก็เปิดให้ทุกคนเข้าจดโดเมนได้เองแล้ว

ทาง ICM Registry ผู้ดูแลโดเมน .xxx ระบุว่าตอนนี้มีการจดโดเมน .xxx ไปแล้วกว่า 100,000 ชื่อ โดยอาจจะเป็นธุรกิจอื่นๆ ที่เข้ามาจองชื่อไว้ก่อนที่จะมีคนเอาชื่อบริษัทไปจดทะเบียน ทาง ICM คาดว่าในปีแรกจะมีคนจดทะเบียนชื่อถึง 500,000 ชื่อแต่ด้วยยอดตอนนี้ก็ไม่น่าจะทันแล้ว

นอกจากโดเมนยังไม่ได้รับความนิยมเท่าที่หวังแล้ว ICM ยังเสี่ยงจะถูกฟ้องจากหลายบริษัทที่ไม่ต้องการใช้งานโดเมน .xxx โดยบริษัทจำนวนมากถูกบีบให้ต้องจดในช่วงเวลาที่เปิดให้เจ้าของเครื่องหมายการค้าเท่านั้น ทำให้เสียค่าใช้จ่ายมากกว่าปรกติ

ค่าจดทะเบียนแต่ละชื่ออยู่ที่ 79 ถึง 129 ดอลลาร์แล้วแต่บริษัทและโปรโมชั่น

มันเต็มไปด้วยเด็กฝึกงาน....

ที่มา - The Register

OpenDNS นั้นให้บริการ DNS ฟรีมาเป็นรายแรกๆ (ช่วงหลังมีกูเกิลลงมาแข่งด้วย) แต่ล่าสุด OpenDNS ก็เปิดบริการ DNSCrypt เพิ่มขึ้นมาแล้ว

บริการ DNSCrypt นี้จริงๆ ก็คือการเชื่อมต่อกับ OpenDNS ผ่าน SSL เพื่อป้องกันการปลอมแปลงข้อมูลหรือดักฟังการใช้งานเว็บ มันช่วยลดความเสี่ยงในบางกรณีเช่น DNS Poisoning ลงได้ แต่มันไม่ใช่การรักษาความปลอดภัยเต็มรูปแบบเหมือน DNSSEC คือหากข้อมูลฝั่ง OpenDNS ผิด เราก็จะได้ข้อมูลมาผิดด้วย

ตอนนี้มีเฉพาะรุ่นแมคเท่านั้นส่วนวินโดวส์และลินุกซ์จะตามมาเร็วๆ นี้ สำหรับบ้านเราระบบเข้ารหัสแบบนี้น่าจะมีปัญหากับระบบล็อกอิน Wi-Fi จำนวนมาก อาจจะต้องปิดโปรแกรมก่อนตอนจะล็อกอิน หรือไม่ก็จำ URL สำหรับล็อกอินเตรียมไว้

ที่มา - OpenDNS

หลายปีให้หลังมานี้บริการข้อมูลจำนวนมากมักไม่ได้มีเซิร์ฟเวอร์เพียงตัวเดียวแต่ใช้เซิร์ฟเวอร์จำนวนมากกระจายอยู่ทั่วโลกหรือที่เรียกว่า Content Delivery Network (CDN) โดยทุกเครื่องใน CDN จะมีข้อมูลเหมือนๆ กัน แต่เวลาที่มีคนร้องขอชื่อโดเมนด้วยโปรโตคอล DNS ก็จะดูว่าคำร้องขอนั้นมาจากประเทศใดแล้วตอบหมายเลขไอพีเครื่องที่น่าจะเชื่อมต่อได้เร็วที่สุดกลับไปให้

ปัญหาคือหลายๆ เวลาที่ผู้ใช้เรียก DNS นั้นไม่ได้เรียกกับเซิร์ฟเวอร์ของแต่ละโดเมนโดยตรง แต่เรียกไปยังเซิร์ฟเวอร์ของผู้ให้บริการอินเทอร์เน็ต ที่แม้ส่วนใหญ่จะอยู่ในเครือข่ายเดียวกับตัวผู้ใช้ แต่บางครั้งก็ไม่เป็นจริงเช่นบริษัทข้ามชาติอาจจะมี DNS กลางของบริษัทที่เดียวทั่วโลก หรือหากใช้บริการ DNS เช่น Google Public DNS (8.8.8.8, 8.8.4.4) และ OpenDNS (208.67.220.220, 208.67.222.222) การเลือกเครื่องก็จะผิดพลาดบ่อยครั้ง

