Tags:
Node Thumbnail

LastPass ประกาศว่าบริษัทพบความผิดปกติในเครือข่ายภายใน และเมื่อตรวจสอบแล้วพบว่าฐานข้อมูลที่มีข้อมูล อีเมล, ข้อมูลช่วยจำรหัสผ่าน, ค่า salt ของผู้ใช้รายคน, และค่าแฮชรหัสผ่าน ได้ถูกขโมยออกไปจากเซิร์ฟเวอร์

ทาง LastPass ระบุว่ายังมั่นใจว่าการเข้ารหัสตัวรหัสผ่านด้วย PBKDF2-SHA256 ที่หนึ่งแสนรอบบนเซิร์ฟเวอร์เพิ่มจากฝั่งไคลเอนต์จะช่วยให้รหัสผ่านของผู้ใช้ปลอดภัยดีอยู่ แต่เพื่อความไม่ประมาททาง LastPass จะให้ผู้ใช้ทุกคนที่ล็อกอินจากไอพีหรืออุปกรณ์ที่แปลกไปจากเดิมให้ยืนยันตัวตนอีกครั้ง พร้อมกับแจ้งเตือนให้ผู้ใช้เปลี่ยนรหัสผ่านหลัก (master password)

ทาง LastPass ขออภัยผู้ใช้ที่ต้องลำบากจากขั้นตอนที่เพิ่มขึ้นมา และแนะนำให้เปิดใช้าน multifactor authentication อีกชั้นเพื่อความปลอดภัย

Tags:
Node Thumbnail

มีรายงานจากทาง LastPass ว่าพบเห็นพฤติกรรมไม่ปกติเข้ามายังเน็ตเวิร์คของตัวเองในวันศุกร์ที่ผ่านมา (12 มิถุนายน 2558) แต่มีเพียงผู้ใช้ส่วนน้อยเท่านั้นที่ได้รับผลกระทบนี้

ในรายงานการสืบสวนกล่าวว่า "ไม่พบหลักฐานว่าข้อมูลที่เข้ารหัสไว้ถูกขโมยออกไป รวมไปถึงไม่พบการเข้าสู่ระบบของผู้ใช้งานต่างๆ แต่อย่างไรก็ตามจากการสืบสวนนั้น พบว่า อีเมล, รหัสผ่านที่จดไว้, salt ของเซิร์ฟเวอร์, hash ของการยืนยันตัวตน ถูกเจาะ (were compromised)"

Tags:
Node Thumbnail

วันนี้ (14 มิถุนายน 2558) ผู้ใช้ Outlook.com (ชื่อเดิมคือ Hotmail) หลายรายพบปัญหาล็อกอินเข้าหน้าเว็บไซต์แล้วปรากฏข้อความแจ้งเตือนใบรับรอง SSL ไม่ถูกต้อง จากการตรวจสอบเบื้องต้นพบว่าเซิร์ฟเวอร์ของ Outlook.com ส่งใบรับรอง SSL ของ bing.com มาให้ แทนที่จะเป็น login.live.com หรือ mail.live.com ตามที่ควรจะเป็น (ภาพประกอบท้ายข่าว)

มีผู้ใช้แจ้งปัญหานี้ไปยัง Microsoft เบื้องต้นคาดว่าสาเหตุน่าจะเกิดจากเซิร์ฟเวอร์ของ Outlook.com ในสิงคโปร์มีการตั้งค่าผิดพลาด ทำให้ผู้ใช้ในแถบเอเชียตะวันออกเฉียงใต้ได้รับผลกระทบ อย่างไรก็ตาม ปัจจุบันยังไม่มีแถลงการณ์อย่างเป็นทางการจาก Microsoft

ข้อแนะนำสำหรับผู้ที่พบปัญหานี้คือไม่ควรล็อกอินเข้า Outlook.com จนกว่า Microsoft จะแก้ปัญหาเสร็จ

Tags:
Node Thumbnail

OpenSSL ออกแพตช์ความปลอดภัยชุดใหม่ อุดช่องโหว่ระดับปานกลางและระดับต่ำหลายตัว แต่ที่สำคัญที่สุดคงเป็นการช่องโหว่ Logjam ที่ทำให้ไคลเอนต์ถูกหลอกว่ากำลังเชื่อมต่อแบบปกติ ทั้งที่เป็นการเชื่อมต่อแบบ DHE_EXPORT ที่ความปลอดภัยต่ำ

