Security

กูเกิลต่ออายุอัพเดต Chrome บน Windows XP ไปถึงปี 2015

By lew

on 17 October 2013 - 03:07 Tag: Google, Security, Chrome

Google

Windows XP นั้นเป็นวินโดวส์ที่ดีที่สุดรุ่นหนึ่ง (เป็นวินโดวส์รุ่นแรกที่ผมอัพเกรดแล้วพบว่าคอมพิวเตอร์ของผม "เร็วขึ้น") แม้ว่ามันจะวางตลาดมาตั้งแต่ปี 2001 แต่ผู้ใช้จำนวนมากก็ยังใช้งานอยู่จนทุกวันนี้ ในอีกไม่กี่เดือนข้างหน้าไมโครซอฟท์ก็จะหยุดการอัพเดตทั้งหมดของ Windows XP ซึ่งจะทำให้บั๊กใหม่ๆ ไม่ได้รับการแก้ไขอีกต่อไป แต่ทางกูเกิลกลับออกมาประกาศว่าจะซัพพอร์ต Chrome บน Windows XP ต่อไปจนถึงเดือนเมษายน 2015 หนึ่งปีหลังไมโครซอฟท์หยุดซัพพอร์ต

แอนดรอยด์ปรับ SSL ให้อ่อนแอลงตั้งแต่รุ่น 2.3 เป็นต้นมา

By lew

on 15 October 2013 - 16:59 Tag: Security, SSL, Android

Security

Georg Lukas นักพัฒนาโอเพนซอร์สรายหนึ่งสำรวจการทำงานของแอนดรอยด์แล้วพบพฤติกรรมที่แปลกของแอนดรอยด์คือการเลือกใช้กระบวนการเข้ารหัสแบบ RC4-MD5 ซึ่งค่อนข้างอ่อนแอ จึงได้สำรวจดูว่าพฤติกรรมเช่นนี้เป็นมานานเพียงใด และพบว่าแอนดรอยด์ถูกปรับให้ใช้การเข้ารหัสที่อ่อนแอลงตั้งแต่รุ่น 2.3.4 เป็นต้นมา

Yahoo! Mail เพิ่มตัวเลือกให้เชื่อมต่อแบบ HTTPS แล้ว

By mk

on 15 October 2013 - 09:52 Tag: Yahoo!, Security, SSL, E-mail, HTTPS

Yahoo!

Yahoo! Mail เป็นผู้ให้บริการอีเมลรายล่าสุดที่เปิดให้ใช้การเชื่อมต่อแบบ HTTPS เพื่อความปลอดภัยที่มากขึ้น โดยตอนนี้ยังเป็นตัวเลือกที่ต้องเข้าไปตั้งค่าเองในหน้า Advanced Settings

การเปลี่ยนแปลงนี้ถือว่าเป็นเรื่องดี แม้ว่าจะช้าไปนิดเพราะคู่แข่งอย่าง Gmail เปิด HTTPS เป็นค่าดีฟอลต์มาตั้งแต่ปี 2010 ส่วน Outlook.com ก็เปิดเป็นค่าดีฟอลต์แล้วเช่นกัน

ที่มา - Threatpost

เราท์เตอร์ D-Link หลายรุ่นมีช่องทางล็อกอินลับ

By lew

on 14 October 2013 - 15:18 Tag: Security, D-Link

Security

รายงานวิเคราะห์เฟิร์มแวร์ของเราท์เตอร์ D-Link จากเว็บ /dev/ttyS0 พบว่าในเว็บเซิร์ฟเวอร์สำหรับการเข้าแก้ไขค่าคอนฟิกมีสตริงแปลกๆ คือ “xmlset_roodkcableoj28840ybtide” ระบุไว้ในโค้ด เมื่อวิเคราะห์ย้อนกลับดูพบว่าเบราว์เซอร์ที่มี User-Agent มีสตริงนี้จะสามารถเข้าควบคุมเราท์เตอร์ได้โดยไม่ต้องล็อกอิน

