Tags:
Node Thumbnail

โครงการแจกใบรับรองฟรี Let's Encrypt เข้าสู่ช่วงปล่อยใบรับรองจริงช่วงแรก โดยยังไม่ได้รับรองรับรองซ้อนมาจาก IdenTrust ทำให้ไม่เบราว์เซอร์ทั่วไปไม่รองรับ (จะขึ้นหน้าจอเตือน Invalid Certification Authority)

ใบรับรองชุดแรกออกมาตั้งแต่เมื่อวานนี้ และทาง Let's Encrypt ประกาศเริ่มต้นเข้าสู่ช่วงออกใบรับรองในวันนี้

ระหว่างนี้หากต้องการให้เบราว์เซอร์เชื่อถือเว็บที่ Let's Encrypt รับรองจะต้องติดตั้งใบรับรองของ ISRG ลงในเครื่อง ใบรับรองทดสอบอยู่ที่เว็บ helloworld.letsencrypt.org

Node Thumbnail

การเข้ารหัสแบบ RC4 มีความปลอดภัยต่ำ เพราะกระบวนการสุ่มเลขไม่ดีเท่าที่ควร ซึ่งในแวดวงความปลอดภัยเองก็เตรียมถอด RC4 ออกจากมาตรฐาน IETF มาได้สักพักแล้ว

วันนี้ผู้พัฒนาเบราว์เซอร์รายใหญ่ 3 ค่ายคือ Google, Microsoft, Mozilla ออกมาประกาศแผนว่าจะถอดการใช้งาน RC4 ออกจากเบราว์เซอร์ของตัวเอง (Chrome, IE, Edge, Firefox) พร้อมกันในช่วงต้นปี 2016

การถอด RC4 ไม่ส่งผลกระทบต่อผู้ใช้ทั่วไปมากนัก เพราะปัจจุบันเราใช้การเชื่อมต่อปลอดภัย HTTPS ผ่านโพรโทคอล TLS 1.2 ในขณะที่ RC4 จะถูกใช้ต่อเมื่อเซิร์ฟเวอร์ไม่รองรับ TLS 1.2 หรือ 1.1 และถอยกลับ (fallback) มาเชื่อมต่อผ่าน TLS 1.0 แทน

Tags:
Node Thumbnail

Let's Encrypt บริการออกใบรับรองโดเมนฟรีมีกำหนดการเปิดบริการทั่วไปกลางเดือนกันยายนนี้ ตอนนี้ทางโครงการก็ออกมาประกาศเลื่อนออกไปเป็นวันที่ 16 พฤศจิกายนแล้ว

กำหนดการนี้เลื่อนออกไปจากเดิมประมาณสองเดือนสำหรับบริการทั่วไป และสองเดือนครึ่งสำหรับการเปิดบริการเฉพาะกลุ่ม

ทางโครงการไม่ได้บอกเหตุผลของการเลื่อนไว้ตรงๆ แต่บอกเพียงว่าเพื่อใช้เวลาปรับปรุงระบบ

ที่มา - Let's Encrypt

Tags:
Node Thumbnail

ที่งานประชุมวิชาการ Symposium On Usable Privacy and Security ปีนี้ ทีมวิจัยของกูเกิลได้สำรวจความแตกต่างระหว่างผู้เชี่ยวชาญความปลอดภัยและผู้ใช้ทั่วไปว่ามีแนวทางการป้องกันตัวเองต่างกันอย่างไรบ้าง

แบบสำรวจส่งให้กับผู้เชี่ยวชาญผ่านเว็บบล็อคของกูเกิล และชักชวนออนไลน์ โดยต้องทำงานเกี่ยวกับความปลอดภัยคอมพิวเตอร์มาอย่างน้อยห้าปี เทียบกับแบบสำรวจผ่านจากผู้ใช้ Amazon Mechanical Turk ที่ความน่าเชื่อถือสูง (ผ่านงานมาอย่างน้อย 500 งาน และได้มี approval rate 95% ขึ้นไป) คำถามหลักของแบบสำรวจคือ ให้บอกรายการ 3 สิ่งที่สำคัญที่สุดเพื่อความปลอดภัยออนไลน์

