Security

ศูนย์มั่นคงไซเบอร์อังกฤษแนะนำการใช้กล้องวงจรปิดต่อเน็ต: เปลี่ยนรหัสผ่าน, อัพเดตเฟิร์มแวร์, ปิดฟีเจอร์ที่ไม่ใช้

By lew

on 4 March 2020 - 00:53 Tag: NCSC, United Kingdom, Security, Internet of Things

NCSC

ศูนย์ความมั่นคงปลอดภัยไซเบอร์สหราชอาณาจักร (National Cyber Security Centre - NCSC) ออกคำแนะนำการใช้กล้องวงจรปิดและกล้องดูแลเด็ก (baby monitor) ให้ปลอดภัย โดยแนะนำ 3 ข้อใหญ่ได้แก่

Let's Encrypt พบบั๊กระบบออกใบรับรอง เตรียมยกเลิกใบรับรอง 3 ล้านใบวันที่ 4 มีนาคมนี้

By lew

on 4 March 2020 - 00:30 Tag: Let's Encrypt, Security

Let's Encrypt

Let's Encrypt ประกาศพบบั๊กในระบบออกใบรับรอง ทำให้มีการออกใบรับรองโดยตรงสอบไม่ครบถ้วน และจำเป็นต้องยกเลิก (revoke) ใบรับรองที่ตรวจสอบไม่ครบนี้ออกจากระบบ รวมใบรับรองที่กระทบ 3,048,289 ใบ จากใบรับรองที่ยังใช้งานได้ตอนนี้ 116 ล้านใบ หรือคิดเป็น 2.6%

กสทช. ออสเตรเลียบังคับค่ายมือถือยืนยันตัวตนลูกค้าสองขั้นตอนก่อนออกซิมใหม่ วางค่าปรับ 5 ล้านบาทหากทำไม่ครบ

By lew

on 2 March 2020 - 19:10 Tag: Australia, SIM card, Security, Mobile Banking

Australia

Australian Communications and Media Authority (ACMA) หรือกสทช.ออสเตรเลียประกาศมาตรฐานการตรวจสอบผู้ใช้ก่อนออกซิมใหม่ หลังพบว่าประชาชนเป็นเหยื่อมากขึ้นและการถูกขโมยหมายเลขโทรศัพท์แต่ละครั้งทำให้เหยื่อเสียหายเฉลี่ยสูงกว่า 10,000 ดอลลาร์ออสเตรเลีย หรือมากกว่าสองแสนบาท

ทาง ACMA ไม่ได้แยกย่อยว่าความเสียหายส่วนใหญ่เกิดจากอะไร แต่ก็ระบุความสำคัญของการใช้บริการธนาคารบนโทรศัพท์มือถือ ที่หากคนร้ายควบคุมหมายเลขโทรศัพท์ได้ก็จะขโมยเงินได้

นักวิจัยพบมัลแวร์ Android แอบขโมยรหัส 2FA จากแอพ Google Authenticator ได้

By BlackMiracle

on 1 March 2020 - 22:40 Tag: Android, Security, Authentication

Android

นักวิจัยจากบริษัท ThreatFabric ประเทศเนเธอร์แลนด์พบมัลแวร์บน Android ชื่อ Cerberus ที่เป็นเวอร์ชันใหม่ มีความสามารถขโมยรหัส two-factor authentication (2FA) จากแอพ Google Authenticator ได้ แต่มัลแวร์ดังกล่าวยังมีข้อจำกัดอยู่ เพราะต้องหลอกเจ้าของเครื่องให้อนุญาตให้มัลแวร์เข้าถึงสิทธิ์ Accessibility (ฟีเจอร์ผู้พิการ) เสียก่อน แต่หากหลงเชื่อแล้ว มัลแวร์จะสามารถอ่านเนื้อหาบนหน้าจอได้

หลังจากนั้น เมื่อแอพ Google Authenticator ถูกเปิดขึ้นมา มัลแวร์จะอ่านตัวเลขรหัส OTP บนหน้าจอและส่งกลับไปยังเซิฟเวอร์ของตัวเอง

Let's Encrypt ประกาศออกใบรับรองครบพันล้านใบ

By lew

on 28 February 2020 - 12:15 Tag: Let's Encrypt, Security

Let's Encrypt

Let's Encrypt โครงการแจกใบรับรองเข้ารหัสฟรีประกาศออกใบรับรองครบ 1 พันล้านใบ รวมประมาณ 192 ล้านเว็บไซต์

