ช่วงหลังๆ มานี้ ประเด็นเรื่อง "ความปลอดภัย" ของโลกไอทีกลายเป็นเรื่องใหญ่กว่าในอดีตมาก ความซับซ้อนของภัยคุกคามไซเบอร์เพิ่มขึ้นหลายเท่า และมาตรการป้องกันภัยเองก็พัฒนาขึ้นจาก "แอนตี้ไวรัส" เพียงอย่างเดียวมาเป็นชุดเครื่องมือหลายๆ อย่างทำงานประสานกันแทน

เมื่อพูดถึงบริษัทด้านความปลอดภัยของโลกไอที แบรนด์แรกๆ ที่คนทั่วไปนึกถึงมักเป็น Norton ผลิตภัณฑ์จากบริษัท Symantec ซึ่งเป็นบริษัทด้านความปลอดภัยรายใหญ่ของโลก มีประวัติความเป็นมายาวนาน

ผมมีโอกาสสัมภาษณ์ คุณประมุท ศรีวิเชียร ผู้จัดการประจำประเทศไทย Symantec Thailand ซึ่งจะมาเล่าสถานการณ์ของความปลอดภัยไซเบอร์ที่เปลี่ยนแปลงไป และอธิบายว่าจริงๆ แล้ว Symantec มีสินค้าและผลิตภัณฑ์อื่นๆ นอกเหนือจาก Norton อีกมาก

Adobe ออก Flash Player เวอร์ชันใหม่บนทุกแพลตฟอร์ม เพื่อแก้ปัญหาช่องโหว่ความปลอดภัยที่เพิ่งค้นพบใหม่ 2 จุด

เลขเวอร์ชันของ Flash Player รุ่นใหม่มีดังนี้ครับ

• วินโดวส์/แมค 11.5.502.149
• ลินุกซ์ 11.2.202.262
• Chrome 11.5.31.139
• IE10/Windows 8 11.3.379.14
• Android 4.x 11.1.115.37
• Android 3.x 11.1.111.32

ที่มา - Adobe, Ars Technica

นักวิจัยตีพิมพ์งานวิจัยช่องโหว่ใหม่ของ TLS ในโหมด CBC (Cipher Block Chaining) ที่ตั้งชื่อว่า "Lucky Thirteen" ที่เป็นช่องโหว่ที่อาศัยผลข้างเคียง (side-channel) คือเวลาในการประมวลผลของแต่ละเซสชั่น โดยข้อมูลที่ถูกต้องจะใช้เวลาประมวลผลโดยเฉลี่ยต่ำกว่าข้อมูลที่ผิด

หลังจากประสบปัญหาเรื่องความปลอดภัยอย่างต่อเนื่อง ออราเคิลก็ตัดสินใจออกแพตช์ความปลอดภัยของ Java SE ประจำเดือนกุมภาพันธ์ให้เร็วกว่าเดิม จากเดิมที่มีกำหนดออกวันที่ 19 กุมภาพันธ์ ก็เปลี่ยนมาออกตั้งแต่วันที่ 1 กุมภาพันธ์แทน

แพตช์ชุดนี้มีชื่ออย่างเป็ฯทางการว่า Critical Patch Update for Java SE – February 2013 ใช้กับ Java 5u38, 6u38, 7u11 ขึ้นไป รวมถึง JavaFX 2.2.4 ด้วย โดยตัวเลขเวอร์ชันของอัพเดตนี้จะกลายเป็น 6u39, 7u13 และ JavaFX 2.2.5 ครับ

Apple บล็อคปลั๊กอิน Java เป็นรอบที่สองของเดือนมกราคมแล้ว (รอบแรก) อันเนื่องมาจากปัญหาความปลอดภัยของ Java ที่ถูกค้นพบอยู่เรื่อย ๆ และการแก้บั๊กที่ล่าช้าของ Oracle นั่นเอง

