Tags:
Flash

Adobe ออกแพตช์ความปลอดภัยของ Flash Player แก้ช่องโหว่ระดับ "ร้ายแรง" (critical) ที่ถูกใช้โดยกลุ่มแฮ็กเกอร์ชาวจีน APT3

ช่องโหว่หมายเลข CVE-2015-3113 นี้ถูกค้นพบโดยบริษัท FireEye จากร่องรอยการโจมตีของ APT3 ส่งผลให้ Adobe ต้องออก Flash Player เวอร์ชัน 18.0.0.194 (วินโดวส์/แมค) และ 11.2.202.468 (ลินุกซ์) มาแก้ไข

ผู้ใช้ Chrome และ IE บน Windows 8.x ไม่ต้องทำอะไรเพิ่มเพราะ Flash อัพเดตผ่านเบราว์เซอร์อยู่แล้ว ส่วนผู้ใช้เบราว์เซอร์อื่นๆ ก็ตามไปดาวน์โหลด Flash Player เวอร์ชันล่าสุด มาติดตั้งเพื่อความปลอดภัยกันครับ

ที่มา - Adobe, Computerworld

Tags:
ESET

Tavis Ormandy หนึ่งในสมาชิกของ Google Project Zero ได้รายงานช่องโหว่ของผลิตภัณฑ์ ESET วันนี้ โดยช่องโหว่ดังกล่าวส่งผลให้ผู้โจมตีสามารถส่งคำสั่งเพื่อควบคุมเครื่องเป้าหมายได้จากระยะไกลในสิทธิ์ root/SYSTEM ช่องโหว่นี้ถูกจัดความสำคัญอยู่ในระดับ critical หรือร้ายแรงที่สุด

รายละเอียดของช่องโหว่เบื้องต้นนั้น เกิดจากวิธีการที่ซอฟต์แวร์แอนติไวรัสใช้ในการจำลองโค้ด โดยใน ESET NOD32 จะมีการดักจับข้อมูลที่ได้จาก I/O ของดิสก์เพื่อเอาไปตรวจสอบและจำลองเมื่อพบส่วนของโค้ดที่สามารถเอ็กซีคิวต์ได้

ช่องโหว่นี้ถูกรายงานว่าส่งผลกระทบต่อผลิตภัณฑ์ ESET ทุกตัวไม่ว่าจะเป็น ESET Smart Security for Windows, ESET NOD32 Antivirus for Windows, ESET Cyber Security Pro for OS X, ESET NOD32 For Linux Desktop, ESET Endpoint Security for Windows and OSX และ ESET NOD32 Business Edition โดยช่องโหว่สามารถโจมตีได้บนการตั้งค่าเริ่มต้นของซอฟต์แวร์ถึงแม้ว่าจะมีการปิดฟังก์ชันในการสแกนแบบ Real time ก็ตาม

ทาง ESET ได้มีการปล่อยอัพเดตแล้วเมื่อสองวันที่ผ่านมา ผู้อ่านท่านใดที่ต้องการศึกษาช่องโหว่เพิ่มเติม ทาง Project Zero ก็ใจดีแนบเครื่องมือที่ใช้ในการโจมตีเพื่อให้ได้สิทธิ์ของ root/SYSTEM (ไม่ใช่ RCE) มาให้ด้วยพร้อมกับรายงานช่องโหว่และวีดิโอทดสอบการโจมตี สามารถดาวโหลดได้จากแหล่งที่มาครับ

ที่มา - Google Security Research

Tags:
Samsung

ปกติแล้วผู้ใช้ระบบปฏิบัติการ Windows มักได้รับคำแนะนำให้เปิดการอัพเดต OS อย่างสม่ำเสมอเพื่อป้องกันภัยจากช่องโหว่ของระบบและเสริมความสามารถใหม่ๆ แต่นักวิจัยกลับพบว่าโน้ตบุ๊กของซัมซุงป้องกัน Windows Update นี้เสียเอง!