แนวทางแก้ปัญหาคือโค้ดฝั่งไคลเอนต์ของ OpenSSL จะไม่ยอมรับ การเชื่อมต่อแบบ DH ที่ 512 บิตอีกต่อไป โดยตอนนี้จะยอมรับที่ 768 เป็นขั้นต่ำสุด และเตรียมจะปรับเป็น 1024 บิตในอนาคต

ที่มา - OpenSSL

Tags:
Node Thumbnail

มีรายงานมาว่า Nest กำลังจะเปิดตัวอุปกรณ์สมาร์ทโฮมตัวใหม่สัปดาห์หน้า วันนี้มีภาพหลุดมาเฉลยแล้วว่ามันคือกล้องวงจรปิดนั่นเอง

หน้าตาของกล้องวงจรปิดหรือ Nest Cam นั้น เรียกได้ว่าใกล้เคียงกับของ Dropcam ที่ Nest เข้าซื้อไปเมื่อกลางปี 2014 แต่ปรับให้ขนาดกะทัดรัดลง โดยมีฟีเจอร์ทัดเทียมกับรุ่น Dropcam Pro ทั้งความสามารถในการถ่าย และสตรีมวิดีโอความละเอียด 1080p ติดตั้งได้ง่ายด้วยบลูทูธ และ QR code รวมถึงจะมีการอัพเดตแอพ Nest เพื่อให้รองรับการใช้งานร่วมกับ Nest Cam ของฝั่งแอนดรอยด์อีกด้วย

ที่มา - Droid-life

Tags:
Node Thumbnail

Jan Soucek นักวิจัยจาก Ernst and Young รายงานช่องโหว่ใน Mail.app ที่เชื่อแท็ก <meta http-equiv=refresh> ทำให้สามารถเปิดเว็บจากเซิร์ฟเวอร์ภายนอกได้ด้วยอีเมลที่เป็น HTML

ด้วยแนวทางนี้ Soucek สร้างเว็บที่แสดงหน้าจอเหมือนหน้าจอล็อกอิน Apple ID เพื่อล่อให้ผู้ใช้ที่ได้รับอีเมลนึกว่าแอปเปิลกำลังขอรหัสผ่านเพื่อยืนยันตัวตนซ้ำ แล้วเก็บรหัสผ่านกลับไปยังเซิร์ฟเวอร์ ขณะที่แอพพลิเคชั่นเมลโดยทั่วไปจะไม่เชื่อแท็ก <meta http-equiv=refresh> ทำให้แสดงเป็นเมลธรรมดา

Soucek ระบุว่าเขารายงานบั๊กเรื่องนี้ไปตั้งแต่เดือนมกราคมที่ผ่านมา และจนตอนนี้แอปเปิลยังไม่แก้ไข จึงได้เปิดเผยช่องโหว่ออกมา

Tags:
Node Thumbnail

บริษัท Kaspersky ออกมาแถลงข่าวการถูกแฮกเกอร์เข้าโจมตีระบบ โดยบริษัทได้ตรวจจับการบุกรุกได้ตั้งแต่ต้นปี

ข้อมูลจากทีมสอบสวนเปิดเผยว่าแฮกเกอร์ใช้เทคนิคที่ซับซ้อนในการล้วงข้อมูลเทคโนโลยีบางอย่างของบริษัท อีกทั้งแฮกเกอร์ยังออกแบบให้มัลแวร์ทำงานโดยไม่ต้องเขียนไฟล์บนฮาร์ดดิสก์ แต่ทำงานบนหน่วยความจำแทน เพื่อหลีกเลี่ยงการตรวจจับชุดคำสั่งมัลแวร์ ซึ่งมีความเข้ากันได้กับโทรจันชื่อ Duqu ที่เคยถูกใช้โจมตี อิหร่าน อินเดีย ฝรั่งเศส และยูเครน ที่ถูกค้นพบเมื่อปี 2011

Tags:
Node Thumbnail

ปีที่แล้วเราเห็นแอพ Gmail 5.0 for Android เพิ่มความสามารถในการอ่านเมลจาก Yahoo Mail, Outlook.com, Microsoft Exchange โดยตรง

