Quad9 โครงการบริการเซิร์ฟเวอร์ ที่ร่วมมือกันระหว่าง Global Cyber Alliance (GCA), IBM, และบริษัทป้องกันภัยเน็ตเวิร์ค Packet Clearing House เปิดให้บริการแล้ว ผ่านทางไอพี 9.9.9.9 จุดเด่นของ Quad9 คือทางโครงการจะได้รับชุดข้อมูลโดเมนมุ่งร้ายจาก 19 แหล่ง เพื่อบล็อคโดเมนที่เป็นแหล่งของภัยสำคัญๆ เช่น โดเมน phishing, โดเมนปล่อย exploit kit, หรือโดเมนควบคุมมัลแวร์ (C2) โดยแหล่งข้อมูลเหล่านี้จะได้รับข้อมูลการคิวรี DNS กลับไปเพื่อวิเคราะห์หาต้นตอของการโจมตี แม้ว่าจะมีการแชร์ข้อมูลให้กับแหล่งรายงานการโจมตี ทาง Quad9 สัญญาว่าจะเก็บข้อมูลละเอียดระดับเมืองเท่านั้น (ดูจากฐานข้อมูล geoip) โดยไม่เก็บหมายเลขไอพีตรงๆ และข้อมูลที่แชร์กลับ จะได้เฉพาะโดเมนทีแหล่งเตือนภัยนั้นๆ ส่งข้อมูลว่าโดเมนเป็นภัยและขอให้บล็อคเท่านั้น ไม่สามารถดูข้อมูลจากนอกรายการของบริษัทตัวเองได้ ทาง Quad9 แบ่งกลุ่มโดเมนออกเป็นสามกลุ่ม ได้แก่ blacklist ที่ได้จากการเตือนภัยของแหล่งต่างๆ, whistlist ที่เป็นเว็บยอดนิยมล้านเว็บแรก โดยใช้ฐานข้อมูล Majestic Million, และ [...]

ไมโครซอฟท์ประกาศปรับการให้บริการ Outlook.com Premium โดยปิดรับการสมัครจากลูกค้าใหม่ แล้วให้คุณสมบัตินี้มาเป็นส่วนหนึ่งของลูกค้า Office 365 Home กับ Office 365 Personal แทน การเปลี่ยนแปลงนี้ไม่มีผลกับลูกค้าที่สมัคร Outlook.com Premium อยู่แล้ว โดยยังสามารถใช้งานและต่ออายุอีเมลบนโดเมนกำหนดเองได้ตามปกติ แต่สำหรับผู้ต้องการย้ายออกนั้น ไมโครซอฟท์บอกว่ากำลังดำเนินการเรื่องนี้อยู่ สำหรับผู้ที่ใช้ Office 365 Home / Personal อยู่แล้ว จะพบการเปลี่ยนแปลงใน Outlook.com ตามคุณสมบัติของ Premium อาทิ ไม่มีการแสดงโฆษณา, พื้นที่อีเมล 50GB ที่มา: ZDNet และไมโครซอฟท์ Topics:  Outlook Microsoft Office 365

มาตรฐานล็อกหน่วยงานออกใบรับรองสำหรับเว็บ หรือ HPKP (HTTP Public Key Pinning) ถูกเสนอโดยกูเกิลเองตั้งแต่ปี 2015 จนได้เข้าเป็นมาตรฐาน RFC7469 แต่ตอนนี้กูเกิลก็ประกาศเลิกรองรับแล้ว โดยจะมีผลใน Chrome 67 ที่จะออกช่วงกลางปี 2018 กูเกิลระบุว่าจนทุกวันนี้มีเว็บไซต์ใช้ HPKP เพียงจำนวนน้อย โดย 1 ล้านเว็บแรกของ Alexa มีใช้ HPKP เพียง 375 เว็บ และมี 76 เว็บใช้ในโหมด report-only ตอนนี้เบราว์เซอร์หลักที่รองรับ HPKP มีเพียงไฟร์ฟอกซ์, โอเปร่า (ที่ใช้ Blink ด้วย), และโครม ข้อเสียของ HPKP คือมันคอนฟิกยาก และมีความเสี่ยงผิดพลาดจนทำให้ผู้ใช้เข้าเว็บไม่ได้ อันตรายของมันกลายเป็นช่องโหว่ให้แฮกเกอร์ใช้โจมตีเว็บไซต์ที่เจาะมาได้ด้วยการคอนฟิก HPKP เพื่อให้เว็บเสียหายจากการที่ผู้ใช้จริงเข้าใช้งานไม่ได้เพราะถูกล็อกใบรับรองเป็นใบที่ไม่มีอยู่จริง แนวทางของกูเกิลแนะนำให้ผู้ใช้เว็บหันไปใช้ Expect-CT แทน เพื่อให้เบราว์เซอร์ตรวจสอบว่าใบรับรองนี้เปิดเผยต่อล็อกสาธารณะหรือยัง หากไม่เปิดเผย (ไม่มีข้อมูล SCT [...]

