Google Declares War on the Password

กูเกิลกำลังทดลองวิธีการใหม่ที่หวังว่าจะมาแทนที่การใช้รหัสผ่านแบบเดิม ๆ โดยในตอนนี้กูเกิลกำลังทดลองใช้การ์ดที่มีระบบการเข้ารหัสเสียบเข้าไปทาง USB แล้วจากนั้นก็จะสามารถล็อกอินเข้าเว็บไซต์ได้เลย โดยจะต้องใช้เบราเซอร์ที่รองรับ แล้วเอาการ์ดนั้นเข้าไปลงทะเบียนก่อน และในอนาคตพวกเขายังหวังจะพัฒนาให้ใช้โทรศัพท์มือถือ หรือแม้แต่แหวนที่ติดตั้งอุปกรณ์บางอย่างเข้าไปแล้วเพียงแค่นำไปแตะกับเครื่องคอมพิวเตอร์ก็สามารถที่จะระบุตัวตนของผู้ใช้ได้ แต่อย่างไรก็ตามกูเกิลไม่ได้คิดว่าระบบรหัสผ่านจะหมดไปจากโลก แต่อาจจะถูกใช้สำหรับเหตุการณ์บางอย่างเท่านั้น เช่น เมื่อ token หายไป เรายังสามารถใช้รหัสผ่านล็อกอินเข้าไปยกเลิกอุปกรณ์เหล่านี้ได้ นอกจากนี้กูเกิลยังหวังว่าวิธีการนี้จะสามารถป้องกันการ phishing ได้ เพราะว่าเราไม่ได้ใช้รหัสผ่านในการระบุตัวตน ดังนั้นคนร้ายก็ไม่สามารถหาวิธีมาหลอกเอารหัสผ่านจากเราไปได้

ที่มา : wired

Bangladesh Post Office site hacked by Human Mind Cracker

แฮกเกอร์ชื่อว่า “Grey-hat”  ได้ค้นพบช่องโหว่ SQL Injection ในเว็บไซต์ไปรษณีย์ของบังคลาเทศ (bangladeshpost.gov.bd) แล้วเขาได้เข้าไปถ่ายโอนฐานข้อมูล (heypasteit.

Sony France site vulnerable to SQL Injection Vulnerability

เว็บไซต์ Sony ของฝรั่งเศส (sony.fr) มีช่องโหว่  SQL Injection ที่ทำให้แฮกเกอร์สามารถเข้าถึงข้อมูลได้ โดยช่องโหว่ดังกล่าวถูกค้นพบโดยแฮกเกอร์กลุ่มที่ชื่อว่า xl3gi0n ช่องโหว่ดังกล่าวถูกพบในส่วนของ Sony Computer Science Laboratory (csl.

Medical group fined $140K for tossing patients' health records into public dump

ช่างภาพคนหนึ่งของสำนักข่าว Boston Globe เก็บกองเอกสารได้ขณะที่เขากำลังทิ้งขยะ และเมื่อเปิดดูก็พบว่าเป็นข้อมูลของคนไข้มากกว่า 67,000 รายชื่อจากรัฐ Massachusetts ซึ่งประกอบด้วยมีชื่อ ที่อยู่ เลขบัตรประกันสังคม ข้อมูลการตรวจหามะเร็งของคนไข้ ซึ่งเกิดจากการนำเอกสารมาทิ้งอย่างไม่ถูกต้อง เมื่อทำการสอบสวนแล้วศาลจึงสั่งให้ปรับเงินจากเจ้าหน้าที่ที่เกี่ยวข้องเป็น จำนวน 140,000 เหรียญสหรัฐ

