Tags:
Firefox

Jonathan Mayer นักวิจัยจากสแตนฟอร์ด ได้มีส่วนร่วมในการพัฒนาแพทซ์ที่ป้องกันไม่ให้คุกกี้จาก third-party ติดตั้งบนเบราว์เซอร์ของผู้ใช้ ซึ่งแพทซ์นี้จะถูกรวมเข้ากับ Firefox เวอร์ชัน 22

แพทซ์นี้ จะให้ Firefox บล็อคคุกกี้จากเว็บไซต์ third-party ที่ผู้ใช้ไม่ได้ไปเข้าเว็บนั้นโดยตรง เนื่องจากผู้เก็บข้อมูลโฆษณามักจะวางคุกกี้ไว้ในเว็บไซต์ที่เราเข้าไปเยี่ยมชม และเก็บข้อมูลจากผู้ใช้โดยไม่ได้รับอนุญาตเพื่อใช้ในการทำโฆษณา

ที่มา - Ars Technica

Tags:

บริษัท cPanel ซอฟต์แวร์สำหรับบริหารเว็บโฮสติ้ง แจ้งข่าวถึงผู้ใช้ทางอีเมลว่าเซิร์ฟเวอร์ของบริษัทโดนแฮ็ก ซึ่งยังไม่ทราบว่าส่งผลกระทบไปถึงเซิร์ฟเวอร์ของลูกค้าที่ติดตั้ง cPanel ด้วยหรือไม่ แต่เบื้องต้นขอให้ลูกค้าเปลี่ยนรหัสผ่านหรือ SSH key เป็นการด่วน

ตอนนี้ทางบริษัทยังไม่ให้รายละเอียดใดๆ ผ่านเว็บไซต์ของตัวเอง ดังนั้นในเบื้องต้นคนแถวๆ นี้ที่ใช้ cPanel ก็ควรเปลี่ยนรหัสผ่านเพื่อความปลอดภัยกันเอาไว้ก่อนครับ

ที่มา - Ars Technica

Tags:
Java

เดิมที Java มักถูกวิจารณ์ในแง่ของแนวทางในการพัฒนาซอฟต์แวร์ที่มีความซับซ้อน และซอฟต์แวร์ที่ได้ใช้ทรัพยากรระบบมาก แต่ก็ยังเป็นแพลตฟอร์มได้รับความนิยมเนื่องเพราะ จำนวน ความหลากหลาย และขีดความสามารถของไลบรารี จำนวนผู้ใช้งาน ความปลอดภัย ค่าใช้จ่าย (ฟรี) ฯลฯ แต่หลังจากที่ Oracle ได้ซื้อ Java ไปจาก Sun ข่าวไม่ดีต่าง ๆ ได้ออกมาจำนวนมาก ไม่ว่าจะเป็นเรื่องความปลอดภัย (เฟซบุ๊ก, ทวิตเตอร์, แอปเปิล, ไมโครซอฟท์) การฟ้องร้อง และเตือนหรือห้ามไม่ใช้งาน Java ที่สำคัญท่าทีของ Oracle ที่มีต่อเรื่องราวทั้งหมดไม่น่าประทับใจเท่าไร (มีเรื่องหนึ่งที่ผมอ่านแล้วค่อนข้างตกใจคือ "ไม่จ่ายเรา เราไม่แก้บั๊กให้") การจะไปหวังพึ่งพาระบบเปิดจาก OpenJDK ก็พบกับปัจจัยเสี่ยงที่โครงการจะโดน Oracle ฟ้องในภายหลัง กล่าวโดยสรุปคือ Java กำลังจะกลายเป็นแพลตฟอร์มที่ไม่น่าใช้มากขึ้นเรื่อย ๆ

คำถามที่จะเกิดขึ้นคือ "แล้วเราจะใช้อะไรแทน Java?"