Patrick Barker หนึ่งใน Microsoft MVP ได้รับแจ้งจากสมาชิกฟอรัม Sysnative หนึ่งในฟอรัมให้ความช่วยเหลือเกี่ยวกับปัญหาความผิดปกติของ Windows ว่า Windows Update ของผู้ใช้โน้ตบุ๊กซัมซุงถูกสุ่มปิดหลายครั้ง

เมื่อตรวจสอบการทำงานทั้งจาก Registry และการ reverse engineering พบว่าปัญหาดังกล่าวเกิดจาก "SW Updater" ของซัมซุงที่ปกติมีไว้เพื่ออัพเดตไดรเวอร์ เฟิร์มแวร์ (หรือแม้กระทั่ง bloatware) เรียกใช้โปรแกรม Disable_Windowsupdate.exe ซึ่งเขียนใบรับรองดิจิทัลโดยซัมซุง ให้ดาวน์โหลดไฟล์จาก orcaservice.samsungmobile.com และหยุดการอัพเดตตามปกติดังกล่าว

Tags:
Windows XP

แม้ว่าไมโครซอฟท์จะยุติการสนับสนุน Windows XP ไปได้พักใหญ่ แต่สำหรับลูกค้าองค์กรที่พร้อมจ่าย ไมโครซอฟท์ก็ยังให้บริการสนับสนุนต่อไป (แบบเสียเงิน) ซึ่งมีองค์กรบางแห่งยอมจ่ายไปก่อนแล้ว

ล่าสุดไมโครซอฟท์เพิ่งได้ลูกค้าใหม่อีกรายเป็นกองทัพเรือสหรัฐฯ ที่ยอมจ่ายเงินกว่า 9.1 ล้านเหรียญเพื่อให้ไมโครซอฟท์สนับสนุน Windows XP ที่ใช้สำหรับ Space and Naval Warfare Systems Command (SPAWAR) ซึ่งรันระบบสื่อสาร และข้อมูลเครือข่ายของกองทัพเรือสหรัฐฯ อยู่ ดีลนี้ครอบคลุมอุปกรณ์ที่รัน Windows XP, Windows Server 2003 Office 2003 และ Exchange 2003 ซึ่งตัวสัญญาทั้งหมดจนถึงปี 2017 มูลค่าสูงถึง 30.8 ล้านเหรียญด้วยกัน

แม้ว่ากองทัพเรือสหรัฐฯ จะเริ่มย้ายจาก Windows XP ไปตั้งแต่ปี 2013 ทว่าปัจจุบันยังมีอุปกรณ์ที่รันระบบปฏิบัติการรุ่นเก่านี้อยู่มากถึง 100,000 เครื่องด้วยกัน ถ้าหากไม่มีการสนับสนุนด้านความปลอดภัยจะทำให้องค์กรมีความเสี่ยงอย่างมาก

ที่มา - PC World

Tags:
Thailand

วันนี้มีการระบุว่าเว็บไซต์ของ กทปส. หรือ กองทุนวิจัยและพัฒนากิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมเพื่อประโยชน์สาธารณะ ถูกแฮกจากกลุ่ม SyR!4N M43STR0 ซึ่งมีการใส่เอาไว้ในตอนท้ายของหน้าเว็บที่เป็นส่วนของกฎหมายและประกาศ (ปัจจุบันถูกเอาออกไปแล้ว)

แม้จะถูกแฮก แต่ตัวหน้าเว็บยังสามารถเข้าได้ตามปกติครับ ส่วนภาพของข้อความตอนท้ายของหน้าเว็บ อ่านได้จากที่มา

ที่มา - Facebook: Art Suriyawongkul

Tags:
China

หลังจากที่เมื่อต้นเดือน ทางการสหรัฐฯ ออกมาเผยว่าถูกจารกรรมข้อมูล วันนี้ก็มีความคืบหน้าเพิ่มเติมเกี่ยวกับการจารกรรมข้อมูลในครั้งนี้ออกมาบ้างแล้ว โดยเจ้าหน้าที่ของทางการสหรัฐฯ ออกมายอมรับว่าการแฮกครั้งนี้ถือเป็นครั้งใหญ่ที่สุดครั้งหนึ่งแบบที่ไม่เคยเห็นมาก่อน