Let's Encrypt เปิดแจกใบรับรองจริงครั้งแรกเมื่อเดือนธันวาคมปี 2015 ผ่านมาสี่ปี ตอนนี้โครงการมีพนักงานประจำ 11 คน และใช้งบประมาณปีละ 2.61 ล้านดอลลาร์สหรัฐฯ หรือประมาณ 82 ล้านบาท โดยเพิ่มพนักงานเพียงสองคนในช่วงเวลาสองปีที่ผ่านมา

ผลของการมี Let's Encrypt ทำให้การเข้าชมเว็บไซต์ 81% เป็นการเชื่อมต่อแบบเข้ารหัส เพิ่มขึ้นอย่างรวดเร็วจากสองปีก่อนที่อยู่ที่ 58% เท่านั้น

ซัมซุงเผย Galaxy S20 มีชิปความปลอดภัย Secure Element ฝังมาให้ด้วย

By mk

on 27 February 2020 - 16:37 Tag: Galaxy S20, Samsung, Security, Hardware

Galaxy S20

เราเริ่มเห็นการใช้ชิปเฉพาะทางเก็บข้อมูลสำคัญๆ บนสมาร์ทโฟน เพื่อการันตีความปลอดภัยที่เหนือกว่าการเก็บในหน่วยความจำแบบเดิม ตัวอย่างเช่น Titan M ของ Google Pixel หรือ Apple T2 ของ iPhone

ล่าสุดซัมซุงเปิดเผยว่ามือถือซีรีส์ Galaxy S20 ที่เพิ่งเปิดตัว มีชิปความปลอดภัยแบบเดียวกันชื่อ S3K250AF สำหรับเก็บกุญแจดิจิทัลและรหัสผ่านของผู้ใช้ เมื่อบวกกับซอฟต์แวร์ด้านความปลอดภัยของซัมซุง ที่ผ่านมาตรฐาน Common Criteria Evaluation Assurance Level (CC EAL) 5+ จะรวมเป็นโซลูชันด้านความปลอดภัย Secure Element (SE) ที่สมบูรณ์

อัพเดตกันด่วน Chrome 80 อุดช่องโหว่ความปลอดภัย Zero-Day ที่ถูกใช้โจมตีแล้ว

By mk

on 26 February 2020 - 10:00 Tag: Chrome, Google, Browser, Security

Chrome

กูเกิลออกอัพเดต Chrome 80.0.3987.122 เป็นการอุดช่องโหว่นอกรอบอัพเดตปกติ ให้กับ Chrome 80 ที่ออกรุ่นเสถียรเมื่อต้นเดือน

ช่องโหว่รอบนี้มี 3 ตัว มีความสำคัญระดับ High โดยช่องโหว่หนึ่งตัว (CVE-2020-6418) ที่เกี่ยวกับหน่วยความจำของเอนจิน V8 พบรายงานการโจมตีผ่านช่องโหว่นี้แล้ว

ผู้ใช้งาน Chrome บนเดสก์ท็อปทุกแพลตฟอร์มควรกดอัพเดตกันทันที

ที่มา - Chrome Releases, ZDNet

ไมโครซอฟท์โชว์ Microsoft Defender ATP for Linux รองรับดิสโทรหลักทุกตัว

By lew

on 26 February 2020 - 00:25 Tag: Microsoft, Security, Microsoft Defender, Linux

Microsoft

เมื่อสัปดาห์ที่แล้วไมโครซอฟท์ประกาศว่าจะขยาย Microsoft Defender ATP (MTP) ชุดซอฟต์แวร์ความปลอดภัยออกไปทุกแพลตฟอร์มรวมถึงลินุกซ์ วันนี้ไมโครซอฟท์ก็ออกมาให้รายละเอียดสำหรับเวอร์ชั่นลินุกซ์เพิ่มเติม

MTP รองรับลินุกซ์ดิสโทรหลักแทบทั้งหมด ได้แก่ RHEL 7+, CentOS Linux 7+, Ubuntu 16 LTS, or higher LTS, SLES 12+, Debian 9+, และ Oracle EL 7 โดยสามารถติดตั้งผ่าน Puppet หรือ Ansible ก็ได้

การควบคุม MTP จะสามารถควบคุมผ่าน command line ได้ทั้งหมดผ่านคำสั่ง mdatp และยังรายงานข้อมูลการการสแกนเครื่องกลับไปยัง Microsoft Defender Security Center

Firefox เปิดใช้งาน DNS over HTTPS เป็นค่าเริ่มต้นให้ผู้ใช้ในสหรัฐฯ, แนะนำ Cloudflare และ NextDNS

