ในยุคของ Windows 8.x บัญชี Microsoft Account มีความสำคัญมากขึ้นเรื่อยๆ เพราะสามารถใช้ล็อกอินเป็นบัญชีผู้ใช้ของ Windows ได้ด้วย

เพื่อลดปัญหาการถูกแฮ็กบัญชี ไมโครซอฟท์จึงเพิ่มฟีเจอร์ด้านความปลอดภัยให้บัญชี Microsoft Account จากการล็อกอินสองชั้นที่เคยประกาศไปแล้ว ดังนี้

ปัญหาอย่างหนึ่งของอีเมลคือมันสามารถปลอมแปลงตัวตนของผู้ส่ง เพื่อหลอกลวงในลักษณะ phishing ได้ง่าย หน่วยงานในโลกไอทีต่างๆ จึงพยายามแก้ปัญหาด้วยระบบการยืนยันตัวตนของผู้ส่ง ซึ่งที่ได้รับความนิยมมี 2 มาตรฐานคือ DKIM (DomainKey Identified Email) และ SPF (Sender Policy Framework)

ความยากของการบังคับใช้มาตรฐานเหล่านี้คือโฮสต์ที่ใช้ส่งอีเมลมีเป็นจำนวนมาก และไม่มีใครรู้ว่าปัจจุบันนี้โฮสต์หรือเซิร์ฟเวอร์อีเมลเหล่านี้ใช้งานมาตรฐานเหล่านี้มากน้อยแค่ไหน

ปัญหาการตั้งรหัสผ่านไม่ดี ทำให้แฮกเกอร์ถอดรหัสผ่านออกมาได้ง่ายเป็นปัญหาที่ยังแก้ไม่ตกของระบบรักษาความปลอดภัยคอมพิวเตอร์ แม้ที่ผ่านมาจะมีกระบวนการ "วัด" ความแข็งแรงของรหัสผ่านกันออกมาหลายรูปแบบ ตอนนี้ Microsoft Research เสนอแนวทางใหม่ในการแนะนำผู้ใช้ให้สร้างรหัสผ่านให้ปลอดภัย ด้วยการแนะนำผู้ใช้ทีละตัวอักษรว่าไม่ควรใช้ตัวอักษรใดต่อไป ในชื่อว่า Telepathwords

ด้วยวิธีการนี้ ทุกครั้งที่ผู้ใช้พิมพ์รหัสผ่านเพื่อตั้งรหัสผ่านครั้งแรก ซอฟต์แวร์จะแนะนำว่าไม่ควรใช้ตัวอักษรใดเป็นตัวต่อไป เพราะคาดเดาได้ง่ายเกินไป เช่น เมื่อพิมพ์ตัว "t" จะแนะนำว่าไม่ควรใช้ตัว "h", "o", และ "v" ต่อ เพราะพบบ่อยในภาษาอังกฤษ

มีรายงานข่าวผ่าน CNNMoney ว่ามีแฮกเกอร์ได้ทำการดักข้อมูลผู้ใช้ด้วยวิธี keylogging ทำให้แฮกเกอร์ได้ข้อมูลบัญชีผู้ใช้เวบไซต์ต่างๆ เกือบ 2 ล้านบัญชี เช่น Facebook Twitter Yahoo Google และอื่นๆ

นักวิจัยความปลอดภัยทางไซเบอร์จากบริษัท Trustwave ได้ให้ข้อมูลว่าไวรัส(น่าจะเป็นมัลแวร์ - ผู้เขียน)นี้จะทำการดักจับข้อมูลการล็อคอินเว็บไซต์ของผู้ใช้ในช่วงเดือนที่ผ่านมา และทำการส่งชื่อผู้ใช้และรหัสผ่านกลับไปยังเซิร์ฟเวอร์ของแฮกเกอร์ โดยจำนวนคอมพิวเตอร์ที่ติดไวรัสนี้ยังไม่ทราบจำนวนแน่ชัดว่ามีจำนวนเท่าใด

ประธานาธิบดีบารัค โอบามา ตอบคำถามระหว่างการพบปะกับกลุ่มเยาวชน ในประเด็นเรื่องอุปกรณ์ไอทีที่เขาใช้งาน

