Image
By Sirbank Contributor on Tag: Cisco, Cybersecurity, Security, Certification
Cisco

กระแสของ Cybersecurity กำลังมาแรง มีหลายองค์กรชั้นนำให้ความสนใจเป็นอย่างมาก หนึ่งในนั้นคือ ซิสโก้ ตอนนี้ทางซิสโก้เพิ่มแขนงในการสอบใบรับรองระดับ CCNA เพิ่มในชื่อว่า CCNA Cyber Ops

เนื้อหาเป็นพื้นฐานความรู้เบื้องต้นในการวิเคราะห์ด้านความปลอดภัย เพื่อนำไปในการทำงานในศูนย์ปฏิบัติการ Security Operations Center (SOC)

ข้อสอบจะเน้นในหัวข้อดังนี้

By lew Founder on Tag: phpMyAdmin, Security, Open Source, Mozilla
phpMyAdmin

กองทุน Secure Open Source (SOS) ของ Mozilla ที่เพิ่งประกาศเปิดตัว มีผลงานแรกๆ สู่สาธารณะคือการตรวจโค้ดของโครงการ phpMyAdmin ตอนนี้ก็ถึงเวลาเปิดเผยรายงานจากกองทุนนี้

ผู้รับผิดชอบตรวจสอบโค้ด phpMyAdmin คือ NCC Group ตรวจสอบพบช่องโหว่ทั้งหมด 8 ช่อง เป็นช่องโหว่ระดับปานปลาง 3 จุด และช่องโหว่ระดับต่ำ 5 จุด มีช่องโหว่ด้านข้อมูลอีก 1 จุด เกือบทั้งหมดแก้ไขแล้วมีรุ่น 4.6.2

By vvkungx Contributor on Tag: Facebook Messenger, Privacy, Security, Facebook
Facebook Messenger

นักวิจัยด้านความปลอดภัย Inti De Ceukelaire ได้เขียนลง Medium ของเขาว่า พบวิธีส่องดูลิงก์ส่วนตัวที่ผู้ใช้แชร์ระหว่างกันใน Facebook Messenger ด้วยการใช้ Facebook Graph API

By mk Founder on Tag: Symantec, Acquisition, Blue Coat, Security
Symantec

บริษัทความปลอดภัย Symantec ประกาศซื้อกิจการ Blue Coat Systems บริษัทความปลอดภัยเว็บที่กำลังมาแรง ด้วยมูลค่าประมาณ 4.65 พันล้านดอลลาร์สหรัฐ (จ่ายเป็นเงินสดทั้งหมด)

Blue Coat Systems มีรายได้ต่อปี 598 ล้านดอลลาร์ มีลูกค้าทั่วโลกกว่า 15,000 ราย ก่อนหน้านี้บริษัทกำลังวางแผนขายหุ้น IPO ในตลาดหลักทรัพย์ ก่อนมาถูก Symantec ซื้อไปแทน

ประเด็นที่น่าสนใจและไม่น่าจะพบบ่อยคือตอนนี้ Symantec ไม่มีซีอีโอ เพราะซีอีโอ Michael A. Brown ลงจากตำแหน่งเมื่อเดือนเมษายน และบริษัทกำลังอยู่ระหว่างการสรรหาซีอีโอคนใหม่ การซื้อ Blue Coat Systems รอบนี้ Symantec เลยถือโอกาสตั้ง Greg Clark ซีอีโอของ Blue Coat มาเป็นซีอีโอด้วยเลย (อธิบายง่ายๆ ว่าซีอีโอของบริษัทที่ถูกซื้อ มานั่งเป็นซีอีโอของบริษัทที่ซื้อ)

By Ford AntiTrust Contributor on Tag: TrueMove H, True, Security, Android, Malware, Mobile
TrueMove H

มีผู้ใช้งานแจ้งปัญหาบนเกี่ยวกับแอป com.google.camera.fun ติดตั้งมาพร้อมเครื่อง Lenovo Vibe P1M ถูกแจ้งเป็นมัลแวร์ครั้งแรกในวันที่ 24 กุมภาพันธ์ 2559 (com.google.camera.fun on Vibe p1m)

ต่อมามีผู้แจ้งพบอีก 2 ครั้ง คือในวันที่ 23 พฤษภาคม 2559 (Lenovo P1m (P1ma40) - Permanent Malware com.google.camera.fun.apk ) และ 9 มิถุนายน 2559 (PORN on my Lenovo P1m (P1ma40))

การแจ้งปัญหาทั้งสามกรณีอยู่บน Lenovo Official Forum จากการสำรวจข้อมูลทั้งสาม มีสองรายเป็นเครื่องที่ซื้อจาก ศ. True ในประเทศไทย ชื่อรุ่นเฟิร์มแวร์คือ P1ma40_USR_S006_1510201530_MP3V2_16G_TRUE_TH เอาไว้ด้วย