คราวก่อน Apple อัพเดตไฟล์ blacklist ที่ชื่อ Xprotect.plist (ปกติไฟล์นี้จะอัพเดตเองอัตโนมัติเมื่อเชื่อมต่ออินเทอร์เน็ต) เพื่อปิดการทำงานของปลั๊กอิน Java จนกว่า Oracle จะออก Java เวอร์ชันใหม่ แต่ถึงแม้จะออก Java เวอร์ชันใหม่มา กลับมีผู้ค้นพบช่องโหว่ที่รุนแรงขึ้นเรื่อย ๆ (ติดตามได้จากแท็ก Java) และการแก้ไขอันล่าช้าของ Oracle ทำให้ Apple สั่งปิดปลั๊กอิน Java บน OS X อีกครั้ง

Wall Street Journal และ The New York Times หนังสือพิมพ์ชื่อดังในสหรัฐฯ สองฉบับถูกแฮ็กโดยเน้นไปที่ข้อมูลของนักข่าวในสำนักงานในจีน

The New York Times รายงานว่าพบหลักฐานการขโมยรหัสผ่านของพนักงาน 53 คน รวมถึงนักข่าวประจำกรุงปักกิ่งและประจำที่สำนักงานอินเดียซึ่งเป็นสำนักงานใหญ่ของทั้งภูมิภาคเอเซีย

ทางฝั่ง Wall Street Journal ก็รายงานคล้ายกัน คือ มีความพยายามเข้าไปการเสนอข่าวที่เกี่ยวกับจีน และทางหนังสือพิมพ์ยืนยันว่าไม่มีข้อมูลลูกค้าได้รับผลกระทบจากการแฮ็กครั้งนี้

ผู้เชี่ยวชาญทางฝั่ง The New York Times นั้นตั้งข้อสังเกตว่าแฮ็กเกอร์น่าจะมีความเชื่อมโยงกับรัฐบาลจีน เพราะการแฮ็กมีทั้งหมดไปในทางเดียวกันคือหาข้อมูลเกี่ยวกับข่าวต่างๆ ที่เป็นด้านลบกับรัฐบาลจีน

เมื่อกลางปีที่แล้ว Paypal ประกาศล่าบั๊กความปลอดภัยในเว็บและให้เงินรางวัลแก่ผู้แจ้งบั๊ก วันนี้รายละเอียดบั๊กตัวแรกก็ออกมาแล้ว โดยเป็นบั๊ก SQL Injection ที่แจ้งไปตั้งแต่เดือนสิงหาคมที่ผ่านมา (เพียงเดือนกว่าๆ หลังประกาศล่าบั๊ก)

บั๊กนี้อยู่ในส่วนการยืนยันอีเมล โดยลิงก์ที่ Paypal ส่งไปยังอีเมลผู้ใช้เพื่อยืนยันมีพารามิเตอร์ login_confirm_number_id และ login_confirm_number ที่สามารถถูกโจมตีด้วย SQL Injection ได้

รายงานปัญหานี้ไปถึง Paypal เมื่อวันที่ 1 สิงหาคมที่ผ่านมา ทาง Paypal ตอบกลับในวันที่ 7 สิงหาคม จนกระทั่งแก้ปัญหาจริงๆ เมื่อวันที่ 22 มกราคมที่ผ่านมา ผู้พบบั๊กจึงเผยแพร่รายละเอียดทั้งหมด

Mozilla ประกาศนโยบายใหม่ของ Firefox คือ "Click to Play" หรือปลั๊กอินที่ฝังตัวอยู่บนหน้าเว็บจะไม่โหลดตัวเองขึ้นมาพร้อมกับการแสดงผลหน้าเว็บนั้นๆ จนกว่าผู้ใช้จะเป็นฝ่ายคลิกให้ทำงานด้วยตัวเอง (ลักษณะเดียวกับ Flashblock)

นโยบาย Click to Play จะใช้กับปลั๊กอินทุกชนิด (เช่น Java/Silverlight/Acrobat) ยกเว้น Flash Player เวอร์ชันใหม่ๆ จะยังคงโหลดตัวเองอัตโนมัติอยู่ (แปลว่า Flash รุ่นเก่าเกินไปจะไม่โหลดอัตโนมัตินั่นเอง ในที่นี้คือ 10.2 หรือเก่ากว่า)

