Dropbox ประกาศเปิดโครงการจ่ายเงินรางวัลให้แฮกเกอร์ที่พบบั๊กความปลอดภัย โดยจ่ายเงินรางวัลขั้นต่ำ 216 ดอลลาร์ให้กับบั๊กที่เข้าข่ายได้รับเงินรางวัล

ทาง Dropbox ส่งคำขอบคุณแฮกเกอร์ 26 คนที่รายงานบั๊กมาแล้วจำนวน 27 บั๊กก่อนหน้านี้ พร้อมกับจ่ายเงินรวม 10475 ดอลลาร์เป็นรางวัล บั๊กที่ใหญ่ที่สุดมูลค่าถึง 4913 ดอลลาร์

แอพพลิเคชั่นที่เข้าข่าย ต้องเป็นแอพพลิเคชั่นของ Dropbox เองบนทุกแพลตฟอร์ม รวมถึง Carousel ตัว API แต่หากเป็นช่องโหว่ในแอพพลิเคชั่นภายนอก ทาง Dropbox ระบุว่าทางบริษัทอาจจะจ่ายเงินรางวัลหากช่องโหว่มีความโดดเด่นพอ

ไมโครซอฟท์ออกอัพเดตตามรอบการออกปกติชุดใหญ่ เป็นบั๊กร้ายแรงที่ทำให้ ไฟล์แฮกเกอร์สามารถรันโค้ดบนเครื่องได้ด้วยช่องทางหลากหลาย ตั้งแต่หน้าเว็บมุ่งร้ายที่โจมตีผ่านเบราว์เซอร์, การยิงผ่านเว็บเซิร์ฟเวอร์, และการเปิดไฟล์หลายประเภท

เซิร์ฟเวอร์ที่แชร์กันของตำรวจสี่เมืองและสำนักงานนายอำเภออีกหนึ่งเมืองในรัฐเมนติดมัลแวร์ megacode หลังจากมีผู้ใช้ดาวน์โหลดไฟล์มารันบนเซิร์ฟเวอร์

ทางตำรวจยอมจ่ายเงิน 300 ยูโร หรือ 318 ดอลลาร์ผ่านบิตคอยน์เพื่อจะได้กุญแจถอดรหัสมาทำงานต่อไป

เจ้าหน้าที่ฝ่ายไอทีได้สำรองข้อมูลเอาไว้แล้ว แต่ช่องว่างของการออกแบบระบบสำรองข้อมูลทำให้ข้อมูลในเซิร์ฟเวอร์สำรองถูกเข้ารหัสไปพร้อมกัน ทางฝ่ายไอทีติดตั้งเซิร์ฟเวอร์ใหม่เพื่อให้แน่ใจว่ารอบต่อไปจะสามารถทำงานต่อได้ทันทีในกรณีติดมัลแวร์เช่นนี้

INTERPOL ร่วมมือกับ Digital Crimes Unit (DCU) ของไมโครซอฟท์ ไล่ปิดศูนย์ส่งคำสั่งของบอตเน็ต Simda พร้อมกันทั่วโลก

Simda ตอนนี้ติดคอมพิวเตอร์ถึง 770,000 เครื่อง มันเปิดช่องโหว่ให้แฮกเกอร์เข้ามาควบคุม ระบบการพัฒนาเป็นโมดูลทำให้สามารถโจมตีได้หลายอย่าง เช่น ดึงข้อมูลส่วนตัว, เก็บข้อมูลธนาคาร, ขุดบิทคอยน์, คลิกโฆษณา, ติดตั้งซอฟต์แวร์ที่มีคนจ่ายเงินค่าติดตั้ง

Simda แพร่ระบาดหนักขึ้นเรื่อยๆ ในช่วงต้นปีที่ผ่านมา เฉพาะสองเดือนแรกของปีนี้มีเครื่องติดเพิ่มขึ้นประมาณ 90,000 เครื่อง

บริการต่างๆ ของสหรัฐฯ เข้ารหัสอย่างหนาแน่นขึ้นเรื่อยๆ บริการแชตต่างๆ เริ่มเข้ารหัสจากปลายทางถึงปลายทางทำให้ทางการเข้าถึงข้อมูลเหล่านี้ได้ยาก ล่าสุด Michael S. Rogers ผู้อำนวยการ NSA ไปบรรยายที่มหาวิทยาลัยพรินซ์ตัน ระบุว่าเขาต้องการให้บริการเข้ารหัสใส่ "ประตูหน้า" (front door ล้อเลียนกับคำว่า back door ซึ่งเป็นการวางช่องโหว่) เพื่อให้รัฐบาลสามารถเข้าถึงข้อมูลได้เมื่อต้องการ

Level 3 ผู้ให้บริการเครือข่ายข้ามทวีปรายใหญ่ (ที่เคยถูกสงสัยว่าเป็นผู้ร่วมมือกับ NSA) ออกมาประกาศความร่วมมือกับ Cisco Talos Group ตรวจสอบพฤติกรรมของเครื่องบนเครือข่ายสองวงต้องสงสัย คือ 103.41.125.0/23 และ 43.255.190.0/23