อย่างไรก็ตาม การใช้งานเมลจาก Yahoo/Outlook ยังจำกัดเฉพาะการล็อกอินด้วยรหัสผ่านเท่านั้น ผู้ที่ใช้การล็อกอินผ่าน OAuth อย่างการล็อกอิน 2 ชั้นยังไม่สามารถใช้งานผ่าน Gmail ได้

วันนี้กูเกิลอัพเดต Gmail for Android เพื่อแก้ปัญหาข้างต้น รองรับ OAuth สำหรับอีเมลจากทั้งสองค่ายเรียบร้อยแล้ว ใครที่จำเป็นต้องใช้ฟีเจอร์นี้ก็เข้าไปอัพเดตกันได้จาก Play Store เลยครับ

Tags:
Node Thumbnail

คล้อยหลัง VMware ไปวันเดียว QEMU ซอฟต์แวร์สร้างเครื่องเสมือนก็มีช่องโหว่เปิดทางให้ซอฟต์แวร์มุ่งร้ายที่รันอยู่ในเครื่องเสมือนสามารถเจาะทะลุเครื่องแม่ออกมาได้

ช่องโหว่อยู่ในส่วนจำลองการ์ดเครือข่าย PCNET (QEMU สามารถจำลองการ์ดได้ 8 แบบ) ที่มีความผิดพลาดในส่วนการสำเนาข้อมูลเฟรมจากเครื่องเสมือนออกมายังเครื่องแม่ ทำให้แฮกเกอร์สามารถสร้างข้อมูลเฉพาะที่ทำให้เกิด heap overflow ความร้ายแรงที่สุดคือแฮกเกอร์เข้ายึดโปรเซส QEMU ที่รันบนเครื่องแม่ได้ทั้งหมด

Tags:
Node Thumbnail

VMware ออกแจ้งเตือนช่องโหว่ความปลอดภัย VMSA-2015-0004 เป็นช่องโหว่ระดับวิกฤติสองรายการ

ช่องโหว่ชุดแรกกระทบกับ VMware Workstation และ VMware Horizon Client จากการจัดการหน่วยความจำผิดพลาดทำให้โค้ดที่มุ่งร้ายในเครื่อง guest สามารถรันโค้ดในเครื่องแม่หรือโจมตีให้เครื่องแม่ทำงานต่อไม่ได้ (denial of service - DoS) ช่องโหว่ชุดนี้ค้นพบโดย Kostya Kortchinsky จาก Google Project Zero

Tags:
Node Thumbnail

ไมโครซอฟท์ออกแพตช์ความปลอดภัยรายเดือนประจำเดือนมิถุนายน รอบนี้มีช่องโหว่ระดับวิกฤติใน Internet Explorer และ Windows Media Player ที่มีช่องโหว่ทำให้รันโค้ดที่ส่งจากภายนอกได้

แพตช์ของ Internet Explorer นั้นเป็นแพตช์ที่รวมเอาช่องโหว่หลายๆ ตัวเข้าไว้ด้วยกัน ช่องโหว่หลายตัวมีผลกลับไปถึง IE6 ตอนนี้ไมโครซอฟท์ยังไม่พบว่ามีการเปิดเผยช่องโหว่เหล่านี้สู่สาธารณะหรือมีการใช้ช่องโหว่เหล่านี้เจาะระบบแต่อย่างใด

Tags:
Node Thumbnail

ฟีเจอร์เล็กๆ ของ iOS 9 ที่ไม่ได้ถูกพูดถึงบนเวทีคือ App Transport Security (ATS) ที่น่าจะเป็นจุดเริ่มต้นของการบังคับให้ผู้พัฒนาแอพทั้งหมดต้องเชื่อมต่อกลับเซิร์ฟเวอร์ด้วย HTTPS เท่านั้น โดยต้องระบุโดเมนที่ต้องการเชื่อมต่อไว้ล่วงหน้า ATS จะเปิดทำงานเป็นค่าเริ่มต้นเพื่อป้องกันไม่ให้แอพเปิดเผยข้อมูลผู้ใช้โดยไม่ตั้งใจ