เขาบอกว่าไม่ได้รับอนุญาตให้ใช้ iPhone ได้เพราะเหตุผลด้าน "ความปลอดภัย" (security reasons) แต่เขาก็ยังมีผลิตภัณฑ์อื่นของแอปเปิลคือ iPad ไว้ใช้งาน

เป็นที่รู้กันดีว่าโอบามาใช้มือถือ BlackBerry มานาน และเมื่อเขาชนะการเลือกตั้งได้เป็นประธานาธิบดี ทางทีมของทำเนียบขาวก็อนุญาตให้เขายังใช้ BlackBerry ต่อไปได้ (แต่ไม่มีข้อมูลว่าปัจจุบันเขาใช้ BlackBerry รุ่นไหนกันแน่)

ที่มา - Reuters

หลังจากกูเกิลและยาฮูประกาศเข้ารหัสข้อมูลทั้งหมดไปก่อนแล้ว ตอนนี้ไมโครซอฟท์ก็ออกมาแถลงถึงกำหนดการการเข้ารหัส โดยไมโครซอฟท์แสดงถึงความโปร่งใสสามส่วนเพื่อรับประกันว่าข้อมูลผู้ใช้จะไม่ถูกดักฟังโดยรัฐ ได้แก่ การเข้ารหัสระหว่างศูนย์ข้อมูล, การเข้ารหัสการรับส่งข้อมูลจากลูกค้า, การเปิดเผยโค้ดในซอฟต์แวร์เพื่อรับประกันว่าจะไม่มีการใส่ประตูลับไว้ในโค้ด

ไมโครซอฟท์สัญญาว่าภายในปี 2014 จะปรับบริการหลักๆ ได้แก่ Outlook.com, Office365, SkyDrive, และ Windows Azure ให้รองรับการเข้ารหัสที่แข็งแกร่งขึ้น

เมื่อสองเดือนก่อนมีรายงานถึงช่องโหว่ของเรท์เตอร์หลายรุ่นของ D-Link ที่มีช่องทางลับสามารถเข้าไปจัดการระบบได้โดยไม่ต้องมีรหัสผ่าน ตอนนี้ทาง D-Link ก็ปล่อยแพตซ์แก้ปัญหานี้ออกมาแล้ว

พร้อมกับปล่อยแพตซ์ ทาง D-Link ระบุว่าตอนนี้มีอีเมลลวงให้ผู้ใช้กดลิงก์เพื่อเข้าจัดการเราท์เตอร์ ทาง D-Link จึงออกประกาศว่าทางบริษัทไม่ได้ส่งอีเมลเหล่านั้น และเตือนให้ผู้ใช้ปิดช่องทางเข้าแอดมินทางพอร์ต WAN

รายชื่อเราท์เตอร์ที่ได้รับแพตซ์ในรอบนี้ได้แก่ DI-524, DI-524UP, DIR-604+, DIR-604UP, DIR-624S, TM-G5240, DIR-100, และ DIR-120

ช่องโหว่แบบเดียวกันยังมีรายงานในเราท์เตอร์ Planex และ Alpha Networks แต่ยังไม่มีแพตซ์ออกมาแต่อย่างใด

Akamai ผู้ให้บริการ CDN ที่ใหญ่ที่สุดในโลก (ไม่นับบริษัทที่สร้าง CDN ใช้เอง) ครองทราฟิกอินเทอร์เน็ตทั้งโลกเกือบ 20% เข้าซื้อบริษัทให้บริการป้องกันการโจมตีออนไลน์ Prolexic Technologies ผู้ให้บริการป้องกัน DDoS ด้วยมูลค่าประมาณ 370 ล้านดอลลาร์ เป็นเงินสด

การเข้าซื้อครั้งนี้มีเหตุผลชัดเจน คือ Akamai ต้องการเทคโนโลยีต่อสู้กับ DDoS ของ Prolexic เพื่อมาประกอบเข้ากับบริการ CDN ของตัวเอง ให้บริการเว็บประสิทธิภาพสูงแก่ลูกค้า แบบเดียวกับ CloudFlare ทุกวันนี้

