lew | Blognone

Member for : Thu, 11/08/2005 - 11:15

Pornhub เพิ่มเงินรางวัลค้นหาช่องโหว่, เพิ่มเว็บ Premium เข้าโครงการ

By lew

on 31 May 2016 - 13:26 Tag: Pornhub, Security, Bug Bounty

Pornhub

Pornhub เพิ่งเปิดโครงการหาช่องโหว่เว็บเมื่อต้นเดือนที่ผ่านมา ตอนนี้โครงการได้รับความสนใจสูงโดยทางเว็บได้รับรายงานหลายพันรายการ ทางเว็บระบุว่าได้เรียนรู้หลายอย่างและกำลังเพิ่มพนักงานเพื่อให้ตอบสนองต่อรายงานที่เข้ามาได้เร็วขึ้น เพิ่มเงินรางวัล และเพิ่มบริการ Pornhub Premium เข้าโครงการ

นอกจากเงินรางวัลแล้ว ทางเว็บจะแจกเสื้อยืดสำหรับนักวิจัยที่พบช่องโหว่ให้อีกด้วย

มัลแวร์เรียกค่าไถ่ ZCryptor เป็นเวิร์มในตัว แพร่กระจายผ่านแฟลชไดรฟ์ได้เอง

By lew

on 31 May 2016 - 13:03 Tag: Ransomware, Security

Ransomware

มัลแวร์เข้ารหัสไฟล์เรียกค่าไถ่ส่วนมากมักจะส่งมาทางอีเมลเพื่อล่อให้เหยื่อกดลิงก์ แต่มัลแวร์ Ransom:Win32/ZCryptor.A เพิ่มความสามารถในการแพร่กระจายตัวเองผ่านทางแฟลชไดรฟ์ โดยเพิ่มไฟล์ autorun.inf เข้าไปในไดรฟ์แบบถอดได้ หากไฟล์ถูกรันก็จะแพร่กระจายต่อไปเรื่อยๆ

ตัวมัลแวร์เรียกค่าไถ่ 1.2 BTC หรือประมาณ 17,500 บาท และหากไม่ยอมจ่ายในสี่วันก็จะเพิ่มเป็น 5 BTC หรือประมาณ 77,000 บาท

ไมโครซอฟท์แนะนำให้ผู้ใช้อัพเดตระบบปฎิบัติการ, สำรองไฟล์สม่ำเสมอ, เปิดระบบ file history, และระวังตัวเองจากอีเมลปลอม

มาตรฐาน PA-DSS สำหรับผู้พัฒนาซอฟต์แวร์รับจ่ายเงินออกรุ่น 3.2 ปรับตาม PCI-DSS

By lew

on 30 May 2016 - 20:14 Tag: PCI-DSS, Security, Information Security

PCI-DSS

มาตรฐาน PCI-DSS ที่ระบุมาตรการความปลอดภัยของผู้ให้บริการรับจ่ายเงินออกรุ่น 3.2 มาตั้งแต่เดือนเมษายน ตอนนี้มาตรฐาน PA-DSS สำหรับผู้พัฒนาซอฟต์แวร์ (software vendor) ก็ถูกปรับขึ้นมาแล้วโดยปรับมาตรฐานหลายส่วนให้ตรงกับ PCI-DSS รุ่นล่าสุด

รหัสผ่าน MySpace รั่ว 360 ล้านบัญชี รหัสที่นิยมสูงสุดคือ "password1"

By lew

on 30 May 2016 - 19:02 Tag: Myspace, Data Breach

Myspace

MySpace เคยเป็นเครือข่ายสังคมออนไลน์ยอดนิยมแต่พ่ายแพ้ต่อเฟซบุ๊กไป ตอนนี้ LeakedSource ระบุว่าได้รับข้อมูลบัญชีผู้ใช้กว่า 360 ล้านบัญชี

ทาง LeakedSource ระบุว่าข้อมูลแต่ละชุดอาจจะมี อีเมล, ชื่อผู้ใช้, SHA1 ของรหัสผ่านหนึ่งหรือสองชุด ทำให้รหัสผ่านรวมมีจำนวนถึง 420 ล้านชุด รหัสผ่านทั้งหมดเข้าแฮช (hash) ไว้ด้วย SHA1 แต่ไม่ได้เติมข้อมูล salt ทำให้การไล่รหัสผ่านทำได้ง่าย

systemd จะครองโลก, ปิดโปรแกรมทุกตัวหลังล็อกเอาต์ทำให้ screen และ tmux พัง

By lew

on 30 May 2016 - 18:06 Tag: systemd, Linux

systemd

systemd รุ่น 230 มีการปรับค่าคอนฟิกเริ่มต้น KillUserProcesses เป็น yes ทำให้ systemd ปิดโปรแกรมทุกตัวทันทีหลังจากผู้ใช้ล็อกเอาต์จากระบบ (รวมถึงการเชื่อมต่อ ssh หลุดไป) ส่งปัญหาต่อโปรแกรมที่เปิดค้างเอาเพื่อป้องกันการเชื่อมต่อหลุดไปอย่าง tmux, screen, และ x2go

