Security

GreyKey อุปกรณ์ปลดล็อค iPhone ที่คาดว่าหน่วยงานภาครัฐของสหรัฐจะนำไปใช้งาน

By nismod

on 20 March 2018 - 12:25 Tag: Apple, iPhone, Security

Apple

หลายปีที่ผ่านมาเราเห็นข่าวการตบตีระหว่างแอปเปิลและหน่วยงานด้านความมั่นคงของสหรัฐอย่าง FBI หรือ NSA อยู่เนืองๆ ในการปลดล็อค iPhone ของคนร้ายหรือผู้ต้องสงสัย ซึ่งแอปเปิลก็ปฏิเสธมาตลอดๆ จนหลังๆ มีข่าวว่าหน่วยงานภาครัฐหันไปพึ่งบริษัทอื่นๆ หรือช่องทางอื่นในการปลดล็อค iPhone แทน

ล่าสุดมีภาพของอุปกรณ์ที่ชื่อว่า GreyKey หลุดออกมา เป็นลักษณะกล่องทรง Set-Top Box พร้อมสาย Lighting 2 สาย ถูกผลิตขึ้นโดยบริษัท GreyShift เอาไว้สำหรับปลดล็อค iPhone โดยเมื่อ iPhone ถูกเสียบเข้ากับ GreyKey จะถูกติดตั้งด้วยซอฟต์แวร์ที่พยายามสุ่มและแคร็กรหัสปลดล็อคเครื่อง โดยอาจใช้เวลาหลักชั่วโมงไปจนถึงหลายวัน

กูเกิลออกรายงานความปลอดภัยแอนดรอยด์ประจำปี: แอนดรอยด์ได้รับแพตช์ความปลอดภัยเพิ่มขึ้น

By nismod

on 17 March 2018 - 17:37 Tag: Android, Security, Google

Android

กูเกิลออกรายงาน Android Security 2017 Year in Review พูดถึงประเด็นด้านความปลอดภัยบนแอนดรอยด์ในปีที่ผ่านมา โดยความสำคัญของกูเกิลยังอยู่ที่การป้องกันแอปอันตรายหรือ Potentially Harmful Apps (PHA)

ปีที่ผ่านมากูเกิลจะระบุว่า Google Play Protect มีบทบาทสำคัญในการป้องกันมัลแวร์บนแอนดรอยด์ ซึ่งไม่ได้ป้องกันเฉพาะแอปบน Play Store เท่านันแต่ยังรวมถึงแอปบนอีโคซิสเต็มอื่นๆ ด้วย ทำให้อัตราการติดตั้ง PHA จากสโตร์นอก Play Store ลดลง 60% โดย Machine Learning เป็นวิธีค้นหาและป้องกัน PHA ที่มีประสิทธิภาพที่สุดด้วยอัตราส่วน 60.3% เมื่อเทียบกับวิธีอื่นๆ

Let's Encrypt ปล่อยใบรับรองแบบ Wildcard แล้ว ต้องใช้ ACMEv2 เท่านั้น

By lew

on 14 March 2018 - 01:37 Tag: Let's Encrypt, HTTPS, Security

Let's Encrypt

Let's Encrypt ประกาศออกใบรับรองแบบ Wildcard มาตั้งแต่กลางปีที่แล้ว และถูกเลื่อนมาหลายครั้ง วันนี้ก็ประกาศออกใบรับรองเป็นทางการแล้ว

การขอใบรับรอง Wildcard ต้องใช้โปรโตคอล ACMEv2 ผ่านทาง https://acme-v02.api.letsencrypt.org/directory และยืนยันความเป็นเจ้าของโดเมนด้วยกระบวนการ DNS-01 เท่านั้น โดยผู้ขอใบรับรองสามารถขอโดยระบุ newOrder เป็นแบบ Wildcard ได้ เช่น *.blognone.com

สำหรับผู้ใช้ certbot ต้องใช้เวอร์ชั่น 0.22.0 ขึ้นไป

Cortana รับคำสั่งเปิดเว็บ เลือกเครือข่ายที่จะเชื่อมต่อได้ แม้เครื่องล็อกอยู่

By lew

on 8 March 2018 - 01:14 Tag: Cortana, Security

Cortana

Tal Be'ery และ Amichai Shulma นักวิจัยจากอิสราเอล รายงานความเป็นไปได้ที่จะโจมตีคอมพิวเตอร์ Windows 10 ที่เปิดใช้งาน Cortana จากการที่มันรับคำสั่งหลายอย่างทั้งที่เครื่องถูกล็อกหน้าจออยู่

