Image
By mk Founder on Tag: Google Safe Browsing, Google, Android, Privacy, Security
Google Safe Browsing

กูเกิลขยายขอบเขตของตัวกรองความปลอดภัย Google Safe Browsing มาสู่แอพบน Android โดยจะแจ้งเตือนถ้าหากแอพเก็บข้อมูลส่วนตัวของผู้ใช้โดยไม่แจ้ง

นโยบายนี้จะมีผลทั้งแอพที่เผยแพร่ผ่าน Google Play และแอพนอก Google Play โดยนักพัฒนามีเวลา 60 วัน ปรับปรุงแอพให้แจ้งผู้ใช้ว่าเก็บข้อมูลอะไรไปบ้าง พร้อมแสดงนโยบายด้านความเป็นส่วนตัว (privacy policy) ภายในแอพด้วย ถ้าหากนักพัฒนาไม่ทำตาม ก็มีโอกาสที่ผู้ใช้เปิดแอพแล้วจะเห็นหน้าแจ้งเตือนสีแดงของกูเกิล

By arjin Writer on Tag: macOS, Apple, Security, High Sierra
macOS

จากปัญหา macOS High Sierra ที่สามารถล็อกอินได้ด้วย root แบบไม่ต้องใส่รหัสผ่าน และแอปเปิลออกอัพเดตแก้ไขในเวลาไม่ถึง 24 ชั่วโมง แต่ดูเหมือนปัญหานี้ก็ยังไม่ปิดสมบูรณ์เสียทีเดียว หากผู้ใช้อัพเดตตัวแก้ไม่เป็นไปตามลำดับที่แอปเปิลต้องการให้เป็น

By lew Founder on Tag: NSA, Security, Kaspersky
NSA

Nghia Hoang Pho อดีตโปรแกรมเมอร์ของ NSA ยอมรับผิดว่านำเครื่องมือของ NSA กลับบ้านจนกระทั่งรั่วไหลไปยัง Kaspersky

Pho ทำผิดหลายประการตั้งแต่การนำข้อมูล NSA กลับไปทำงานต่อที่บ้าน และคอมพิวเตอร์นั้นยังติดตั้ง Kaspersky ที่ NSA ไม่ได้อนุญาตให้ใช้งาน ตัว Pho เองยืนยันว่าไม่ได้มีประสงค์ร้ายอะไรที่นำเครื่องมือของ NSA กลับไปทำงานที่บ้าน

อัยการรัฐบาลกลางสหรัฐฯ เรียกร้องโทษจำคุก 8 ปี แม้ว่าข้อมูลที่รั่วไปอาจจะเกิดจากความประมาทเท่านั้น แต่ Pho เป็นผู้ถือสิทธิ์การเข้าถึงข้อมูลความมั่นคงระดับลึก ความผิดพลาดเช่นนี้เป็นเรื่องยอมรับไม่ได้

By arjin Writer on Tag: macOS, Apple, Security
macOS

จากปัญหาช่องโหว่ร้ายแรงใน macOS High Sierra ที่สามารถพิมพ์ผู้ใช้ชื่อ root โดยไม่ต้องใส่รหัสผ่านก็ล็อกอินเข้าไปได้ ซึ่งแอปเปิลได้ออกอัพเดตแก้หลังมีรายงานข่าวออกมาภายในไม่ถึง 24 ชั่วโมง ก็ดูเป็นการตอบสนองที่รวดเร็วมาก แต่คำถามที่น่าสนใจก็คือ ทำไมปัญหานี้ถึงเพิ่งมาถูกค้นพบ (High Seirra ออกมาตั้งแต่กันยายน) และจริงๆ แล้วมีคนรู้ปัญหานี้มาก่อนหน้าหรือไม่?

By nutmos Writer on Tag: Apple, macOS, High Sierra, Security
Apple

Apple ได้ออกอัพเดต Security Update 2017-001 เพื่อแก้ปัญหาช่องโหว่ที่เปิดให้ใครก็ได้รับสิทธิ์ root บน macOS เพียงพิมพ์ชื่อผู้ใช้เป็น root และไม่ต้องพิมพ์รหัสผ่าน (CVE-2017-13872)

สำหรับผู้ใช้ macOS 10.13.1 สามารถอัพเดตได้ทันทีผ่านเมนูอัพเดตทาง App Store โดย Apple แจ้งว่าผู้ใช้ macOS 10.12.6 หรือต่ำกว่าจะไม่ได้รับผลกระทบ (ดังนั้นผู้ใช้ที่ได้รับผลกระทบจะเป็นผู้ใช้ที่ติดตั้ง High Sierra เท่านั้น)

