Image
By lew Founder on Tag: Engadget, HTTPS, Security
Engadget

เว็บไอทีชื่อดังในต่างประเทศอย่าง Engadget ประกาศปรับเว็บมาเป็น HTTPS เต็มรูปแบบแล้วพร้อมกับขึ้นต้นประกาศยอมรับว่าไม่น่าจะปล่อยให้ผู้ใช้ไม่มีทางเลือกเข้าเว็บที่ปลอดภัยไว้นานขนาดนี้

Engadget ระบุว่าการเปิด HTTPS กลายเป็นเรื่องพื้นฐานของความปลอดภัยอินเทอร์เน็ต

By lew Founder on Tag: Intel, Security
Intel

กระบวนการโจมตีช่องโหว่ระบบปฏิบัติการในยุคใหม่ๆ ยากขึ้นเพราะระบบปฏิบัติการไม่ยอมรันโค้ดที่โปรแกรมอัพโหลดขึ้นมาโดยตรงอีกต่อไป ช่วงหลังแฮกเกอร์จึงต้องเขียนโปรแกรมแบบ return-oriented programming (ROP) ตอนนี้อินเทลเสนอกระบวนการป้องกัน ROP ด้วยการตรวจสอบค่าการเรียกฟังก์ชั่นที่ผ่านๆ มาก่อนจะยอมรับ ตำแหน่งของหน่วยความจำที่กำลังจะ return ไป โดยเรียกกระบวนการนี้ว่า Control-flow Enforcement Technology (CET)

By Ford AntiTrust Contributor on Tag: Security, Web Security, HTTPS, HTTP, TLS, In-Depth
Security

กระบวนการรับรอง SSL/TLS Certificate หรือ “ใบรับรองอิเล็กทรอนิกส์” (ต่อไปจะเรียกว่า TLS Certificate) จะผ่านทาง Certificate Authority หรือ “ผู้ออกใบรับรองอิเล็กทรอนิกส์” (CA)

โดยเว็บเบราว์เซอร์หรือระบบปฏิบัติการ (ต่อไปจะเรียกว่า client) จะมีรายการที่เรียกว่า Trusted Root Certification Authorities หรือ “รายการใบรับรองอิเล็กทรอนิกส์ของผู้ออกใบรับรองอิเล็กทรอนิกส์สำหรับผู้อื่น” อยู่ภายใน โดยมากมักอ้างอิงกับตัวระบบปฏิบัติการเป็นหลัก ซึ่งจะบรรจุ Root Certificate หรือ “ใบรับรองอิเล็กทรอนิกส์ลำดับชั้นบนสุด” เพื่อให้ client สามารถเชื่อใบรับรองอิเล็กทรอนิกส์ที่ได้รับรองจาก Certificate Authority เหล่านั้น (Trust any certificates issued by the Certificate Authorities)

By nutmos Writer on Tag: Security, Open Source, Mozilla
Security

Mozilla ได้ตั้งกองทุน Secure Open Source (SOS) ซึ่งเป็นกองทุนที่จะช่วยให้โค้ดของโครงการโอเพนซอร์สมีความปลอดภัยมากยิ่งขึ้น มีเงินสนับสนุนแรกเริ่มจาก Mozilla Open Source Support จำนวน 5 แสนดอลลาร์

จุดประสงค์ของกองทุน SOS คือป้องกันปัญหาด้านความปลอดภัยที่จะเกิดขึ้นจากโครงการโอเพนซอร์สต่างๆ ไม่ว่าจะเป็น Heartbleed หรือ Shellshock โดยนำเงินเหล่านี้ไปจ้างบริษัทความปลอดภัยเพื่อตรวจสอบโค้ดของโครงการโอเพนซอร์ส และทำงานร่วมกับผู้พัฒนาโครงการเหล่านี้เพื่อแก้ปัญหา