รายงานข่าวจาก The New York Times ระบุว่าหน่วยข่าวกรองของสหรัฐฯ พยายามติดตามความเคลื่อนไหวของกลุ่มผู้เจาะระบบ (hacker) ชาวจีนมาโดยตลอด แต่ในช่วงฤดูร้อนปีที่แล้วกลับไม่สามารถติดตามตัวได้อีก เพราะกลุ่มผู้เจาtระบบเปลี่ยนเป้าหมายมายังฐานข้อมูลเจ้าหน้าที่รัฐแทน โดยการจารกรรมข้อมูลครั้งนี้กินระยะเวลาเกือบปี และผู้จารกรรมข้อมูลได้สิทธิผู้ดูแลระบบ (administrator) ในการเข้าถึงฐานข้อมูลดังกล่าว ทำให้สามารถโอนถ่ายข้อมูลในฐานข้อมูลออกไปได้ ซึ่งปลายทางอยู่ที่ประเทศจีน สาเหตุส่วนหนึ่งมาจากระบบฐานข้อมูลของกระทรวงมหาดไทยของสหรัฐ (Department of the Interior) ที่ไม่มีการป้องกันมากเท่าที่ควรจะเป็น

แม้เจ้าหน้าที่ของทางการสหรัฐจะระบุว่ามาจากประเทศจีน แต่เว็บไซต์ Business Insider รายงานว่ารัฐบาลสหรัฐฯ มีความลังเล (reluctant) ในการกล่าวหาทางการจีนว่าอยู่เบื้องหลังการจารกรรมข้อมูลดังกล่าว

ที่มา - The New York Times, Business Insider

Tags:
Reddit

แนวทางการบังคับ HTTPS ในเว็บใหญ่ๆ มากขึ้นเรื่อยๆ ตอนนี้ชุมชนออนไลน์ขนาดใหญ่อย่าง Reddit ก็ประกาศแล้วว่าวันที่ 29 มิถุนายนนี้จะบังคับเข้าเว็บผ่าน HTTPS เท่านั้น

Reddit เพิ่งเปิดบริการ HTTPS มาเมื่อเดือนกันยายนปีที่แล้ว

เว็บบางส่วนของ Reddit จะใช้งานไม่ได้หลังการบังคับใช้ HSTS เต็มรูปแบบ เพราะทาง Reddit ใช้ใบรับรองแบบ wildcard แต่ใบรับรองเหล่านี้ไม่สามารถใช้งานกับซับโดเมนระดับสอง เช่น www.np.reddit.com

ที่มา - Reddit

Tags:
Samsung

จากข่าว คีย์บอร์ดบนโทรศัพท์ซัมซุงมีช่องโหว่ร้ายแรง อัพเดตจากไฟล์ผ่าน HTTP ทางซัมซุงออกมาแถลงข้อมูลดังนี้

  • โอกาสการใช้ช่องโหว่นี้มีน้อย เพราะเจ้าของเครื่องกับแฮ็กเกอร์ต้องอยู่บนเครือข่ายเดียวกันเท่านั้น
  • เครื่องที่ติดตั้ง KNOX สามารถลดผลกระทบจากการเข้าไปแฮ็กระดับเคอร์เนลได้
  • ตอนนี้ยังไม่มีรายงานว่าพบการโจมตีที่ใช้ช่องโหว่นี้
  • ซัมซุงจะปล่อยแพตช์อุดรูรั่วในอีกไม่กี่วันข้างหน้า โดยสมาร์ทโฟนกลุ่มที่รองรับ KNOX จะได้แพตช์ก่อน (อยู่ในรูป security policy update) ส่วนกลุ่มที่ไม่รองรับ KNOX จะต้องรอการอัพเดตเฟิร์มแวร์ ซึ่งจะประกาศแผนการต่อไป

ที่มา - Samsung Tomorrow

Tags:
Ubuntu

OverlayFS เป็นระบบไฟล์ (file system) แบบ union mount ที่ช่วยให้สามารถ mount ระบบไฟล์หลายชุดผ่านจุด mount จุดเดียวได้ งานส่วนใหญ่ที่ใช้ระบบไฟล์แบบนี้ เช่น Live CD สำหรับทดลองเล่น Ubuntu ก่อนติดตั้งจริง

