Mary Ann Davidson หัวหน้าฝ่ายความปลอดภัย (Chief Security Officer) ของออราเคิลเขียนบล็อกลงเว็บบริษัท ขอให้ลูกค้าเลิกตรวจสอบความปลอดภัยซอฟต์แวร์ของออราเคิลด้วยเครื่องมือสแกนความปลอดภัย เพราะเป็นการละเมิดข้อตกลงการใช้งาน

เธอระบุว่าการที่ออราเคิลจะยอมรับรายงานช่องโหว่ จะต้องให้ลูกค้าเข้ามาเปิดการขอซัพพอร์ตด้วยตัวเองที่ละจุด และแสดงตัวอย่างการเจาะระบบที่ได้ผล อย่างไรก็ตามหากทีมงานของเธอพบว่าลูกค้าใช้เครื่องมือวิเคราะห์ที่เป็นการวิเคราะห์โค้ด (static analysis) ทางออราเคิลจะส่งจดหมายกลับไปบอกให้หยุดวิเคราะห์และทำลายผลการวิเคราะห์เหล่านั้นเสีย

มัลแวร์เข้ารหัสไฟล์เรียกค่าไถ่หรือ ransomware ระบาดหนักขึ้นเรื่อยๆ ในช่วงไม่กี่ปีที่ผ่านมา เพราะความสามารถในการทำเงินที่ตรงไปตรงมากว่าการยิงสแปมหรือขายบริการ botnet เป้าหมายสำคัญหนึ่งคือออสเตรเลีย Delia Rickard รองประธานกรรมการการแข่งขันและคุ้มครองผู้บริโภค (Australian Competition and Consumer Commission - ACCS) ของออสเตรเลียออกมาระบุว่าภายในเวลาเพียงสองเดือน ทาง ACCS ได้รับเรื่องร้องเรียนจากเหยื่อของมัลแวร์เหล่านี้ถึง 2,500 ราย และมีผู้จ่ายค่าไถ่ไปแล้วมูลค่ากว่า 400,000 ดอลลาร์

รายงานช่องโหว่ของซีพียูอินเทลตั้งแต่ปี 1997 เป็นต้นมาทำให้แฮกเกอร์สามารถสร้าง rootkit ฝังตัวไว้ในเครื่องของเหยื่อที่ระดับต่ำกว่าระบบปฏิบัติการ โดยนักวิจัย Christopher Domas นำเสนอช่องโหว่นี้ในงาน Black Hat

ระดับความปลอดภัย System Management Mode (SMM) เป็นระดับลึกที่สุดของซีพียู ลึกกว่าชั้น hypervisor ที่มีไว้สำหรับสร้างเครื่องจำลอง ทาง Domas เรียกระดับนี้ว่า ring -2 (เทียบกับ hyervisor ที่มักเรียกว่า ring -1 และระดับระบบปฎิบัติการที่เรียกว่า ring 0)

Let's Encrypt บริการออกใบรับรองโดเมนฟรีมีกำหนดการเปิดบริการทั่วไปกลางเดือนกันยายนนี้ ตอนนี้ทางโครงการก็ออกมาประกาศเลื่อนออกไปเป็นวันที่ 16 พฤศจิกายนแล้ว

กำหนดการนี้เลื่อนออกไปจากเดิมประมาณสองเดือนสำหรับบริการทั่วไป และสองเดือนครึ่งสำหรับการเปิดบริการเฉพาะกลุ่ม

ทางโครงการไม่ได้บอกเหตุผลของการเลื่อนไว้ตรงๆ แต่บอกเพียงว่าเพื่อใช้เวลาปรับปรุงระบบ

ที่มา - Let's Encrypt

ซีพียู Skylake เพิ่งเปิดตัวไป สำหรับคนส่วนมาก มันคือซีพียูที่แรงขึ้นตามรอบการอัพเกรดของอินเทล แต่นอกจากความแรงแล้ว อินเทลยังค่อยๆ ปรับปรุงสถาปัตยกรรมของซีพียูทุกรอบที่ออกรุ่นใหม่ เช่นใน Haswell ที่มีชุดคำสั่ง TSX สำหรับโมเดลการเขียนโปรแกรมแบบหลายเธรดแบบใหม่ ในสถาปัตยกรรม Skylake ชุดคำสั่งใหม่คือ Intel MPX (Memory Protection Extensions)

เซิร์ฟเวอร์อีเมลของกระทรวงกลาโหมสหรัฐฯ (Deparment of Defence - DoD) ถูกแฮกบางส่วน ทำให้ผู้ดูแลระบบปิดเซิร์ฟเวอร์เหล่านั้นมาแล้ว 11 วัน ตั้งแต่วันที่ 25 กรกฎาคมที่ผ่านมา กระทบคนทำงาน 4,000 คน

เครือข่ายที่ถูกแฮกเป็นส่วน Joint Staff ที่เป็นระดับชั้นไม่เป็นความลับ (unclassified) โดยตอนนี้อยู่ระหว่างการค้นหาต้นเหตุและแก้ไข โดยทาง DoD ยังไม่แน่ใจว่าใครเป็นผู้บุกรุกในรอบนี้

