Foh9

รูปแบบการก่ออาชญากรรมอิเล็กทรอนิกส์

2012-02-09T11:22:00.000+07:00

ในปัจจุบันความก้าวหน้าทางเทคโนโลยีมีบทบาทสำคัญในชีวิตประจำวันของเรา ตลอดจนการให้บริการต่างๆก็นำเทคโนโลยีมาเพิ่มประสิทธิภาพอีกด้วย ซึ่งจะสังเกตได้จากชื่อบริการต่างๆ ที่เปลี่ยนไปโดยเติมคำว่า "e-" ที่หมายถึง อิเล็กทรอนิกส์ นำหน้าชื่อบริการต่างๆ เช่น อี-คอมเมิร์ซ (e-commerce) อี-เลิร์นนิ่ง (e-learning) หรือ แม้กระทั่งรัฐบาลอิเล็กทรอนิกส์ (e-government) เองก็ตาม ด้วยสาเหตุนี้เองอาชญากรจึงได้อาศัยเทคโนโลยีก่ออาชญากรรมด้วย ซึ่งก่อให้เกิดคำว่า อาชญากรรมทางอิเล็กทรอนิกส์ หรือ e-crime ด้วย

ภาพประกอบ http://www.silicon.com/

ดังนั้นอาชญากรรมทางอิเล็กทรอนิกส์ หรือ E-crime หมายถึง การกระทำผิดกฎหมายใด ๆ ซึ่งใช้เทคโนโลยีของอุปกรณ์อิเล็กทรอนิกส์ เช่น คอมพิวเตอร์ โทรศัพท์มือถือ และอุปกรณ์สื่อสารต่างๆ ฯลฯ เป็นเครื่องมือ อันทำให้เหยื่อได้รับ ความเสียหาย และผู้กระทำได้รับผลประโยชน์ตอบแทน ซึ่งในการสืบสวนสอบสวนของพนักงานเจ้าหน้าที่เพื่อนำผู้กระทำผิดมาดำเนินคดี ต้องใช้ความรู้ทางเทคโนโลยีเช่นเดียวกัน นอกจากนี้ยังมีคำศัพท์ที่มีความหมายใกล้เคียงกัน เช่น อาชญากรรมคอมพิวเตอร์ (computer crime) และ อาชญากรรมไซเบอร์ (cyber crime) ด้วย

อาชญากรรมอิเล็กทรอนิกส์ถูกแบ่ง ๘ ได้ประเภทตามลักษณะของการกระทำผิด ซึ่งประเภทของอาชญากรรมอิเล็กทรอนิกส์และตัวอย่างการกระทำผิดมีดังต่อไปนี้

การเข้าถึงระบบและข้อมูลโดยมิได้รับอนุญาต

การเจาะระบบ (hacking)
การเดารหัสผ่านแบบถึก (Brute force)
การเดารหัสผ่านด้วยดิกชั่นนารี (Dictionary Attack)
การชนกันของแฮช (Hash collision)
การสแกนพอร์ต (Port scanning)

การปลอมแปลงระบบหรือข้อมูลและการสวมรอยเป็นบุคคลอื่น

การปลอมอีเมล์ (Email spoofing)
การปลอมแมคและไอพี (Mac and IP spoofing)
การสวมรอยเป็นบุคคลอื่น (Impersonation)

การขโมยข้อมูล

การดักฟังข้อมูล (sniffing)
การปลอมตัวเพื่อขโมยข้อมูล (social engineering)
ฟิชชิง และ วิชชิ่ง (phishing and vishing)
การคุ้ยขยะ (Dumpster diving)

การทำลายระบบหรือก่อกวนให้ระบบไม่สามารถให้บริการได้ตามปกติ

การปฏิเสธการให้บริการ (Denial of Service - DoS)
มัลแวร์ (Malware)

ไวรัส หนอนอินเทอร์เน็ต ม้าโทรจัน ระเบิดเวลา

บ็อตเน็ต (Botnet)

การส่งสแปม โฆษณาชวนเชื่อ และอีเมล์หลอกลวงต่างๆ

สแปมเมล์ (Spam mail)
ข่าวหลอกหลวง (Hoax)
สปายแวร์ และ แอดแวร์ (Spyware and Adware)

การเผยแพร่เนื้อหาที่ไม่เหมาะสม

การเผยแพร่ข้อความหมิ่นประมาท
การเผยภาพอนาจาร
การพนันออนไลน์

การละเมิดสิทธิส่วนบุคคล

การสะกดรอยทางไซเบอร์ (Cyber stalking)
การใช้ข้อมูลส่วนบุคคลทำธุรกรรมแทน

การก่อการร้าย

การก่อการร้าย (Cyber terrorists)

ในบทความถัดไปจะอธิบายแต่ภัยคุกคามในแต่ละหัวข้อ และหากใครมีข้อมูลเพิ่มเติม สามารถแจ้งได้นะครับ ที่เฟซบุค http://www.facebook.com/kitisak.note หรือ ทวิตเตอร์ @kitisak นะครับ

คาดการณ์ภัยร้ายที่อาจมาพร้อมกับ Smart TV

2012-01-19T16:11:00.001+07:00

หลังจากที่ช่วงนี้ผมเตรียมสไลด์สำหรับบรรยายอยู่นั้นผมก็ดันไปนึกถึงว่าเมื่อก่อนเคยคิดเล่นๆว่า จะทำอย่างไรถ้าหากไวรัสติดที่ตู้เย็น เลยมาเปรียบเทียบกับความเป็นไปได้ในปัจจุบัน เลยพบถึงความน่าสนใจที่อาจจะเกิดขึ้นในอนาคตอันใกล้นี้ก็ได้

***หมายเหตุ บทความนี้เป็นเพียงความคิดเห็นของผู้เขียนเท่านั้น ไม่ได้ต้องการสร้างความตื่นตระหนก เพียงแค่อยากให้เห็นว่าภัยร้ายมักจะมาควบคู่กับเทคโนโลยี

ก่อนหน้านี้นั้นผมเรียนรู้ว่าเมื่อมีการใช้ IPv6 จะทำให้อุปกรณ์อิเล็กทรอนิกส์ได้รับไอพีและเชื่อมต่ออินเทอร์เน็ตได้ แต่จนปัจจุบันนี้ผมก็ยังไม่เคยเห็นอุปกรณ์อิเล็กทรอนิกส์ที่ออกมารองรับ IPv6 เลยครับ จนผมเคยพูดเล่นๆกับเพื่อนๆว่าต่อไปเราอาจจะไม่ต้องแก้ปัญหาไวรัสบนเครื่องคอมพ์อย่างเดียว เราอาจจะต้องไปกำจัดไวรัสที่ติดในตู้เย็น ทีวี เครื่องเสียงก็เป็นได้ ณ เวลานั้นคงเป็นเพียงจินตนาการเพ้อฝันแบบเด็กๆก็ได้ แต่มาในวันนี้เมื่อผมได้เห็นโฆษณาโทรทัศน์อัจฉริยะ (Smart TV) ทำให้แนวความคิดที่ผมเคยคิดเล่นๆมันย้อนกลับมาทำให้ผมอยากเขียนบทความนี้

โทรทัศน์อัจฉริยะคืออะไร

จากนิยามที่วิกิพีเดียกล่าวไว้ โทรทัศน์อัจฉริยะเป็นคำที่ใช้เรียกการผสมผสานของอินเทอร์เน็ตและเว็บ 2.0 เข้ากับชุดโทรทัศน์และ Set-top boxes (เป็นอุปกรณ์ที่ต่อเพิ่มเข้ากับโทรทัศน์ เพื่อใช้รับสัญญาณโทรทัศน์) ซึ่งอาจจะกล่าวได้ว่าเป็นการนำคอมพิวเตอร์มายัดใส่ในโทรทัศน์หรือ Set-top boxes ก็ได้ ดังนั้นโทรทัศน์อัจฉริยะจึงมีระบบปฏิบัติการคล้ายคอมพิวเตอร์ ผู้ใช้สามารถติดตั้งโปรแกรมได้ และที่สำคัญสามารถเชื่อมต่ออินเทอร์เน็ตได้ ระบบปฏิบัติการที่ใช้ในโทรทัศน์อัจฉริยะส่วนใหญ่จะใช้ระบบปฏิบัติการคล้ายที่ติดตั้งบนโทรศัพท์อัจฉริยะ (Smartphone) และ แท็บเบล็ต (Tablet) ซึ่งเป็นลีนุกซ์ แอนดรอยด์ และซอฟต์แวร์ประเภทโอเพ่นซอร์ส

รูปที่ 1 แสดงภาพของโทรทัศน์อัจฉริยะ

(ภาพประกอบจาก http://www.chipchick.com/2011/05/smart-tv-apps.html)

อนาคตภัยที่อาจจะเกิดขึ้น

เจาะระบบ (Hacking) อย่างที่เราทราบกันว่าโทรทัศน์อัจฉริยะนั้นมีคอมพิวเตอร์อยู่ข้างใน กล่าวคือมีระบบปฏิบัติการลีนุกซ์ เช่น มีโก้ (Meego) อูบันตู (Ubuntu) หรือระบบปฏิบัติการสำหรับอุปกรณ์มือถือต่างๆ เช่นแอนดรอยด์ (Android) ถูกติดตั้งมาพร้อมกับความสามารถเชื่อมต่ออินเทอร์เน็ตได้อีกด้วย ถ้ายิ่งผู้ใช้งานนั้นท่องอินเทอร์เน็ตโดยใช้โทรทัศน์อัจฉริยะ รหัสผ่านของบัญชีผู้ใช้งานต่างๆ หรือข้อมูลส่วนตัว ก็ถูกบันทึกไว้ในเครื่องโทรทัศน์อีกด้วย ดังนั้นไม่น่าจะแปลกใจถ้าหากแฮกเกอร์จะเจาะระบบที่โทรทัศน์อัจฉริยะที่เต็มไปด้วยข้อมูลส่วนบุคคลที่มีค่าอย่างมากของผู้ใช้งาน

รูปที่ 2 แสดงหน้าจอของ อูบันตูทีวี (Ubuntu TV) ซึ่งติดตั้งระบบปฏิบัติการลีนุกซ์อูบันตู

(ภาพประกอบ http://www.omgubuntu.co.uk/2012/01/what-does-ubuntu-tv-look-in-action-like-this/)

มัลแวร์ (Malware) หรือไวรัสคอมพิวเตอร์ หลังจากที่แฮกเกอร์สามารถแฮกโทรทัศน์อัจฉริยะได้แล้ว มีความเป็นไปได้สูงที่จะทำการฝังม้าโทรจันหรือเปิดประตูลับไว้สำหรับที่จะทำให้แฮกเกอร์สามารถย้อนกลับเข้ามาในเครื่องได้อีก นอกจากนี้อาจจะทำการติดตั้งโปรแกรมดักจับปุ่มกดต่างๆ เพื่อลักลอบเก็บข้อมูลส่วนบุคคลเช่นชื่อบัญชี รหัสผ่าน และข้อมูลบัตรเครดิต เป็นต้น มัลแวร์หรือไวรัสคอมพิวเตอร์นั้นเป็นเพียงซอฟต์แวร์ชนิดหนึ่ง ดังนั้นเมื่อโทรทัศน์อัจฉริยะมีระบบปฏิบัติการถูกติดตั้งอยู่ภายใน จึงเป็นเรื่องง่ายที่มัลแวร์จะถูกติดตั้งในโทรทัศน์ได้อย่างง่ายดาย

ทำสงครามข้อมูลข่าวสาร (Information warfare) ต่อไปเมื่อผู้ใช้งานสามารถท่องอินเทอร์เน็ตผ่านโทรทัศน์ได้ การเผยแพร่ข่าวสารผ่านโทรทัศน์อัจฉริยะขึงเป็นอีกหนึ่งช่องทางเผยแพร่ข่าวสารที่มีประสิทธิและรวดเร็วซึ่งบางครั้งเร็วกว่าข่าวจากรายการทางโทรทัศน์อีกด้วย ดังนั้นมีความเป็นไปได้ที่อาจจะมีผู้ประสงค์ร้ายอาศัยช่องทางนี้ในการเผยแพร่ข่าวสารผิดๆ เพื่อสร้างความตื่นตระหนกให้กับประชาชน อีกทั้งอาจจะเป็นการทำลายชื่อเสียงของบางคนได้อีกด้วย

สแปม (Spam) การโฆษณาในรายการโทรทัศน์นั้นต้องเสียค่าใช้จ่ายค่อนข้างสูง เมื่อโทรทัศน์เชื่อมต่ออินเทอร์เน็ตได้ การโฆษณาก็น่าจะหันมาใช้อินเทอร์เน็ตมาช่วยเพื่อลดค่าใช้จ่าย และยังสามารถโฆษณาได้อย่างรวดเร็วอีกด้วย ดังนั้นจึงเป็นโอกาสอันดีสำหรับนักส่งสแปมจะอาศัยช่องทางนี้ในการส่งสแปมเมล์ได้

สแคม (Scam) จากที่โฆษณาต่างๆถูกเผยแพร่ผ่านทางอินเทอร์เน็ตของโทรทัศน์อัจฉริยะแล้ว ก็อาจจะมีผู้ประสงค์ร้ายนั้นสร้างโฆษณาชวนเชื่อ เพื่อทำให้เหยื่อเกิดกิเลสและความโลภ จนถึงขั้นยอมทำตามคำสั่ง เช่นให้ข้อมูลส่วนบุคคลของเหยื่อ หรือโดนหลอกให้โอนเงิน เป็นต้น โดยขาดความตระหนักได้

การฉ้อโกง (Fraud) เมื่อโทรทัศน์นั้นเชื่อมต่ออินเทอร์เน็ตได้ ธุรกิจหนึ่งที่น่าจะมีการใช้บริการกันอย่างแพร่หลายคือการสั่งซื้อภาพยนตร์มาชมที่บ้าน ซึ่งกระบวนการสั่งซื้อก็อาจจะเป็นการเลือกภาพยนตร์ แล้วก็ชำระเงินผ่านทางบัตรเครดิต จากนั้นจึงสามารถทำการดาวน์โหลดมาชมได้ ดังนั้นผู้ประสงค์ร้ายก็อาจจะฉวยโอกาสนี้มาหลอกล่อให้เหยื่อหลงเชื่อให้โอนเงินมาเพื่อชำระสินค้า แต่ไม่ได้มีสินค้าหรือหน้าร้านอยู่จริง ทำให้เหยื่อนั้นสูญเสียเงินหรือข้อมูลส่วนบุคคลอื่นๆได้ด้วย

ป้องกันอย่างไรดี

ไม่เยี่ยมชมเว็บไซต์ ไม่ดาวน์โหลดโปรแกรมจากเว็บไซต์ที่ไม่เหมาะสม หรือไม่แน่ใจถึงความปลอดภัย
ไม่ติดตั้งแอพฯที่ไม่เหมาะสม ไม่ทราบแหล่งที่มา
อัพเดตระบบปฏิบัติการและแอพฯต่างๆ ที่ถูกติดตั้งอยู่สม่ำเสมอ
ไม่หลงเชื่อโฆษณาชวนเชื่อต่างๆ หรือข่าวสารผิดๆ ที่อาจถูกส่งมาในโทรทัศน์อัจฉริยะ
ไม่โอนเงิน หรือไม่ให้ข้อมูลส่วนตัวใดๆทั้งสิ้น แก่เว็บไซต์ที่น่าสงสัย
ติดตามข่าวสารที่เกี่ยวกับการรักษาความปลอดภัยสารสนเทศต่างๆ

ทิ้งท้าย

จากที่ได้กล่าวในตอนต้นแล้วว่าบทความนี้ไม่ได้มีจุดมุ่งหมายที่จะสร้างความตื่นตระหนก แต่อยากให้ผู้อ่านได้ตระหนักว่าเมื่อเทคโนโลยีล้ำหน้าไป ภัยคุกคามต่างๆ ก็จะยิ่งใกล้ตัวเรามากขึ้น และภัยคุกคามที่ถูกยกตัวอย่างในบทความนี้ ยังไม่ได้เกิดขึ้่นจริง และเป็นเพียงตัวอย่างเท่านั้น ดังนั้นใครจะเลือกใช้เทคโนโลยีใดๆ ก็ขอให้ศึกษารายละเอียดก่อน และติดตามข่าวสารต่างๆ ด้วยนะครับ