Tags:
Node Thumbnail

เว็บไซต์กองทัพบกสหรัฐฯ www.army.mil ถูกเปลี่ยนหน้าเว็บ (deface) ไปเมื่อวานนี้ทำให้ขึ้นข้อความโจมตีกองทัพสหรัฐฯ ว่าฝึกคนเพื่อส่งไปตาย โดยกลุ่ม Syrian Electronic Army (SEA) อ้างความรับผิดชอบว่าเป็นผู้ลงมือ

เว็บกองทัพบกสหรัฐฯ ปิดตัวลงอย่างรวดเร็วและยังเข้าไม่ได้ในตอนนี้ ทาง SEA ยังแสดงภาพหน้าจอหลังบ้านของเว็บกองทัพบกที่เป็นหน้าจอของ Limelight CDN ทำให้เป็นไปได้ว่าเว็บที่ถูกแฮกจริงๆ คือ Limelight และทางบริษัทระบุว่ากำลังสอบสวนเรื่องนี้อยู่

เว็บกองทัพสหรัฐฯ เช่น stratcom.mil ปิดตัวลงไปพร้อมๆ กับเว็บกองทัพบก แม้จะไม่มีรายงานว่าถูกแฮกก็ตาม

Tags:
Node Thumbnail

IE11 บน Windows 10 เริ่มทดสอบรองรับมาตรฐานการเข้ารหัสเว็บตลอดเวลา HSTS มาตั้งแต่เดือนกุมภาพันธ์ ตอนนี้อัพเดตล่าสุด KB3058515 ก็อัพเดตไปยัง Windows 7 และ Windows 8.1 แล้วทำให้ IE11 บนวินโดวส์ทั้งสองรุ่นรองรับ HSTS เต็มรูปแบบ

เว็บจำนวนหนึ่งจะบังคับเอาไว้ในตัวเบราว์เซอร์ว่าต้องเข้าเว็บด้วย HTTPS เท่านั้นโดยไมโครซอฟท์ใช้รายชื่อมาจากกูเกิล และรองรับการประกาศเว็บด้วยค่าใน header ของ HTTP ด้วยฟิลด์ Strict-Transport-Security

ใครได้อัพเดตแล้วก็จะเริ่มเข้าเว็บยอดนิยมโดยไม่มี HTTP อีกต่อไป

Tags:
Node Thumbnail

เมื่อเดือนมีนาคมรัฐบาลโอบามาประกาศแนวทางให้เว็บของหน่วยงานรัฐบาลกลางทั้งหมดต้องเป็น HTTPS ภายในสองปีโดยนำร่างแนวทางการอัพเกรดขึ้น GitHub เพื่อให้ประชาชนส่งข้อเสนอเข้ามา ตอนนี้ร่างทั้งหมดก็ลงถึงช่วงใช้งานจริง โดย Tony Scott CIO ของรัฐบาลกลางได้ลงนามเป็นบันทึกถึงผู้บริหารของหน่วยงานภายใต้รัฐบาลกลางทั้งหมดให้เตรียมอัพเกรดไปใช้ HTTPS ภายในสิ้นปี 2016

หลักการของร่างประกาศนี้ไม่เปลี่ยนไปจากเมื่อเดือนมีนาคมนัก เว็บรัฐบาลยังคงแบ่งออกเป็นสี่ระดับ ได้แก่ เว็บสร้างใหม่ต้องเป็น HTTPS เท่านั้น, เว็บเดิมที่มีข้อมูลส่วนตัวต้องให้ความสำคัญก่อน, เว็บที่เหลือจะมีเวลาถึง 31 ธันวาคม 2016, และยกเว้นให้กับเว็บในอินทราเน็ต

Tags:
Node Thumbnail

ตั้งแต่ปลายปีก่อน เริ่มมีรายงานว่าพบมัลแวร์เรียกค่าไถ่(Ransomware) เพิ่มขึ้นอย่างต่อเนื่อง และมีรูปแบบใหม่ในการทำให้เหยื่อติดมัลแวร์ง่ายขึ้น จากเดิมที่มาจากอีเมล ตอนนี้ถึงกับมีคนลงทุนซื้อโฆษณาเพื่อใช้ช่องโหว่จากแฟลช และจาวาสคริปต์เพื่อติดตั้งมัลแวร์ได้สะดวกขึ้น Trend Micro ผู้เชี่ยวชาญด้านความปลอดภัยจึงออกมาแนะนำ และนำเสนอเครื่องมือสำหรับป้องกัน Ransomware โดยเฉพาะ

