ที่งานสัมมนา International Security Solutions Europe (ISSE) ในกรุงเบอร์ลิน คุณ Scott Charney ผู้บริหารอาวุโสของไมโครซอฟท์เสนอหนทางที่เป็นไปได้ในการจัดการกับบอทเน็ตและมัลแวร์อื่นๆ โดยดูแลพีซีที่ป่วยเหมือนที่สังคมดูแลคนป่วย

V K Saraswat ผู้อำนวยการหน่วยงานวิจัยของกองทัพชื่อ Defence Research and Development Organisation (DRDO) ประกาศโครงการตั้งศูนย์การพัฒนาซอฟต์แวร์ของ DRDO ในนิวเดลีและบังกะลอร์ เพื่อสร้างระบบปฏิบัติการของอินเดียเอง

เหตุผลสำคัญของการสร้างระบบปฏิบัติการ เป็นเรื่อง "ความมั่นคง" ล้วนๆ โดย Saraswat กล่าวว่าปัจจุบันอินเดียมีช่องโหว่ด้านซอฟต์แวร์มากมาย เพราะไม่มีระบบปฏิบัติการของตัวเอง ต้องใช้ระบบปฏิบัติการจากโลกตะวันตก ทำให้อุตสาหกรรมสำคัญหลายๆ อย่าง เช่น การเงิน กองทัพ มีความเสี่ยงต่อการถูกจารกรรมข้อมูล

โครงการนี้เป็นความร่วมมือของ DRDO กับบริษัทซอฟต์แวร์หลายแห่งในอินเดีย และรวมถึงสถาบันการศึกษาด้วย ตอนนี้ศูนย์วิจัยมีพนักงานประมาณ 50 คน และยังอยู่ในช่วงวางแผน

RIM อาจจะยังเคลียร์กับรัฐบาลอินเดียไม่ลงตัว (ข่าวเก่า) แต่ในสหรัฐอาหรับเอมิเรตส์ (UAE) ตอนนี้ทั้งสองฝ่ายตกลงกันเรียบร้อย

Telecommunications Regulatory Authority หรือ กทช. ของ UAE ออกมายืนยันแล้วว่ามือถือ BlackBerry "ผ่านมาตรฐาน" ของ TRA เรียบร้อยแล้ว และทาง RIM ก็สามารถให้บริการ BlackBerry ต่อไปได้ จากเดิมที่ถูกขู่ว่าจะสั่งหยุดบริการในวันที่ 11 ตุลาคมนี้ (ข่าวเก่า)

เมื่อวานที่่ผ่านมา H-Root ซึ่งเป็น 1 ใน 13 เซิร์ฟเวอร์ต้นทาง DNS ของทั้งโลกถูกโจมตีจนให้บริการไม่ได้ไปถึง 18 ชั่วโมง เรื่องนี้อาจจะไม่น่าตกใจเท่ากับว่า H-Root นั้นดำเนินการโดยห้องวิจัยของกองทัพบกสหรัฐฯ

H-Root นั้นเป็น root DNS ตัวเดียวที่ยังให้บริการจากที่เดียวคือ Aberdeen Proving Ground ขณะที่เซิร์ฟเวอร์อื่นๆ นั้นมักทำงานเป็นกลุ่มกระจายกันไปทั่วโลกจนยากจะโจมตีจนล่มได้

การโจมตีนี้อาจจะเป็นการโจมตีที่ส่งผลกระทบหนักที่สุดนับแต่ปี 2007 ที่เคยมีความพยายามจะล่มอินเทอร์เน็ตทั้งโลกด้วยการยิง root DNS จำนวนมากอยู่นาน 12 ชั่วโมงแต่เครื่องทั้งหมดก็รอดมาได้ (ข่าวเก่า)

แม้ BlackBerry จะเป็นโทรศัพท์ที่ได้รับความเชื่อถือในแง่ของความปลอดภัยสูงมาก แต่ปัญหาที่รุมเร้ามาในช่วงหลังก็อาจจะทำให้ความวางใจใน BlackBerry ตกต่ำลงได้ เมื่อบริษัท ElcomSoft ได้ออกซอฟต์แวร์เพื่อถอดรหัสไฟล์แบ็กอัพของ BlackBerry ที่เก็บบนพีซีได้ โดยทาง ElcomSoft ได้ชี้จุดอ่อนสองประการของ BlackBerry คือ

