SEC Consult ที่ปรึกษาด้านความปลอดภัยรายงานผลการวิจัยพบว่าผู้ผลิตอุปกรณ์เครือข่ายจำนวนมากไม่ได้สร้างกุญแจลับสำหรับการเข้ารหัสเว็บและ SSH ขึ้นใหม่ แต่ใช้กุญแจตัวอย่างจากชุดพัฒนาโดยตรงทำให้อุปกรณ์เหล่านี้เสี่ยงต่อการถูกคั่นกลางการเชื่อมต่อ (man-in-the-middle attack)

ศูนย์วิจัย Microsoft Research-Inria Joint Centre สร้างไลบรารี TLS ที่ตั้งเป้าหมายว่าจะตรวจสอบทางคณิตศาสตร์ได้ว่าไม่มีช่องโหว่ให้โจมตีได้ ใช้ชื่อว่า miTLS

ตัวไลบรารีเขียนด้วยภาษา F# และสร้างสเปคการตรวจสอบด้วยภาษา F7 และเวอร์ชั่นใหม่จะพัฒนาด้วยภาษา F*

NSA ปล่อยหนังสือเรียนประวัติศาสตร์การรักษาความปลอดภัยการสื่อสาร (A History of U.S. Communications Security) ที่ใช้มาตั้งแต่ปี 1973 และเคยเปิดเผยบางส่วนในปี 2008 ก่อนจะมีการยื่นอุทธรณ์ในปี 2009 และเพิ่งได้รับอนุมัติให้เปิดเผยเนื้อหาเกือบทั้งหมดในเดือนที่แล้ว

Candid Wueest จาก Symantec รายงานถึงม้ลแวร์เรียกค่าไถ่ (ransomware) ที่ล็อกหน้าจอสมาร์ตทีวีจนใช้งานไม่ได้ โดยตัวแอปที่ติดตั้งเข้ามาจะเด้งขึ้นมาทุกสองวินาที และเริ่มต้นทำงานหลังบูตขึ้นมาเพียง 20 วินาทีทำให้ผู้ใช้ไม่สามารถเข้าเมนูไปลบแอปออกจากระบบได้ทัน

กระบวนการถอนการติดตั้งมัลแวร์เหล่านี้ที่ได้ผลที่สุดคือต่อสาย USB และใช้ adb เข้าไปสั่งถอนการติดตั้ง แต่หากผู้ใช้ไม่ได้เปิดโหมดนักพัฒนาไว้ก็จะยิ่งกลายเป็นเรื่องยุ่งยาก

Samy Kamkar แฮกเกอร์จากสหรัฐฯ สาธิตเครื่อง MagSpoof วงจรปล่อยคลื่นแม่เหล็กที่ปลอมตัวเองเป็นบัตรเครดิต สามารถยิงข้อมูลเข้าไปยังเครื่องอ่านบัตรเหมือนกับรูดบัตรเครดิตแล้วได้

หลังจากเมื่อวานนี้มีรายงานพบใบรับรอง root CA ที่ชื่อว่า eDellRoot ในคอมพิวเตอร์เดลล์หลายรุ่น และทางโฆษกของเดลล์ออกมาให้สัมภาษณ์นักข่าวบางสำนัก ตอนนี้ทางเดลล์ก็เขียนบล็อกเรื่องนี้เป็นทางการ โดยทางเดลล์ชี้แจงว่าติดตั้งใบรับรองนี้เพื่อส่งค่า service tag กลับไปยังระบบซัพพอร์ตของเดลล์

ผู้ใช้เว็บ reddit ชื่อว่า rotorcowboy และผู้ใช้ทวิตเตอร์ @jhnord รายงานว่าเครื่อง Dell XPS 15 ของเขามี root CA แปลกๆ ติดตั้งมาด้วยในเครื่อง ใช้ชื่อว่า eDellRoot พร้อมกับติดตั้งกุญแจลับ (private key) เอาไว้ในเครื่อง