ARM เปิดตัวคอร์ชุดใหม่ Cortex-A73 และ Mali-G71 สำหรับงาน VR และ AR

By lew

on 30 May 2016 - 12:36 Tag: Arm, CPU

Arm

ARM เปิดตัวคอร์ซีพียูรุ่นใหม่ Cortex-A73 สถาปัตยกรรม ARMv8-A รองรับการผลิตด้วยเทคโนโลยี 10 นาโนเมตร และทำงานได้ที่สัญญาณนาฬิกา 2.8GHz ประสิทธิภาพรวมแบบทำงานต่อเนื่องเพิ่มจาก Cortex-A72 ขึ้นไป 30%

จุดเด่นของ A73 คือประสิทธิภาพพลังงานจะสูงกว่า A72 ทำให้ไม่จำเป็นต้องลดสัญญาณนาฬิกาลงเมื่อทำงานต่อเนื่อง ประสิทธิภาพแบบทำงานต่อเนื่องจึงเกือบเท่ากับประสิทธิภาพสูงสุด สำหรับการเชื่อมต่อกับคอร์ประสิทธิภาพต่ำลงเพื่อประหยัดพลังงานก็ยังสามารถใช้ Cortex-A53 หรือ Cortex-A35

ชิ้นส่วนเครื่องเข้ารหัสสมัยสงครามโลกถูกขายบน eBay ราคา 9.5 ปอนด์

By lew

on 30 May 2016 - 01:43 Tag: United Kingdom, Cryptography

United Kingdom

John Wetter อาสาสมัครของ The National Museum of Computing at Bletchley Park พิพิธภัณฑ์ที่รวบรวมอุปกรณ์เข้ารหัสสมัยสงครามโลกเอาไว้จำนวนมาก ระบุว่าเพื่อนของเขาเจอโพสต์บน eBay ขายเครื่องโทรเลขในราคา 9.5 ปอนด์

เขาและเพื่อนคิดว่าที่จริงแล้วมันคือเครื่องพิมพ์ข้อความ (teleprinter) สำหรับเครื่องเข้ารหัส Lorenz SZ42 เขาจึงขับรถไปยังบ้านหญิงที่โพสต์ประกาศเพื่อขอซื้อโดยตรงใน Essex หญิงเจ้าของเครื่องยืนยันว่าราคาขายอยู่ที่ 9.5 ปอนด์ Wetter จึงจ่ายไป 10 ปอนด์โดยระบุว่า "ไม่ต้องทอน"

Blue Coat ผู้ผลิตอุปกรณ์ดักฟังอินเทอร์เน็ตได้รับ Intermediate CA จาก Symantec

By lew

on 29 May 2016 - 14:32 Tag: Blue Coat, Security, HTTPS

Blue Coat

Blue Coat ผู้ผลิตอุปกรณ์ตรวจสอบข้อมูลเข้าออกหน่วยงาน ที่มีรัฐบาลหลายชาติ เช่น ซีเรีย และเมียนมาร์ นำไปใช้กรองข้อมูลเข้าออกประเทศ ได้รับสิทธิ์การเป็นหน่วยงานออกใบรับรองดิจิตอล (intermediate CA) จาก Symantec

ใบรับรองออกมาตั้งแต่เดือนกันยายนปีที่แล้ว แต่เพิ่งเป็นข่าวไม่กี่วันมานี้ ตัวใบรับรองมีอายุ 10 ปี หมดอายุอีกครั้งปี 2025

ทนายออราเคิลระบุ การที่กูเกิลชนะคดีจาวาบนแอนดรอยด์ทำให้ GPL ตกอยู่ในอันตราย

By lew

on 28 May 2016 - 10:55 Tag: Java, Intellectual Property, Oracle, Google, GPL, Open Source

Java

Annette Hurst ทนายในสำนักงานทนายความที่ว่าความให้ออราเคิลในคดี API จาวาเขียนบทความแสดงความเห็นลงใน Ars Technica ระบุว่าการที่กูเกิลชนะคดีนี้จะแสดงว่าสัญญาอนุญาต GPL บังคับใช้ไม่ได้จริง