Symantec ค้นพบเวิร์มบนลินุกซ์ชื่อ Linux.Darlloz ที่อาศัยช่องโหว่เก่าของ PHP (ถูกแพตช์ตั้งแต่เดือน พ.ค. 2012) ในการแพร่กระจายตัวไปยังอุปกรณ์ต่างๆ

เวิร์มตัวนี้ยังไม่สร้างอันตรายให้กับระบบมากนัก เป็นแค่การทดสอบของแฮ็กเกอร์ผู้สร้างเวิร์มว่ามันทำงานได้จริงหรือไม่ (ตอนนี้ยังมีผลเฉพาะอุปกรณ์ที่เป็น x86 เท่านั้น) แต่ก็จะเริ่มมีเวิร์มเวอร์ชันกลายพันธุ์ที่มุ่งโจมตีอุปกรณ์ที่ใช้ซีพียูสถาปัตยกรรมอื่นแล้ว

มัลแวร์รูปแบบใหม่ที่ระบาดมากในช่วงหลังคือมัลแวร์แบบเรียกค่าไถ่ข้อมูล หรือ ransomware ที่เข้ารหัสข้อมูลในเครื่องแล้วแจ้งให้จ่ายเงินเพื่อขอรหัสผ่านมาปลดล็อกไฟล์ในเครื่อง

ก่อนหน้านี้มัลแวร์เหล่านี้มักใช้กระบวนการที่อ่อนแอ มัลแวร์บางตัวใช้กุญแจเข้ารหัสเดิมเสมอ ทำให้สามารถหากุญแจมาถอดรหัสได้ตามอินเทอร์เน็ต บางตัวอาจจะใช้กุญแจขนาดเล็ก ทำให้ถอดรหัสได้ง่าย หลายตัวติดต่อเซิร์ฟเวอร์เดิมตลอดเวลา

Bogdan Alecu พนักงานด้านไอทีของบริษัท Levi9 ในเนเธอร์แลนด์ ค้นพบช่องโหว่ใหม่ในมือถือตระกูล Nexus ของกูเกิล (ไม่เกิดกับ Android ยี่ห้ออื่น) ที่รัน Android 4.x ขึ้นไป (รวมถึง KitKat ด้วย)

ช่องโหว่นี้ต้องใช้ร่วมกับการส่ง SMS Class 0 หรือที่เรียกกันทั่วไปว่า Flash SMS ซึ่งเป็น SMS แบบพิเศษตามมาตรฐาน GSM ที่ส่งแล้วแสดงผลขึ้นจอทันทีและไม่เก็บในกล่องข้อความของเครื่อง (มักใช้ในการแจ้งเตือนภัยพิบัติต่างๆ)

ปัญหาความปลอดภัยจากการออกแบบของ Ruby on Rails (RoR) อาจจะทำให้หลายบริการตกอยู่ในความเสี่ยงที่แฮกเกอร์สามารถนำ cookie เดิมมาใช้งานซ้ำได้ เพราะการจัดเก็บข้อมูลซ้ำ ทำให้เว็บแอพพลิเคชั่นที่ไม่ระวัง กลับใส่ข้อมูลการล็อกอินเอาไว้ใน CookieStore ทำให้แฮกเกอร์ที่ดักจับ cookie จากเบราว์เซอร์ผู้ใช้ได้สามารถนำกลับมาใช้ใหม่ได้เรื่อยๆ แม้ว่าผู้ใช้จะล็อกเอาต์ไปแล้ว

ข่าวการดักฟังข้อมูลของบริษัทต่างๆ ทำให้ผู้ให้บริการที่มีศูนย์ข้อมูลมากๆ เช่น กูเกิล, และยาฮู ออกมาประกาศว่าจะเข้ารหัสข้อมูลระหว่างศูนย์ข้อมูลของตัวเองกันก่อนหน้านี้ ตอนนี้มีข่าวไม่เป็นทางการว่าทางไมโครซอฟท์เองก็ตื่นตัวในเรื่องนี้ และเตรียมการกันแล้วเช่นกัน

ทาง The Washington Post อ้างแหล่งข่าวไม่เปิดเผยตัวตนว่าผู้บริหารระดับสูงของไมโครซอฟท์กำลังเข้าประชุมกันเพื่อกำหนดแนวทางการเข้ารหัส และกำหนดระยะเวลาว่าสามารถเข้ารหัสได้ภายในระยะเวลาเท่าใด