Let’s Encrypt ประกาศว่าโมดูล mod_md สำหรับ Apache HTTP Server (httpd) ใกล้เสร็จสมบูรณ์ ทำให้เวอร์ชั่นต่อไปเราน่าจะได้ใช้งาน Let’s Encrypt โดยคอนฟิกสั้นลงกว่าการใช้ใบรับรองจากที่อื่นเสียอีก mod_md ต้องการคอนฟิก ManagedDomain เพื่อบอกว่าจะให้ขอใบรับรองสำหรับโดเมนใดบ้าง และเมื่อคอนฟิกแล้วจะไม่ต้องคอนฟิกตำแหน่งใบรับรอง SSLCertificateFile และ SSLCertificateKeyFile เช่นเดิมอีก โดยตัวโมดูลจะขอใบรับรองใหม่เมื่อใบรับรองเดิมใกล้หมดอายุโดยอัตโนมัติ ตอนนี้โค้ด mod_md อยู่ในเวอร์ชั่นพัฒนาของ httpd แล้ว และมีแผนว่าจะพอร์ต mod_md กลับมาให้เวอร์ชั่น 2.4.x ในอนาคต ที่มา – Let’s Encrypt Topics:  Let's Encrypt HTTPS

ทีม Microsoft Offensive Security Research (OSR) ที่ทำงานคล้าย Project Zero ของกูเกิลรายงานถึงช่องโหว่รันโค้ดจากระยะไกลบนเบราว์เซอร์โครม แม้งว่าทีมงานโครมของกูเกิลจะตอบอย่างรวดเร็วและแก้ไขช่องโหว่ภายในไม่กี่วัน แต่กระบวนการเปิดเผยช่องโหว่กลับปล่อยโค้ดแก้ไขก่อนที่จะมีการปล่อยอัพเดต OSR พบช่องโหว่โดยการสร้างชุดทดสอบจากตัวสร้างชุดทดสอบ ExprGen และพบว่าสามารถสร้างโค้ดทดสอบเอนจิต V8 ที่ทำให้เอนจินแครชได้เสมอ จากนั้นจึงพยายามย่อโค้ด 1,500 บรรทัดที่สร้างขึ้นมาจนเหลือโค้ดเพียงสิบกว่าบรรทัด (ภาพโค้ดประกอบท้ายข่าว) และพบว่าตัวโค้ดที่กระตุ้นให้แครชสามารถทำให้ตัวคอมไพล์เลอร์ของโครมสร้างโค้ดตามที่กำหนดได้หากวางโค้ดอย่างถูกต้อง และตัวโครมเองจองหน่วยความจำสำหรับโค้ดจาก V8 ไว้เป็นแบบ RWX (อ่าน-เขียน-รันโค้ด ได้) ทำให้เปิดช่องว่างให้แฮกเกอร์สามารถนำโค้ดใดๆ ไปรันบนเครื่องของเหยื่อได้ OSR ระบุว่าแนวทางแบบนี้โจมตี Edge ได้ยากมาก เพราะกระบวนการป้องกันเพิ่มเติม เช่น Control Flow Guard (CFG), Arbitrary Code Guard (ACG), Less Privileged AppContainer (LPAC), และ Windows Defender Application Guard (WDAG) [...]