ความเห็นของ Hurst ระบุว่าการที่ออราเคิลไม่สามารถควบคุมการใช้งาน API ของตัวเองได้ เป็นอันตรายต่อการเปิดซอฟต์แวร์โอเพนซอร์สไปพร้อมๆ กับการขายซอฟต์แวร์แบบปิดซอร์ส (dual licensing) เพราะโค้ดอาจจะถูกนำไปใช้งานอย่างอื่น และผู้ผลิตอาจจะเลิกขายซอฟต์แวร์ แต่ให้บริการออนไลน์แทนเพื่อรักษาทรัพย์สินทางปัญญาของตัวเอง ลูกค้าจะมีทางเลือกในการซื้อซอฟต์แวร์มาใช้งานได้น้อยลง

ซิสโก้ออกรายงาน ระบุธนาคารคืออุตสาหกรรมถัดไปที่จะถูกเปลี่ยนแปลงจากการเข้าสู่ยุคดิจิตอล

By lew

on 27 May 2016 - 23:01 Tag: Cisco, FinTech, Banking

Cisco

ซิสโก้ออกรายงานวิจัย "Roadmap to Digital Value in the Retail Banking Industry" ระบุถึงความเปลี่ยนแปลงของอุตสาหกรรมธนาคารในยุคต่อไปที่กำลังใกล้เข้ามาเรื่อยๆ ความเปลี่ยนแปลงเหล่านี้เปิดโอกาสให้ธนาคารต่างๆ สามารถจับเอา "คุณค่าใหม่" (new value) เพื่อมาสร้างมูลค่าให้กับบริการของตนเอง

Reddit เปิดบริการโฮสต์รูปของตัวเอง

By lew

on 27 May 2016 - 08:18 Tag: Reddit

ถ้าเมืองไทยมีพันทิปเป็นแหล่งพูดคุยกันในวงกว้าง สำหรับต่างประเทศก็คงเป็น Reddit เว็บฟอรั่มขนาดใหญ่ที่พูดคุยที่มีห้องแยกประเด็นย่อยจำนวนมาก ล่าสุด Reddit ที่เคยโพสได้เฉพาะข้อความก็ประกาศเปิดบริการโฮสต์รูปของตัวเองแล้ว

ก่อนหน้านี้ชุมชน Reddit มักจะใช้บริการโฮสต์รูปจาก Imgur (เว็บที่เรามักเห็นภาพมีมต่างๆ ทาง Reddit ระบุว่าระหว่างนี้ชุมชนยังคงสามารถเลือกได้เองว่าจะใช้บริการภายนอกหรือไม่

บริการนี้จะทำให้ผู้ใช้ Reddit สามารถพูดคุยเกี่ยวกับภาพนั้นๆ ได้โดยไม่ต้องออกจากแอพในกรณีที่ใช้งานจากโทรศัพท์มือถือ

คดีจาวาบนแอนดรอย์รอบสองจบศาลชั้นต้น กูเกิลชนะ, การใช้ API เป็นการใช้งานโดยธรรม

By lew

on 27 May 2016 - 06:54 Tag: Android, Oracle, Google, Patent, Copyright, Intellectual Property, Java, Lawsuit

Android

คดีฟ้องร้องระหว่างออราเคิลและกูเกิลที่ออราเคิลฟ้องกูเกิลว่าละเมิดสิทธิ์ API ของจาวามาถึงศาลชั้นต้นรอบที่สอง และรอบนี้กูเกิลชนะอีกครั้งเมื่อคณะลูกขุนตัดสินว่าการใช้ API จาวาเป็นการใช้งานโดยธรรม (fair use)

คดีนี้จบรอบแรกไปตั้งแต่ปี 2012 เมื่อผู้พิพากษา William Alsup พิพากษาว่า API ไม่ได้รับความคุ้มครองลิขสิทธิ์ ทำให้คดีจบในศาลชั้นต้นไปโดยกูเกิลชนะ แต่ศาลอุทธรณ์กลับคำตัดสินโดยระบุว่า API มีลิขสิทธิ์ ทำให้คดีต้องกลับมาที่ศาลชั้นต้นอีกครั้งเพื่อพิจารณาว่าหาก API มีลิขสิทธิ์แล้ว การใช้งานแบบที่กูเกิลใช้นั้นเป็นการใช้งานโดยธรรมหรือไม่

