คลังเก็บป้ายกำกับ: WEB_SECURITY

พบช่องโหว่บน Symantec API เสี่ยงถูกขโมย Private Key

Chris Byrne ที่ปรึกษาด้านความมั่นคงปลอดภัยจาก Cloud Harmonics ออกมาเปิดเผยถึงปัญหาสำคัญในการออกใบรับรอง SSL ของ Symantec จากตัวแทนจำหน่ายและช่องโหว่บน API ในการส่งมอบและบริหารจัดการใบรับรอง SSL ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูล Certificate ออกไปได้ ไม่ว่าจะเป็น Private Key หรือ Public Key รวมไปถึงสามารถออกใบรับรองใหม่และเพิกถอนใบรับรองเหล่านั้นได้

Credit: The Cute Design Studio/ShutterStock

Byrne อธิบายถึงปัญหาที่ค้นพบว่า API ในการร้องขอและส่งมอบใบรับรองของ Symantec ที่ให้ตัวแทนจำหน่ายใช้นั้น เป็นแบบ URI-based UID ซึ่งมีการพิสูจน์ตัวตนที่ไม่ดีเพียงพอ ส่งผลให้แฮ็คเกอร์หรือลูกค้าที่เก่งคอมพิวเตอร์สามารถดักจับอีเมลที่มีลิงค์ที่ API สร้างขึ้น หรือเปลี่ยนพารามิเตอร์บน UID ของตนเพื่อเข้าถึงข้อมูลใบรับรอง SSL ของลูกค้าคนอื่นได้ ผลลัพธ์คือแฮ็คเกอร์สามารถขโมย Private Key, Public Key, เพิกถอนใบรับรอง หรือออกใบรับรองใหม่ได้

Byrne ค้นพบช่องโหว่นี้และรายงานไปยัง Symantec ตั้งแต่ปี 2015 ซึ่งทาง Symantec ก็รับทราบและขอร้องให้ยังไม่เปิดเผยข้อมูลดังกล่าว พร้อมทั้งสัญญาว่าจะแก้ไขปัญหาทั้งหมดภายใน 2 ปี อย่างไรก็ตาม หลังจากที่ Google ออกมาประกาศลดความน่าเชื่อถือของใบรับรอง SSL จาก Symantec บน Google Chrome ลงเมื่อสัปดาห์ที่ผ่านมา เนื่องจากพบปัญหาหลายประการระหว่างบริษัทกับตัวแทนจำหน่าย ทำให้ Byrne ตัดสินใจออกมาเปิดเผยปัญหาดังกล่าว

“จากประสบการณ์และการกระทำของ Google จนถึงตอนนี้ แสดงให้เห็นว่า Symantec ไม่ได้แก้ไขปัญหาอย่างจริงจังตามที่สัญญาไว้” — Byrne ระบุ

อย่างไรก็ตาม Byrne ไม่สามารถยืนยันได้ว่าช่องโหว่ที่เขาค้นพบกับช่องโหว่ที่ Google เจอนั้นเป็นช่องโหว่เดียวกันหรือไม่ และยังไม่มีหลักฐานหรือการ PoC ที่ชัดเจนว่าสามารถโจมตีช่องโหว่ได้จริง

ล่าสุด Symantec ออกมาชี้แจงถึงประเด็นดังกล่าวว่า ช่องโหว่ที่ Byrne กล่าวมาไม่น่าจะสร้างปัญหาหรือเป็นอันตรายต่อการใช้งานจริงแต่อย่างใด แต่ทาง Symantec ยินดีที่จะจัดการปัญหาในกรณีที่มีงานวิจัยหรือมีการ PoC ออกมา และ Symantec ยืนยันว่ายังไม่พบการเข้าถึง Private Key โดยไม่ได้รับอนุญาตแต่อย่างใด