ไมโครซอฟท์จ่ายรางวัลรายงานบั๊กความปลอดภัยระดับ 100,000 ดอลลาร์คนแรก

By lew

on 10 October 2013 - 02:31 Tag: Security, Internet Explorer, Microsoft

Security

James Forshaw นักวิจัยความปลอดภัยจาก Context Information Security รายงานบั๊กความปลอดภัยที่มีปัญหาระดับสูง IE11 Preview ทำให้ได้รับเงินจากโครงการตามล่าบั๊ก IE11 ทำให้ได้รับเงินรวม 109,400 โดยเป็นรายงานบั๊ก "Mitigation Bypass" ที่มีรางวัลสูงสุด 100,000 ดอลลาร์ และบั๊กอื่นๆ อีก 5 รายการ

ถึงตอนนี้ไมโครซอฟท์จ่ายเงินรางวัลล่าบั๊กใน IE11 ไปแแล้ว 128,000 ดอลลาร์ให้กับนักวิจัย 6 คน (สองคนทำงานกูเกิล และบริจาคเงินเข้าการกุศลแทน)

Evernote เปิดให้ใช้ระบบล็อกอินสองชั้น Two-Step Verification สำหรับทุกคนแล้ว

By modeQ

on 8 October 2013 - 00:11 Tag: Security, Evernote, Authentication

Security

หลังจากเปิดตัวระบบล็อกอินสองชั้น Two-Step Verification ไปเมื่อกลางปี แต่ตอนนั้นคนที่จะใช้ได้มีเพียงลูกค้าที่เสียเงินเท่านั้นหรือกลุ่ม Evernote Premium และ Evernote Business ล่าสุดได้เปิดให้ลูกค้าที่ใช้บริการฟรี ใช้งานระบบล็อกอินสองชั้นได้เช่นกัน

กูเกิลบอกมีมัลแวร์ Android เพียง 0.001% เท่านั้นที่หลุดระบบป้องกันและอาจเกิดอันตราย

By mk

on 6 October 2013 - 12:41 Tag: Security, Android, Malware, Google Play

Security

Adrian Ludwig หัวหน้าฝ่ายความปลอดภัยของ Android ไปพูดที่งาน Virus Bulletin ที่เยอรมนี และเผยสถิติด้านความปลอดภัยที่น่าสนใจของ Android หลายอย่าง

Ludwig บอกว่าสภาพแวดล้อมแบบเปิดของ Android ไม่สามารถใช้วิธีป้องกันมัลแวร์แบบก่อกำแพงกั้น (walled garden) แบบเดียวกับคู่แข่งได้ แต่วิธีที่กูเกิลใช้จะเหมือนกับการป้องกันโรคระบาดของวงการสาธารณสุขมากกว่า โดยแนวคิดของการป้องกันโรคระบาดคือไม่สามารถปิดกั้นโรคทั้งหมดได้ 100% แต่จะใช้วิธีเฝ้าระวังจากข้อมูล เมื่อพบโรคเริ่มระบาดก็จะสกัดกั้นไม่ให้เกิดการระบาดในวงกว้างแทน

Adobe ถูกแฮก ผู้ใช้บางส่วนและซอร์สโค้ดของโปรแกรมถูกขโมย

By nutmos

on 4 October 2013 - 08:35 Tag: Security, Creative Cloud, Adobe

Security

Brad Arkin ประธานฝ่ายความปลอดภัยได้เขียนบล็อกแจ้งเตือนลูกค้าเรื่องความปลอดภัย โดยกล่าวว่าเซิร์ฟเวอร์ของบริษัทถูกบุกรุก และผู้บุกรุกได้เข้าถึงข้อมูลบางส่วนของบริษัทและข้อมูลส่วนตัวของลูกค้าด้วย

NIST ปรับมาตรฐาน SHA-3 ให้อ่อนแอลงโดยอ้างประสิทธิภาพ

By lew

on 2 October 2013 - 15:11 Tag: Security, USA, Open Standard, NSA, Government, Cryptography, NIST