อย่าลืมนะครับ "ตระหนัก อย่าตระหนก"

ใครสนใจพูดคุยกันก็สามารถติดต่อผู้เขียนได้ที่ข้อมูลด้านล่างนะครับ :)

Facebook : http://www.facebook.com/kitisak.note

Twitter : @kitisak

10 อันดับความเสี่ยงด้านเว็บแอพพลิเคชั่นของ OWASP ปี 2010

2012-01-04T13:54:00.000+07:00

ทำความรู้จักกับ OWASP
โครงการOWASP(The Open Web Application Security Project) ดำเนินการโดยมูลนิธิOWASPซึ่งเป็นองค์กรไม่แสวงหาผลกำไรหมายเลข501c3และยังได้รับการสนับสนุนการทำงานจากสมาชิกทั้งบุคคลทั่วไปองค์กรต่างๆ อีกทั้งมหาวิทยาลัยโครงการนี้เป็นการสร้างชุมชนเปิดและฟรีให้กับทั่วโลกโดยมีวัตถุประสงค์เพื่อส่งเสริมและพัฒนาการรักษาความปลอดภัยของโปรแกรมประยุกต์(Application)ให้ดียิ่งขึ้นอีกทั้งยังมีการจัดตั้งOWASPย่อยๆในประเทศต่างๆด้วยสำหรับในประเทศไทยเองก็มีเช่นกันและประธานของโครงการนี้ในประเทศไทยคนปัจจุบันคือ กิติศักดิ์ จิรวรรณกูล หรือผมเอง [2] ใครสนใจติดตามข่าวสารของ OWASP ประเทศไทย (หรือ OWASP Thailand Chapter) สามารถติดตามได้ที่แฟนเพจตามเอกสารอ้างอิง [3]

รูปที่ 1 แสดงโลโกของ OWASP

"โครงการจัด 10 อันดับความเสี่ยงด้านเว็บแอพพลิเคชั่น หรือ OWASP Top 10" เป็นโครงการหนึ่งที่ได้รับความนิยมอย่างสูง เนื่องจากเป็นโครงการที่เผยแพร่ความรู้ สร้างความตระหนักถึงอันตรายของการโจมตีผ่านเว็บแอพพลิเคชั่น

ความเสี่ยงด้านการรักษาความปลอดภัยเว็บแอพพลิเคชั่นคืออะไร

ผู้โจมตีสามารถเลือกทำอันตรายธุรกิจหรือองค์กรผ่านแอพพลิเคชั่นของเราได้ จากรูปที่ 2 แสดงความเสี่ยงที่อาจจะเกิดหรือไม่ก็ได้ แต่อย่างไรก็ตามก็ต้องให้ความสนใจเหมือนกัน

รูปที่ 2 แสดงภาพเส้นทางของความเสี่ยงที่อาจจะเกิดขึ้นในองค์กร

ในบางครั้งการโจมตีนั้นอาจทำได้โดยง่าย แต่บางครั้งก็อาจจะยากมาก ในทำนองเดียวกันนี้การโจมตีเหล่านี้อาจไม่ได้สร้างความเสียหายให้แก่องค์กร แต่บางครั้งก็อาจส่งผลกระทบที่รุนแรงต่อธุรกิจเลยก็เป็นได้ ในการตรวจหาความเสี่ยงภายในองค์กรนั้นสามารถทำได้โดยการประเมินผลความสัมพันธ์ระหว่างผู้โจมตี (Threat agent) แนวทางการโจมตี (Attack vector) และความอ่อนแอของระบบ (Security weakness) ร่วมกับการประมาณผลกระทบด้านเทคนิคและธุรกิจต่อองค์กร ทั้งหมดนี้เป็นปัจจัยในการประเมินความเสี่ยงทั้งหมดขององค์กร

กระบวนการประเมินความเสี่ยง

ในโครงการจัด 10 อันดับความเสี่ยงด้านเว็บแอพพลิเคชั่น หรือ OWASP Top 10 นี้เน้นการระบุความเสี่ยงที่ร้ายแรงที่สุดขององค์กร ซึ่งแต่ความเสี่ยงที่จะกล่าวต่อไปนั้น OWASP ได้แสดงข้อมุลทั่วไปเกี่ยวกับโอกาสที่จะเกิดและผลกระทบทางด้านเทคนิคโดยใช้แนวทางการประเมินอย่างง่ายที่อ้างอิงกระบวนการ OWASP Risk Rating Methodology [4]

รูปที่ 3 แสดงตารางที่ใช้ในการประเมินความเสี่ยง

อย่างไรก็ตามแต่ละองค์กรนั้นมีลักษณะเฉพาะที่แตกต่างกัน แนวทางการโจมตีและผลกระทบอาจจะเหมือนกันหรือแตกต่างกันก็เป็นได้ ดังนั้นการประเมินความเสี่ยงนั้นจึงควรทำด้วยตนเอง โดยเน้นไปที่ผู้โจมตี (Threat agents) การควบคุมความปลอดภัย (Security controls) และผลกระทบเชิงธุรกิจ (Business impacts) ขององค์กร

ถึงแม้ว่าในการจัด 10 อันดับความเสี่ยงเวอร์ชั่นก่อนนั้นมุ่งเน้นไปที่จุดอ่อน (Vulnerabilities) ทั่วไป แต่ชื่อเรียกก็ถูกออกแบบตามความเสี่ยงเหมือนกัน ซึ่งชื่อของแต่ละความเสี่ยงในการจัด 10 อันดับความเสี่ยงนี้ถูกตั้งจาก ประเภทการโจมตี ประเภทของจุดอ่อน หรือประเภทของผลกระทบที่เกิด และการเลือกชื่อที่จะนำมาใช้นั้นจะเป็นชื่อที่นิยมและสามารถเก็บไว้สร้างความตระหนักได้อย่างสูงสุด

10 อันดับความเสี่ยงด้านเว็บแอพพลิเคชั่นปี 2010

Injection เป็นการแทรกโค้ดเข้าไปในระบบ เช่น OS SQL และ LDAP ซึ่งเมื่อมีผู้ไม่หวังดีแทรกคำสั่งของระบบ (command) หรือคำสั่งสำหรับการคิวรี่ (query) เข้าไปเพื่อทำให้ระบบทำงานผิดพลาด หรือการเข้าไปถึงข้อมูลที่ไม่ได้รับอนุญาต
Cross-Site Scripting (XSS) เป็นเทคนิคที่แฮกเกอร์จะแอบซ่อนหรือฝังสคริปส์ประสงค์ร้ายผ่านเว็บแอพพลิเคชั่นที่มีช่องโหว่ในเว็บไซต์ต่างๆ จากนั้นเมื่อเหยื่อหลงเข้ามาเยี่ยมชมหน้าเว็บนั้นสคริปส์ของแฮกเกอร์ก็จะถูกเรียกใช้งานที่เว็บเบราเซอร์ของเหยื่อเพื่อขโมยเซสชั่น (session) เปลี่ยนหน้าเว็บ หรือ redirect ไปยังเว็บประสงค์ร้ายได้
Broken Authentication and Session Management ฟังก์ชั่นการระบุตัวตน (Authentication) ของเว็บแอพพลิเคชั่นที่มีช่องโหว่ ทำให้ผู้โจมตีสามารถขโมยรหัสผ่าน คีย์ โทคเคน (Token) หรือแอบอ้างปลอมตัวเป็นผู้ใช้งานจริงๆได้
Insecure Direct Object References  เกิดจากการอ้างอิงถึง Object ที่ใช้ภายใน เช่น ไฟล์ ไดเรคทอรี่ หรือคีย์ของฐานข้อมูล โดยไม่มีการตรวจสอบสิทธิ์หรือควบคุมการเข้าถึง ซึ่งทำให้ผู้โจมตีสามารถใช้การอ้างอิงนี้เข้าถึงข้อมูลที่ไม่ได้รับอนุญาตได้
Cross-Site Request Forgery (CSRF) หรือเรียกสั้นๆ ว่า ซีเซิร์ฟ (CSRF) คือรูปแบบการโจมตีที่บังคับให้เว็บเบราเซอร์ของเหยื่อส่ง HTTP request ที่ถูกปรับแต่งแล้ว รวมถึง session cookie และ ข้อมูลเกี่ยวกับการระบุตัวตน (Authentication) ไปยังเว็บแอพพลิเคชั่นที่มีช่องโหว่ ทำให้ผู้โจมตีสามารถสร้าง request ที่แอพพลิเคชั่นคิดว่ามาจากผู้ใช้ที่ถูกต้องได้ (สวมรอยสิทธิ์การใช้งานของผู้อื่น)
Security Misconfiguration หมายถึง เป็นปัญหาที่เกิดขึ้นจากผู้ดูแลระบบที่ไม่ได้คอนฟิกระบบให้มีความปลอดภัย ซึ่งรวมไปถึงการอัพเดตซอฟต์แวร์และโค้ดต่างๆที่ถูกใช้โดยแอพพลิเคชั่น
Insecure Cryptographic Storage หลากเว็บแอพพลิเคชั่นไม่ได้คำนึงถึงการป้องกันข้อมูลสำคัญเช่น รหัสผ่าน (password) หมายเลขบัตรเครดิตลูกค้า หรือ ข้อมูลลับของลูกค้า ด้วยการเข้ารหัส (encryption) หรือการทำแฮช (hashing) ซึ่งผู้โจมตีสามารถเข้าถึงและอาจแก้ไขข้อมูลที่สำคัญเหล่านี้ได้
Failure to Restrict URL Access ความผิดพลาดในการจำกัดการเข้าถึงเว็บ ซึ่งอาจจะมีการควบคุมการเข้าถึงโดยใช้ url เพื่อเข้าไปยังหน้าเว็บที่ถูกซ่อนไว้ อย่างไรก็ตามผู้โจมตีสามารถปลอมแปลงชื่อ URL เพื่อหลอกเข้าไปยังหน้าเว็บที่ซ่อนไว้ได้
Insufficient Transport Layer Protection เว็บแอพพลิเคชั่นส่วนใหญ่ละเลยที่่จะรักษาความลับและความถูกต้องของข้อมูลในเครือข่าย หรือบางครั้งใช้อัลกอริทึ่มในการเข้ารหัสที่อ่อนแอ ใบประกาศนียบัตรที่หมดอายุหรือไม่ถูกต้อง ทำให้ผู้โจมตีสามารถขโมยและแอบเปลี่ยนแปลงข้อมูลระหว่างการส่งได้
Unvalidated Redirects and Forwards เป็นเทคนิคที่ผู้โจมตีทำให้ผู้ใช้ไปเข้าถึงยังหน้าเว็บที่ไ่ม่พึงประสงค์ เช่น หน้าเว็บฟิชชิง (phishing) หรือเว็บที่มีโปรแกรมประสงค์ร้ายฝังอยู่ หรือส่งต่อเพื่อเข้าถึงหน้าเว็บที่ผู้อื่นไม่ได้รับอนุญาตได้

เอกสารอ้างอิง

OWASP Top 10 - https://www.owasp.org/index.php/Top_10_2010-Main
OWASP Thailand Chapter (Official site อยู่ในระหว่างการปรับเปลี่ยนหน้าเว็บใหม่) - https://www.owasp.org/index.php/Thailand
OWASP Thailand Chapter fanpage - https://www.facebook.com/pages/OWASP-Thailand-Chapter/151130168312937
OWASP Risk Rating Methodology - https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology

ทำอย่างไร เมื่อฮาร์ดดิสก์ถูกน้ำท่วม

2011-11-23T20:39:00.001+07:00

ปัญหาน้ำท่วมสร้างความเสียหายไปทุกหย่อมหญ้า ยิ่งโรงงานผลิตฮาร์ดดิสก์ก็จมน้ำจนทำให้ไม่สามารถผลิตได้ ราคาฮาร์ดดิสก์ใหม่ก็พุ่งสูงปรี๊ด แถมฮาร์ดดิสก์ก็ยังมาถูกน้ำท่วมอีก ทีนี้จะเปลี่ยนฮาร์ดดิสก์ใหม่ก็คงต้องคิดกันหนักหน่อยแล้วหล่ะครับ แถมข้อมูลที่มีค่ามหาศาลที่จะต้องสูญเสียไปอีกด้วย คิดแล้วก็แอบเครียดแทนเหมือนกัน ดังนั้นในบทความนี้ผมจึงอยากจะแนะนำกระบวนการกู้ฮาร์ดดิสก์หลังจากที่บ้านของเราถูกน้ำท่วม กระบวนการเหล่านี้เป็นเพียงคำแนะนำ ซึ่งอาจจะไม่สามารถทำให้กู้ฮาร์ดดิสก์ได้ 100%

หลังจากเราสามารถเข้าไปในบ้านได้แล้ว อันดับแรกคือจะต้องตรวจสอบระดับน้ำที่ได้ท่วมได้บ้าน จากนั้นใช้อุปกรณ์ตรวจสอบสัญญาณไฟฟ้ารั่ว เช่น เป็ด เสาเช็ค และอุปกรณ์อื่นๆ เพื่อให้แน่ใจว่าไม่มีไฟฟ้ารั่วในบ้านของเรา
แต่เพื่อให้แน่ใจ ให้ปิดสะพานไฟ เพื่อป้องกันไม่ให้มีไฟฟ้ารั่วด้วย
ย้ายเครื่องคอมพิวเตอร์ที่ถูกน้ำท่วมไปยังบริเวณพื้นที่แห้ง

ข้อควรระวัง

ห้ามลองเปิดให้เครื่องคอมพิวเตอร์ทำงาน หรือถอดฮาร์ดดิสก์ไปต่อกับคอมพิวเตอร์เครื่องอื่น
ห้ามแกะฝาครอบฮาร์ดดิสก์ออกมาทำความสะอาดด้วยตัวเอง
ห้ามทำให้ฮาร์ดดิสก์แห้งด้วยตนเอง อาจจะด้วยวิธีการเป่าแห้ง หรือแม้กระทั่งตั้งทิ้งไว้ให้แห้งเองก็ตาม

ถอดฮาร์ดดิสก์ออกจากเครื่องคอมพิวเตอร์แล้วให้นำใส่ถุงซิปทันที ถึงแม้ว่าฮาร์ดดิสก์จะยังคงเปียกอยู่ก็ตาม
ส่งฮาร์ดดิสก์ให้ศูนย์กู้ข้อมูลที่น่าเชื่อถือ และจะต้องมีนโยบายการรักษาความลับของลูกค้า เพื่อป้องกันข้อมูลจากฮาร์ดดิสก์ของเราถูกขโมย
จะต้องทำการสำรองข้อมูลอยู่สม่ำเสมอ อาจจะบันทึกลงในแผ่นซีดี ดีวีดี ฮาร์ดดิสก์ภายนอก หรือแม้กระทั่งไดร์ฟ USB ก็ตาม และจะต้องวางเครื่องคอมพิวเตอร์ สื่อบันทึกต่างๆ ในที่ที่ปลอดภัยจากน้ำท่วม หรืออาจจะหาถุงกันน้ำมาบรรจุสื่อบันทึกก็ได้

แฮกเกอร์เปรียบเสมือนน้ำท่วม

2011-10-21T13:18:00.000+07:00

สถานการณ์น้ำท่วมตอนนี้น่ากลัวมากเลยนะครับ แต่การอธิบายเรื่องการเจาะระบบคอมพิวเตอร์นั้นก็เปรียบได้ดังกับสถานการณ์น้ำท่วม หลายๆคนคงสงสัยว่าทั้งสองเรื่องนี้มีความเกี่ยวข้องกันอย่างไร บทความนี้ผมจะขออธิบายแนวความคิดการเปรียบเทียบจากมุมมองของผมให้ทุกท่านได้อ่านกันนะครับ

ก่อนอื่นผมขอกล่าวถึงการเปรียบเทียบองค์ประกอบที่จำเป็นของบทความนี้ก่อนนะครับ ได้แก่ ระบบคอมพิวเตอร์และเครื่องเซิร์ฟเวอร์ ก็เปรียบได้กับบ้านของพวกเรา และน้ำท่วมนั้นก็เปรียบได้กับผู้โจมตีหรือแฮกเกอร์ เป็นต้น

วิธีการป้องกันน้ำท่วมบ้านนั้นก็เปรียบเสมือนกับผู้ดูแลบริหารจัดการระบบคอมพิวเตอร์นั้นจำเป็นจะต้องป้องกันโอกาสที่จะถูกโจมตีจากเหล่าแฮกเกอร์ ได้แก่