หลังอนุมัติแผนนี้มาร่วมสามปี ที่ประชุมของ ICANN วันนี้ซึ่งจัดขึ้นที่ประเทศสิงคโปร์ก็มีมติให้บริษัทต่างๆ สามารถยื่นขอจดทะเบียนโดเมนเนมระดับบนสุด (TLDs: top-level domains) ได้เสียที จากที่ปัจจุบัน ICANN มี TLD ทั่วไปให้เลือกอยู่ 22 ตัว (เช่น .com, .org) และ TLD สำหรับประเทศต่างๆ (เช่น .th, .uk)

TLD ใหม่ที่จะยื่นขอจดนี้สามารถจดได้ในทุกชื่อและไม่จำกัดภาษา รองรับทั้งตัวอักษร ตัวเลข หรือจะเป็นอักษรในภาษาอื่นอย่างอาราบิกหรือจีนก็ได้ ICANN หวังว่าการเปิดอิสระในการเลือกโดเมนระดับบนนี้จะส่งผลให้ชื่อโดเมนที่ใช้กันในโลกเกิดความหลากหลายและสร้างสรรค์มากยิ่งขึ้น บริษัทเจ้าของสินค้าหรือแบรนด์ต่างๆ ที่มีโดเมนเป็นของตัวเองจะสามารถสื่อทางการตลาดหลุดจากกรอบ url ที่เป็นดอทคอมแบบเดิมๆ กลายเป็นชื่ออย่าง .apple .coke ซึ่งทำให้มีสีสันมากขึ้น

ICANN จะเปิดโอกาสให้ผู้สนใจจอง TLD ที่ต้องการชุดแรกเป็นเวลา 90 วันในช่วงต้นปีหน้า ถ้าหากเป็นชื่อแบรนด์สินค้าหรือชื่อเฉพาะต้องแสดงความเป็นเจ้าของเพื่อประกอบการพิจารณาด้วย โดยมีค่าธรรมเนียมการขอจด TLD ใหม่ 185,000 ดอลลาร์ (5.5 ล้านบาท!) และ TLD เหล่านี้จะเริ่มใช้งานได้ในปลายปีหน้า

ที่มา: Reuters และ Guardian

บริษัท VeriSign ประกาศว่าวันนี้บริษัทจะเริ่มรองรับ DNSSEC ในโซนของ .net แล้วนับเป็น TLD ที่ใหญ่ที่สุดนับแต่มีการเริ่มใช้ DNSSEC มา โดยก่อนหน้านี้ TLD ที่ใหญ่ที่สุดที่รองรับ DNSSEC คือ .org

ตามกำหนดการในปีหน้าทั้ง .com และ .edu น่าจะรองรับ DNSSEC ตามมาภายในปีหน้า ส่วน DNS ของแต่ละประเทศนั้นต้องให้ผู้ดูแล TLD เป็นผู้ฝากคีย์เพื่อเริ่มให้บริการ

DNSSEC ช่วยให้การ lookup ค่า DNS นั้นได้รับค่าที่ถูกต้องเสมอ โดยผู้ให้บริการปลายทางไม่สามารถปลอมแปลงค่าได้เช่นทุกวันนี้ อย่างไรก็ตาม DNSSEC ไม่ได้ช่วยให้ข้อมูลมีความถูกต้องจากปลายทางหนึ่งสู่อีกปลายทาง เพราะการได้ค่า IP ที่ถูกต้องก็ไม่ได้รับรองใดๆ ว่าการสื่อสารข้อมูลกับหมายเลขไอพีนั้นๆ จะไม่ถูกดักฟังหรือเปลี่ยนแปลงข้อมูลระหว่างทาง

ที่มา - Security Week

การต่อสู้เป็นเวลาสิบปีของ .xxx กำลังจะสิ้นสุดลง เพราะเมื่อวานนี้กรรมการของ ICANN ได้โหวตให้รับสัญญากับบริษัทจดทะเบียนที่เจรจากันมาตั้งแต่ต้นปี

บริษัท ICM Register พยายามยื่นขอเป็นผู้จดทะเบียนโดเมน .xxx มาตั้งแต่ปี 2000 แต่ผ่านการโหวตคว่ำข้อเสนอมาหลายต่อหลายครั้งจนกระทั่งผ่านร่างข้อเสนอสุดท้ายเมื่อปี 2009 และเริ่มกระบวนการเจรจาสัญญากับทาง ICANN ในปีนี้