Tags:
Topics: 
Node Thumbnail

กระบวนการเข้ารหัสแบบ RC4 มีความเป็นไปได้ที่จะถูกเจาะมานานจากปัญหาคุณภาพเลขสุ่มเทียมที่ไม่ดีนัก แต่ก่อนหน้านี้แม้ RC4 จะมีความปลอดภัยต่ำกว่าที่ออกแบบไว้แต่ก็ยังไม่มีใครสาธิตการถอดรหัสภายในเวลาที่เป็นจริงนัก งานวิจัยล่าสุดจาก Mathy Vanhoef และ Frank Piessens นำเสนอการถอดรหัส cookie จาการเชื่อมต่อเว็บได้ภายในเวลาเพียง 75 ชั่วโมงเข้าใกล้การโจมตีอย่างจริงจังมากขึ้น

กระบวนการถอดรหัสนี้ นักวิจัยวางเว็บล่อให้เหยื่อเปิดทิ้งไว้เว็บล่อนี้จะส่ง request ไปยังเว็บที่เข้ารหัสด้วย HTTPS แบบ RC4 ด้วยความถี่ถึง 4450 ครั้งต่อวินาที ตัวนักวิจัยดักฟังข้อมูลทั้งหมด

Tags:
Node Thumbnail

แนวทางการบังคับ HTTPS ในเว็บใหญ่ๆ มากขึ้นเรื่อยๆ ตอนนี้ชุมชนออนไลน์ขนาดใหญ่อย่าง Reddit ก็ประกาศแล้วว่าวันที่ 29 มิถุนายนนี้จะบังคับเข้าเว็บผ่าน HTTPS เท่านั้น

Reddit เพิ่งเปิดบริการ HTTPS มาเมื่อเดือนกันยายนปีที่แล้ว

เว็บบางส่วนของ Reddit จะใช้งานไม่ได้หลังการบังคับใช้ HSTS เต็มรูปแบบ เพราะทาง Reddit ใช้ใบรับรองแบบ wildcard แต่ใบรับรองเหล่านี้ไม่สามารถใช้งานกับซับโดเมนระดับสอง เช่น www.np.reddit.com

ที่มา - Reddit

Tags:
Node Thumbnail

Wikimedia Foundation ผู้ดูแลเว็บไซต์ Wikipedia และเว็บอื่นๆ ในเครือจำนวนมากประกาศว่าตอนนี้การย้ายเว็บทั้งหมดไปใช้ HTTPS ตั้งแต่ปี 2013 เริ่มเข้ามาถึงช่วงสุดท้าย

นอกจากการเปิด HTTPS แล้ว ทาง Wikimedia จะเปิดใช้ HSTS เพื่อบังคับให้เบราว์เซอร์เข้าเว็บแบบ HTTPS ตลอด

ทาง Wikimedia คาดว่าจะใช้เวลาไม่กี่สัปดาห์เพื่อให้เว็บทั้งหมดบังคับใช้ HTTPS ตอนที่เขียนอยู่นี้ผมทดสอบ th.wikipedia.org พบว่ายังไม่บังคับ แต่ en.wikipedia.org บังคับแล้ว ตอนนี้ถ้าใครเข้าเว็บภาษาอังกฤษก็จะพบว่าเบราว์เซอร์ไม่ส่งข้อมูลที่ไม่เข้ารหัสออกจากเบราว์เซอร์แล้ว

Tags:
Node Thumbnail

ฟีเจอร์เล็กๆ ของ iOS 9 ที่ไม่ได้ถูกพูดถึงบนเวทีคือ App Transport Security (ATS) ที่น่าจะเป็นจุดเริ่มต้นของการบังคับให้ผู้พัฒนาแอพทั้งหมดต้องเชื่อมต่อกลับเซิร์ฟเวอร์ด้วย HTTPS เท่านั้น โดยต้องระบุโดเมนที่ต้องการเชื่อมต่อไว้ล่วงหน้า ATS จะเปิดทำงานเป็นค่าเริ่มต้นเพื่อป้องกันไม่ให้แอพเปิดเผยข้อมูลผู้ใช้โดยไม่ตั้งใจ