ที่มา: http://thehackernews.com/2017/03/symantec-ssl-certificates.html

from:https://www.techtalkthai.com/symantec-api-flaw-leads-to-certificate-stolen/

Advertisements

ฟรี eBook: คู่มือการเสริมความแข็งแกร่งให้ระบบ Web Security โดย Akamai

Akamai ผู้ให้บริการระบบ Content Delivery Network (CDN) และ Web Security ชื่อดัง ออก eBook เรื่อง “Threats and Mitigations: A Guide to Multi-layered Web Security” ความยาว 44 หน้า บรรยายถึงรูปแบบภัยคุกคามบนเว็บแอพพลิเคชันที่พบบ่อยในปัจจุบัน วิธีการรับมือกับภัยคุกคามเหล่านั้น และวิธีการเลือกใช้โซลูชันอย่างเหมาะสม ผู้ที่สนใจสามารถดาวน์โหลด eBook ได้ฟรี

eBook ฉบับนี้ประกอบด้วยเนื้อหา 5 บท ได้แก่

  • บทที่ 1: รู้จักกับภัยคุกคามบนเว็บแอพพลิเคชันในปัจจุบัน ได้แก่ การโจมตีแบบ DDoS, การจารกรรมข้อมูล และการโจมตีผ่านโปรโตคอล DNS
  • บทที่ 2: เสริมความแข็งแกร่งแบบ Multi-layered เพื่อปกป้องเว็บแอพพลิเคชันให้มั่นคงปลอดภัย
  • บทที่ 3: เปรียบเทียบโซลูชันแบบ On-premises และ Cloud Services
  • บทที่ 4: วิธีการเลือกใช้โซลูชันอย่างเหมาะสมสำหรับรับมือกับภัยคุกคามแบบต่างๆ
  • บทที่ 5: ช่องโหว่บนเว็บแอพพลิเคชันที่พบบ่อย และวิธีจัดการกับช่องโหว่เหล่านั้น

ดาวน์โหลด eBook: A Guide to Multi-Layered Web Security

 

สำหรับผู้ที่คิดว่าเนื้อหายาวเกินไป อาจจะไม่มีเวลาอ่าน ทางทีมงานจาก บริษัท เวิลด์ อินฟอร์เมชั่น เทคโนโลยี จำกัด หรือ WIT ได้ทำการสรุปสาระสำคัญเป็นภาษาไทยแบบเข้าใจง่ายๆ ดังนี้

ภัยคุกคามบนเว็บแอพพลิเคชันในปัจจุบัน

เว็บไซต์และเว็บแอพพลิเคชันเรียกได้ว่าเป็นเครื่องมือสำคัญในยุค Digital ที่ผู้คนต่างเชื่อมต่อออนไลน์กันตลอดเวลา เว็บเปรียบเสมือนเป็นหน้าร้านบนโลกอินเทอร์เน็ตที่สื่อถึงตัวตนขององค์กร เมื่อเว็บถูกโจมตีหรือถูกแฮ็คอาจสร้างความเสียหายไปจนถึงระบบภายในและทำให้องค์กรเสียชื่อเสียงเป็นอย่างมาก เว็บจึงเป็นช่องทางยอดนิยมที่สุดที่แฮ็คเกอร์มักใช้โจมตีเป้าหมาย