ที่มา - The Register

หลังจากกูเกิลออกมาประกาศแล้วว่าหลังจากนี้จะออกแพตช์ความปลอดภัยเข้าโครงการ AOSP รายเดือน ตอนนี้ผู้ผลิตที่ออกตอบรับเรื่องนี้คือซัมซุง

ซัมซุงระบุว่าแพตช์ของช่องโหว่ StageFright เข้าสู่กระบวนการพิเศษเพื่อให้ออกอัพเดตไปยังเครื่องผู้ใช้ได้รวดเร็ว และหลังจากนี้ทางซัมซุงก็จะสร้างแนวทางอัพเดตสำหรับแพตช์ความปลอดภัยรายเดือน

กูเกิลออกมาแสดงท่าทีต่อช่องโหว่ StageFright แล้ววันนี้ โดยระบุว่าวันนี้ อุปกรณ์ Nexus ตั้งแต่ Nexus 4 ขึ้นไปจะได้รับอัพเดต และหลังจากนี้จะมีอัพเดตความปลอดภัยให้ทุกเดือน

อัพเดตชุดนี้จะแก้ช่องโหว่ StageFright และช่องโหว่อื่นๆ ตลอดเดือนกรกฎาคมที่ผ่านมา

อัพเดตของ Nexus จะออกพร้อมๆ กับโค้ดถูกส่งเข้าโครงการ AOSP ส่วนผู้ที่ใช้แบรนด์อื่นๆ นอกจาก Nexus ก็ต้องภาวนาให้ผู้ผลิตนำโค้ดไปออกอัพเดตกันเอง

ใครอยากด่าก็ขอให้อยู่ในความสุภาพครับ

กระบวนการเชื่อมต่อแบบเข้ารหัส TLS ที่ใช้สำหรับการเชื่อมต่อเข้ารหัสบนอินเทอร์เน็ตอย่างหลากหลายมีกระบวนการสำคัญคือการแลกกุญแจ (key exchange) ที่ทุกวันนี้มักอิงกับอัลกอรืทึม RSA เป็นหลัก แต่ RSA นั้นหากสามารถสร้างคอมพิวเตอร์ควอนตัมที่ขนาดใหญ่พอได้สำเร็จก็จะถอดรหัสได้ในเวลาอันรวดเร็ว ตอนนี้กลุ่มวิจัยสถาปัตยกรรรมควอนตัม (Quantum Architectures and Computation Group - QuArC) ของไมโครซอฟท์ก็ออกมาเสนอกระบวนการแลกกุญแจที่จะทนทานต่อคอมพิวเตอร์ควอนตัม

LINE เปิดโครงการจ่ายรางวัลสำหรับนักวิจัยที่พบช่องโหว่ของระบบ (bug bounty) ช่วงแรกมีระยะเวลาหนึ่งเดือน เริ่มรับช่องโหว่ 24 สิงหาคมนี้ถึง 23 กันยายนปีนี้

โครงการนี้จำกัดเฉพาะแอพแชตบน iOS และแอนดรอยด์รุ่นล่าสุด และเว็บ *.line-apps.com, *.line.me, และ *.line.naver.jp โดยไม่รวมถึงเกมหรือแอพพลิเคชั่นอื่นๆ

LINE ใช้การตั้งเงินรางวัลขั้นต่ำสำหรับช่องโหว่แต่ละประเภท เงินรางวัลใหญ่ที่สุดคือช่องโหว่รันโค้ดบนเครื่องของผู้ใช้ด้วยการส่งข้อความใน LINE ตั้งรางวัลไว้ขั้นต่ำ 20,000 ดอลลาร์ ช่องโหว่สำคัญๆ เช่น การดักฟังข้อความ, การรันโค้ดบนเซิร์ฟเวอร์ จะมีเงินรางวัลขั้นต่ำ 10,000 ดอลลาร์

RSA Research รายงานกลุ่มแฮกเกอร์ที่เรียกว่า Terracotta เป็นกลุ่มแฮกเกอร์ที่ให้บริการ VPN กับกลุ่มแฮกเกอร์อื่นๆ เพื่อหลีกเลี่ยงการบล็อคไอพี และคนจีนโดยทั่วไปเพื่อหลบเลี่ยงการบล็อคเว็บ

Terracotta มีโหนดทั่วโลกกว่า 1,500 โหนด แฮกมาจากเซิร์ฟเวอร์ที่ไม่ได้ป้องกันดีพอ และมีการเพิ่มเติมโหนดเข้ามาเรื่อยๆ เครื่องของเหยื่อมีตั้งแต่เครือโรงแรมดัง, มหาวิทยาลัย,โรงเรียน, บริษัทไอที โดย Terracotta นำมาให้บริการ VPN เดือนละสามดอลลาร์ให้กับลูกค้าทั่วไป ทำตลาดภายใต้ยี่ห้อหลายยี่ห้อ