ซอฟต์แวร์ปรับแต่งความเร็วและทำความสะอาดเครื่องออกมาทำตลาดอย่างหนักกันในช่วงหลัง หลายตัวมีพฤติกรรมแปลกๆ เช่นปรับแต่งค่าเบราว์เซอร์โดยไม่ได้รับอนุญาต, ตั้งพรอกซี่ในเครื่อง, ถอนออกยาก ตอนนี้ไมโครซอฟท์ก็ประกาศนโยบายใหม่ ปรับเงื่อนไขของซอฟต์แวร์ที่ไม่เป็นที่ต้องการ (unwanted software) และซอฟต์แวร์มุ่งร้าย (malicious software)

ไมโครซอฟท์ระบุที่มาของการปรับนโยบายครั้งนี้ว่าซอฟต์แวร์ปรับแต่งเครื่องหลายตัวแสดงความผิดพลาดจำนวนมากโดยไม่ชี้แจงที่มาของตัวเลขแต่เน้นความกลัวของผู้ใช้ ซอฟต์แวร์ปรับแต่งความเร็วก็มีบางตัวที่ไปแสดงไฟล์ prefetch ของวินโดวส์ว่าเป็นไฟล์ขยะ

ไมโครซอฟท์เสริมฟีเจอร์ด้านความปลอดภัยให้บริการคลาวด์ของตัวเองหลายตัว

ซัมซุงออกแพตช์ความปลอดภัย Security Maintenance Release (SMR) รอบเดือนกุมภาพันธ์ 2016 ให้กับมือถือกลุ่มเรือธง แพตช์ชุดนี้รวมเอาแพตช์ความปลอดภัยของกูเกิลรอบเดือนกุมภาพันธ์ 2016 บวกกับแพตช์ของซัมซุงเองที่อุดช่องโหว่อีก 7 จุด

มือถือกลุ่มเรือธงที่จะได้แพตช์นี้คือ Galaxy S5, Galaxy S6, Galaxy S6 edge, Galaxy S6 edge+, Galaxy Note 4 and Galaxy Note 5

ที่มา - Samsung, SamMobile

จากกรณีที่แอปเปิลเผยว่าบริษัทจะต่อสู้กับ FBI ล่าสุดในวันนี้แอปเปิลยื่นเอกสารคัดค้านคดีแก่ศาลเขตแคลิฟอร์เนียแล้ว จุดประสงค์คือขอให้ศาลเพิกถอนคำสั่งการทำรอมรุ่นพิเศษให้แก่ FBI

เอกสารที่แอปเปิลยื่นมีความยาวทั้งหมด 65 หน้า หลักๆ พูดถึงในเรื่องความเป็นส่วนตัวของข้อมูลและสิทธิของผู้ใช้งานซึ่ง Tim Cook ให้ความสำคัญกับมันมาก รวมถึงผลกระทบที่อาจจะเกิดขึ้นถ้าเกิดรอมตัวนี้หลุดสู่โลกอินเทอร์เน็ต ซึ่งไม่มีใครรับประกันได้ว่าข้อมูลทั้งหมดไม่ถูกสอดส่องโดยภาครัฐหรือแฮกเกอร์

ในคดีของ FBI ครั้งนี้ Apple เชื่อว่า FBI จะปิดคดีลงได้โดยไม่ต้องพึ่งพาข้อมูลจาก iPhone ที่ถูกยึดมาก็ตาม

เมื่อปลายปีที่ผ่านมามีข่าว Juniper Netscreen มีช่องโหว่ให้บุคคลภายนอกสามารถมาสั่งงาน Firewall ได้ หลังจากนั้นก็เป็นช่องโหว่ของ Fortigate และ Firewall Cisco ASA

มาคราวนี้เป็น Palo Alto Networks อุปกรณ์ Firewall ชื่อดัง ประกาศพบช่องโหว่ร้ายแรงที่เกิดจาก Buffer Overflow จากให้บริการผ่านหน้าเว็บ GlobalProtect หรือหน้า SSL VPN จนทำให้สามารถโจมตีโดยวิธี denial-of-service (DoS) ให้เครื่องหยุดการทำงานได้ หรืออาจจะโดนสั่งงานจากภายนอกโดยไม่ต้องยืนยันตัวตนได้