การติดตั้งไฟร์วอลล์ เปรียบได้กับการสร้างรั้วป้องกันน้ำ ด้วยอิฐบล็อก หรือการสร้างคันกั้นน้ำด้วยทราย และกระสอบทราย เพื่อปฏิเสธไม่ให้น้ำซึ่งเป็นสิ่งที่เราไม่ต้องการนั้นเข้ามาในบ้านของเราได้
โปรแกรมอุดช่องโหว่ (Patch) เปรียบได้กับการใช้สิลิโคน กาวยาง หรืออุปกรณ์ต่างๆ อุดตามรูรั่วที่อยู่ตามรั้ว ประตู และจุดต่างๆรอบๆบ้าน ซึ่งหากเปรียบเทียบกับการป้องกันระบบคอมพิวเตอร์ เจ้าหน้าที่ดูแลระบบคอมพิวเตอร์นั้นก็ต้องอัพเดตโปรแกรมต่างๆด้วยโปรแกรมอุดช่องโหว่อยู่สม่ำเสมอ
ระบบตรวจจับผู้บุกรุก (IDS) ก็เปรียบได้กับการติดตั้งระบบแจ้งเตือนน้ำท่วม
สำรองข้อมูลที่สำคัญ นั้นก็อาจเปรียบได้กับการเก็บของสำคัญเพื่อไม่ให้น้ำมาทำลายให้เสียหาย

จะเห็นว่าที่จริงแล้วการป้องกันระบบคอมพิวเตอร์นั้นก็ไม่ได้แตกต่างจากการป้องกันน้ำท่วมบ้านมากนัก โดยแนวความคิดของแฮกเกอร์หรือน้ำนั้นก็คล้ายกัน นั่นก็คือการพยายามหาจุดอ่อนเพียงจุดเดียวเพื่อที่จะบุกรุกเข้ามาในระบบเครือข่ายหรือบ้านของเรา แต่หากเราที่มีหน้าที่ดูแลระบบคอมพิวเตอร์และบ้านจำเป็นจะต้องอุดช่องโหว่ทั้งหมดที่มีอยู่ ดังนั้นงานของเราจึงหนักกว่าเหล่าแฮกเกอร์มากนัก

ถึงแม้ว่าเราจะเตรียมการป้องกันรอบนอกอย่างแน่นหนาแล้ว ก็ยังไม่พอเนื่องจากภัยคุกคามที่น่ากลัวอย่างหนึ่งคือ ภัยที่เกิดจากภายใน (Insider Threat) ซึ่งก็เหมือนกับการที่ไม่ระวังป้องกันน้ำจากท่อระบายน้ำภายในบ้าน ทำให้น้ำสามารถเอ่อล้นเข้าท่วมบ้านจากภายในบ้านได้อีกด้วย อีกทั้งเหตุน้ำท่วมตามที่ต่างๆนั้นก็เกิดจากสาเหตุนี้ด้วย

เรียนรู้...ก่อนถูกขโมยรหัสผ่าน

2011-10-03T03:46:00.000+07:00

ปัจจุบันเครือข่ายสังคมออนไลน์เป็นอีกช่องทางหนึ่งในการติดต่อสื่อสาร ด้วยประโยชน์ที่มีมากมาย เช่น บางหน่วยงานก็ใช้ในการประชาสัมพันธ์หน่วยงานเพื่อกระตุ้นยอดขาย สร้างภาพลักษณ์ หรือบางคนใช้ในการพบปะกับเพื่อนๆ บ้างก็เคยเจอเพื่อนที่ไม่ได้เจอกันมาหลายปี หรือบ้างก็ใช้ในการเผยแพร่องค์ความรู้ เป็นต้น นี่เป็นแค่ตัวอย่างประโยชน์ของการใช้งานเครือข่ายสังคมออนไลน์เพียงเล็กน้อยเท่านั้น ยังมีการประยุกต์ใช้เครือข่ายสังคมออนไลน์อีกมากมาย จากประโยชน์อันมหาศาลนี่เองที่เป็นสิ่งล่อตาล่อใจเหล่าแฮกเกอร์จ้องที่จะฉวยโอกาสจากผู้ใช้งานที่ขาดทักษะในการป้องกันตัวเองที่เพียงพอและผู้ที่ขาดความตระหนักในการรักษาความปลอดภัยข้อมูลตนเอง ดังนั้นภัยคุกคามรูปแบบต่างๆใหม่ๆที่อาศัยช่องทางของเครือข่ายสังคมออนไลน์จึงเพิ่มจำนวนสูงขึ้นอย่างรวดเร็ว และภัยคุกคามหนึ่งที่น่าสนใจก็คือการขโมยบัญชีผู้ใช้งานอื่น

หลายคนคงได้ข่าวว่าบัญชีผู้ใช้งานทวีตเตอร์ของนายกรัฐมนตรีถูกแฮก แล้วโพสท์ข้อความด้วยชื่อของนายกเอง เมื่อวิเคราะห์จากความเป็นไปได้แล้ว โดยความเห็นส่วนตัวคิดว่าแฮกเกอร์น่าจะขโมยรหัสผ่านของบัญชี้นี้ แล้วใช้เข้าสู่ระบบจากนั้นจึงทวีต (คือการโพสท์ข้อความบนทวีตเตอร์) ข้อความตามที่เป็นข่าวได้ ดังนั้นบทความนี้จะกล่าวถึงเทคนิคกลยุทธ์ต่างๆเบื้องต้นที่แฮกเกอร์อาจจะใช้ขโมยรหัสผ่านต่างๆของเหยื่อ โดยมีวัตถุประสงค์เพื่อสร้างความตระหนัก ให้ผู้อ่านได้ระมัดระวังตัวและเตรียมการป้องกันไม่ให้แฮกเกอร์มาฉวยโอกาสจากบัญชีผู้ใช้ของเรา นอกจากนี้ผู้เขียนขอเสนอแนะวิธีการใช้งานเครือข่ายสังคมออนไลน์อย่างปลอดภัยอีกด้วย

การหลอกถาม (Social Engineering)การหลอกถามนี้เขาใช้กลยุทธ์ปลอมตัวเป็นบุคคลอื่น จากนั้นก็จะอาศัยจุดอ่อนของจิตใจมนุษย์ ด้วยการสร้างเรื่องราวหลอกลวงต่างๆที่สามารถทำให้เหยื่อหลงเชื่อ สงสาร หรือเกิดความโลภ จนต้องยอมเปิดเผยข้อมูลส่วนบุคคลของตนเองได้ ยกตัวอย่างเช่น อาจจะปลอมเป็นเจ้าหน้าที่ตำรวจโทรเข้ามาบอกว่า เหยื่อเป็นผู้ต้องสงสัยในคดีหนึ่ง แล้วบังคับให้เหยื่อบอกรหัสผ่าน ถ้าไม่บอกแสดงว่ายอมรับว่าเป็นอาชญากรจริงๆ เหยื่อได้ยินดังนั้นก็เกิดความตื่นตระหนกตกใจ จนทำให้ยอมเปิดเผยรหัสผ่านได้ หรือในบางกรณีก็อาจจะติดต่อมาบอกว่าเหยื่อเป็นผู้โชคดีได้รับรางวัลชิ้นใหญ่ แต่สร้างเงื่อนไขให้เหยื่อจะต้องลงทะเบียนยืนยันตัวตนโดยการกรอกชื่อผู้ใช้งานและรหัสผ่านบนเว็บไซต์ที่ผู้ประสงค์ร้ายเตรียมไว้ ซึ่งวิธีการนี้เป็นวิธีการหลอกถามผสมผสานกับฟิชชิ่งนั่นเอง เป็นต้น

ฟิชชิ่ง (Phishing)ผู้ประสงค์ร้ายจะสร้างหน้าเว็บหลอกลวงโดยเลียนแบบหน้าเว็บไซต์เครือข่ายสังคมออนไลน์ ซึ่งมีช่องให้กรอกชื่อบัญชีผู้ใช้งานและรหัสผ่าน จากนั้นผู้ประสงค์ร้ายนี้จะส่งอีเมล์สแปมมาหาเหยื่อ โดยหลอกว่าบัญชีผู้ใช้งานของเหยื่อมีปัญหา ถูกระงับใช้จนกว่าจะล็อกอินเข้าระบบเพื่อให้สามารถใช้งานได้อีก หากเหยื่อหลงเชื่อเหยื่อจะเข้าไปกรอกข้อมูลบัญชีผู้ใช้งานและรหัสผ่าน แน่นอนว่าเหยื่อจะไม่สามารเข้าสู่ระบบเครือข่ายสังคมออนไลน์ได้ แต่เว็บหลอกลวงนี้ได้ขโมยข้อมูลบัญชีผู้ใช้ของเหยื่อเรียบร้อยแล้ว

รูปที่ 1 หน้าเว็บฟิชชิ่งของทวีตเตอร์

รูปที่ 2 หน้าเว็บฟิชชิ่งของเฟซบุค

โปรแกรมประสงค์ร้าย (Malware)วิธีการนี้แฮกเกอร์จะใช้สารพัดวิธีการเพื่อหลอกให้เหยื่อดาวน์โหลดและติดตั้งโปรแกรมประสงค์ร้าย หลังจากนั้นโปรแกรมเหล่านี้จะแอบทำงานโดยที่ผู้ใช้ไม่รู้ตัว ตัวอย่างของโปรแกรมที่ใช้ขโมยข้อมูล คือ ม้าโทรจัน (Trojan horse) ซึ่งหลังจากที่โปรแกรมประเภทม้าโทรจันถูกติดตั้งในเครื่องของเหยื่อยแล้ว โปรแกรมนี้จะค้นหาข้อมูลส่วนบุคคลของเหยื่อที่ถูกเก็บไว้ในเครื่องคอมพิวเตอร์ โดยเฉพาะข้อมูลบัตรเครดิตที่เหยื่อใช้ซื้อสินค้าออนไลน์ ชื่อบัญชีผู้ใช้งานตามเว็บต่างๆของเหยื่อ รวมไปถึงรหัสผ่านที่ถูกบันทึกไว้ที่หน้าเว็บเบราเซอร์ นอกจากนี้ม้าโทรจันประเภทดักปุ่มคีย์บอร์ด (Keylogger) ก็สามารถบันทึกข้อมูลตัวอักษรที่เหยื่อยกดปุ่มบนคีย์บอร์ดได้อีกด้วย เป็นต้น จากนั้นเมื่อถึงเวลาที่กำหนดข้อมูลเหล่านี้จะถูกส่งออกจากเครื่องของเหยือไปยังแฮกเกอร์ผู้สร้างหรือเป็นเจ้าของโปรแกรมประสงค์ร้ายชนิดนี้ต่อไป แล้วแฮกเกอร์จะนำข้อมูลที่ได้มาเข้าสู่ระบบโดยใช้ชื่อบัญชีของเหยื่อ

แกะรหัสผ่าน (Password Cracking)วิธีการแกะรหัสผ่านนี้มีด้วยกันหลายวิธีแต่ละวิธีก็มีชั้นเชิง เทคนิคที่แตกต่างกัน เริ่มด้วยการเดารหัสผ่านแบบอึดถึก (Brute force) เป็นการเดารหัสผ่านด้วยความเป็นไปได้ทั้งหมดโดยเรียงลำดับตัวอักษรไปเรื่อยๆ จนกว่าจะพบรหัสผ่านที่ถูกต้อง วิธีการนี้มีข้อดีคือสามารถแกะรหัสผ่านได้แน่นอน (ถ้ารหัสผ่านง่ายพอ) แต่มีข้อเสียคือ ถ้าหากรหัสผ่านยาวและซับซ้อน วิธีการนี้อาจจะต้องใช้เวลาเป็นล้านปีเพื่อแกะรหัสผ่านนี้ก็ได้ วิธีการเทียบรหัสผ่านกับคำในพจนานุกรม (Dictionary) เป็นวิธีการเดารหัสผ่านจากการเดารหัสผ่านจากฐานข้อมูลหรือพจนานุกรมที่แฮกเกอร์สร้างขึ้น โดยในฐานข้อมูลหรือพจนานุกรมนี้จะมีข้อมูลของรหัสผ่านที่ง่ายและเป็นที่นิยมใช้กัน หรือเป็นคำศัพท์ที่อยู่ในพจนานุกรมอีกด้วย วิธีการสุดเป็นวิธีการเดาสุ่มรหัสผ่านอย่างมีหลักการ (Guessing) วิธีการนี้แฮกเกอร์จะเดารหัสผ่านของเหยื่อโดยอาศัยรหัสผ่านทั่วไปที่คนส่วนใหญ่นิยมตั้ง หรือข้อมูลส่วนบุคคลของเหยื่อ ไม่ว่าจะเป็น วันเกิด หมายเลขโทรศัพท์ หรือชื่อคนรัก เป็นต้น ซึ่งถ้าหากเหยื่อไม่มีความตระหนักเรื่องรหัสผ่าน ก็จะถูกขโมยบัญชีผู้ใช้งานได้

แอพพลิเคชั่น (Application)คุณสมบัติพิเศษอีกอย่างหนึ่งของเว็บเครือข่ายสังคมออนไลน์ในปัจจุบันคือการที่ผู้ใช้สามารถพัฒนาและติดตั้งแอพพลิเคชั่นเพิ่มเติมได้อย่างอิสระ ไม่ว่าจะเป็นการติดตั้งแอพพลิเคชั่นเกมส์ต่างๆ แอพพลิเคชั่นดูดวง หรือแม้กระทั่งแอพพลิเคชั่นสอบถามความคิดเห็น เป็นต้น โดยแอพพลิเคชั่นส่วนใหญ่นั้นถูกพัฒนาด้วยจุดประสงค์ที่ดี แต่ยังมีอีกจำนวนไม่น้อยที่มีจุดประสงค์ในการขโมยข้อมูลส่วนบุคคลของผู้ที่หลงเชื่อและติดตั้งแอพพลิเคชั่นดังกล่าว ในทุกครั้งที่ติดตั้งแอพพลิเคชั่นจะมีการขออนุญาตเพื่อเข้าถึงข้อมูลส่วนบุคคลของเจ้าของบัญชีก่อน แต่หากสังเกตให้ดี อาจมีแอพพลิเคชั่นขอสิทธิ์ในการเข้าถึงข้อมูลที่ไม่น่าจะเกี่ยวข้องกับการทำงานของแอพพลิเคชั่นตนเอง อีกทั้งบางแอพพลิเคชั่นยังเปิดช่องโหว่ให้แฮกเกอร์สามารถป้อนข้อมูลชุดคำสั่งเพื่อขโมยข้อมูลได้

แอบดักข้อมูล (Sniffering)วิธีการนี้ต้องอาศัยความอดทนของแฮกเกอร์ เนื่องจากปริมาณข้อมูลที่ถูกส่งในระบบเครือข่ายนั้นมีปริมาณมหาศาล แต่แฮกเกอร์จำเป็นจะต้องดึงข้อมูลออกมา แล้วตรวจหาที่ละแพ็กเก็ต (หน่วยย่อยในการแบ่งข้อมูลก่อนที่จะถูกส่งในระบบเครือข่าย) ว่าเป็นแพ็กเก็ตที่เหยื่อส่งเพื่อทำการเข้าสู่ระบบหรือไม่ และถ้าหากเหยื่อเรียกดูเว็บเครือข่ายสังคมออนไลน์ด้วยโพรโตคอล HTTP (Hyper Text Transfer Protocol) จะทำให้แฮกเกอร์สามารถเห็นข้อมูลบัญชีผู้ใช้งานพร้อมรหัสผ่านของเหยื่อได้โดยตรง เนื่องจากการส่งข้อมูลด้วยโพรโตคอล HTTP นี้ ข้อมูลจะไม่ถูกเข้ารหัส แต่หากใช้โพรโตคอล HTTPS ซึ่งเป็นการเข้ารหัสโพรโตคอล HTTP ด้วย SSL (Secure Socket Layer) กล่าวคือข้อมูลที่ถูกส่งด้วยโพรโตคอล HTTPS จะถูกเข้ารหัสไว้ ทำให้ถึงแม้ว่าแฮกเกอร์จะสามารถดักข้อมูลได้ แต่ก็ไม่อาจสามารถแกะข้อมูลบัญชีผู้ใช้งานและรหัสผ่านออกมาได้
หมายเหตุ ให้สังเกตที่ชื่อเว็บไซต์ว่าขึ้นต้นด้วย http:// หรือ https:// เพื่อดูว่าเราใช้โพรโตคอลแบบใด