By lew Founder on Tag: Engadget, HTTPS, Security
Engadget

เว็บไอทีชื่อดังในต่างประเทศอย่าง Engadget ประกาศปรับเว็บมาเป็น HTTPS เต็มรูปแบบแล้วพร้อมกับขึ้นต้นประกาศยอมรับว่าไม่น่าจะปล่อยให้ผู้ใช้ไม่มีทางเลือกเข้าเว็บที่ปลอดภัยไว้นานขนาดนี้

Engadget ระบุว่าการเปิด HTTPS กลายเป็นเรื่องพื้นฐานของความปลอดภัยอินเทอร์เน็ต

By lew Founder on Tag: Intel, Security
Intel

กระบวนการโจมตีช่องโหว่ระบบปฏิบัติการในยุคใหม่ๆ ยากขึ้นเพราะระบบปฏิบัติการไม่ยอมรันโค้ดที่โปรแกรมอัพโหลดขึ้นมาโดยตรงอีกต่อไป ช่วงหลังแฮกเกอร์จึงต้องเขียนโปรแกรมแบบ return-oriented programming (ROP) ตอนนี้อินเทลเสนอกระบวนการป้องกัน ROP ด้วยการตรวจสอบค่าการเรียกฟังก์ชั่นที่ผ่านๆ มาก่อนจะยอมรับ ตำแหน่งของหน่วยความจำที่กำลังจะ return ไป โดยเรียกกระบวนการนี้ว่า Control-flow Enforcement Technology (CET)

By Ford AntiTrust Contributor on Tag: Security, Web Security, HTTPS, HTTP, TLS, In-Depth
Security

กระบวนการรับรอง SSL/TLS Certificate หรือ “ใบรับรองอิเล็กทรอนิกส์” (ต่อไปจะเรียกว่า TLS Certificate) จะผ่านทาง Certificate Authority หรือ “ผู้ออกใบรับรองอิเล็กทรอนิกส์” (CA)

โดยเว็บเบราว์เซอร์หรือระบบปฏิบัติการ (ต่อไปจะเรียกว่า client) จะมีรายการที่เรียกว่า Trusted Root Certification Authorities หรือ “รายการใบรับรองอิเล็กทรอนิกส์ของผู้ออกใบรับรองอิเล็กทรอนิกส์สำหรับผู้อื่น” อยู่ภายใน โดยมากมักอ้างอิงกับตัวระบบปฏิบัติการเป็นหลัก ซึ่งจะบรรจุ Root Certificate หรือ “ใบรับรองอิเล็กทรอนิกส์ลำดับชั้นบนสุด” เพื่อให้ client สามารถเชื่อใบรับรองอิเล็กทรอนิกส์ที่ได้รับรองจาก Certificate Authority เหล่านั้น (Trust any certificates issued by the Certificate Authorities)

By nutmos Writer on Tag: Security, Open Source, Mozilla
Security

Mozilla ได้ตั้งกองทุน Secure Open Source (SOS) ซึ่งเป็นกองทุนที่จะช่วยให้โค้ดของโครงการโอเพนซอร์สมีความปลอดภัยมากยิ่งขึ้น มีเงินสนับสนุนแรกเริ่มจาก Mozilla Open Source Support จำนวน 5 แสนดอลลาร์

จุดประสงค์ของกองทุน SOS คือป้องกันปัญหาด้านความปลอดภัยที่จะเกิดขึ้นจากโครงการโอเพนซอร์สต่างๆ ไม่ว่าจะเป็น Heartbleed หรือ Shellshock โดยนำเงินเหล่านี้ไปจ้างบริษัทความปลอดภัยเพื่อตรวจสอบโค้ดของโครงการโอเพนซอร์ส และทำงานร่วมกับผู้พัฒนาโครงการเหล่านี้เพื่อแก้ปัญหา

By nutmos Writer on Tag: Twitter, Hacking, Security
Twitter

ก่อนหน้านี้มีข่าวว่า แฮกเกอร์ชาวรัสเซียอ้างครอบครองข้อมูล Twitter กว่า 32 ล้านบัญชี ซึ่งหลังจากออกข่าวมา Twitter ก็ได้ตรวจสอบเรื่องนี้ทันที

จากผลการตรวจสอบ Twitter พบว่ามีบัญชีและรหัสผ่านหลุดไปในเว็บมืดจริง โดยมั่นใจว่าข้อมูลเหล่านี้ไม่ได้ถูกแฮกออกไปจากเซิร์ฟเวอร์ของ Twitter โดยตรงแน่นอน เพราะข้อมูลเหล่านี้ถูกขโมยผ่านมัลแวร์ในเครื่องของเหยื่อ