Marc Newlin นักวิจัยจาก Bastille’s Threat Research Team รายงานช่องโหว่ MouseJack ช่องโหว่จากการเขียนเฟิร์มแวร์สำหรับเมาส์และคีย์บอร์ดไร้สาย ทำให้แฮกเกอร์สามารถยิงคำสั่งเข้าไปยังตัวรับเมาส์/คีย์บอร์ดไร้สายที่ต่อกับคอมพิวเตอร์อยู่ได้

โดยปกติแล้วเมาส์ไร้สายจะส่งข้อมูลที่ไม่เข้ารหัส แต่คีย์บอร์ดมักจะเข้ารหัสเอาไว้ แต่ช่องโหว่ MouseJack ทำให้ USB dongle จำนวนหนึ่งรับคำสั่งคีย์บอร์ดที่ไม่เข้ารหัสทำให้แฮกเกอร์สามารถยิงคำสั่ง ไปจนถึงการอัพโหลดสคริปต์เข้าไปยังเครื่องคอมพิวเตอร์ที่ติดตั้ง dongle ที่มีช่องโหว่นี้ได้จากระยะไกล

ก่อนหน้านี้เราเห็นข่าวรถยนต์จากค่าย GM โดนแฮ็กมาแล้ว (อ่านได้จากบทความ มหากาพย์ GM กับการแก้ปัญหารถยนต์ถูกแฮกผ่านระบบ OnStar ที่ดำเนินมาเกือบ 5 ปี) คราวนี้มาดูรถญี่ปุ่นถูกแฮ็กกันบ้าง

นักวิจัยด้านความปลอดภัยสองคนค้นพบช่องโหว่ในรถยนต์ไฟฟ้า Nissan Leaf โดยเป็นการแฮ็กผ่าน API ของแอพใน iOS และ Android ส่งผลให้ใครก็ตามที่รู้เลขตัวถังรถยนต์ (VIN) สามารถเรียกดูข้อมูลต่างๆ ของรถคันนั้นได้ทันที ซึ่งเลขตัวถังก็โชว์หราอยู่หน้ากระจกเลยทีเดียว

เมื่อปี 2013 ทาง Google เปิดตัวโครงการ Project Shield ด้วยเป้าหมายเพื่อช่วยเว็บไซต์ในการเอาตัวรอดจากการโจมตี DDoS ซึ่งแรกเริ่มใช้ระบบการเชิญให้ผู้พัฒนาเว็บไซต์บางเว็บเท่านั้นให้เข้าใช้บริการได้ แต่ตอนนี้ Google เปิดให้เว็บไซต์ข่าวโดยทั่วไปสมัครขอใช้งาน Project Shield กันได้ฟรีแล้ว

ASUS ยอมความกับคณะกรรมการการค้าสหรัฐฯ (FTC) หลังจากมีรายงานว่าเราท์เตอร์ถูกแฮก จนมีผลกระทบเป็นวงกว้าง และหน้าจอแจ้งอัพเดตของเราท์เตอร์กลับระบุว่าเฟิร์มแวร์เป็นรุ่นล่าสุดแม้จะมีเฟิร์มแวร์ใหม่ออกมาแล้ว

ภายใต้ข้อตกลงนี้ FTC สั่งให้ ASUS ต้องทำตามกระบวนการพัฒนาซอฟต์แวร์ที่มีความปลอดภัย ด้วยการจัดหาผู้รับผิดชอบความปลอดภัยซอฟต์แวร์, มีกระบวนการตรวจสอบโค้ด, จัดให้มีการตรวจสอบจากผู้ตรวจสอบภายนอกทุกๆ 2 ปีไปอีก 20 ปี, และแจ้งเตือนผู้ใช้อย่างชัดเจนทุกครั้งเมื่อมีการอัพเดตช่องโหว่ความปลอดภัย