วิธีการป้องกัน

ใช้รหัสผ่านที่แข็งแรง เปลี่ยนบ่อยๆ ไม่ใช่ชื่อเฉพาะหรือข้อมูลส่วนบุคคลที่จะถูกเดาได้ง่าย เพื่อป้องกันไม่ให้ผู้ประสงค์ร้ายให้โปรแกรมถอดรหัสได้สำเร็จ
ห้ามเผยแพร่ข้อมูลส่วนบุคคลของเรา บนหน้าเว็บเครือข่ายสังคมออนไลน์ เนื่องจากผู้ประสงค์ร้ายอาจจะนำข้อมูลเหล่านี้ไปเดารหัสผ่าน หรือใช้ในการตอบคำถามลับเมื่อลืมรหัสผ่าน เช่นวันเกิดคุณแม่, ชื่อโรงเรียนประถม, ทีมกีฬาที่ชื่นชอบ เป็นต้น
อย่าหลงเชื่อบุคคลที่มาสอบถามข้อมูลส่วนบุคคลของเรา หรือหลอกล่อให้ติดตั้งโปรแกรมที่ไม่น่าเชื่อถือแหล่งที่มา
ลบแอพพลิเคชั่นที่ไม่ได้ใช้งานแล้วจากบัญชีเครือข่ายสังคมออนไลน์
เมื่อต้องการล็อกอินเข้าระบบ ให้พิมพ์ชื่อเว็บไซต์ด้วยตัวเอง
อย่าหลงเชื่อข้อความในอีเมล์ที่ต้องสงสัยว่าอาจจะเป็นฟิชชิ่ง
ติดตั้งโปรแกรมป้องกันไวรัสพร้อมปรับปรุงฐานข้อมูลอยู่เสมอ และสแกนหาไวรัสทั้งระบบบ่อยๆ
ไม่อนุญาตแอพพลิเคชั่นที่ไม่ทราบแหล่งที่มา หรือไม่น่าเชื่อถือ ติดตั้งในบัญชีเครือข่ายสังคมออนไลน์ของเรา
ให้เข้าถึงเว็บเครือข่ายออนไลน์ด้วย HTTPS เพื่อเข้ารหัสข้อมูลของเราก่อนถูกส่งออกไป

โปรดระวัง เว็บ Firefox 7 ปลอม

2011-09-29T13:47:00.001+07:00

การท่องอินเทอร์เน็ตดูเหมือนจะเป็นสิ่งจำเป็นที่ขาดไม่ได้ในชีวิตประจำวันของพวกเรา ด้วยข้อมูลที่มีอยู่มหาศาล การเชื่อมต่อที่ไร้ขีดจำกัด ยิ่งทำให้การท่องอินเทอร์เน็ตในปัจจุบันจึงต้องอาศัยโปรแกรมเว็บเบราเซอร์ที่ทรงประสิทธิภาพ ไม่ว่าจะเป็น IE, Firefox, Safari หรือ Chrome เองก็ตาม แต่เนื่องด้วยมีข่าวหลายกระแสที่ไม่ค่อยดีนักเกี่ยวกับโปรแกรมเบราเซอร์ที่ติดมากับระบบปฏิบัติการวินโดวส์อย่าง IE อีกทั้งผู้ที่ใช้ระบบปฏิบัติการลีนุกซ์หรือหลงใหลในมนต์เสน่ห์ของโอเพ่นซอร์สก็หันมาเลือกใช้โปรแกรม Firefox เป็นโปรแกรมเว็บเบราเซอร์พื้นฐาน ด้วยเหตุนี้จึงส่งผลให้โปรแกรม Firefox เป็นที่นิยมอย่างรวดเร็วเมื่อเร็วๆ นี้ทาง Mozilla ได้ประกาศตัว Firefox เวอร์ชั่น 7 ซึ่งเป็นเวอร์ชั่นใหม่ล่าสุด และประกาศให้ดาวน์โหลดได้แล้วอยู่ในเว็บ https://www.mozilla.org/en-US/firefox/fx/ ดังรูปที่ 1

รูปที่ 1 แสดงหน้าแรกของเว็บไซต์ firefox ของจริง

แต่บทความนี้ไม่ได้ต้องการโฆษณาให้ทุกคนไปดาวน์โหลด Firefox เวอร์ชั่น 7 แต่อย่างไร แต่บทความนี้ต้องการจะแจ้งเตือนให้ทุกคนระวังถึงเว็บไซต์ปลอมที่แอบอ้างชื่อของ Firefox เวอร์ชั่น 7 ผมได้อ่านเจอบทความหนึ่งเกี่ยวกับเรื่องนี้ก็เลยลองเริ่มทำตามดู โดยค้นหาในกูเกิลว่า "firefox7" และพบหน้าเว็บหนึ่งซึ่งมีชื่อว่า http://www.firefox7.org ดังรูปที่ 2 จากนั้นก็ลองคลิกที่ลิงค์เพื่อเข้าไปเยี่ยมชมเว็บไซต์ดังกล่าว ดังรูปที่ 3 ด้านซ้าย ซึ่งจะเห็นว่าหน้าเว็บดังกล่าวมีข้อความบอกให้กดเพื่อดาวน์โหลดโปรแกรม Firefox แต่หากลองคลิกต่อไปจะเป็นการเชื่อมต่อไปยังเว็บไซต์ของ Blogspot (เว็บสำหรับเขียนบล็อก) โดยมีชื่อเว็บว่า http://mozillas.blogspot.com ดังรูปที่ 3 ด้านขวา ซึ่งแน่นอนว่าชื่อผู้พัฒนาผิดอย่างเห็นได้ชัด เนื่องจากมีตัวอักษร "s" เกินมา และทำให้เดาต่อได้อีกว่าเว็บ www.firefox7.org นี้เป็นเว็บเลียนแบบจริงๆ

รูปที่ 2 แสดงผลการค้นหาด้วยกูเกิล

รูปที่ 3 แสดงการเข้าถึงเว็บ www.firefox7.org

การวิเคราะห์เพิ่มเติมมาลองดูรายละเอียดของเว็บไซต์นี้ เมื่อลองหาจาก Whois ก็จะพบข้อมูลของผู้จดทะเบียนใช้โดเมนนี้ คือนาย Xiaojuan Zhang จดทะเบียนเมื่อวันที่ 22 พฤษภาคม 2554 ดังรูปที่ 4 จากนั้นก็ลองหาข้อมูลของหน้าเว็บ www.firefox7.org ดู ก็พบว่าเซิร์ฟเวอร์นี้รันด้วย Apache บนระบบปฏิบัติการลีนุกซ์ มีหมายเลขไอพีแอดเดรสที่ 97.74.182.149 อัพเดตข้อมูลล่าสุดวันที่ 29 กันยายน 2554 ดังรูปที่ 5

รูปที่ 4 แสดงผลการค้นหาข้อมูลของเจ้าของเครื่อง

รูปที่ 5 การค้นหาข้อมูลด้วยเว็บ Netcraft

วัตถุประสงค์ของคนที่สร้างเว็บปลอมนี้เป็นอะไรนั้นยังคงเป็นปริศนาอยู่ เนื่องจากว่าตอนแรกผมคิดว่าเขาจะใช้เว็บนี้หลอกให้คนดาวน์โหลดไวรัสไป แต่เดชะบุญที่ยังไม่พบโค้ดหรือโปรแกรมที่เป็นอันตายให้ดาวน์โหลด ส่วนจะมาขโมยข้อมูลของเรานั้นก็เป็นอีกประเด็นที่นึกขึ้นมาหลังจากนั้น แต่ประเด็นนี้ก็น่าจะผ่านไปเนื่องจากไม่พบลิงค์หรือหน้าเว็บไซต์ที่จะหลอกให้เหยื่อไปกรอกข้อมูลส่วนตัวลงไป แต่จากบางแหล่งข้อมูลแจ้งว่าคนสร้างเว็บเลียนแบบนี้อาจต้องการทำให้เว็บไซต์ของเขามีผู้ค้นหาและเข้าชมมากขึ้นก็เป็นได้ อย่างไรก็ตามก็ยังเชื่อว่าผู้สร้างเว็บนี้ไม่ได้มีเจตนาร้ายแต่อย่างไรเนื่องจากชื่อที่ใช้ในการจดโดเมนนั้นก็มีข้อมูลการติดต่อทั้งหมด ไม่ว่าจะเป็นหมายเลขโทรศัพท์ อีเมล์ หรือข้อมูลอื่นๆ

อย่างไรก็ตามถึงแม้ว่าเว็บไซต์นี้จะไม่มีอันตรายใดๆก็ตาม นอกจากสร้างให้เกิดความสับสนและให้มีคนเข้าเยี่ยมชมเว็บของเขามากขึ้นเท่านั้น แต่หากมีผู้ประสงค์ร้ายบางคนใช้เทคนิคเดียวกันนี้สร้างเว็บโดยฝังโค้ดหรือโปรแกรมอันตรายไว้ ผู้ใช้ที่ไม่ระวังตัวก็อาจจะตกเป็นเหยื่อโดนหลอกให้ดาวน์โหลด หรือในขณะเดียวกันอาจจะโดนหลอกให้กรอกข้อมูลส่วนบุคคลผ่านหน้าเว็บไซต์หลอกลวงก็เป็นได้ ดังนั้นจะต้องใช้ความระมัดระวังชื่อของเว็บไซต์ให้มาก เพื่อไม่ให้ตกเป็นเหยื่อ

รายละเอียดเพิ่มเติมที่ http://nakedsecurity.sophos.com/2011/09/28/not-the-real-firefox-7-website-be-wary-of-googles-search-results/

บ่นเรื่องไวรัสบนแมคและแนะนำโปรแกรมป้องกัน

2011-09-29T10:20:00.001+07:00

ปัจจุบันแมคบุคเป็นที่นิยมอย่างมากในหมู่นักไอทีบ้านเรา เนื่องด้วยมันเท่ห์หรือไม่อย่างไร แต่ด้วยสมรรถนะ ความสามารถ และรูปร่างของมันสวยบาดใจจนทำให้เดินผ่าน iStudio ทีไรเป็นต้องแวะ ไปลูบๆคลำๆมันบ้าง พร้อมกับเอ่ยว่าอยากเป็นเจ้าของสักเครื่องในชีวิต (ฮ่าๆ) แต่ด้วยราคาของเจ้าแมคบุครวมอุปกรณ์จำเป็นทุกอย่าง ต่อประกัน ฯลฯ รวมๆแล้วเราก็จะเสียเงินซื้อโน้ตบุคสเปกไม่สูงมากในราคาครึ่งแสน (โอ้....ม่ายยยยย เอาเงินไปซื้อเครื่องโน้ตบุคปกติสเปกแรงๆได้ 2 เครื่องสบายๆ) แต่อย่างว่าแหล่ะครับ ต่อให้ซื้อมา 10 เครื่อง มันก็ไม่ใช่แมคอยู่ดี ฮ่าๆๆๆ ดังนั้นครึ่งแสนก็ครึ่งแสน เราก็ยังจะเลือกแมคอยู่ดี (ที่พูดมาทั้งหมดนี้ไม่ได้เกี่ยวอะไรกับเนื้อหาที่จะกล่าวต่อไปเลยนะครับ ฮ่าๆๆๆ)

อย่างที่ผมเคยเล่าในตอน "พบม้าโทรจันบนแมคโอเอส (Trojan:BASH/QHost.WB)" เมื่อวันที่ 17 สิงหาคมที่ผ่านมา ว่ามีม้าโทรจันถูกเขียนเพื่อคุกคามระบบปฏิบัติการแมคโอเอส และในบทความนั้นผมได้บ่นว่าถ้าเราไปที่ร้าน iStudio คนขายจะโฆษณาว่าใช้แมคแล้วไม่ต้องกังวลเรื่องไวรัส ผมเองก็เคยถูกคนขายโฆษณาเช่นนี้เหมือนกัน แต่วันนั้นผมได้กระซิบบอกพนักงานว่าที่จริงแล้วมันมีไวรัสแล้วนะ แต่มีไม่เยอะเท่าวินโดวส์ เนื่องจากแมคโอเอส (Mac OS X) มีรากฐานมาจากยูนิกส์ (Unix) ดังนั้นเลยไม่ค่อยมีไวรัส ไม่ใช่ไม่มีเลย เดี๋ยวมีคนติดไวรัสมาแล้วจะมาฟ้องสคบ.นะ (ผมก็แซวคนขายไปเรื่อย) หลังจากที่เริ่มมีโทรจันบนแมคออกมา พวกไวรัส หนอน สปายแวร์ และม้าโทรจันก็เริ่มทะยอยถูกส่งมาอวดโฉมให้ผู้ใช้แมคได้เสียวสันหลังเล่น ไม่ว่าจะเป็นถูกส่งมาในรูปแบบของโปรแกรมอัพเดตต่างๆ ที่เห็นตัวอย่างบ่อยๆเลย ก็คงจะเป็นหลอกว่าถ้าอยากดูวีดีโอนี้ก็ต้องติดตั้งโปรแกรมสำหรับช่วยดูวิดีโอ เช่น แฟลชเพลเยอร์ (Flash Player) หรือมาในรูปแบบของ ActiveX สำหรับแมค (ซึ่งทุกคนก็รู้อยู่แล้วว่า ActiveX มันเป็นของวินโดวส์) หรือแม้กระทั่งหลอกว่าเป็นโปรแกรม MacMovie สำหรับชมภาพยนต์เองก็ตาม ลองดูตามวีดีโอที่ผมแนบมาให้นะครับ

นอกจากนี้ล่าสุดมีข่าวว่าค้นพบม้าโทรจันบนแมคอีกตัว ที่แฝงกายมาพร้อมกับไฟล์ PDF ชื่อ OSX/Revir.A ที่เป็นตัวอักษรจีน ซึ่งถ้าหลงเปิดไฟล์นี้ จะเป็นการดาวน์โหลดโทรจันอีกตัวที่ชื่อ OSX/Imuler.A มาฝังในเครื่องได้อีก

เห็นอย่างนี้แล้วยังจะเชื่อหรือไม่ครับว่าแมคโอเอสไม่มีไวรัส แล้วไวรัสแต่ละตัวที่เกิดขึ้นนั้นก็ยากต่อการสังเกต ดังนั้นทางที่ดีควรจะหาโปรแกรมป้องกันไวรัสแบบฟรีๆมาติดตั้งในเครื่องบ้างดีกว่า ผมจึงทำการค้นคว้าว่าจะมีโปรแกรมป้องกันไวรัสตัวไหนไหมที่จะให้ใช้ฟรีๆคู่กับเครื่องที่แสนแพง (อย่าให้ซื้ออีกเลย เพราะแค่นี้ก็ผ่อนกันหัวโตแล้ว) ซึงเท่าที่ผมดูนะครับ ส่วนใหญ่จะให้ใช้แค่ 30 วันเท่านั้น จนมาเจอของ Sophos ที่เขาให้ใช้ฟรีเลยครับ วิธีการติดตั้งก็ง่าย มีอัพเดตเยอะด้วยครับ สามารถดาวน์โหลดได้ฟรีที่ http://www.sophos.com/freemacav วิธีการติดตั้งก็เหมือนการติดตั้งโปรแกรมทั่วไปบนแมคโอเอสเลยครับ

สาวยาคูลท์ ความเสี่ยงชั้นสูงขององค์กร

2011-09-28T11:36:00.000+07:00

หมายเหตุ บทความนี้ไม่ได้ต้องการทำลายชื่อเสียงหรือองค์กรใด เพียงแค่มีเจตนาจะยกประเด็นตัวอย่างใกล้ตัวเพื่อให้เกิดความตระหนักเท่านั้น หากบทความนี้ทำให้บุคคลหรือองค์กรใดเสียหาย ผมต้องขอกราบขออภัยมา ณ ที่นี้ด้วย และในบทความนี้ผู้เขียนได้เสนอแนะวิธีการป้องกันและแก้ไขความเสี่ยงนี้ด้วย

