ปัญหาเรื่องรอบการอัพเดตแพตช์ความปลอดภัยที่ไม่ตรงกันของ Flash/Windows 8 จนเกิดช่องโหว่ให้ผู้ใช้ กำลังจะถูกแก้ไข เพราะ Adobe ประกาศปรับรอบการออกแพตช์ของตัวเองให้ตรงกับรอบการออกแพตช์ในวันอังคารของไมโครซอฟท์ (Patch Tuesday) แล้ว

การออกแพตช์รอบล่าสุดของ Adobe อุดช่องโหว่ใน Flash ไปอีก 7 จุด และไมโครซอฟท์ก็ออกแพตช์ให้ IE10 โดยผนวกเอา Flash รุ่นล่าสุดของ Adobe เข้ามาในตัว

สำหรับผู้ที่ใช้ Flash บนแพลตฟอร์มอื่นๆ ต้องตามอัพเดตกันเองครับ เลขเวอร์ชันล่าสุดคือ 11.5.502.110 (วินโดวส์-แมค) 11.2.202.251 (ลินุกซ์) และ 11.1.115.27 (แอนดรอยด์)

ที่มา - Sophos, Computerworld

ปัญหาการทำใบรับรองปลอมจาก DigiNotar สร้างความกังวลทั่วโลกว่าระบบใบรับรองทุกวันนี้มีความน่าเชื่อถือเพียงใด รายงานการสำรวจความเสียหายโดยบริษัท Fox IT เพื่อส่งให้กับกระทรวงมหาดไทยของเนเธอร์แลนด์ได้รายงานถึงกระบวนการที่แฮกเกอร์เข้ามาสร้างใบรับรองปลอมจำนวน 531 ใบ

เครือข่ายของ DigiNotar ภายในแบ่งออกเป็น 24 ส่วน เซิร์ฟเวอร์สำหรับสร้างใบรับรองที่ติดตั้งสมาร์ตการ์ดที่ใช้รับรองนั้นตั้งอยู่ในห้องรักษาความปลอดภัยสูงแยกออกไป

กลุ่มของแฮกเกอร์ที่เรียกตัวเองว่า HTP ได้อ้างถึงการโจมตีเว็บไซต์ ImageShack และ Symantec ทำให้สามารถเข้าถึงฐานข้อมูลได้ หรือในกรณีของ ImageShack ได้มีการอ้างว่าสามารถเข้าถึงเซิร์ฟเวอร์ทุกตัวรวมไปถึงอุปกรณ์เครือข่ายด้วย

สำหรับเหยื่อสองเว็บแรกนั้นทาง HTP ได้มีการโพสต์หลักฐานการเข้าถึงไดเรกทอรี่ ไฟล์ และฐานข้อมูลลงบนเว็บไซต์ pastebin อีกทั้งยังกล่าวสบประมาทประสิทธิภาพของระบบรักษาความปลอดภัยของทั้งสองเว็บไซต์อีกด้วย

อีกสองเว็บไซต์คือ PayPal และ NBC นั้นถูกแฮกโดยกลุ่มของแฮกเกอร์ที่อ้างว่าเกี่ยวข้องกับกลุ่ม Anonymous จากการโจมตีครั้งนี้เว็บไซต์ของ NBC ถูกแฮกเกอร์เปลี่ยนหน้าเว็บและในส่วนของ PayPal ได้อ้างว่ามีการเผยแพร่บัญชีของผู้ใช้งานที่อยู่ในฐานข้อมูลออกมาบางส่วนด้วย (ไฟล์ paste ถูกลบไปแล้ว)

อัพเดท (16:21) - ทาง PayPal ได้ออกมาปฏิเสธข่าวการถูกแฮกแล้ว

ที่มา - NetworkWorld

มาตรฐาน HSTS เป็นส่วนเสริมของ HTTP/HTTPS ที่เปิดให้เว็บบังคับให้เบราว์เซอร์เชื่อมต่อกันแบบเข้ารหัสเสมอ (ดูข่าวเก่า) โดยสัปดาห์นี้ทาง Mozilla ได้ประกาศว่า Firefox ในรุ่นถัดไปจะบังคับให้ใช้มาตรฐาน HSTS แล้ว