โครงการที่ดักฟังระหว่างศูนย์ข้อมูลของผู้ให้บริการของ NSA คือโครงการ MASCULAR แม้จะไม่มีการระบุในเอกสารโดยตรงว่ามีการดักฟังระหว่างศูนย์ข้อมูลของไมโครซอฟท์ แต่บริการของไมโครซอฟท์ก็เป็นเป้าหมายของการดักฟังของ NSA ผ่านการดักฟังจากผู้ใช้

การรักษาความปลอดภัยขั้นสุดท้ายเป็นปัญหาสำคัญขององค์กรจำนวนมาก เช่น รหัส root ของเครื่องเซิร์ฟเวอร์หลักในระบบ รหัสผ่านเพื่อเข้าถึง private key บนสมาร์ตการ์ด การเก็บรักษาข้อมูลเหล่านี้ส่วนมากต้องอาศัยการพิมพ์ออกมาเป็นกระดาษแล้วนำไปเก็บรักษาไว้ที่ปลอดภัยเช่นตู้เซฟธนาคารที่ต้องการกุญแจสองดอกให้เปิดพร้อมกันจึงนำข้อมูลออกมาใช้งานได้ ตอนนี้ CloudFlare ผู้ให้บริการ reverse proxy รายใหญ่ก็นำโครงการภายในที่ชื่อว่า Red October เปิดซอร์สออกมาให้ใช้งานกัน

Red October คือเซิร์ฟเวอร์เข้ารหัสและถอดรหัส โดยไม่มีข้อมูลที่ต้องการเก็บรักษาอยู่บนเซิร์ฟเวอร์จริง ในตัวเซิร์ฟเวอร์ของ Red October นั้นจะเก็บกุญแจ RSA ของผู้ใช้ทุกคนเอาไว้ เมื่อมีการร้องขอให้เข้ารหัสข้อมูลใดๆ เซิร์ฟเวอร์จะ

กระบวนการเข้ารหัสแบบสตรีมอย่าง RC4 ที่รับรู้กันว่าถูกประดิษฐ์ขึ้นมาโดย Ron Rivest หรือตัว R ใน RSA ตั้งแต่ปี 1987 ถูกอ้างว่ามีสิทธิบัตรที่เกิดขึ้นก่อนหน้า ในสิทธิบัตรหมายเลข US 5412730 A สิทธิบัตรนี้ถือครองโดยบริษัท TQP Development โดยตอนนี้มีบริษัทถูก TQP ยื่นฟ้องแล้ว 140 บริษัท แต่ Newegg ผู้ค้าปลีกไอทีรายใหญ่ไม่ยอมจ่ายค่าสิทธิบัตร และนำคดีนี้ขึ้นศาล

RC4 เป็นกระบวนการเข้ารหัสพื้นฐานที่ได้รับความนิยมสูง เพราะมีประสิทธิภาพที่ดี เว็บจำนวนมากใช้ RC4 เป็นกระบวนการเข้ารหัสลำดับแรกเพราะต้องการประหยัดทรัพยากร

ภายใต้บรรยากาศความกลัว NSA ของทั้งโลก การปรับปรุงความปลอดภัยที่เคยมีความสำคัญลำดับ "รองๆ" ก็กลายเป็นวาระเร่งด่วนที่บริการหลักๆ ทั่วโลก เร่งปรับปรุง และตอนนี้สามผู้ให้บริการสำคัญคือ ทวิตเตอร์, กูเกิล, และเฟซบุ๊ก ต่างปรับปรุงกระบวนการเข้ารหัสเพิ่มเติม

กระบวนการที่สำคัญคือการ รองรับ "ความเป็นความลับในอนาคต" (forward secrecy) ในการเข้ารหัส โดยกระบวนการเข้ารหัสเว็บที่ใช้ TLS นั้นจะแบ่งออกเป็นสองส่วน ได้แก่การแลกกุญแจ (key exchange) และการเข้ารหัสแบบสมมาตร การแลกกุญแจที่ง่ายที่สุดคือการแลกด้วยการเข้ารหัสแบบไม่สมมาตร RSA แม้จะง่ายและประหยัดซีพียู แต่มีปัญหาคือหากกุญแจลับ RSA หลุดออกไป คนที่ดักฟังข้อมูลทั้งหมดก็จะสามารถนำกุญแจลับไปถอดรหัสข้อมูลกลับออกมาได้