แนวคิดพื้นฐานของระบบดังกล่าว คือ แบ่งชั้น (layer) ของระบบไฟล์เป็นชั้นบน (upper) กับชั้นล่าง (lower) โดยชั้นล่างจะเป็นระบบไฟล์เดิมที่ผู้ใช้อาจไม่มีสิทธิ์ในการเขียนไฟล์ ส่วนชั้นบนจะจำลองไฟล์ต่างๆ ที่อยู่ในชั้นล่างขึ้นมา (overlay) ผู้ใช้ที่ไม่มีสิทธิ์ในการเขียนไฟล์ที่ชั้นล่าง ก็จะมาติดต่อกับระบบไฟล์ในชั้นบนแทน โดยที่ไฟล์ชั้นล่างจะไม่ถูกแก้ไขตามด้วย

ซึ่งช่องโหว่ดังกล่าว อาศัยความผิดพลาดของการตรวจสอบสิทธิ์ในการอ่านเขียนไฟล์ที่ระดับชั้นบน ทำให้สามารถลัดขั้นตอนการตรวจสิทธิ์และแก้ไขไฟล์ทุกไฟล์ได้ จนผู้โจมตีสามารถแปลงร่างเป็น root ได้ในที่สุด

OverlayFS ถูกติดตั้งและใช้งานอัตโนมัติใน Ubuntu ตั้งแต่รุ่น 12.04 จนถึงปัจจุบัน

ข่าวดีคือแพตช์แก้ปัญหาดังกล่าวออกมาแล้ว เพียงแค่สั่ง sudo apt-get dist-upgrade แล้วรีบูตเครื่องครับ

ที่มา: SecLists.Org, r/netsec

Tags:
Samsung

NowSecure รายงานช่องโหว่ร้ายแรงบนโทรศัพท์ซัมซุงหลายรุ่นที่ติดตั้งคีย์บอร์ด SwiftKey มาในตัว เมื่อผู้ใช้กดติดตั้งภาษาใหม่กลับดาวน์โหลดผ่าน HTTP กระบวนการตรวจสอบความถูกต้องของไฟล์ก่อนใช้งานก็เป็นเพียงการส่งค่า SHA1 ของไฟล์ผ่าน HTTP อีกเช่นกัน

ทาง NowSecure สร้างไฟล์ใหม่แล้วคำนวณค่า SHA1 เพื่อหลอกให้ตัวอัพเดตดาวน์โหลดไฟล์ปลอมไปก็พบว่าติดตั้งได้สำเร็จ ความร้ายแรงของช่องโหว่นี้อยู่ที่แพ็กเกจ SamsungIME.apk นั้นเป็นแพ็กเกจที่รับรองโดยซัมซุงโดยตรงทำให้ถูกรับรองในระดับ system สามารถเขียนไฟล์ที่ใดก็ได้ ทีมงานสร้างไฟล์ zip ที่เขียนไฟล์ไปยัง /data/payload ก็พบว่าสามารถเขียนไฟล์ได้สำเร็จ

ทีมงานหาโค้ดที่จะถูกรันเสมอเมื่อเครื่องรีบูต แล้วพบว่าแพ็กเกจ com.sec.factory.entry.FactoryTestBroadcastReceiver จะถูกรันหลังจากบูตทุกครั้ง ทีมงานสร้างไฟล์ dex ของคลาสนี้ที่เปิด shellcode ให้รับคำสั่งจากระยะไกล เมื่อไฟล์ dex ถูกเขียนก็สามารถรีโมตเข้าไปยังเครื่องได้หลังจากผู้ใช้บูตเครื่อง

ช่องโหว่นี้เป็นช่องโหว่เฉพาะของโทรศัพท์ซัมซุง เนื่องจากแพ็กเกจอยู่ในระดับ system ผู้ที่ดาวน์โหลดคีย์บอร์ด Swift มาใช้งานเองไม่ได้รับผลกระทบจากช่องโหว่นี้ อย่างไรก็ดีการติดตั้งเองไม่ได้แก้ปัญหาให้หายไป