มาตราฐาน HSTS จะช่วยให้ผู้ใช้งานสามารถเพิ่มเว็บไซต์ที่เราต้องการเชื่อมต่อผ่านทาง HTTPS ได้ผ่านทาง preload list (ดูตัวอย่างจาก Chrome) ผู้ใช้งานสามารถดาวน์โหลดเวอร์ชันเบต้ามาทดลองใช้งานก่อนได้ โดยในเวอร์ชันเต็มคาดว่าจะออกมาในเร็วๆ นี้ครับ

ที่มา - Mozilla Security Blog via Ars Technica, Threatpost

ล่าสุดมีนักวิจัยจาก NC State University พบช่องโหว่บนระบบแอนดรอยด์ ช่องโหว่ที่ว่าสามารถทำให้แอพพลิเคชันปลอม SMS เข้าได้ทั้งฉบับ ไม่ว่าจะทั้งเนื้อหารวมจนถึงสามารถปลอมว่ามาจากหมายเลขโทรศัพท์ใดก็ได้ โดยแอพไม่ต้องขอสิทธิ์ใดก็สามารถใช้ช่องโหว่นี้ได้

ซึ่งช่องโหว่นี้พบในโค้ดแอนดรอยด์ต้นน้ำ (Android Open-Source Project) ตั้งแต่รุ่น 1.6 (Donut) ไปจนถึง 4.1 (Jelly Bean) และมือถือรุ่นหลายตัวได้รับการยืนยันแล้วว่ามีปัญหานี้ ไม่ว่าจะเป็น Galaxy Nexus, Nexus S, Galaxy S III, HTC One X, HTC Inspire และ Xiaomi MI-One

ทางนักวิจัยได้ติดต่อกับกูเกิลแล้วและได้รับยืนยันว่าเป็นปัญหาจริง ขณะนี้ทางกูเกิลกำลังแก้ไขอยู่ ดังนั้นระหว่างนี้ ถ้าเจอข้อความเข้าแปลกๆ น่าสงสัย ก็ขอให้ฉุกคิดไว้สักนิดหนึ่งก่อนที่จะเชื่อเนื้อหาในข้อความจริงๆ โดยเฉพาะเรื่องเงินๆ ทองๆ หรือเรื่องเกี่ยวกับความปลอดภัยต่างๆ

คำเตือน: แม้บั๊กตัวนี้มีอยู่จริง แต่มันไม่สามารถใช้เป็นข้ออ้างแก้ตัวสำหรับหนุ่มๆ เวลาแฟนสาวเปิดมือถือไปเจอ SMS จากกิ๊ก เพราะว่า นักวิจัยบอกว่ายังไม่พบแอพใดที่ใช้ช่องว่างตัวนี้ ดังนั้นข้ออ้างว่าข้อความที่เห็นมาจากกิ๊กก็เพราะโดนบั๊กตัวนี้เล่นงาน คงจะไม่ช่วยชีวิตได้อย่างแน่นอน งานนี้ตัวใครตัวมันนะครับ

ที่มา: Computer World UK, Android Community

เมื่อเวลา 6 โมงเย็นวันนี้รายการเจาะข่าวเด่นทางไทยทีวีสีช่อง 3 ได้นำเสนอเกี่ยวกับภัยมิจฉาชีพออนไลน์ซึ่งผมพบว่าในข้อมูลที่นำเสนอนั้นมีบางส่วนที่อาจสร้างความไม่เข้าใจผ่านทางทวิตเตอร์เรื่องเล่าเช้านี้ เนื่องจากมีการทวีตในเรื่องนี้อยู่หลายทวีต แต่ผู้อ่านไม่ได้ทำการรีทวีตทั้งหมด เพียงแต่มีการรีทวีตที่ทำให้ข่าวนั้นเกิดการแตกประเด็นและอาจทำให้เกิดการเข้าใจผิดได้ ในฐานะที่ Blognone ก็เป็นหนึ่งในสื่อที่นำเสนอข่าวด้านเทคโนโลยีและความปลอดภัย การนำเสนอข่าวสารและข้อมูลที่ถูกต้องจึงเป็นเรื่องที่สำคัญมาก ดังนั้นผมขออนุญาตในการชี้แจงและแก้ไขข้อมูลบางส่วนให้ถูกต้องครับ