Tags:
Microsoft

ไมโครซอฟท์ออกแถลงยืนยันว่าบริษัทเป็นเหยื่อของการแฮ็กผ่านช่องโหว่เดียวกับเฟซบุ๊กและแอปเปิล โดยคอมพิวเตอร์จำนวนหนึ่งรวมถึงคอมพิวเตอร์ในส่วนธุรกิจแมคติดมัลแวร์ที่อาศัยช่องโหว่ของ Java sandbox เช่นเดียวกับรายอื่นๆ

ไมโครซอฟท์กำลังตรวจสอบความเสียหาย แต่ระหว่างนี้ยังไม่มีหลักฐานใดๆ แสดงว่ามีข้อมูลลูกค้าหลุดออกไปกับมัลแวร์นี้

ที่มา - TechNet

Tags:
China

บริษัทรักษาความปลอดภัยคอมพิวเตอร์ Mandiant รายงานถึงการโจมตีระบบคอมพิวเตอร์ที่ทางบริษัทเข้าไปสืบสวนตั้งแต่ปี 2006 พบว่ามีกว่า 140 กรณีที่เกี่ยวข้องกับกองทัพจีนในหน่วย 61398

ทาง Mandiant เรียกหน่วยนี้ว่าหน่วย APT1 โดยในการรวบรวมข้อมูล ไม่ได้มีหลักฐานเป็นหมายเลขไอพีไปยังหน่วยงานนี้โดยตรง แต่รายงานวิเคราะห์จากหลักฐานแวดล้อมอื่นๆ เช่น เครื่องมือที่ใช้, กระบวนการเจาะระบบ พบว่ามีทิศทางไปในทางเดียวกัน

รายงานระบุว่าทางบริษัทติดตามพฤติกรรมของกลุ่มแฮกเกอร์ที่มีความเชี่ยวชาญสูงจำนวนมาก ในจำนวนนี้มีมากกว่า 20 กลุ่มที่มาจากประเทศจีน แต่กลุ่ม APT1 นี้สามารถดำเนินกิจกรรมมาได้อย่างต่อเนื่องยาวนาน แสดงว่ามีเงินทุนพอที่จะจ่ายให้กับแฮกเกอร์ความสามารถสูงจำนวนมาก

การสืบต้นตอของการแฮกสามารถจำกัดวงได้เพียงเครือข่ายขนาดใหญ่จำนวนสี่เครือข่ายในเซี่ยงไฮ้ โดยสองเครือข่ายนั้นให้บริการในบริเวณเมืองใหม่ Pudong

จากการค้นคว้าข้อมูลของกองทัพจีน ทาง Mandiant พบว่าหน่วย 61398 ของจีนนี้มีวัตถุประสงค์การจัดตั้งตรงกับปฎิบัติการของกลุ่ม APT1 และที่ตั้งของหน่วยยังตรงกับที่ตั้งที่สืบกลับไปได้ ทำให้เป็นไปได้ว่าเป็นกลุ่มเดียวกัน

ในการติดตาม พบว่าหน่วยนี้บางครั้งหละหลวมถึงขั้นที่ใช้เครื่องของเหยื่อที่แฮกมาได้ เพื่อล็อกอินเข้าอีเมล, และบริการเครือข่ายสังคมออนไลน์ของตัวเอง

ทาง Madiant ระบุว่าการแฮกหนังสือพิมพ์ New York Times เมื่อเร็วๆ นี้เป็นผลงานของอีกกลุ่มหนึ่งที่เรียกว่ากลุ่ม APT 12

ที่มา - eWeek, Mandiant
APT1: Exposing One of China's Cyber Espionage Units (PDF)

Tags:
Java

ต่อจากข่าว แอปเปิลโดนแฮ็กจากช่องโหว่ Java ล่าสุดแอปเปิลออกอัพเดต Java สำหรับผู้ใช้ Mac OS X แล้ว

อัพเดตตัวนี้ใช้เลขรุ่นว่า Java for OS X 2013-001 โดยเทียบเท่ากับ Java SE 6 (1.6.0_41) ของออราเคิล

นอกจากแก้ปัญหาความปลอดภัยแล้ว อัพเดตตัวนี้ยังสั่งปิดการทำงานของปลั๊กอิน Java SE 6 (ซึ่งตกรุ่นแล้ว) ภายในเว็บเบราว์เซอร์ คนที่ต้องการใช้งาน Java บนเบราว์เซอร์จำเป็นต้องดาวน์โหลด Java SE 7 จากออราเคิลมาติดตั้งเอง