เหตุผลของ Mozilla คือความปลอดภัยของผู้ใช้ที่อาจโดนโจมตีจากช่องโหว่ของปลั๊กอิน (ซึ่ง Firefox ช่วยอะไรไม่ได้) และเสถียรภาพ-ประสิทธิภาพในการใช้งาน จากปลั๊กอินที่ออกแบบมาไม่ดีจนส่งผลกระทบต่อระบบ (เช่น ช้าหรือแครช) นั่นเอง

สถาบันวิจัยนานาชาติเทคโนโลยีสารสนเทศของญี่ปุ่นหรือ NICT ซึ่งเป็นสถาบันวิจัยและหน่วยงานอิสระมีหน้าที่ดูแลรับผิดชอบการสื่อสารและคอยสนับสนุนงานวิจัยต่างๆ ก่อตั้งเมื่อปี 2004 จากเดิมคือสถานวิจัยการสื่อสารและการแพร่ภาพของประเทศญี่ปุ่น ได้วิจัยและค้นคว้าระบบแจ้งเตือนความปลอดภัยโดยแสดงผลในรูปแบบภาพจำลอง 3 มิติ และสามารถตรวจสอบการโจมตีจากภายนอกและภายในระบบโครงข่าย ยกตัวอย่างเช่น ถ้าหากมีพนักงานในบริษัทได้รับอีเมลซึ่งมีไฟล์ไวรัสอยู่ด้วย ระบบสามารถตรวจสอบ IP address และสั่งหยุดการทำงานได้ทันที

Zero Day Initiative (ZDI) ผู้จัดงาน Pwn2Own ได้ออกมาประกาศวันสำหรับการแข่งขันประจำปี 2013 แล้ว พร้อมออกกฎใหม่รองรับการหาช่องโหว่ของปลั๊กอินบนเบราว์เซอร์ด้วย

สำหรับวันในการแข่งขันนั้นคือวันที่ 6, 7 และ 8 มีนาคม ณ เมือง Vancouver ซึ่งการแข่งขันนี้จะดำเนินไปพร้อมกับการสัมมนา CanSecWest 2013

กูเกิลสนับสนุนการแข่งขันแฮก Chrome ในงานประชุมแฮกเกอร์ที่ต่างๆ ทั่วโลกเป็นประจำ แต่รอบล่าสุดก็เปลี่ยนจาก Chrome มาเป็น Chrome OS แล้ว

ความแตกต่างของการแข่งขันด้วย Chrome OS คือผู้เข้าร่วมมีสิทธิใช้บั๊กในส่วนอื่นๆ ของระบบปฎิบัติการได้เต็มที่รวมถึงบั๊กที่อาจพบในไดรเวอร์ต่างๆ แต่ที่ผ่านมา Chrome OS ค่อนข้างมีชื่อเสียงที่ดีเพราะตัดไดรเวอร์ต่างๆ ออกไปแทบหมด ทำให้ความปลอดภัยสูง

Google กลับมาอีกครั้งกับการท้าแฮคเกอร์เจาะระบบซอฟต์แวร์ โดยจะจัดงาน Pwnium 3 ให้ผู้เข้าแข่งขันเจาะระบบ Chrome OS ในเครื่อง Samsung Series 5 550

ครั้งนี้ Google เตรียมเงินรางวัลรวมมูลค่า 3.14159 ล้านดอลลาร์ (ยอดเงินเอาตามค่า pi นี่แหละ) ซึ่งเยอะกว่างานครั้งก่อนมาก ทั้งนี้การพิจารณารางวัลจะดูจากความยากของการเจาะระบบ โดยแบ่งออกเป็น 2 ระดับ คือ รางวัลละ 110,000 ดอลลาร์ และ 150,000 ดอลลาร์

งานนี้เป็นส่วนหนึ่งของการแข่งขัน Pwn2Own ซึ่งจะจัดในช่วงงานสัมมนา CanSecWest ในเมือง Vancouver ประเทศแคนาดา ต้นเดือนมีนาคมที่จะถึงนี้

ที่มา - Engadget

รายงานจากบริษัท Securi ระบุถึงมัลแวร์ใหม่ที่แฮกเกอร์ติดตั้งลงในเซิร์ฟเวอร์ลินุกซ์ที่ถูกยึดเครื่องได้สำเร็จ โดยตัวมัลแวร์เป็นเซิร์ฟเวอร์ SSH ที่เปิดช่องพิเศษให้กับแฮกเกอร์สามารถกลับเข้ามาควบคุมเครื่องได้ตามต้องการ