ภัยคุกคามบนเว็บแอพพลิเคชันที่พบบ่อยในปัจจุบันแบ่งออกเป็น 4 ประเภทใหญ่ๆ ได้แก่

  • การโจมตีแบบ DoS/DDoS ระดับเน็ตเวิร์ก – มี 2 แบบหลักๆ คือ
    • Flooding: ส่ง TCP/ICMP/UDP Request จำนวนมหาศาลไปยังเป้าหมายเพื่อให้เกิดการความสามารถที่ระบบเครือข่ายจะรับได้
    • Amplification: ปั๊มขนาดทราฟฟิกโดยการส่ง Request ไปยัง DNS/NTP Server เพื่อให้สร้าง Response ขนาดใหญ่กว่าเดิมหลายสิบเท่าส่งกลับไปยังเป้าหมายเพื่อให้ Bandwidth เต็ม
  • การโจมตีแบบ DoS/DDoS ระดับแอพพลิเคชัน – ส่ง Request จำนวนมหาศาลที่ดูเหมือนเป็นทราฟฟิกปกติเพื่อให้เป้าหมายประมวลผลไม่ทัน จนไม่สามารถใ้หบริการผู้ใช้ปกติได้ เช่น การสร้างเซสชัน SSL พร้อมกันเป็นจำนวนมาก การโจมตีผ่าน Form เพื่อให้ฐานข้อมูลประมวลผลไม่ทัน เป็นต้น
  • การโจมตีเพื่อจารกรรมข้อมูล – ส่วนใหญ่เป็นการโจมตีแบบ Command Injection หรือก็คือการลอบส่งคำสั่ง เช่น SQL Statement เข้าไปผ่านเว็บแอพพลิเคชันที่มีช่องโหว่ เพื่อให้รันคำสั่งตามความต้องการของแฮ็คเกอร์ เช่น แสดงข้อมูล ลบข้อมูลทิ้ง หรือเข้าควบคุมระบบทั้งหมด เป็นต้น
  • การโจมตีผ่านโปรโตคอล DNS – คือการทำ Registrar Hijacking หรือ Redirection/Cache Poisoning เพื่อเปลี่ยนเส้นทางของผู้ใช้ให้เข้าถึงเว็บไซต์ของแฮ็คเกอร์แทน โดยที่ผู้ใช้นึกว่ากำลังเข้าถึงเว็บไซต์ที่แท้จริง จากนั้นดำเนินการโจมตีต่อ เช่น หลอกขโมยข้อมูล หรือหลอกให้ดาวน์โหลดมัลแวร์ เป็นต้น

เสริมความแข็งแกร่งแก่เว็บแอพพลิเคชันแบบ Multi-layered Security

การป้องกัน DDoS ระดับเน็ตเวิร์กและการโจมตีในระดับแอพพลิเคชันใช้เทคนิคที่แตกต่างกัน ผู้ดูแลระบบควรพิจารณาอย่างน้อย 2 โซลูชันในการปกป้องเว็บแอพพลิเคชันให้มั่นคงปลอดภัย ดังนี้

  • การป้องกัน DDoS ระดับเน็ตเวิร์ก – ผู้ดูแลระบบจำเป็นต้องมี Network Bandwidth เพียงพอในการรับมือกับปริมาณทราฟฟิกขนาดใหญ่ และต้อมีวิธีการกรองทราฟฟิกอันตรายทิ้งไป ให้เฉพาะทราฟฟิกปกติผ่านเข้ามายังเว็บแอพพลิเคชัน
  • การป้องกันแอพพลิเคชันจากการโจมตีแบบ DoS และการจารกรรมข้อมูล – สิ่งสำคัญที่สุดคือการพัฒนาแอพพลิเคชันตามแนวทาง Secure Software Development Lifecycle และการตรวจสอบทราฟฟิกจากผู้ใช้ ซึ่งอาจจำเป็นต้องอาศัย Web Application Firewall (WAF) ช่วยระหว่างรอการอัปเดตแพทช์ นอกจากนี้ WAF โดยส่วนใหญ่ยังช่วยป้องกันการโจมตีแบบ DoS ได้อีกด้วย

เปรียบเทียบโซลูชันแบบ On-premises และ Cloud Services

WAF และ DDoS Mitigation ในปัจจุบันสามารถเลือกติดตั้งได้ 2 แบบ คือ ติดตั้งแบบ On-premises ในห้อง Data Center และใช้งานผ่านระบบ Cloud ซึ่ง Akamai แนะนำว่า ในยุคปัจจุบันที่เทคนิคการโจมตีมีการพัฒนาให้รุนแรงและซับซ้อนยิ่งขึ้นเรื่อยๆ การติดตั้ง WAF/DDoS Mitigation แบบ On-premises ถึงแม้ว่าองค์กรจะได้เป็นเจ้าของอุปกรณ์และสามารถบริหารจัดการได้อย่างอิสระ แต่ก็ต้องลงทุนด้าน CapEx สูง รวมไปถึงการหาผู้เชี่ยวชาญมาใช้อุปกรณ์เพื่อรับมือกับภัยคุกคามก็ทำได้ยากและเสียค่าตอบแทนสูง นอกจากนี้ เป็นไปไม่ได้เลยที่อุปกรณ์ฮาร์ดแวร์เพียงเครื่องเดียวจะรับมือกับการโจมตีแบบ DDoS ที่มีความรุนแรงสูงได้