ที่มา - Apple Support, 9to5mac

Tags:
Apple

ไม่กี่วันก่อนมีข่าวออกมาว่าเฟซบุ๊กโดนแฮ็กผ่านทางแล็ปท็อปของพนักงาน

วันนี้แอปเปิลก็ได้ออกมาประกาศว่าโดนแฮ็กจากแฮ็กเกอร์กลุ่มเดียวกันเช่นกัน โดยคอมพิวเตอร์แมคจำนวนหนึ่งของพนักงานได้ถูกแฮ็กผ่านทางช่องโหว่ความปลอดภัยของจาวาในลักษณะเดียวกันกับที่พนักงานของเฟซบุ๊กโดน กล่าวคือผ่านทางการเข้าชมเว็บไซต์สำหรับนักพัฒนาเว็บหนึ่งที่ถูกแฮ็กมาก่อน ทั้งนี้แอปเปิลยืนยันว่าไม่มีหลักฐานใดๆ บ่งชี้ว่ามีข้อมูลภายในหลุดออกมา

แอปเปิลยังเผยเพิ่มเติมว่าเตรียมออกอัพเดทสำหรับป้องกันผู้ใช้จากช่องโหว่ดังกล่าวเร็วๆ นี้และกำลังร่วมมือกับเจ้าหน้าที่ของทางการเพื่อตามหาต้นตอของการมัลแวร์นี้

แอปเปิลเป็นองค์กรล่าสุดที่ออกมาประกาศว่าโดนโจมตี หลังจากที่ก่อนหน้านี้ การโจมตีได้เกิดกับ เฟซบุ๊ก ทวิตเตอร์ หนังสือพิมพ์วอลล์สตรีทเจอร์นัล หนังสือพิมพ์เดอะนิวยอร์กไทมส์ ไปแล้ว

Tags:
Google Docs

หน่วยงานบริการคอมพิวเตอร์ของมหาวิทยาลัยอ๊อกซฟอร์ด สั่งบล็อคการใช้งาน Google Docs จากเครือข่ายภายในมหาวิทยาลัย เนื่องจากปัญหา phishing

ต้นตอของปัญหาคือมีผู้ประสงค์ร้ายสร้างฟอร์มด้วย Google Docs โดยปลอมตัวเป็นหน่วยงานบริการคอมพิวเตอร์ และส่งลิงก์ของฟอร์มนี้ไปยังอีเมลของนักศึกษา-บุคลากรภายในมหาวิทยาลัย แจ้งว่าระบบอีเมลมีปัญหา ให้กรอกชื่อผู้ใช้และรหัสผ่านเพื่อให้ศูนย์บริการคอมพิวเตอร์แก้ปัญหาให้

ฟังดูแล้วอาจเป็นเทคนิค phishing ธรรมดา แต่เมื่อแหล่งที่มาของฟอร์มมาจากโดเมน google.com ทำให้ผู้ใช้หลงเชื่อและโดนหลอกเอารหัสผ่านไปใช้งาน เมื่อหน่วยงานบริการคอมพิวเตอร์ของมหาวิทยาลัยทราบเรื่องก็พยายามกรอง URL ต้องสงสัยจากเครือข่ายของมหาวิทยาลัย แต่ก็พบอุปสรรคว่า Google Docs เข้ารหัสด้วย HTTPS ทำให้การแกะข้อมูลทำได้ยาก

Tags:
Jelly Bean

วิศวกรของกูเกิลเผยฟีเจอร์ใหม่ของ Android 4.2.2 ผ่าน Android Developer Blog

ฟีเจอร์ใหม่นี้คือ Secure USB Debugging หรืออธิบายง่ายๆ มันคือ ADB แบบปลอดภัยโดยใช้คีย์ RSA นั่นเองครับ เป้าหมายคือป้องกันไม่ให้คนขโมยมือถือของเราไปเสียบกับคอมพิวเตอร์เครื่องอื่น แล้วดูดข้อมูลของเราผ่าน ADB

