Image
By lew Founder on Tag: Singapore, Security, Banking
Singapore

FS-ISAC ศูนย์แลกเปลี่ยนข้อมูลภัยไซเบอร์และภัยในโลกความเป็นจริงสำหรับธุรกิจการเงิน ประกาศเปิดตัว CERES Forum แพลตฟอร์มสำหรับหน่วยงานกำกับดูแลสถาบันการเงิน ที่จะแลกเปลี่ยนข้อมูลการกำกับดูแลความมั่นคงปลอดภัยทั้งจากไซเบอร์และโลกความเป็นจริง

ปกติ FS-ISAC จะเป็นพื้นที่แชร์การโจมตีแบบต่างๆ ระหว่างสถาบันการเงินด้วยกันเอง โดยมีกระบวนการปกปิดข้อมูลที่เป็นความลับ แต่ CERES จะเป็นแพลตฟอร์มสำหรับหน่วยงานกำกับดูแลที่จะแชร์แนวทางการกำกับดูแลและการควบคุม และพูดคุยกันว่าการควบคุมแบบใดที่ได้ผลดี และยังแชร์ข้อมูลการโจมตีที่บางครั้งมุ่งเป้าไปที่หน่วยงานกำกับดูแลและธนาคารกลางโดยตรง

By lew Founder on Tag: OS X, Apple, Security, API
OS X

Okta ผู้ให้บริการยืนยันตัวตนบนคลาวด์รายงานถึงช่องโหว่ของซอฟต์แวร์ตรวจสอบลายเซ็นดิจิตอล สำหรับไบนารีบนแมค ที่มีโครงการจำนวนมากใช้ตรวจสอบไบนารีว่าผลิตโดยผู้ผลิตรายใด เนื่องจากผู้ผลิตเหล่านี้ใช้ API ของแมคผิด ทำให้แฮกเกอร์สามารถสร้างไบนารีปลอมที่หลอกว่าเป็นไบนารีจากผู้ผลิตใดก็ได้ รวมถึงปลอมตัวเป็นไบนารีของแอปเปิลเอง

By lew Founder on Tag: Ethereum, Security
Ethereum

บัญชี Ethereum 0x957cD4Ff9b3894FC78b5134A8DC72b032fFbC464 ไม่ใช่บัญชีธรรมดา เพราะตั้งแต่สองปีที่ผ่านมา มีรายงานว่าหากใครคอนฟิกโหนด Ethereum ผิด โดยเปิดพอร์ต RPC สู่อินเทอร์เน็ต สักพักหนึ่งเงินก็จะถูกโอนออกไป

โดยเริ่มมีรายงานตั้งแต่ช่วงปลายตุลาคม 2016 และจนตอนนี้บัญชีนี้ก็ยังสะสม ETH อย่างต่อเนื่อง มูลค่าล่าสุดครบ 20 ล้านดอลลาร์ไปแล้ว

By tekkasit Contributor on Tag: Android Oreo, Security, Google Pixel, Google Nexus, Android
Android Oreo

กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนมิถุนายน 2018 แพตช์รอบนี้เป็นแบบตามปกติมี 2 ชุด ได้แก่ชุด 1 มิ.ย. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 มิ.ย. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 มิ.ย. มาด้วย)

สำหรับแพตช์ 1 มิ.ย. แก้ช่องโหว่ด้านความปลอดภัย 20 จุด (CVE) เป็นระดับร้ายแรง (critical) 6 จุด ซึ่งเป็นเรื่องของ Mediaserver เจ้าเก่า 3 จุด ส่วนแพตช์ 5 มิ.ย. แก้เพิ่มอีก 38 จุด ส่วนมากแก้ปัญหาช่องโหว่บนไดรเวอร์ของผู้ผลิตฮาร์ดแวร์อย่าง LG, MediaTek, NVIDIA และ Qualcomm โดยในจำนวนนี้มีระดับร้ายแรง 6 จุด