เราอาจต้องทิ้งภาพลักษณ์เดิมๆ ว่า "ผลิตภัณฑ์ของไมโครซอฟท์ไม่ปลอดภัย" เพราะข้อมูลล่าสุดของบริษัท Kaspersky ชี้ว่าซอฟต์แวร์ของไมโครซอฟท์ที่เคยติด 10 อันดับแรกของซอฟต์แวร์ที่มีโอกาสถูกโจมตีมากที่สุดประจำไตรมาส (top 10 vulnerabilities) กลับตกจากชาร์ทไปเรียบร้อยแล้ว

เหตุผลก็เพราะว่าผลิตภัณฑ์ของไมโครซอฟท์เข้มแข็งขึ้นมาก การอัพเดตช่องโหว่ต่างๆ ทำได้รวดเร็ว ซึ่งเป็นผลมาจาก Windows Update ที่พัฒนาขึ้นเรื่อยๆ ในวินโดวส์นับตั้งแต่ Vista เป็นต้นมา

การจัดอันดับของ Kaspersky อิงจากสถิติของผู้ใช้งาน Kaspersky เอง โดยนับสัดส่วนของโปรแกรมที่ติดตั้งในเครื่องของผู้ใช้ ที่ยังมีช่องโหว่ไม่ได้รับการแพตช์

Hiroshi Lockheimer ผู้บริหารของกูเกิลให้สัมภาษณ์กับเว็บไซต์ Computerworld เกี่ยวกับฟีเจอร์ความปลอดภัยของ Android 4.2 ซึ่งเคยมีข่าวมาแล้วก่อนหน้านี้

ประเด็นสำคัญอยู่ที่ฟีเจอร์ verify apps ซึ่งเป็นตัวเลือกที่เพิ่มเข้ามาในหน้า Settings โดยไม่ได้เปิดใช้ตั้งแต่แรก แต่เมื่อเราเปิดฟีเจอร์นี้เมื่อไร กูเกิลจะสแกนแอพทุกตัวที่ติดตั้งเพิ่มเข้ามาในเครื่อง (ไม่ว่าจะผ่าน Play Store, ลง apk เองแบบ sideload หรือลงผ่านแอพภายนอกอย่าง Amazon Appstore) ว่าเข้าข่ายแอพอันตรายตามฐานข้อมูลของกูเกิลหรือไม่ (วิธีการเช็คคือตรวจ apk signature กับเซิร์ฟเวอร์ของกูเกิล) ถ้าพบแล้วจะป้องกันไม่ให้เราติดตั้งแอพดังกล่าวลงในเครื่อง

Lockheimer อธิบายว่ากูเกิลรู้จัก signature ของแอพกว่า 700,000 แอพใน Play Store เป็นอย่างดี และยังคอยสแกนไฟล์ .apk จากทั่วอินเทอร์เน็ตเพื่ออัพเดตฐานข้อมูลแอพอยู่ตลอดเวลาด้วย

ฟีเจอร์นี้เป็นส่วนหนึ่งของโครงการ Bouncer ที่สแกนแอพอันตรายในเซิร์ฟเวอร์ Play Store ของกูเกิลซึ่งเริ่มใช้ตั้งแต่ช่วงต้นปีที่ผ่านมา แต่ไม่เกี่ยวกับการซื้อกิจการ VirusTotal เมื่อเร็วๆ นี้

Blognone เสนอข่าว "ช่องโหว่" ความปลอดภัยซอฟต์แวร์เป็นจำนวนมาก แม้ช่องโหว่หลายอย่างมาจากการวิเคราะห์ทางคณิตศาสตร์ของกระบวนการเข้ารหัสที่ซับซ้อนแต่ในความเป็นจริงแล้ว ช่องโหว่ส่วนมากมาจากปัญหาเหมือนๆ กันคือการไม่ระวังการใช้บัฟเฟอร์ ทำให้ข้อมูลที่วางลงไปยังบัฟเฟอร์มีขนาดเกินที่เผื่อไว้ ทำให้แฮกเกอร์เข้ามาวางโค้ดเอาไว้ และควบคุมให้มีการรันโค้ดนั้นๆ ได้

กระบวนการแฮกจากช่องโหว่บัฟเฟอร์เป็นกระบวนพื้นฐานอันหนึ่งที่ควรรู้เพื่อจะศึกษาและป้องกันช่องโหว่ในซอฟต์แวร์