ที่มา : nakedsecurity

Chinese hacker guilty of $100 million software piracy

ศุลกากรของสหรัฐได้ทำการจับกุมชาวจีนชื่อว่า เซียง ลี่ ซึ่งขายซอฟท์แวร์เถื่อนที่เขาได้ crack แล้วก็นำไปขายในเว็บไซต์ crack99.com ของเขา โดยชายคนนี้อาศัยอยู่ที่เมืองซีฉวนในจีน เจ้าหน้าที่สหรัฐได้ทำการล่อซื้อและจับกุมได้ในเวลาต่อมา จากหลักฐานที่ได้จากการจับกุม พบว่าซอฟท์แวร์ที่เขาขายนั้นมีซอฟท์แวร์ที่ใช้ในระบบจำลองการบิน, อุตสาหกรรมการผลิต และทางทหาร และยังพบว่าเขาได้เงินอย่างน้อย 60,000 เหรียญจากการขายของให้ลูกค้าเฉพาะในสหรัฐอีกด้วย นอกจากนี้ยังพบว่าในลูกค้าจำนวน 325 คนนั้น มีวิศวกรของนาซ่า และเจ้าหน้าที่ของกองทัพได้ซื้อสินค้าของนายลี่นี่อีกด้วย ซึ่งก็ได้ถูกแจ้งความดำเนินคดีไปเรียบร้อยแล้ว นายลี่ถูกตัดสินให้ถูกปรับเป็นจำนวนเงิน 250,000 เหรียญ และจำคุก 25 ปี

ที่มา : geek

พบลิงก์ไปยังเว็บรับพนันบอลออนไลน์ ในเว็บของกระทรวงวัฒนธรรม

มีรายงานจาก Facebook ของนายชูวิทย์ กมลวิศิษฎ์ สมาชิกสภาผู้แทนราษฎรว่าได้พบลิงก์ไปยังเว็บไซต์รับพนันฟุตบอลออนไลน์สองเว็บคือ vipclub88s และ sbothai666m ภายในหน้าแรกของเว็บกระทรวงวัฒนธรรม (http://www.

พบลิงก์ไปยังเว็บรับพนันบอลออนไลน์ ในเว็บของกระทรวงวัฒนธรรม

มีรายงานจาก Facebook ของนายชูวิทย์ กมลวิศิษฎ์ สมาชิกสภาผู้แทนราษฎรว่าได้พบลิงก์ไปยังเว็บไซต์รับพนันฟุตบอลออนไลน์สองเว็บคือ vipclub88s และ sbothai666m ภายในหน้าแรกของเว็บกระทรวงวัฒนธรรม (http://www.

กระทรวงไอซีทีใช้ "อีเมลล่อ" หาไอพีผู้ต้องสงสัย

การสอบสวนในคดีที่ใช้ "การสอบสวนในทางลับ" เพื่อให้ได้มาซึ่งอีเมลคนโพสโดยไม่ระบุว่าได้ชื่ออีเมลนี้มาได้อย่างไร จากนั้นจึงพิสูจน์ว่าเจ้าของอีเมลนี้เป็นใครด้วยการส่งอีเมลล่อ เพื่อให้เจ้าของอีเมลกดลิงก์ แล้วจะสามารถบันทึกหมายเลขไอพีได้ กระบวนการใช้อีเมลแบบ HTML ที่มีรูปภาพและลิงก์ เป็นกระบวนการที่คนส่งสแปมใช้กันมาเป็นเวลานาน เพื่อจะพิสูจน์ว่าอีเมลเป้าหมายมีคนอ่านจริงหรือไม่ เพื่อจะได้ไม่สิ้นเปลืองทรัพยากรในการส่งอีเมลซ้ำไปยังที่อยู่ที่ไม่มีคนอ่าน การเปิดให้โหลดรูปหรือกดลิงก์เหล่านั้นจะทำให้เราเปิดเผยตัวว่าเราได้ใช้อีเมลที่อยู่นั้นจริง พร้อมๆ กับการเปิดเผยหมายเลขไอพีเครื่องที่เราใช้อ่านอีเมลไปพร้อมกัน

กระบวนการสร้างรูปภาพและลิงก์ที่มี URL เฉพาะสำหรับทุกๆ อีเมล ทำให้บริการเว็บเมลอย่าง Gmail จะไม่แสดงภาพที่ต้องโหลดจากภายนอก แต่ให้ผู้ใช้กดสั่งแสดงภาพเองเสมอ ยกเว้นภาพที่แนบมาในตัวอีเมลเองเลย ไม่ต้องโหลดจากเซิร์ฟเวอร์ภายนอกอีก (ดู Gmail Help)