By nutmos Writer on Tag: Twitter, Hacking, Security
Twitter

ก่อนหน้านี้มีข่าวว่า แฮกเกอร์ชาวรัสเซียอ้างครอบครองข้อมูล Twitter กว่า 32 ล้านบัญชี ซึ่งหลังจากออกข่าวมา Twitter ก็ได้ตรวจสอบเรื่องนี้ทันที

จากผลการตรวจสอบ Twitter พบว่ามีบัญชีและรหัสผ่านหลุดไปในเว็บมืดจริง โดยมั่นใจว่าข้อมูลเหล่านี้ไม่ได้ถูกแฮกออกไปจากเซิร์ฟเวอร์ของ Twitter โดยตรงแน่นอน เพราะข้อมูลเหล่านี้ถูกขโมยผ่านมัลแวร์ในเครื่องของเหยื่อ

By lew Founder on Tag: Raspberry Pi, Arm, Security
Raspberry Pi

ซีพียู ARM รุ่นหลังๆ มักมีฟีเจอร์ TrustZone เพื่อรันเฟิร์มแวร์แยกส่วนออกจากระบบปฎิบัติการหลัก เชื่อมต่อถึงกันด้วย shared memory เพื่อเก็บรักษาข้อมูลความลับเช่นกุญแจลับ หรือระบบถอดรหัส DRM ในชิป Broadcom BCM2737 สำหรับ Raspberry Pi 3 เองก็มีฟีเจอร์นี้อยู่ในชิปด้วย แต่โครงการ Raspberry Pi ก็ไม่ได้ออกซอฟต์แวร์มาใช้ฟีเจอร์นี้แต่อย่างใด ตอนนี้บริษัท Sequitur Labs ผู้พัฒนาระบบความปลอดภัย IoT ร่วมกับ Linaro ก็พอร์ตเฟิร์มแวร์ Linaro OP-TEE มารันบน Raspberry

By lew Founder on Tag: Password, Security, Research
Password

งานวิจัยร่วมระหว่างนักวิจัยจาก Cornell, MIT, และ Dropbox เสนอแนวทางการช่วยเหลือผู้ใช้ในการพิมพ์รหัสผ่านด้วยการแก้ไขรหัสผ่านอย่างง่ายๆ ในรูปแบบที่มักพิมพ์ผิดให้กับผู้ใช้

งานวิจัยเก็บข้อมูลบน Amazon Mechanical Turk ด้วยการให้ผู้ร่วมทดลองพิมพ์รหัสผ่านที่กำหนดแล้วเก็บข้อมูลว่ามีความผิดพลาดรูปแบบใดบ้าง พบว่าความผิดพลาดเกือบครึ่งหนึ่งมาจากการพิมพ์ผิดเพียง 7 แบบ ได้แก่ สลับตัวใหญ่/เล็กทั้งหมด, สลับตัวใหญ่/เล็กเฉพาะตัวแรก, มีตัวอักษรเกินมาตอนท้าย, มีตัวอักษรเกินมาตอนต้น, ลืมพิมพ์ shift เพื่อพิมพ์สัญลักษณ์ในตอนท้าย, พิมพ์ผิดไปปุ่มข้างเคียง, และสับสนระหว่างตัวอักษรที่คล้ายกัน

By lew Founder on Tag: KeePass, Password, Password Manager, Security
KeePass

Florian Bogner ผู้ตรวจสอบความปลอดภัยข้อมูลจาก Kapsch BusinessCom AG รายงานถึงช่องโหว่กระบวนการอัพเดตโปรแกรมเก็บรหัสผ่าน KeePass 2 ที่ตัวโปรแกรมจะตรวจสอบจากเว็บผ่าน HTTP ที่ไม่เข้ารหัส จากนั้นจึงแจ้งเตือนให้ผู้ใช้ไปดาวน์โหลดอัพเดตจากเว็บที่ไม่เข้ารหัสอีกเช่นกัน ทำให้ผู้ใช้มีความเสี่ยงว่าจะดาวน์โหลดอัพเดตปลอมหากถูกคั่นกลางการเชื่อมต่อ