Security

มาตรฐานการแฮชข้อมูล SHA-3 เพิ่งได้ผู้ชนะเป็น Keccak ไปเมื่อปีที่แล้ว แต่หลังจากการเปิดเผยข้อมูลของ Edward Snowden ทำให้ NIST หน่วยงานกลางผู้ออกมาตรฐานมีปัญหาความน่าเชื่อถืออย่างหนัก จากข่าวความร่วมมือกับ NSA ตอนนี้มาตรฐาน SHA-3 ที่กำลังอยู่ระหว่างกระบวนการปรับมาตรฐาน และเขียนเอกสารในฟอร์แมตที่ชัดเจนกลับมีปัญหาว่าทาง NIST กำลังลดความปลอดภัยของมันอย่างจงใจ

Windows Azure เปิดบริการยืนยันตัวตนสองชั้น Multi-Factor Authentication

By mk

on 29 September 2013 - 10:04 Tag: Security, Authentication, Microsoft, Microsoft Azure

Security

ช่วงหลังๆ เราเห็นบริการออนไลน์ชื่อดังมากมายรองรับการยืนยันตัวตนสองชั้น (two-step verification หรือบ้างก็เรียก multi-factor authentication) ซึ่งช่วยแก้ปัญหาเรื่องความปลอดภัย-แฮ็กบัญชีไปได้มาก

คำถามก็คือผู้สร้างบริการรายเล็กๆ ที่อยากมีระบบ multi-factor authentication บ้างจะต้องทำอย่างไร? ไมโครซอฟท์มีคำตอบให้กับเรื่องนี้ด้วยบริการ Windows Azure Multi-Factor Authentication

ปิดสองคดีแฮ็กเกอร์วัยรุ่น มือโจมตี DDoS ครั้งใหญ่ที่สุดและมือแฮ็กเว็บแคมดูสาวเปลือย

By pe3z

on 28 September 2013 - 00:59 Tag: Security, Hacker

Security

หัวข้อข่าวอาจจะดูน่าสับสนไปสักนิดแต่ผมขออนุญาตรวมไว้ด้วยกันนะครับ สำหรับข่าวแรกแฮ็กเกอร์นิรนามวัย 16 ปีถูกจับกุมหลังจากได้ทำการโจมตี DDoS 300Gbps ครั้งใหญ่ที่สุดในโลกไปยัง Spamhaus โดยเขาได้ถูกจับกุมตั้งแต่ช่วงเดือนเมษายนแต่เพิ่งมีประกาศอย่างเป็นทางการเมื่อวันพฤหัสบดีที่ผ่านมา ซึ่งตอนนี้ก็ยังไม่แน่ชัดว่าเขาใช้วิธีการใดในการสร้างการโจมตีครั้งใหญ่นั้น

แจ้งเตือนช่องโหว่ของ Ruby on Rails เสี่ยงถูกขโมยคุกกี้ได้

By pe3z

on 26 September 2013 - 13:48 Tag: Security, Rails

Security

นักวิจัยด้านความปลอดภัย G.S. McNamara ค้นพบช่องโหว่ภายในฟังก์ชัน CookieStore ที่ใช้ในการจัดการเซสชั่นโดยจะทำการแฮชเซสชั่นดังกล่าวนั้นในรูปแบบของคุกกี้ และไม่มีการเก็บเซสชั่นใดๆ ลงในฐานข้อมูล ซึ่งอาจส่งผลให้ผู้ประสงค์ร้ายสามารถขโมยคุกกี้ได้

โปรแกรมเมอร์ไมโครซอฟท์รายงานช่องโหว่ Dual_EC_DRBG มาตั้งแต่ปี 2007 (และไม่มีใครสนใจ)

By lew

on 26 September 2013 - 09:54 Tag: Security, NSA, Cryptography

Security

รายงานการฝังช่องโหว่ไว้ในตัวสร้างเลขสุ่ม Dual_EC_DRBG สร้างความตระหนกให้กับทั้งอุตสาหกรรมความปลอดภัย คำถามสำคัญคือมาตรฐานเปิดที่ผ่านกระบวนการสร้างมาตรฐานของ NIST นี้ทำไมจึงหลุดรอดสายตาของนักคณิตศาสตร์และนักรหัสวิทยาทั่วโลกไปได้ วันนี้ทาง WIRED ลงบทความเล่าถึงการนำเสนอความยาว 5 นาทีด้วยสไลด์ 9 หน้าที่งาน Crypto ในปี 2007 ระบุถึงความเป็นไปได้ในการฝังช่องโหว่เอาไว้