หากในอนาคต ASUS ทำผิดจากข้อตกลงนี้จะถูกปรับครั้งละ 16,000 ดอลลาร์

จากประเด็นร้อนแรงที่ FBI อาศัยคำสั่งศาลขอให้ Apple ทำรอมแบบพิเศษเพื่อให้สามารถปลดล็อก iPhone ของผู้ก่อเหตุกราดยิงที่ San Bernardino เมื่อปลายปีก่อน ซึ่ง Apple ได้แสดงจุดยืนคัดค้านเรื่องนี้ด้วยเป็นห่วงเรื่องความปลอดภัยของข้อมูลในเครื่อง iPhone ของผู้ใช้ทั่วโลก ซึ่งหลายฝ่าย (1, 2, 3) ก็ออกมาหนุนหลัง Apple เรื่องต่อสู้กับคำสั่งดังกล่าวกันเต็มที่ แต่หนึ่งในผู้ก่อตั้ง Microsoft นั้นเห็นต่างออกไป

ปี 2016 เป็นปีสำคัญสำหรับความเปลี่ยนแปลงด้านความปลอดภัยของความปลอดภัยของเว็บ เพราะเป็นปีที่ใบรับรองดิจิทัล Let's Encrypt เริ่มให้บริการฟรีตั้งแต่ต้นปี พร้อมทั้งฝั่งโฮสติงที่ทยอยรองรับเพิ่มขึ้นเรื่อยๆ ปีนี้เราจึงมาสำรวจกันว่าเว็บใดใช้การรองรับแบบใดกันแล้วบ้าง

รูปแบบการรองรับ HTTPS

การรองรับ HTTPS มีได้หลายแบบ หลายเว็บเลือกที่จะรองรับทั้ง HTTP และ HTTPS ไปพร้อมกัน ซึ่งอาจเกิดจากข้อจำกัดบางประการของแอปพลิเคชันภายใน บางเว็บอาจจะเปิดให้บริการไว้โดยที่รองรับเพียงบางหน้า เช่น หน้าจ่ายเงิน บางเว็บอาจจะยอมรับการโหลดภาพจากเว็บ HTTP ธรรมดา เบื้องต้นเราทำความเข้าใจกับความแตกต่างของการรองรับแต่ละแบบกันก่อน

เว็บไซต์ Linux Mint โดนแฮ็ก และไฟล์ ISO ของ Linux Mint ถูกสับเปลี่ยนเป็นเวอร์ชันที่แอบฝัง backdoor มาในระบบด้วย

เหตุการณ์เกิดขึ้นเมื่อวานนี้ (20 ก.พ. 59) ใครที่ดาวน์โหลดไฟล์ ISO ของ Linux Mint 17.3 Cinnamon ควรตรวจสอบค่า checksum กับไฟล์ที่ถูกต้องทันที ในกรณีที่ติดตั้งไปแล้ว ให้ตัดเน็ตก่อน แล้วเช็คว่าในระบบมีไฟล์ /var/lib/man.cy หรือไม่ ถ้ามีแปลว่าเป็นเวอร์ชันที่โดนวาง backdoor ซึ่งทางทีมงานขอให้ล้างเครื่องแล้วติดตั้งใหม่

ตอนนี้เว็บไซต์ Linux Mint ยังล่มอยู่ครับ แต่ไฟล์ ISO สามารถดาวน์โหลดได้จาก mirror อื่น

ที่มา - Linux Mint Blog

ค่า MD5 checksum ที่ถูกต้องของไฟล์แท้ (ถ้าผิดจากนี้แปลว่าปลอม)

เมื่อสัปดาห์ที่ผ่านมา ศูนย์การแพทย์ Hollywood Presbyterian ซึ่งเป็นโรงพยาบาลเอกชนที่ตั้งอยู่ในเมือง Los Angeles มลรัฐแคลิฟอร์เนียของสหรัฐอเมริกา ออกมาเปิดเผยว่าถูกโจมตีจาก ransomware ในระบบอิเล็กทรอนิกส์ของโรงพยาบาล โดยการโจมตีเริ่มในวันที่ 5 กุมภาพันธ์ และขยายไปทุกส่วนของโรงพยาบาล