ในทางกลับกัน Cloud-based WAF/DDoS Mitigation เข้ามาตอบโจทย์การรับมือกับการโจมตีแบบ DDoS ได้เป็นอย่างดี โดยการกระจายภาระงานไปยังเครือข่าย CDN หรือ Scrubbing Center ที่มีอยู่ทั่วโลก เพื่อจัดการกรองทราฟฟิกอันตรายทิ้งไป เหลือไว้แต่ทราฟฟิกที่มาจากผู้ใช้ปกติส่งต่อไปยัง Data Center ที่สำคัญคือ Cloud Provider ส่วนใหญ่มีประสบการณ์รับมือกับภัยคุกคามบนเว็บแอพพลิเคชันและ DDoS จากลูกค้าหลากหลายประเภทมาอย่างยาวนาน ทำให้สามารถนำเสนอแนวทางปฏิบัติที่ดีที่สุด (Best Practices) ที่เหมาะสมกับองค์กรนั้นๆ ได้ รวมไปถึงมีทีมวิศวกรผู้เชี่ยวชาญคอยดูแลแบบ 7/24 ทำให้มั่นใจได้ว่าเว็บแอพพลิเคชันขององค์กรจะมั่นคงปลอดภัยและพร้อมให้บริการตลอดเวลา

วิธีการเลือกใช้โซลูชันอย่างเหมาะสมสำหรับรับมือกับภัยคุกคามแบบต่างๆ

การเลือกโซลูชันสำหรับป้องกัน DDoS ระดับเน็ตเวิร์ก และการโจมตีในระดับแอพพลิเคชันควรพิจารณาปัจจัยดังต่อไปนี้

การป้องกันการโจมตีแบบ DoS/DDoS ระดับเน็ตเวิร์ก

  • สามารถตรวจสอบและบล็อกทราฟฟิกที่วิ่งเข้ามาผ่านพอร์ตอื่นนอกจาก 80 (HTTP) และ 443 (HTTPS) เพื่อป้องกันการโจมตีแบบ DDoS ได้
  • สามารถขยาย Bandwidth เพื่อรับมือกับปริมาณทราฟฟิกอันมหาศาลที่เกิดจาก DDoS Botnets ได้
  • อัตราค่าบริการไม่ควรพิจารณาจากปริมาณทราฟฟิกขณะเกิด DDoS เนื่องจากผู้ใช้บริการอาจต้องเสียค่าบริการเป็นจำนวนมหาศาล
  • สามารถหยุดยั้งการโจมตีก่อนที่จะเข้าถึง Data Center ได้ เพื่อให้ Router หรือ Firewall ไม่ต้องรับภาระทราฟฟิก DDoS หรือประมวลผลทราฟฟิกอันตราย
  • เมื่อต้องประมวลผลทราฟฟิกปริมาณมหาศาล จะต้องไม่ส่งผลกระทบต่อประสิทธิภาพของระบบป้องกัน
  • พิจารณา Total Cost of Ownership (TCO) แทนที่เงินลุงทนของระบบป้องกัน

สำหรับการป้องกันการโจมตีระดับแอพพลิเคชันนั้น องค์กรควรพิจารณาการดำเนินการ 2 อย่าง คือ การพัฒนาแอพพลิเคชันตามแนวทาง Secure Software Development Lifecycle และติดตั้ง WAF ด้านหน้าเว็บแอพพลิเคชัน ซึ่งควรเลือกใช้โซลูชัน WAF โดยพิจารณาประเด็นดังต่อไปนี้

