Image
By lew Founder on Tag: Security, Facebook
Security

ผู้ให้บริการทั่วโลกมีแนวทางการให้รางวัลกับผู้ที่พบบั๊กกันมากขึ้นเรื่อยๆ เฟซบุ๊กเองแม้มีโครงการนี้มานานแต่ก็ไม่ได้เปิดเผยออกมาภายนอกมากนัก รายงานล่าสุดระบุว่ามีการจ่ายเงินรางวัลไปแล้วกว่าล้านดอลลาร์ สรุปเป็นรายการได้ดังนี้

By pe3z Writer on Tag: Security, Tor, FBI
Security

Eric Eoin Marques วัย 28 ปีชาวไอริชถูก FBI จับกุมด้วยความผิดฐานเผยแพร่ภาพอนาจารเด็ก ซึ่งเชื่อกันว่า Marques เป็นผู้ดูแลของ Freedom Hosting ซึ่งเป็นโฮสต์ที่ให้บริการในเครือข่าย Tor ที่ใหญ่ที่สุด และยังเชื่อกันว่าเป็นผู้เผยแพร่สื่อลามกเด็กที่ใหญ่ที่สุดในโลกด้วย

By Be1con Contributor on Tag: Security, Samsung, Hacking, Smart TV
Security

ในงานสัมมนาด้านความปลอดภัย Black Hat ที่จัดขึ้นที่ลาส เวกัส สหรัฐอเมริกา นักวิจัยด้านความปลอดภัยนามว่า Aaron Grattafiori และ Josh Yavor แห่ง iSEC Partners ได้สาธิตวิธีการเจาะระบบของสมาร์ททีวียี่ห้อซัมซุงในรุ่นปี 2012 เพื่อบังคับให้เปิดกล้องของตัวเครื่องสมาร์ททีวีและเข้าไปล้วงข้อมูลในแอพสังคมออนไลน์ต่าง ๆ เช่น Facebook, Twitter หรือแม้แต่ Skype นอกจากนี้ยังสามารถเข้าถึงไฟล์และระบบการทำงานเบื้องต้นของสมาร์ททีวีได้อีกด้วย

By magnamonkun on Tag: Google, Security, Android, Google Play
Google

หลังจากที่กูเกิลเซอร์ไพรส์ผู้พัฒนาแอพพลิเคชันสายความปลอดภัยด้วยการประกาศเปิดตัว Android Device Manager ไปเมื่อวานนี้ ในวันนี้กูเกิลก็เริ่มส่งแอพพลิเคชันให้ผู้ใช้งานแล้วครับ

โดยแอพพลิเคชันนี้จะฝังมากับ Google Play Service ตัวใหม่ที่อัพเดตตัวเองตลอดเวลา ผู้ใช้ที่ได้อัพเดตนี้แล้ว ในหน้าเมนูการตั้งค่า จะมีเมนูที่ชื่อว่า Device Manager ขึ้นมาเพิ่มเติม ซึ่งเมื่อเลือกไปแล้ว ครั้งแรกตัว Android จะสั่งให้เราทำการเพิ่ม Android Device Manager เข้าเป็น Device Administrator ถึงจะเริ่มใช้งานได้ครับ

By lew Founder on Tag: Security, Hacking, SSL, HTTPS, Black Hat
Security

นักวิจัยความปลอดภัยนำเสนอกระบวนการเจาะการเข้ารหัสเพื่อหาข้อความในเว็บที่เข้ารหัส HTTPS ได้ภายใน 30 วินาทีที่งาน Black Hat

BREACH อาศัยการดักฟังผู้ใช้ที่เข้าเว็บที่เข้ารหัสและบีบอัดข้อมูลแบบ DEFLATE ซึ่งเบราว์เซอร์รองรับเป็นมาตรฐาน และต้องบังคับให้ผู้ใช้เข้าเว็บที่มีสคริปต์ฝังอยู่ ซึ่งหากดักฟังแล้วก็ทำได้ง่ายเพราะใช้การโจมตีแบบ man-in-the-middle แทรกโค้ดเข้าไปยังเว็บอื่นๆ ที่ไม่ได้เข้ารหัสได้

By mk Founder on Tag: Security, Mozilla, BlackBerry
Security

Mozilla ประกาศความร่วมมือกับ BlackBerry ด้านการวิจัย-พัฒนาเครื่องมือช่วยค้นหาช่องโหว่ของซอฟต์แวร์