คำสั่งสำคัญที่ Cortana ยอมทำตาม เช่น สั่งเปิดเบราว์เซอร์เข้าเว็บที่กำหนด หรือสั่งเลือกเครือข่ายเพื่อเชื่อมต่อ

การรับคำสั่งเช่นนี้ทำให้แฮกเกอร์สามารถสั่งเปลี่ยนเครือข่ายไปยังเครือข่ายที่แฮกเกอร์ดังคั่นกลางไว้ แล้วสั่งเปิดเว็บที่ได้เข้ารหัส ทำให้แฮกเกอร์สามารถส่งโค้ดเข้าไปรันในเบราว์เซอร์ หรือสั่งดาวน์โหลดมัลแวร์ไปรอไว้ในเครื่องได้

ช่องโหว่ในเมลเซิร์ฟเวอร์ Exim เปิดทางแฮกเกอร์รันโค้ดบนเซิร์ฟเวอร์ ควรอัพเดตเป็นเวอร์ชั่น 4.90.1 ทันที

By lew

on 8 March 2018 - 00:51 Tag: Security Patch, Security, Open Source

Security Patch

Meh Chang นักวิจัยจากบริษัท DEVCORE ในไต้หวันรายงานช่องโหว่ใน mail transfer agent (MTA) ที่ชื่อว่า Exim ที่ได้รับความนิยมเป็นอย่างสูงในลินุกซ์ สามารถควบคุมหน่วยความจำบางส่วนของ Exim และอาจเปิดทางให้แฮกเกอร์รันโค้ดบนเซิร์ฟเวอร์ได้

การโจมตีอาศัยช่องโหว่ buffer overflow ในฟังก์ชั่น base64d โดยอาศัยการส่งคำสั่ง ELHO และ AUTH พร้อมกับข้อมูลที่ออกแบบมาเฉพาะ อย่างไรก็ดีทีมงานพัฒนาระบุว่าการโจมตีจริงน่าจะทำได้ยาก

ทีมวิจัยวิเคราะห์ Smart Contract บน Ethereum พบช่องโหว่กว่า 30,000 สัญญา

By lew

on 7 March 2018 - 01:20 Tag: Ethereum, Security

Ethereum

ทีมวิจัยจากมหาวิทยาลัยแห่งชาติสิงคโปร์ (NUS) วิเคราะห์ smart contract บน Ethereum เพื่อหาช่องโหว่ต่างๆ จากทั้งหมดกว่าล้านสัญญา และพบว่ากว่าสามหมื่นสัญญาน่าจะมีช่องโหว่

ช่องโหว่ของ smart contract แบ่งออกเป็น 3 ประเภทหลักๆ ได้แก่

เหมาะกับทุกวัย, Kali Linux ลง Windows App Store แล้ว

By lew

on 7 March 2018 - 00:53 Tag: Kali, Windows, Linux, Security, WSL

Kali

หลังไมโครซอฟท์ออก Windows Subsystem for Linux (WSL) ก็ทำให้ลินุกซ์ดิสโทรต่างๆ สามารถกลายเป็นแอปหนึ่งบน Windows App Store ล่าสุดดิสโทรสำหรับแฮกเกอร์และผู้ทดสอบความปลอดภัยอย่าง Kali Linux ก็ลง Windows App Store เป็นทางการแล้ว

กูเกิลปล่อยแพตช์ความปลอดภัย Pixel/Nexus รอบมีนาคม 2018

By tekkasit

on 6 March 2018 - 22:27 Tag: Android Oreo, Security, Google Pixel, Google Nexus, Google, Android

Android Oreo

พบกันเป็นประจำทุกเดือนครับ รอบนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนมีนาคม 2018 แพตช์รอบนี้เป็นแบบตามปกติมี 2 ชุด ได้แก่ชุด 1 มี.ค. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 มี.ค. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 มี.ค. มาด้วย)

สำหรับแพตช์ 1 มี.ค. แก้ช่องโหว่ด้านความปลอดภัย 16 จุด (CVE) เป็นระดับร้ายแรง (critical) 8 จุด ซึ่งเป็นเรื่องของ Mediaserver เจ้าเก่าถึง 4 จุด ส่วนแพตช์ 5 มี.ค. แก้เพิ่มอีก 21 จุด ส่วนมากแก้ปัญหาช่องโหว่บนไดรเวอร์ของผู้ผลิตฮาร์ดแวร์อย่าง NVIDIA, Qualcomm โดยมีระดับร้ายแรง 3 จุด

