Author name: NT cyfence

W3C เผยร่างของ Web Cryptography API โดยเป็น JavaScript API ที่ทำหน้าที่เป็นฟีเจอร์ในการเข้ารหัสและถอดรหัสข้อมูล ตัวอย่างการนำมาใช้งานเช่นการพิสูจน์ตัวตนของผู้ใช้งานผ่านทางเว็บแอพพลิเคชั่น โดยมันจะสร้างวิธีการที่ปลอดภัยยิ่งขึ้นระหว่างเบราว์เซอร์และเซิร์ฟเวอร์

จากงาน DefCon Bangalore นักวิจัยด้านความปลอดภัยชาวอินเดียชื่อ Suriya Prakash วัย 17 ปีได้นำเสนอการค้นพบและวิจัยของเขาในกรณีที่มีการเจอบอทเน็ตเป็นจำนวนมากอยู่บนเครือข่าย Tor

นักวิจัยด้านความปลอดภัยสองคน คือ Juliano Rizzo และ Thai Duong กำลังเตรียมนำเสนองานวิจัยด้านความปลอดภัยของ TLS ด้วยกระบวนการที่เรียกว่า CRIME ในงาน ekoparty วันที่ 21 ที่จะถึงนี้ แต่ระหว่างนี้ก็เริ่มมีการตรวจสอบว่าบั๊กความปลอดภัยนี้ได้รับการแก้ไขในเบราว์เซอร์ใดไปแล้ว และมีการรายงานออกมาว่ามันทำงานอย่างไร

โปรแกรมแชตที่ได้รับความนิยมสูงมากบนโทรศัพท์มือถืออย่าง WhatsApp ถูกวิจารณ์ว่ามีปัญหาความปลอดภัยเพราะไม่เข้ารหัสการเชื่อมต่อมาโดยตลอด จนมีคนทำโปรแกรม WhatsAppSniffer เพื่อดักฟังการแชตบน Wi-Fi มาให้ใช้งานกันเป็นเรื่องเป็นราว การอัพเกรดรอบหลังสุดของ WhatsApp จึงแก้ปัญหานี้ด้วยการเข้ารหัสการแชตทั้งหมด แต่ก็มีคนพบว่ามันใช้หมายเลข IMEI เป็นรหัสผ่าน

ปัญหานี้คล้ายกับ ช่องโหว่ของ Java บนแมค แต่เปลี่ยนคู่มาเป็น Windows 8 กับ Flash Player แทน

เรื่องมีอยู่ว่า IE10 บน Windows 8 ใช้วิธีฝัง Flash Player มาในตัว (ทำนองเดียวกับ Chrome ที่ปัจจุบันฝัง Flash มาเลย) เรื่องดูเหมือนไม่มีอะไร แต่ช่วงเวลาเกือบ 3 เดือนระหว่าง Windows 8 RTM วันที่ 1 สิงหาคม จนถึง Windows 8 GA วันที่ 26 ตุลาคม กลับกลายเป็นปัญหาเข้าจนได้

เหตุผลเพราะ Adobe เพิ่งอัพเดตความปลอดภัยให้กับ Flash Player ชุดใหญ่ในวันที่ 21 สิงหาคมที่ผ่านมา โดยมีความเร่งด่วนระดับสูงสุดหรือ Priority 1 ซึ่งคนที่ใช้ Windows 7 ลงไปหรือแมคก็คงอัพเดต Flash กันได้ตามปกติไม่มีปัญหา คนที่ใช้ Chrome ก็ไม่ต้องทำอะไรเป็นพิเศษเพราะเดี๋ยวกูเกิลจัดการให้

ปัญหาช่องโหว่ของ Java กลายมาเป็นภัยคุกคามต่อผู้ใช้เข้าจริงๆ แล้ว โดยบริษัทความปลอดภัยหลายแห่งตรวจพบว่ามีการปลอมอีเมลจากไมโครซอฟท์ (ซึ่งไมโครซอฟท์เพิ่งส่งอีเมลปรับนโยบายการใช้งานออกมาจริงๆ หลายคนแถวนี้คงได้รับ) แต่เปลี่ยนลิงก์เป็นเว็บไซต์ประสงค์ร้ายแทน

ในช่วงนี้ค่อนข้างจะมีการผุดขึ้นมาของกลุ่มแฮ็กเกอร์ใหม่ๆ เป็นจำนวนมาก ดังนั้นผมจึงจะขอแจ้งให้ทราบก่อนว่าผมจะเขียนเฉพาะข่าวที่ผู้อ่านส่วนมากได้รับผลกระทบนะครับ นอกนั้นจะขอยกเว้นครับ สำหรับข่าวนี้เป็นผลงานของกลุ่มแฮ็กเกอร์ที่เรียกตัวเองว่า NullCrew เหยื่อของการโจมตีนี้ได้แก่เว็บไซต์หลักของ Sony Mobile ซึ่งได้ถูกเจาะเข้าไปและขโมยฐานข้อมูลของลูกค้าบางส่วนออกมาเผยแพร่สู่สาธารณะ โดยผู้โจมตีนั้นยังได้อ้างว่านี่เป็นเพียงหนึ่งจากแปดเซิร์ฟเวอร์ของ Sony ที่ถูกแฮ็ก และได้แอบใบ้ด้วยว่าอาจจะอยู่ในช่วงหมายเลขไอพีใกล้ๆ กันก็เป็นได้ เหยื่ออีกรายหนึ่งสืบเนื่องจากเหตุการณ์ที่ผู้ก่อตั้ง The Pirate Bay ถูกจับกุมในกัมพูชา กลุ่ม NullCrew ก็ได้ทำการโจมตีเว็บไซต์กองทัพกัมพูชา

NT cyfence ผู้ให้บริการรักษาความปลอดภัยเทคโนโลยีสารสนเทศ (IT Security) โดย บมจ. กสท โทรคมนาคม ร่วมงานสัมมนาหัวข้อ “Protects your Organization with the Smart Technology”