Image
By lew Founder on Tag: Chrome, HTTPS, Security
Chrome

Chrome มีแนวทางการประกาศว่าเว็บ HTTP ปกติที่ไม่ได้เข้ารหัสเป็นเว็บที่ไม่ปลอดภัยมาตลอด ตอนนี้ส่วนกลับอีกด้านคือเว็บที่เข้ารหัสเป็น HTTPS จะเริ่มถูกปรับให้กลายเป็นเว็บธรรมดา ไม่มีคำรับรองว่าปลอดภัยอีกต่อไป

ตั้งแต่ Chrome 69 ที่กำลังจะออกเดือนกันยายนนี้ เว็บที่เป็น HTTPS จะไม่แสดงแถบสีเขียวและคำว่า "Secure" อีกต่อไป แต่จะเหลือเพียงกุญแจสีดำปกติเท่านั้น และหลังจากนี้จะไม่มีกุญแจอีกเลย เว็บเข้ารหัสจะกลายเป็นเพียงเว็บทั่วๆ ไป

By lew Founder on Tag: Security, Hardware
Security

Applied and Integrated Security (AISEC) สถาบันวิจัยในเครือ Fraunhofer เสนอแนวทางการเก็บกุญแจลับในอุปกรณ์ ที่ผู้ครอบครองอุปกรณ์เองก็อ่านค่ากุญแจไม่ได้ ซึ่งมักใช้งานสำหรับเก็บกุญแจเข้ารหัสสำหรับงานที่มีมูลค่าสูงๆ เช่น เก็บกุญแจลับของหน่วยงานออกใบรับรอง

By lew Founder on Tag: Mexico, Banking, Hacking, Security
Mexico

ธนาคารหลายแห่งในเม็กซิโกถูกแฮกเกอร์ที่ยังจับตัวไม่ได้สั่งโอนเงินข้ามธนาคารไปยังบัญชีหลอก และถอนเงินออกไปอย่างรวดเร็วในช่วงสัปดาห์ที่ผ่านมา โดยธนาคารกลางเม็กซิโกออกมาระบุว่าเป็นเหตุการณ์ร้ายแรงอย่างที่ไม่เคยเกิดมาก่อน และยังไม่แน่ใจว่าหยุดยั้งแฮกเกอร์ได้หรือยัง

ระบบโอนเงินระหว่างธนาคารของเม็กซิโกมีชื่อว่า SPEI ทางธนาคารกลางเม็กซิโกยืนยันว่าระบบ SPEI ไม่ได้ถูกแฮกแต่อย่างใด แต่ปัญหาอยู่ที่ระบบรอบๆ ที่ธนาคารต่างๆ ใช้งาน

By lew Founder on Tag: Security, PGP
Security

เมื่อวานนี้มีรายงานถึงช่องโหว่ EFAIL ตอนนี้รายละเอียดก็ออกมาแล้ว โดยปัญหาสำคัญคือโปรแกรมเมลและปลั๊กอินสำหรับถอดรหัส PGP นั้นทำงานผิดพลาดที่ไม่ตรวจสอบสถานะการถอดรหัส ประกอบการโปรแกรมเมลเมื่อรับอีเมลเป็น HTML มักจะเรนเดอร์ HTML ทันที

การโจมตี EFAIL อาศัยช่องว่างนี้นำข้อความเข้ารหัสที่อ่านไม่ได้ ไปวางไว้ในอีเมลอีกฉบับ โดยทำเป็น URL ของภาพ ทำให้โปรแกรมอีเมลพยายามเรนเดอร์อีเมลและส่ง request ไปยังเซิร์ฟเวอร์ของแฮกเกอร์

คำแนะนำระหว่างนี้คือผู้ที่ใช้อีเมลเข้ารหัสควรปิดการเรนเดอร์ HTML ในโปรแกรมอีเมล และรอแพตช์จากผู้ผลิตต่อไป

By nutmos Writer on Tag: PGP, Encryption, Email, Security
PGP

Sebastian Schinzel นักวิจัยความปลอดภัยจาก Münster University of Applied Sciences พบช่องโหว่ความปลอดภัยของระบบ PGP และ S/MIME ที่ใช้เพื่อการส่งอีเมลเข้ารหัสซึ่งเป็นมาตรฐานที่ใช้กันอย่างแพร่หลาย