เฟซบุ๊กเปิดใช้งานระบบแก้ลิงก์ให้เป็น HTTPS กับทั้งเฟซบุ๊กและอินสตาแกรม

By nismod

on 6 March 2018 - 16:33 Tag: Facebook, Instagram, HSTS, HTTPS, Security

Facebook

เฟซบุ๊กเริ่มผลักดันการใช้งานเว็บไซต์ที่เข้ารหัส SSL/TLS กับเขาบ้างแล้ว จากการประกาศล่าสุดที่ระบุว่า เฟซบุ๊กจะเปิดใช้งานระบบแก้ลิงก์ ซึ่งจะแก้ลิงก์ที่ไม่เป็น HTTPS สำหรับเว็บที่รองรับ HSTS ให้เป็น HTTPS ทั้งบนทั้งบนเฟซบุ๊กและอินสตาแกรม

วิศวกรของเฟซบุ๊กระบุว่าบริษัทจะตรวจสอบเว็บไซต์จาก HSTS Preload List ที่เบราว์เซอร์ส่วนใหญ่ซัพพอร์ทอยู่แล้ว ขณะเดียวกันถึงแม้เว็บที่ไม่ได้อยู่ใน Preload List แต่ให้บริการเป็น HTTPS ทางเฟซบุ๊กก็จะแก้ไขให้เองด้วยเช่นกัน

ซัมซุงปลดระวาง หยุดอัพเดตแพตช์ให้ Galaxy A3, J1, J3 รุ่นปี 2016

By mk

on 5 March 2018 - 09:49 Tag: Samsung Galaxy, Samsung, Galaxy A, Galaxy J, Security, Mobile

Samsung Galaxy

ซัมซุงถอดมือถือที่ออกขายในปี 2016 บางรุ่นออกจากรายชื่อมือถือที่จะได้อัพเดตแพตช์ความปลอดภัย ได้แก่ Galaxy A3 (2016), Galaxy J1 (2016), Galaxy J3 (2016) มือถือทั้งสามรุ่นนี้วางขายช่วงปลายปี 2015 ถึงต้นปี 2016 ถือว่ามีอายุประมาณ 2 ปีพอดี

ในโอกาสเดียวกัน ซัมซุงก็เพิ่มมือถือรุ่นใหม่ๆ ในรายชื่อมือถือที่จะได้อัพเดตแพตช์คือ Galaxy A8 (2018), A8+ (2018), J2 (2018) รายชื่อทั้งหมดดูได้จากหน้า Android Security Updates ของซัมซุง

DigiCert ประกาศ revoke ใบรับรองรวดเดียว 23,000 ใบ หลังพบหลักฐานว่ากุญแจหลุด อาจมีเพิ่มอีก

By lew

on 1 March 2018 - 01:33 Tag: Digital Certificate, Security

Digital Certificate

Jeremy Rowley จาก DigiCert แจ้งเตือนในกลุ่ม mozilla.dev.security.policy ว่าบริษัทกำลังประกาศยกเลิก (revoke) ใบรับรองรวดเดียวจำนวน 23,000 ใบ หลังยืนยันได้ว่ากุญแจสำหรับใบรับรองเหล่านั้นหลุดออกไปยังผู้อื่นแล้วจริง

อีเมลของ Rwoley ระบุว่าใบรับรองเหล่านี้ขายผ่านบริษัทตัวแทน Trustico ที่แจ้งขอยกเลิกใบรับรองเหล่านี้มาตั้งแต่ต้นเดือนกุมภาพันธ์แต่กลับสื่อสารผิดพลาดจึงไม่เดินหน้าไปไหน โดยทาง DigiCert ขอหลักฐานว่ากุญแจรั่วไหลออกไปแล้วจริง

1Password เปิดให้บริการตรวจสอบรหัสผ่านรั่วไหล ใช้ฐานข้อมูลที่เก็บจากการรั่วของรหัสผ่านหลายครั้ง

By nutmos

on 24 February 2018 - 09:30 Tag: 1Password, Password, Security, Password Manager

1Password

บริการจัดการรหัสผ่าน 1Password ได้เพิ่มฟีเจอร์ใหม่เพื่อตรวจสอบว่ารหัสผ่านของผู้ใช้รั่วออกไปหรือยัง โดยใช้บริการของ Troy Hunt ผู้เชี่ยวชาญด้านความปลอดภัยที่มีชื่อว่า Pwned Passwords โดยบริการนี้มีฐานข้อมูลรหัสผ่านเก็บได้จากการรั่วไหลจำนวนกว่า 500 ล้านรหัส