หลังจากเมื่อสัปดาห์ที่แล้วที่มีการเปิดตัว Windows 8 ให้ผู้ใช้งานทั่วโลกได้ตื่นตาตื่นใจกัน ทางด้านโลกแห่งความปลอดภัยก็มีอะไรให้ตื่นตาตื่นใจเช่นกัน เมื่อบริษัท VUPEN บริษัทสัญชาติฝรั่งเศสผู้เคยฝากผลงานไว้ในการแข่งขัน Pwn2Own ได้เปิดเผยว่าพวกเขาสามารถแฮกเข้าควบคุมอุปกรณ์ที่ติดตั้ง Windows 8 พร้อม IE 10 ได้แล้ว

Chaouki Bekrar ผู้บริหาร VUPEN ได้ทวีตต้อนรับ Windows 8 พร้อมทั้งกล่าวด้วยว่าบริษัทของเขาได้ครอบครองโค้ดที่สามารถนำมาใช้ในการโจมตี Windows 8 ทุกรุ่นแล้ว โดยยังกล่าวอีกว่าในวันแรกที่ไมโครซอฟท์เปิดตัวนั้นพวกเขาก็ได้เปิดตัวช่องโหว่นี้ให้กับลูกค้าของเขาเช่นกัน

Forbes ได้สัมภาษณ์ Bekrar เพิ่มเติมเกี่ยวกับความเป็นไปได้ที่บริษัทจะขายช่องโหว่นี้ให้กับลูกค้าที่สามารถจ่ายได้มากพอ แต่ทาง VUPEN ก็ยังปฏิเสธถึงข้อมูลเกี่ยวกับการซื้อขายแต่กล่าวเพียงว่าบริษัทของเขาจะพยายามใช้ช่องโหว่ในการป้องกันการโจมตีที่จะเกิดขึ้นในอนาคตอย่างมากที่สุดอย่างแน่นอน

ที่มา - Forbes

มีกลุ่มแฮกเกอร์ค้นพบว่าหากค้นหาด้วยคำว่า "inurl:bcode=[*]+n_m=[*] site:facebook.com." ในกูเกิล จะเกิดผลการค้นหาเป็นลิงก์ที่เชื่อมไปยังบัญชีของเฟซบุ๊กรายบุคคล และบางลิงก์เป็นลิงก์ชั่วคราวที่สามารถเข้าบัญชีเฟซบุ๊กของผู้นั้นได้โดยไม่จำเป็นต้องใช้รหัสผ่านแต่อย่างใด

ทั้งนี้วิศวกรของเฟซบุ๊กได้ออกมาชี้แจงว่า โดยปกติเฟซบุ๊กจะส่งลิงก์เหล่านี้ไปยังอีเมลของเจ้าของบัญชีเพื่อความสะดวกในการใช้งานและไม่เคยเปิดเผยลิงก์เหล่านี้ออกสู่สาธารณะ แต่ในการที่เสิร์ชเอ็นจินสามารถค้นหาลิงก์เหล่านี้ได้เพราะบางอีเมลในลิงก์นั้นถูกใช้โพสต์ในที่สาธารณะมาก่อน (เช่นผู้ใช้เคยใช้อีเมลนี้ไปโพสต์ในเว็บบอร์ด และก็ใช้อีเมลเดียวกันสมัครเฟซบุ๊ก) นอกจากนี้ลิงก์พวกนี้จะมีอายุชั่วคราว แต่เฟซบุ๊กจะตรวจสอบเพิ่มเติมเพื่อให้แน่ใจได้ว่าในการล็อกอินแต่ละครั้งจะมาจากผู้ใช้ตัวจริง

หมายเหตุ: ตอนนี้ผลการค้นหาด้วยคีย์เวิร์ดข้างต้นในกูเกิลจะแทบไม่เจอลิงก์อะไรของเฟซบุ๊กแล้ว แต่สามารถดูภาพผลการค้นหาลิงก์รั่วของเฟซบุ๊กก่อนหน้านี้ได้ที่ท้ายข่าว

