Eitan Konigsburg วิศวกรซอฟต์แวร์ของ New York Times ออกมาเขียนบล็อกถึงประเด็นความเป็นส่วนตัวของผู้อ่านว่ามีความสำคัญมากขึ้นเรื่อยๆ จากการโจมตีรูปแบบต่างๆ ตั้งแต่การติดตามผู้ใช้ทำให้เสียความเป็นส่วนตัว ไปจนถึงการเปลี่ยนข้อมูลบนเว็บข่าว นอกจากนี้อุปสรรคที่เคยทำให้การวางเซิร์ฟเวอร์ที่เป็น HTTPS ก็เริ่มลดลงไป ทาง New York Times จึงชวนให้สำนักข่าวและทุกเว็บไซต์หันมาให้บริการบน HTTPS เต็มรูปแบบภายในปี 2015 หากใครรับคำท้าก็ให้ทวีตใส่แฮชแท็ก #https2015

Kaspersky ออกรายงานการโจมตีเครือข่าย Wi-Fi ของโรงแรมหลายแห่ง โดยพยายามติดตั้งมัลแวร์ลงในเครื่องของเหยื่อด้วยการดาวน์โหลดอัพเดตปลอมที่อ้างว่าเป็นอัพเดตของ GoogleToolbar, Adobe Flash, หรือ Windows Messenger

ความพิเศษของ Darkhotel คือการเลือกเหยื่อมีการเลือกอย่างเจาะจงไม่ใช่การหว่านแหทั่วไป เหยื่อที่ถูกติดตามเมื่อพยายามล็อกอินเพื่อเข้าใช้งาน Wi-Fi จะได้รับ iframe พิเศษเพื่อล่อให้ติดตั้งซอฟต์แวร์ ขณะที่ระบบตรวจสอบไม่สามารถล่อให้ Darkhotel แสดง iframe เหมือนที่แสดงกับเหยื่อได้ แม้จะยังสรุปแน่ชัดไม่ได้แต่ทีมงาน Kaspersky ระบุว่ามันบ่งชี้ว่ามีการใช้ข้อมูลการเช็คอินโรงแรมเพื่อเลือกเหยื่อ

Mike Rogers ผู้อำนวยการ NSA ที่เพิ่งรับตำแหน่งเมื่อเดือนเมษายนที่ผ่านมาไปพูดที่มหาวิทยาลัยสแตนฟอร์ดในประเด็นที่ NSA ใช้ช่องโหว่ซอฟต์แวร์เพื่อเจาะเอาข่าวกรอง (มีหลายโครงการ แต่โครงการที่ใช้แนวทางนี้โดยเฉพาะคือ FOXACID)

LastPass บริการเก็บรหัสผ่านชื่อดังเปิดไคลเอนต์สำหรับดึงรหัสผ่านมาใช้งานเป็น command line รองรับทั้งลินุกซ์, แมค, และวินโดวส์ (ผ่าน Cygwin)

คำสั่งแบบนี้ทำให้ผู้ดูแลระบบสามารถดูแลรหัสผ่านเป็นกระบวนการอัตโนมัติได้ง่ายขึ้น ตัวอย่างที่ LastPass แนะนำมาคือการเขียนสคริปต์เปลี่ยนรหัสผ่าน SSH ทุกวันแล้วเก็บรหัสผ่านขึ้น LastPass

ตัวไคลเอนต์เขียนด้วยภาษา C เปิดให้ดาวน์โหลดบน GitHub

ที่มา - LastPass

หลังจากเกิดเหตุการณ์มีคนตั้งเซิร์ฟเวอร์คั่นกลางการเชื่อมต่อ iCloud ในจีน คนที่ถูกจับตามองคือ 360 Browser ที่รายงานของ GreatFire.org ระบุว่าแสดงหน้าเว็บทันทีแม้จะมีใบรับรองที่ไม่ถูกต้อง และตอนนี้ทาง 360 ก็ออกมาระบุว่าแก้ไขปัญหานี้ไปแล้ว

ปัญหาช่องโหว่ POODLE ในโปรโตคอล SSLv3 ทำให้มีทางแก้เดียวคือการเปลี่ยนไปใช้ TLS 1.0 ขึ้นไปเท่านั้น ตอนนี้ทาง Chrome ก็ออกมาประกาศแล้วว่าใน Chrome 39 ที่กำลังจะออกเร็วๆ นี้จะปิดการใช้งาน SSLv3 เป็นค่าเริ่มต้น

กูเกิลให้เวลาเว็บต่างๆ ที่ยังต้องใช้เวลาปรับตัวอีกสองเวอร์ชั่น โดยใน Chrome 39 ทุกเว็บที่มีการเชื่อมต่อเป็น SSLv3 (แม้จะเป็นภาพใดภาพหนึ่งในเว็บ) ไอคอนหน้า URL จะกลายเป็นไอคอนเตือนสีเหลืองว่ามีข้อผิดพลาด ส่วนใน Chrome 40 จะไม่สามารถเข้าใช้งานได้เลย

นักวิจัยของอินเทลสองคนเตรียมประกาศรายละเอียดบั๊กในไลบรารี NSS ของไฟร์ฟอกซ์ที่ทำให้ระบบตรวจสอบใบรับรองผิดพลาด และส่งผลให้แฮกเกอร์สามารถดักการสื่อสารได้ในที่สุด

รายละเอียดเบื้องต้นระบบว่าไลบรารี NSS มีความผิดพลาดเมื่ออ่านไฟล์ที่เข้ารหัสแบบ ASN.1 ทำให้แฮกเกอร์สามารถข้ามกระบวนการยืนยันความถูกต้องของไฟล์ได้

ก่อนหน้านี้เคยมีบั๊กในการอ่านฟอร์แมต ASN.1 มาแล้วหลายครั้ง ทั้งใน NSS, CryptoAPI ของวินโดวส์, หรือ OpenSSL ช่องโหว่เหล่านี้โจมตีได้ง่ายและได้ผลดี

บั๊ก Shellshock ทำให้ซอฟต์แวร์จำนวนมากมีช่องโหว่ ตอนนี้เริ่มมีรายงานการโจมตีเป็นวงกว้าง โดย SANS Internet Storm Center รายงานพบการสแกนช่องโหว่หลายครั้ง

การสแกนช่องโหว่อาศัยเซิร์ฟเวอร์อีเมลทางพอร์ต SMTP แฮกเกอร์เชื่อมต่อเข้ามาแล้วพยายามส่งอีเมลเข้ามาในระบบ แต่อีเมลจะทดสอบ Shellshock ในทุกฟิลด์ สคริปต์ที่รันจะพยายามดาวน์โหลดไฟล์ perl เพื่อมารันต่อเพื่อรอรับคำสั่งจาก IRC