นี่เป็นครั้งแรกที่มีการใช้กระบวนการนี้เพื่อสืบหาหมายเลขไอพีผู้ใช้ และมีการสอบสวนหาเจ้าของอีเมลอีกถึงสองครั้ง คือ การสอบถามไปยังธนาคารกรุงไทยว่ามีการใช้อีเมลนี้เปิดใช้บริการออนไลน์ในชื่อใด, และขอข้อมูลไอพีจากไมโครซอฟท์ว่าผู้ใช้อีเมลนี้เข้าใช้งานจากที่ใด ในข่าวเดิมยังมีผู้ที่ระบุตัวเองว่าเป็นนักกฎหมายให้ความเห็นว่ากรณีนี้มีองค์ประกอบความผิดครบถ้วนตามกฎหมาย

ที่มา : blognone

Exploit Packs updated with New Java Zero-Day vulnerability

พบช่องโหว่ 0-day บน Java ซึ่งกำลังถูกใช้งานเพื่อโจมตีเหยื่ออยู่ในขณะนี้ โดยมีผลกระทบตั้งแต่ Java 7 Update 10 และเวอร์ชั่นก่อนหน้ามีช่องโหว่ที่ทำให้รีโมทเข้ามาและรันคำสั่ง arbitrary code ในเครื่องที่มีช่องโหว่ได้ ช่องโหว่ดังกล่าวถูกขายเป็น Exploit Pack ในราคา $700/3 เดือน และ $1500/ 1 ปี ซึ่ง Exploit Pack นี่เองที่ถูกใช้เพื่อแพร่กระจายมัลแวร์โดยแฮกเกอร์ ซึ่งทั้ง “BlackHole Exploit Kit” และ “Cool Exploit Kit” ที่ถูกใช้โดยแฮกเกอร์ เพื่อฝังลงบนเว็ปไซต์อื่นๆเพื่อโจมตีผู้ที่เข้าชมเว็ปไซต์ดังกล่าว โดยการโจมตีทุกๆช่องโหว่ของเครื่องเหยื่อเท่าที่เป็นได้นั้น ก็สามารถโจมตีช่องโหว่ Java 0-day นี้ได้เช่นกัน โดยผู้พัฒนา Exploit Kit ได้ประกาศกับลูกค้าของตนว่าได้เพิ่มการโจมตี 0-day นี้แล้วใน Exploit Kit ของเขา

ล่าสุดทาง Oracle ผู้พัฒนา Java ได้ออก Java 7 Update 11 เพื่อแก้ไขช่องโหว่ดังกล่าวแล้ว ควรอัพเดท Java บนเครื่องของคุณโดยเร็วที่สุดเพื่อความปลอดภัย สำหรับทางท่านที่ไม่สามารถอัพเดทได้ควรเข้าไปปิด Plugin Java บน Browser เพื่อเป็นการป้องกันขั้นต้น

ที่มา : thehackernews

Current Foxit Reader can execute malicious code

ผู้เชี่ยวชาญทางด้านความปลอดภัยที่ชื่อ Andrea Micalizzi ได้ออกมาบอกว่า ได้ค้นพบช่องโหว่ร้ายแรงในปลั้กอิน Browser เวอร์ชั่น 2.2.1.530 ของ Foxit Reader เวอร์ชั่นปัจจุบัน(5.4.4.1128) โดยปลั้กอิน Browser ของ Foxit Reader นั้นจะตั้งเป็นค่า Default ให้ลงในบราวเซอร์อย่างเช่น Chrome, Firefox, Opera และ Safari ของผู้ใช้โดยอัตโนมัติ ช่องโหว่นี้จะเกิดขึ้นก็ต่อเมื่อผู้ใช้กดเปิดไฟล์ PDF ที่มีการใช้ชื่อ URL ที่ยาวมากๆ ถ้าผู้ใช้กดไฟล์ดังกล่าวแล้วจะทำให้เกิด Buffer Overflow ขึ้น ตอนนี้ยังไม่มีแพทออกมาแก้ไขช่องโหว่นี้ วิธีที่ดีสุดในการป้องกันคือ เข้าไปปิดการทำงานของปลั้กอินอันนี้ในบราวเซอร์ต่างๆ

ที่มา : h-online