เมื่อวานที่่ผ่านมา H-Root ซึ่งเป็น 1 ใน 13 เซิร์ฟเวอร์ต้นทาง DNS ของทั้งโลกถูกโจมตีจนให้บริการไม่ได้ไปถึง 18 ชั่วโมง เรื่องนี้อาจจะไม่น่าตกใจเท่ากับว่า H-Root นั้นดำเนินการโดยห้องวิจัยของกองทัพบกสหรัฐฯ

H-Root นั้นเป็น root DNS ตัวเดียวที่ยังให้บริการจากที่เดียวคือ Aberdeen Proving Ground ขณะที่เซิร์ฟเวอร์อื่นๆ นั้นมักทำงานเป็นกลุ่มกระจายกันไปทั่วโลกจนยากจะโจมตีจนล่มได้

การโจมตีนี้อาจจะเป็นการโจมตีที่ส่งผลกระทบหนักที่สุดนับแต่ปี 2007 ที่เคยมีความพยายามจะล่มอินเทอร์เน็ตทั้งโลกด้วยการยิง root DNS จำนวนมากอยู่นาน 12 ชั่วโมงแต่เครื่องทั้งหมดก็รอดมาได้ (ข่าวเก่า)

ยังไม่แน่ชัดว่าต้นทางการโจมตีมาจากที่ไหน

ที่มา - H-Root, RIPE

มาตรฐาน DNSSEC (rfc2535) เป็นมาตรฐานที่มาขยายมาตรฐาน DNS เพื่อให้ผู้ร้องขอข้อมูล DNS สามารถตรวจสอบได้ว่าข้อมูลที่ได้รับมานั้นถูกต้องหรือไม่ ด้วยปัญหาหลายประการ โดยเฉพาะปัญหาทำงานบนเครือข่ายขนาดใหญ่ของมาตรฐานรุ่นแรก ทำให้ DNSSEC ถูกละเลยเรื่อยมาจนวันนี้ .org ก็เป็นโดเมนชั้นต้น (TLD - Top Level Domain) กลุ่มแรกที่จะใช้งาน DNSSEC เต็มรูปแบบ

กระบวนการนี้เป็นขั้นแรกของการปรับปรุงให้อินเทอร์เน็ตปลอดภัยขึ้น โดยในเดือนหน้า root server ทั้งหมดจะเริ่มมีการลงลายเซ็นอิเล็กทรอนิกส์ เพื่อตรวจสอบข้อมูลที่ส่งผ่านระหว่างกัน

ความน่าเชื่อถือของข้อมูล DNS ที่ส่งผ่านระหว่างกันเป็นปัญหามากขึ้นเรื่อยๆ ในช่วงหลัง โดยก่อนหน้านี้จะมีปัญหาในวงจำกัดเช่นการที่รัฐบาลสั่งให้ ISP บิดเบือนข้อมูลใน DNS เพื่อผลประโยชน์บางอย่าง แต่ในช่วงหลัง เริ่มมีปัญหาในวงกว้างมากขึ้นเมื่อข้อมูลเหล่านั้นกลับถูกส่งต่อไปมาในอินเทอร์เน็ตจนก่อปัญหาไปทั่วโลก เช่นปัญหาของ I root-server เมื่อต้นปีที่ผ่านมา

DNSSEC นั้นต่างจากมาตรฐานรักษาความปลอดภัยที่เราใช้ๆ กันเช่น HTTPS โดย DNSSEC ไม่ได้ออกแบบมาเพื่อปกปิดความลับใดๆ แต่ใช้เพื่อยืนยันว่าข้อมูลที่ส่งไปมาเหล่านั้นเชื่อถือได้เท่านั้น

เห็นได้ชัดว่าแนวโน้มการเข้ารหัสข้อมูลต่างๆ ในอินเทอร์เน็ตจะมากขึ้นเรื่อยๆ อนาคตเซิร์ฟเวอร์ต่างๆ คงต้องใช้พลังประมวลผลเพิ่มขึ้นอีกมาก น่าสนใจว่าพลังประมวลผลประสิทธิภาพสูงและกินพลังงานต่ำจะพัฒนาไปทันหรือไม่

ที่มา - eSecurity Planet