คณะลูกขุนทั้งสิบคนระบุว่าการใช้งานของกูเกิลเป็นการใช้งานโดยธรรม (ลูกขุนชุดแรกในคดีนี้เสียงแตกในประเด็นนี้)

เว็บไซต์จำนวนมากใช้ค่า Nonce สำหรับ AES-GCM ซ้ำ, แฮกเกอร์สามารถแทรกข้อมูลได้

By lew

on 26 May 2016 - 22:49 Tag: Cryptography, Security, Research

Cryptography

กระบวนการเข้ารหัสแบบบล็อคที่ได้รับความนิยมขึ้นมาในช่วงหลังคือ AES-GCM (RFC5084) แต่การเข้ารหัสเช่นนี้ต้องสร้างค่า nonce ขนาด 8 บิตขึ้นไปจนถึง 2^64 บิต (แนะนำที่ 96 บิต) แต่ทั้งนี้ไม่ควรใช้ค่านี้ซ้ำในการเชื่อมต่อ ทีมวิจัยพบว่ายังมีเซิร์ฟเวอร์ 184 เครื่องที่ตั้งค่า nonce เป็นค่าคงที่ รวมถึงเว็บไซต์บัตรเครดิตอย่าง visa.dk

การใช้ nonce เป็นค่าคงที่ทำให้แฮกเกอร์สามารถแทรกข้อมูลเข้าไปในการเชื่อมต่อได้โดยง่าย ในวิดีโอตัวอย่างทีมวิจัยสาธิตการแทรกจาวาสคริปต์เข้าไปในเว็บไซต์ visa.dk ซึ่งเป็นหนึ่งใน 184 เว็บไซต์ที่ทีมวิจัยพบ

ญี่ปุ่นประกาศกำกับดูแลเงินเสมือนหลังปัญหา Bitcoin และ MtGox

By lew

on 26 May 2016 - 22:16 Tag: Japan, Banking, Bitcoin

Japan

ญี่ปุ่นผ่านกฎหมายกำกับดูแลเงินเสมือน เช่น BitCoin แล้ว หลังจากบริษัทรับแลก BitCoin ที่ใหญ่ที่สุดในโลกอย่าง MtGox ประสบปัญหาเงินสูญหายสร้างความเสียหายเป็นวงกว้าง

กฎหมายใหม่นี้กำหนดให้บริษัทที่เกี่ยวข้องกับเงินเสมือนจะต้องอยู่ในการกำกับดูแลของ Financial Services Agency (FSA) และกระบวนการเปิดบัญชีจะต้องมีการยืนยันตัวตนคล้ายกับการเปิดบัญชีธนาคาร การกำกับดูแลเช่นนี้นอกจากจะทำให้ FSA เข้าไปดูแลในกรณีที่มีความเสียหายแล้ว ยังเป็นกลไกป้องกันการฟอกเงินไปอีกทางด้วย

ซัมซุงร่วมมือ SK Telecom เตรียมวางเครือข่าย IoT ทั่วเกาหลีใต้

By lew

on 26 May 2016 - 07:45 Tag: Internet of Things, South Korea, Samsung

Internet of Things

ซัมซุงอิเล็กทรอนิกส์ประกาศความร่วมมือกับ SK Telecom เตรียมวางเครือข่าย LoRaWAN ทั่วเกาหลีใต้ เริ่มจาก Daegu กลางปีนี้

ทางเมือง Daegu เองก็เตรียมจะติดตั้งไฟส่องถนนที่มีเซ็นเซอร์ในตัว ทำให้ไฟส่องถนนช่วยรายงานสภาพอากาศและสภาพจราจรได้ ทำให้ปรับความสว่างแสงและออกประกาศแจ้งเตือนเช่นเตือนหมอกลง

ที่มา - eWeek

XenServer 7 ออกแล้ว

By lew

on 26 May 2016 - 06:48 Tag: Citrix, Virtualization, Xen

Citrix

ระบบปฎิบัติการสำหรับการทำ virtualization ยุคแรกๆ ที่ได้รับความนิยมสูงคงเป็น XenServer (ที่เมื่อก่อนเรียกว่า Xen เฉยๆ) XenServer ออกเวอร์ชั่นหลัก 6.0 มาตั้งแต่ปี 2011 และวันนี้เวอร์ชั่น 7.0 ก็ออกมาแล้ว