ที่มา - Apple Support

By lew Founder on Tag: AWS, Security
AWS

AWS เปิดตัว GuardDuty บริการสำหรับตรวจสอบความปลอดภัยเซิร์ฟเวอร์ โดยวิเคราะห์ล็อกจาก VPC Flow, CloudTrail, และ DNS เพื่อหาพฤติกรรมที่ผิดปกติ

ตัว GuardDuty เองไม่มีซอฟต์แวร์ใดๆ รันอยู่บนเซิร์ฟเวอร์ แต่อาศัยข้อมูลภายนอกมาวิเคราะห์พร้อมกับรับข้อมูลข่าวกรองความปลอดภัยไซเบอร์มาตรวจสอบ เช่น มีการสั่ง DNS query ไปยังโดเมนที่เกี่ยวข้องกับมัลแวร์ หรือตัวเซิร์ฟเวอร์พยายามยิงออกไปยังเครื่องอื่นๆ

เมื่อพบความผิดปกติ GuardDuty จะแจ้งเตือนบนเว็บหรือสามารถส่งเป็น CloudWatch Event เพื่อทำงานอย่างอื่นๆ ต่อไป เช่นส่ง SMS หรือส่งออกล็อกไปยังบริการภายนอกอย่าง Splunk ก็ได้

By arjin Writer on Tag: macOS, Apple, Security
macOS

จากปัญหาช่องโหว่ใหญ่บน macOS High Sierra ที่สามารถล็อกอินและได้สิทธิ์ด้วยผู้ใช้ root โดยไม่ต้องพิมพ์รหัสผ่านนั้น ล่าสุดแอปเปิลได้ชี้แจงว่ากำลังออกตัวแก้ไขปัญหาดังกล่าวในอัพเดตถัดไป

ส่วนวิธีป้องกันปัญหานี้เบื้องต้น แอปเปิลแนะนำให้ตั้งรหัสผ่าน root ขึ้นมา ซึ่งผู้ใช้สามารถทำตามขั้นตอนการเปิดใช้ root และตั้งรหัสผ่านได้ในหน้า support https://support.apple.com/th-th/HT204012 (เวอร์ชันภาษาอังกฤษ)

By tr Writer on Tag: macOS, Apple, Security
macOS

นักพัฒนา Lemi Orhan Ergin ได้ออกมาเปิดเผยผ่านทวิตเตอร์ว่าเขาได้ค้นพบช่องโหว่ใหญ่บน macOS High Sierra โดยที่ผู้ใช้สามารถรับสิทธิ์ root (ระดับสิทธิ์ที่สูงที่สุดของเครื่อง) เพียงแค่พิมพ์ชื่อผู้ใช้ root และไม่ต้องพิมพ์รหัสผ่าน และตัวระบบปฏิบัติการจะมอบสิทธิ์ root ให้โดยอัตโนมัติ โดยมีผู้ใช้ (รวมถึงตัวผู้เขียน) หลายคนสามารถทำตามได้

By lew Founder on Tag: DJI, Drone, Security, Bug Bounty
DJI

Sean Melia นักวิจัยความปลอดภัยรายงานช่องโหว่ชุดหนึ่งให้กับ DJI โดยระบุว่าในทั้งหมดที่รายงานมีช่องโหว่ Heartbleed ตั้งแต่ปี 2014, ช่องโหว่รันโค้ดระยะไกลที่ได้สิทธิ์ root, และช่องโหว่ SQL Injection ด้วย แต่ทาง DJI กลับเสนอเงินรางวัลให้เพียง 500 ดอลลาร์

Melia ตอบกลับทาง DJI ว่าขอไม่รับเงินรางวัลและแนะนำว่าไม่ควรมีโครงการแบบนี้ออกมา

ตารางการจ่ายเงินรางวัลของ DJI ระบุเงินรางวัลไว้ตั้งแต่ 100-30,000 ดอลลาร์ โดยช่องโหว่ร้ายแรงสูงที่เข้าถึงข้อมูลผู้ใช้และควบคุมเซิร์ฟเวอร์สำคัญจะมีรางวัลขั้นต่ำ 5,000 ดอลลาร์

By nutmos Writer on Tag: Whitehouse, USA, Security
Whitehouse

สำนักข่าว Bloomberg รายงานว่า ทำเนียบขาวแห่งสหรัฐฯ เตรียมแบนการใช้โทรศัพท์มือถือส่วนตัวขณะทำงาน เนื่องจากความเป็นกังวลด้านความปลอดภัย เนื่องจากมีจำนวนอุปกรณ์ที่เชื่อมต่อกับเครือข่ายไร้สายของทำเนียบขาวมากจนเกินไป และโทรศัพท์ส่วนตัวนั้นไม่มีความปลอดภัยเพียงพอเมื่อเทียบกับโทรศัพท์ของทางรัฐบาล โดย John Kelly หัวหน้าพนักงานของทำเนียบขาวเป็นผู้นำในการผลักดันการแบนโทรศัพท์ส่วนตัวในครั้งนี้ (Kelly เคยถูกแฮกมือถือส่วนตัวเมื่อต้นปี)