มีรายงานว่าเวิร์มชื่อ Stuxnet โจมตีระบบคอมพิวเตอร์ในอินเดีย อินโดนีเซีย ปากีสถาน และที่โดนเยอะสุดคืออิหร่าน (30,000 ไอพี) เวิร์มตัวนี้ออกแบบมาโจมตีเครื่องวินโดวส์ที่รันระบบ SCADA (supervisory control and data acquisition) ซึ่งใช้ควบคุมการทำงานในโรงงาน และสาธารณูปโภคพื้นฐาน เช่น ไฟฟ้า ประปา โดยออกแบบมาโจมตีระบบของบริษัท Siemens โดยเฉพาะ

Microsoft Security Essentials นั้นเป็นผลิตภัณฑ์สำหรับผู้บริโภคทั่วไป เพราะไมโครซอฟท์กลัวจะไปทับกันเองกับ Forefront ซึ่งเป็นซอฟต์แวร์ความปลอดภัยองค์กรของตัวเอง

แต่ล่าสุดไมโครซอฟท์ได้ปรับเงื่อนไขใน EULA ของซอฟต์แวร์ ให้ธุรกิจ SME สามารถดาวน์โหลด Security Essentials ไปใช้งานได้ฟรี โดยจำกัดจำนวนไว้ที่บริษัทละ 10 เครื่อง เริ่มเปิดให้ดาวน์โหลดช่วงต้นเดือนตุลาคมนี้

ที่มา - MSDN, ZDNet

จากกรณี Twitter โดน Cross-Site Scripting โจมตี รอบล่าสุด ก็มีการเปิดเผยแล้วว่าเป็นผลงานของ Pearce Delphin ชาวออสเตรเลียวัย 17 ปี

Delphin ให้สัมภาษณ์กับ AFP ว่าเขาต้องการทดลองดูว่าสามารถรันโค้ด JavaScript จากข้อความทวีตได้หรือไม่ (ซึ่งผลก็เห็นๆ กันแล้วว่าได้) แต่เขาไม่นึกว่ามันจะสร้างผลสะเทือนมากถึงขนาดนี้ ตอนที่เขาทวีตไม่เคยนึกเรื่องนี้มาก่อนเลย Delphin พัฒนาโค้ดนี้ขึ้นมาจากโค้ดของคนอื่น ที่ใช้สำหรับเปลี่ยนสีของหน้า profile ให้เป็นไปตามต้องการ

หนึ่งในผู้ได้รับผลกระทบจาก "mouseover bug" ในรอบนี้คือ Sarah Brown ภรรยาของอดีตนายกรัฐมนตรีอังกฤษ Gordon Brown

จริงๆ ไม่ต้องอธิบายกันมาก ทุกคนน่าจะรู้แล้วว่า McAf.ee เป็นบริการย่อ URL จาก McAfee ส่วนจุดขายนั้นย่อมเป็นเรื่องความปลอดภัยในการกรอง URL ที่อาจเป็นอันตรายผ่าน McAfee Global Threat Intelligence

นี่อาจเป็นโอกาสอันดีของ McAfee เพราะ Twitter เพิ่งโดน XSS ไปพอดี อย่างไรก็ตาม บริการนี้ McAfee อาจไม่เน้นบริการนี้มากนัก แต่เป็นเหมือนเดโมช่วยประชาสัมพันธ์แบรนด์ของบริษัทมากกว่า

ที่มา - TechCrunch

หลังจากที่เมื่อวานช่วงค่ำๆ มีการแพร่กระจายของ XSS ใน Twitter โดยใช้ช่องโหว่ของเว็บไซต์ twitter.com ทำให้มีการ RT ข้อความต่างๆ ที่ผู้ไม่หวังดีกำหนดไว้ได้ ถึงช่องโหว่นี้จะถูกแก้ไขไปในเวลาไม่กี่ชั่วโมงแต่เป็นที่น่าตกใจว่าแท้จริงแล้ว Twitter รู้ว่ามีช่องโหว่นี้อยู่แล้วเป็นเดือนแต่กลับละเลยไม่แก้ไขทันที