Tags:
Node Thumbnail

หนังสือพิมพ์ The Wall Street Journal และสถานีโทรทัศน์ CNN รายงานว่าหน่วยสืบสวนกลางของสหรัฐ (FBI) กำลังทำการสอบสวนเหตุการณ์การจารกรรมข้อมูลจากระบบของรัฐบาลกลางที่อาจถือว่าเป็นการจารกรรมข้อมูลครั้งใหญ่ที่สุดครั้งหนึ่ง โดยเจ้าหน้าที่ระบุว่าอาจจะมีข้อมูลส่วนบุคคลหลุดออกไปมากถึง 4 ล้านรายการ

Tags:
Node Thumbnail

ผู้สร้างมัลแวร์เรียกค่าไถ่ข้อมูล (ransomeware) Tox ประกาศเลิกกิจการและขอให้ผู้สนใจเสนอราคาซื้อกิจการต่อ

Tox เป็นกิจการแบบให้บริการกับผู้เผยแพร่มัลแวร์ โดยผู้เผยแพร่มัลแวร์สามารถตั้งราคาค่าไถ่ข้อมูลและหาทางทำให้เหยื่อถูกมัลแวร์เล่นงานด้วยวิธีการต่างๆ เมื่อมีเงินโอนเข้ามา ทาง Tox จะหักค่าบริการ 30%

การขายกิจการแบ่งออกเป็นสองแบบ คือ ขายเฉพาะซอฟต์แวร์แพลตฟอร์มและตัวมัลแวร์ หรือขายพร้อมกิจการ ฐานข้อมูลของผู้ที่ติดมัลแวร์เดิมและกุญแจเว็บ toxicola7qwv37qj.onion ไปด้วย เพื่อดำเนินการต่อ

ทาง Tox ประกาศว่าหากไม่มีใครรับฐานข้อมูลไปดำเนินกิจการต่อภายในหนึ่งเดือนเขาจะปล่อยกุญแจและตัวมัลแวร์จะปลดล็อกไฟล์โดยอัตโนมัติ

Tags:
Node Thumbnail

โครงการ ATAP ของกูเกิลกำลังพัฒนาวิธีตรวจสอบความปลอดภัยแบบใหม่ที่ใช้แทนรหัสผ่าน โดยใช้ชื่อว่า Project Abacus

จากการสาธิตการทำงานของ Project Abacus ในงาน Google I/O ที่ผ่านมา ระบบนี้จะเฝ้าสังเกตพฤติกรรมการใช้มือถือ เช่น รูปแบบการพิมพ์ และแอพพลิเคชันที่ใช้งาน แทนการใช้ระบบจดจำเสียงและระบบจดจำใบหน้า ผลลัพธ์จากพฤติกรรมการใช้งานซ้ำๆ อย่างมีรูปแบบจะสร้างฐานคะแนนความน่าเชื่อถือขึ้น เพื่อใช้ระบุตัวตนของผู้ใช้ และสามารถบอกความแตกต่างระหว่างผู้ใช้สองคนได้อย่างชัดเจน ซึ่งการประเมินทางความปลอดภัยของระบบนี้จะทำการล็อกมือถือเมื่อคนอื่นมาใช้งานเครื่องของเราได้ทันที

Tags:
Node Thumbnail

เมื่อวานนี้ (2 มิ.ย. 2558) มีการเผยแพร่ช่องโหว่ ที่อ้างว่าเป็นของเว็บแอพพลิเคชันซึ่งถูกพัฒนาและใช้กันมากในหน่วยงานรัฐ สถาบันการศึกษาและหน่วยงานอื่นๆ โดยเป็นช่องโหว่ประเภท SQL injection และกลุ่มแฮกเกอร์ชาวอินเดียเป็นผู้ประกาศช่องโหว่และวิธีการโจมตี