ระบบที่ได้รับผลกระทบมีตั้งแต่ระบบเวชระเบียนคนไข้อิเล็กทรอนิกส์ (EMR) ไปจนถึงระบบ CT scans, งานด้านห้องปฏิบัติการ รวมไปถึงห้องฉุกเฉินก็ได้รับผลกระทบไปด้วย เจ้าหน้าที่ต้องกลับไปใช้เวชระเบียนและเอกสารบนกระดาษอีกครั้ง และร้องขอความช่วยเหลือจากหน่วยงานอย่าง LAPD และ FBI เพื่อจัดการกับปัญหานี้ ส่วนคนไข้ก็ถูกส่งต่อไปยังโรงพยาบาลอื่นๆ

เรื่องราวที่ศาลมีคำสั่งให้ Apple ต้องทำรอมพิเศษเพื่อใช้ในการข้ามการตั้งค่าความปลอดภัยในกรณีกราดยิงที่เมือง San Bernardino นั้นยังไม่จบ เมื่อกระทรวงยุติธรรมของรัฐบาลกลางสหรัฐฯ (Department of Justice) ได้ยื่นต่อศาลกลางของมลรัฐแคลิฟอร์เนีย เพื่อขอให้ Apple ดำเนินการตามคำสั่งศาลก่อนหน้าแล้วอย่างเป็นทางการ

เอกสารดังกล่าวมีความยาว 35 หน้า ซึ่งระบุว่า Apple มีเจตนาอย่างชัดเจนที่จะคัดค้านคำสั่งนี้ และทำให้การค้นหาหลักฐานหรือข้อมูลที่เกี่ยวข้องกับรูปคดีนั้นไม่สามารถดำเนินการได้ กระทรวงยุติธรรมของรัฐบาลกลางสหรัฐฯ ในฐานะผู้ยื่นฟ้อง จึงต้องการให้ศาลออกคำสั่งบังคับให้ Apple ทำตามคำสั่งศาลในตอนแรกโดยไม่ชักช้า

เมื่อวันเสาร์ที่แล้วมีรายงานทดสอบความปลอดภัยของการตั้งค่า TLS โดย rtsp จาก INOX สำหรับการเข้าเว็บธนาคารออนไลน์ของธนาคารในไทย และถูกแชร์ไปตามเว็บเครือข่ายสังคมออนไลน์หลายแห่ง วันนี้รายงานล่าสุดหลายธนาคารปรับปรุงจนไม่มีใครมีช่องโหว่ร้ายแรงแล้ว

จากกรณีที่แอปเปิลประกาศต่อสู้กับศาล เราเห็นแนวร่วมในวงการไอทีสนับสนุนกันมาแล้วถึง 3 ราย คือ กูเกิล, EFF และ WhatsApp ล่าสุดมีแนวร่วมเพิ่มมาอีก 3 ราย คือ ไมโครซอฟท์, เฟซบุ๊ก และ ทวิตเตอร์ ที่ออกมาสนับสนุนแอปเปิลในเรื่องนี้

ไมโครซอฟท์ใช้วิธีการสนับสนุนผ่าน Reform Government Surveillance (RGS) ซึ่งเป็นหน่วยงานที่ไมโครซอฟท์ตั้งขึ้น โดย RGS ระบุว่าเห็นด้วยกับความต้องการของ FBI แต่ก็ไม่เห็นด้วยที่จะต้องใช้วิธีการทำ Backdoor เพื่อเพิ่มความเสี่ยงให้กับข้อมูลของผู้ใช้ และ RGS จะร่วมสนับสนุนแอปเปิลในการต่อสู้คดีในครั้งนี้

เอฟบีไอยื่นคำร้องต่อศาลแคลิฟอร์เนียร์ออกคำสั่งให้แอปเปิลต้องทำรอมรุ่นพิเศษเพื่อให้เอฟบีไอสามารถเข้าถึงข้อมูลในโทรศัพท์ที่ยึดมาได้จากคดี San Bernardino ที่เกิดเหตุยิงกราดจนมีผู้เสียชีวิตถึง 14 คน โดยโทรศัพท์นั้นถูกล็อกรหัสผ่านเอาไว้