เทคนิคที่ทั้งสององค์กรใช้คือ "Fuzzing" หรือ fault injection ซึ่งเป็นการทดลองยิง malformed data แบบต่างๆ ที่คนทั่วไปคิดไม่ถึงไปยังซอฟต์แวร์ที่ต้องการทดสอบ ทั้งสองจะร่วมกันพัฒนาเครื่องมือโอเพนซอร์สที่ชื่อ Peach แต่ก็จะขยายผลไปยังเครื่องมือตัวอื่นๆ ด้วย

By lew Founder on Tag: Security, Privacy, USA, NSA
Security

หนังสือพิมพ์ The Guardian เปิดเผยเอกสารฝึกอบรมนักวิเคราะห์ของ NSA ในโครงการ XKeyscore เพื่อค้นหากิจกรรมของผู้ใช้ใดๆ จากตามเวลาจริง โดยสามารถค้นหาจากชื่อล็อกอิน, เบอร์โทรศัพท์, อีเมล, และภาษาที่ใช้งาน

ระบบค้นหาเปิดให้ผู้ใช้ตั้งช่วงเวลาที่ค้นหาโดยต้องใส่ "เหตุผล" (justification) ของการค้นหา และเลือกเหตุผลที่ทำให้เชื่อได้ว่าผู้ที่กำลังถูกค้นนั้นเป็นชาวต่างชาติ (เพราะหากเป็นการดักฟังพลเมืองสหรัฐฯ จะต้องเข้ากระบวนการขอหมายศาล) จากนั้น Xkeyscore จะดักค้นทุกจุดดักฟังเพื่อจับทุกอย่างที่ "ดูเหมือน" อีเมลที่กำลังค้นหานั้น

By lew Founder on Tag: Security, HTTPS, Facebook
Security

หลังจากเฟซบุ๊กเปิดให้ผู้ใช้เลือกเปิด HTTPS ใช้งานเป็นรายคนมาเป็นเวลาสองปี ตอนนี้การเข้าถึง www.facebook.com จะกลายเป็น HTTPS ทั้งหมด แต่ยังไม่เปิดบริการสำหรับ m.facebook.com ที่ยังเป็น HTTPS อยู่ 80%

กระบวนการอัพเกรดแบบบังคับเริ่มมาตั้งแต่ต้นปีที่ผ่านมา จนกระทั่งผู้ใช้กลุ่มสุดท้ายเพิ่งถูกบังคับจนครบ

By lew Founder on Tag: Google, Security, SSL, Cryptography, HTTPS
Google

กูเกิลประกาศเปลี่ยนใบรับรอง SSL จาก 1024 บิตไปเป็นแบบ 2048 บิตทั้งหมดพร้อมกับเปลี่ยนสา่ยการรับรอง (certificate chain) ไปพร้อมกัน

กระบวนการนี้ไม่น่าจะกระทบผู้ใช้ นอกจากผู้ใช้ที่ใช้ไม่ได้อัพเดตระบบปฎิบัติการหรือใช้ไลบรารี SSL ของตัวเองรุ่นเก่า หรือซอฟต์แวร์ที่ฝังใบรับรองเข้ากับโค้ด ก็จะทำงานไม่ได้จากการอัพเดตครั้งนี้

แม้จะอัพเดตขนาดกุญแจไปเป็นขนาด 2048 บิต แต่ทุกวันนี้กระบวนการเข้ารหัสแบบกุญแจสมมาตรก็ยังใช้การเข้ารหัส RC4 แบบ 128 อยู่

By Blltz Writer on Tag: Security, Android, CyanogenMod
Security

ก่อนหน้านี้ CyanogenMod ได้ปิด root เป็นค่าเริ่มต้นสำหรับรอม CyanogenMod ไป ตอนนี้คนในทีมก็ได้คุยถึงขั้นตอนต่อยอดจากแนวทางเดิม คือการใช้งานรอม CyanogenMod โดยไม่ต้อง root จากการที่ Android 4.3 ที่จะเป็นฐานของ CM10.2 เพิ่มฟีเจอร์เกี่ยวกับความปลอดภัยแบบใหม่เข้ามาโดยไม่ต้อง root

โพสต์ต้นทางบน +Steve Condik ผู้ก่อตั้ง CyanogenMod ได้คุยกันถึงเรื่องของฟีเจอร์ที่ยังจำเป็นต้อง root ซึ่งก็จะเป็นฟีเจอร์จำพวกแบ็คอัพ และแก้ไขเกี่ยวกับระบบภายในต่างๆ