หลังจากเหตุการณ์ที่ Twitter โดน XSS Attack ไปครั้งแรกเมื่อปีที่แล้ว วันนี้เว็บ Twitter ก็โดน XSS Attack กันอีกรอบ โดยอาการของการถูกโจมตีในรอบนี้คือ เมื่อเหยื่อเข้าไปที่หน้าเว็บหลัก ก็จะติด Worm ในเครื่องทันที และเมื่อทำการอัพเดทสถานะ สถานะก็จะไม่ใช่ข้อความที่เหยื่อพิมพ์เข้าไป แต่จะเป็นลักษณะ Code HTML ออกมาแทน และเมื่อทำการลากเมาส์ผ่าน ก็จะถูก RT ข้อความนี้โดยอัตโนมัติ

จากเหตุการณ์ในครั้งนี้ ทำให้ Twitter ต้องทำการอุดช่องโหว่ของอาการนี้โดยเร็ว และสามารถอุดช่องโหว่ไปได้ แต่ Hacker เองก็ไม่ยอมแพ้ หาช่องโหว่จนสามารถเข้าโจมตีได้อีกครั้ง และ Twitter ก็ทำการอุดช่องโหว่นี้ไปอีกครั้งเมื่อเวลาสองทุ่มที่ผ่านมาครับ

ขอรวบสองข่าวเป็นข่าวเดียวเลยนะครับ

ข่าวแรก กูเกิลได้เพิ่มฟีเจอร์ two-step verification หรือการพิสูจน์ตัวตน (authentication) โดยใช้รหัสผ่าน (สิ่งที่คุณรู้: something you know) และ OTP ที่ได้รับผ่านโทรศัพท์มือถือ (สิ่งที่คุณมี: something you have) ในการเข้าสู่บริการของกูเกิล โดยเริ่มต้นจะเพิ่มฟีเจอร์นี้ให้กับ Google Apps Premier, Education and Government Edition ก่อน และไม่กี่เดือนหลังจากนั้นกูเกิลจะเพิ่มฟีเจอร์นี้ให้กับ Standard Edition และบัญชีผู้ใช้ส่วนบุคคลที่เหลือ

ข่าวต่อมา กูเกิลประกาศว่าได้ในไม่กี่สัปดาห์หน้าข้างหน้า Google Docs จะสามารถแก้ไขไฟล์บน iPad, Android ได้

เมื่อมีทวิตเตอร์ @IntelGlobalPR ออกมาประกาศว่ามีการแครกเอาคีย์หลักของมาตรฐาน HDCP ออกมาได้นั้น คำถามคือคีย์นั้นเป็นของจริงหรือไม่ และวันนี้ทางอินเทลผู้ประดิษฐ์มาตรฐาน HDCP ก็ออกมายืนยันแล้วว่าคีย์นี้เป็นของจริง

อุปกรณ์ที่รองรับมาตรฐาน HDCP ทุกชิ้นจะมีคีย์เป็นของตัวเอง โดยคีย์เหล่านี้ต้องสร้างขึ้นจากคีย์หลักซึ่งควรจะถูกเก็บรักษาโดยบริษัท DCP เมื่อคีย์ของอุปกรณ์ตัวใดหลุดออกมา บริษัท DCP สามารถประกาศยกเลิกคีย์นั้นๆ ให้กับผู้ผลิตทำให้อุปกรณ์นั้นทำงานร่วมกับแผ่นหรืออุปกรณ์ในมาตรฐาน HDCP ใหม่ๆ ไม่ได้ เป็นการบังคับให้ผู้ใช้ต้องอัพเกรดเฟิร์มแวร์