ที่มา - The Next Web, Hacker News, NicoRoddz

Mozilla ได้ปล่อยแพตซ์อุดช่องโหว่ให้กับไฟร์ฟ็อกซ์แล้วหลังจากมีการค้นพบช่องโหว่ประเภท Cross-Site Scripting (XSS) บนเบราว์เซอร์ โดยไฟร์ฟ็อกซ์รุ่นที่มีช่องโหว่ดังกล่าวได้แก่เวอร์ชัน 16.0.2, ESR 10.0.10, Thunderbird 16.0.2, Thunderbird ESR 10.0.10 และ SeaMonkey 2.13.2

สำหรับช่องโหว่ทั้งหมดนั้น มีการประเมินว่าเป็นช่องโหว่ระดับร้ายแรง ผู้โจมตีสามารถใช้ช่องโหว่แต่ละจุดเพื่อเข้าถึงข้อมูลผู้ใช้รวมไปถึงสั่งรันคำสั่งที่เป็นอันตรายต่อคอมพิวเตอร์หรืออุปกรณ์ ผู้ใช้งานไฟร์ฟ็อกซ์ยังได้รับคำแนะนำให้เปิดใช้งานฟีเจอร์ Click to Play เพื่อวิเคราะห์ปลั๊กอินและส่วนขยายแต่ล่ะตัวว่าปลอดภัยหรือไม่ ผู้ใช้งานทุกท่านควรรีบอัพเดทเป็นเวอร์ชันล่าสุดกันได้แล้วนะครับ

ที่มา - Mozilla Foundation Security Advisories via Threatpost

สำนักงานสอบสวนกลางแห่งสหรัฐอเมริกาหรือ FBI แผนกความปลอดภัยทางไซเบอร์ได้เริ่มวิเคราะห์ภัยทางอินเทอร์เน็ต และพิสูจน์ตัวตนของแฮกเกอร์แบบ 24 ชั่วโมง ตลอด 7 วันโดยผู้เชี่ยวชาญระดับพิเศษแล้ว ซึ่งการวิเคราะห์ภัยทางอินเทอร์เน็ตนั้นครอบคลุมทั้งฟิชชิ่ง, มัลแวร์ และอาชญากรรมทางคอมพิวเตอร์อื่นๆ

Richard McFeely หัวหน้าแผนกความปลอดภัยทางไซเบอร์ได้กล่าวว่า ปัจจุบันภัยทางอินเทอร์เน็ตที่ส่งผลกระทบต่อทั้งระบบภายในประเทศ สิทธิ และเสรีภาพของประชาชน รวมไปถึงความมั่นคงของชาตินั้นมีจำนวนเพิ่มขึ้นเป็นอย่างมาก FBI จึงได้มีการฝึกเจ้าหน้าที่พิเศษที่จะช่วยวิเคราะห์ต้นฉบับของมัลแวร์ รวมไปถึงการโจมตีแบบต่างๆ เพื่อเก็บข้อมูลและสาวไปถึงต้นตอของการโจมตี โดยทาง FBI ก็จะมีการร่วมมือกับทางหน่วยข่าวกรองและองค์กรทางด้านกฎหมาย เช่น กระทรวงกลาโหม (DoD), สภาความมั่นคงแห่งชาติ (NSA) และหน่วยอื่นๆ ใน FBI ด้วย

Richard McFeely ยังกล่าวเพิ่มเติมด้วยว่า ปัจจุบันผู้ก่อการร้ายต่างเปลี่ยนมาใช้การโจมตีบนอินเทอร์เน็ตเป็นจำนวนมาก ดังนั้นสิ่งสำคัญคือผู้ใช้จำเป็นต้องรู้และเข้าใจการทำงานของคอมพิวเตอร์ สามารถสังเกตความผิดปกติและแจ้งข้อมูลข่าวสารที่เป็นประโยชน์ให้กับหน่วยงานที่รับผิดชอบได้ ผู้ใช้งานควรเริ่มระมัดระวังอย่างจริงจังเสียที

ที่มา - FBI via The Hacker News

การอัพเกรดไปยัง Windows 8 อาจจะทำให้คนตื่นเต้นกับหน้าจอ Windows 8 UI แต่จริงๆ แล้วการอัพเกรดระบบปฎิบัติการ มีส่วนสำคัญคือการอัพเกรดเคอร์เนลภายในที่ต้องมีการยกเครื่องกันจำนวนมาก ตอนนี้หลายเว็บก็เริ่มมีรายงานว่าภายในมีอะไรปรับปรุงกันบ้างแล้ว