ที่มา - NowSecure, The Register

Tags:
Apple

นักวิจัยจาก Indiana University, Georgia Tech และ Peking University ค้นพบช่องโหว่บน OS X และ iOS สามารถโจมตีและขโมยข้อมูลได้

ปกติ แอพบน OS X และ iOS จะถูกจำกัดสิทธิ์ให้อยู่ในพื้นที่ของตัวเอง ไม่สามารถเข้าถึงข้อมูลของอีกแอพที่ไม่ได้แชร์ไว้ โดยนักวิจัยกลุ่มนี้ค้นพบวิธีเข้าถึงข้อมูลของอีกแอพที่ไม่ได้แชร์เอาไว้ เรียกว่า Cross-App Resource Access แบ่งเป็น 3 วิธี คือ Keychain Access, Container Cracking และ Scheme Hijacking

Tags:

Let's Encrypt เปิดโครงการมาตั้งแต่ปลายปีที่แล้ว ทางโครงการวางเป้าหมายว่าจะเริ่มให้บริการช่วงกลางปี ตอนนี้กำหนดการชัดเจนออกมาแล้วว่าคนทั่วไปจะเริ่มขอใช้บริการได้ในช่วงสัปดาห์ของวันที่ 14 กันยายนนี้

ทาง Let's Encrypt ระบุว่าจะออกใบรับรองใบแรกในช่วงสัปดาห์ของวันที่ 27 กรกฎาคมนี้ แต่ช่วงแรกจะใช้งานในวงจำกัดและยังไม่มี cross-signature ทำให้เบราว์เซอร์ทั่วไปจะไม่รองรับใบรับรองจาก Let's Encrypt ในช่วงแรก และโดเมนที่เข้าใช้งานได้ก็ต้องได้รับอนุญาตล่วงหน้า

ทาง IdenTrust จะเริ่มให้ cross-signature กับใบรับรองของ Let's Encrypt ก่อนที่จะเปิดให้บริการกับคนทั่วไป ดังนั้นเมื่อเปิดบริการจริงเดือนกันยายนนี้ก็เบราว์เซอร์ทั่วไปก็น่าจะใช้งานได้ทันที

ที่มา - Let's Encrypt

Tags:
Android

กูเกิลเปิดโครงการ Android Security Rewards ให้รางวัลนักวิจัยที่พบช่องโหว่ความปลอดภัยของแอนดรอยด์ โดยจำกัดเฉพาะแอนดรอยด์บนอุปกรณ์ของกูเกิลเอง คือ Nexus 6 และ Nexus 9 เท่านั้น

เงินรางวัลสำหรับการรายงานช่องโหว่อย่างเดียวจะสูงสุดที่ 2,000 ดอลลาร์ แต่หากเขียนเทสเคสก็จะได้รางวัลเพิ่ม หากให้แพตช์แก้ไขมาด้วยรางวัลจะเพิ่มไปสูงสุด 8,000 ดอลลาร์ และในกรณีที่ช่องโหว่เหล่านั้นสามารถเจาะเข้าถึงเคอร์เนลได้จะได้รางวัลเพิ่มอีกสูงสุด 20,000 ดอลลาร์ รางวัลใหญ่ที่สุดคือการเจาะเข้า TrustZone และระบบ Verified Boot จะได้รางวัลเพิ่มสูงสุดไปถึง 30,000 ดอลลาร์

ที่มา - Google Online Security

Tags:
Microsoft Azure

ไมโครซอฟท์ประกาศเพิ่มบริการตรวจสอบบัญชีผู้ใช้ใน Active Directory ที่ใช้บริการผ่าน Azure AD Premium ว่าหลุดออกมากับฐานข้อมูลผู้ใช้ในเว็บหรือบริการใดหรือไม่ และแจ้งเตือนให้ผู้ดูแลระบบได้รับทราบเพื่อแก้ปัญหาล่วงหน้า