By lew Founder on Tag: Raspberry Pi, Arm, Security
Raspberry Pi

ซีพียู ARM รุ่นหลังๆ มักมีฟีเจอร์ TrustZone เพื่อรันเฟิร์มแวร์แยกส่วนออกจากระบบปฎิบัติการหลัก เชื่อมต่อถึงกันด้วย shared memory เพื่อเก็บรักษาข้อมูลความลับเช่นกุญแจลับ หรือระบบถอดรหัส DRM ในชิป Broadcom BCM2737 สำหรับ Raspberry Pi 3 เองก็มีฟีเจอร์นี้อยู่ในชิปด้วย แต่โครงการ Raspberry Pi ก็ไม่ได้ออกซอฟต์แวร์มาใช้ฟีเจอร์นี้แต่อย่างใด ตอนนี้บริษัท Sequitur Labs ผู้พัฒนาระบบความปลอดภัย IoT ร่วมกับ Linaro ก็พอร์ตเฟิร์มแวร์ Linaro OP-TEE มารันบน Raspberry

By lew Founder on Tag: Password, Security, Research
Password

งานวิจัยร่วมระหว่างนักวิจัยจาก Cornell, MIT, และ Dropbox เสนอแนวทางการช่วยเหลือผู้ใช้ในการพิมพ์รหัสผ่านด้วยการแก้ไขรหัสผ่านอย่างง่ายๆ ในรูปแบบที่มักพิมพ์ผิดให้กับผู้ใช้

งานวิจัยเก็บข้อมูลบน Amazon Mechanical Turk ด้วยการให้ผู้ร่วมทดลองพิมพ์รหัสผ่านที่กำหนดแล้วเก็บข้อมูลว่ามีความผิดพลาดรูปแบบใดบ้าง พบว่าความผิดพลาดเกือบครึ่งหนึ่งมาจากการพิมพ์ผิดเพียง 7 แบบ ได้แก่ สลับตัวใหญ่/เล็กทั้งหมด, สลับตัวใหญ่/เล็กเฉพาะตัวแรก, มีตัวอักษรเกินมาตอนท้าย, มีตัวอักษรเกินมาตอนต้น, ลืมพิมพ์ shift เพื่อพิมพ์สัญลักษณ์ในตอนท้าย, พิมพ์ผิดไปปุ่มข้างเคียง, และสับสนระหว่างตัวอักษรที่คล้ายกัน

By lew Founder on Tag: KeePass, Password, Password Manager, Security
KeePass

Florian Bogner ผู้ตรวจสอบความปลอดภัยข้อมูลจาก Kapsch BusinessCom AG รายงานถึงช่องโหว่กระบวนการอัพเดตโปรแกรมเก็บรหัสผ่าน KeePass 2 ที่ตัวโปรแกรมจะตรวจสอบจากเว็บผ่าน HTTP ที่ไม่เข้ารหัส จากนั้นจึงแจ้งเตือนให้ผู้ใช้ไปดาวน์โหลดอัพเดตจากเว็บที่ไม่เข้ารหัสอีกเช่นกัน ทำให้ผู้ใช้มีความเสี่ยงว่าจะดาวน์โหลดอัพเดตปลอมหากถูกคั่นกลางการเชื่อมต่อ

Bogner รายงานปัญหานี้ไปยังผู้พัฒนา KeePass ตั้งแต่เดือนกุมภาพันธ์ โดยแนะนำให้ KeePass ปรับเว็บเป็น HTTPS เสียแต่ทาง KeePass ปฏิเสธ หลังจากเปิดเผยช่องโหว่นี้ต่อสาธารณะ ทาง KeePass เลือกเซ็นลายเซ็นดิจิตอลในตัวติดตั้งแทน โดยมีผลตั้งแต่รุ่น 2.34 เป็นต้นไป

By nutmos Writer on Tag: FBI, Privacy, Security, USA
FBI

บริษัทเทคโนโลยีหลายแห่งและทนายที่เชี่ยวชาญด้านความปลอดภัยได้เตือนให้ระวังกฎหมายใหม่ที่จะทำให้ FBI สามารถเข้าถึงการบันทึกการดำเนินการติดต่อสื่อสารทางอิเล็กทรอนิกส์ (electronic communication transactional records: ECTRs) โดยไม่มีการแจ้งเตือนว่ามีใครกำลังดูอยู่

ข้อมูล ECTRs นั้นมีรายละเอียดสำคัญหลายอย่าง เช่น เว็บอะไรบ้างที่คนนั้นเข้าชม, ใช้เวลาเข้าชมเว็บนั้นเท่าไร, ข้อมูลที่ตั้ง และที่อยู่ IP โดยการจะเข้าถึงข้อมูลเหล่านี้นั้น หน่วยงานพิเศษที่อยู่ในความรับผิดชอบเพียงแค่เขียนจดหมายความปลอดภัยระดับชาติ (national security letter: NSL) เท่านั้น โดยไม่ต้องใช้คำสั่งศาล