Sandbox: ฟีเจอร์สำคัญที่มาพร้อมกับระบบ Tile ของ Windows 8 UI จากเดิมที่แอพพลิเคชั่นจะทำงานเสมือนว่า "ผู้ใช้" เป็นคนทำด้วยตัวเอง ทำให้แอพพลิเคชั่นสามารถทำอะไรก็ได้ที่ผู้ใช้ทำได้ทั้งที่บางทีเป็นอันตราย เช่น ลบข้อมูลทั้งหมดของผู้ใช้คนนั้น ในระบบ Sandbox จะคล้ายกับแอนดรอยด์ที่แอพพลิเคชั่นต้องประกาศตัวก่อนอย่างละเอียดว่าจะทำอะไรบ้าง เช่น เข้าอ่านภาพใน Gallery (เขียนไม่ได้), หรือเชื่อมต่ออินเทอร์เน็ต ระบบนี้ทำให้แม้แอพพลิเคชั่นจะมีบั๊กจนถูกโจมตี ความเสียหายก็ยังจำกัดอยู่ในสิทธิที่ขอไว้เท่านั้น

นักวิจัยจากบริษัทที่ให้บริการโซลูชันด้านความปลอดภัย Core Security ได้เปิดเผยว่าพบช่องโหว่ "out-of-bounds read error condition" ในเฟิร์มแวร์ของชิป Broadcom รุ่น BCM4325 และ BCM4329 ที่อาจถูกใช้โจมตีแบบ DoS จนไม่สามารถเชื่อมต่อเครือข่าย Wi-Fi ได้ โดยที่ฟังก์ชันอื่นไม่ได้รับผลกระทบแต่อย่างใด แต่นักวิจัยก็กล่าวว่ากำลังตรวจสอบอยู่ว่าช่องโหว่นี้จะทำให้สามารถดึงข้อมูลส่วนตัวออกมาได้หรือไม่

อุปกรณ์ที่ได้รับผลกระทบประกอบด้วย iPhone 4, iPad, iPad 2, Droid Incredible 2, Droid X2 และรถยนต์ฟอร์ดรุ่น Edge สำหรับรายชื่ออุปกรณ์ทั้งหมดสามารถดูได้ที่เว็บไซต์ Core Security

นักวิจัยเสริมว่า Broadcom ได้ปล่อยอัพเดตเฟิร์มแวร์เพื่ออุดช่องโหว่ดังกล่าวแล้ว ทีนี้คงขึ้นกับผู้ผลิตว่าจะปล่อยตัวอัพเดตให้ผู้ใช้เมื่อใดเนื่องจากอุปกรณ์ที่ได้รับผลกระทบมีจำนวนมากและบางรุ่นก็เก่าและหมดการสนับสนุนไปแล้ว

ที่มา: Core Security ผ่าน Ars Technica

Craig Mundie ประธานฝ่ายวิจัยและกลยุทธ์ของไมโครซอฟท์ได้ให้สัมภาษณ์กับสื่อแห่งหนึ่งในเยอรมนี โดยกล่าวว่าการที่ผลิตภัณฑ์ของบริษัทได้รับการนำไปใช้อย่างกว้างขวางทำให้เป็นเป้าหมายของอาชญากรรมบนโลกไซเบอร์ และการที่บริษัทต้องต่อสู้กับเรื่องนี้ทำให้บริษัทไม่ได้ทุ่มเทไปกับอุปกรณ์พกพาที่บริษัทคิดค้นขึ้นมาก่อนและเคยเป็นผู้นำ (เครื่องเล่นเพลงก็มาก่อนไอพอด และอุปกรณ์ที่มีหน้าจอรองรับการสัมผัสก็มาก่อนไอแพด) ดังนั้นการที่บริษัทสูญเสียความเป็นผู้นำไม่ใช่เพราะบริษัทขาดวิสัยทัศน์หรือการมองการณ์ไกลในด้านเทคโนโลยีแต่อย่างใด แต่เขาก็ยอมรับว่าไมโครซอฟท์ก้าวพลาดไปในช่วงที่แอปเปิลเปิดตัวไอโฟน ทำให้ดูเหมือนบริษัทตามหลังไปหนึ่งเจนเนอเรชัน