By mk Founder on Tag: Security
Security

บริษัทความปลอดภัย Snyk Security ประกาศข้อมูลช่องโหว่ชื่อ Zip Slip เปิดโอกาสให้ไฟล์บีบอัดข้อมูลประเภท zip, tar, jar, war, cpio, apk, rar, 7z อาจกลายเป็นเครื่องมือแพร่สคริปต์ประสงค์ร้ายได้

แกนหลักของช่องโหว่ Zip Slip คือการระบุชื่อไฟล์เป็นพาธของไดเรคทอรีย้อนกลับ (เช่น ../../../../evil.sh) เพื่อให้แตกไฟล์แล้วนำสคริปต์ประสงค์ร้ายไปวางในไดเรคทอรีชั้นนอกสุด (เช่น /) และหาโอกาสรันสคริปต์นี้ในภายหลัง

ปกติแล้ว โปรแกรมบีบอัดข้อมูลยอดนิยมทั่วไปมักกรองพาธแบบนี้ให้อยู่แล้ว แต่ไลบรารีบีบอัดข้อมูลบางตัวอาจไม่ได้ป้องกันไว้ จึงกลายเป็นช่องโหว่ได้

By lew Founder on Tag: Apple, Security
Apple

แอปเปิลประกาศปรับนโยบายการเชื่อมต่อจากแอปไปยังเซิร์ฟเวอร์แบบเข้ารหัส ให้ใบรับรองเข้ารหัสต้องถูกล็อกลงเซิร์ฟเวอร์ Certificate Transparency (CT) ภายในวันที่ 15 ตุลาคมนี้ ไม่เช่นนั้นแอปจะเชื่อมต่อกลับไปยังเซิร์ฟเวอร์ไม่ได้ หรือหากเป็นเว็บก็จะเชื่อมต่อกลับไม่ได้เช่นกัน

ใบรับรองต้องล็อกลงเซิร์ฟเวอร์ CT อย่างน้อยสองชุด (เพิ่มขึ้นหากอายุใบรับรองยาวขึ้น) นโยบายนี้มีผลครอบคลุมทุกแพลตฟอร์มของแอปเปิล

ก่อนหน้านี้แอปเปิลบังคับเพียงใบรับรองแบบ EV เท่านั้นที่ต้องล็อกลง CT

ที่มา - Apple Support

By lew Founder on Tag: Android, Cryptography, Security, Privacy
Android

ผู้พัฒนาแอปจำนวนมากมักใช้บริการ push ข้อความจากบริการคลาวด์ต่างๆ เช่น Firebase Cloud Messaging (FCM) ปัญหาอย่างหนึ่งคือหากข้อความเป็นความลับมากๆ นักพัฒนาจะต้องเชื่อใจบริการ push เหล่านั้นไปด้วย ตอนนี้กูเกิลก็ออกไลบรารีเข้ารหัสจากปลายทางถึงปลายทาง ทำให้สามารถใช้ FCM ได้โดยไม่ต้องเปิดเผยข้อความให้เซิร์ฟเวอร์ของกูเกิลอีก โดยใช้ชื่อโครงการ Capillary

By lew Founder on Tag: CSS, Security, Privacy
CSS

Ruslan Habalov วิศวกรความปลอดภัยของกูเกิลรายงานถึงการโจมตีเบราว์เซอร์ ด้วยการอ่านค่าใน iframe ที่เป็นเนื้อหาของเว็บอื่น เช่น เฟซบุ๊กที่ปกติแล้ว แม้เราจะเห็นชื่อผู้ใช้ในเฟซบุ๊กของเราเองผู้ตามเว็บต่างๆ ที่ฝังกล่องเฟซบุ๊กเอาไว้ (ด้านขวาของ Blognone) แต่ตัวเว็บหลักจะไม่สามารถอ่านค่าในกล่องเฟซบุ๊กได้