Let’s Encrypt ประกาศตั้งแต่กลางปีที่ผ่านมาว่าจะรองรับใบรับรองแบบ wildcard (สามารถใช้กับทุก subdomain ได้ด้วยใบรับรองเดียว) แต่ไม่ได้ประกาศช่วงเวลาชัดเจน ตอนนี้ทางโครงการก็ออกมาประกาศแล้วว่าจะเริ่่มออกใบรับรอง wildcard ตั้งแต่เดือนมกราคม 2018 การขอใบรับรองแบบ wildcard ในช่วงแรกจะต้องทำ validation ด้วย DNS เท่านั้น และต้องเชื่อมต่อขอใบรับรองด้วย ACMEv2 เท่านั้น แต่กระบวนการขอใบรับรองอาจจะเพิ่มเติมได้ในอนาคต ตอนนี้ Let’s Encrypt ออกใบรับรองไปแล้วถึง 47 ล้านโดเมน ที่มา – Let’s Encrypt Topics:  Let's Encrypt HTTPS

เว็บไซต์ Equifax บริษัทข้อมูลเครดิตของสหรัฐฯ เพิ่งถูกเจาะระบบไปเมื่อไม่นานมานี้ และระหว่างที่กระบวนการสอบสวนยังคงดำเนินอยู่ แต่ล่าสุดนี้มีรายงานว่า Equifax น่าจะโดนแฮกอีกแล้ว เพราะว่าเมื่อเข้าไปยังเว็บไซต์ของ Equifax พบว่าเจอหน้าให้อัพเดตแฟลช ซึ่งเป็นหน้าปลอม และเมื่อติดตั้ง คอมพิวเตอร์จะติด adware ทันที Randy Abrams นักวิจัยความปลอดภัยอิสระได้เข้าไปยังเว็บไซต์ของ Equifax เพื่อตรวจสอบข้อมูลเครดิต แต่เมื่อเข้าไปแล้วกลับพบว่าเบราว์เซอร์เปิดหน้าเว็บโดเมน hxxp//:centerbluray.info ขึ้นมาแทน ซึ่ง Abrams ได้ทดลองหลาย ๆ ครั้งและพบว่ามีลิงก์ดาวน์โหลดแฟลชปรากฏขึ้นอย่างน้อยหนึ่งครั้งในสามครั้งที่เข้าทดลองเข้าเว็บ ซึ่งพบว่าเว็บเบราว์เซอร์นั้น รีไดเรกไปยังโดเมนกว่าสี่ครั้งจนมาพบกับหน้าดาวน์โหลดแฟลชของปลอมนี้ เมื่อ Abrams ทดลองคลิกดาวน์โหลดอัพเดต Flash พบว่ามีไฟล์ที่ดาวน์โหลดมาชื่อ MediaDownloaderIron.exe โดยจากการตรวจสอบกับเว็บไซต์ VirusTotal พบว่ามีเพียงแค่ Panda, Symantec และ Webroot เท่านั้นที่สามารถตรวจจับ adware ตัวนี้ได้ 
หลังจากที่ Ars Technica ได้รายงานข่าวนี้ออกไป Abrams ก็พบว่าเว็บไซต์ Equifax ไม่มีการรีไดเรกไปยังลิงก์นั้นแล้ว [...]

Google ได้เข้าซื้อบริษัท Relay Media ซึ่งเป็นบริษัทพัฒนาเทคโนโลยีสำหรับแปลงหน้าเว็บทั่วไปให้อยู่ในรูปแบบ AMP เป็นที่เรียบร้อยแล้ว โดยจากดีลการเข้าซื้อคาดว่า Google น่าจะปิดบริการของ Relay Media และนำเทคโนโลยีมาให้บริการเป็นแพลตฟอร์มของ Google โดยตรงเอง ซึ่งระหว่างที่กำลังนำระบบเข้าสู่แพลตฟอร์มของ Google ลูกค้าที่ยังใช้บริการอยู่จะยังใช้ได้ต่อไป ระบบหน้าเว็บแบบโหลดเร็วหรือ AMP ของ Google นั้นพัฒนามาสักพักใหญ่ ๆ ซึ่ง Google นั้นตั้งใจว่าจะทำให้หน้าเว็บนั้นเร็วและไม่ต่างกับการใช้งานแอพบนมือถือ (เพราะถ้าใช้เว็บเยอะขึ้น Google ก็จะได้ส่วนแบ่งจากการใช้เสิร์ชเอนจินเยอะขึ้นเช่นกัน) โดยตอนแรกนั้น AMP จะเน้นไปที่บทความด้านข่าวก่อน แต่ช่วงหลัง Google ก็เริ่มขยายบริการมาทางฝั่งอีคอมเมิร์ซบ้างแล้ว ทั้งนี้ AMP ยังคงสร้างปัญหาบางอย่างกับเหล่าผู้ผลิตคอนเทนต์ เนื่องจาก AMP ไม่สามารถควบคุมหน้าเว็บได้มากนัก และวิ่งบนโดเมนของ Google จึงทำให้ไม่สามารถวัดทราฟฟิกที่เกิดขึ้นจากการดูหน้าเว็บผ่าน AMP ได้ง่าย ๆ ที่มา – TechCrunch Topics:  AMP Google Acquisition