แนวทางนี้ช่วยลดความเสี่ยงให้กับองค์กรในกรณีที่ผู้ใช้ตั้งรหัสผ่านกับหลายๆ บริการเหมือนกัน ทางไมโครซอฟท์แนะนำว่าหากผู้ใช้อยู่ในรายการรหัสผ่านหลุดออกไปแล้ว ให้เปิดใช้งานการยืนยันตัวตนหลายปัจจัย (multi-factor authentication) หรือรีเซ็ตรหัสผ่านเสียใหม่

ที่มา - TechNet

Tags:

Intelligent Environments เปิดตัว Emoji เพื่อทดแทนการใช้งาน PIN Code ด้วย Emoji 44 แบบ เพื่อใช้สร้างรหัสผ่านที่ให้ความปลอดภัยมากกว่าการสร้างรหัสจากเลข 0 - 9 ตอนนี้มีผู้ให้บริการธนาคารทางอินเทอร์เน็ตบางรายในอังกฤษแสดงความสนใจแล้ว

ระบบนี้ออกแบบมาโดยเน้นเอาใจผู้ใช้งานช่วงอายุ 15 - 25 ปี ช่วยเพิ่มความน่าใช้งานบนบริการทางการเงิน แต่ยังไม่ได้ทำการจดสิทธิบัตรและคาดว่าจะไม่สามารถทำได้

ด้านแชมป์การจำให้ความเห็นว่าพฤติกรรมของมนุษย์จะไม่ทำให้การใช้ Emoji ปลอดภัยไปกว่า PIN Code เพราะผู้คนมักขี้เกียจและจะเลือกใช้อะไรที่มันง่ายที่สุด เช่น คนส่วนใหญ่จะเลือกใช้รูป 4 รูปที่อยู่แถวบน หรือตรงมุม ขณะนี้มีบางบริษัทใช้งานรูปแบบและรูปภาพทดแทนการใช้ PIN Code แล้ว แต่การยืนยันตัวตนสองขั้นตอนยังเป็นทางเลือกที่ดีกว่า

ที่มา - BBC

Tags:
LastPass

LastPass ประกาศว่าบริษัทพบความผิดปกติในเครือข่ายภายใน และเมื่อตรวจสอบแล้วพบว่าฐานข้อมูลที่มีข้อมูล อีเมล, ข้อมูลช่วยจำรหัสผ่าน, ค่า salt ของผู้ใช้รายคน, และค่าแฮชรหัสผ่าน ได้ถูกขโมยออกไปจากเซิร์ฟเวอร์

ทาง LastPass ระบุว่ายังมั่นใจว่าการเข้ารหัสตัวรหัสผ่านด้วย PBKDF2-SHA256 ที่หนึ่งแสนรอบบนเซิร์ฟเวอร์เพิ่มจากฝั่งไคลเอนต์จะช่วยให้รหัสผ่านของผู้ใช้ปลอดภัยดีอยู่ แต่เพื่อความไม่ประมาททาง LastPass จะให้ผู้ใช้ทุกคนที่ล็อกอินจากไอพีหรืออุปกรณ์ที่แปลกไปจากเดิมให้ยืนยันตัวตนอีกครั้ง พร้อมกับแจ้งเตือนให้ผู้ใช้เปลี่ยนรหัสผ่านหลัก (master password)

ทาง LastPass ขออภัยผู้ใช้ที่ต้องลำบากจากขั้นตอนที่เพิ่มขึ้นมา และแนะนำให้เปิดใช้าน multifactor authentication อีกชั้นเพื่อความปลอดภัย

ที่มา - LastPass

Tags:
LastPass

มีรายงานจากทาง LastPass ว่าพบเห็นพฤติกรรมไม่ปกติเข้ามายังเน็ตเวิร์คของตัวเองในวันศุกร์ที่ผ่านมา (12 มิถุนายน 2558) แต่มีเพียงผู้ใช้ส่วนน้อยเท่านั้นที่ได้รับผลกระทบนี้

ในรายงานการสืบสวนกล่าวว่า "ไม่พบหลักฐานว่าข้อมูลที่เข้ารหัสไว้ถูกขโมยออกไป รวมไปถึงไม่พบการเข้าสู่ระบบของผู้ใช้งานต่างๆ แต่อย่างไรก็ตามจากการสืบสวนนั้น พบว่า อีเมล, รหัสผ่านที่จดไว้, salt ของเซิร์ฟเวอร์, hash ของการยืนยันตัวตน ถูกเจาะ (were compromised)"