การโจมตีนี้อาศัยข้อมูลรอบข้าง (side-channel) โดยอาศัยการสังเกตเวลาเรนเดอร์ iframe เหล่านี้ เมื่อ iframe เหล่านี้ถูกดัดแปลงสีด้วยฟีเจอร์ Blend Mode ของ CSS3

By mk Founder on Tag: Git, Security
Git

Git ออกเวอร์ชันใหม่ 2.17.1 แก้ช่องโหว่ด้านความปลอดภัยที่สำคัญ 2 ตัว (CVE-2018-11233 และ 11235) ผู้ใช้ทุกคนควรอัพเดตกันด่วน

ปกติแล้ว Git จะโคลน repository จากเซิร์ฟเวอร์ โดยไม่ดึงไฟล์คอนฟิกบางอย่าง (เช่น .git/config) มายังเครื่องโลคัลด้วยเหตุผลด้านความปลอดภัย เพราะไม่มีอะไรยืนยันได้ว่าไฟล์คอนฟิกบนเซิร์ฟเวอร์จะฝังคำสั่งประสงค์ร้าย ที่สามารถรันบนเครื่องโลคัลได้อัตโนมัติ

NTT

NTT ร่วมมือกับ Earth Eyes บริษัทด้านเทคโนโลยีปัญญาประดิษฐ์ของญี่ปุ่น เปิดตัว AI Guardman กล้องวงจรปิดที่มาพร้อมปัญญาประดิษฐ์ประมวลผลกับฐานข้อมูลบนคลาวด์สำหรับใช้งานในร้านค้าต่างๆ เพื่อช่วยตรวจตราระวังคนขโมยสินค้าภายในร้าน

AI Guardman เป็นกล้องวงจรปิดที่มีปัญญาประดิษฐ์วิเคราะห์ภาพภายในร้านค้า ตัวกล้องสามารถกวาดเก็บภาพได้เป็นมุม 144 องศา และวิเคราะห์ภาพคนรวมทั้งวัตถุต่างๆ ในระยะ 13 เมตรที่มันมองเห็นรอบตัวมัน ระบบปัญญาประดิษฐ์สามารถวิเคราะห์ท่าทางการเคลื่อนไหวร่างกายของคนได้ ทำให้มันสามารถจำแนกได้ว่าบุคคลใดในร้านค้าที่มีพฤติกรรมน่าสงสัยว่าจะขโมยสินค้า ซึ่งมักจะมีท่าทางที่สอดส่ายสายตามองหาว่ามีคนจับตาดูตนเองหรือไม่ หรือมักจะวนเวียนและใช้เวลาอยู่ในบริเวณจุดอับสายตาของพนักงานประจำร้านอยู่เป็นเวลานาน

By lew Founder on Tag: Z-Wave, Internet of Things, Security
Z-Wave

ทีมวิจัยจาก Pen Test Partners รายงานถึงการโจมตีโปรโตคอล Z-Wave ที่มักใช้งานในอุปกรณ์ IoT หลากหลายยี่ห้อ ช่องโหว่ทำให้แฮกเกอร์สามารถเข้าควบคุมอุปกรณ์ IoT ในบ้าน ไม่ว่าจะเป็น หลอดไฟ, ล็อกประตู, หรือแม้แต่สัญญาณกันขโมย

By lew Founder on Tag: Password, Security
Password

Troy Hunt นักวิจัยความปลอดภัยไซเบอร์ผู้ก่อตั้งโครงการ Pwned Passwords นำรหัสผ่านหลุดจากเว็บ CashCrate ที่หลุดมาตั้งแต่ปี 2016 มาสำรวจพบว่า 86% ของรหัสผ่านที่หลุดออกมาซ้ำกับรหัสที่หลุดออกมาก่อนหน้านี้แล้ว