Zerodium บริษัทรับซื้อช่องโหว่ซอฟต์แวร์ที่ประกาศจ่ายเงินล้านดอลลาร์สำหรับช่องโหว่ iOS และเพิ่งได้จ่ายไปไม่นานนี้ ออกมาประกาศรายการราคาช่องโหว่ซอฟต์แวร์ประเภทต่างๆ ที่รับซื้อ

อเมซอนฝั่งค้าปลีกเปิดบริการการยืนยันตัวตนผู้ใช้สองขั้นตอนสำหรับลูกค้าทั่วไปแล้ว โดยต้องยืนยันหมายเลขโทรศัพท์ก่อน จึงสามารถขอข้อมูลสำหรับการยืนยันตัวตนผ่านแอป เช่น Google Authenticator ได้

โครงการ Tor ออกมาระบุว่าทีมวิจัยจากมหาวิทยาลัย Carnegie Mellon (CMU) ได้รับเงินทุนจาก FBI ให้มาเจาะ Tor มูลค่าอย่างน้อยหนึ่งล้านดอลลาร์ วันนี้ทางมหาวิทยาลัยก็ออกมาโต้ข่าวแล้ว

ทางมหาวิทยาลัยไม่ได้ระบุข่าวโดยตรง แต่ระบุเพียงว่าสถาบันวิศวกรรมซอฟต์แวร์ (Software Engineering Institute - SEI) ได้รับเงินทุนจากรัฐบาลกลาง และศูนย์ CERT ก็เป็นศูนย์ภายใต้สถาบันที่ทำหน้าที่วิจัยหาช่องโหว่ซอฟต์แวร์ ทางศูนย์ได้รับหมายศาลเพื่อขอข้อมูลงานวิจัยอยู่เป็นระยะและเป็นหน้าที่ของมหาวิทยาลัยที่จะทำตามหมายเหล่านั้น โดยไม่ได้รับเงินตอบแทนแต่อย่างใด

Yubico ผู้ผลิตกุญแจอิเล็กทรอนิกส์เพื่อการยืนยันตัวตนหลายรูปแบบ โดยเฉพาะ U2F ที่ Yubico เป็นผู้ร่วมพัฒนากับกูเกิล ตอนนี้กุญแจ Yubikey สินค้าสำคัญของบริษัทก็ออกรุ่น 4 ออกมาแล้ว โดยมีความสามารถสำคัญได้แก่

การใช้คอนเทนเนอร์มาช่วยแยกระบบออกเป็นส่วนๆ อาจจะช่วยเพิ่มความปลอดภัยให้กับระบบโดยรวมได้ในบางกรณี แต่ปัญหาการที่นักพัฒนาไม่อัพเกรดซอฟต์แวร์ในคอนเทนเนอร์เป็นปัญหาเรื้อรัง และสร้างช่องโหว่ให้กับระบบ ล่าสุดบริการเก็บอิมเมจ Quay.io ของ CoreOS ตรวจสอบพบว่าอิมเมจที่เก็บไว้ยังมีช่องโหว่ Heartbleed ถึง 80% ทาง CoreOS จึงเปิดซอร์ส Clair เครื่องมือเตือนให้นักพัฒนารู้ว่าควรอัพเดตซอฟต์แวร์ได้หรือยัง

Let's Encrypt เปิดตัวโครงการมาครบรอบหนึ่งปีพอดี กำหนดการเดิมที่จะปล่อยใบรับรองให้กับสาธารณะวันจันทร์นี้ก็เลื่อนไปเป็นวันที่ 3 ธันวาคมที่จะถึงนี้ แม้จะเปิดให้คนทั่วไปใช้งาน แต่ทางโครงการก็ยังระบุว่าเป็นช่วงทดสอบระบบ (เบต้า) เท่านั้น และยังมีงานต้องทำก่อนจะพร้อมใช้งานจริงสำหรับคนทั่วไป

จนตอนนี้ทาง Let's Encrypt ปล่อยใบรับรองให้กับผู้ที่เข้าร่วมโครงการเบต้าแล้วกว่า 11,000 ใบ

ที่มา - Let's Encrypt