พบช่องโหว่บน uTorrent แฮกเกอร์สามารถสั่งรันโค้ดระยะไกล หรือดูประวัติการดาวน์โหลดได้

By nutmos

on 22 February 2018 - 09:54 Tag: uTorrent, BitTorrent, Security, Bug, Project Zero

uTorrent

Tavis Ormandy นักวิจัยจาก Project Zero ของ Google รายงานว่าซอฟต์แวร์ uTorrent บน Windows มีช่องโหว่ที่สามารถใช้เพื่อทำการรันโค้ดระยะไกล, ดาวน์โหลดมัลแวร์ใส่ไว้ในโฟลเดอร์สตาร์ทอัพของ Windows (เพื่อให้รันตอนรีบู๊ตครั้งถัดไป), คัดลอกไฟล์ที่ดาวน์โหลดมาแล้วและดูประวัติการดาวน์โหลดได้

Ormandy ค้นพบว่าช่องโหว่ของ uTorrent นี้เป็นช่องโหว่จาก DNS rebinding ทำให้ผู้บุกรุกเข้า resolve web domain บนคอมพิวเตอร์ของผู้ใช้และเก็บกุญแจเพื่อใช้เข้าถึงได้ โดยตอนนี้ช่องโหว่ดังกล่าวได้รับการแก้ไขจาก BitTorrent เรียบร้อยแล้ว

Project Zero แฮก Edge ข้ามการป้องกันการวางโค้ดใหม่ลงในโปรเซสได้สำเร็จ, ไมโครซอฟท์แก้ไม่ทัน 90 วันทำให้ช่องโหว่ถูกเปิดเผย

By lew

on 20 February 2018 - 02:17 Tag: Project Zero, Google, Microsoft Edge, Security

Project Zero

Project Zero เผยแพร่ช่องโหว่ของ Edge ระดับความร้ายแรงปานกลาง ที่สามารถข้ามกระบวนการป้องกัน Arbitrary Code Guard (ACG) ของไมโครซอฟท์ได้สำเร็จ

ACG ปิดทางไม่ได้แฮกเกอร์สามารถวางโค้ดลงในโปรเซสด้วยตัวเองได้ และไมโครซอฟท์ก็แยก JIT กับ Content Process ออกจากกัน ทำให้โดยปกติแล้วแฮกเกอร์สามารถวางโค้ดใดๆ เพื่อรันด้วยตัวเองได้ยากมาก

พบช่องโหว่บน Skype เวอร์ชันเดสก์ท็อป ไมโครซอฟท์ยังไม่ออกแพทช์ เพราะต้องแก้โค้ดเยอะ

By cc-sky

on 15 February 2018 - 16:49 Tag: Skype, Microsoft, Security

Skype

มีรายงานว่าพบช่องโหว่บน Skype เวอร์ชันเดสก์ท็อปในส่วนของตัวติดตั้งอัพเดต เมื่อถูกโจมตี จะสามารถทำให้ผู้ใช้งานได้รับสิทธิเข้าถึงระดับ system ในทันที

Stefan Kanthak นักวิจัยที่ค้นพบช่องโหว่นี้บอกว่าตัวติดตั้งอัพเดตของ Skype เรียกใช้งานไฟล์อีกตัวหนึ่งขึ้นมาเพื่อใช้ในการอัพเดต จึงสามารถถูกหลอกให้เรียกใช้โค้ดอันตรายที่อาจแฝงมาด้วยการใช้ DLL hijacking แทนที่จะเรียกใช้ไลบรารีที่ถูกต้องได้

พบช่องโหว่ Telegram บน Windows สามารถปลอมแปลงชื่อไฟล์ที่ส่งในแชทได้

By nutmos

on 14 February 2018 - 20:40 Tag: Telegram, Security

นักวิจัยความปลอดภัยจาก Kaspersky Lab รายงานว่า แอพของ Telegram บน Windows มีช่องโหว่ความปลอดภัยสำคัญที่ทำให้ผู้ไม่ประสงค์ดีสามารถปลอมแปลงชื่อไฟล์ที่ส่งกันภายในระบบแชทได้

เทคนิคดังกล่าวใช้งานผ่านฟอร์แมตพิเศษของยูนิโค้ด U+202E ซึ่งจะทำให้ข้อความที่ปรากฏหลังจากจุดที่กำหนดแสดงจากขวามาซ้าย ทำให้สามารถสั่งเปลี่ยนชื่อไฟล์ได้ เช่น จาก photo_high_regnp.js ให้แสดงเป็น photo_high_resj.png ซึ่งการปลอมแปลงชื่อไฟล์นี้อาจทำให้ผู้ใช้เข้าใจผิดได้ว่าเป็นไฟล์ที่ปลอดภัยทั้งที่จริงอาจเป็นไฟล์โค้ดอันตราย