รหัสผ่านที่ซ้ำกับที่หลุดมาก่อนหน้าส่วนมากเป็นรหัสผ่านคุณภาพแย่ เช่น "123456", "qwerty", หรือ "password" แต่ที่น่าสนใจคือมีรหัสผ่านคุณภาพดีที่ยาวกว่าขั้นต่ำที่แนะนำ มีความซับซ้อนมากพอ แต่กลับมีการใช้งานในบริการที่รหัสผ่านหลุดมาก่อนแล้ว เช่น "D*lishmars3an0eei3", "20921147_bronzegoddess", "anchorage alaska", หรือ "i like to have sex"

By lew Founder on Tag: FBI, Malware, Security, Cisco
FBI

หลังจาก Cisco Talos เผยแพร่รายงานมัลแวร์ VPNFilter เมื่อวานนี้ วันนี้ทาง FBI ก็ยื่นขอหมายยึดโดเมน toknowall.com ซึ่งเป็นหนึ่งในสามช่องทางสำหรับกระจายมัลแวร์ขั้นที่สอง

VPNFilter มีช่องทางแพร่มัลแวร์ขั้นที่สองด้วยการให้มัลแวร์ขั้นแรกดาวน์โหลดภาพจาก Photobucket หรือเว็บ ToKnowAll.com เมื่อดาวน์โหลดภาพที่ระบุได้แล้ว จะนำค่าไอพีจากใน EXIF มาดาวน์โหลดมัลแวร์ขั้นที่สองอีกครั้ง

By arjin Writer on Tag: Facebook, Authentication, Security
Facebook

Facebook ประกาศปรับปรุงขั้นตอนการยืนยันตัวตนสองปัจจัย (Two-Factor Authentication) จากเดิมที่ต้องผูกบัญชีกับเบอร์โทรศัพท์มือถือ เพื่อใช้รับ sms ยืนยันตัวตนขั้นตอนสุดท้าย มาเป็นสามารถเลือกไม่ใส่เบอร์โทรศัพท์มือถือก็ได้ มีรายละเอียดดังนี้

By lew Founder on Tag: Cisco, Security, Malware
Cisco

Cisco Talos เปิดเผยรายงานวิจัยที่อยู่ระหว่างการศึกษาถึงมัลแวร์ที่ชื่อว่า VPNFilter แพร่ระบาดในอุปกรณ์เน็ตเวิร์คสำหรับสำนักงานขนาดเล็ก เช่น แบรนด์ Linksys, Mikrotik, NETGEAR, TP-Link ไปจนถึงสตอเรจอย่าง QNAP การแพร่กระจายเป็นวงกว้างกระทบอุปกรณ์แล้วกว่า 500,000 ตัวใน 54 ประเทศ โดยยังไม่แน่ชัดว่าตัวมัลแวร์ใช้ช่องโหว่อะไรเจาะเข้าเครื่องเหยื่อ แต่เครื่องที่ตกเป็นเหยื่อมักใช้ซอฟต์แวร์เก่าที่มีช่องโหว่ที่รับรู้โดยทั่วกันอยู่แล้ว

By nutmos Writer on Tag: Comcast, Bug, Security
Comcast

ZDNet รายงานว่า เว็บไซต์ของ Comcast ที่ไว้เปิดใช้งานเราท์เตอร์ Xfinity มีบั๊กที่สามารถเปิดเผยข้อมูลผู้ใช้และรหัสผ่าน Wi-Fi ของเราท์เตอร์ลงทะเบียนไว้ ซึ่ง Comcast ก็รับทราบและแก้ปัญหานี้เรียบร้อยแล้ว

By nutmos Writer on Tag: Yubico, Authentication, Security
Yubico

YubiKey อุปกรณ์ยืนยันตัวตนจาก Yubico ได้เพิ่มฟีเจอร์ใหม่คือการยืนยันตัวตนผ่านระบบ NFC ของ iPhone