ระบบรักษาความปลอดภัยในไฟล์ระดับ HD มักได้รับการเข้ารหัสผ่านทางมาตรฐาน HDCP แต่วันนี้ก็มีข่าวออกมาว่าคีย์หลัก (Master Key) ของ HDCP หลุดออกมายังอินเทอร์เน็ต ทำให้ทุกคนสามารถเข้าใช้อุปกรณ์ที่ไม่ได้รับการรับรองกับมาตรฐาน HDCP ได้ทันที

ก่อนหน้านี้มีคีย์ในมาตรฐาน HDCP หลุดออกมามากมาย แต่มักเป็นคีย์สำหรับอุปกรณ์ซึ่งทางผู้ผลิตก็มักจะบังคับให้ลูกค้าอัพเกรดเฟิร์มแวร์เพื่อเปลี่ยนคีย์ใหม่ พร้อมกับอุดช่องโหว่ที่ทำให้คีย์หลุดออกมา ส่วนผู้ผลิตเนื้อหาก็สามารถทำเนื้อหาใหม่ๆ ให้ไม่รองรับคีย์ที่หลุดออกไปแล้วได้ แต่การที่คีย์หลักหลุดออกมานี้ทำให้เราสร้างคีย์ใหม่ๆ ทำได้อย่างไม่จำกัด หมายความว่า HDCP จะไม่มีค่าอะไรอีกต่อไป

หลังจากเสร็จศึกชิงนางระหว่าง HP และ Dell โดย HP เป็นฝ่ายชนะ ซื้อ 3PAR สำเร็จในราคา 2.35 พันล้านดอลลาร์ ก็มีข่าวว่า HP เดินหน้าช็อปปิ้งต่อทันที คราวนี้เป็นบริษัทด้านความปลอดภัยองค์กร ArcSight

ตามข่าวบอกว่ามูลค่าการซื้อรอบนี้จะอยู่ที่ 1.5 พันล้านดอลลาร์ ตอนนี้ยังไม่มีคำยืนยันจากทั้ง HP และ ArcSight

ที่มา - AP

หลังจากอินเดียประสบความสำเร็จกับ RIM ผู้ผลิต BlackBerry ที่จะยอมให้หน่วยงานด้านความปลอดภัยสามารถเข้าถึงคอนเทนต์ที่ถูกเข้ารหัสไว้ได้ตามกฎหมาย อินเดียก็มีเป้าหมายต่อไปที่จะเข้าไปบังคับให้ตนสามารถเข้าไปติดตามคอนเทนต์ได้ คือ กูเกิล และ Skype

ที่อินเดียสนใจทั้งสองบริษัทก็ด้วยเหตุผลเช่นเดียวกับ BlackBerry คือ หน่วยงานด้านความปลอดภัยประสบปัญหาในการติดตามคอนเทนต์ที่วิ่งผ่านบริการดังกล่าว อันเนื่องมาจากการเข้ารหัสที่บริการเหล่านั้นใช้

ข้าราชการคนหนึ่งได้กล่าวกับสำนักข่าวท้องถิ่นว่า รัฐบาลส่งหนังสือแจ้งให้สองบริษัททราบในวันอังคาร [ที่ผ่านมา] และทั้งสองบริษัทจะต้องดำเนินการตามคำสั่ง มิเช่นนั้นบริษัทนั้นจะต้องปิดเครือข่ายของตนลง

ทางการอินเดียยืดเวลาให้บริการ BBM แก่ RIM ไปอีก 60 วันระหว่างที่รัฐบาลอินเดียกำลังพิจารณาข้อเสนอของ RIM นอกจากนี้ทางการอินเดียระบุว่าแผนการของ RIM ที่เสนอมานั้นกำลังถูกวางระบบเพื่อใช้งานในทันที

อย่างไรก็ตามอินเดียไม่ได้ยอมรับว่าข้อเสนอของ RIM เป็นที่น่าพอใจหรือไม่ โดยระบุว่ารัฐบาลอินเดียจะประเมินอีกครั้งหลังจากระบบทั้งหมดวางเสร็จแล้ว

รัฐมนตรีกระทรวงมหาดไทยของอินเดียระบุว่าเจ้าหน้าที่ควรสามารถเข้าถึงข้อมูลของเครือข่ายโทรคมนาคมใดๆ ก็ได้รวมไปถึงผู้ให้บริการที่ทำงานอยู่บนเครือข่ายโทรคมอื่นๆ (เช่น RIM)