By nutmos

on 25 February 2020 - 23:04 Tag: Mozilla, DNS, Firefox, Security

Mozilla

วันนี้ Mozilla ประกาศเตรียมเปิดใช้งาน DNS over HTTPS ระบบ DNS เข้ารหัสเพื่อรักษาความปลอดภัยและความเป็นส่วนตัวให้ผู้ใช้งาน Firefox ในสหรัฐฯ อย่างเป็นทางการ โดยจะทยอยปล่อยฟีเจอร์นี้ให้ผู้ใช้งานทีละกลุ่ม

Mozilla ระบุว่า DNS ถูกออกแบบมานานหลายทศวรรษแล้ว ซึ่งแม้ว่าเบราว์เซอร์จะใช้ HTTPS แต่การ lookup เพื่อหาไอพีแอดเดรสโดย DNS ยังคงไม่ได้เข้ารหัส ซึ่งถือเป็นจุดอ่อนสำคัญเพราะอุปกรณ์อื่นสามารถเก็บ ไปจนถึงบล็อคหรือเปลี่ยนคำขอ DNS ก็ย่อมได้

นักพัฒนาซอฟต์แวร์พบช่องโหว่ในระบบ McDonald's สั่งอาหารได้ฟรีทุกครั้ง

By mk

on 24 February 2020 - 13:56 Tag: McDonalds, Hacking, Security

McDonalds

นักพัฒนาซอฟต์แวร์จากเยอรมนี ค้นพบช่องโหว่ในระบบไอทีของ McDonald's ประเทศเยอรมนี ทำให้เขาสามารถสั่งอาหารได้ฟรีทุกครั้งไป

ท้ายใบเสร็จของ McDonald's เยอรมนีมีลิงก์ไปยังเว็บเพจที่สอบถามความเห็นของลูกค้า ตอบแล้วจะได้โค้ดไปแลกรับเครื่องดื่มขนาดเล็กได้ฟรี ซึ่ง David Albert นักพัฒนาซอฟต์แวร์ในข่าวค้นพบแพทเทิร์นการออกโค้ดที่ซ้ำเดิมตลอดเวลา ทำให้เขาสามารถออกโค้ดแลกรับเครื่องดื่มได้เอง

Safari จะแจ้งเตือนใบรับรองอายุนานกว่า 13 เดือนว่าไม่ปลอดภัย เริ่มกันยายนนี้

By nutmos

on 22 February 2020 - 13:25 Tag: Safari, Security, Digital Certificate

Safari

ตอนนี้ Safari กำลังจะเริ่มบังคับใช้นโยบายใหม่ คือจะไม่ยอมรับใบรับรองเว็บไซต์ที่กำหนดวันหมดอายุไว้มากกว่า 13 เดือนนับจากวันสร้างใบรับรอง ซึ่งจะส่งผลโดยตรงต่อเว็บไซต์ที่ใช้ใบรับรองที่กำหนดวันหมดอายุไว้นาน ๆ

นโยบายใหม่นี้เสนอในที่ประชุม CA/Browser โดยเริ่มตั้งแต่วันที่ 1 กันยายน Safari จะไม่ยอมรับใบรับรองใดก็ตามที่มีอายุมากกว่า 398 วันนับจากวันออกใบรับรอง ลดลงจากเดิมที่กำหนดไว้ 825 วัน โดยจะขึ้นคำแจ้งเตือนผู้ใช้เหมือนกับเว็บไซต์ที่ใบรับรองไม่ปลอดภัย

ทั่วถึงทุกแพลตฟอร์ม Microsoft Defender ประกาศออกเวอร์ชันลินุกซ์, Android, iOS

By mk

on 21 February 2020 - 09:39 Tag: Microsoft Defender, Microsoft, Security, Linux, iOS, Android, Enterprise

Microsoft Defender

Microsoft Threat Protection (MTP) เป็นชื่อเรียกรวมๆ ของชุดฟีเจอร์-บริการด้านความปลอดภัยของไมโครซอฟท์แบบเสียเงินหลายตัว ประกอบด้วย Microsoft Defender ATP ที่คุ้มครองเครื่อง, Office 365 ATP คุ้มครองอีเมล, Azure ATP คุ้มครองบัญชี, Microsoft Cloud App Security คุ้มครองแอพ

วันนี้ไมโครซอฟท์ประกาศว่า Microsoft Threat Protection มีสถานะเปิดบริการเป็นการทั่วไป (generally available) องค์กรที่จ่ายแพ็กเกจ Microsoft 365 E5 อยู่แล้วสามารถเปิดใช้งานได้ทันทีผ่านหน้าแอดมินของระบบ