เมื่อวานนี้ผมได้มีโอกาสไปฟังสัมนา (นานๆทีจะได้เป็นผู้ฟัง) ในงาน "การประชุมชี้แจงและรับฟังความคิดเห็นเกี่ยวกับ (ร่าง)หลักเกณฑ์การประเมินระดับผลกระทบของธุรกรรมทางอิเล็กทรอนิกส์" ที่จัดโดยกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร คณะกรรมการธุรกรรมอิเล็กทรอนิกส์ และคณะอนุกรรมการความมั่นคงปลอดภัย มีเซสชั่นตอนเช้าที่ดร.ยรรยง เต็งอำนวย อาจารย์จากภาควิชาวิศวกรรมคอมพิวเตอร์ จุฬาลงกรณ์มหาวิทยาลัย (เป็นอ.ที่ปรึกษาของผมตอนเรียนป.โทด้วย) ท่านได้พูดถึงเรื่องหนึ่งซึ่งมันใกล้ตัวเรามาก และผมจึงอยากจะหยิบยกเรื่องราวของอ.ที่บรรยายในงานนี้มาเป็นอุทาหรณ์สำหรับผู้อ่านทุกท่าน อ.ยรรยงได้กล่าวถึงจุดอ่อนของระบบ ระบบในองค์กรเรามีมากมาย เราจำเป็นจะต้องป้องกันทุกจุด หากมีจุดใดจุดหนึ่งรั่วก็จะส่งผลเสียหายต่อองค์กรได้เลย เหมือนกับโซ่ที่ใช้ล่ามช้าง หรือไดโนเสาร์ (มุขของอ.ที่เล่นในงาน) หากมีข้อใดข้อหนึ่งอ่อนหรือเชื่อมกันไม่สนิท ดังรูปที่ 1 ก็อาจจะทำให้โซ่ขาดได้เมื่อช้างหรือไดโนเสาร์ดึง ดังนั้นองค์กรของเราก็เช่นกัน ต่อให้องค์กรสั่งซื้อโปรแกรมป้องกันไวรัส 3,000 ชุด ซื้อไฟร์วอลล์ตัวละ3ล้าน แต่คนในองค์กรยังใช้รหัสผ่านห่วยๆ (เดาง่าย เช่น 1234 password หรือ qwerty เป็นต้น) เหล่าแฮกเกอร์หรือผู้ร้ายก็สามารถสร้างความเสียหายให้แก่องค์กรของเราได้

รูปที่ 1 โซ่ที่มีจุดอ่อน

เครดิตภาพจาก http://englishpecah.blogspot.com/

อีกตัวอย่างก็เรื่องของการอนุญาตให้บุคคลภายนอกเข้ามาในองค์กรของเราได้โดยไม่มีการตรวจสอบอย่างดี อ.ยรรยงก็ได้ยกตัวอย่างของบุคคลที่สามารถเข้าออกทุกห้องในองค์กรของเราได้โดยที่รปภ.ไม่ยืนยันตัวตนเลย นั่นก็คือ สาวยาคูลท์ นั่นเอง สาวยาคูลท์เป็นบุคคลที่สามารถเข้าออกตึกและสำนักงานที่ไม่ได้มีระบบป้องกันที่รอบคอบ เพราะหน้าที่ของเธอคือการส่งยาคูลท์ให้ถึงมือลูกค้าที่อาจจะเป็น ผอ.ฝ่าย หัวหน้างาน ที่มีห้องทำงานส่วนตัว หรือแม้กระทั่งพนักงานทั่วไปเองก็ตาม

รูปที่ 2 เครื่องแต่งกายพนักงานส่งยาคูลท์

เครดิตภาพประกอบ http://www.pocketonline.net/g2engine/d/68349-1/yakulggirl.jpg

หลายๆคนคงสงสัยใช่มั้ยครับว่าแล้วยังไง ทำไมคนส่งยาคูลท์ถึงเป็นความเสี่ยงชั้นสูง ก็เนื่องด้วยทุกคนไว้วางใจสาวยาคูลท์ที่มาส่งยาคูลท์และเก็บเงินเรา ด้วยชุดแต่งกายที่มีเอกลักษณ์เฉพาะตัว และต้องมีกระเป๋าใส่ขวดยาคูลท์มาด้วย แต่ลองมองให้ลึกกว่านี้นะครับ ลองคิดดูว่าถ้าหากมีโจรปลอมตัวเป็นสาวยาคูลท์หรือโจรจ้างสาวยาคูลท์ให้แสร้งทำทีว่าเอายาคูลท์มาส่งให้ผอ.ฝ่ายของเราในองค์กร แล้วเข้าไปในห้องผอ.ฝ่ายได้โดยที่องค์กรของเราไม่ทำการตรวจสอบว่าคนๆนี้เป็นพนักงานของบริษัทยาคูลท์จริงๆหรือไม่ หรือไม่ตรวจสอบว่าเขาเป็นใคร มีเจตนาไม่ดีหรือไม่ ถ้าหากโจรในคราบสาวยาคูลท์คนนี้เข้าไปในห้องของผอ.ได้แล้ว เขาก็อาจจะหาทางขโมยเอกสาร ข้อมูลลับ หรือสื่อบันทึกข้อมูล เช่น ไดร์ฟ USB หรือแม้กระทั่งแผ่นซีดีและดีวีดี เป็นต้น เอาของใส่กระเป๋ายาคูลท์ (ดังรูปที่ 3) แล้วเดินออกจากตึกไปได้อย่างสบายใจ เพราะรปภ.เองของหลายๆหน่วยงานไม่ได้ตรวจสิ่งของที่อยู่ในกระเป๋านั้นเอง หรือนอกจากนี้ก็อาจจะไม่ได้มาขโมยเป็นสิ่งของ แต่เป็นข้อมูลไม่ว่าจะเป็นการแอบอ่านจดหมายและเอกสารที่ทิ้งไว้บนโต๊ะ อีเมล์หรือหน้าจอเครื่องคอมพิวเตอร์ที่เปิดทิ้งไว้ หรือการแอบดักฟังการสนทนาของเรากับผู้อื่นอีกด้วย

รูปที่ 3 กระเป๋ายาคูลท์

เครดิตภาพประกอบ http://www.tarad2home.com/upload/post/1/14/143/1438/143812072010083936.jpg

อย่างไรก็ตามหลายๆองค์กรที่มีความตระหนักในเรื่องนี้ ก็ได้มีมาตรการป้องกันโดยการเอนุญาตให้สาวยาคูลท์ฝากไว้ที่รปภ.เท่านั้น แล้วให้พนักงานที่สั่งซื้อลงมาเอาไปเอง ผมคิดว่าเป็นวิธีการแก้ไขปัญหาที่ตรงจุดและง่ายที่สุด อีกทั้งสาวยาคูลท์คงจะดีใจที่ไม่ต้องเดินไปหาตามห้องให้เหนื่อยและเสียเวลาอีกด้วย

นอกจากนี้อีกความเสี่ยงที่ผมคิดมาตลอดเลยว่าถ้าผมอยากจะขโมยของหรือข้อมูลความลับ ผมจะขอปลอมตัวเองเป็นแม่บ้าน (เนื่องจากผมเป็นผู้ชายอ้วนๆคนนึง เป็นแม่บ้านคงดูน่ากลัวมาก ขอเป็นช่างไฟฟ้า ช่างซ่อมอาคาร ฯลฯ) แล้วผมจะเข้าไปตรวจระบบไฟฟ้าในห้องต่างๆ เดินเข้าเดินออกห้องนั้นห้องนี้ และก็ทำสิ่งเดียวกับที่ตัวอย่างสาวยาคูลท์ทำ นั่นคือการขโมยของ ขโมยข้อมูลต่างๆในองค์กร หรือนอกจากนี้จะเข้าต่อสายดักฟังโทรศัพท์ของผู้บริหาร หรือแม้กระทั่งแอบต่อ Access Point ทิ้งไว้หลังตู้ในห้องผู้บริหาร ทำให้ผมสามารถเชื่อมต่อเน็ตเวิร์กเข้าสู่องค์กรได้จากข้างนอกตึกได้อีกด้วย

ฝากไว้นะครับ ลองหันมามองในองค์กรเราดูบ้างนะครับว่ามีความเสี่ยงเหล่านี้บ้างหรือไม่ ลองๆช่วยกันป้องกันนะครับ หรือเสนอแนะได้ในเฟซบุคด้านบนนะครับ

มาตรวจสุขภาพของ HTTPS อย่างง่ายๆ

2011-09-26T11:17:00.000+07:00

Secure Socket Layer (SSL) เป็นการเข้ารหัสของโปรโตคอล Hyper Text Transfer Protocol หรือรู้จักกันในนามของ HTTP วิธีการสังเกตว่าเว็บใดใช้ SSL ก็ให้ดูที่ชื่อเว็บด้านบนของเว็บเบราเซอร์ที่กำลังใช้งานอยู่ว่าเป็น HTTPS หรือไม่

HTTPS นิยมนำมาใช้กับเว็บที่ให้บริการซื้อขายหรือทำธุรกรรมออนไลน์ ไม่ว่าจะเป็นเว็บไซต์ของธนาคาร สถาบันการเงิน หรือแม้กระทั้งร้านค้าออนไลน์ต่างๆ เนื่องจากไม่ใช้วิธีการเข้ารหัสข้อมูลของลูกค้าแล้ว จะทำให้ลูกค้าไม่เชื่อถือ รู้สึกถึงความเสี่ยงที่อาจเกิดขึ้น และอาจจะส่งผลให้ลูกค้าไม่กล้าที่จะทำธุรกรรมต่างๆในเว็บของเราได้ ดังนั้นจึงไม่น่าแปลกใจเลยว่าทำไมแฮกเกอร์จึงพยายามโจมตี HTTPS

ถ้าหากส่งข้อมูลด้วย HTTP ธรรมดา แล้วลองดักจับแพ็กเก็ตที่ถูกส่งออกจากเว็บเบราเซอร์ของเราแล้วจะพบว่าข้อมูลที่ถูกส่งนั้นจะเป็นตัวอักษรที่ไม่ได้เข้ารหัสไว้ (Plain Text) ซึ่งหากเรากรอกข้อมูลส่วนตัว ไม่ว่าจะเป็นรหัสบัตรเครดิต รหัสผ่านต่างๆ ก็จะทำให้แฮกเกอร์สามารถอ่านข้อมูลเหล่านี้ได้อย่างง่ายดาย แต่ถ้าหากส่งข้อมูลด้วย HTTPS จะเป็นการเข้ารหัสข้อมูลก่อนที่จะส่งออกจากหน้าเว็บเบราเซอร์ ทำให้ถึงแฮกเกอร์มาดักข้อมูลของเราไป ก็ยังเปิดไม่ได้อยู่ดี อย่างไรก็ตามก็ต้องขึ้นอยู่ระดับการปรับแต่งค่าต่างๆของเซิร์ฟเวอร์ให้มีความปลอดภัยด้วย ซึ่งในบทความนี้ผู้เขียนจะมาแนะนำเว็บไซต์สำหรับตรวจสอบความแข็งแรงของโปรโตคอล HTTPS ที่ใช้อยู่ในเว็บไซต์ของเราด้วย เพื่อไม่ให้ลูกค้าของเราตกเป็นเหยื่อ และเว็บไซต์ของเราจะได้มีระดับความปลอดภัยสูงขึ้น ส่งผลให้ความน่าเชื่อถือของเรา และลูกค้าของเราเพิ่มขึ้นอีกด้วย

เว็บไซต์ https://www.ssllabs.com/ssldb/index.html ของ Qualys SSL Labs ให้บริการตรวจสอบหาจุดอ่อนของ HTTPS ของเว็บต่างๆโดยไม่คิดค่าใช้จ่าย และวิธีการตรวจสอบก็ทำได้อย่างง่าย เพียงกรอกชื่อเว็บไซต์ที่ต้องการจะตรวจสอบ จากนั้นก็กดปุ่ม "Submit" เพื่อยืนยันการตรวจสอบ ดังรูปที่ 1 แล้วก็นั่งรอผลไม่เกิน 5 นาที

รูปที่ 1 แสดงหน้าของเว็บไซต์ https://www.ssllabs.com/ssldb/index.html

จากนั้นหากเว็บไซต์ดังกล่าวมีเซิร์ฟเวอร์หลายเครื่อง โปรแกรมดังกล่าวจะแจ้งรายการเซิร์ฟเวอร์ออกมา เพื่อให้ผู้ใช้สามารถเลือกเซิร์ฟเวอร์ที่เราต้องการจะดูได้ จากในรูปที่ 2 ผู้เขียนได้ลองให้ตรวจ SSL ของเว็บ Facebook.com จะเห็นว่าจะมีรายละเอียดของเซิร์ฟเวอร์หลายเครื่องด้วยกัน ทำให้เราสามารถเห็นภาพรวมของเซิร์ฟเวอร์ที่เราดูแลต่างๆ ว่ามีเครื่องเซิร์ฟเวอร์ดังบ้างอาจจะเป็นจุดอ่อนของระบบ เพื่อให้ผู้ดูแลต้องทำการตรวจสอบเพิ่ม และปรับปรุงระบบด้วยต่อไป และที่สำคัญคือสามารถดูผลการประเมินว่าเว็บเซิร์ฟเวอร์ของเรานั้นมี HTTPS ที่ปลอดภัยอยู่ในระดับใด

รูปที่ 2 แสดงผลการตรวจสอบ SSL แล้วมีเครื่องเซิร์ฟเวอร์หลายเครื่อง

หากเราเลือกดูรายละเอียดเพิ่มเติม ที่ผลจากรูปที่ 2 เมื่อเลือกที่รายงานผลการตรวจสอบสัก 1 ฉบับ ก็จะเห็นรายละเอียดต่างๆ ดังรูปที่ 3

รูปที่ 3 แสดงรายละเอียดผลการตรวจสอบจุดอ่อนของ HTTPS

ถ้าหากเว็บผู้ให้บริการได้รับการประเมินอยู่ในระดับสูง แล้วจะส่งผลต่อความเชื่อมั่นของเราที่เป็นลูกค้าอย่างมาก อย่างไรก็ตามถึงแม้ว่าทางผู้ให้บริการนั้นจะเตรียมระบบที่มีความปลอดภัยสูงอยู่แล้ว ก็ยังไม่เพียงพอ ดังนั้นเราที่เป็นลูกค้าก็จะเป็นจะต้องดูแลความปลอดภัยของเครื่องคอมพิวเตอร์และอุปกรณ์เชื่อมต่ออินเทอร์เน็ตของเราด้วย เช่นการป้องกันไวรัสคอมพิวเตอร์ การอัพเดตโปรแกรมต่างๆ การมีความตระหนักก่อนที่หลงเชื่อเว็บไซต์ที่อาจจะถูกปลอมแปลงมา เป็นต้น

อยู่อย่างปลอดภัยด้วยซอฟต์แวร์เสรี

2011-09-22T08:48:00.000+07:00

ด้วยเมื่อวันเสาร์ที่ 17 กันยายน 2554 ผมได้มีรับเชิญไปบรรยายในงาน Software Freedom Day 2011 เรื่องอยู่อย่างปลอดภัยด้วยซอฟต์แวร์เสรี และในงานได้มีการบันทึกวีดีโอไว้ด้วย จึงนำมาฝากกันครับ

ส่วนวีดีโออื่นๆอยู่ที่ http://www.softwarefreedomday.in.th/video.html

รายละเอียดบรรยากาศภายในงานครับ http://www.it24hrs.com/2011/opensource-sfd2011-software-freedom/

ภาพหมู เอ๊ย ภาพหมู่ ของผู้เข้าร่วมสัมนา ถ่ายตอนเลิกงานแล้ว บางคนก็กลับไปก่อน เพราะอยู่กันถึง 6 โมงเย็นเลยทีเดียวครับ

ภาพบรรยากาศขณะผมบรรยาย

ของชำร่วยวิทยากรครับ แหะๆ ได้มาตัวนึงด้วย

ไฮไลท์ของงานนี้ คือสองหนุ่มชื่อ ของขวัญ และโดม ทำสปาเก็ตตี้ให้ทานกันในงานด้วยครับ แซ่บบบบบบ ฮ่าๆๆ ผมซัดไป 3 จานเลยครับ ขอบอกว่าเนียนมาก

แล้วพบกันใหม่ปีหน้านะครับกับงาน Software Freedom Day (ติดตามได้จากเว็บ http://www.softwarefreedomday.in.th)