By lew Founder on Tag: Security, Internet, Privacy, NSA
Security

Joseph Bonneau นักวิจัยความปลอดภัยจากกูเกิล ได้รับรางวัลงานวิจัยด้านความปลอดภัยไซเบอร์จากงานวิจัยหัวข้อ "The science of guessing: analyzing an anonymized corpus of 70 million passwords" ที่ตีพิมพ์ลง IEEE เมื่อปีที่แล้ว

หลังการรับรางวัลเขาเขียนบล็อกถึงความรู้สึกจากรางวัลที่ได้รับความมีความรู้สึกขัดแย้งกันเอง เมื่อคิดถึง NSA ที่กำลังดักฟังการสื่อสารเป็นวงกว้างโดยไม่มีการตรวจสอบย้อนกลับที่ชัดเจน เขารู้สึกอับอายในฐานะพลเมืองสหรัฐฯ ที่มีนักการเมืองที่ปล่อยให้เกิดเหตุการณ์เช่นนี้

By magnamonkun on Tag: Security, Android, Google Play, Google Play Services
Security

กูเกิลเคยบอกใบ้เรื่องตัวแสกนมัลแวร์ที่ผนวกมากับ Google Play มาแล้วรอบนึง แต่เรายังไม่เห็นว่ามันทำงานจริงหรือไม่ นอกจากบน Android 4.2

ล่าสุดกูเกิลปรับแผนการทำงานใหม่ โดยโยกเอาฟีเจอร์นี้ออกมาจาก Android 4.2 แล้วใส่ไปใน Google Play Service แทน ซึ่งจะมีผลให้ Android 2.3/4.0 และ 4.1 ได้ใช้งานฟังก์ชันนี้ด้วยนั่นเองครับ

By ตะโร่งโต้ง Writer on Tag: Security, Lenovo
Security

สื่อออสเตรเลียรายงานว่า หน่วยงานสายลับของหลายประเทศตัดสินใจแบนการใช้งานพีซี Lenovo ด้วยเหตุผลด้านความปลอดภัยของข้อมูล

แหล่งข่าวระบุถึงผลการทดสอบในห้องปฏิบัติการของหน่วยงานสายลับซึ่งพบว่าพีซี Lenovo มีช่องโหว่ที่เกี่ยวโยงกับชิปที่ Lenovo เลือกใช้ ซึ่งหากผู้ใช้พีซี Lenovo ถูกโจมตีผ่านช่องดังกล่าวแล้ว จะทำให้พีซีถูกควบคุมจากระยะไกลโดยคอมพิวเตอร์เครื่องอื่นได้ และนั่นทำให้ข้อมูลสำคัญของเจ้าหน้าที่สายลับตกอยู่ในความเสี่ยง ทั้งนี้รายละเอียดของช่องโหว่ดังกล่าวยังคงถูกเก็บไว้เป็นความลับของหน่วยงานทดสอบ

By lew Founder on Tag: Security, United Kingdom, Automobile, USENIX
Security

งาน USENIX 13 ที่กำลังจะมีขึ้นกลางเดือนสิงหาคมนี้มีงานนำเสนออันหนึ่งเป็นการนำเสนอช่องโหว่ของ Megamos Crypto ระบบเข้ารหัสของกุญแจแบบ immobilizer ที่รถราคาแพงหลายรุ่นใช้งานเพื่อยืนยันตัวกุญแจ แต่ Volkswagen ฟ้องต่อศาลอังกฤษว่างานวิจัยนี้ยังไม่ควรถูกเปิดเผยต่อสาธารณะเนื่องจากทำอันตรายให้กับเจ้าของรถที่อาจถูกขโมยรถได้โดยง่าย

By mk Founder on Tag: Security, PayPal
Security

จากกรณี Paypal เจอปัญหา XSS, ผู้พบอายุไม่ถึงเกณ์รับรางวัล และ Paypal ชี้แจงปัญหาไม่จ่ายรางวัลเด็กอายุ 17 ระบุมีผู้แจ้งก่อนแล้ว

ล่าสุดทาง PayPal ประกาศปรับนโยบายเรื่องอายุของผู้แจ้งบั๊กความปลอดภัยแล้ว โดยเปลี่ยนจากเดิมอายุ 18 ปีขึ้นไป มาเป็น 14 ปีขึ้นไปแทน (ในทางปฏิบัติ ผู้เข้าร่วมโครงการจะต้องสมัครบัญชี PayPal แบบ Student)