Tags:
Node Thumbnail

IE11 บน Windows 10 เริ่มทดสอบรองรับมาตรฐานการเข้ารหัสเว็บตลอดเวลา HSTS มาตั้งแต่เดือนกุมภาพันธ์ ตอนนี้อัพเดตล่าสุด KB3058515 ก็อัพเดตไปยัง Windows 7 และ Windows 8.1 แล้วทำให้ IE11 บนวินโดวส์ทั้งสองรุ่นรองรับ HSTS เต็มรูปแบบ

เว็บจำนวนหนึ่งจะบังคับเอาไว้ในตัวเบราว์เซอร์ว่าต้องเข้าเว็บด้วย HTTPS เท่านั้นโดยไมโครซอฟท์ใช้รายชื่อมาจากกูเกิล และรองรับการประกาศเว็บด้วยค่าใน header ของ HTTP ด้วยฟิลด์ Strict-Transport-Security

ใครได้อัพเดตแล้วก็จะเริ่มเข้าเว็บยอดนิยมโดยไม่มี HTTP อีกต่อไป

Tags:
Node Thumbnail

เมื่อเดือนมีนาคมรัฐบาลโอบามาประกาศแนวทางให้เว็บของหน่วยงานรัฐบาลกลางทั้งหมดต้องเป็น HTTPS ภายในสองปีโดยนำร่างแนวทางการอัพเกรดขึ้น GitHub เพื่อให้ประชาชนส่งข้อเสนอเข้ามา ตอนนี้ร่างทั้งหมดก็ลงถึงช่วงใช้งานจริง โดย Tony Scott CIO ของรัฐบาลกลางได้ลงนามเป็นบันทึกถึงผู้บริหารของหน่วยงานภายใต้รัฐบาลกลางทั้งหมดให้เตรียมอัพเกรดไปใช้ HTTPS ภายในสิ้นปี 2016

หลักการของร่างประกาศนี้ไม่เปลี่ยนไปจากเมื่อเดือนมีนาคมนัก เว็บรัฐบาลยังคงแบ่งออกเป็นสี่ระดับ ได้แก่ เว็บสร้างใหม่ต้องเป็น HTTPS เท่านั้น, เว็บเดิมที่มีข้อมูลส่วนตัวต้องให้ความสำคัญก่อน, เว็บที่เหลือจะมีเวลาถึง 31 ธันวาคม 2016, และยกเว้นให้กับเว็บในอินทราเน็ต

Tags:
Node Thumbnail

ส่วนประกอบที่สำคัญสำหรับ SSL นั้นมีสองส่วนหลักๆ คือ กุญแจสาธารณะ และลายเซ็นดิจิทัล ซึ่งในปัจจุบันนิยมใช้ค่าแฮชของ SHA-1 มาเข้ารหัสด้วยกุญแจ RSA จาก CA (Certificate Authority) จึงจะได้ลายเซ็นดิจิทัลออกมา

หลังจากที่ Google ประกาศนโยบายให้ SHA-1 ไม่ปลอดภัยตั้งแต่ต้นปี 2015 เป็นต้นไป

รวมถึงข่าวเก่าได้ระบุว่า SHA-1 นั้น เริ่มไม่ปลอดภัยมากขึ้นตามเทคโนโลยีที่ก้าวกระโดด

Tags:
Node Thumbnail

ทีมวิจัยจากมหาวิทยาลัยหลายแห่งและไมโครซอฟท์ประกาศช่องโหว่ของ TLS ที่ชื่อว่า Logjam สามารถเจาะการเชื่อมต่อทำให้การเชื่อมต่อไปใช้มาตรฐานการเชื่อมต่อ Diffie-Hellman ขนาด 512 บิต หรือ DHE_EXPORT และสามารถถอดรหัสได้โดยง่าย

Tags:
Node Thumbnail

มอซิลล่าผู้พัฒนาเบราว์เซอร์ไฟร์ฟอกซ์ประกาศแผนการกดดันให้เว็บเลิกใช้งาน HTTP ที่ไม่เข้ารหัส โดยแบ่งแผนการออกมาเป็นสองลำดับ

  1. เมื่อถึงวันที่กำหนด ฟีเจอร์ใหม่ๆ ทั้งหมด ไม่ว่าจะเป็นฟีเจอร์ใดๆ จะไม่ทำงานบนเว็บ HTTP อีกต่อไป
  2. ค่อยๆ ปิดฟีเจอร์เดิมที่เกี่ยวข้องกับความปลอดภัยและความเป็นส่วนตัวของผู้ใช้ออกไปจากเว็บที่ไม่เข้ารหัส