เตือนแอพ iMessage (ตัวปลอม) ใน Play Store อาจดักข้อมูล

By Bigta

on 24 September 2013 - 20:12 Tag: Security, iMessage, Google Play

Security

เตือนภัยจากศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย (ThaiCERT) เนื่องจากมีผู้รายงานว่ามีแอพพลิเคชันชื่อ iMessage Chat ปรากฏอยู่ใน Play Store ซึ่งอ้างว่าสามารถส่งข้อความผ่านระบบ iMessage ของ Apple ได้ ทาง ThaiCERT ได้ตรวจสอบแอพพลิเคชันดังกล่าวแล้วพบว่าสามารถส่งได้จริง

แต่สิ่งที่น่าสงสัยในแอพพลิเคชันนี้คือ มีการส่งข้อมูลไปยังเซิร์ฟเวอร์ที่อยู่ในประเทศจีน (น่าจะใช้เป็นตัวกลางในการรับส่งข้อมูล) ซึ่งอาจมีความเสี่ยงว่าผู้ใช้จะถูกขโมยข้อมูลสำคัญ เช่น Apple ID หรือข้อมูลอื่นๆ ได้

สั่งล็อกเครื่องระยะไกล และเปลี่ยนรหัสผ่านด้วย Android Device Manager ได้แล้ว

By Blltz

on 24 September 2013 - 15:24 Tag: Google, Security, Android, Google Play

Google

Android Device Manager บริการช่วยเหลือผู้ใช้ให้ตามหาเครื่องยามลืมหรือถูกขโมยที่เปิดตัวมาเมื่อเดือนสิงหาคมที่ผ่านมา ตอนนี้กูเกิลเพิ่มฟีเจอร์ใหม่เข้ามาแบบเงียบๆ อีกสองฟีเจอร์แล้ว

ฟีเจอร์แรกเป็นการต่อยอดจากเดิมที่เครื่องสามารถสั่งลบข้อมูลระยะไกลได้ ของใหม่สามารถสั่งล็อกเครื่องจากระยะไกลได้ด้วย และยังสามารถเปลี่ยนรหัสผ่าน โดยรหัสใหม่จะไปทับทั้งรหัสผ่านเดิมและการปลดล็อกแบบการวาดนิ้วของตัวเครื่องไปเลย

เตือนพบช่องโหว่ระดับร้ายแรงใน IE ทุกรุ่น

By icez

on 23 September 2013 - 14:04 Tag: Security, Internet Explorer

Security

เตือนภัยจากศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย เนื่องจากทางไมโครซอฟท์พบการโจมตีช่องโหว่ของ Internet Explorer ทุกรุ่นตั้งแต่วันที่ 17 กันยายนที่ผ่านมา (แม้แต่ตัวใหม่อย่าง IE 11 ก็โดน) ซึ่งช่องโหว่นี้ถูกขึ้นทะเบียนฐานข้อมูลช่องโหว่ที่หมายเลข CVE-2013-3893

ช่องโหว่ตัวนี้เกิดจากการจัดการหน่วยความจำที่ผิดพลาด เป็นเหตุให้สามารถใช้สั่งการให้เครื่องคอมพิวเตอร์ที่โดนบุกรุกประมวลผลคำสั่งใดๆ ก็ได้ (Remote Code Execution) ในสิทธิ์ของผู้ใช้ที่รัน IE ขึ้นมา เช่นการดาวน์โหลดมัลแวร์มาติดตั้ง

หน่วยงานรัฐในเอเชียถูกแฮกพร้อมกันจำนวนมาก

By lew

on 23 September 2013 - 13:15 Tag: Security, Hacking, Asia, Trend Micro

Security

ช่วงสองวันที่ผ่านมา มีรายงานความพยายามแฮกครั้งใหญ่ทั่วภูมิภาคเอเซีย โดยเฉพาะในจีนและญี่ปุ่น