ไขปริศนา อีเมล์ลับส่วนตัวบนเฟซบุค

2011-09-14T10:30:00.000+07:00

ในเวลานี้คงไม่มีใครกล้าปฏิเสธถึงกระแสความนิยมของเฟซบุค ว่ากระแสตอบรับมากเพียงใด แต่จะมีใครที่ให้ความสนใจกับการรักษาความปลอดภัยของข้อมูลตัวเองบนเฟซบุค นักวิชาการหลายคนมักจะออกมาพูดถึงการรักษาข้อมูลส่วนตัว บอกให้หน่วยงานราชการต่างๆต้องทำนู่นทำนี่เพื่อให้ข้อมูลส่วนบุคคลของลูกค้าและพนักงานปลอดภัย แต่ทราบหรือไม่ว่าอาจจะเป็นตัวเราเองที่เปิดเผยข้อมูลดังกล่าว

วันนี้ผมจะมาเล่าถึงความสามารถอย่างหนึ่งที่น่าสนใจในการโพสท์ข้อความหรือรูปบนเฟซบุคที่ผมเชื่อว่าพวกเราอาจจะไม่เคยรู้ด้วยซ้ำว่าเฟซบุคอนุญาตให้ทำอย่างนี้ได้ วิธีการโพสท์ข้อความหรือรูปบนเฟซบุคนั้นสามารถทำได้ด้วยกันหลากหลายวิธี เช่นโพสท์ผ่านทางเว็บไซต์ หรือแอพพลิเคชั่นบนสมาร์ทโฟน แต่มีอีกวิธีหนึ่งคือการส่งเมล์เพื่อทำการโพสท์ข้อความหรือรูปได้ หลายคนคงสงสัยแล้วใช่ไหมครับว่าทำได้อย่างไร และความน่ากลัวของการใช้งานนี้อยู่ที่ไหน ในบทความนี้จะกล่าวถึงวิธีการใช้งาน ภัยที่อาจจะเกิดขึ้น รวมถึงวิธีการป้องกันเพื่อไม่ให้ตกเป็นเหยื่อ

ทำความรู้จักกับอีเมล์ลับส่วนตัวบนเฟซบุค
เฟซบุคได้สร้างอีเมล์ลับส่วนตัวให้แก่ผู้ใช้งานทุกคน (ทางเฟซบุคเรียกว่า อีเมล์อัพโหลดส่วนบุคคล) ซึ่งอีเมล์นี้เราจะไม่สามารถใช้รับส่งเมล์เหมือนปกติได้ แต่อีเมล์นี้จะถูกนำมาใช้ในการโพสท์ข้อความหรือภาพถ่ายต่างๆ ซึ่งสามารถดูได้จากเว็บ http://www.facebook.com/mobile/ โดยที่ผู้ใช้จะต้องล็อกอิน (Log in) บัญชีเฟซบุคก่อน แล้วจะพบหัวข้อที่ว่า "อัพโหลดผ่านอีเมล์" ภายใต้หัวข้อนี้เองจะปรากฏอีเมล์ลับส่วนตัวของเรา ซึ่งจากรูปที่ 1 อีเมล์ลับส่วนตัวคือ mario586pretty@m.facebook.com

รูปที่ 1 แสดงหน้าเว็บสำหรับดูข้อมูลอีเมล์ลับส่วนตัวของเรา

จากนั้นเราลองส่งอีเมล์ไปยังอีเมล์ดังกล่าวด้วยหัวเรื่องว่า "Test upload via email" ดังรูปที่ 2 ส่วนข้อความนั้นถ้าหากเราแนบไฟล์รูปไปด้วยก็จะเป็นการอัพโหลดรูปไปบนหน้าวอลล์ของเราบนเฟซบุค ซึ่งผลการส่งอีเมล์นั้นจะปรากฏข้อความหัวเรื่องที่เราส่งอีเมล์ ดังรูปที่ 3

รูปที่ 2 แสดงการส่งอีเมล์ไปยังอีเมล์ลับส่วนตัวเพื่อการโพสท์ข้อความบนเฟซบุค

รูปที่ 3 แสดงผลการโพสท์ข้อความบนหน้าวอลล์ผ่านทางอีเมล์

การโพสท์ข้อความผ่านทางอีเมล์นี้ที่สามารถทำให้ผู้ใช้งานอัพโหลดภาพหรือโพสท์ข้อความบนหน้าวอลล์ของผู้ใช้งานได้อย่างสะดวกและง่ายดาย แต่ถ้าหากสังเกตให้ดีกระบวนการโพสท์ข้อความนี้สามารถทำได้โดยไม่ต้องอาศัยรหัสผ่านของเจ้าของบัญชีเฟซบุคเลย

ภัยคุกคามที่อาจเกิดขึ้น

จากการทดสอบเบื้องต้นทำให้ทราบว่า เพียงแค่ทราบอีเมล์ลับส่วนตัวก็สามารถโพสท์ข้อความบนหน้าวอลล์ของเฟซบุคได้โดยไม่ต้องทำการล็อกอินก่อนเลย ดังนั้นเหล่าแฮกเกอร์ที่ตั้งใจจะแอบอ้างเป็นใครสักคนก็ไม่จำเป็นต้องขโมยชื่อบัญชีและรหัสผ่านของเหยื่อแล้ว เพียงแค่หาวิธีการหลอกล่อให้เหยื่อให้อีเมล์ลับส่วนตัวของเหยื่อเอง ซึ่งที่ผ่านมาก็มีหลายกรณี ตัวอย่างเช่น กรณีที่มีข้อความบอกว่าเฟซบุคจะแจกเสื้อเนื่องด้วยวันครบรอบ 7 ปีการถือกำเนิดของเฟซบุค (อ่านรายละเอียดเพิ่มเติม http://foh9.blogspot.com/2011/09/blog-post.html) อาจจะใช้วิธีการโทรศัพท์มาหลอกถามเหยื่อก็ได้ แฮกเกอร์อาจจะขโมยอีเมล์ลับส่วนตัวในเครื่องคอมพิวเตอร์สาธารณะที่เหยื่อล็อกอินเข้าบัญชีเฟซบุคแล้วลืมล็อกเอ้าท์ (Log out) นอกจากนี้แฮกเกอร์อาจมาขอยืมโทรศัพท์สมาร์ทโฟนของเหยื่อ แล้วแอบดูอีเมล์ลับส่วนตัวหากเหยื่อล็อกอินเฟซบุคผ่านสมาร์ทโฟนต่างๆ ได้อีกด้วย

เห็นไหมครับว่าวิธีการที่จะได้อีเมล์ลับส่วนตัวของเรามานั้นไม่ยากเลย สามารถทำได้ โดยอาศัยความประมาทของเหยื่อและสร้างสถานการณ์สิ่งล่อใจต่างๆ เพื่อให้เหยื่อหลงกลและเผยข้อมูลอีเมล์ลับส่วนตัวออกมา

วิธีการป้องกันตัวเอง

ห้ามเปิดเผยอีเมล์ลับส่วนตัวโดยเด็ดขาด ไม่ว่าจะด้วยสาเหตุใดก็ตาม
ล็อกหน้าจอของเครื่องคอมพิวเตอร์ส่วนตัว เมื่อต้องลุกจากหน้าจอไป เพื่อป้องกันคนอื่นแอบเปิดดูข้อมูลในเครื่องคอมพิวเตอร์
หากมีคนมาขอยืมเครื่องคอมพิวเตอร์หรือแม้กระทั่งโทรศัพท์มือถือ สมาร์ทโฟน จะต้องยืนยันก่อนว่าผู้ยืมนั้นเป็นใคร เชื่อถือได้หรือไม่ และหากจำเป็นจะต้องให้ยืม ก็ต้องล็อกเอ้าท์ออกจากเฟซบุคทุกครั้ง
เปลี่ยนอีเมล์ลับส่วนตัวบ่อยๆ โดยการเข้าเว็บ http://www.facebook.com/mobile แล้วเลือก "ค้นหาเพิ่มเติม" (จากรูปที่ 1) จากนั้นปรากฏหน้าคำเตือนเรื่องของอีเมล์ลับส่วนตัวนี้ ดังรูปที่ 4 ให้เลือก "เปลี่ยนอีเมล์สำหรับอัพโหลดใหม่" ที่บรรทัดสุดท้าย จากนั้นจะปรากฏไดอะล็อกยืนยันการแก้ไขอีเมล์อัพโหลดส่วนบุคคล ดังรูปที่ 5 ให้กดปุ่ม "Reset" เท่านี้ก็จะปรากฏอีเมล์ลับส่วนตัวใหม่ที่หน้าแรก

รูปที่ 4 แสดงหน้าเพื่อที่จะทำการเปลี่ยนอีเมล์ลับส่วนตัว

รูปที่ 5 แสดงการยืนยันการเปลี่ยนอีเมล์ลับส่วนตัว

แจ้งเตือน การล่อลวงล้วงอีเมล์ลับบนเฟซบุค

2011-09-09T13:28:00.005+07:00

การล่อลวงบนเฟซบุคที่น่าต้องให้ความสนใจเป็นพิเศษนั้น คนร้ายใช้เทคนิคล่อหลอกว่าเฟซบุค (Facebook) จะแจกเสื้อยืดให้ในโอกาสครบรอบปีที่ 7 ของการกำเนิดของเฟซบุค และในหน้าหลอกลวงนี้ยังมีตัวเลขที่บอกว่ายังมีเสื้อเหลืออยู่อีกมากกว่า 1.9 ล้านตัว เพื่อสร้างความน่าเชื่อถือ และยังเป็นการทำให้เหยื่อเกิดความโลภอีกด้วย (ดังรูปที่ 1)

รูปที่ 1 แสดงข้อความหลอกลวงว่าเฟซบุคแจกเสื้อ

จากนั้นหากเหยื่อหลงเชื่อและต้องการที่ได้รับเสื้อดังกล่าวจะต้องทำการยืนยันว่าเป็นผู้ใช้งานเฟซบุคจริงๆ โดยการกดปุ่ม Click Here แล้วจะปรากฏหน้าดังรูปที่ 2 เพื่อบอกให้เหยื่อปฏิบัติตามเพื่อเป็นการลงทะเบียนรับเสื้อ

รูปที่ 2 แสดงหน้าคำสั่งหลอกให้เหยื่อปฏิบัติตามเพื่อลงทะเบียนรับเสื้อ

กระบวนการคร่าวๆที่ปรากฏอยู่ในรูปที่ 2 คือ ให้เข้าเว็บ Facebook Mobile แล้วให้หาข้อมูลอีเมล์แอดเดรสที่ปรากฏอยู่ในหน้านั้น จากนั้นให้กรอกลงไปในช่องด้านล่างของรูปที่ 2

แน่นอนครับว่าเหยื่อก็ยังคงหวังที่จะได้เสื้อยืดฟรี แถมยังมีแบบสำรวจให้เหยื่อกรอกเพิ่มอีกด้วย ดังรูปที่ 3

รูปที่ 3 แสดงภาพแบบสำรวจที่แฮกเกอร์ต้องการเก็บข้อมูลของเหยื่อเพิ่ม

สุดท้ายจนแล้วจนเล่า เหยื่อก็ไม่มีวันที่จะได้รับเสื้อยืดอย่างแน่นอน แต่ทราบกันหรือไม่ครับว่าข้อมูลอีเมล์ที่เราสูญเสียไปนั่นทำให้เหล่าแฮกเกอร์สามารถมาโพสท์ข้อความบนหน้าเฟซบุคของเราได้โดยไม่ต้องทำการเข้าสู่ระบบก่อน ดังนั้นอีเมล์นี้จึงมีสำคัญอย่างมาก หากเราสูญเสียให้คนอื่นไปแล้วก็อาจจะทำให้เกิดความเสียตามมาได้อีกด้วย

ทีนี้หลายๆคนคงสงสัยว่าอีเมล์ที่ปรากฏอยู่เว็บของ Facebook Mobile มีความสำคัญอย่างไร และอีกอย่างนั่นก็ไม่ใช่อีเมล์ของเราด้วย แล้วแฮกเกอร์ต้องการไปทำอะไร ต่อจากนี้ผมจะทดสอบและเฉลยให้ฟังในบทความถัดไปนะครับ

อ้างอิง
http://nakedsecurity.sophos.com/2011/09/08/facebook-birthday-t-shirt-scam-steals-secret-mobile-email-addresses/

ถุงยางอนามัยป้องกันไดร์ฟ USB

2011-09-09T12:51:00.004+07:00

วันนี้วันศุกร์แห่งชาติ ผมเองก็เลยหาเรื่องเบาๆ สนุกๆ แปลกๆมานำเสนอบ้าง วันนี้ผมไปเจอบทความหนึ่งเขาพูดถึงไวรัสบนไดร์ฟ USB ทำให้ผมนึกถึงไปว่าบ้านเราก็มีโปรแกรมชื่อ CPE17 Autorun Killer ที่คอยสแกนไดร์ฟ USB ที่มาต่อกับเครื่องคอมพิวเตอร์ของเราว่ามีไวรัสหรือไม่ หรือไดร์ฟ USB บางรุ่นก็มีโปรแกรมสแกนและป้องกันไม่ให้ไวรัสมาบันทึกตัวเองใส่อีกมากมายเลยครับ ซึ่งแน่นอนครับว่าการป้องกันข้างต้นนั้นใช้ซอฟต์แวร์ในการป้องกัน ผมจึงทำการต่อไปอีกว่ามีฮาร์ดแวร์อะไรบ้างไหมสำหรับช่วยป้องกันไวรัสไม่ให้มาติดในไดร์ฟ USB ของเรา ผลก็คือผมพบผลงานสินค้าที่มีลักษณะดังกล่าวด้วย อิอิ

ฮาร์ดแวร์ที่ว่านี้คือถุงยางอนามัยป้องกันไดร์ฟ USB แนวคิดของผู้พัฒนานั้นก็คงล้อเลียนถุงยางอนามัยทั่วไปที่ใช้ป้องกันเชื้อไวรัส HIV และมีช่องต่อไดร์ฟ USB อีกด้วย เท่าที่ผมทำการค้นหาดูแล้วผมไปเจอภาพตัวอย่างของสินค้านี้มาให้ได้ชมกันดังนี้ โดยประกอบไปด้วย 2 ยี่ห้อ

ยี่ห้อนี้ออกแบบโดย Eugene Filatov
ออกแบบโดย Ko Yang

อย่างไรก็ตามสิ่งที่สำคัญที่สุดไม่ใช่เทคโนโลยีที่จะนำมาใช้ในการป้องกันไดร์ฟ USB หากแต่ต้องเป็นตัวเราเท่านั้นที่จะปกป้องไวรัสที่จะพยายามมาฝังตัวของเราหรือไม่ ดังนั้นก่อนจะใช้ไดร์ฟ USB ของใครก็ควรจะสแกนด้วยโปรแกรมป้องกันไวรัสที่ถูกติดตั้งอยู่ในเครื่องคอมพิวเตอร์ของเราก่อน และที่สำคัญคือห้ามเชื่อใจไดร์ฟของเพื่อนหรือบุคคลที่เราไม่รู้จักด้วย

อ้างอิง
http://www.yankodesign.com/2009/01/07/condom-protects-you-from-viruses/
http://design-fetish.blogspot.com/2011/03/condom-usb-flash-drive.html

แจ้งเตือน! ช่องโหว่ใหม่ของ Apache (ยังไม่มี patch)

2011-08-30T16:13:00.012+07:00

#ขอขอบคุณ Neutron Soutmun ที่แจ้งว่าเดเบี่ยนมีอัพเตดแล้วนะครับ http://security-tracker.debian.org/tracker/CVE-2011-3192

หายหน้าหายตาไปอีกแล้ว เนื่องด้วยผมติดภารกิจต้องสอนเรื่องการรักษาความปลอดภัยเซิร์ฟเวอร์ที่จังหวัดร้อยเอ็ด ดังนั้นผมจึงไม่มีเวลามาเขียนบทความเลยครับ ตอนนี้ผมนั่งรอที่ขอนแก่นเพื่อที่จะขึ้นเครื่องบินกลับกรุงเทพคืนนี้ ดังนั้นก็เลยอยากจะมาประกาศแจ้งเตือนช่องโหว่ใหม่ของ Apache