เป้าหมายของ PayPal ก็ชัดเจนว่าต้องการกระตุ้นให้ผู้สนใจด้านความปลอดภัยรุ่นใหม่ๆ เข้าร่วมมากขึ้น

By sudloa Contributor on Tag: Security, Android
Security

หลายๆ คนคงทราบกันแล้วว่าตอนนี้มีผู้พบช่องโหว่บน Android OS ที่สำคัญอยู่ 2 ช่องโหว่ด้วยกันนั่นคือบั๊กหมายเลข 9695860 และ หมายเลข 8219321 (หรือที่หลายคนคุ้นหูว่า Master Key Exploit)

By mk Founder on Tag: Security, Symantec, Android
Security

จากกรณี พบช่องโหว่ใหม่บน Android, 99% อยู่ในข่ายได้รับผลกระทบ โดยช่องโหว่นี้รู้จักกันในชื่อ Master Key

สถานการณ์ล่าสุด บริษัท Symantec ประกาศว่าค้นพบแอพจีน 2 ตัวที่เป็นแอพด้านสุขภาพที่แจกจ่ายผ่านร้านขายแอพในจีน (ไม่ใช่ Google Play) ตามปกติ แต่ก็โดนแฮกเกอร์แอบฝังโค้ดที่ขโมยข้อมูลสำคัญในเครื่องลงไป แล้วเผยแพร่ไฟล์นี้ออกไปโดยใช้ช่องโหว่ Master Key ส่งผลให้ตัวระบบ Android คิดว่าแอพดังกล่าวไม่เกิดการเปลี่ยนแปลง

By lew Founder on Tag: Open Source, Cisco, Security, Enterprise, Sourcefire
Open Source

Cisco ประกาศเข้าซื้อ Sourcefire บริษัทระบบตรวจสอบความปลอดภัยเครือข่าย (intrusion detection systems - IDS) ด้วยมูลค่าถึง 2,700 ล้านดอลลาร์

Sourcefire นั้นเป็นบริษัทผู้พัฒนา Snort ระบบ IPS แบบโอเพนซอร์สที่ได้รับความนิยมสูง โดยหลังจาก Martin Roesch สร้าง Snort ในปี 1998 ก็มาตั้งบริษัท Sourcefire ในปี 2001 หลังจากนั้นบริษัทก็มีรายได้เติบโตต่อเนื่องจนตอนนี้มีพนักงานถึง 650 คนและรายได้ปีที่แล้ว 220 ล้านดอลลาร์

สินค้าของ Sourcefire ในทุกวันนี้ยังพัฒนาอยู่บนฐานของ Snort แต่มีการปรับปรุงทั้งการออปติไมซ์ด้วยฮาร์ดแวร์และการปรับปรุงเพิ่มเติมอื่นๆ เข้าไป

By lew Founder on Tag: Security, Android, Password, Defcon
Security

โทรศัพท์ของเรากลายเป็นของสำคัญขึ้นเรื่อยๆ เมื่อเราเก็บข้อมูลส่วนตัวไว้ในโทรศัพท์จำนวนมาก คำแนะนำทั่วไปคือให้ล็อกโทรศัพท์ไว้เสมอด้วยรหัสจะได้ป้องกันได้ในกรณีที่โทรศัพท์หายไป แต่การทดลองล่าสุดแสดงให้เห็นว่าระบบการล็อกนี้ใช้ไม่ได้กับแอนดรอยด์

By nutmos Writer on Tag: Security, Hacking, Tango
Security

The Syrian Electronic Army รายงานว่า พวกเขาได้แฮก Tango บริการวิดีโอแชทที่โด่งดัง แถมทวีตรูปเย้ยพร้อมบอกว่าสามารถขโมยข้อมูลไปได้ 1.5 เทระไบต์!

แฮกเกอร์กลุ่มนี้ได้บอกว่า ข้อมูลที่พวกเขาขโมยไปนั้นมีทั้งเบอร์โทรศัพท์, ข้อมูลที่อยู่ติดต่อ และอีเมลผู้ใช้ Tango กว่าล้านราย แต่ยังไม่เป็นที่แน่ชัดว่าฐานข้อมูลผู้ใช้ของ Tango นั้นได้รับผลกระทบมากเท่าไร และข้อมูลที่ถูกขโมยไปนั้นได้รับการเข้ารหัสหรือไม่

Tango ได้ทวีตว่ามีข้อมูลถูกขโมยจริง รายละเอียดทวีตดูได้ท้ายข่าวครับ

Subscribe to Security