[ดักที่บรรทัดแรก] ข่าวนี้ HP พูดถึง แอพที่อยู่บน iOS ไม่ใช่ตัวระบบปฏิบัติการ iOS นะครับ

Mike Armistead ผู้บริหารของ HP ออกมาให้ข้อมูลว่าบริษัทได้ทดสอบด้านความปลอดภัยของแอพบน iOS มากกว่า 2,000 ตัว มีที่มาจากบริษัทกว่า 600 แห่งใน 50 ประเทศ และพบว่าแอพส่วนใหญ่มีปัญหาด้านความปลอดภัย

เมื่อวันที่ 4 พฤศจิกายน 2013 ที่ผ่านมา Oliver Grawert นักพัฒนาคนหนึ่งในทีมวิศวกรรมของ Ubuntu ได้โพสต์แสดงความคิดเห็นในเมลลิงลิสต์ว่านโยบายการอัพเดตของ Linux Mint ที่ไม่ปล่อยตัวอัพเดตความปลอดภัยให้กับผู้ใช้จะทำให้ระบบของผู้ใช้ตกอยู่ในความเสี่ยงที่จะโดนโจมตี (vulnerable) และตัวเขาเองก็ไม่ต้องการจะใช้ระบบเช่นนั้นทำธุรกรรมออนไลน์

i would say forcefully keeping a vulnerable kernel browser or xorg in place instead of allowing the provided security updates to be installer makes it a vulnerable system, yes

i personally wouldn't do online banking with it ;)

จากกรณีของโครงการ MASCULAR ที่มีความพยายามดักฟังข้อมูลที่ถูกส่งระหว่างศูนย์ข้อมูลโดยมีจำเลยเป็นกูเกิลและยาฮู ทางฝั่งของยาฮูได้ออกมาประกาศแผนการเข้ารหัสระหว่างศูนย์ข้อมูลแล้ว

Marissa Mayer ซีอีโอของยาฮูยังคงยืนยันผ่านบล็อกของยาฮูว่า ยาฮูไม่เคยอนุญาตให้มีการเข้าถึึงข้อมูลในศูนย์ข้อมูลไม่ว่าจาก NSA หรือจากหน่วยงานข่าวกรองใดๆ เลย กระบวนการนี้จะใช้การเข้ารหัสขนาด 2048 บิตและเสร็จสิ้นภายในเดือนมีนาคมปีหน้า และมีการเข้ารหัสในทุกๆ บริการด้วย

ข่าวการดักฟังระหว่างศูนย์ข้อมูลของ NSA ในชื่อโครงการ MASCULAR ทำให้บริษัทผู้ให้บริการต้องเร่งออกมาสร้างความมั่นใจให้กับผู้ใช้งานกันยกใหญ่ ก่อนหน้านี้กูเกิลเป็นรายแรกที่ประกาศเข้ารหัสระหว่างศูนย์ข้อมูล ตอนนี้ Yahoo! ก็ประกาศตามออกมาแล้วว่าจะเข้ารหัสข้อมูลทั้งหมดภายในไตรมาสแรกของปี 2014

ก่อนหน้านี้ Yahoo! เพิ่งเปิดให้บริการ HTTPS ผ่าน Yahoo! Mail ไป นับเป็นผู้ให้บริการรายหลังๆ ที่มีตัวเลือกนี้ นอกจากการเข้ารหัสแล้วยังมีกำหนดการเปลี่ยนใบรับรอง SSL ที่จะเข้ารหัส 2048 บิตภายในวันที่ 8 มกราคม 2014 นี้