นักวิจัยที่ค้นพบช่องโหว่เผยว่า ช่องโหว่ที่ค้นพบล่าสุดนี้มีโอกาสที่จะแสดง plaintext ของข้อความเข้ารหัสที่เข้ารหัสแล้วออกมาได้ ซึ่งรวมถึงข้อความเข้ารหัสที่มีการส่งในอดีตด้วย และตอนนี้ยังไม่มีวิธีแก้ปัญหาดังกล่าว

By nismod Writer on Tag: Android, Google, Security
Android

ปัญหาการอัพเดตแพตช์รายเดือนบนแอนดรอยด์เป็น pain point ใหญ่อย่างหนึ่งที่ Google พยายามแก้ไขมาตลอด ซึ่งถึงแม้จะมี Project Treble บน Android Oreo จะออกมาช่วยแก้ปัญหาในเชิงเทคนิค แต่ก็ไม่ได้หมายความว่าผู้ผลิตแอนดรอยด์จะยอมทำตามกันทั้งหมด

ล่าสุด Google จริงจังที่จะแก้ปัญหานี้ไปอีกขึ้น จากการเตรียมจะแก้ไขรายละเอียดในข้อตกลง กับผู้ผลิตแอนดรอยด์ OEM (OEM Agreement) ให้ปล่อยแพตช์รายเดือนอย่างสม่ำเสมอมากขึ้น ทว่ายังไม่มีรายละเอียดออกมาว่าจะบังคับอะไรยังไง อุปกรณ์รุ่นไหนบ้าง

ที่มา - XDA

By nismod Writer on Tag: IBM, Security
IBM

IBM ประกาศให้พนักงานของบริษัททั่วโลก ห้ามถ่ายโอนข้อมูลขององค์กรไปยังอุปกรณ์ Removable ต่างๆ อาทิ USB, SD Card หรือแฟลชไดร์ฟ และหันไปใช้ Sync and Share ของ IBM ในการถ่ายโอนข้อมูลแทน

Shamla Naidoo ผู้บริหารฝ่ายความปลอดภัยสารสนเทศของ IBM (Chief Information Security Officer - CISO) ระบุว่าเพื่อลดความเสียหายด้านการเงินและชื่อเสียง ที่อาจเกิดจากการที่พนักงานทำอุปกรณ์ removable ที่มีข้อมูลของบริษัทเหล่านั้นสูญหาย

By mk Founder on Tag: 7-Zip, Security
7-Zip

นักวิจัยความปลอดภัยที่ใช้ชื่อว่า LANDAVE ประกาศค้นพบช่องโหว่ในโปรแกรม 7-Zip เครื่องมือบีบอัดไฟล์ยอดนิยม

ปัญหาเกิดจากส่วนการบีบอัดไฟล์ RAR ซึ่ง 7-Zip เรียกใช้โค้ดจากโครงการโอเพนซอร์ส UnRAR อีกต่อหนึ่ง โค้ดส่วนนี้เขียนป้องกันเรื่องความปลอดภัยมาไม่ดีพอ เปิดโอกาสให้มัลแวร์สามารถแอบแฝงตัวมาอยู่ในไฟล์ RAR แล้วทำงานตอนที่ถูกคลายการบีบอัดได้

By lew Founder on Tag: WannaCrypt, NSA, Security
WannaCrypt

เมื่อวันที่ 13 พฤษภาคมปีที่แล้ว รายงานการระบาดของมัลแวร์ WannaCrypt หรือ WannaCry ปรากฎต่อสาธารณะเป็นครั้งแรก และภายในเวลาเพียงไม่กี่ชั่วโมง หน่วยงานจำนวนมากก็ตกเป็นเหยื่อของมัลแวร์ต้วนี้อย่างต่อเนื่อง สร้างความเสียหายมหาศาล มูลค่าความเสียหายรวมน่าจะเกิน 8,000 ล้านดอลลาร์สหรัฐฯ

By lew Founder on Tag: Thailand, Security
Thailand

พลเอกประยุทธ์ จันทร์โอชา ร่วมประชุมคณะกรรมการเตรียมการไซเบอร์แห่งชาติ โดยมีประเด็นสำคัญคือการกำหนดโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และแผนการพัฒนาบุคลากรด้านความปลอดภัยไซเบอร์

การกำหนดโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (critical information infrastructure - CII) กำหนด 6 กลุ่ม ได้แก่ กลุ่มความมั่นคงและภาครัฐ, กลุ่มการเงิน, กลุ่มเทคโนโลยีสารสนเทศและโทรคมนาคม, กลุ่มการขนส่งและโลจิสติกส์, กลุ่มพลังงานและสาธารณูปโภค, และกลุ่มสาธารณสุข

By nutmos Writer on Tag: Signal, Security, Privacy
Signal

Alec Muffett นักวิจัยด้านความปลอดภัยรายงานช่องโหว่สำคัญของ Signal บน Mac คือแม้จะเป็นข้อความที่ถูกลบไปแล้วจากตัวแอพ (Signal มีฟีเจอร์ตั้งเวลาลบข้อความด้วย) แต่ข้อความจะยังคงอยู่ใน Notification Center รวมถึงบันทึกไว้ในฐานข้อมูลของตัวเครื่องด้วย ซึ่งอาจสร้างความกังวลให้ผู้ใช้แอพได้บ้าง

By lew Founder on Tag: Ransomware, Security
Ransomware

Kaspersky รายงานแจ้งเตือนถึงมัลแวร์เข้ารหัสข้อมูลเรียกค่าไถ่ SynAck ที่เริ่มระบาดในบางภูมิภาค โดยความพิเศษของมันคือการซ่อนตัวจากการตรวจจับผ่านเทคนิคการทำ NTFS transaction หรือที่เรียกว่า Process Doppelgänging

By lew Founder on Tag: Thailand, Security
Thailand

สำนักข่าวกรองแห่งชาติประกาศรับสมัครนักการข่าวปฏิบัติการ ด้านความมั่นคงปลอดภัยไซเบอร์ หรือตำแหน่งเดิมที่เคยประกาศรับสมัครตั้งแต่ปี 2015 10 ตำแหน่ง โดยปีนี้รับสมัครเพิ่มเติมถึง 40 ตำแหน่ง

อัตราเงินเดือนรับสมัครยังคงอยู่ที่ 15,000-16,500 บาทเท่ากับเมื่อปี 2015 โดยระบุว่า "อาจ" ได้รับเงินเพิ่มสำหรับตำแหน่งพิเศษของผู้ปฎิบัติงานด้านการข่าวอีก 5,500 บาท

Android Oreo

พบกันเป็นประจำทุกเดือนครับ ครั้งนี้ออกก่อนงาน Google I/O หนึ่งวันพอดี รอบนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนพฤษภาคม 2018 แพตช์รอบนี้เป็นแบบตามปกติมี 2 ชุด ได้แก่ชุด 1 พ.ค. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 พ.ค. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 พ.ค. มาด้วย)

สำหรับแพตช์ 1 พ.ค. แก้ช่องโหว่ด้านความปลอดภัย 7 จุด (CVE) ส่วนแพตช์ 5 พ.ค. แก้เพิ่มอีก 16 จุด ส่วนมากแก้ปัญหาช่องโหว่บนไดรเวอร์ของผู้ผลิตฮาร์ดแวร์อย่าง Qualcomm, NVIDIA โดยในจำนวนนี้มีระดับร้ายแรง 2 จุด

By nismod Writer on Tag: AWS, Security, Thailand
AWS

เดือนที่แล้วมีประเด็นอื้อฉาวในวงการโทรคมนาคมและความปลอดภัยไซเบอร์ในบ้านเรา กรณีที่โอเปอเรเตอร์ทำข้อมูลบัตรประชาชนลูกค้าหลุด จากการเปิด bucket บน S3 เป็นพับลิกแล้วอ้างว่าถูกแฮก

วันนี้ Blognone ได้มีโอกาสพูดคุยกับ Santanu Dutt ตำแหน่ง Senior Manager ฝั่ง Solution Architecture ของ AWS ในอาเซียน ซึ่งคุณ Santanu ยืนยันว่ากรณีดังกล่าว AWS ไม่ได้ถูกแฮกและระบบก็มีโซลูชันความปลอดภัยที่แน่นหนา หลายชั้น รวมถึงมีการแจ้งเตือนความผิดพลาดหรือความเสี่ยงต่างๆ อยู่ตลอดเวลา

