เมื่อวานนี้กูเกิลประกาศถอด root CA ของ CNNIC หน่วยงานรับรองตัวตนจากจีน วันนี้ทางมอสซิลล่าก็ออกมาประกาศแบบเดียวกัน

ประกาศของมอสซิลล่ามีรายละเอียดมากกว่าของกูเกิลเล็กน้อย โดยระบุว่าใบรับรองจาก CNNIC ทั้งหมดที่เริ่มใช้งานก่อนวันที่ 1 เมษายนที่ผ่านมา (ดูจากข้อมูล notBefore) จะยังคงใช้งานได้ต่อไป แต่ทั้งนี้ CNNIC จะต้องเปิดเผยรายชื่อใบรับรองเหล่านี้ให้กับทางมอสซิลล่า และหากมอสซิลล่าพบใบรับรองอื่นๆ ที่ไม่อยู่ในรายการที่ CNNIC ให้มา (แม้จะเป็นใบรับรองที่ถูกต้อง) ทางมอสซิลล่าอาจจะมีมาตรการเพิ่มเติมต่อไป

Firefox 37 เตรียมรองรับมาตรฐาน HTTP/2 มีฟีเจอร์หนึ่งเพิ่มเข้ามาสำหรับเซิร์ฟเวอร์ทั่วไป คือ opportunistic encryption (OE) เป็นการเข้ารหัสจากใบรับรองแบบรับรองตนเอง (self-signed) ที่แม้ว่าจะไม่ได้ช่วยยืนยันว่าเรากำลังเชื่อมต่อกับเซิร์ฟเวอร์อยู่จริง แต่ก็ป้องกันการดักฟังปกติที่ไม่ได้คั่นกลางการเชื่อมต่อ

เซิร์ฟเวอร์ที่รองรับมาตรฐานนี้จะต้องเป็นเซิร์ฟเวอร์ HTTP/2 และคอนฟิกให้รองรับการเชื่อมต่อแบบเข้ารหัสที่พอร์ต 443 โดยใช้ใบรับรองอะไรก็ได้ แม้แต่ใบรับรองแบบรับรองตัวเอง จากนั้นเพิ่มฟิลด์ Alt-Svc: h2=":443" เข้าไปใน HTTP header ของการเชื่อมต่อพอร์ต 80 ธรรมดา

รัฐบาลสิงคโปร์ตั้งหน่วยงานใหม่ Cyber Security Agency of Singapore (CSA) สนับสนุนการให้พัฒนาระบบไอทีของหน่วยงานรัฐและเอกชนมีความมั่นคงปลอดภัยดีขึ้น

หน้าที่ของ CSA มีสี่อย่าง ได้แก่ สนับสนุนให้อุตสาหกรรมตระหนักถึงความสำคัญของความมั่นคงปลอดภัยไซเบอร์, พัฒนาอุตสาหกรรมความมั่นคงปลอดภัยไซเบอร์ให้มีกำลังคนเพียงพอต่อความต้องการ, ปกป้องโครงสร้างพื้นฐานของประเทศเช่นพลังงานและธนาคาร, อำนวยการให้มีความร่วมมือในการรับมือกับภัยต่างๆ

ข่าวนี้ต่อจากข่าวการโจมตี GitHub โดยแก้สคริปต์โฆษณาของไป่ตู้ และทางไป่ตู้จีนก็ออกมายืนยันแล้วว่าระบบของบริษัทไม่ได้ถูกแฮก วันนี้ทางไป่ตู้ประเทศไทยออกข่าวประกาศแบบเดียวกันว่าระบบของบริษัทไม่ได้ถูกแฮกและวิศวกรของไป่ตู้กำลังทำงานร่วมกับองค์กรรักษาความปลอดภัยเพื่อหาสาเหตุต่อไป

หลังจาก MCS Holdings ออกใบรับรองของกูเกิลโดยไม่ได้รับอนุญาต รายงานข่าวนี้กำลังถูกเซ็นเซอร์อย่างหนักในจีน ทาง GreatFire รายงานข่าวสี่แหล่งสำคัญที่ถูกกดดันให้ลบข้อมูล