ไมโครซอฟท์ขยายบริการ Windows Defender ATP ไปยัง Windows 7 และ 8.1

By mk

on 13 February 2018 - 12:47 Tag: Microsoft Defender, Microsoft, Security, Enterprise, Windows 7, Windows 8.1

Microsoft Defender

ไมโครซอฟท์มี 'บริการ' ความปลอดภัยชื่อ Windows Defender Advanced Threat Protection (เรียกย่อๆ คือ Windows Defender ATP) ที่เริ่มนำมาใช้กับ Windows 10 Fall Creators Update

ล่าสุดไมโครซอฟท์ประกาศว่าจะขยาย Windows Defender ATP ไปใช้กับ Windows 7 และ Windows 8.1 ด้วย เพื่อรองรับกลุ่มลูกค้าองค์กรที่ยังมี Windows เวอร์ชันเก่าใช้งานอยู่

กลาโหมสิงคโปร์ประกาศโครงการทหารเกณฑ์ไซเบอร์ ทำงานพร้อมเก็บหน่วยกิตปริญญา

By lew

on 12 February 2018 - 19:53 Tag: Singapore, Security

Singapore

กระทรวงกลาโหมสิงคโปร์ (Ministry of Defence - MINDEF) ประกาศแผนการรับสมัครทหารเกณฑ์ประเภทใหม่ คือทหารไซเบอร์ โดยจะแบ่งเป็นสองระดับ คือการเกณฑ์ไซเบอร์ปกติ หรือ Cyber Operator ประจำหน่วยสองปี และ Cyber Specialist จะยืดระยะเวลาประจำการไปเป็น 3-4 ปี

พบโค้ดขุดเหรียญ Monero ถูกฝังบนเว็บไซต์จำนวนมาก ใช้วิธีเจาะผ่านปลั๊กอินสำหรับผู้พิการทางสายตา

By nutmos

on 12 February 2018 - 10:26 Tag: Cryptocurrency, Security

Cryptocurrency

มีรายงานจาก The Register และที่ปรึกษาความปลอดภัยในสหราชอาณาจักร Scott Helme เผยว่ามีเว็บไซต์กว่า 4,200 เว็บมีผู้บุกรุกเข้าไปฝังสคริปต์ขุดเหรียญ Monero จาก Coinhive โดยที่น่าสนใจคือมีเว็บไซต์จำนวนมากเป็นเว็บไซต์ของหน่วยงานภาครัฐ

ในรายงานเผยว่า ผู้บุกรุกใช้วิธีกระจายโค้ด JavaScript โดยการแก้ไขปลั๊กอิน Browsealoud ของ Texthelp ซึ่งเป็นตัวช่วยการเข้าถึงสำหรับผู้พิการทางสายตา มีหน้าที่อ่านเว็บไซต์เป็นเสียงให้ฟัง ซึ่งการแก้ไขปลั๊กอินนี้ทำให้ผู้ไม่ประสงค์ดีสามารถเจาะและวางโค้ดสำหรับขุดเหรียญในเว็บไซต์ที่เปิดใช้งาน Browsealoud ได้

Chrome 68 กำหนดออกกรกฎาคมนี้ จะแสดงข้อความกับทุกเว็บ HTTP ว่า "ไม่ปลอดภัย"

By arjin

on 9 February 2018 - 06:12 Tag: Chrome, HTTPS, Security, Browser, HTTP, Google

Chrome

Chrome ผลักดันการใช้งาน HTTPS แทน HTTP มาโดยตลอด ซึ่งที่ผ่านมาจะขึ้นข้อความเตือนว่าไม่ปลอดภัย (Not Secure) หากเว็บนั้นมีแบบฟอร์มกรอกข้อความ หรือเป็นการเชื่อมต่อผ่าน FTP แต่ประกาศล่าสุดนี้จะมีผลกับ HTTP ทุกกรณีแล้ว

โดยกูเกิลประกาศว่า Chrome 68 ซึ่งมีกำหนดออกมาในเดือนกรกฎาคมปีนี้ จะขึ้นแสดงข้อความว่าเว็บนี้ ไม่ปลอดภัย (Not Secure) สำหรับ HTTP ทุกกรณี

Subscribe to Security