เมื่อเปิดใช้ฟีเจอร์นี้ จะมีแต่คอมพิวเตอร์ที่ได้รับอนุญาตจากผู้ใช้มือถือเครื่องนั้นๆ ที่สามารถต่อเชื่อมและเข้าถึงข้อมูลในมือถือผ่าน ADB ได้ โดยครั้งแรกที่ต่อเชื่อม ADB จะสร้างคีย์ RSA เพื่อจดจำเครื่องคอมพิวเตอร์ที่เข้ามาต่อเชื่อมไว้ ซึ่งผู้ใช้สามารถกำหนดได้ว่าจะอนุญาตถาวร หรือจะต้องกดอนุญาตทุกครั้งไป

ฝั่งนักพัฒนาเองจำเป็นต้องอัพเดต ADB เป็นเวอร์ชัน 1.0.31 ด้วย (มาพร้อมกับ SDK Platform-tools r16.0.1 ขึ้นไป)

ที่มา - Android Developers Blog

Tags:
Java

ปัญหาความปลอดภัยที่เกิดจากช่องโหว่ของ Java กลายเป็นเรื่องซีเรียส เราเห็นข่าวการโจมตีด้วยช่องโหว่ของ Java เป็นวงกว้าง และขนาดบริษัทไอทีรายใหญ่ทั้ง Twitter และ Facebook ก็ยังไม่รอด ต่างก็โดนแฮ็กเพราะ Java ในเครื่องของพนักงาน

บทความนี้จึงเขียนขึ้นเพื่อสอนวิธีป้องกันตัวจากการโจมตีผ่านช่องโหว่ของ Java ที่อาจติดตั้งอยู่ในเครื่องของผู้อ่านอยู่แล้ว โดยเน้นผู้อ่านกลุ่ม end-user ที่อาจไม่ทราบข้อมูลเรื่อง Java มากนัก

Tags:
Facebook

Facebook ประกาศว่าตัวเองโดนแฮ็กเมื่อเดือนมกราคมที่ผ่านมา โดยเกิดจากพนักงานของ Facebook จำนวนหนึ่งเข้าชมเว็บไซต์สำหรับนักพัฒนาแห่งหนึ่งที่ถูกแฮ็กมาก่อน เว็บไซต์แห่งนี้ฝังมัลแวร์ลงบนคอมพิวเตอร์ของพนักงาน ซึ่งส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ของผู้ประสงค์ร้าย

อย่างไรก็ตามความเสียหายยังจำกัดแค่เครื่องคอมพิวเตอร์ของพนักงานเท่านั้น ไม่กระทบกับข้อมูลของผู้ใช้แต่อย่างใด

ทีมความปลอดภัยของ Facebook ค้นพบปัญหานี้จาก DNS log ภายในบริษัทที่ส่งข้อมูลไปยังโดเมนที่น่าสงสัย หลังจากการสอบสวนแล้วพบว่าเว็บไซต์ที่ฝังมัลแวร์ลงเครื่องของพนักงาน ใช้ช่องโหว่ที่ยังไม่ค้นพบของ Java ทำให้ลัดขั้นตอนความปลอดภัยของ Java ลงได้

Facebook แจ้งปัญหานี้ไปยังออราเคิลแล้ว และออราเคิลก็แพตช์ช่องโหว่นี้แล้วในการอัพเดตรอบ 1 กุมภาพันธ์ (จากนั้น Facebook ค่อยแถลงข่าวเรื่องช่องโหว่นี้)

ก่อนหน้านี้เราเพิ่งมีข่าว ทวิตเตอร์ประกาศโดนแฮ็ค ผู้ใช้ 250,000 คนอาจโดนขโมยข้อมูลส่วนตัว เนื่องจากช่องโหว่ของ Java เช่นกัน