ที่มา - Reuters

จากข่าว อินเทลซื้อ McAfee ด้วยเงินสูงถึง 7.68 พันล้านดอลลาร์ ทำให้รายใหญ่ของวงการความปลอดภัยคือ Symantec เริ่มถูกกดดัน เพราะคู่แข่ง McAfee ไปรวมกับยักษ์อย่างอินเทลเรียบร้อยแล้ว

นักวิเคราะห์จาก Goldman Sachs แสดงความเห็นว่า Symantec ควรสร้างพันธมิตรกับบริษัทไอทีรายใหญ่อื่นๆ เช่น HP, IBM, Oracle เพื่อขายโซลูชันด้านความปลอดภัยร่วมกัน เนื่องจากบริษัทเหล่านี้คงไม่ต้องการซื้อกิจการบริษัทความปลอดภัยเพื่อไปชนกับอินเทลตรงๆ

นอกจากนี้ Symantec ควรหลบจากตลาด network security เพราะถูกครองโดย Cisco, Juniper และ Check Point Software เรียบร้อยแล้ว

Joshua Davis และ Richard Boyd นักวิจัยจาก Georgia Tech Research Institute รายงานว่ารหัสผ่านความยาว 8 ตัวอักษรที่ใช้กันโดยทั่วไปนั้นไม่ปลอดภัยเพียงพอแล้ว เพราะพวกเค้าสามารถแกะรหัสผ่านได้ภายในเวลาไม่ถึง 2 ชั่วโมง โดยใช้เพียง GPU หลายตัวๆ มาร่วมกันถอดรหัสลองทุกรูปแบบ (brute force) ส่วนการถอดรหัสผ่าน 12 ตัวอักษรด้วยพลังการประมวลผลขนาดเท่ากันนี้ จะต้องใช้เวลาถึง 17,134 ปี แต่หากลดลงมาเหลือ 11 ตัวอักษรจะใช้เวลาเพียงแค่ 180 ปีเท่านั้น ดังนั้นความยาว 12 ตัวอักษรจึงเป็นความยาวที่ไม่มากไม่น้อยเกินไป

การตั้งรหัสผ่านที่ดีไม่ควรใช้คำที่มีอยู่ในพจนานุกรม และถ้าเป็นไปได้ควรใช้อักขระพิเศษ

ช่วงนี้มี scam ใหม่ระบาดในหมู่ผู้ใช้ Facebook โดยมีลักษณะที่เห็นได้ชัดเจนว่าจะหลอกเราให้กดเพื่อใช้งานปุ่ม Dislike ของ Facebook (ซึ่งไม่มีอยู่จริง ณ ขณะนี้)

เมื่อกดที่ลิงก์ในข้อความ scam เราจะพบหน้าติดตั้งแอพพลิเคชัน Dislike (ซึ่งเป็นหน้าเว็บปลอมๆ) ซึ่งจะหลอกให้ตอบแบบสอบถาม และส่งข้อความ scam ต่อเนื่องบน Facebook status ของเรา

Wall Street Journal (WSJ) ได้รายงานเมื่อวันเสาร์ที่ผ่านมาว่า บริษัท RIM ได้ยอมให้ข้อมูลและเครื่องมือเพื่อให้หน่วยงานรัฐเข้าไปติดตามการสื่อสารในบริการอีเมลและแชตของ BlackBerry ได้

WSJ ยังอ้างสรุปผลการเจรจาครั้งหนึ่งด้วยว่า RIM ตกลงที่จะเปิดเผยข้อมูลจากอีเมลองค์กรที่ถูกเข้ารหัสไว้ (อาทิ ใครเป็นผู้ส่ง ส่งเมื่อไร ส่งไปถึงใคร) และ RIM ยังยอมที่จะพัฒนาเครื่องมือเพื่อให้หน่วยงานรัฐตรวจดูข้อมูลบนบริการแชตของ third-party อย่าง Gmail อีกด้วย