By lew Founder on Tag: Linus Torvalds, Person, Security, Linux
Linus Torvalds

หลังเหตุการณ์ไลนัสปล่อยระเบิดกลางวงนักพัฒนาเคอร์เนล เหตุการณ์หลังจากนั้นก็คลี่คลายลงเมื่อ Matthew Garret จากกูเกิลซักว่าปัญหาของแพตช์ชุดที่ Kees Cook ส่งเข้ามามีปัญหาอย่างไร ไลนัสกลับตอบว่าแพตช์ที่ส่งมาก็ดูดีอยู่แล้ว เพราะตั้งค่าเริ่มต้นให้เตือนอย่างเดียว

เขาขอโทษที่ใช้คำรุนแรงเกินไป โดยให้เหตุผลว่าอารมณ์เสียจากการ merge โค้ดในลินุกซ์ 4.15 นานกว่าที่คาดไว้ เนื่องจากเป็นเวอร์ชั่นปกติ ไม่ใช่ LTS เหมือน 4.14 แต่กระบวนการรวมโค้ดก็นานอยู่ดี

By lew Founder on Tag: Security, Remote Code Execution
Security

Exim ซอฟต์แวร์ message transfer agent (MTA) สำหรับการส่งอีเมลที่ได้รับความนิยมอย่างสูงจากระบบปฎิบัติการตระกูล POSIX ได้รับรายงานช่องโหว่รันโค้ดจากระยะไกล โดยทีมงาน Exim ระบุว่ารายละเอียดช่องโหว่นี้เปิดเผยต่อสาธารณะโดยไม่ได้ติดต่อทีมงานล่วงหน้า

ตอนนี้ Exim กำลังเตรียมแพตช์โดยยังไม่ประกาศวันออกแพตช์จริง อย่างไรก็ดี ผู้ที่ใช้งาน Exim 4.88 ขึันไป สามารถป้องกันการโจมตีได้ด้วยการคอนฟิกปิดการทำงาน ESMTP CHUNKING ไปก่อน โดยเพิ่มบรรทัด

chunking_advertise_hosts =

ในส่วนคอนฟิก main จะมีผลกระทบต่อการส่งข้อมูลบ้างแต่ยังสามารถทำงานได้ต่อไป

By mk Founder on Tag: Firefox, Data Breach, Security, Browser, Privacy
Firefox

Mozilla กำลังพัฒนาฟีเจอร์ใหม่ให้ Firefox ในการแจ้งเตือนเมื่อผู้ใช้เข้าเว็บไซต์ที่เคยถูกแฮ็กและข้อมูลผู้ใช้รั่วไหล (data breach) โดยใช้ข้อมูลจากเว็บไซต์ haveibeenpwned.com ที่รวบรวมฐานข้อมูลบัญชีออนไลน์ต่างๆ ที่เคยถูกเผยแพร่สู่สาธารณะ

เป้าหมายของฟีเจอร์นี้คือให้ผู้ใช้รู้ตัวว่า บัญชีของตัวเองบนเว็บไซต์แห่งนั้นเคยถูกแฮ็กข้อมูลไป และเพิ่มทางเลือกในการเปลี่ยนรหัสผ่านหรือรับข่าวสารแจ้งเตือนทางอีเมล หากเว็บไซต์นั้นถูกแฮ็กซ้ำในอนาคต

ฟีเจอร์นี้ยังมีสถานะเป็นต้นแบบ (prototype) และคงต้องใช้เวลาอีกสักระยะกว่าจะผนวกเข้ามายัง Firefox รุ่นจริง

By mk Founder on Tag: Microsoft Office, Microsoft, Security
Microsoft Office

ทีมความปลอดภัยของไมโครซอฟท์ ออกมาเตือนว่าพบการโจมตี Microsoft Office เพิ่มปริมาณสูงขึ้นมาในรอบไม่กี่เดือนที่ผ่านมา

รูปแบบการโจมตีเป็นการใช้ช่องโหว่ที่ประกาศข้อมูล-ออกแพตช์แล้วในรอบ 6 เดือนล่าสุด เพื่อฝัง ransomware ในเครื่องของผู้ใช้ หรือไม่ก็ขโมยข้อมูลส่วนตัว ตัวอย่างช่องโหว่ที่ถูกใช้งานได้แก่ CVE-2017-0199, CVE-2017-8570, CVE-2017-8759, CVE-2017-11826