โดยปกติแล้ว iOS จะมีระบบป้องกันความพยายามเดารหัสผ่านโดยจะหน่วงเวลาช้าลงเรื่อยๆ เมื่อใส่รหัสผ่านผิดซ้ำ และเมื่อถึงจำนวนครั้งที่กำหนดก็สามารถตั้งให้ลบข้อมูลออกจากเครื่องได้ทันที

หลังๆ เราเริ่มเห็นบริการ Family Share Plan กันมากขึ้น โดยส่วนใหญ่มักเป็นบริการความบันเทิงแบบเหมาจ่าย ทั้งดูหนังและฟังเพลงออนไลน์ แต่ล่าสุดเรากำลังมีบริการเก็บรหัสผ่านแบบแชร์บ้างแล้วครับ

แอพจัดการรหัสผ่าน 1Password เปิดตัวบริการใหม่ 1Password for Families ที่ต่อยอดจากบริการ 1Password for Teams เดิมที่เป็นบริการแบบเหมาจ่ายสำหรับองค์กร โดยบริการตัวใหม่สามารถใช้กับคนในครอบครัวได้สูงสุด 5 คน ในราคาไม่แพงที่ 5 ดอลลาร์ต่อครอบครัวต่อเดือน

หลังจากที่มีการปรับปรุงเรื่องของการล็อกอินหลายบัญชีไป ล่าสุด Instagram เริ่มเปิดใช้การล็อกอินสองปัจจัย (two-factor authentication) แก่ผู้ใช้ Instagram แล้ว

ขั้นตอนก็ไม่ต่างจากการล็อกอินสองปัจจัยปกติ คือการยืนยันหมายเลขโทรศัพท์ที่จะส่งรหัสยืนยันการเข้าระบบ (OTP) ไปยังโทรศัพท์มือถือของผู้ใช้ เพื่อให้กระบวนการลงชื่อเข้าใช้งานเสร็จสมบูรณ์

ทาง Instagram ระบุกับ The Verge ว่าจะทยอยเปิดคุณสมบัติดังกล่าวนี้ให้กับผู้ใช้งานอย่างค่อยเป็นค่อยไป (slowly) ครับ

ที่มา - The Verge

ทีมงานกูเกิลและ Redhat พบช่องโหว่ความปลอดภัยในไลบรารี glibc ในช่วงเวลาคาบเกี่ยวกันโดยไม่ได้นัดหมาย กูเกิลระบุว่าวิศวกรพบพฤติกรรมแปลกๆ ว่าซอฟต์แวร์ SSH client จะแครชทุกครั้งที่พยายามเชื่อมต่อไปยังเครื่องๆ หนึ่ง เมื่อตรวจสอบบั๊กนี้จึงพบว่าเป็นช่องโหว่ความปลอดภัย

ช่องโหว่นี้รายงานโดย Robert Holiday มาตั้งแต่กลางปีที่แล้ว แต่เมื่อทีมงาน Redhat พบว่าเป็นช่องโหว่ความปลอดภัยภายหลัง การพูดคุยหลังจากนั้นจึงเป็นการพูดคุยนอกช่องทางสาธารณะทั้งหมด และทาง Redhat ก็ปล่อยแพตช์ออกมาในวันนี้พร้อมกันกับรายงานของกูเกิล

มัลแวร์เข้ารหัสข้อมูลเรียกค่าไถ่ (ransomware) ไม่ได้มุ่งหมายจะทำลายข้อมูลของเหยื่อเป็นหลักแต่มุ่งเรียกเงินจากเหยื่อ ปัญหาคือเหยื่อจำนวนมากจ่ายบิตคอยน์ไม่เป็นทำให้อาชญากรเสียรายได้ ก่อนหน้านี้ก็เคยมีรายงานว่ามัลแวร์เหล่านี้เปิดเว็บบอร์ดให้เหยื่อเข้าไปสอบถามข้อมูลได้ รายงานล่าสุดคือมัลแวร์ PadCrypt นั้นถึงกับมีบริการแชตแล้ว