การแฮกครั้งหนึ่งเป็นการติดตั้งซอฟต์แวร์ลงบนเครื่องผ่านทางบั๊กของ Internet Explorer ที่เพิ่งได้รับแพตซ์เมื่อสัปดาห์ก่อน เครื่องของเหยื่อจะถูกหลอกให้ดาวน์โหลดไฟล์ jpg มาไฟล์หนึ่งซึ่งจริงๆ แล้วไฟล์นั้นเป็นซอฟต์แวร์ที่รันได้ เมื่อรันแล้วซอฟต์แวร์จะส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ในเกาหลี

เตือนภัย มีผู้แอบอ้าง ปตท. ผ่านแอพ Instagram

By modeQ

on 21 September 2013 - 13:33 Tag: Security, Mobile App, Instagram

Security

มีการเปิดเผยจาก นางพุทธชาด มุกดาประกร ผู้ช่วยกรรมการผู้จัดการใหญ่สื่อสารองค์กรและกิจการเพื่อสังคม บริษัท ปตท.จำกัด (มหาชน) ว่าได้มีผู้แอบอ้างสร้างบัญชี ปตท. ในแอพพลิเคชันแชร์รูปยอดนิยมอย่าง Instagram ซึ่งใช้ชื่อว่า PTT_Thailand หรือที่ http://instagram.com/ptt_thailand โดยหลอกให้ติดตามแล้วจะได้เติมน้ำมันฟรี

เบื้องต้นผมได้ทดสอบเข้าหน้าเว็บ http://instagram.com/ptt_thailand แต่ไม่สามารถเข้าได้อาจจะมีการปิดบัญชีไปเรียบร้อยแล้วครับ

RSA แจ้งลูกค้าให้หยุดใช้อัลกอริทึมที่เกี่ยวข้องกับ NSA

By lew

on 20 September 2013 - 11:56 Tag: Security, RSA, NSA, Enterprise

Security

ข่าวการแทรกกระบวนการพิเศษเข้าไปในการสร้างเลขสุ่ม Dual_EC_DRBG ทำให้ RSA ต้องออกมาเตือนลูกค้าที่ใช้ไลบรารี BSAFE Toolkit ให้ยกเลิกการใช้งานแล้วไปใช้ตัวสร้างเลขสุ่มแบบอื่นๆ เพื่อความปลอดภัย

BSAFE รองรับ Dual_EC_DRBG มาตั้งแต่ปี 2004 ก่อนที่จะเป็นมาตรฐานในปี 2006 และยังใช้เป็นตัวสร้างเลขสุ่มมาตรฐานในหลายกรณี แต่กำลังพิจารณาเปลี่ยนตัวสร้างเลขสุ่มนี้ต่อไป โดยตอนนี้แนะนำให้ลูกค้าเป็นผู้เปลี่ยนกระบวนการสร้างเลขสุ่มนี้ด้วยตัวเองเนื่องจากตัว BSAFE เองก็รองรับกระบวนการสร้างเลขสุ่มถึง 6 แบบ

พบช่องโหว่ iOS 7 เข้าถึงภาพถ่ายในเครื่องได้จาก Lockscreen

By mk

on 20 September 2013 - 09:06 Tag: Apple, Security, iOS, iOS 7

Apple

มีรายงานช่องโหว่ใหม่ของ iOS 7 ที่สามารถเข้าถึงภาพถ่ายภาพในเครื่องได้แม้ตั้ง lockscreen ไว้ วิธีการคือให้เข้าหน้า control center จาก lockscreen, เลือกนาฬิกาปลุก, กดปุ่ม power ค้างไว้เพื่อให้ขึ้นหน้าจอถามการปิดเครื่อง, กด cancel, กด home สองทีเพื่อเข้าหน้ารายการแอพ ก็จะสามารถเข้าถึงภาพถ่ายและกล้องถ่ายรูปได้

โฆษกของแอปเปิลระบุว่าทราบปัญหานี้แล้ว และจะรีบแก้ไขต่อไป ระหว่างนี้สามารถปิดการเข้าถึง control center จากหน้า lockscreen ไปพลางๆ ได้ก่อน

Subscribe to Security