มาตรฐาน C++ ในช่วงหลังๆ มีพัฒนาการอย่างต่อเนื่องหลายอย่างนับแต่ C++11 เป็นต้นมา แต่หลายครั้งคอมไพลเลอร์ก็รองรับไม่ครบหรือบางฟีเจอร์ก็ใช้งานได้ยาก ตอนนี้กูเกิลเปิดตัวไลบรารี Abseil สำหรับการทำ abstract เพื่อรองรับฟีเจอร์ใหม่ๆ แม้ว่าจะอยู่บนแพลตฟอร์มที่รองรับฟีเจอร์ครบแล้ว แต่ไลบรารี Abseil อาจจะเหมาะกว่าในบางกรณี เพราะกระบวนการออกแบบ C++ นั้นยึดว่าตัวไลบรารีมาตรฐานต้องไม่เสียประสิทธิภาพไปกับสิ่งที่ไม่ได้ใช้งาน และไลบรารีต้องทำงานได้ทุกโดเมน กูเกิลยกตัวอย่างไลบรารี std::chrono ที่รองรับตั้งแต่เลข 32 บิตไปจนถึง 128 บิต เพื่อรองรับการใช้งานทุกรูปแบบ ทำให้การใช้งานจริงเป็นเทมเพลตที่เขียนค่อนข้างยาว ขณะที่ absl::Time ล็อกขนาดข้อมูลไปเลยทำให้โค้ดโดยรวมสั้นกว่า และสำหรับการใช้งานทั่วไปก็ควรรองรับได้แทบทุกกรณี กูเกิลวางแผนจะปล่อยรุ่นซัพพอร์ตทุกๆ 6 เดือน และซัพพอร์ตรุ่นเหล่านั้นนานสองปี ขณะเดียวกันก็สัญญาว่า หากไม่ทำพฤติกรรมไม่พึงประสงค์ เช่น การเข้าถึง API ภายใน หรือประกาศชื่อใน namespace ของ Abseil แล้วก็ควรจะอัพเดตไปรุ่นล่าสุดได้เสมอ โดยแต่ละแพลตฟอร์มที่ Abseil รองรับ จะรองรับอย่างน้อย 5 ปีหลังจากมีรุ่นถัดไปออกมา ที่มา [...]

iTerm2 แอปเทอร์มินอลใน OS X ที่ได้รับความนิยมสูงเพิ่มฟีเจอร์สร้างลิงก์สำหรับข้อความที่สามารถทำเป็นลิงก์ได้ แบบเดียวกับเทอร์มินอลหลายตัวอาจจะตรวจจับข้อความที่เป็น URL ที่เริ่มต้นด้วย http:// แต่ iTerm2 กลับเลือกวิธีการตรวจลิงก์ด้วยการยิง DNS query ทุกข้อความที่เคอร์เซอร์เมาส์ไปลอยไว้เหนือข้อความ หากข้อความนั้นเป็นโดเมนเว็บก็จะสร้างเป็นลิงก์ แนวทางนี้ทำให้ทุกข้อความที่เมาส์ไปลอยไว้เหนือข้อความหลุดออกไปยังโลกภายนอก โดยข้อความเหล่านั้นอาจจะเป็นข้อความที่เป็นความลับ เช่น API key หรือรหัสผ่านที่กำลังสร้างขึ้นมา George Nachman ผู้พัฒนา iTerm2 ยอมรับว่าการสร้างฟีเจอร์นี้เป็นความคิดที่ไม่ดี และปิดฟีเจอร์นี้ในเวอร์ชั่น 3.1.1 แล้ว ที่มา – iTerm2, Bleep Computing Topics:  Security Privacy

 Page 1 of 44  1  2  3  4  5 » ...  Last »