มัลแวร์ตัวนี้ได้ชื่อว่า Linux/SSHDoor.A มันทำหน้าที่เปิดช่องให้กับแฮกเกอร์พร้อมกับส่งข้อมูลรหัสผ่านของผู้ใช้กลับไปยังเซิร์ฟเวอร์เครื่องหนึ่งในไอซ์แลนด์

ตัวโค้ดของมัลแวร์พยายามอย่างเต็มที่ที่จะซ่อนตัวเองจากตัวตรวจจับไวรัส มันเก็บสตริงต่างๆ ไว้ในรูปแบบที่ต้อง XOR กับข้อมูลอีกชุดก่อนใช้งาน เพื่อไม่ให้แสกนเนื้อไฟล์เจอข้อความน่าสงสัย รวมถึงการส่งข้อมูลกลับก็ยังเข้ารหัสแบบ RSA เพื่อไม่ให้ผู้ที่ดักข้อมูลได้ระหว่างทางล่วงรู้ว่ามีข้อมูลอะไรภายใน

Samsung Venture ซึ่งเป็นหน่วยงานดูแลเรื่องการลงทุนของเครือ Samsung ได้เข้าซื้อหุ้นบางส่วนของบริษัทซอฟต์แวร์ Fixmo

Fixmo เป็นบริษัทซอฟต์แวร์สัญชาติแคนาดา มีผลิตภัณฑ์ซอฟต์แวร์ความปลอดภัย เช่น Sentinel และ SafeZone ที่พัฒนาร่วมกับ NSA ซึ่งเป็นหน่วยงานที่ดูแลเรื่องความปลอดภัยและข้อมูลของสหรัฐอเมริกา

ต่อจากข่าว ออราเคิลออกแพตช์อุดช่องโหว่ Java แล้ว ผู้เชี่ยวชาญความปลอดภัยยังไม่เชื่อถือ

ล่าสุดมีนักวิจัยด้านความปลอดภัยจากบริษัท Security Explorations ในโปแลนด์ ออกมาให้ข้อมูลว่าพบช่องโหว่ 2 จุดใน Java 7 Update 11 ตัวล่าสุดที่เพิ่งออก โดยช่องโหว่นี้สามารถลัดขั้นตอนของ sandbox และรันโค้ดประสงค์ร้ายบนคอมพิวเตอร์ได้

ทาง Security Explorations แจ้งข้อมูลช่องโหว่ไปยังออราเคิลแล้ว (ไม่ได้เปิดเผยต่อสาธารณะ) ซึ่งช่องโหว่นี้เป็นช่องโหว่ใหม่ ไม่เกี่ยวกับช่องโหว่ก่อนหน้านี้ที่ผู้เชี่ยวชาญระบุว่า Java 7u11 ปิดไม่หมดด้วย

หลังกระทรวงวัฒนธรรมถูกแฮกเว็บจนกระทั่งต้องปิดเว็บไป วันนี้นางปริศนา พงษ์ทัดศิริกุล ปลัดกระทรวงวัฒนธรรมออกมาให้ข่าวแล้วว่ากำลังหาตัวคนร้ายจากหมายเลขไอพีแอดเดรส และเตรียมจัดหา "ฮาร์ดแวร์ป้องกันการบุกรุก" เพื่อให้เว็บสามารถเปิดใช้งานต่อได้

นอกจากฮาร์ดแวร์นี้แล้ว ยังมีเซิร์ฟเวอร์ใหม่ที่จะจัดหาด้วยการดูแลกระทรวงไอซีที

ใครที่ส่งข้อความไปถึงผู้บริหารกระทรวงได้ ช่วยไปบอกให้จ้างทีมซอฟต์แวร์เข้าไปแก้ปัญหากันสักหน่อยครับ ฮาร์ดแวร์ถ้าไม่มีข่าวถูกแฮกจนคนเข้าไปดูหน้าเว็บที่โดนแฮกน่าจะอยู่ได้อีกหลายปี