สองเครือข่ายนี้มีปริมาณข้อมูลเป็น SecureShell (SSH) ถึง 35% ของทั้งโลก และเมื่อทีมงานทดสอบตั้งเครื่องล่อแล้วปล่อยให้สแกนรหัสผ่านสำเร็จ ก็พบพฤติกรรมติดต่อกลับไปยังเครื่องแม่แล้วดาวน์โหลดมัลแวร์มาติดตั้ง

Kaspersky รายงานผลการวิเคราะห์การเข้ารหัสของมัลแวร์ TorLocker หรือชื่อที่ทางบริษัทเรียกคือ Trojan-Ransom.Win32.Scraper โดยตอนนี้พบสองรุ่นที่ระบาดคือ 1.0.1 และ 2.0 มุ่งโจมตีชาวญี่ปุ่น เรียกค่าไถ่ข้อมูลประมาณ 300 ดอลลาร์ โดยตอนนี้สามารถถอดรหัสไฟล์ได้บางส่วนแล้ว

มัลแวร์จะไล่ลบ system recovery point ของระบบ แล้วเข้ารหัสไฟล์รูปภาพ, วิดีโอ, เอกสาร, อิมเมจฮาร์ดดิสก์, และไฟล์บีบอัดแทบทุกสกุล ไปจนถึงไฟล์กุญแจเข้ารหัส จากนั้นจึงดาวน์โหลด Tor เพื่อเชื่อมต่อกับเซิร์ฟเวอร์แล้วเรียกค่าไถ่

เหตุการณ์ CNNIC ออกใบรับรองให้กับ MCS Holdings นำไปออกใบรับรองของโดเมนอื่นๆ โดยไม่ได้รับอนุญาต ทำให้ทางกูเกิลและมอสซิลล่าประกาศถอด CNNIC ออกจากรายชื่อหน่วยงานรับรองที่เชื่อถือได้ และบังคับให้ CNNIC ต้องยื่นเรื่องสมัครเข้ามาใหม่พร้อมกับยอมรับเงื่อนไขเพิ่มเติม แต่ท่าทีของแอปเปิลและไมโครซอฟท์ตอนนี้ยังคงยอมรับ CNNIC ต่อไป

โครงการ Let's Encrypt ประกาศเปิดให้บริการรับรองตัวตนฟรี เพื่อสนับสนุนให้เว็บทั่วโลกเข้ารหัส ตอนนี้ใกล้ถึงเวลาเปิดบริการจริง (ประกาศไว้กลางปี 2015) ทาง The Linux Foundation ก็ประกาศเข้ามาช่วยดูแลโครงการให้

ทาง The Linux Foundation จะเข้ามาช่วยดูแลงานธุรการให้ ตั้งแต่การระดมทุน, การเงิน, สัญญา, การจัดซื้อ, และทรัพยากรบุคคล ขณะที่โครงการ Let's Encrypt จะเป็นโครงการลูกที่ได้รับเงินสนับสนุนโดยตรงจากภายนอก (independently funded)

ไฟร์ฟอกซ์เปิดตัวรุ่น 37 ไปเมื่อสัปดาห์ที่แล้วมีฟีเจอร์สำคัญคือการเข้ารหัสแบบไม่ยืนยันตัวตน แต่ฟีเจอร์ใหม่นี้ทำให้แฮกเกอร์สามารถดักฟังการเชื่อมต่อแบบเข้ารหัสได้ และตอนนี้ไฟร์ฟอกซ์ก็ออกรุ่น 37.0.1 เพื่อปิดฟีเจอร์นี้ไปก่อน

มอสซิลล่าผู้พัฒนาไฟร์ฟอกซ์ไม่ได้เปิดเผยช่องทางการโจมตีโดยตรง แต่ระบุเพียงว่าช่องโหว่นี้เกี่ยวข้องกับข้อมูล Alt-Svc ที่ใช้กับฟีเจอร์นี้ และทางมอสซิลล่าเตรียมจะเปิดฟีเจอร์นี้กลับมาเมื่อตรวจสอบครบถ้วนแล้ว

โครงการ NTP ประกาศช่องโหว่สองช่อง ได้แก่ CVE-2015-1798 และ CVE-2015-1799 ทำให้เซิร์ฟเวอร์เทียบเวลาไม่สามารถเทียบเวลาได้ตามปกติ และถูกแก้ไขเวลาจากภายนอกได้

CVE-2015-1798 กระทบ ntp มาจนถึงเวอร์ชั่น 4.2.8p1 ทำให้แฮกเกอร์สามารถส่งข้อมูลที่ไม่มีโค้ดตรวจสอบความถูกต้อง (message authentication code - MAC) แต่ ntp ยังคงรับข้อมูลนั้นเข้ามาใช้งาน ทำให้เวลาอาจจะถูกแก้ไขตามความต้องการของแฮกเกอร์ได้