The Verge เสริมว่า ถึงแม้ Mundie จะพูดถูกว่า Windows Mobile ประสบความสำเร็จก่อนการมาถึงของไอโฟนและมือถือบนแพลตฟอร์มแอนดรอยด์ อุปกรณ์ที่รองรับการสัมผัสและรันบนแพลตฟอร์มวินโดวส์ก็ไม่เคยได้รับความนิยมจากผู้บริโภค และเครื่องเล่นเพลง Zune ก็ได้รับการเปิดตัวช้าไปตั้งแต่ 5 ปีนับแต่ไอพอดเข้าสู่ตลาด นอกจากนั้นการทุ่มเทไปกับวิศวกรรมด้านความปลอดภัยอาจเป็นสาเหตุหนึ่งที่มีผลต่อการเปิดตัว Windows Vista ด้วย

หวังว่า Windows 8 และ Windows Phone 8 จะช่วยให้สถานการณ์ในตลาดอุปกรณ์พกพาดีขึ้น

ที่มา: SPIEGEL ONLINE ผ่าน BGR ผ่าน The Verge

เราเห็นข่าวคล้ายๆ กันแต่เป็นคู่ของ Verizon กับ McAfee กันไปแล้ว วันนี้เป็นคิวของโอเปอเรเตอร์อีกรายอย่าง T-Mobile USA และบริษัทความปลอดภัย Lookout กันบ้าง

จากข้อตกลงระหว่างสองบริษัทนี้ มือถือที่ใช้ Android ของ T-Mobile จะพรีโหลดแอพความปลอดภัย Lookout Automatic App Security มาให้พร้อมกับเครื่องฟรี เพื่อช่วยป้องกันความปลอดภัย และความเป็นส่วนตัวให้กับลูกค้าของ T-Mobile

แอพของ Lookout จะสแกนภัยคุกคามให้กับลูกค้าของ T-Mobile โดยอัตโนมัติ นอกจากนี้ยังเปิดโอกาสให้ Lookout ขยายฐานลูกค้าสำหรับเวอร์ชันพรีเมียม ที่มีฟีเจอร์แบ็คอัพไฟล์และลบข้อมูลจากระยะไกล โดยคิดค่าบริการ 2.99 ดอลลาร์ต่อเดือน

สินค้าที่จะได้พรีโหลดแอพตัวนี้ก่อนใครเพื่อนคือ LG Optimus L9 และ Samsung Galaxy Tab 2 10.1

ที่มา - T-Mobile

ระบบรักษาความปลอดภัยของเครื่องคอนโซลนั้นนับเป็นหนึ่งในรูปแบบการรักษาความปลอดภัยที่ซับซ้อนที่สุด จากการต่อสู้กับความพยายามแฮกเครื่องเพื่อติดตั้งระบบปฎิบัติการอื่นเพื่อนำไปใช้งานนอกเหนือการเล่นเกม หรือการแฮกเพื่อลงเกมผิดลิขสิทธิ์เองก็ตาม ที่ผ่านมาโซนี่ได้ต่อสู้กับความพยายามเหล่านี้ด้วยการปิดช่องโหว่ทุกครั้งที่มีการพบช่องโหว่ใหม่ แต่ล่าสุดก็มีการเปิดเผยกุญแจ LV0

ระบบรักษาความปลอดภัยของ PlayStation 3 นั้นตั้งอยู่บนพื้นฐานที่เฟิร์มแวร์ที่จะรันได้ จะต้องได้รับการับรองจากโซนี่ด้วยกุญแจลับ ทำให้คนทั่วไปไม่สามารถนำซอฟต์แวร์ของตัวเองมาติดตั้งได้ แม้ซีพียู Cell จะเป็นสถาปัตยกรรม POWER ที่มีเครื่องมือพัฒนาอยู่ทั่วไปรวมถึงมีลินุกซ์สำหรับชิปนี้ก็ตาม แต่ทั้ง bootloader และระบบปฎิบัติการต้องได้รับการยืนยันจากการตรวจสอบลายเซ็นดิจิตอลว่าเป็นซอฟต์แวร์จากโซนี่จริง