ที่มา - ไทยรัฐ

จากปัญหาช่องโหว่ใน Exynos ที่ซัมซุงสัญญาว่าจะอัพเดตแก้ไขให้เร็วๆ นี้ ล่าสุดซัมซุงปล่อยอัพเดตอุดช่องโหว่ดังกล่าวออกมาแล้ว

อุปกรณ์ชุดแรกๆ ที่ได้แพชต์แก้ไขดังกล่าวในสหรัฐฯ ได้แก่สมาร์ทโฟน Galaxy Note II ของเครือข่าย T-Mobile และ Galaxy S II Epic 4G Touch ของเครือข่าย Sprint ที่จะได้รับอัพเดตผ่าน OTA ระบุว่าเป็นอัพเดตเพื่อความปลอดภัยเฉยๆ

นอกจากในโซนสหรัฐฯ แล้วยังมี Galaxy S III ที่ขายในอังกฤษได้แพชต์อัพเดตไปเมื่อต้นเดือนที่ผ่านมาเช่นกัน

อย่างไรก็ตามอุปกรณ์ที่อยู่ในข่ายเสี่ยงดังกล่าวยังมีอีกหลายรุ่นทั้งแท็บเล็ต และสมาร์ทโฟน คาดว่าซัมซุงคงทยอยปล่อยมาเรื่อยๆ ครับ

US-CERT หน่วยงานด้านความปลอดภัยไซเบอร์ของรัฐบาลสหรัฐ (สังกัดกระทรวงความมั่นคงแห่งมาตุภูมิ) ยังออกมาเตือนให้ผู้ใช้งาน Java สั่งปิดการทำงานของ Java ในเว็บเบราว์เซอร์ต่อไป แม้ว่าออราเคิลได้ออกแพตช์ Java 7u11 มาแก้ไขแล้วก็ตาม

US-CERT ให้เหตุผลว่าช่องโหว่ Java ตามข่าวก่อนหน้านี้ถูกใช้งานอย่างแพร่หลาย และมีความเป็นไปได้สูงว่าจะพบช่องโหว่ใหม่ๆ ในอนาคต ดังนั้นเพื่อเป็นการป้องกันตัว ผู้ใช้ควรปิดการใช้งาน Java ผ่าน Java Control Panel หรือหน้าจอตั้งค่าของ Java เอง

ผู้เชี่ยวชาญความปลอดภัยระบุว่า Java 7u11 ไม่ได้แก้ปัญหาทั้งหมด และผู้ใช้ยังมีโอกาสโดนมัลแวร์ได้ ถ้าโดนหลอกให้กดรันโค้ดประสงค์ร้ายด้วยวิธี social engineering

ห้องแลปบริษัท Kaspersky รายงานการค้นพบมัลแวร์ตัวใหม่ที่มุ่งเน้นเหยื่อเป็นสถานที่ราชการของประเทศแถบยุโรปตะวันออก (กลุ่มรัสเซียเดิม), และตะวันออกลาง โดยทีมวิจัยระบุว่ามีความซับซ้อนในระดับเดียวกับ Flame ที่ถูกค้นพบเมื่อปีที่แล้ว

จากปัญหาช่องโหว่ร้ายแรงของ Java 7 และมีมัลแวร์เจาะระบบแล้ว ในที่สุดออราเคิลก็ออกแพตช์หมายเลข CVE-2013-0422 มาแก้ปัญหานี้แล้ว

นอกจากแพตช์ตัวนี้จะปิดช่องโหว่เดิมแล้ว ยังปรับค่า Java Security Level จากเดิม Medium เป็น High ซึ่งมีผลให้ผู้ใช้ต้องกดรัน Java Applet ด้วยตัวเองก่อนเสมอ เพิ่มความปลอดภัยไปอีกขั้นหนึ่ง ผู้ใช้ทุกคนสามารถอัพเดตได้ผ่าน Java Update ของระบบครับ

จากข่าว เครื่องมือ Jailbreak ให้รันแอพแบบเดสก์ท็อปบน Windows RT ไมโครซอฟท์ออกแถลงการณ์มีใจความดังนี้ครับ

