หลังจากรอคอยมานานแสนนาน......(ไม่ใช่แล้ว) ที่ล้ออันนี่เนื่องมาจากว่ากำหนดการออกเอกสาร "10 อันดับความเสี่ยงสูงสุดของเว็บแอพพลิเคชัน" ซึ่งเกิดจากการรวบรวมขอข้อมูลจากบริษัทต่าง ๆ โดยจะสรุปออกมาเป็นความเสี่ยง (ช่องโหว่) นั้นมีกำหนดจะต้องออกภายในปี 2016 แต่โดนโรคเลื่อนจนมาถึงปี 2017 โดยเอกสารที่ออกมาตอนนี้ก็ยังไม่ใช่ version เต็มเพราะฉะนั้นรายละเอียดอาจจะมีเปลี่ยนเล็กน้อย แต่เรื่องอันดับนี่ไม่น่าจะมีเปลี่ยนแล้วแน่นอน

หลังจากที่มี ข่าวการดักฟังข้อมูลของ NSA ออกมาเรื่อยๆ ดูเหมือนว่าประเทศสวิตเซอร์แลนด์จะเริ่มเนื้อหอมขึ้นตามไปด้วย โดยคราวนี้หลังจากที่มีข่าวการเลิกพัฒนาของ TrueCrypt ออกมานั้น ได้มีกลุ่มนักพัฒนาซึ่งตอนนี้ยังไม่เปิดเผยชื่อทีมออกมาตั้งเว็บไซด์ เพื่อที่จะพยายามคืนชีพให้กับโปรแกรมนี้แล้ว

จากข่าวที่แล้ว: Pwn2Own วันที่สอง iPhone 4, BlackBerry Torch ร่วง Firefox, Android, WP7 ยังอยู่รอด ที่ใช้ช่องโหว่ของ Browser ของ OS 6.0.0.246 ที่พัฒนาโดยใช้ Webkit

โดยช่องโหว่อยู่ใน JavaScript ซึ่งหากโจมตีจากจุดนี้ผลที่ได้คือการเข้าถึงข้อมูลในโทรศัพท์ทั้งใน media card และ built-in storage แต่ไม่นับข้อมูลที่เก็บไว้สำหรับแอพพลิเคชันเช่น อีเมลหรือข้อมูลในการติดต่อ (contact information)

เป็นความบังเอิญของผมเองที่คุยเรื่องความปลอดภัยบนระบบของ Linux กับรุ่นน้องอยู่ซึ่งต้องพิมพ์เครื่องหมายทแยงหรือเฉียงหลังหรือ slash ("/") (อ้างอิงจาก google guru)

พิมพ์ไปพิมพ์มาดันไปเจอการตอบกลับจากใครก็ไม่รู้ชื่อ sys ซึ่งตอนแรกตกใจว่าโดน Backdoor กันรึเปล่า (ดีนะที่เว็บที่ให้มามันเป็นของ skype เองไม่งั้นงานจะงอกกันใหญ่) โดย sys จะบอกว่ามีคำสั่งอะไรที่ใช้ได้บ้าง ผลของการลองเล่นคำสั่งดูคร่าวๆ พบว่ามีความคล้ายคลีงกับ IRC เช่น /me เป็นต้น ที่แน่ๆ มีการใส่ password ด้วยซึ่งความสามารถนี้ผมยังไม่ได้ลอง ตัวอย่างของคำสั่งที่ใช้ได้ดูในภาพข้างล่างนะครับ

นิตยสาร PC World ได้ทำการจัดอันดับช่องโหว่ที่ใช้ในการจู่โจมเว็บไซต์เมื่อปี 2010 ที่ผ่านมา โดยทั้ง 10 อันดับนี้จะถูกโหวตจากผู้เชี่ยวชาญและจากบุคคลทั่วไป (Open Vote)

ช่องโหว่ทั้ง 10 จัดอันดับได้ดังต่อไปนี้

1. Padding Oracle Crypto Attack: อาศัยช่องโหว่จาก Microsoft's Web Framework ASP.NET ที่ใช้ในการป้องกัน AES encryption Cookies ได้ซึ่งถ้าตัวข้อมูลของ Cookies ที่เข้ารหัสถูกเปลี่ยนแปลงตัว ASP.NET ที่ทำการดูแลข้อมูลพวกนี้อยู่จะหลุดข้อมูลบางอย่างซึ่งสามารถถอดรหัสข้อมูลได้ ด้วยจำนวนครั้งในการเปลี่ยนที่มากพอ แฮคเกอร์สามารถคาดเดาคีย์ที่ใช้ในการเข้ารหัสได้ง่ายขึ้น (โดย Juliano Rizzo และ Thai Duong)