LV0 เป็นกุญแจที่ bootloader ใช้ยืนยันซอฟต์แวร์ที่จะมารันต่อจากมันทั้งหมด การที่มันหลุดออกมาทำให้แฮกเกอร์สามารถลงเฟิร์มแวร์ใหม่โดย bootloader เข้าใจว่าเป็นเฟิร์มแวร์จากโซนี่ได้ อย่างไรก็ดีกุญแจนี้สามารถอัพเดตได้

ทีม The Three Musketeers ผู้อ้างว่าสามารถแกะกุญแจนี้ออกมาได้ ไม่ได้เปิดเผยกระบวนการได้กุญแจนี้มา แต่บอกเหตุผลที่มาเปิดเผยกุญแจเพราะมีคนที่รู้กุญแจนี้หักหลังแล้วนำไปสร้างเฟิร์มแวร์ออกมาขาย ทางทีมไม่ต้องการให้มีคนหาเงินจากงานของพวกเขาจึงนำกุญแจนี้ออกมาเปิดเผย

ที่มา - ArsTechnica

คงไม่มีใครปฏิเสธได้ครับว่า SSL คือเทคโนโลยีหนึ่งที่สำคัญมากแบบขาดเสียไม่ได้ ทั้งในด้านธุรกรรมการเงิน การส่งต่อข้อมูลความลับต่างๆ ซึ่งเหตุผลหลักคือเพื่อป้องกันการโจมตีจากเหล่าบรรดาแฮกเกอร์ แต่เมื่อไม่นานมานี้ได้มีการเปิดเผยว่า SSL เมื่อถูกใช้งานในบางสถานการณ์นั้นอาจไม่ปลอดภัยอย่างที่เคยคิดกัน

เมื่อไม่นานมานี้ได้มีงานประชุม ACM Conference on Computer and Communications Security (CCS2012) ที่จัดเสร็จสิ้นในวันที่ 16-18 ตุลาคมที่ผ่านมา ซึ่งเป็นงานรวมตัวของนักพัฒนาโปรแกรม ผู้เชี่ยวชาญด้านความปลอดภัยทั้งจากภาครัฐ สถานศึกษา และเอกชน ได้เข้ามานำเสนอถึงทฤษฎีหรืองานวิจัยต่างๆ โดยหลังจากจบงานและเปเปอร์งานวิจัยต่างๆ ได้ขึ้นเว็บแล้วที่เว็บของ CCS 2012

เว็บไซต์แมคโดนัลด์ประเทศไทยถูกแฮกโดยแฮกเกอร์ผู้ใช้ชื่อว่า Maxney ซึ่งเป็นหนึ่งกลุ่มแฮกเกอร์ชาวตุรกี จากการโจมตี Maxney ได้เข้าถึงส่วนควบคุมระบบซึ่งทำให้เขาสามารถเข้าถึงข้อมูลลูกค้าได้ โดยข้อมูลที่เผยแพร่ออกมานั้นเป็นชื่อ ที่อยู่ หมายเลขโทรศัพท์กว่า 1,901 รายการ

ทางเว็บไซต์ Cyber War News ได้อ้างว่า Maxney เปิดเผยข้อบกพร่องของระบบความปลอดภัยว่า เว็บไซต์ดังกล่าวนี้มีการใช้รหัสผ่านที่ง่ายต่อการคาดเดามากส่งผลให้ผู้โจมตีเข้าถึงระบบได้อย่างง่ายดาย

อัพเดท 4:11 - คุณ @khajochi ได้ติดต่อไปทางทีมงานของบริษัท McDonalds Thailand เกี่ยวกับปัญหาด้านความปลอดภัยนี้แล้ว หากมีอะไรคืบหน้าจะมาเพิ่มเติมให้นะครับ

อัพเดท 19:20 - คุณ @khajochi ได้เพิ่มเติมรายละเอียดมาว่าทางบริษัทได้ทำการเพิกถอนบัญชีผู้ใช้ที่มีปัญหาทั้งหมดชั่วคราวเพื่อความปลอดภัยแล้ว ในเรื่องของรหัสผ่านของผู้ดูแลระบบนั้นมีความเป็นไปได้ว่าจะเป็นแฮกเกอร์ที่เปลี่ยนรหัสผ่านเอง โดยในขั้นตอนต่อไปจะเป็นการวิเคราะห์ล็อกไฟล์ว่ามีการแฮกเข้ามาด้วยวิธีไหนครับ

ที่มา - Cyber War News