สัปดาห์ที่แล้ว Trend Micro ประเทศไทย แถลงภาพรวมด้านความปลอดภัยไซเบอร์ในปี 2558 รวมถึงพยากรณ์แนวโน้มความปลอดภัยในปี 2559 และทิศทางธุรกิจของ Trend Micro ในบ้านเรา

งานนี้ได้คุณปิยธิดา ตันตระกูล ผู้จัดการประจำประเทศไทยคนใหม่ของ Trend Micro มาเป็นผู้แถลงเอง รวมถึงคุณคงศักดิ์ ก่อตระกูล ผู้จัดการอาวุโสด้านเทคนิค มาให้ข้อมูลเรื่องสถานการณ์ความปลอดภัยด้วย (คุณคงศักดิ์ เคยมาเป็นวิทยากรในงาน Blognone Quest ปี 2014)

ทีมงาน Debian แจ้งเตือนระยะซัพพอร์ตของ Debian 6.0 squeeze ว่าจะสิ้นสุดลงในวันที่ 29 กุมภาพันธ์ 2016 (5 ปีหลังออกเวอร์ชันแรก) หลังจากนั้น Debian จะไม่ออกแพตช์ความปลอดภัยใดๆ ให้กับ Debian 6.0 อีกแล้ว

Debian 7 wheezy จะกลายมาเป็นดิสโทรแบบ Long Term Support (LTS) แทน ยาวนานไปถึงเดือนพฤษภาคม 2018

ใครที่ยังรัน Debian 6 อยู่ก็ได้เวลาเตรียมอัพเกรดครับ

ที่มา - Debian

ใครใช้ Cisco ASA Firewall รุ่นตามรายการด้านล่างนี้รีบอัพเกรด Firmware กันด่วนครับ เนื่องจากนักวิจัยความปลอดภัยจาก Exodus Intelligence ประกาศค้นพบช่องโหว่ร้ายแรงบนอุปกรณ์ Cisco ASA Firewall หลายรุ่นบน CVE-2016-1287 ที่ได้รับคะแนนความรุนแรงของช่องโหว่ 10 เต็ม (ไม่ต้องยืนยันตัวตน โจมตีผ่านเครือข่ายได้ระยะไกล ความซับซ้อนต่ำ และบุกรุกเข้าไปยึดระบบได้สมบูรณ์)

ช่องโหว่ดังกล่าวเกิดในกระบวนการรองรับการจัดการแพคเก็ตของข้อมูลที่ถูกแตกเป็นชิ้นย่อยๆ (Fragment) ของส่วนจัดการ Internet Key Exchange โดยผู้โจมตีสามารถสร้างแพคเก็ตข้อมูลแบบพิเศษ เพื่อทำให้ระบบเกิดบัฟเฟอร์ล้น จนทำให้ระบบต้องรีโหลดใหม่ หรือสามารถสั่งทำงานโค้ดไม่พึงประสงค์ได้ครับ

ไมโครซอฟท์ปล่อยแพตช์ตามรอบปกติให้กับวินโดวส์ ช่องโหว่ร้ายแรงระดับวิกฤติยังคงเป็นของเบราว์เซอร์ทั้ง Internet Explorer (MS16-009) และ Edge (MS16-011) ขณะที่ตัววินโดวส์เองมีช่องโหว่ทำให้แฮกเกอร์รันโค้ดได้จากไฟล์ PDF (MS16-012) หรือไฟล์ Windows Journal (MS16-013) สำหรับเซิร์ฟเวอร์ช่องโหว่ในการจัดการไฟล์ออฟฟิศ (MS16-015) อาจจะทำให้แฮกเกอร์เข้ามารันโค้ดได้ กระทบไปถึง SharePoint Server 2013

นอกจากซอฟต์แวร์ของไมโครซอฟท์เอง ยังมีแพตช์ให้กับ Adobe Flash (MS16-022) มาด้วยพร้อมกัน

ช่องโหว่เหล่านี้ยังไม่มีรายงานว่าเคยถูกเปิดเผยมาก่อน และไม่มีรายงานว่ามีการเจาะระบบด้วยช่องโหว่เหล่านี้แล้ว ใครยังไม่อัพเดตก็น่าจะรีบอัพเดตให้เรียบร้อย