• บริษัทรับทราบเรื่องเครื่องมือตัวนี้แล้ว โดยเรียกมันว่า a social engineering technique
• เครื่องนี้ไม่ใช่ช่องโหว่ด้านความปลอดภัย (ในเชิงเทคนิค) เพราะใช้กระบวนการวิศวกรรมสังคม หลอกให้ผู้ใช้กดลิงก์หรือทำตามขั้นตอนที่ระบุ ซึ่งตรงข้ามกับคำแนะนำของบริษัทอยู่แล้ว
• ไมโครซอฟท์ขอขอบคุณนักวิจัยด้านความปลอดภัยที่ค้นพบช่องโหว่นี้ และจะหาวิธีที่เหมาะสมในการปกป้องผู้ใช้ต่อไป

สรุปสั้นๆ ว่าอีกสักพักคงเห็นแพตช์จากไมโครซอฟท์นั่นเองครับ

หลังจากผู้เชี่ยวชาญด้านความปลอดภัยเผยช่องโหว่ใน Windows RT ที่ช่วยให้ผู้ใช้ติดตั้งแอพแบบเดสก์ท็อป ไม่ใช่แอพ Windows Store ได้ จากนั้นไมโครซอฟท์ก็กล่าวชื่นชมที่ค้นพบช่องโหว่นี้และบอกเป็นนัยว่าจะอุดช่องโหว่ในอนาคต ล่าสุดมีนักพัฒนาหลายรายได้ร่วมกันพัฒนาเครื่องมือ jailbreak ให้สามารถปลดล็อกการป้องกันการรันแอพแบบเดสก์ท็อปได้โดยสะดวกและปล่อยให้ดาวน์โหลดบน XDA Developers แล้ว อย่างใดก็ตามการเจาะช่องโหว่นี้ต้องทำใหม่ทุกครั้งเมื่อบูตเครื่อง

ต่อมานักพัฒนาแอพชาวไอริชรายหนึ่งได้ทดลอง jailbreak และหาทางจนสามารถรัน OS X Server เวอร์ชันแรกบนแท็บเล็ต Surface ได้ในที่สุด

จากข่าว พบช่องโหว่ร้ายแรงของ Java 7 และมีมัลแวร์เจาะระบบแล้ว ล่าสุดมีผู้สร้างเบราว์เซอร์ 2 รายสั่งปิดการทำงานของปลั๊กอิน Java เพื่อป้องกันผู้ใช้จากการโจมตีแล้ว

US-CERT หน่วยงานด้านความปลอดภัยของรัฐบาลสหรัฐ แจ้งเตือนช่องโหว่ระดับ critical ที่ค้นพบใหม่บน Java 7 Update 10 หรือรุ่นที่เก่ากว่า ช่องโหว่นี้ช่วยให้แฮ็กเกอร์เข้ามารันโค้ดประสงค์ร้ายบนเครื่องของผู้ใช้ได้

ปัญหานี้เกิดกับปลั๊กอิน JRE โดยเป็นช่องโหว่ของระบบ Security Manager ของ JRE เอง ตอนนี้ออราเคิลยังไม่ออกแพตช์แก้ไข วิธีป้องกันตัวมีเพียงปิดการใช้งาน Java บนเว็บเบราว์เซอร์ไปก่อนชั่วคราว

ผู้เชี่ยวชาญความปลอดภัย Kaspersky Labs ให้ข้อมูลเพิ่มเติมว่าตอนนี้เริ่มพบมัลแวร์ที่ใช้ช่องโหว่นี้ อยู่บนเว็บไซต์หลายแห่งแล้ว

ในบรรดาบริการเว็บเมลหลักๆ ทั้งหมด Yahoo! Mail เป็นรายล่าสุดที่รองรับการเชื่อมต่อด้วย HTTPS ตลอดเวลา หลังจาก Hotmail รองรับไปแล้วเมื่อปี 2010 ส่วนกูเกิลเปิดมาก่อนหน้านั้น

อย่างไรก็ดี ตอนนี้ Yahoo! Mail ยังคงมีปัญหา XSS ที่ถูกขายในตลาดใต้ดินมาตั้งแต่ปีที่แล้ว ยังคงใช้งานได้ในตอนนี้ ถ้าใครใช้งาน Yahoo! Mail อยู่ แนะนำให้ไม่คลิกลิงก์ใดๆ เลยในเมลครับ

ที่มา - The Register