ที่มา - Facebook Security

Tags:
Apple

มีผู้พบช่องโหว่บน iOS 6.1 ซึ่งทำให้สามารถเข้าไปดูข้อมูลใน iPhone ได้แม้ว่าเครื่องจะตั้งรหัสล็อคเอาไว้ โดยข้อมูลที่เข้าไปดูได้มีทั้งรายชื่อติดต่อ ข้อความเสียง รูปภาพ ตลอดจนสามารถโทรศัพท์ออกได้ด้วย

Trudy Muller ตัวแทนของแอปเปิลให้ความเห็นกับข่าวนี้ว่าแอปเปิลให้ความสำคัญมากในเรื่องความปลอดภัยของผู้ใช้งาน ซึ่งทางแอปเปิลรับทราบปัญหานี้แล้วและจะออกตัวแก้ไขออกมาเร็วๆ นี้

สำหรับวิธีการเจาะผ่าน iOS 6.1 ดูได้ในคลิปท้ายข่าวและที่มาครับ

ที่มา: All Things D และ Jailbreak Nation

Tags:
Acrobat

บริษัทความปลอดภัย FireEye ระบุว่าพบเห็นการโจมตีผ่านช่องโหว่ของ Adobe Reader รุ่นล่าสุด โดยเวอร์ชันที่พบการโจมตีที่ประสบความสำเร็จคือ 9.5.3, 10.1.5, 11.0.1 (ซึ่งเป็นเวอร์ชันล่าสุด) บนระบบปฏิบัติการตระกูลวินโดวส์

มัลแวร์ที่โจมตีผ่านช่องโหว่นี้จะวางไฟล์ DLL ไว้ในเครื่องของผู้ใช้ 2 ไฟล์ โดยไฟล์หนึ่งจะส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ของผู้โจมตี

บริษัทความปลอดภัยรายอื่นๆ อย่าง Kaspersky ยืนยันการโจมตีผ่านช่องโหว่นี้แล้ว ซึ่งถือเป็นครั้งแรกที่มีคนเจาะระบบความปลอดภัยแบบใหม่ของ Adobe Reader XI ได้สำเร็จ

ทาง Adobe ประกาศว่าทราบเรื่องแล้วและกำลังสอบสวนข้อมูลเพิ่มเติม ตอนนี้ Adobe ยังไม่ออกแพตช์ใดๆ ดังนั้นผู้ใช้ Adobe Reader ต้องระวังตัวกันหน่อยครับ

ที่มา - Adobe, ZDNet, Ars Technica

Tags:
Myanmar

หลังมีรายงานจากทาง The New York Times เกี่ยวกับประเด็นที่ว่านักข่าวที่ติดตามข่าวในประเทศพม่าหลายคนถูกแฮกอีเมลโดยมีการสนับสนุนจากทางรัฐบาลได้ไม่กี่วัน กูเกิลก็ออกมาเตือนนักข่าวเกี่ยวกับประเด็นนี้แล้ว

ย้อนไปที่ประเด็นการแฮกอีเมลนักข่าว The New York Times ระบุว่านักข่าวที่เป็นเป้าหมายของการแฮคหลายคนเกี่ยวข้องกับเหตุการณ์ความขัดแย้งของรัฐกะฉิ่นทางตอนเหนือของประเทศ ยกตัวอย่างเช่น Eleven Media และ The Voice Weekly ที่ช่วงหลังเริ่มมีบทความในหัวข้อหนักๆ ทำให้รัฐบาลทำงานกันอย่างอึดอัดมากขึ้น หลังจากที่พม่าเริ่มเบาความตรึงเครียดในการเซนเซอร์สื่อลงได้ไม่นาน

Tags:
Java

จากข่าว ออราเคิลออกแพตช์ความปลอดภัย Java รอบเดือนกุมภาพันธ์ 2013 ทางออราเคิลออกมาชี้แจงว่า การอัพเดตแพตช์รอบก่อนรีบออกเพื่อแก้ปัญหาความปลอดภัยเร่งด่วน ทำให้ยังปิดช่องโหว่อื่นๆ ไม่ครบ และจะออกแพตช์รอบใหม่ในวันที่ 19 กุมภาพันธ์นี้