ช่องโหว่นี้จะเป็นการสร้างคำสั่ง SQL ไปยังพารามิเตอร์ &id_sub_menu= ในไฟล์ /core_main/module/web/blog/blog.php ซึ่งส่งผลให้ผู้โจมตีเข้าถึงข้อมูลในระบบได้โดยไม่ได้รับอนุญาต และในกรณีที่เว็บไซต์นั้นมีความปลอดภัยอยู่ในระดับต่ำ ความเสียหายของการโจมตีจะยิ่งร้ายแรงมากขึ้น จากการตรวจสอบพบว่ามีเว็บไซต์ที่มีช่องโหว่นี้อยู่ถึง 53,100 ราย ทางที่ดีที่สุดคือควรหยุดใช้งานในทันทีครับ

Tags:
Node Thumbnail

GitHub ประกาศกวาดล้างกุญแจ SSH ที่อ่อนแอเนื่องจากบั๊กในเดเบียนตั้งแต่ปี 2008 แม้จะผ่านไปแล้วหลายปีและโครงการลินุกซ์จำนวนมากออกสคริปต์เตือนให้ผู้ใช้สร้างกุญแจใหม่แล้ว แต่ก็ยังมีผู้ใช้จำนวนมากใช้กุญแจเหล่านี้อยู่ และยังใช้สำหรับ GitHub ทำให้เสี่ยงต่อการถูกปลอมตัวเพื่อส่งโค้ดเข้าไปโครงการสำคัญหลายโครงการ

โครงการที่ได้รับผลกระทบบางส่วน เช่น Django, gov.uk, Couchbase, Spotify, และ Python

นอกจากกุญแจอ่อนแอจากเดเบียนแล้วยังมีผู้ใช้จำนวนไม่มากใช้กุญแจ RSA ขนาด 256 บิตและ 512 บิตซึ่งถอดรหัสได้โดยง่าย

ผู้ใช้จะได้รับอีเมลว่ากุญแจ SSH ถูกยกเลิกจะต้องสร้างกุญแจใหม่ต่อไป

Tags:
Node Thumbnail

ส่วนประกอบที่สำคัญสำหรับ SSL นั้นมีสองส่วนหลักๆ คือ กุญแจสาธารณะ และลายเซ็นดิจิทัล ซึ่งในปัจจุบันนิยมใช้ค่าแฮชของ SHA-1 มาเข้ารหัสด้วยกุญแจ RSA จาก CA (Certificate Authority) จึงจะได้ลายเซ็นดิจิทัลออกมา

หลังจากที่ Google ประกาศนโยบายให้ SHA-1 ไม่ปลอดภัยตั้งแต่ต้นปี 2015 เป็นต้นไป

รวมถึงข่าวเก่าได้ระบุว่า SHA-1 นั้น เริ่มไม่ปลอดภัยมากขึ้นตามเทคโนโลยีที่ก้าวกระโดด

Tags:
Node Thumbnail

เมื่อวันที่ 29 พฤษภาคม 2015 นักวิจัยด้านความปลอดภัย Pedro Vilaca ได้โพสต์เปิดเผยช่องโหว่ของ Mac OS X ที่ปล่อยให้ผู้ไม่ประสงค์ดีสามารถเข้ามาแฟลช BIOS และฝัง rootkit ได้ผ่านการโจมตีระยะไกล

Tags:
Node Thumbnail

มีการค้นพบช่องโหว่ความปลอดภัยของ Mac ที่อายุเกิน 1 ปีแล้ว โดยอนุญาตให้ผู้ไม่ประสงค์ดีควบคุมเครื่องได้ แม้จะติดตั้ง OS X ใหม่หรือฟอร์แมตฮาร์ดดิสก์ก็ไม่ช่วยอะไร

Pedro Vilaca นักวิจัยความปลอดภัย พบว่าช่องโหว่นี้ทำให้ reflash ตัว BIOS และฝังโค้ดที่ไม่ประสงค์ดีเข้าไปได้ ซึ่งโค้ดนี้จะฝังอยู่ใน flash memory ไม่ใช่ฮาร์ดดิสก์ที่ใช้งาน ซึ่งหมายความว่าแม้จะลง OS X ใหม่, ฟอร์แมต หรือเปลี่ยนฮาร์ดดิสก์ก็ไม่ช่วยอะไร

Pages