แนวทางนี้ยังคงเป็นกรอบกว้างๆ ที่สำคัญคือยังไม่มีการกำหนดวันที่ตัดฟีเจอร์ใหม่ออกจากเว็บ HTTP และยังต้องนิยามฟีเจอร์ใหม่ที่เว็บ HTTP จะใช้งานไม่ได้ให้ชัดเจน ฟีเจอร์ที่อาจจะใช้งานไม่ได้ เช่น การเข้าถึงฮาร์ดแวร์ด้วย API ใหม่ๆ

Tags:
Node Thumbnail

ที่งาน RSA Conference วันนี้ Will Dormann นักวิจัยจาก CERT ที่มหาวิทยาลัย Carnegie Mellon รายงานถึงช่องโหว่การตรวจสอบใบรับรอง SSL ที่มีแอพจำนวนมากเขียนโค้ดอย่างหละหลวม ทำให้ตัวแอพไม่ตรวจสอบใบรับรองทำให้แฮกเกอร์สามารถดักฟังแบบ man-in-the-middle ได้

Dormann ระบุว่าทาง CERT ตรวจสอบแอพกว่าล้านรายการเมื่อต้นปีที่ผ่านมา และพบแอพที่มีช่องโหว่นี้มากถึง 23,667 แอพ ทางทีมงานได้ส่งอีเมลไปแจ้งผู้พัฒนา เกือบทั้งหมดไม่มีการตอบกลับใดๆ บางส่วนแสดงท่าทีว่าอีเมลแจ้งเตือนเป็นเรื่องแย่ มีอีเมลตอบกลับพร้อมแจ้งการแก้ปัญหาเพียง 0.1% เท่านั้น

Tags:
Node Thumbnail

กูเกิลประกาศเดินหน้าผลักดันบริการของตัวเองเป็น HTTPS ทั้งหมด และล่าสุดเป็นคิวของผลิตภัณฑ์สายโฆษณาแล้ว

  • โฆษณาของ YouTube เป็น HTTPS เรียบร้อยแล้วตั้งแต่ปลายปี 2014
  • กูเกิลกำลังผลักให้โฆษณาในระบบ search ถูกเข้ารหัสผ่าน HTTPS อยู่
  • โฆษณาในกลุ่ม Google Display Network, AdMob (มือถือ) และ DoubleClick จะถูกเข้ารหัส HTTPS ภายในวันที่ 30 มิถุนายน 2015
  • ผู้ลงโฆษณากลุ่ม AdWords จะสามารถเลือกแสดงโฆษณาเป็น HTTPS บนเว็บที่รองรับ HTTPS ได้เองแล้ว

ที่มา - Inside AdWords

Tags:
Node Thumbnail

Chrome 43 เข้าสู่สถานะเบต้า ทีมงานก็ออกมาประกาศว่าฟีเจอร์อะไรที่เราจะได้เห็นกันในรุ่นนี้

ฟีเจอร์สำคัญสำหรับเว็บที่ต้องการอัพเกรดเป็น HTTPS แต่กลับมีโค้ดเก่าๆ ฝัง URL ภาพหรือ CSS ไว้เป็น HTTP ทำให้เว็บไม่สมบูรณ์ ตอนนี้จะมีทางออกด้วยฟีเจอร์ upgrade-insecure-resources หากไฟล์เดิมเป็น HTTP อยู่ก็จะอัพเกรดมาเป็น HTTPS ให้เอง

ฟีเจอร์อื่นๆ ได้แก่

Tags:
Node Thumbnail

เหตุการณ์ CNNIC ออกใบรับรองให้กับ MCS Holdings นำไปออกใบรับรองของโดเมนอื่นๆ โดยไม่ได้รับอนุญาต ทำให้ทางกูเกิลและมอสซิลล่าประกาศถอด CNNIC ออกจากรายชื่อหน่วยงานรับรองที่เชื่อถือได้ และบังคับให้ CNNIC ต้องยื่นเรื่องสมัครเข้ามาใหม่พร้อมกับยอมรับเงื่อนไขเพิ่มเติม แต่ท่าทีของแอปเปิลและไมโครซอฟท์ตอนนี้ยังคงยอมรับ CNNIC ต่อไป