By arjin Writer on Tag: Uber, Security, Hacking
Uber

Dara Khosrowshahi ซีอีโอ Uber ออกแถลงการณ์วันนี้ ระบุว่าบริษัทได้ตรวจสอบและพบว่าเมื่อปลายปี 2016 ได้มีผู้แฮกเข้ามาในฐานข้อมูลที่อยู่บนคลาวด์ของผู้ให้บริการภายนอก และนำข้อมูลบางส่วนออกไปได้ ประกอบด้วย ข้อมูลผู้ขับรถ และทะเบียนรถยนต์ ราว 6 แสนคน เฉพาะในอเมริกา นอกจากนี้ยังมีข้อมูลส่วนตัวผู้โดยสารและผู้ขับรถรวม 57 ล้านบัญชี ได้แก่ ชื่อ อีเมล และเบอร์โทรศัพท์ โดยไม่มีข้อมูลรหัสผ่านหรือเลขประกันสังคมหลุดออกไป

By arjin Writer on Tag: Face ID, iPhone X, Banking, Security, South Korea
Face ID

iPhone X เริ่มจำหน่ายมากขึ้นในหลายประเทศ และแอพการเงิน ธนาคาร หลายแอพก็เริ่มรับรองการยืนยันตัวตนในแอพด้วยใบหน้า Face ID แต่ที่เกาหลีใต้ แอพธนาคารทั้งหลายต่างเลือกที่จะไม่รับรองไปก่อนในตอนนี้ ขณะที่แอพธนาคารหลายแห่งทั่วโลก รวมทั้งในไทย ต่างรองรับคุณสมบัติดังกล่าวกันแล้ว

By lew Founder on Tag: IBM, DNS, Internet, Security, Phishing
IBM

Quad9 โครงการบริการเซิร์ฟเวอร์ ที่ร่วมมือกันระหว่าง Global Cyber Alliance (GCA), IBM, และบริษัทป้องกันภัยเน็ตเวิร์ค Packet Clearing House เปิดให้บริการแล้ว ผ่านทางไอพี 9.9.9.9

จุดเด่นของ Quad9 คือทางโครงการจะได้รับชุดข้อมูลโดเมนมุ่งร้ายจาก 19 แหล่ง เพื่อบล็อคโดเมนที่เป็นแหล่งของภัยสำคัญๆ เช่น โดเมน phishing, โดเมนปล่อย exploit kit, หรือโดเมนควบคุมมัลแวร์ (C2) โดยแหล่งข้อมูลเหล่านี้จะได้รับข้อมูลการคิวรี DNS กลับไปเพื่อวิเคราะห์หาต้นตอของการโจมตี

By nismod Writer on Tag: Hacking, Security
Hacking

แบรนด์เสื้อผ้าและแฟชัน Forever 21 ได้ประกาศแจ้งเตือนลูกค้าว่าบริษัทได้รับการแจ้งเตือนเรื่องข้อมูลบัตรเครดิตรั่วไหล และเริ่มการสืบสวนการทำธุรกรรมในช่วงเดือนมีนาคมถึงตุลาคมที่ผ่านมา พร้อมขอความช่วยเหลือจากบริษัทด้านความปลอดภัยและผู้เชี่ยวชาญด้านการตรวจหาหลักฐานดิจิทัล

By lew Founder on Tag: OnePlus, Security
OnePlus

เมื่อวานนี้มีรายงานถึงประตูลับ EngineerMode ฝังอยู่ในรอมของ OnePlus หลายรุ่น รวมถึง OnePlus 3, OnePlus 3T, และ OnePlus 5T มันเปิดทางให้ทุกสามารถเข้าถึง root ผ่าน shell ได้ โดยสั่ง adb shell am start -n com.android.engineeringmode/.qualcomm.DiagEnabled --es "code" "password" โดยที่ผู้ใช้ไม่ได้ปลดล็อกรอมหรือ root เครื่องไว้ก่อนแต่อย่างใด

By nismod Writer on Tag: Microsoft, Windows 10, Security
Microsoft

ไมโครซอฟท์ประกาศมาตรฐานการปรับแต่งฮาร์ดแวร์และเฟิร์มแวร์สำหรับผู้ผลิตฮาร์ดแวร์สายวินโดวส์ ครอบคลุมทั้งเดสก์ท็อป, แท็บเล็ต, แล็บท็อป, 2-in-1 และเวิร์คสเตชัน เพื่อให้ได้รับการรับรอง Highly Secured จากทางไมโครซอฟท์ โดยจะเริ่มใช้มาตรฐานนี้ตั้งแต่ Windows 10 Fall Creators Update เวอร์ชัน 1709 เป็นต้นไป

สเปกของฮาร์ดแวร์มีดังนี้

Subscribe to Security