กูเกิลได้ออกรายการตรวจสอบความปลอดภัย จำนวนทั้งหมด 18 หัวข้อ เพื่อให้ผู้ใช้งานรักษาความปลอดภัยในการใช้งาน คอมพิวเตอร์, เบราว์เซอร์, Google Account และ Gmail Setting ได้ดียิ่งขึ้น โดยในจำนวนนี้กูเกิลได้แนะนำว่าผู้ใช้ควรเลือกใช้รหัสผ่านเฉพาะ ยกตัวอย่างเช่น รหัสผ่านใน Facebook กับใน Gmail นั้นจะต้องไม่เป็นชุดเดียวกัน เป็นต้น

ผู้ใช้จะต้องเปลี่ยนรหัสผ่านเป็นช่วงๆ และจะต้องไม่หลงเชื่อหรือบอก และรหัสผ่านแก่บุคคลอื่นไม่ว่าจะเป็นทางข้อความหรือโทรศัพท์ไม่ว่ากรณีใดๆ

รายละเอียดของรายการตรวสอบสามารถเข้าไปดูได้ที่นี่ Checklist

วันนี้เข้าไปตามลิงก์ใน Twitter แล้วตกใจมีสัญลักษณ์แปลกๆ ตามหลังผลการค้นหาต่างๆ จึงลองกูเกิลเข้าไปดูเจอฟีเจอร์ตัวใหม่เข้านั่นคือ SearchWiki ไม่รู้ว่าทุกคนเคยใช้กันหรือยัง

SearchWiki นั้นสามารถให้ทุกคนมาทำการปรับแต่งผลการค้นหาที่ตัองการได้ไม่ว่าจะทำการจัดอันดับผลการค้นหาจนไปถึง การซ่อนผลที่ไม่ต้องการตลอดจนเพิ่มข้อคิดเห็นลงในแต่ละเว็บได้ โดยมีข้อแม้ว่าต้องล็อกอินเข้าไปก่อนถึงจะทำการปรับแต่งได้ และเรายังสามารถดูผลการปรับแต่งของผู้อื่นได้อีกด้วย

ปล. ผมยังไม่ได้ทดสอบจาก google.co.th นะครับลองจาก .com อย่างเดียวเพราะปรกติใช้ iGoogle อยู่แล้ว
ปล2. ผมยังไม่เคยเห็นผลของคนอื่นเลยนะครับ

ไอกูเกิลตัวใหม่ได้ย้ายตัวแท็บจากข้างบนมาไว้ด้านซ้ายและได้ทำการแสดงรายการของ gadget ทั้งหมดที่อยู่ในหน้านั้นๆ และแสดงสถานะของข้อมูลนั้นๆ คล้ายกับการแสดงจำนวนอีเมล์ที่ยังไม่ได้อ่านเหมือนใน Gmail โดยได้หยิบยืมความสามารถของ Gmail มาโดยให้คุณสามารถ chat กับคู่สนทนาขณะใช้งานไอกูเกิล ได้อีกด้วย นั่นทำให้ ไอกูเกิล สามารถบอกได้ว่าคู่สนทนาของคุณออนไลน์ได้ทุกเมื่อ โดยถ้าความสามารถ chat เปิดใช้งานตั้งแต่แรก ทำให้ Google จะต้องเพิ่มความสามารถในการแชร์ข้อมูลและปรึกษากันระหว่างคู่สนทนาออนไลน์ได้

เนื่องจากว่ากระผมเหลือบเข้าไปเห็นในหน้าเวปที่เกี่ยวข้องกับความปลอดภัยเจอเข้าอย่างจังเลย

เนื่องจากว่ามี Hacker คนหนึ่งได้ค้นพบโค้ด xss (cross-site scripting) ที่ซึ่งเป็นอันตรายต่อคนที่เข้าไปใช้ Facebook โดยโค้ดส่วนนี้ทำให้ผู้ใช้งานมีโอกาสที่จะติดไวรัส, โทรจันหรือ มัลแวร์ต่างๆ ได้ ดังนั้นทางแก้อันดับหนึ่งที่ผมคิดได้ตอนนี้คือ