Tags:
Node Thumbnail

Firefox 37 เตรียมรองรับมาตรฐาน HTTP/2 มีฟีเจอร์หนึ่งเพิ่มเข้ามาสำหรับเซิร์ฟเวอร์ทั่วไป คือ opportunistic encryption (OE) เป็นการเข้ารหัสจากใบรับรองแบบรับรองตนเอง (self-signed) ที่แม้ว่าจะไม่ได้ช่วยยืนยันว่าเรากำลังเชื่อมต่อกับเซิร์ฟเวอร์อยู่จริง แต่ก็ป้องกันการดักฟังปกติที่ไม่ได้คั่นกลางการเชื่อมต่อ

เซิร์ฟเวอร์ที่รองรับมาตรฐานนี้จะต้องเป็นเซิร์ฟเวอร์ HTTP/2 และคอนฟิกให้รองรับการเชื่อมต่อแบบเข้ารหัสที่พอร์ต 443 โดยใช้ใบรับรองอะไรก็ได้ แม้แต่ใบรับรองแบบรับรองตัวเอง จากนั้นเพิ่มฟิลด์ Alt-Svc: h2=":443" เข้าไปใน HTTP header ของการเชื่อมต่อพอร์ต 80 ธรรมดา

Tags:
Node Thumbnail

กูเกิลออกประกาศเตือนว่ามีใบรับรอง SSL ปลอมออกโดย MCS Holdings หน่วยงานรับรองระหว่างกลาง (intermediate CA) ตั้งอยู่ในอียิปต์ ได้ออกใบรับรองโดเมนของกูเกิลหลายโดเมนทำให้มีความเสี่ยงว่าโดเมนเหล่านั้นจะถูกดักฟังโดยคนที่ได้รับกุญแจและใบรับรองเหล่านี้

โครมและไฟร์ฟอกซ์รุ่นใหม่ๆ จะได้รับแจ้งเตือนหากถูกดักฟังโดยเครื่องที่ใช้ใบรับรองเหล่านี้ เพราะมีการล็อกใบรับรองเอาไว้ แต่สำหรับผู้ใช้เบราว์เซอร์เก่าก็ยังมีความเสี่ยงอยู่

Tags:
Node Thumbnail

Qualys ผู้ให้บริการ SSL Labs เปิดซอร์สโค้ดของโปรแกรม ssllabs-scan เพื่อให้ผู้ดูแลระบบสามารถเข้าถึง API ของ SSL Labs ได้ผ่าน command-line ทำให้ตั้งช่วงเวลาให้ตรวจสอบเซิร์ฟเวอร์เป็นระยะ และรายงานผลเป็นไฟล์ JSON ได้

ก่อนหน้านี้ Qualys เปิดหน้าเว็บ SSL Pulse แล้วตั้งการสแกนเว็บไซต์ประมาณ 200,000 เว็บแรกบนรายการ Alexa เพื่อรายงานสถานการณ์การคอนฟิก SSL อย่างถูกต้อง รายงานฉบับล่าสุดของเดือนนี้มีเว็บไซต์ที่คอนฟิกอย่างปลอดภัย (เกรด A- ขึ้นไป) อยู่ที่ 18.2% เท่านั้น

Tags:
Node Thumbnail

รัฐบาลโอบามาเปิดข้อเสนอบังคับให้เว็บไซต์รัฐบาลกลางทั้งหมดจะต้องเปลี่ยนไปใช้ HTTPS เท่านั้น ทางรัฐบาลเปิดรับฟังความคิดเห็นต่อข้อเสนอนี้ในช่วงแรกภายในวันที่ 31 มีนาคมนี้

ข้อเสนอนี้จะบังคับเว็บไซต์ของรัฐบาลกลาง ดังนี้

Tags:
Node Thumbnail

live.fi เว็บหนึ่งของไมโครซอฟท์ถูกจดทะเบียนขอใบรับรอง SSL จากทาง Comodo ผู้ให้บริการรับรองเว็บรายใหญ่ ตอนนี้ทางไมโครซอฟท์รับทราบปัญหานี้แล้วและกำลังออกอัพเดตเพื่อบล็อคใบรับรองนี้อยู่ ทางฝั่ง Comodo เองประกาศยกเลิกใบรับรองนี้แล้ว