กูเกิลออกประกาศเตือนว่ามีใบรับรอง SSL ปลอมออกโดย MCS Holdings หน่วยงานรับรองระหว่างกลาง (intermediate CA) ตั้งอยู่ในอียิปต์ ได้ออกใบรับรองโดเมนของกูเกิลหลายโดเมนทำให้มีความเสี่ยงว่าโดเมนเหล่านั้นจะถูกดักฟังโดยคนที่ได้รับกุญแจและใบรับรองเหล่านี้

โครมและไฟร์ฟอกซ์รุ่นใหม่ๆ จะได้รับแจ้งเตือนหากถูกดักฟังโดยเครื่องที่ใช้ใบรับรองเหล่านี้ เพราะมีการล็อกใบรับรองเอาไว้ แต่สำหรับผู้ใช้เบราว์เซอร์เก่าก็ยังมีความเสี่ยงอยู่

Vinny Troia ซีอีโอของบริษัท Night Lion Security สาธิตการขโมยบัญชีลูกค้า GoDaddy ด้วยกระบวนการวิศวกรรมสังคม (social engineering) โดยที่แฮกเกอร์ไม่สามารถเข้าถึงอีเมลของเหยื่อ หรือทราบรหัสอื่นๆ รู้เพียงข้อมูลส่วนตัวของเหยื่อเล็กน้อย

Troia สาธิตการเข้าควบคุมบัญชีโดเมนของ Steve Ragan นักข่าวจาก CSO Online ด้วยการโทรหาฝ่ายซัพพอร์ต โกหกว่าเขาไม่สามารถเข้าถึงบัญชีบน GoDaddy และอีเมลของเขาเองได้

Qualys ผู้ให้บริการ SSL Labs เปิดซอร์สโค้ดของโปรแกรม ssllabs-scan เพื่อให้ผู้ดูแลระบบสามารถเข้าถึง API ของ SSL Labs ได้ผ่าน command-line ทำให้ตั้งช่วงเวลาให้ตรวจสอบเซิร์ฟเวอร์เป็นระยะ และรายงานผลเป็นไฟล์ JSON ได้

ไมโครซอฟท์ผลักดันระบบยืนยัน bootloader ด้วย Secure Boot มาตั้งแต่ช่วงออก Windows 8 ตอนนี้สเปคฮาร์ดแวร์ของ Windows 10 ในงาน WinHEC ทางไมโครซอฟท์เปิดช่องให้ผู้ผลิตฮาร์ดแวร์ล็อกการลงระบบปฎิบัติการบนเครื่องของตัวเองว่าต้องผ่านการรับรองจาก Secure Boot เท่านั้น

Pwn2Own งานแข่งขันแฮกเบราว์เซอร์จบงานแข่งสองวันลงแล้ว โดยเบราว์เซอร์ทั้งสี่ตัว คือ Internet Explorer, Firefox, Safari, และ Chrome ถูกแฮกได้สำเร็จทุกตัว

รางวัลใหญ่ที่สุดตกเป็นของ JungHoon Lee ที่สามารถแฮก Chrome ได้สำเร็จคนเดียวในงาน ได้รางวัล 75,000 ดอลลาร์จากการแฮกเบราว์เซอร์, 25,000 ดอลลาร์จากการรันโค้ดใน system level, และอีก 10,000 ดอลลาร์จากการเจาะ Chrome Beta นอกจากนี้ JungHoon ยังเจาะ Safari ได้อีกหนึ่งครั้ง ได้เงิน 50,000 ดอลลาร์ และ IE11 อีกครั้งเป็นเงิน 65,000 ดอลลาร์ รวมคนเดียวได้รางวัลไป 225,000 ดอลลาร์ เกือบครึ่งหนึ่งของทั้งงาน

OpenSSL ประกาศบั๊กตามที่แจ้งไว้ล่วงหน้า แก้บั๊กความร้ายแรงสูงสองตัว ได้แก่ บั๊ก FREAK ที่เป็นข่าวไปเมื่อต้นเดือนที่ผ่านมา และบั๊กใหม่ที่ทำให้เซิร์ฟเวอร์ล่มได้จากการเชื่อมต่อจากภายนอก