Apache เป็นซอฟต์แวร์สำหรับเครื่องเซิร์ฟเวอร์ที่ให้บริการเว็บที่ได้รับความนิยมอย่างมาก ไม่ว่าเซิร์ฟเวอร์นี้จะถูกติตตั้งด้วยระบบปฏิบัติการลีนุกซ์ ยูนิกซ์ หรือแม้กระทั่งวินโดวส์เองก็ตาม ก็ล้วนแต่นิยมติดตั้ง Apache เพื่อให้บริการเว็บ โดยเฉพาะอย่างยิ่งระบบปฏิบัติการลีนุกซ์และยูนิกซ์จะมี Apache เป็นซอฟต์แวร์พื้นฐานสำหรับการเปิดให้บริการเว็บเซิร์ฟเวอร์ด้วย ซึ่งจากข้อมูลจาก Netcraft รายงานว่าเดือนสิงหาคม 2554 มีเซิร์ฟเวอร์ที่ใช้งาน Apache สูงถึง 65% [1]

รายละเอียดช่องโหว่
ชื่อ Range header DoS vulnerability Apache HTTPD 1.3/2.x
หมายเลขอ้างอิง CVE-2011-3192
ระบบที่มีผลกระทบ Apache เวอร์ชั่น 1.3 และ 2 (ทุกเวอร์ชั่นย่อย)

ช่องโหว่ใหม่ที่ถูกค้นพบนี้อาจส่งผลให้เว็บเซิร์ฟเวอร์ถูกโจมตีด้วยวิธีปฏิเสธการให้บริการ (Denial of Service)จากระยะไกล ซึ่งเว็บเซิร์ฟเวอร์ที่ติดตั้ง Apache HTTPD และไม่ได้ปรับแต่งเพิ่มเติม (ดีฟอลต์ - default)ก็อาจจะถูกโจมตีผ่านทางช่องโหว่นี้ ซึ่งโปรแกรมสำหรับโจมตีหรือที่เรียกว่า Exploit นั้นถูกประกาศกันอย่างแพร่หลายในอินเทอร์เน็ต (และผู้เขียนไม่ได้มีเจตนาที่จะเผยแพร่เครื่องมือโจมตีนี้ ดังนั้นจะขอปิดแหล่งข้อมูลเครื่องมือดังกล่าว) เครื่องมือโจมตีนี้จะส่งคำร้องการขอเข้าเว็บไซต์โดยส่งเป็นเฮดเดอร์ที่เป็นร้องขอดาวน์โหลดข้อมูลเว็บไซต์โดยการแบ่งเป็นข้อมูลย่อยที่มีส่วนทับซ้อนกันเป็นจำนวนมหาศาล (Range header Overlapping) ส่งผลให้หน่วยความจำและซีพียูถูกใช้หมดอย่างรวดเร็ว และแน่นอนว่าไม่สามารถให้บริการเว็บไซต์ต่อไปได้ หากศึกษาจากเครื่องมือโจมตีพบว่าเครื่องมือนี้จะทำการดาวน์โหลดข้อมูลเว็บไซต์ขนาด 1,300 ไบต์ โดยการแบ่งข้อมูลเป็นข้อมูลย่อยขนาด 5 ไบต์ และทำการร้องขอในลักษณะดังรูปที่ 1

รูปที่ 1 แสดงลักษณะของเฮดเดอร์ในการร้องขอข้อมูล โดยแบ่งย่อยๆทีละ 5 ไบต์

และอีกความน่ากลัวก็คือว่า ณ ขณะเวลานี้ ทางผู้พัฒนายังไม่สามารถส่งโปรแกรมที่อุดช่องโหว่นี้ให้ผู้ใช้งานได้อัพเดต

หลังจากที่ได้รับข้อมูลดังกล่าว ผู้เขียนได้ทดสอบโจมตีเว็บเซิร์ฟเวอร์ที่จำลองขึ้นมา พบว่ามีล็อกแจ้งเตือนว่าหน่วยความจำถูกใช้หมดโดยโปรเซสที่ชื่อ Apache ดังรูปที่ 2 และลองทดสอบการเข้าเว็บไซต์ของเว็บเซิร์ฟเวอร์นี้พบว่า ไม่สามารถให้บริการต่อไปได้

รูปที่ 2 แสดงล็อกของระบบปฏิบัติการลีนุกซ์ที่บอกว่า
หน่วยความจำถูกใช้หมดโดย Apache หลังจากถูกโจมตี

วิธีการแก้ไข
เนื่องด้วยทางผู้พัฒนาเองยังไม่สามารถประกาศโปรแกรมอุดช่องโหว่ หรือ patch ได้ และอยู่ในระหว่างการพัฒนา ดังนั้นเราจึงต้องทำการปรับแต่งค่าของ Apache ดังนี้

ใช้ SetEnvIf หรือ mod_rewrite เพื่อตรวจจับหา range ที่มีปริมาณมาก หากพบก็จะสามารถเลือกให้ยกเลิก Range: header หรือยกเลิกการร้องขอเลยก็ได้

ทางเลือกที่ 1: (สำหรับ Apache เวอร์ชั่น 2.0 และ 2.2)

# ยกเลิก Range header ถ้ามีมากกว่า 5 range (การร้องขอที่แบ่งเป็นข้อมูลย่อย)
# CVE-2011-3192
SetEnvIf Range (,.*?){5,} bad-range=1
RequestHeader unset Range env=bad-range

# เพื่อเก็บล็อก
CustomLog logs/range-CVE-2011-3192.log common env=bad-range

ทางเลือกที่ 2: (สำหรับ Apache เวอร์ชั่น 1.3)

# ยกเลิกการร้องขอ เมื่อมีการร้องขอเกิน 5 range ใน Range: header.
# CVE-2011-3192

RewriteEngine on
RewriteCond %{HTTP:range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$)
RewriteRule .* - [F]

นอกจากนี้ยังมีวิธีการแก้ด้วยวิธีอื่นอีก สามารถอ่านรายละเอียดเพิ่มเติมได้ที่ ข้อมูลอ้างอิง [2-4]

ข้อมูลอ้างอิง

ใช้กล้องตรวจจับความร้อนขโมยรหัสบัตรเอทีเอ็ม

2011-08-26T08:31:00.006+07:00

ขออภัยด้วยนะครับที่ห่างหายไปหลายวัน เนื่องด้วยติดภารกิจต้องบรรยายเกือบทุกวัน วันที่ไม่มีบรรยายก็ต้องเตรียมสไลด์และเคลียร์งานเอกสาร ช่วงนี้กิจนิมนต์เยอะจริงๆ

ช่วงนี้ผมกำลังให้ความสนใจกับการโจมตีอุปกรณ์ต่างๆ (ที่ไม่ใช่เครื่องคอมพิวเตอร์อย่างที่เราคุ้นเคยกัน) แล้วผมจะค่อยๆทะยอยเล่าให้ฟังเรื่อยๆนะครับ วันนี้เป็นตอนแรกผมเลยอยากจะขอเปิดด้วยเรื่องราวของการใช้กล้องตรวจจับความร้อนขโมยรหัสบัตรเอทีเอ็ม

หลายๆคนอาจจะสงสัยว่าเหล่าแฮกเกอร์ทำได้อย่างไร ด้วยเหตุที่ทั้งกล้องตรวจจับความร้อนและตู้เอทีเอ็มไม่น่าจะมีความสัมพันธ์ใดๆเลย แต่เหตุไฉนเหล่าแฮกเกอร์จึงใช้ในการขโมยข้อมูลของเราได้

ในงานสัมนาชื่อ USENIX Security Symposium นักวิจัยชื่อ Keaton Mowery, Sarah Meiklejohn และ Stefan Savage จากมหาวิทยาลัยแคลิฟอร์เนีย (the University of California) ที่ซานดิเอโก ประเทศสหรัฐอเมริกาได้นำเสนอผลงานวิชาการในเรื่อง "Heat of the Moment: Characterizing the Efﬁcacy of Thermal Camera-Based Attacks."

หากศึกษาจากงานวิจัยนี้จะพบว่าเขาใช้กล้องตรวจจับความร้อนรุ่น A320 FLIR ถ่ายไว้ที่ปุ่มกดที่ตู้เอทีเอ็ม ด้วยความร้อนจากมือเรากดลงไป ทำให้หลังจากกดแล้วยังพอมีความร้อนหลงเหลืออยู่และสามารถทำให้เรารู้ได้ว่ารหัสบัตรเอทีเอ็มคือเลขใด โดยในการทดลองนี้เขาได้ทดลองกับปุ่มทั้งแบบพลาสติกและโลหะดังรูป

รูปที่ 1 แสดงอุปกรณ์ปุ่มโลหะสำหรับการทดลอง

รูปที่ 2 แสดงอุปกรณ์ปุ่มพลาสติกสำหรับการทดลอง

ในการทดลองนี้ใช้อาสาสมัครจำนวน 21 คน และใช้รหัสบัตรเอทีเอ็มที่สุ่มมาจำนวน 27 หมายเลข และตัวเลขเหล่านั้นก็มีบางค่าที่เป็นตัวเลขซ้ำด้วย (เช่น 2227 หรือ 0510 เป็นต้น) ที่ทดลองกดปุ่มทั้งแบบที่เป็นพลาสติกและโลหะ ซึ่งผลการวิจัยนี้พบว่าสามารถเห็นร่องรอยความร้อนที่ปรากฎอยู่บนปุ่มกดพลาสติกและวิเคราะห์ปุ่มที่ถูกกดได้แม่นยำถึง 80% ในระยะเวลา 10 วินาทีหลังจากกดปุ่ม จากรูปที่ 3 นี้จะพบว่าปุ่มหมายเลข 1 4 5 และ 8 มีการถูกกด ซึ่งหมายเลขจริงที่กดนั้นคือ 1485 นับได้ว่ามีความใกล้เคียงและสามารถเดาได้ง่ายมากยิ่งขึ้น หากไม่ใช้วิธีนี้จำเป็นจะต้องเดารหัสบัตรตั้งแต่ 0000-9999 (จำนวน 10,000 ครั้ง)

รูปที่ 3 แสดงภาพความร้อนที่หลงเหลือหลังจากกดปุ่มในตู้เอทีเอ็ม

รูปที่ 4 แสดงภาพปุ่มที่ถูกกดหลังผ่านไป 90 วินาที จะเห็นว่าเห็นปุ่ม 1 4 และ 5 ถูกกด

แต่โชคดีที่การทดลองนี้ไม่ประสบความสำเร็จกับปุ่มที่เป็นโลหะ ซึ่งถูกใช้กันอย่างแพร่หลายในปัจจุบัน แต่ก็อย่าชะล่าใจไปนะครับ เนื่องจากเหล่าแฮกเกอร์ไม่เคยลดละความพยายามที่จะขโมยข้อมูลของเรา ดังนั้นเราจะต้องระวังตัวให้มากในยุคที่ข้าวยากหมากแพงเช่นนี้ด้วยครับ

ค้นพบสปายแวร์ใหม่บนแอนดรอยด์ที่ลอกเลียนแอพของกูเกิลพลัส

2011-08-17T16:19:00.005+07:00

หลังจากเมื่อเช้าปั่นบทความเรื่องม้าโทรจันบนแมคโอเอสไป ได้รับการตอบรับเป็นอย่างดี ประกอบกับวันนี้ปั่นงานเสร็จตามเป้าหมาย เหลือแค่สไลด์ที่จะไปบรรยายเรื่อง "Web Application Security" ที่จะสอนที่ร้อยเอ็ดปลายเดือนนี้ ก็เลยแอบยักยอกเวลางานมาปั่นบทความนี้เล่น ดีกว่าเอาเวลาไปนอนอู้ (จริงมั้ย) อิอิ

ในเวลานี้คงไม่มีใครกล้าปฏิเสธว่าระบบปฏิบัติการแอนดรอยด์นั้นได้รับความนิยมมาก การเติบโตของจำนวนผู้ใช้งานก็เพิ่มขึ้นอย่างมากหลังจากเปิดตัว ด้วยจำนวนผู้ใช้ที่เพิ่มขึ้นนี้เองเหล่าแฮกเกอร์จึงพยายามจะฉวยโอกาสนี้มาทำอันตรายเราด้วยการส่งไวรัสต่างๆเข้ามาสู่ตลาดแอนดรอยด์มาร์เก็ต หลอกให้คนดาวน์โหลดมากมาย จนถึงขั้นกูเกิลประกาศว่าจะตรวจสอบทุกแอพก่อนที่จะถูกประกาศในมาร์เก็ต อย่างไรก็ตามเหล่าแฮกเกอร์จอมวายร้ายก็ยังสามารถปล่อยไวรัสสู่อุปกรณ์ที่ติดตั้งด้วยระบบปฏิบัติการแอนดรอยด์

เมื่อไม่นานมานี้เองบริษัทเทรนด์ไมโคร ยักษ์ใหญ่แห่งวงการโปรแกรมป้องกันไวรัส ได้ค้นพบมัลแวร์(Malware)ประเภทสปายแวร์ที่มีผลกระทบต่อระบบปฏิบัติการแอนดรอยด์ และมีความสามารถหลักในการขโมยข้อมูลต่างๆ ไม่ว่าจะเป็นการแอบบันทึกการสนทนาทางโทรศัพท์ ข้อมูลพิกัดดาวเทียม ข้อความต่างๆ หรือแม้กระทั่งรายการบันทึกการโทรศัพท์ และข้อมูลเหล่านี้ก็จะถูกส่งไปยังเซิร์ฟเวอร์ของแฮกเกอร์อีกด้วย ซึ่งชื่อของสปายแวร์นี้คือ ANDROIDOS_NICISPY.C

จุดเด่นของ ANDROIDOS_NICISPY.C คือการใช้หลอกเหยื่อว่าตัวเองเป็นแอพของกูเกิลพลัส (Google+) และแถมยังใช้ไอคอนหน้าตาเหมือนแอพพลิเคชั่นกูเกิลพลัสอีกด้วย ดังรูป

รายละเอียดทางเทคนิค

ANDROIDOS_NICISPY.C จะถูกติดตั้งในเครื่องของเหยื่อโดยการดาวน์โหลดของเหยื่อที่หลงเข้าเว็บไซต์อันตราย โดยที่เหยื่อเองก็ไม่รู้ตัว

จากนั้นสปายแวร์นี้จะทำงานตั้งแต่ระบบปฏิบัติการเริ่มทำงาน และจะทำหน้าที่แอบดักข้อมูล SMS, การโทรศัพท์ และข้อมูลพิกัดดาวเทียม โดยการรันเซอร์วิสดังต่อไปนี้

XM_CallListener
MainService
XM_CallRecordService
SocketService
XM_SmsListener
GpsService
RecordService

จากนั้นสปายแวร์นี้จะพยายาม

รวบรวมข้อมูลพิกัดดาวเทียม
ขโมยข้อความที่อยู่ใน inbox และ outbox ของอุปกรณ์
บันทึกการสนทนาทางโทรศัพท์ของอุปกรณ์ (โทรศัพท์มือถือ)

การสนทนาทางโทรศัพท์นั้นจะถูกบันทึกในรูปแบบ .AMR ในไดเรคทอรี่ /sdcard/shangzhou/callrecord/ ด้วยชื่อไฟล์ที่มีลักษณะเป็นวันและเวลา (YYYYMMDDHHMMss) จากนั้นข้อมูลทั้งหมดก็จะถูกส่งไปยังเซิร์ฟเวอร์ของแฮกเกอร์ผ่านทางพอร์ต 2018 แถมยังส่งหมายเลข IMEI ของเครื่องไปยังหมายเลขโทรศัพท์ของแฮกเกอร์อีกด้วย

วิธีการแก้ไข

Select Settings > Application > Manage applications
Select Android System Message then click Uninstall

วิธีการป้องกัน

ไม่เยี่ยมชมเว็บไซต์ที่ไม่เหมาะสม หรือไม่แน่ใจว่าปลอดภัยหรือไม่
ไม่หลงเชื่ออีเมล์ ลิงค์ หรือแม้แต่ข้อความในโปรแกรมสนทนาต่างๆ ที่พยายามหลอกให้คลิกลิงค์
ไม่ดาวน์โหลดซอฟต์แวร์หรือแอพต่างๆจากแหล่งที่ไม่น่าเชื่อถือ
ติดตั้งโปรแกรมป้องกันไวรัสของโทรศัพท์และอุปกรณ์ พร้อมทั้งอัพเดตและสแกนทั้งระบบบ่อยๆ
ตรวจสอบแอพที่ถูกติดตั้งในเครื่องของเราว่าเราเป็นผู้ติดตั้งหรือไม่อยู่สม่ำเสมอ
ลบแอพที่เราไม่ได้ใช้งาน หรือไม่จำเป็นใช้งาน เพื่อความปลอดภัยและประสิทธิภาพของอุปกรณ์ของเรา