ออราเคิลยังไม่แจ้งว่าช่องโหว่ที่จะแก้ไขในรอบ 19 กุมภาพันธ์มีอะไรบ้าง แต่ก็บอกว่าผู้ใช้หรือหน่วยงานที่ไม่ได้อัพเดตรอบก่อน สามารถรออัพเดตรอบ 19 กุมภาพันธ์ได้ทีเดียวเลยครับ

ที่มา - Oracle

Tags:

บริษัทรักษาความปลอดภัยคอมพิวเตอร์ระดับองค์กรที่ชื่อว่า Bit9 ถูกแฮกเกอร์บุกรุกเข้าเครือข่ายของบริษัทไปถึงเครื่องที่ทำหน้าที่เซ็นลายเซ็นดิจิตอลเพื่อรับรองความปลอดภัยซอฟต์แวร์ ทำให้ลูกค้าของ Bit9 เชื่อว่ามัลแวร์เหล่านั้นเป็นซอฟต์แวร์ที่ปลอดภัย และตอนนี้มีลูกค้าอย่างน้อยสามรายถูกโจมตีแล้ว

ทาง Bit9 ระบุว่าเครื่องในบริษัทเองไม่ได้ติดตั้งซอฟต์แวร์ของบริษัทไว้บนเครื่องจำนวนหนึ่ง ทำให้แฮกเกอร์สามารถบุกรุกเข้ามาได้ ตอนนี้บริษัทได้ยกเลิกใบรับรองดิจิตอล (certificate) ที่ใช้เซ็นรับรองซอฟต์แวร์ทิ้งไปแล้วขอใบใหม่แล้ว พร้อมกับอัพเดตซอฟต์แวร์ของบริษัทเพื่อให้ตรวจจับมัลแวร์ที่เซ็นด้วยใบรับรองของบริษัทไปแล้วได้

Jeremiah Grossman ผู้เชี่ยวชาญจาก Whitehat Security ระบุว่าการโจมตี Bit9 น่าจะเป็นเพราะแฮกเกอร์ต้องการโจมตีลูกค้าของบริษัทบางรายอย่างเจาะจง แต่เพราะเครื่องเหล่านั้นถูกป้องกันด้วยซอฟต์แวร์ของ Bit9 ทางที่ง่ายกว่าจึงเป็นการแฮก Bit9 ก่อนเป็นอย่างแรก (เหมือนจะปล้นธนาคารให้บุกสถานีตำรวจแถวๆ นั้นก่อน)

ซอฟต์แวร์ของ Bit9 เป็นระบบตรวจสอบแบบ whitelist คือคนทั่วไปไม่สามารถติดตั้งซอฟต์แวร์ลงในเครื่องได้เลย จนกว่าจะได้รับรองความปลอดภัยจากทาง Bit9 เสียก่อน กระบวนการนี้ตรงไปตรงมากว่าความพยายามตรวจสอบจากซอฟต์แวร์สแกนหาไวรัสและมัลแวร์มาก

ที่มา - Krebs on Security, Bit9

Tags:
Symantec

ช่วงหลังๆ มานี้ ประเด็นเรื่อง "ความปลอดภัย" ของโลกไอทีกลายเป็นเรื่องใหญ่กว่าในอดีตมาก ความซับซ้อนของภัยคุกคามไซเบอร์เพิ่มขึ้นหลายเท่า และมาตรการป้องกันภัยเองก็พัฒนาขึ้นจาก "แอนตี้ไวรัส" เพียงอย่างเดียวมาเป็นชุดเครื่องมือหลายๆ อย่างทำงานประสานกันแทน

เมื่อพูดถึงบริษัทด้านความปลอดภัยของโลกไอที แบรนด์แรกๆ ที่คนทั่วไปนึกถึงมักเป็น Norton ผลิตภัณฑ์จากบริษัท Symantec ซึ่งเป็นบริษัทด้านความปลอดภัยรายใหญ่ของโลก มีประวัติความเป็นมายาวนาน