WSJ กล่าวทิ้งท้ายว่าความพยายามของ RIM นั้นมากเพียงพอที่จะไม่ให้บริการบน BlackBerry ถูกแบนหรือไม่ยังคงไม่มีความแน่นอน

ก่อนหน้าข่าวการขู่ปิดบริการ BlackBerry ใน UAE นั้นข่าวใหญ่อีกข่าวหนึ่งคืออัพเดตที่ผู้ใช้บริการได้รับจาก Etisalat นั้นมีมัลแวร์อยู่ภายใน เหตุการณ์นี้เกิดขึ้นได้เพราะ Etisalat นั้นเป็น CA ระดับกลางทีี่ได้รับการรับรองจาก Verizon ที่เป็น root CA อีกทีหนึ่ง

การอัพเดตเครื่อง BlackBerry โดยส่งมัลแวร์ไปอย่างจงใจจากผู้ให้บริการเองทำให้ EFF ขอให้ Verizon พิจารณาที่จะถอดความเป็น CA ออกจาก Etisalat เนื่องจากสถานะ CA ชั้นกลางนี้ทำให้ Etisalat สามารถปลอมแปลงหน้าจอ HTTPS ของเว็บที่เข้ารหัสเช่น Gmail, EFF, Google จนถึงเว็บ Verizon เองได้

หลังจากมีการค้นพบรูโหว่ด้าน PDF ใน iOS ซึ่งเป็นรูที่โปรแกรม JailbreakMe ใช้ ทางแอปเปิลก็ได้แถลงเมื่อไม่กี่วันก่อนว่าจะรีบอุดช่องโหว่นี้โดยเร็ว

วันนี้มันมาแล้วในรูป iOS 4.0.2 สำหรับ iPod และ iPhone ส่วนคนที่ใช้ iPad จะต้องใช้ iOS 3.2.2 แทน อันนี้ก็อัพกันเองตามสะดวกครับ

ที่มา - Redmond Pie

ปกติเราไม่ค่อยได้ยินข่าวไม่ดีเกี่ยวกับความปลอดภัยของโปรแกรมบน Android กันสักเท่าไหร่ แต่วันนี้เหล่าผู้ใช้ Android ที่ชอบลองโปรแกรมใหม่ๆ ก็คงต้องเริ่มระวังตัวกันบ้างแล้วครับ

Kaspersky ได้เปิดเผยว่าได้ค้นพบโทรจันตัวแรกที่ทำงานบนระบบปฏิบัติการ Android ที่ชื่อว่า Trojan-SMS.AndroidOS.FakePlayer.a ซึ่งจะมาในรูปของโปรแกรมเล่นไฟล์มัลติมีเดียธรรมดาๆ แต่โปรแกรมนี้จะแอบส่ง SMS โดยไม่บอกผู้่ใช้ ทำให้เกิดค่าใช้จ่ายขึ้นโดยที่ผู้ใช้นั้นไม่ทันรู้ตัว เป็นที่คาดกันว่าโปรแกรมนี้จะแพร่กระจายทางการดาวน์โหลดไฟล์นามสกุล .APK ผ่านหน้าเว็บ (ไม่ได้ผ่าน Android Market ที่น่าจะปลอดภัยกว่า)

BlindElephant เป็นซอฟต์แวร์ command-line โอเพนซอร์สสำหรับดูรายละเอียดเว็บอื่น ๆ ว่าใช้ระบบจัดการเนื้อหาตัวใดและรุ่นไหน และได้มีการทดสอบเรียกใช้งานกับคอมพิวเตอร์แม่ข่ายล้านกว่าตัว ดังผลที่ปรากฏในรายงาน Web Application Fingerprinting and Vulnerability Inferencing และจากการที่เรารู้ว่าใช้ระบบจัดการเนื้อหาตัวใดและใช้รุ่นไหน แล้วถ้าผู้ดูแลระบบไม่มีการปรับปรุงตัวซอฟต์แวร์ไปใช้รุ่นที่ปลอดภัย จะทำให้สามารถสามารถเจาะระบบเข้าไปอย่างไม่ยาก