Web Security

WikiLeaks เว็บไซต์จอมแฉเอกสารลับของรัฐบาลและบริษัทต่างๆ ออกมาเปิดเผยถึงข้อมูลชุดเครื่องมือแฮ็ค โค้ดเนมว่า Vault 7 ซึ่งทางบริษัทอ้างว่าเป็นข้อมูลของชุดเครื่องมือที่หน่วยข่าวกรองสหรัฐฯ หรือ CIA ใช้งาน โดยมีขนาด 513 MB พร้อมเปิดให้ผู้ที่สนใจดาวน์โหลดไปอ่านได้ทันทีผ่าน Torrent

บริษัท ซินเน็ค (ประเทศไทย) จำกัด (มหาชน) Value Added Distributor ชั้นนำของประเทศไทย ประกาศเปิดตัว SonicWall Network Security Appliance Series ผลิตภัณฑ์ Next-generation Firewall ประสิทธิภาพสูงที่มาพร้อมกับขุมพลัง Reassembly-Free Deep Packet Inspection (RFDPI) สำหรับปกป้ององค์กรจากภัยคุกคามไซเบอร์ที่นับวันจะทวีความรุนแรงยิ่งขึ้น

สำหรับผู้ที่ไม่ได้เข้าชมการบรรยาย TechTalk Webinar เรื่อง “Security Development Lifecycle (SDL) 101 เขียนโค้ดไม่ปลอดภัย เป็นบาป” โดย MaYaSeVeN ที่เพิ่งจัดไปเมื่อสัปดาห์ที่ผ่านมา หรือต้องการรับชมการบรรยายซ้ำอีกครั้ง สามารถดูวิดีโอบันทึกย้อนหลังได้ที่บทความนี้ครับ

พบช่องโหว่บน 3 เว็บแอพพลิเคชันชื่อดัง รวมไปถึง PayPal.com Omer Gil หัวหน้าทีมความมั่นคงปลอดภัยสารสนเทศของ EY Hacktics Advanced Security Center จากอิสราเอล ออกมาเปิดเผยถึงช่องโหว่บน Caching Server ซึ่งช่วยให้แฮ็คเกอร์สามารถโจมตีเพื่อหลอกให้ Server แคชข้อมูลความลับ เช่น ข้อมูลส่วนบุคคลและข้อมูลการเงิน จากนั้นเข้าไปขโมยข้อมูลจากที่แคชไว้ได้ Gil ตั้งชื่อการโจมตีนี้ว่า Web Cache Deception Attack

นักวิจัยด้านความมั่นคงปลอดภัยนาม East-Ee ออกมาเปิดเผยถึงสิ่งที่เขาเรียกว่า “ช่องโหว่ทางตรรกะ (Logic Vulnerability)” ซึ่งช่วยให้เขาสามารถสร้างสคริปต์ Python เพื่อบายพาสการตรวจสอบว่าเป็น Bot ของ ReCAPTCHA กว่าล้านเว็บไซต์ได้โดยใช้บริการของ Google อีกรายการหนึ่ง คือ Speech Recognition API

น่าจะเรียกได้ว่าทุกไตรมาสต้องเห็นข่าว Yahoo ถูกแฮ็ค ล่าสุดทาง Yahoo ออกมาเปิดเผยด้วยตนเองว่า บัญชีผู้ใช้ประมาณ 32 ล้านรายชื่อถูกเข้าแฮ็คเกอร์เข้าถึงโดยไม่ได้รับอนุญาตเป็นเวลานานกว่า 2 ปี จากการตรวจสอบพบว่าแฮ็คเกอร์ใช้เทคนิคการปลอมแปลง Cookie อย่างแยบยล

TechTalkThai จับมือเป็น Media Partner กับ Black Hat พร้อมเชิญชวนผู้ที่สนใจทางด้าน Security เข้าร่วมงานประชุมระดับนานาชาติ “Black Hat Asia 2017” ที่ประเทศสิงคโปร์ในวันที่ 28 – 31 มีนาคมนี้ พร้อมมอบส่วนลด 15% ทันทีเมื่อใส่โค้ด “BHATTT17” ขณะลงทะเบียน