Bogner รายงานปัญหานี้ไปยังผู้พัฒนา KeePass ตั้งแต่เดือนกุมภาพันธ์ โดยแนะนำให้ KeePass ปรับเว็บเป็น HTTPS เสียแต่ทาง KeePass ปฏิเสธ หลังจากเปิดเผยช่องโหว่นี้ต่อสาธารณะ ทาง KeePass เลือกเซ็นลายเซ็นดิจิตอลในตัวติดตั้งแทน โดยมีผลตั้งแต่รุ่น 2.34 เป็นต้นไป

By nutmos Writer on Tag: FBI, Privacy, Security, USA
FBI

บริษัทเทคโนโลยีหลายแห่งและทนายที่เชี่ยวชาญด้านความปลอดภัยได้เตือนให้ระวังกฎหมายใหม่ที่จะทำให้ FBI สามารถเข้าถึงการบันทึกการดำเนินการติดต่อสื่อสารทางอิเล็กทรอนิกส์ (electronic communication transactional records: ECTRs) โดยไม่มีการแจ้งเตือนว่ามีใครกำลังดูอยู่

ข้อมูล ECTRs นั้นมีรายละเอียดสำคัญหลายอย่าง เช่น เว็บอะไรบ้างที่คนนั้นเข้าชม, ใช้เวลาเข้าชมเว็บนั้นเท่าไร, ข้อมูลที่ตั้ง และที่อยู่ IP โดยการจะเข้าถึงข้อมูลเหล่านี้นั้น หน่วยงานพิเศษที่อยู่ในความรับผิดชอบเพียงแค่เขียนจดหมายความปลอดภัยระดับชาติ (national security letter: NSL) เท่านั้น โดยไม่ต้องใช้คำสั่งศาล

By lew Founder on Tag: Windows, Security, exploit, Microsoft
Windows

ชุดป้องกัน Enhanced Mitigation Experience Toolkit (EMET) ของไมโครซอฟท์ช่วยป้องกันมัลแวร์ที่เจาะผ่านช่องโหว่ของซอฟต์แวร์ด้วยมาตรการเพิ่มเติมหลายอย่างจนทำให้การเจาะเข้ามารันโค้ดในเครื่องทำได้ยากขึ้นมาก แต่ FireEye ก็รายงานว่าชุดซอฟต์แวร์สำหรับเจาะระบบ (Exploit Kit - EK) ที่ชื่อว่า Angler ก็สามารถเจาะผ่าน EMET ได้สำเร็จแล้ว

Angler รุ่นนี้สามารถเจาะทะลุมาตรการ Data Execution Prevention (DEP) ด้วยการใช้ฟังก์ชั่นของ Flash ใน Flash.ocx เองเพื่อเรียก VirtualProtect และ VirtualAlloc เพื่ออนุญาตให้รันโค้ดในหน่วยความจำส่วนที่ต้องการ

By mk Founder on Tag: TeamViewer, Hacking, Security
TeamViewer

ความคืบหน้ากรณี ผู้ใช้ TeamViewer โดนแฮ็ก ล่าสุดโฆษกของ TeamViewer ออกมาให้สัมภาษณ์ มีประเด็นดังนี้

By tekkasit Contributor on Tag: Google Nexus, Security, Android
Google Nexus

พบกันเป็นประจำทุกสัปดาห์แรกของเดือน กับ Android Security Update สำหรับอัพเดตรอบเดือนมิถุนายน 2016 กูเกิลแก้ช่องโหว่ถึง 21 จุด มีระดับความร้ายแรงตั้งแต่ขั้นวิกฤต (critical) จนถึงปานกลาง (moderate) ในบรรดาช่องโหว่ระดับวิกฤตทั้ง 6 จุด มีช่องโหว่เกี่ยวกับไดรเวอร์ของชิป Qualcomm เป็นหลัก (Video, Sound, GPU และ Wi-Fi) และรวมถึงพระเอกประจำงานอย่างช่องโหว่ของ mediaserver (ตัวเดิมที่เคยมีปัญหา StageFright) ด้วย