Akamai รายงานการโจมตีบริการทางการเงิน พบแฮกเกอร์ยิงล็อกอินผ่าน API มากขึ้น

By lew

on 20 February 2020 - 13:08 Tag: Akamai, Security

Akamai

Akamai เปิดรายงานความปลอดภัยของบริการทางการเงิน (Finnancial Service - FinServ) ในช่วง ปีปลายปี 2017 ถึงปลายปี 2019 พบว่ามีอัตราความพยายามล็อกอินผ่านทางเซิร์ฟเวอร์ที่เป็น API gateway มากขึ้นเรื่อยๆ

รายงานแสดงให้เห็นว่าอุตสาหกรรมอื่นนั้นแฮกเกอร์พยายามขโมยบัญชีผู้ใช้ผ่านทาง API มาต่อเนื่องระยะหนึ่งแล้ว โดยรวมช่วงที่สำรวจมีการยิงผ่าน API ประมาณ 20% จากการยิงรหัสผ่านทั้งหมด 85,422 ล้านครั้ง แต่สำหรับอุตสาหกรรมทางการเงินเริ่มมีปริมาณสูงขึ้นช่วงปลายปี 2019 ที่ผ่านมา รวมมีการยิงรหัสผ่าน 473 ล้านครั้ง

OpenSSH ออกรุ่น 8.2 รองรับกุญแจ FIDO เป็นทางการ หยุดรองรับกุญแจแบบ ssh-rsa

By lew

on 18 February 2020 - 01:27 Tag: OpenSSH, Security

OpenSSH

OpenSSH ออกรุ่น 8.2 โดยฟีเจอร์สำคัญคือมันรองรับกุญแจ FIDO/U2F อย่างเป็นทางการแล้ว ทำให้ผู้ดูแลระบบสามารถเพิ่มความปลอดภัยของไฟล์ private key สำหรับล็อกอินด้วยการยืนยันผ่านกุญแจ FIDO อีกชั้น

นโยบายกูเกิลได้ผล แอพบน Google Play ที่ขอสิทธิเข้าถึง SMS/Call Data หายไป 98%

By mk

on 16 February 2020 - 22:59 Tag: Google Play, Android, SMS, Google, Security, Privacy

Google Play

เมื่อต้นปี 2019 เราเห็นข่าว Google Play ห้ามแอพที่ขอสิทธิเข้าถึงบันทึกการโทรและ SMS โดยไม่จำเป็น โดยให้เหตุผลเรื่องความปลอดภัยและความเป็นส่วนตัว แต่ก็สร้างเสียงวิจารณ์ไม่น้อย

เวลาผ่านมาครบปี กูเกิลสรุปตัวเลขให้เห็นชัดๆ ว่าแอพที่ขอสิทธิการใช้งาน SMS และการโทร (call data) มีจำนวนลดลงถึง 98% โดย 2% ที่เหลือคือแอพที่ยังจำเป็นต้องใช้งานสิทธิเหล่านี้จริงๆ

กูเกิลยังให้ข้อมูลด้านความปลอดภัยอื่นๆ ของ Google Play ในปี 2019 ดังนี้

กูเกิลร่วมมือ Cisco ค้นพบส่วนขยายที่ไม่ปลอดภัยของ Chrome ถึง 500 ตัว

By mk

on 15 February 2020 - 21:50 Tag: Chrome, Google, Cisco, Security, Extension

Chrome

กูเกิลร่วมมือกับ Duo Security บริษัทความปลอดภัยในเครือ Cisco และ Jamila Kaya นักวิจัยด้านความปลอดภัยอิสระ ค้นพบและถอดส่วนขยายของ Chrome ที่ไม่ปลอดภัยออกจาก Chrome Web Store ประมาณ 500 ตัว

กูเกิลจะบังคับผู้ใช้บัญชี Nest ทุกคน ต้องล็อกอินด้วย Two-Factor Authentication

By mk

on 12 February 2020 - 13:25 Tag: Nest, Google, Security, Authentication

Nest

ประเด็นเรื่องความปลอดภัยของอุปกรณ์ IoT ยังมีเรื่องให้ถกเถียงกันเรื่อยๆ กูเกิลในฐานะเจ้าของแบรนด์ Nest และส่งเสริมให้ลูกค้าย้ายบัญชี Nest เดิมมาล็อกอินด้วยบัญชี Google Account (ตอนแรกบังคับย้าย แต่ตอนหลังยอมถอย ไม่บังคับแล้ว) ประกาศว่าจะบังคับการล็อกอินแบบสองปัจจัย (two-factor authentication) สำหรับบัญชี Nest เดิม