ย้อนกลับไปสัปดาห์ที่แล้ว เว็บไซต์ MacRumors ได้ถูกแฮ็กเกอร์แฮ็กเข้าไปยังส่วนของบอร์ดสนทนาซึ่งใช้ซอฟต์แวร์ vBulletin และเข้าถึงข้อมูลส่วนตัวของผู้ใช้งานกว่า 860,000 ราย Arnold Kim หัวหน้าบรรณาธิการของ MacRumors ได้ให้ข้อมูลว่า มีการเข้าระบบโดยใช้บัญชีของผู้ดูแลบอร์ดซึ่งน่าจะกระทำโดยแฮ็กเกอร์ และมีการใช้เทคนิคการยกระดับสิทธิ์เพื่อให้สามารถเข้าถึงข้อมูลผู้ใช้ได้

จากข่าวประกาศการแข่งขัน Mobile Pwn2Own 2013 ซึ่งจัดขึ้นที่การประชุม PacSec กลุ่มแฮ็กเกอร์จากญี่ปุ่นและอีกกลุ่มหนึ่งจากจีนได้ประสบความสำเร็จในการแฮ็ก Galaxy S4 และ iPhone 5 แล้ว โดยแต่ละรายการมีรายละเอียดดังนี้

หลังจากงาน IETF-88 การโต้เถียงประเด็นความปลอดภัยของ HTTP 2.0 ยังคงไม่ได้ข้อสรุป โดยมีแนวทางสำคัญ การเข้ารหัสเท่าที่เป็นไปได้ และการบังคับเข้ารหัสเต็มรูปแบบ

กระบวนการเข้ารหัสเท่าที่เป็นไปได้ (opportunistic encryption) คือการเปิดให้เบราว์เซอร์พยายามเข้ารหัสก่อนเสมอ แม้จะไม่มีใบรับรองดิจิตอลเต็มรูปแบบก็ตาม เบราว์เซอร์ก็ยังยอมรับการเข้ารหัสกับเซิร์ฟเวอร์เหล่านี้ แต่จะแสดงผลกับผู้ใช้ว่ากำลังใช้งานเป็น HTTP และไม่แจ้งผู้ใช้ว่ากำลังเข้ารหัสอยู่

ปัญหาความปลอดภัยของ Adobe ที่ทำข้อมูลผู้ใช้และรหัสผ่านหลุดมาเป็นจำนวนมาก ยิ่งกว่านั้นรหัสผ่านเหล่านั้นยังไม่ได้แฮชค่าเอาไว้ ทำให้ผู้ใช้ตกในความเสี่ยงเป็นวงกว้าง ปัญหาสำคัญคือผู้ใช้หลายคนมักใช้รหัสผ่านเดียวกันในหลายบริการ ทำให้รหัสผ่านเหล่านี้อาจจะถูกใช้ซ้ำในบริการของเฟซบุ๊ก ทางเฟซบุ๊กจึงป้องกันไว้ก่อนด้วยการแจ้งเตือนให้ผู้ใช้ที่มีความเสี่ยงเปลี่ยนรหัสผ่านทันที

เฟซบุ๊กเข้าตรวจสอบรายการอีเมลและรหัสผ่านที่หลุดออกมาจากฐานข้อมูลของ Adobe แล้วเทียบเข้ากับฐานข้อมูลผู้ใช้ตัวเอง หากมีอย่างใดอย่างหนึ่งตรงกันเฟซบุ๊กจะแจ้งให้ผู้ใช้เปลี่ยนรหัสผ่าน โดยต้องตอบคำถามยืนยันตัวตนก่อน

ค่าแฮช SHA-1 ถูกใช้งานมาตั้งแต่ปี 1995 โดยทั่วไปแล้วยังมีความแข็งแกร่งดี แต่งานวิจัยช่วงหลังๆ แสดงให้เห็นว่าการสร้างค่าที่ทำให้ค่าแฮชชนกันด้วย SHA-1 นั้นง่ายกว่าที่ออกแบบไว้อย่างมาก และมีความเสี่ยงที่จะถูกปลอมใบรับรองได้ทำให้ไมโครซอฟท์ออกมาประกาศแล้วว่าจะเลิกยอมรับใบรับรองที่เซ็นไว้ด้วย SHA-1

เมื่อปีที่แล้วมีงานวิจัยตีพิมพ์ออกมาว่าสามารถสร้างค่าแฮช SHA-1 ที่ชนกันได้ด้วยการคำนวณเพียง 2^61 รอบเท่านั้น แม้ค่าแฮชของ SHA-1 จะมีขนาดถึง 160 บิตก็ตาม