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ SQL Injection บน NextGEN Gallery ซึ่งเป็น Plugin ของ WordPress ที่มียอดดาวน์โหลดมากกว่า 1,000,000 ครั้ง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์ออกจากฐานข้อมูลได้

พร้อมเสนอแนวคิด 3 ต่อ – “ต่อเชื่อม ต่อเนื่อง และต่อยอด” เพื่อลดความเหลื่อมล้ำในยุค Digital ประเทศไทยกำลังเดินหน้าเข้าสู่ยุค Thailand 4.0 หรือ Smart Thailand ซึ่งเป็นยุคที่มีการนำเทคโนโลยีและนวัตกรรมใหม่ๆ เข้ามาสนับสนุนการดำเนินงานเชิงธุรกิจ ไม่ว่าจะเป็นการให้บริการผ่านระบบออนไลน์ การหันไปใช้เทคโนโลยี Cloud Computing หรือการอนุญาตให้พนักงานเชื่อมต่อกับระบบขององค์กรเพื่อทำงานจากภายนอกได้ องค์กรที่จะประสบความสำเร็จจึงเป็นองค์กรที่พร้อมปรับตัวและยอมรับสิ่งใหม่ เพื่อสร้างความแตกต่างจากคู่แข่งและเพิ่มโอกาสทางธุรกิจ

เพียงแค่วันเดียวหลังจากที่ Google ประกาศว่า สามารถพัฒนาการโจมตีเพื่อให้ค่าแฮช SHA-1 ของเอกสารที่แตกต่างกัน 2 ชุดมีค่าตรงกันได้ หรือที่เรียกว่า SHA-1 Collision Attack นักพัฒนาจาก WebKit ซึ่งเป็น Web Browser Engine สำหรับใช้ใน Safari, App Store และแอพพลิเคชันอื่นของ Apple ก็ออกมาเปิดเผยถึงปัญหาของ Subversion (SVN) Repositories ที่ใช้เก็บซอร์สโค้ดอันเนื่องมาจากการโจมตีดังกล่าว

ทีมผู้พัฒนา PHP ตัดสินใจโหวตเพิ่ม Libsodium Library ลงใน PHP Core ส่งผลให้ PHP กลายเป็นภาษาโปรแกรมแรกที่รองรับ Cryptography Library สมัยใหม่โดยอัตโนมัติ

Tavis Ormandy นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาเปิดเผยถึงช่องโหว่ Buffer Overflow บน CloudFlare ผู้ให้บริการ CDN และ Web Security ชื่อดัง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์เหล่านั้น ไม่ว่าจะเป็น Passwords, Cookies และ Tokens ที่ใช้ในการพิสูจน์ตัวตนออกไปได้ โดยเรียกช่องโหว่นี้ว่า Cloudbleed

TechTalkThai ขอเรียนเชิญเหล่า IT Manager, Software Developer และผู้ที่สนใจศาสตร์ด้าน IT Security ทุกท่าน และองค์กรที่ต้องการระบบ Cloud และ DevOps ทุกแห่ง เข้าร่วมฟัง TechTalk Webinar ในหัวข้อเรื่อง “Security Development Lifecycle (SDL) 101 เขียนโค้ดไม่ปลอดภัย เป็นบาป โดย MaYaSeVeN” เพื่อเรียนรู้พื้นฐานเกี่ยวกับการพัฒนา Software ให้ปลอดภัย ซึ่งเป็นมุมมองที่เหล่านักพัฒนา Software ควรเรียนรู้ ในวันที่ 1 มีนาคม 2017 เวลา 14.00 โดยมีกำหนดการและวิธีการลงทะเบียนดังนี้

SHA-1 หรือ Secure Hash Algorithm 1 ฟังก์ชันแฮชยอดนิยมเตรียมสาบสูญไปจากโลก หลังจากที่ทีมนักวิจัยจาก Google และสถาบัน Centrum Wiskunde & Information (CWI) ประเทศเนเธอร์แลนด์ ประสบความสำเร็จในการพัฒนาวิธีโจมตีเพื่อให้ค่าแฮช SHA-1 ของเอกสารที่แตกต่างกัน 2 ชุดมีค่าตรงกัน ที่สำคัญคือเร็วกว่าการโจมตีแบบ Brute Force ถึง 100,000 เท่า