เวอร์ชั่นใหม่นี้ปรับปรุงเรื่องความปลอดภัยตั้งแต่การเชื่อมต่อที่รองรับ TLS 1.2 ทั้งหมด เปิด Direct Inspect API ทำให้ซอฟต์แวร์ป้องกันมัลแวร์สามารถทำไปงานอยู่บน service VM แยกออกจาก guest VM ได้ และรองรับการทำ vGPU เพิ่มเติมบนการ์ด NVIDIA GRID Maxwell M10 และ Intel Iris Pro

IETF ออก RFC7858 เชื่อมต่อกับเซิร์ฟเวอร์ DNS แบบเข้ารหัส TLS

By lew

on 25 May 2016 - 22:03 Tag: IETF, Privacy, RFC

IETF

IETF ออกเอกสาร RFC7858 ระบุถึงการขอข้อมูล DNS แบบเข้ารหัสแล้ว โดยใช้การเชื่อมต่อแบบ TLS ผ่านพอร์ต 853 ที่ประกาศใหม่

โดยปกติแล้วการเข้ารหัส TLS เช่นการเชื่อมต่อเว็บ จะต้องยืนยันชื่อโดเมนของเครื่องปลายทาง (เช่นโดเมน www.blognone.com) แต่เนื่องจากเป็นการเชื่อมต่อกับเซิร์ฟเวอร์ DNS เอง RFC7858 จะเปิดให้เข้ารหัสการเชื่อมต่อแบบไม่ต้องยืนยันตัวตน (authenticate) ก็ได้ หรืออาจจะใช้กระบวน key-pinning เช่นเซิร์ฟเวอร์ DNS สาธารณะอาจจะเปิดเผยค่า fingerprint ของกุญแจสาธารณะให้คนทั่วไปได้คอนฟิกไว้ล่วงหน้า

แบบนี้ก็ได้เหรอ บริษัทผลิตชิ้นส่วนสามมิติระดมทุนแท่งไม้กั้นประตู Hold the Door!

By lew

on 25 May 2016 - 21:00 Tag: Kickstarter, Game of Thrones

Kickstarter

บริษัท Custom 3D Stuff ผู้ผลิตชิ้นส่วนสามมิติที่เคยระดมทุนชิ้นส่วนเพิ่มเติมสำหรับ Google Glass บน Kickstarter ตอนนี้ทางบริษัทก็ออกมาประกาศระดมทุนแท่งไม้กั้นประตู Hold the Door

แท่งไม้นี้ใช้กั้นประตูได้จริง ไม้จะไม่ได้พิมพ์สามมิติเพราะเป็นไม้จริง แต่ก็พิมพ์ลายเลเซอร์ให้เพื่อรำลึกถึง

ค่าแท่งไม้ 19 ดอลลาร์ แต่ค่าส่งมาไทย 16 ดอลลาร์ งานนี้คงต้องรักกันจริงสักหน่อย

SWIFT ประกาศ 5 มาตรการเพิ่มความแข็งแกร่งให้ระบบ

By lew

on 25 May 2016 - 01:24 Tag: Banking, SWIFT Messaging, Security

Banking

ปัญหาการโจมตีธนาคารผ่านระบบเชื่อมต่อระหว่างธนาคาร SWIFT ตอนนี้ทาง SWIFT ก็ออกมาประกาศชุดมาตรการเพิ่มความปลอดภัยให้ทั้งเครือข่ายแล้ว โดยแบ่งแผนออกมาเป็น 5 ส่วน

Pebble 2 และ Time 2 ระดมทุนแล้ว พร้อมรุ่นใหม่ Pebble Core

By lew

on 25 May 2016 - 00:05 Tag: Pebble, Smart Watch

Pebble

Pebble ผู้ผลิตสมาร์ตวอชที่เกิดจากการระดมตั้งแต่แรกเปิดระดมทุนอีกครั้ง โดยครั้งนี้มาพรอมกัน 3 รุ่นหลัก

Pebble 2 และ Pebble Time 2 เพิ่มฟีเจอร์สำคัญคือการวัดอัตราการเต้นหัวใจได้ในตัวแล้ว ความแตกต่างของทั้งสองรุ่นเป็นเรื่องจอภาพขาวดำและจอสีเช่นเดิม ส่วนอายุแบตเตอรี่อยู่ที่ 7 วัน และ 10 วันตามลำดับ ทั้งสองรุ่นกันน้ำลึก 30 เมตร Pebble 2 ราคาเริ่มต้น 99 ดอลลาร์ เริ่มส่งมอบกันยายนนี้ ส่วน Pebble Time 2 ราคาเริ่มต้น 169 ดอลลาร์เริ่มส่งมอบพฤศจิกายนนี้