ปกติแล้วตัว YubiKey นั้นจะออกแบบไว้ให้ใช้งานกับอุปกรณ์​ USB ซึ่งจะยากต่อการใช้งานบนอุปกรณ์พกพาที่ไม่มีพอร์ตเสียบ แต่ช่วงหลังก็เริ่มออก YubiKey NEO ที่รองรับ NFC แล้วก็ทำให้ผู้ใช้เพียงแตะอุปกรณ์เข้ากับสมาร์ทโฟน Android ก็ใช้เพื่อยืนยันตัวตนได้เลยทันที ซึ่งการเพิ่ม iPhone เข้ามาก็จะช่วยอำนวยความสะดวกในการใช้งานฮาร์ดแวร์ในการยืนยันตัวตนให้ใช้งานได้หลากหลายขึ้น

By nismod Writer on Tag: Qualcomm, Security
Qualcomm

Qualcomm ประกาศรองรับมาตรฐาน WPA3 ที่เพิ่งเปิดตัวเมื่อต้นปี บนผลิตภัณฑ์ของตัวเอง โดยเริ่มใช้มาตรฐานใหม่นี้แล้วกับชิปโมเด็ม WCN3998 และชิปเซ็ต AP ตระกูล IPQ807x ที่มาพร้อมกับมาตรฐาน 802.11ax

Qualcomm ระบุว่าผลิตภัณฑ์อื่นๆ ที่ใช้ WPA3 จะเริ่มออกสู่ผู้บริโภคในช่วงฤดูร้อนปีนี้ ซึ่งรวมถึง Snapdragon 845 ที่เปิดตัวไปแล้วด้วย

ที่มา - Qualcomm

By lew Founder on Tag: Spectre, Security, Intel, AMD, CPU, Project Zero
Spectre

Project Zero พบช่องโหว่ที่ดัดแปลงจากแนวทาง Spectre อีกรูปแบบหนึ่ง กลายเป็นรูปแบบที่สี่ ตอนนี้ทั้งอินเทลและเอเอ็มดีแก้ปัญหาด้วยการอัพเดต microcode เพื่อเพิ่มคำสั่ง (instruction) ใหม่ให้กับซีพียู และการอัพเดตแพตช์ของระบบปฎิบัติการต้องคอมไพล์ใหม่เพื่อใช้คำสั่งนี้

ช่องโหว่นี้เกิดขึ้นเนื่องจากพฤติกรรมของคำสั่ง LOAD ที่พยายามคาดเดาว่าค่าในหน่วยความจำถูกแก้ไขด้วยคำสั่ง STORE ไปหรือไม่ หากคาดว่าไม่ถูกแก้ไขก็จะโหลดจากแคช L1 ทำให้ได้ความเร็วสูง ทาง Project Zero สามารถเขียนตัวอย่างอ่านค่าที่ไม่ได้รับอนุญาตได้สำเร็จ

By nutmos Writer on Tag: Tidal, Security, Data Breach
Tidal

บริการสตรีมมิ่งเพลง Tidal เริ่มกระบวนการสอบสวนภายใน เนื่องจากสงสัยการหลุดของข้อมูลสถิติการเล่นเพลงต่าง ๆ

ก่อนหน้านี้ หนังสือพิมพ์นอร์เวย์ Dagens Næringsliv (DN) ได้นำฮาร์ดไดรฟ์ข้อมูลภายในของ Tidal ไปให้ Norwegian University of Science and Technology วิเคราะห์ข้อมูล และพบว่า Tidal ได้ปรับตัวเลขจำนวนครั้งในการเล่นเพลงของ Lemonard และ The Life of Pablo ให้ดูสูงขึ้นมาก (จากรายงานเขียนว่านับร้อยล้านครั้ง) และ Tidal ต้องจ่ายนักร้องทั้งสองคือ Beyoncé และ Kanye West สูงขึ้น

Subscribe to Security