By lew Founder on Tag: Windows, Security, exploit, Microsoft
Windows

ชุดป้องกัน Enhanced Mitigation Experience Toolkit (EMET) ของไมโครซอฟท์ช่วยป้องกันมัลแวร์ที่เจาะผ่านช่องโหว่ของซอฟต์แวร์ด้วยมาตรการเพิ่มเติมหลายอย่างจนทำให้การเจาะเข้ามารันโค้ดในเครื่องทำได้ยากขึ้นมาก แต่ FireEye ก็รายงานว่าชุดซอฟต์แวร์สำหรับเจาะระบบ (Exploit Kit - EK) ที่ชื่อว่า Angler ก็สามารถเจาะผ่าน EMET ได้สำเร็จแล้ว

Angler รุ่นนี้สามารถเจาะทะลุมาตรการ Data Execution Prevention (DEP) ด้วยการใช้ฟังก์ชั่นของ Flash ใน Flash.ocx เองเพื่อเรียก VirtualProtect และ VirtualAlloc เพื่ออนุญาตให้รันโค้ดในหน่วยความจำส่วนที่ต้องการ

By mk Founder on Tag: TeamViewer, Hacking, Security
TeamViewer

ความคืบหน้ากรณี ผู้ใช้ TeamViewer โดนแฮ็ก ล่าสุดโฆษกของ TeamViewer ออกมาให้สัมภาษณ์ มีประเด็นดังนี้

By tekkasit Contributor on Tag: Google Nexus, Security, Android
Google Nexus

พบกันเป็นประจำทุกสัปดาห์แรกของเดือน กับ Android Security Update สำหรับอัพเดตรอบเดือนมิถุนายน 2016 กูเกิลแก้ช่องโหว่ถึง 21 จุด มีระดับความร้ายแรงตั้งแต่ขั้นวิกฤต (critical) จนถึงปานกลาง (moderate) ในบรรดาช่องโหว่ระดับวิกฤตทั้ง 6 จุด มีช่องโหว่เกี่ยวกับไดรเวอร์ของชิป Qualcomm เป็นหลัก (Video, Sound, GPU และ Wi-Fi) และรวมถึงพระเอกประจำงานอย่างช่องโหว่ของ mediaserver (ตัวเดิมที่เคยมีปัญหา StageFright) ด้วย

ข่าวดีคือ กูเกิลบอกว่ายังไม่พบว่ามีการใช้งานช่องโหว่พวกนี้ในแอพที่ขึ้น Play Store

By mk Founder on Tag: LinkedIn, Password, Security
LinkedIn

ปัญหารหัสผ่าน LinkedIn ที่ถูกแฮ็กในปี 2012 ออกสู่สาธารณะ ไม่ได้ส่งผลกระทบแค่การแฮ็กบัญชี Twitter ของคนดัง Mark Zuckerberg เท่านั้น แต่มันจะส่งผลให้การถอดค่าแฮชรหัสผ่านมีประสิทธิภาพขึ้นอีกมาก

By mk Founder on Tag: Lenovo, Security
Lenovo

Lenovo แจ้งเตือนช่องโหว่ความปลอดภัยของซอฟต์แวร์แถมมากับเครื่องพีซี (หรือที่เราเรียกว่า bloatware) ซอฟต์แวร์ตัวนี้ชื่อว่า Lenovo Accelerator Application ใช้เร่งความเร็วการเปิดแอพของ Lenovo บางตัว โดยพรีโหลดมากับโน้ตบุ๊กและพีซีบางรุ่น (ยกเว้นตระกูล Think)

ช่องโหว่ของซอฟต์แวร์ตัวนี้ถูกค้นพบโดยบริษัทความปลอดภัย Duo Labs อาการคือไม่มีระบบตรวจสอบไฟล์ที่ดาวน์โหลดมาเพื่ออัพเดตตัวเอง อาจโดนการทำ man-in-the-middle (MITM) ยัดไฟล์มัลแวร์จากกลางทางมาติดตั้งบนเครื่องของผู้ใช้ได้

By mk Founder on Tag: TeamViewer, Security
TeamViewer

จากกรณี ผู้ใช้ TeamViewer โดนแฮ็ก แม้บริษัทยืนยันว่าซอฟต์แวร์ไม่ได้มีช่องโหว่ และบอกว่าสาเหตุเกิดจากบริการออนไลน์อื่นๆ ถูกแฮ็ก และผู้ใช้ตั้งรหัสผ่านเดียวกันบน TeamViewer ด้วย

แต่ล่าสุด TeamViewer ก็เพิ่มมาตรการความปลอดภัยให้ผู้ใช้ โดยแบ่งเป็น

Subscribe to Security