NCC Group ออกรายงานการตรวจสอบ TrueCrypt รอบที่สอง (PDF) หลังจากตรวจสอบรอบแรกไปเมื่อปีที่แล้ว รายงานฉบับนี้ตรวจสอบ TrueCrypt รุ่น 7.1a เฉพาะบนวินโดวส์เท่านั้น

รายงานพบช่องโหว่กระบวนการเข้ารหัสความร้ายแรงสูงสองจุด ระดับต่ำหนึ่งจุด และยังไม่สามารถจัดระดับได้อีกหนึ่งจุด แต่โดยรวมแล้วทีมงานไม่พบว่ามีช่องโหว่ร้ายแรงที่วางไว้อย่างจงใจแต่อย่างใด

รัฐบาลโอบามาประกาศคำสั่งฝ่ายบริหาร (Executive Order) ให้อำนาจกับรัฐมนตรีกระทรวงการคลังร่วมกับอัยการสูงสุดและรัฐมนตรีกระทรวงต่างประเทศ สามารถสั่งคว่ำบาตรบุคคลหรือหน่วยงานที่เป็นภัยต่อความมั่นคงไซเบอร์ของสหรัฐฯ

หลังการประกาศมาตรการนี้ทางรัฐบาลไม่ได้ประกาศคว่ำมาตรใครตามออกมา แต่ทางทำเนียบขาวระบุว่าอำนาจใหม่นี้จะใช้เฉพาะกรณีที่ประเทศปลายทางมีกฎหมายความมั่นคงไซเบอร์ที่อ่อนแอ หรือไม่ตอบสนองต่อช่องทางปกติ

ก่อนหน้านี้สหรัฐฯ เคยระบุว่าเกาหลีเหนือเป็นผู้รับผิดชอบต่อการแฮกโซนี่ และเพิ่มมาตรการคว่ำบาตร

เมื่อวานนี้กูเกิลประกาศถอด root CA ของ CNNIC หน่วยงานรับรองตัวตนจากจีน วันนี้ทางมอสซิลล่าก็ออกมาประกาศแบบเดียวกัน

ประกาศของมอสซิลล่ามีรายละเอียดมากกว่าของกูเกิลเล็กน้อย โดยระบุว่าใบรับรองจาก CNNIC ทั้งหมดที่เริ่มใช้งานก่อนวันที่ 1 เมษายนที่ผ่านมา (ดูจากข้อมูล notBefore) จะยังคงใช้งานได้ต่อไป แต่ทั้งนี้ CNNIC จะต้องเปิดเผยรายชื่อใบรับรองเหล่านี้ให้กับทางมอสซิลล่า และหากมอสซิลล่าพบใบรับรองอื่นๆ ที่ไม่อยู่ในรายการที่ CNNIC ให้มา (แม้จะเป็นใบรับรองที่ถูกต้อง) ทางมอสซิลล่าอาจจะมีมาตรการเพิ่มเติมต่อไป

Firefox 37 เตรียมรองรับมาตรฐาน HTTP/2 มีฟีเจอร์หนึ่งเพิ่มเข้ามาสำหรับเซิร์ฟเวอร์ทั่วไป คือ opportunistic encryption (OE) เป็นการเข้ารหัสจากใบรับรองแบบรับรองตนเอง (self-signed) ที่แม้ว่าจะไม่ได้ช่วยยืนยันว่าเรากำลังเชื่อมต่อกับเซิร์ฟเวอร์อยู่จริง แต่ก็ป้องกันการดักฟังปกติที่ไม่ได้คั่นกลางการเชื่อมต่อ

เซิร์ฟเวอร์ที่รองรับมาตรฐานนี้จะต้องเป็นเซิร์ฟเวอร์ HTTP/2 และคอนฟิกให้รองรับการเชื่อมต่อแบบเข้ารหัสที่พอร์ต 443 โดยใช้ใบรับรองอะไรก็ได้ แม้แต่ใบรับรองแบบรับรองตัวเอง จากนั้นเพิ่มฟิลด์ Alt-Svc: h2=":443" เข้าไปใน HTTP header ของการเชื่อมต่อพอร์ต 80 ธรรมดา

รัฐบาลสิงคโปร์ตั้งหน่วยงานใหม่ Cyber Security Agency of Singapore (CSA) สนับสนุนการให้พัฒนาระบบไอทีของหน่วยงานรัฐและเอกชนมีความมั่นคงปลอดภัยดีขึ้น

หน้าที่ของ CSA มีสี่อย่าง ได้แก่ สนับสนุนให้อุตสาหกรรมตระหนักถึงความสำคัญของความมั่นคงปลอดภัยไซเบอร์, พัฒนาอุตสาหกรรมความมั่นคงปลอดภัยไซเบอร์ให้มีกำลังคนเพียงพอต่อความต้องการ, ปกป้องโครงสร้างพื้นฐานของประเทศเช่นพลังงานและธนาคาร, อำนวยการให้มีความร่วมมือในการรับมือกับภัยต่างๆ