ข่าวดีคือ กูเกิลบอกว่ายังไม่พบว่ามีการใช้งานช่องโหว่พวกนี้ในแอพที่ขึ้น Play Store

By mk Founder on Tag: LinkedIn, Password, Security
LinkedIn

ปัญหารหัสผ่าน LinkedIn ที่ถูกแฮ็กในปี 2012 ออกสู่สาธารณะ ไม่ได้ส่งผลกระทบแค่การแฮ็กบัญชี Twitter ของคนดัง Mark Zuckerberg เท่านั้น แต่มันจะส่งผลให้การถอดค่าแฮชรหัสผ่านมีประสิทธิภาพขึ้นอีกมาก

By mk Founder on Tag: Lenovo, Security
Lenovo

Lenovo แจ้งเตือนช่องโหว่ความปลอดภัยของซอฟต์แวร์แถมมากับเครื่องพีซี (หรือที่เราเรียกว่า bloatware) ซอฟต์แวร์ตัวนี้ชื่อว่า Lenovo Accelerator Application ใช้เร่งความเร็วการเปิดแอพของ Lenovo บางตัว โดยพรีโหลดมากับโน้ตบุ๊กและพีซีบางรุ่น (ยกเว้นตระกูล Think)

ช่องโหว่ของซอฟต์แวร์ตัวนี้ถูกค้นพบโดยบริษัทความปลอดภัย Duo Labs อาการคือไม่มีระบบตรวจสอบไฟล์ที่ดาวน์โหลดมาเพื่ออัพเดตตัวเอง อาจโดนการทำ man-in-the-middle (MITM) ยัดไฟล์มัลแวร์จากกลางทางมาติดตั้งบนเครื่องของผู้ใช้ได้

By mk Founder on Tag: TeamViewer, Security
TeamViewer

จากกรณี ผู้ใช้ TeamViewer โดนแฮ็ก แม้บริษัทยืนยันว่าซอฟต์แวร์ไม่ได้มีช่องโหว่ และบอกว่าสาเหตุเกิดจากบริการออนไลน์อื่นๆ ถูกแฮ็ก และผู้ใช้ตั้งรหัสผ่านเดียวกันบน TeamViewer ด้วย

แต่ล่าสุด TeamViewer ก็เพิ่มมาตรการความปลอดภัยให้ผู้ใช้ โดยแบ่งเป็น

By lew Founder on Tag: Ransomware, Security
Ransomware

Ransomware ที่ระบาดอย่างหนักในทุกวันนี้ไม่ได้เป็นเพียงธุรกิจที่มีกลุ่มอาชญากรความรู้สูงพัฒนามัลแวร์ที่มีความสามารถในการเข้ารหัสที่ซับซ้อนเท่านั้น แต่มัลแวร์เหล่านี้อาศัยกลุ่มคนทำงานในส่วนต่างๆ เพื่อช่วยกันประสานงานจนกระทั่งเหยื่อติดมัลแวร์และยอมจ่ายเงิน Flashpoint ออกรายงานติดตามกลุ่มอาชญากรกลุ่มหนึ่งที่ออกประกาศหาผู้ร่วมงาน

หัวหน้ากลุ่มนี้ประกาศรับสมัครคนเข้าร่วมกลุ่มบน Dark Web ประกาศระบุว่าผู้เข้าร่วมไม่จำเป็นตั้งมีความสามารถพิเศษ เพียงแต่ต้องตั้งใจจริงก็สามารถสร้างรายได้ได้