Malwarebytes สรุปสถิติปี 2019 ภัยคุกคามบนแมคเยอะกว่าบนวินโดวส์ 2 เท่า

By mk

on 12 February 2020 - 09:39 Tag: Malwarebytes, Malware, Security, Mac

Malwarebytes

Malwarebytes บริษัทซอฟต์แวร์แอนตี้มัลแวร์ชื่อดัง ออกรายงานสรุปสถิติมัลแวร์ประจำปี 2019 พบว่าตรวจพบภัยคุกคามบนแมคเยอะกว่าบนวินโดวส์เป็นครั้งแรก แถมเจอเยอะกว่าถึงสองเท่าด้วย

สถิติของ Malwarebytes บอกว่าพบภัยคุกคามบนแมคเฉลี่ย 11 จุดต่อเครื่อง (threats per endpoint) ส่วนบนวินโดวส์พบเฉลี่ย 5.8 จุด ในรอบปีที่ผ่านมา ภัยคุกคามบนแมคโตขึ้นถึง 400%

สาเหตุที่ภัยคุกคามบนแมคเพิ่มสูงขึ้นมาก เป็นเพราะโปรแกรมกลุ่ม adware ที่ฝังโฆษณา (Malwarebytes นับรวมเป็นหนึ่งในภัยคุกคาม) ที่พบมากถึง 30 ล้านครั้งในปี 2019 (เทียบกับบนวินโดวส์ 24 ล้านครั้ง) โดยโปรแกรม adware ตระกูล NewTab ที่มาในรูปส่วนขยายของ Safari พบมากที่สุด 28 ล้านครั้ง หรือเท่ากับเกือบทั้งหมดของภัยคุกคามบนแมค

Apple เข้าร่วม FIDO Alliance เพื่อผลักดันมาตรฐานยืนยันตัวตนที่ปลอดภัยกว่ารหัสผ่าน

By nutmos

on 11 February 2020 - 22:43 Tag: Apple, FIDO, Security, Authentication

Apple

FIDO Alliance กลุ่มบริษัทเทคโนโลยีที่เน้นการหาระบบทดแทนรหัสผ่านได้ประกาศอย่างเป็นทางการว่า ตอนนี้ Apple ได้เข้าเป็นสมาชิกของกลุ่มอย่างเป็นทางการแล้ว โดยเป็นสมาชิกระดับบอร์ด (Board Level Members) ซึ่งเป็นระดับเดียวกับ Amazon, Arm, Facebook, Google, Intel, Lenovo, Microsoft และบริษัทเทคโนโลยีชื่อดังอื่น ๆ

แนวคิดของกลุ่ม FIDO คือการสร้างมาตรฐานกลางเพื่อการยืนยันตัวตนที่ปลอดภัยกว่าการใช้รหัสผ่าน เนื่องจากปัจจุบันรหัสผ่านนั้นเป็นระบบการยืนยันตัวตนรูปแบบเก่าที่มีจุดอ่อนหลายข้อ แต่ก็ยังไม่มีมาตรฐานกลางที่จะมาเสริมหรือทดแทนการยืนยันตัวตนแบบรหัสผ่านได้ดีพอ

Chrome 82 จะเริ่มบล็อคไฟล์ที่ดาวน์โหลดผ่าน HTTP แบบไม่เข้ารหัส ป้องกันถูกยัดไส้

By mk

on 8 February 2020 - 10:40 Tag: Chrome, HTTPS, HTTP, Security, Browser

Chrome

Chrome ประกาศแผนการบล็อคไม่ให้ดาวน์โหลดไฟล์ผ่าน HTTP แบบไม่เข้ารหัส โดยจะเริ่มจาก Chrome 82 ที่ออกช่วงเดือนเมษายน 2020

ปัจจุบัน Chrome ยอมให้เราเข้าเว็บที่เป็น HTTPS แล้วดาวน์โหลดบางไฟล์ผ่านโปรโตคอล HTTP (mixed content download) ซึ่งกูเกิลมองว่าไฟล์อาจถูกยัดไส้เป็นมัลแวร์ หรือโดนดักข้อมูลระหว่างทางได้ (เช่น ดาวน์โหลดไฟล์สรุปข้อมูลการเงินจากเว็บไซต์ธนาคาร)

Subscribe to Security