แนวทางการบังคับ HTTPS ในเว็บใหญ่ๆ มากขึ้นเรื่อยๆ ตอนนี้ชุมชนออนไลน์ขนาดใหญ่อย่าง Reddit ก็ประกาศแล้วว่าวันที่ 29 มิถุนายนนี้จะบังคับเข้าเว็บผ่าน HTTPS เท่านั้น

Reddit เพิ่งเปิดบริการ HTTPS มาเมื่อเดือนกันยายนปีที่แล้ว

เว็บบางส่วนของ Reddit จะใช้งานไม่ได้หลังการบังคับใช้ HSTS เต็มรูปแบบ เพราะทาง Reddit ใช้ใบรับรองแบบ wildcard แต่ใบรับรองเหล่านี้ไม่สามารถใช้งานกับซับโดเมนระดับสอง เช่น www.np.reddit.com

NowSecure รายงานช่องโหว่ร้ายแรงบนโทรศัพท์ซัมซุงหลายรุ่นที่ติดตั้งคีย์บอร์ด SwiftKey มาในตัว เมื่อผู้ใช้กดติดตั้งภาษาใหม่กลับดาวน์โหลดผ่าน HTTP กระบวนการตรวจสอบความถูกต้องของไฟล์ก่อนใช้งานก็เป็นเพียงการส่งค่า SHA1 ของไฟล์ผ่าน HTTP อีกเช่นกัน

Let's Encrypt เปิดโครงการมาตั้งแต่ปลายปีที่แล้ว ทางโครงการวางเป้าหมายว่าจะเริ่มให้บริการช่วงกลางปี ตอนนี้กำหนดการชัดเจนออกมาแล้วว่าคนทั่วไปจะเริ่มขอใช้บริการได้ในช่วงสัปดาห์ของวันที่ 14 กันยายนนี้

ทาง Let's Encrypt ระบุว่าจะออกใบรับรองใบแรกในช่วงสัปดาห์ของวันที่ 27 กรกฎาคมนี้ แต่ช่วงแรกจะใช้งานในวงจำกัดและยังไม่มี cross-signature ทำให้เบราว์เซอร์ทั่วไปจะไม่รองรับใบรับรองจาก Let's Encrypt ในช่วงแรก และโดเมนที่เข้าใช้งานได้ก็ต้องได้รับอนุญาตล่วงหน้า

กูเกิลเปิดโครงการ Android Security Rewards ให้รางวัลนักวิจัยที่พบช่องโหว่ความปลอดภัยของแอนดรอยด์ โดยจำกัดเฉพาะแอนดรอยด์บนอุปกรณ์ของกูเกิลเอง คือ Nexus 6 และ Nexus 9 เท่านั้น

เงินรางวัลสำหรับการรายงานช่องโหว่อย่างเดียวจะสูงสุดที่ 2,000 ดอลลาร์ แต่หากเขียนเทสเคสก็จะได้รางวัลเพิ่ม หากให้แพตช์แก้ไขมาด้วยรางวัลจะเพิ่มไปสูงสุด 8,000 ดอลลาร์ และในกรณีที่ช่องโหว่เหล่านั้นสามารถเจาะเข้าถึงเคอร์เนลได้จะได้รางวัลเพิ่มอีกสูงสุด 20,000 ดอลลาร์ รางวัลใหญ่ที่สุดคือการเจาะเข้า TrustZone และระบบ Verified Boot จะได้รางวัลเพิ่มสูงสุดไปถึง 30,000 ดอลลาร์

ไมโครซอฟท์ประกาศเพิ่มบริการตรวจสอบบัญชีผู้ใช้ใน Active Directory ที่ใช้บริการผ่าน Azure AD Premium ว่าหลุดออกมากับฐานข้อมูลผู้ใช้ในเว็บหรือบริการใดหรือไม่ และแจ้งเตือนให้ผู้ดูแลระบบได้รับทราบเพื่อแก้ปัญหาล่วงหน้า

แนวทางนี้ช่วยลดความเสี่ยงให้กับองค์กรในกรณีที่ผู้ใช้ตั้งรหัสผ่านกับหลายๆ บริการเหมือนกัน ทางไมโครซอฟท์แนะนำว่าหากผู้ใช้อยู่ในรายการรหัสผ่านหลุดออกไปแล้ว ให้เปิดใช้งานการยืนยันตัวตนหลายปัจจัย (multi-factor authentication) หรือรีเซ็ตรหัสผ่านเสียใหม่

LastPass ประกาศว่าบริษัทพบความผิดปกติในเครือข่ายภายใน และเมื่อตรวจสอบแล้วพบว่าฐานข้อมูลที่มีข้อมูล อีเมล, ข้อมูลช่วยจำรหัสผ่าน, ค่า salt ของผู้ใช้รายคน, และค่าแฮชรหัสผ่าน ได้ถูกขโมยออกไปจากเซิร์ฟเวอร์

ทาง LastPass ระบุว่ายังมั่นใจว่าการเข้ารหัสตัวรหัสผ่านด้วย PBKDF2-SHA256 ที่หนึ่งแสนรอบบนเซิร์ฟเวอร์เพิ่มจากฝั่งไคลเอนต์จะช่วยให้รหัสผ่านของผู้ใช้ปลอดภัยดีอยู่ แต่เพื่อความไม่ประมาททาง LastPass จะให้ผู้ใช้ทุกคนที่ล็อกอินจากไอพีหรืออุปกรณ์ที่แปลกไปจากเดิมให้ยืนยันตัวตนอีกครั้ง พร้อมกับแจ้งเตือนให้ผู้ใช้เปลี่ยนรหัสผ่านหลัก (master password)