ผมมีโอกาสสัมภาษณ์ คุณประมุท ศรีวิเชียร ผู้จัดการประจำประเทศไทย Symantec Thailand ซึ่งจะมาเล่าสถานการณ์ของความปลอดภัยไซเบอร์ที่เปลี่ยนแปลงไป และอธิบายว่าจริงๆ แล้ว Symantec มีสินค้าและผลิตภัณฑ์อื่นๆ นอกเหนือจาก Norton อีกมาก

Tags:
Flash

Adobe ออก Flash Player เวอร์ชันใหม่บนทุกแพลตฟอร์ม เพื่อแก้ปัญหาช่องโหว่ความปลอดภัยที่เพิ่งค้นพบใหม่ 2 จุด

เลขเวอร์ชันของ Flash Player รุ่นใหม่มีดังนี้ครับ

  • วินโดวส์/แมค 11.5.502.149
  • ลินุกซ์ 11.2.202.262
  • Chrome 11.5.31.139
  • IE10/Windows 8 11.3.379.14
  • Android 4.x 11.1.115.37
  • Android 3.x 11.1.111.32

ที่มา - Adobe, Ars Technica

Tags:
SSL

นักวิจัยตีพิมพ์งานวิจัยช่องโหว่ใหม่ของ TLS ในโหมด CBC (Cipher Block Chaining) ที่ตั้งชื่อว่า "Lucky Thirteen" ที่เป็นช่องโหว่ที่อาศัยผลข้างเคียง (side-channel) คือเวลาในการประมวลผลของแต่ละเซสชั่น โดยข้อมูลที่ถูกต้องจะใช้เวลาประมวลผลโดยเฉลี่ยต่ำกว่าข้อมูลที่ผิด

กระบวนการแฮกต้องอาศัยการส่งข้อความเดิมซ้ำๆ ไปนับล้านครั้งบนเครือข่าย แฮกเกอร์จะเข้าดักจับแพ็กเก็ตที่ถูกเข้ารหัสไว้ จากนั้นจึงแก้ไขข้อความที่เข้ารหัสไว้แล้วและดูระยะเวลาตอบสนองของเซิร์ฟเวอร์ ซึ่งจะยกเลิกการเชื่อมต่อ เพราะพบว่าข้อมูลที่ส่งมาถูกแก้ไขระหว่างทาง แต่เมื่อนำเวลาตอบสนองมาเป็นตัวแปรประกอบ ทีมวิจัยสามารถคาดเดาข้อความภายในทั้งหมดที่กำลังส่งด้วย TLS ได้ภายในการส่ง 2^23 ครั้ง (ประมาณ 8-9 ล้านครั้ง) สามารถคาดเดาได้ภายในการส่ง 2^19 ครั้งถ้าเป็นข้อความ base64 และยิ่งคาดเดาได้ง่ายขึ้นหากรู้ตัวอักษรที่กำลังส่งอยู่แล้วสองตำแหน่ง จะเหลือต้องส่งข้อความเพียง 2^13 ครั้ง

Tags:
Java

หลังจากประสบปัญหาเรื่องความปลอดภัยอย่างต่อเนื่อง ออราเคิลก็ตัดสินใจออกแพตช์ความปลอดภัยของ Java SE ประจำเดือนกุมภาพันธ์ให้เร็วกว่าเดิม จากเดิมที่มีกำหนดออกวันที่ 19 กุมภาพันธ์ ก็เปลี่ยนมาออกตั้งแต่วันที่ 1 กุมภาพันธ์แทน

แพตช์ชุดนี้มีชื่ออย่างเป็ฯทางการว่า Critical Patch Update for Java SE – February 2013 ใช้กับ Java 5u38, 6u38, 7u11 ขึ้นไป รวมถึง JavaFX 2.2.4 ด้วย โดยตัวเลขเวอร์ชันของอัพเดตนี้จะกลายเป็น 6u39, 7u13 และ JavaFX 2.2.5 ครับ

ผู้ที่จำเป็นต้องใช้ Java สามารถดาวน์โหลดได้จาก Java SE Downloads (ผู้ใช้วินโดวส์อัพเดตตรงผ่าน Java Update ได้)

ที่มา - Oracle via SlashGear