By wklk Contributor on Tag: Japan, Security
Japan

แฮกเกอร์จำนวนหนึ่งสามารถเข้าถึงระบบกล้องวงจรปิดกว่า 60 ตัวที่ผลิตโดย Canon Inc. ซึ่งถูกติดตั้งตามสถานที่ต่าง ๆ ทั่วญี่ปุ่น โดยกล้องทั้งหมดมีการเชื่อมต่อกับอินเทอร์เน็ตเพื่อการดูภาพจากระยะไกล

รายงานข่าวระบุว่าภาพจากกล้องบางส่วนจะปรากฏข้อความที่แฮกเกอร์ทิ้งไว้ว่า "I’m Hacked. bye2." อยู่ด้วย

By nismod Writer on Tag: Security
Security

Ezequiel Fernandez นักวิจัยความปลอดภัยชาวอาร์เจนตินาได้รายงานการค้นพบช่องโหว่ CVE-2018-9995 ในระบบของ Digital Video Recorder หลายราย ทำให้เมื่อส่งคุกกี้ uid=admin ไปยัง URL /device.rsp ของ DVR ระบบจะตอบกลับมาพร้อมรหัสเข้าถึงอุปกรณ์ระดับแอดมิน

By lew Founder on Tag: Spectre, Intel, Security, Security Patch
Spectre

เว็บข่าวเยอรมัน Heise.de รายงานถึงช่องโหว่ซีพียูชุดใหม่ 8 รายการ (CVE) ที่อินเทลได้รับรายงานจากนักวิจัยแต่ยังไม่เปิดเผยต่อสาธารณะ โดยเรียกรวมชุดช่องโหว่ว่า Spectre-NG

ทาง Heise ระบุว่าอินเทลกำลังพัฒนาแพตช์ร่วมกับผู้ผลิตระบบปฎิบัติการ ขณะที่บางช่องโหว่ก็กระทบซีพียู ARM บางรุ่นด้วย ส่วนทางเอเอ็มดีนั้นกำลังทดสอบว่าได้รับผลกระทบหรือไม่

By lew Founder on Tag: Google, Container, Security
Google

คอนเทนเนอร์เช่น Docker ได้รับความนิยมอย่างสูงสำหรับการแบ่งทรัพยากรเพื่อรันแอปพลิเคชั่นแยกจากกันในช่วงหลัง แต่ในแง่ความปลอดภัย แต่ละคอนเทนเนอร์ยังคงมีโอกาสสูงที่จะข้ามไปมาได้เพราะใช้เคอร์เนลร่วมกัน ต่างจากระบบ virtual machine ที่มักออกแบบให้แต่ละเครื่องแยกขาดจากกันโดยสมบูรณ์ ตอนนี้กูเกิลเปิดซอร์ส gVisor ระบบแยกทรัพยากรสำหรับคอนเทนเนอร์เพื่อเพิ่มความปลอดภัยเข้าไปอีกชั้น

By lew Founder on Tag: Arm, Security, Internet of Things
Arm

ARM เปิดตัว Cortex-M35P พิมพ์เขียวซีพียูรุ่นใหม่สำหรับการใช้งานที่ต้องการความปลอดภัยสูง โดยอาศัยเทคโนโลยีจากสินค้าตระกูล SecurCore ที่มักใช้ในงานสมาร์ตการ์ด

Cortex-M35P มีฟีเจอร์สำคัญคือ uniform-timing ทำให้ซีพียูรันคำสั่งด้วยระยะเวลาคงที่เสมอ ทำให้แฮกเกอร์สังเกตการทำงานจากภายนอกอุปกรณ์ได้ยาก การโจมตี side-channel เช่นนี้มักใช้กันมากในอุปกรณ์ขนาดเล็กเช่นสมาร์ตการ์ด ที่แฮกเกอร์สามารถสังเกตการใช้พลังงานอย่างละเอียด เพื่อหาค่ากุญแจลับที่เก็บอยู่ในตัวชิปได้

Subscribe to Security