Microsoft ออกรายงาน Security Intelligence Report ฉบับที่ 21 ซึ่งเป็นรายงานผลการวิเคราะห์ภาพรวมของภัยคุกคามในประเทศไทยตั้งแต่เดือนมกราคมถึงมิถุนายน 2016 ไม่ว่าจะเป็น การเจาะระบบ ช่องโหว่ หรือมัลแวร์ โดยรวบรวมข้อมูลจาก ISP และคอมพิวเตอร์กว่า 600 ล้านเครื่องทั่วโลก ผู้ที่สนใจสามารถดาวน์โหลดรายงานได้ฟรี

Cisco ผู้ให้บริการโซลูชันระบบเครือข่ายและ Data Center แบบครบวงจร เปิดตัว Next-generation Firewall ซีรี่ย์ใหม่ล่าสุด คือ FirePOWER 2100 ที่เป็น Firewall แบบ Threat-focused ซึ่งเน้นการตรวจจับและป้องกันภัยคุกคามไซเบอร์ รวมไปถึงออกแบบสถาปัตยกรรม CPU แบบใหม่ที่ช่วยขจัดปัญหาคอขวดเมื่อเปิดใช้ฟังก์ชันด้านความมั่นคงปลอดภัยแบบจัดเต็ม

Black Hat พร้อมจัดงานประชุม Black Hat Asia 2017 ซึ่งเป็นงานสัมมนาทางด้าน Security ระดับโลกที่ประเทศสิงคโปร์ ผู้ที่สนใจทางด้าน Offensive Security และเทคนิคการเจาะระบบรูปแบบใหม่แนะนำให้รีบลงทะเบียนเข้าร่วมงานทันที

ในยุค Thailand 4.0 นี้ หลายองค์กรต่างนำเทคโนโลยีใหม่ๆ หรือนวัตกรรมเข้ามาสนับสนุนองค์กรเพื่อสร้างมูลค่าทางธุรกิจ และเพิ่มประสิทธิภาพในการทำงาน ไม่ว่าจะเป็นการนำระบบออนไลน์เข้ามาใช้เพื่อเพิ่มความสะดวกสบายแก่ลูกค้า การหันไปใช้เทคโนโลยีระบบ Cloud หรือแม้แต่การอนุญาตให้นำอุปกรณ์ส่วนบุคคลเข้ามาใช้เพื่อเพิ่มผลิตภาพในการทำงาน เป็นต้น

ก่อนหน้านี้ในช่วงเลือกตั้งประธานาธิบดี เว็บไซต์ The Hacker News เคยออกมารายงานถึงความเปราะบางของระบบอีเมลของประธานาธิบดีโดนัลด์ ทรัมป์ ซึ่งขอแค่มีความรู้ด้านคอมพิวเตอร์เล็กน้อยก็สามารถแฮ็คอีเมลเข้าไปเปิดเผยแคมเปญได้อย่างไม่ยากนัก ล่าสุดเว็บไซต์ดังกล่าวได้รายงานถึงการแฮ็คเว็บไซต์สำหรับระดมทุนของทรัมป์และเปลี่ยนหน้าเว็บดังที่เห็นในรูปด้านล่าง

ตั้งแต่ปี 2011 จนถึงตอนนี้ Google รับคำร้องขอลบการทำ Index เว็บไซต์ที่ละเมิดลิขสิทธิ์มากกว่า 2,000 ล้าน URLs เพื่อไม่ให้เว็บไซต์เหล่านั้นแสดงผลบนการจัดอันดับของ Google ที่น่าแปลกใจคือ เว็บไซต์ของรัฐบาลและเว็บไซต์ที่มีชื่อเสียงหลายเว็บ เช่น เว็บทำเนียบขาว เว็บนาซ่า ต่างถูกฟ้องร้องด้วย