LastPass ได้เตือนให้ผู้ใช้งานที่มีรหัสผ่านหลัก (master password) อ่อนแอ ง่ายต่อการเจาะ ควรทำการเปลี่ยนรหัสผ่านหลักโดยด่วน และจะมีอีเมลแจ้งเตือนไปถึงผู้ใช้งานทุกคนที่อาจได้รับผลกระทบครั้งนี้

Tags:
Outlook

วันนี้ (14 มิถุนายน 2558) ผู้ใช้ Outlook.com (ชื่อเดิมคือ Hotmail) หลายรายพบปัญหาล็อกอินเข้าหน้าเว็บไซต์แล้วปรากฏข้อความแจ้งเตือนใบรับรอง SSL ไม่ถูกต้อง จากการตรวจสอบเบื้องต้นพบว่าเซิร์ฟเวอร์ของ Outlook.com ส่งใบรับรอง SSL ของ bing.com มาให้ แทนที่จะเป็น login.live.com หรือ mail.live.com ตามที่ควรจะเป็น (ภาพประกอบท้ายข่าว)

มีผู้ใช้แจ้งปัญหานี้ไปยัง Microsoft เบื้องต้นคาดว่าสาเหตุน่าจะเกิดจากเซิร์ฟเวอร์ของ Outlook.com ในสิงคโปร์มีการตั้งค่าผิดพลาด ทำให้ผู้ใช้ในแถบเอเชียตะวันออกเฉียงใต้ได้รับผลกระทบ อย่างไรก็ตาม ปัจจุบันยังไม่มีแถลงการณ์อย่างเป็นทางการจาก Microsoft

ข้อแนะนำสำหรับผู้ที่พบปัญหานี้คือไม่ควรล็อกอินเข้า Outlook.com จนกว่า Microsoft จะแก้ปัญหาเสร็จ

ที่มา - Reddit, Microsoft

Tags:
OpenSSL

OpenSSL ออกแพตช์ความปลอดภัยชุดใหม่ อุดช่องโหว่ระดับปานกลางและระดับต่ำหลายตัว แต่ที่สำคัญที่สุดคงเป็นการช่องโหว่ Logjam ที่ทำให้ไคลเอนต์ถูกหลอกว่ากำลังเชื่อมต่อแบบปกติ ทั้งที่เป็นการเชื่อมต่อแบบ DHE_EXPORT ที่ความปลอดภัยต่ำ

แนวทางแก้ปัญหาคือโค้ดฝั่งไคลเอนต์ของ OpenSSL จะไม่ยอมรับ การเชื่อมต่อแบบ DH ที่ 512 บิตอีกต่อไป โดยตอนนี้จะยอมรับที่ 768 เป็นขั้นต่ำสุด และเตรียมจะปรับเป็น 1024 บิตในอนาคต

ที่มา - OpenSSL

Tags:
Nest

มีรายงานมาว่า Nest กำลังจะเปิดตัวอุปกรณ์สมาร์ทโฮมตัวใหม่สัปดาห์หน้า วันนี้มีภาพหลุดมาเฉลยแล้วว่ามันคือกล้องวงจรปิดนั่นเอง

หน้าตาของกล้องวงจรปิดหรือ Nest Cam นั้น เรียกได้ว่าใกล้เคียงกับของ Dropcam ที่ Nest เข้าซื้อไปเมื่อกลางปี 2014 แต่ปรับให้ขนาดกะทัดรัดลง โดยมีฟีเจอร์ทัดเทียมกับรุ่น Dropcam Pro ทั้งความสามารถในการถ่าย และสตรีมวิดีโอความละเอียด 1080p ติดตั้งได้ง่ายด้วยบลูทูธ และ QR code รวมถึงจะมีการอัพเดตแอพ Nest เพื่อให้รองรับการใช้งานร่วมกับ Nest Cam ของฝั่งแอนดรอยด์อีกด้วย

ที่มา - Droid-life