By nutmos Writer on Tag: WordPress, Security, Hacking
WordPress

นักวิจัยความปลอดภัยเริ่มค้นพบการโจมตีเว็บไซต์ WordPress ผ่านปลั๊กอินที่ชื่อว่า WP Mobile Detector โดยช่องโหว่ของตัวปลั๊กอินคือไม่มีการตรวจสอบด้านความปลอดภัยและลบอินพุตที่เป็นอันตรายที่ส่งเข้ามาโดยผู้เยี่ยมชมเว็บไซต์ จึงทำให้ผู้ไม่ประสงค์ดีสามารถส่งโค้ด PHP ที่เป็นอันตรายเข้าไปใน request และเว็บไซต์ที่ใช้ปลั๊กอินนี้จะรับเข้าไปรันได้

Douglas Santos นักวิจัยความปลอดภัยจาก Sucuri เผยว่าช่องโหว่นี้ง่ายต่อการเจาะมาก ผู้โจมตีแค่ส่ง request ไปยัง resize.php หรือ timthumb.php พร้อม backdoor URL ไปเท่านั้น

By lew Founder on Tag: Phishing, Malware, Ransomware, Security
Phishing

PhishMe ผู้ให้บริการป้องกันการโจมตีองค์กรด้วยการฟิชชิ่งแบบเจาะจงเป้าหมาย (spear phishing) ออกรายงานภัยอีเมลไตรมาสแรกของปี 2016 พบว่ามัลแวร์เข้ารหัสข้อมูลเรียกค่าไถ่ยังคงเติบโตต่อเนื่อง เนื่องจากความสำเร็จของมัลแวร์ก่อนหน้านี้ที่สามารถเรียกเงินจากเหยื่อได้

รายงานฉบับนี้ระบุว่ามีการโจมตีด้วยอีเมลฟิชชิ่งทั้งหมด 612 ระลอกในช่วงสามเดือนแรกของปีนี้ รวมเป็นอีเมล 6.3 ล้านฉบับ ในจำนวนนี้ มีอีเมลที่มาพร้อมกับมัลแวร์เข้ารหัสข้อมูลเรียกค่าไถ่มากขึ้นเรื่อยๆ จนเดือนมีนาคมที่ผ่านมามีสัดส่วนถึง 50% ของอีเมลฟิชชิ่งทั้งหมด ขณะที่เมื่อปีที่แล้วสัดส่วนนี้เกิน 10% เมื่อเดือนธันวาคมเท่านั้น

By nrad6949 Writer on Tag: Security, Telecom, Mobile
Security

เว็บไซต์นิตยสาร Forbes รายงานว่าระบบสื่อสารโทรคมนาคมที่เรียกว่า Signalling System No. 7 (SS7) อันเป็นมาตรฐานการสื่อสารที่พัฒนาขึ้นมาตั้งแต่ปี 1975 มีช่องโหว่ร้ายแรงที่สำคัญ ซึ่งทำให้แฮกเกอร์สามารถหลอกผู้ให้บริการโทรคมนาคม (ในที่นี้คือโทรศัพท์เคลื่อนที่) ว่าโทรศัพท์มือถือของตนเองนั้นมีหมายเลขเดียวกับเครื่องเหยื่อเป้าหมายที่จะถูกโจมตี ทำให้แฮกเกอร์สามารถทำได้ทั้งรับสาย รับข้อความ SMS แทนเจ้าของเครื่องตัวจริง (ว่าง่ายๆ คือ hijack โทรศัพท์กันที่ระดับหมายเลข) พร้อมกับเผยแพร่วิดีโอสาธิตการโจมตีด้วย

By BlackMiracle Writer on Tag: TeamViewer, Hacking, Security, Remote Desktop
TeamViewer

หลังจากมีเหตุการณ์ที่มีผู้ใช้จำนวนมากรายงานว่าซอฟต์แวร์ TeamViewer ถูกแฮ็ก และบัญชีธนาคารของเหยื่อถูกขโมยเงินออกไปหมด ขณะนี้ TeamViewer ได้ออกแถลงการณ์ต่อเหตุการณ์ดังกล่าวแล้ว ยืนยันว่าซอฟต์แวร์ของตนไม่มีช่องโหว่ใดๆ และเป็นความผิดของผู้ใช้ที่ไม่ระมัดระวังเอง

Subscribe to Security