สำหรับ Windows 8, Windows Server 2012, และ Windows Phone 8 กระบวนการอัพเดตจะทำโดยอัตโนมัติ (ถ้าไม่ได้ไปปิดไว้) แต่สำหรับ Windows 7 และ Windows Server 2008 ต้องดาวน์โหลดตัวอัพเดตใบรับรองมาติดตั้งเองก่อน

Tags:

The Pirate Bay (TPB) เว็บรวบรวม magnet link ขนาดใหญ่ถูกบุกยึดเซิร์ฟเวอร์และถูกบล็อคไปหลายครั้งในหลายประเทศแต่ก็กลับมาเปิดได้เรื่อยๆ ล่าสุดทาง TPB ก็ปรับใช้ให้บริการผ่าน CloudFlare และเปิดบริการ HTTPS เข้ารหัสการเชื่อมต่อทั้งหมดเป็นมาตรฐานแล้ว

ผู้ให้บริการอินเทอร์เน็ตในสหราชอาณาจักรที่ก่อนหน้านี้เคยบล็อค TPB ตอนนี้ก็กลับเข้าได้ทั้งหมด ที่ยืนยันแล้ว เช่น Virgin Media, TalkTak,BT, BT, และ EE ยกเว้นเพียง Sky ที่ยังสามารถบล็อคได้อยู่

Virgin Media ระบุว่าได้ทำตามคำสั่งศาลให้บล็อคแล้ว แต่ไม่ได้ให้ข้อมูลเพิ่มเติมว่าคำสั่งนั้นระบุเป็นไอพีเท่านั้นหรืออย่างไร

Tags:
Node Thumbnail

เมื่อวานนี้เพิ่งมีข่าวช่องโหว่ FREAK ที่ค้นพบบนไลบรารี OpenSSL ซึ่งส่งผลกระทบต่อเซิร์ฟเวอร์และระบบปฏิบัติการฝั่งยูนิกซ์ แต่ล่าสุดไมโครซอฟท์ออกมายอมรับแล้วว่าระบบปฏิบัติการวินโดวส์ทุกรุ่นก็มีช่องโหว่ลักษณะนี้เช่นกัน

อย่างไรก็ตาม ช่องโหว่นี้จะใช้งานได้ต่อเมื่อวินโดวส์เปิดใช้งานฟีเจอร์ RSA key exchange export ciphers ซึ่งปิดมาเป็นค่าดีฟอลต์ ไมโครซอฟท์แนะนำให้แอดมินระบบตรวจเช็คค่านี้ และสั่งปิดได้จากโปรแกรม Group Policy Object Editor (ใช้ได้เฉพาะ Windows Vista เป็นต้นไป, Windows Server 2003 ทำไม่ได้) ส่วนในระยะยาว ไมโครซอฟท์กำลังตรวจสอบรายละเอียดและอาจออกแพตช์ตามมา

Tags:
Node Thumbnail

ช่องโหว่ของ Superfish นอกจากประเด็นการดักฟังแล้ว ยังมีปัญหาการใช้กุญแจ CA เหมือนกันทุกเครื่องและระบบตรวจสอบใบรับรองมีบั๊กทำให้เซิร์ฟเวอร์ภายนอกหลอกได้โดยง่าย ตอนนี้บั๊กคล้ายกันถูกพบใน PrivDog ซอฟต์แวร์สแกนความปลอดภัยเว็บจาก Comodo

PrivDog จะสร้าง CA ใหม่ทุกครั้งที่ติดตั้งและจะดักฟังแบบเดียวกับ Superfish จากนั้นจึงแทนที่โฆษณาบนเว็บด้วยโฆษณาจากบริษัทโฆษณาที่ชื่อว่า Adtrustmedia

แม้จะสร้าง CA ขึ้นใหม่ในทุกเครื่องแต่ PrivDog รุ่น 3.0.96.0 และ 3.0.97.0 กลับไม่ตรวจสอบใบรับรองแบบ self-signed ทำให้เซิร์ฟเวอร์ที่มุ่งร้ายสามารถปลอมเว็บได้โดยที่เบราว์เซอร์ไม่รับรู้ด้วย

Pages