อ้างอิงและภาพประกอบ

พบม้าโทรจันบนแมคโอเอส (Trojan:BASH/QHost.WB)

2011-08-17T09:32:00.006+07:00

หากเดินไปตามร้าน istudio จะเห็นโฆษณาว่าใช้แมคแล้วจะปลอดภัยจากไวรัสคอมพิวเตอร์ ผมคิดว่าเราอาจจะต้องมาดูกันใหม่แล้วหล่ะครับ เนื่องจากบริษัท F-Secure ได้ประกาศว่าพบม้าโทรจันบนแมคตัวใหม่ชื่อ Trojan:BASH/QHost.WB ม้าโทรจันตัวนี้มาในรูปแบบของโปรแกรม FlashPlayer ปลอม ชื่อไฟล์ว่า FlashPlayer.pkg (มีค่า MD5: 1fc90b8f532028805d167b2b0ac9ce11)

เมื่อเหยื่อหลงเชื่อและติดตั้งม้าโทรจันนี้ลงในเครื่องแล้ว มันจะทำการเปลี่ยนแปลงแก้ไขไฟล์โฮสต์ (ไฟล์ที่ใช้ช่วยในการแปลงฃื่อเว็บไซต์เป็นหมายเลขไอพี โดยที่ไม่ต้องอาศัยเซิร์ฟเวอร์ DNS) แก้ไขโดยการใส่ชื่อโดเมนเว็บไซต์ของกูเกิลจากหลายประเทศ (เช่น google.com.tw, google.com.tl เป็นต้น)และชี้ไปยังหมายเลขไอพี 91.224.160.26 ซึ่งเป็นหมายเลขไอพีที่ประเทศเนเธอร์แลนด์

โดยปกติแล้วหากเราเข้าเว็บไซต์ www.google.com.tw จะปรากฎดังรูป

เมื่อไรก็ตามที่เหยื่อเรียกเว็บไซต์กูเกิล เว็บไซต์ที่จะถูกแสดงบนหน้าเว็บเบราเซอร์ของเหยื่อนั้นจะเป็นเว็บกูเกิลปลอมที่ถูกเรียกจากหมายเลขไอพี 91.224.160.26 ดังรูป

เมื่อลองทำการค้นหาก็จะมีผลปรากฏอยู่บนเว็บเบราเซอร์ด้วย

แต่โชคดีที่เซิร์ฟเวอร์ที่มีหมายเลขไอพี 91.224.160.26 ถูกปิดตัวแล้ว ปัจจุบันจึงไม่สามารถเข้าถึงได้ อย่างไรก็ตามสำหรับผู้ที่สงสัยว่าจะถูกม้าโทรจันชนิดนี้คุกคามก็สามารถทำการตรวจสอบและแก้ไขได้ด้วยตัวเองตามวิธีการต่อไปนี้
1. เปิดใช้งานเทอร์มินัลแล้วเปลี่ยนไปอยู่ในไดเรคทอรี่ */private/etc/

$cd /private/etc

2. ใช้โปรแกรมแก้ไขไฟล์เปิดไฟล์ที่ชื่อ hosts และทำการแก้ไข (หมายเหตุ จำเป็นต้องเป็นผู้ดูแลระบบก่อน จึงจะสามารถแก้ไขไฟล์ได้)

$sudo vim hosts

จากนั้นค้นหาไฟล์ที่มีลักษณะใกล้เคียงกับตัวอย่างด้านล่าง

91.224.160.26 google.com
91.224.160.26 google.ae
91.224.160.26 google.as
....

3. ลบทุกบรรทัดที่มีข้อมูลเกี่ยวกับหมายเลขไอพี 91.224.160.26 ที่อยู่ในไฟล์ hosts

อ้างอิงและภาพประกอบ

เทคนิคการแฮกด้วยข้อมูลบนเฟซบุค (เพื่อสร้างความตระหนักเท่านั้น)

2011-08-16T07:48:00.006+07:00

วันนี้ผมได้อ่านเจอข่าวเกี่ยวกับการใช้เฟซบุคในการขโมยข้อมูลต่างๆ ที่เราอาจจะคาดไม่ถึง รวมไปถึงเงินจากบัญชีธนาคารได้อีกด้วย ที่จริงผมเองก็กังวลอยู่ว่า บทความนี้อาจจะเป็นแรงจูงใจที่ทำให้เกิดอาชญากรรมคอมพิวเตอร์ในประเทศไทยต่อไปก็ได้ แต่ทั้งนี้ทั้งนั้นผมตัดสินใจว่า เรื่องราวในบทความนี้ ผมมีจุดประสงค์เพื่อให้เกิดความตระหนักของข้อมูลส่วนตัวของเรา ที่เราโพสท์บนเฟซบุคโดยที่เราอาจจะไม่ได้ตั้งใจได้

นาย Iain Wood (ผมขอเรียกว่านาย วู้ด นะครับ) แฮกเกอร์ชาวอังกฤษ วัย 33 ปี ถูกจับในข้อหาฉ้อโกงเงินจากบัญชีธนาคารผู้อื่น เขาเป็นต้นแบบของแนวความคิดที่ทำให้ผมอยากจะเล่าให้ฟังในบทความนี้ นายวู้ดกล่าวว่าเขาจำกัดกลุ่มของเหยื่อเฉพาะผู้ที่อาศัยในอพาร์ทเม้นต์เดียวกับเขา และเป็นผู้ที่ไม่ได้ป้องกันอีเมล์ของตัวเองมาก ทำให้เขาสามารถรู้จักอีเมล์ได้ จากนั้นเขาเข้าไปยังเว็บไซต์ของธนาคารเพื่อที่จะทำธุรกรรมออนไลน์ โดยใช้ชื่อของเหยื่อที่ได้มา แต่แน่นอนว่าเขาไม่สามารถเข้าได้เนื่องจากระบบต้องการรหัสผ่าน เขาได้เลือกช่องที่บอกว่าเขาได้ลืมรหัสผ่าน ระบบของธนาคารก็จะถามคำถามความลับส่วนตัว เช่นวันที่ในความทรงจำ โรงเรียนแรกของตัวเอง หรือแม้กระทั่งชื่อของมารดา เป็นต้น ซึ่งนายวู้ดใช้เวลา 18 ชั่วโมงต่อวันในการไล่ล่าหาข้อมูลของเหยื่อผ่านทางเฟซบุค เมื่อได้ข้อมูลดังกล่าวมาแล้ว เขาก็สามารถเข้าถึงบัญชีธนาคารออนไลน์ของเหยื่อได้อย่างง่ายดาย จากนั้นเขาได้ทำการแก้ไขที่อยู่ของเหยื่อแล้วถอนเงินออกมาและให้ส่งให้เขาทางไปรษณีย์

ผมได้คิดต่อยอดจากสิ่งที่นายวู้ดได้ทำ โดยใช้แนวคิดที่ตอบคำถามความลับส่วนตัวของเหยื่อ แทนที่จะค้นหาบนเฟซบุค เราก็อาจจะใช้วิธีการที่เรียกว่า Social Engineering ในการหลอกถามข้อมูลส่วนตัวของเหยื่อก็เป็นได้

หากผู้อ่านเคยฟังผมบรรยายให้ความรู้เรื่องการสร้างความตระหนักด้านการรักษาความปลอดภัยสารสนเทศคงทราบถึงตัวอย่างที่ผมมักจะเล่าให้ฟังว่า ข้อมูลความลับส่วนบุคคลของเรานั้นสำคัญมาก ถ้าหากเราโพสท์ลงเฟซบุคหรือเว็บไซต์ต่างๆ โดยที่เราตั้งใจหรือไม่ก็ตาม ก็จะส่งผลเสียตามมาได้ ยกตัวอย่างเช่น (หมายเหตุ ผมตั้งใจเล่าให้ฟังเพื่อเป็นอุธาหรณ์ ดังนั้นห้ามปฏิบัติการ หรือลอกเลียนแบบ) ถ้าหากมีคนได้หมายเลขโทรศัพท์ของเราที่เราโพสท์อยู่บนเฟซบุค เขาก็อาจจะเอาไปประกาศตามเว็บไซต์ลามก หรือส่งอีเมล์บอกว่า เราขายบริการทางเพศ หรือประกาศเพื่อให้มีคนติดต่อเรามามากมายก็ได้ (แนวคิดนี้ผมได้ฟังดร.โกเมนบรรยายหลายปีก่อน ท่านได้สอนเกี่ยวกับความสำคัญของข้อมูลส่วนบุคคล) หรืออีกตัวอย่างเรื่องของการธุรกรรมต่างๆผ่านโทรศัพท์ ไม่ว่าจะเป็นเรื่องบัตรเครดิต โทรศัพท์มือถือ ล้วนแต่ก็ใช้วันเดือนปีเกิดของเราเป็นข้อมูลสำหรับยืนยันตัวตนแทบทั้งสิ้น เป็นต้น นี่เป็นเพียงแค่ตัวอย่างเล็กน้อยของการใช้ข้อมูลของเราบนเฟซบุคทำร้ายเราได้ จนมีคนเรียกเฟซบุคว่า "อาวุธทางสงครามข่าวสาร (Information Warfare Weapon)"

ดังนั้นสิ่งที่ผมอยากจะฝากไว้ก็คือ เรื่องของการระวังการให้ข้อมูลแก่ผู้อื่น ไม่ว่าจะเป็นการหลอกถามหรือการประกาศข้อมูลไว้ตามที่ต่างๆ โดยเฉพาะอย่างยิ่งบนเฟซบุค หรือเครือข่ายสังคมออนไลน์ต่างๆ รวมไปถึงการใช้งานบริการธุรกรรมออนไลน์ต่างๆ เราควรเข้าใจระบบกลไกของทางธนาคารก่อน ทางธนาคารเองก็ควรจะมีระบบที่มีความปลอดภัย และเราเองก็ควรรู้จักวิธีการป้องกันตัวเองให้ปลอดภัยจากไวรัสคอมพิวเตอร์หรือม้าโทรจันที่จะขโมยข้อมูลส่วนตัวของเราอีกด้วย

เว็บบล็อกของแบล็กเบอร์รี่ถูกแฮก

2011-08-11T08:28:00.006+07:00

เมื่อวานนี้แหล่งข่าวด้านการรักษาความปลอดภัยสารสนเทศต่างๆ ให้ความสนใจเกี่ยวกับเว็บบล็อกของยักษ์แห่งวงการโทรศัพท์มือถืออย่างแบล็กเบอร์รี่ถูกแฮก ท่ามกลางการก่อจลาจลในคืนที่ 4 ที่ประเทศอังกฤษ กลุ่มแฮกเกอร์นามว่า Team Poison (TeaMp0isoN) ได้เจาะระบบเว็บบล็อกทางการของบริษัทแบล็กเบอร์รี่ (http://blogs.blackberry.com/) ด้วยเหตุผลที่ทางบริษัทนั้นประกาศว่าจะสนับสนุนข้อมูลแก่ทางตำรวจอังกฤษ ถึงแม้ว่าทางแบล็กเบอร์รี่ยังไม่ได้บอกว่าจะสนับสนุนข้อมูลอะไรบ้างแก่ตำรวจก็ตาม (ข้อมูลอ้างอิง http://www.guardian.co.uk/uk/2011/aug/08/london-riots-blackberry-messenger-looting)

ซึ่งเนื้อความของข้อความที่กลุ่มแฮกเกอร์นี้โพสท์ไว้ในเว็บบล็อกมีใจความว่า
===========================

This hack is a response to this statement by RIM:
“We feel for those impacted by this weekend’s riots in London. We have engaged with the authorities to assist in any way we can. As in all markets around the world Where BlackBerry is available, we cooperate with local telecommunications operators, law enforcement and regulatory officials. Similar to other technology providers in the UK we comply with The Regulation of Investigatory Powers Act and co-operate fully with the Home Office and UK police forces.”
Dear Rim;
You Will _NOT_ assist the UK Police because if u do innocent members of the public who were at the wrong place at the wrong time and owned a blackberry will get charged for no reason at all, the Police are looking to arrest as many people as possible to save themselves from embarrassment... if you do assist the police by giving them chat logs, gps locations, customer information & access to peoples BlackBerryMessengers you will regret it, we have access to your database which includes your employees information; e.g - Addresses, Names, Phone Numbers etc. - now if u assist the police, we _WILL_ make this information public and pass it onto rioters... do you really want a bunch of angry youths on your employees doorsteps? Think about it... and don’t think that the police will protect your employees, the police can’t protect themselves let alone protect others.... if you make the wrong choice your database will be made public, save yourself the embarrassment and make the right choice. don’t be a puppet..

p.s - we do not condone in innocent people being attacked in these riots nor do we condone in small businesses being looted, but we are all for the rioters that are engaging in attacks on the police and government... and before anyone says "the blackberry employees are innocent" no they are not! They are the ones that would be assisting the police

- TriCk - TeaMp0isoN -

===========================

หลังจากที่กลุ่มแฮกเกอร์ Team Poison แฮกสำเร็จก็ได้ส่งข้อความบนทวีตเตอร์

ในที่สุดทางบริษัทแบล็กเบอร์รี่จำเป็นต้องหยุดให้บริการเว็บบล็อกชั่วคราวเพื่อทำการแก้ไขหน้าเว็บไซต์ดังกล่าว และในตอนนี้เว็บนี้ได้ถูกแก้ไขสำเร็จและเปิดให้บริการต่อไปแล้วครับ

อ้างอิงข้อมูลและภาพประกอบ
http://www.eweek.com/c/a/Security/BlackBerry-Blog-Hit-by-Hackers-Protesting-RIM-Assistance-to-London-Police-499867/
http://news.cnet.com/8301-1009_3-20090211-83/rim-blog-hacked-in-warning-over-london-unrest/
http://crackberry.com/official-blackberry-blog-hacked
http://www.f-secure.com/weblog/archives/00002211.html

ขำขัน! ไอเดีย CAPTCHA ที่น่าสนใจมาก

2011-08-10T09:17:00.003+07:00

หลังจากที่เมื่อวานนี้ผมได้เล่าเกี่ยวกับ CAPTCHA ของเฟซบุคที่อยู่ดีๆก็มีอักษรภาษาจีนโผล่ขึ้นมาทำให้งงไปเลยครับ วันนี้เพื่อนผมชาวเกาหลีส่งตัวอย่างขำๆของ CAPTCHA ในซอฟต์แวร์หนึ่งของเกาหลี ซึ่งเวลาจะ uninstall นั้นผู้ใช้จะต้องตอบคำถามคณิตศาสตร์ จากรูปนะครับ ข้อแรกก็ยังโอเค แต่เจอข้อสอง ผมว่าคงมีหลายๆคนคงไม่อยากจะ unistall แน่ๆครับ ใครจะนำเทคนิคนี้ไปใช้ก็ได้นะครับ อย่างไรก็ตามถ้าหากไวรัสคอมพ์ใช้เทคนิคนี้บ้าง ก็คงต้องยอมมันหล่ะครับงานนี้ (ฮาาาาาาาาา)

อ้างอิงจาก http://web.humoruniv.com/board/humor/read.html?table=fakenews&pg=26&number=1691 (หากใช้ google translate จะแปลได้ว่าข่าวนี้เป็นข่าวขำๆนะครับ :) )

CAPTCHA บนเฟซบุคจะปลอดภัยเกินไปไหม ?

2011-08-09T16:33:00.003+07:00

ใครที่ชอบโพสท์เว็บลิงค์บนเฟซบุคคงจะเคยเห็น CAPTCHA (เป็นระบบที่ให้เรากรอกตัวหนังสือที่เราเห็นจากรูปที่เขากำหนดให้ เพื่อป้องกันการโพสท์อัตโนมัติของบ็อต) ผมเองก็เป็นคนหนึ่งที่ชอบโพสท์เว็บลิงค์แชร์กับเพื่อนๆบนเฟซบุค ดังนั้นผมจึงได้ใช้งาน CAPTCHA บนเฟซบุคค่อนข้างบ่อยมากครับ แรกๆเจ้า CAPTCHA นี้ก็เป็นภาษาอังกฤษดีๆอยู่หรอกครับ จนพักหลังมานี้ผมเจอ CAPTCHA ที่ทำให้ผมอึ้งจนกรอกไม่ถูกเลยทีเดียวครับ ลองดูได้จากรูปประกอบนะครับ :)