  • การตรวจสอบ Packet ควรมีความยืดหยุ่น สามารถตรวจจับและบล็อกภัยคุกคามได้ทั้งจาก Request และ Response
  • มีการเพิ่ม Rule สำหรับรับมือกับภัยคุกคามรูปแบบใหม่สม่ำเสมอ และสามารถปรับแต่ง Rule เพื่อทำ Virtual Patch ระหว่างรออัปเดตแพทช์ได้
  • รองรับการทำ Blacklisting, Whitelisting และ Geo-blocking
  • มีระบบตรวจสอบพฤติกรรมการเข้าถึงเว็บแอพพลิเคชันที่ผิดปกติ เช่น บล็อกผู้ใช้ที่ก่อให้เกิดความผิดพลาดแบบ 404 Page not found มากจนเกินไป
  • สามารถจำกัดสิทธิ์การเข้าถึง Web Server โดยตรงจากอินเทอร์เน็ต ให้เฉพาะผู้ดูแลระบบเท่านั้นที่สามารถเข้าถึงได้

ดาวน์โหลด eBook: A Guide to Multi-Layered Web Security

 

Akamai ร่วมกับ WIT พร้อมให้บริการโซลูชัน Web Security/DDoS Mitigation ในประเทศไทย

Akamai ได้จับมือเป็นพันธมิตรร่วมกับ บริษัท เวิลด์ อินฟอร์เมชั่น เทคโนโลยี จำกัด (WIT) ผู้มีประสบการณ์ในการติดตั้งและวางระบบ IT Infrastructure มานานกว่า 27 ปี และมีทีมวิศวกรที่มีความเชี่ยวชาญสูง ทำให้มั่นใจได้ว่า สามารถให้คำปรึกษาและบริการโซลูชัน Web Application Firewall และ DDoS Mitigation ของ Akamai แก่ผู้ใช้ในประเทศไทยได้อย่างมีประสิทธิภาพ และคืนผลกำไรได้อย่างรวดเร็ว

จนถึงวันนี้ Akamai ได้ให้บริการ CDN และโซลูชันบนระบบ Cloud แก่องค์กรที่มีชื่อเสียงทั่วโลกมากกว่า 1,000 ราย เช่น Standard Chartered, Cathay Pacific, KKBOX, Adobe และ IBM ซึ่งในไทยเอง ด้วยความสนับสนุนจาก WIT ก็ได้ให้บริการแก่บริษัทชั้นนำทั่วประเทศมากกว่า 10 แห่ง ผู้ที่สนใจสามารถสอบถามรายละเอียดเพิ่มเติมได้ที่อีเมล marketing@wit.co.th หรือโทร 02-237-3555

from:https://www.techtalkthai.com/ebook-guide-to-multi-layered-web-security/

มหาวิทยาลัย Carnegie Mellon จัดแข่งแฮ็คออนไลน์ picoCTF ผู้ที่สนใจเข้าร่วมได้ฟรี

มหาวิทยาลัย Carnegie Mellon หรือ CMU ประกาศจัดงาน picoCTF ซึ่งเป็นเกมการแข่งแฮ็คออนไลน์แบบ Capture the Flag โดยมุ่งเป้าเชิญชวนนักศึกษาระดับมัธยมปลายและมหาวิทยาลัยให้มาแสดงทักษะความสามารถ รวมไปถึงเป็นช่องทางให้บริษัทด้าน IT Security ดึงตัวผู้ที่มีพรสวรรค์ไปร่วมงาน

นักเรียน นักศึกษา และผู้ที่สนใจจากทั่วโลกสามารถเข้าร่วมเล่นเกม picoCTF ได้ฟรี โดยจะเปิดรับสมัครวันที่ 31 มีนาคมถึง 14 เมษายนนี้ สำหรับนักเรียนจากสหรัฐฯ ที่กำลังศึกษาอยู่ใน Grade 6 – 12 สามารถลงแข่งเพื่อลุ้นเงินรางวัลสูงสุดถึง $30,000 (ประมาณ 1,000,000 บาท) ผู้เข้าแข่งขันจะได้ร่วมสนุกกับการทำ Reverse Engineering การแฮ็ค การถอดรหัสข้อมูล รวมไปถึงใช้เทคนิคอื่นๆ เพื่อแก้ปัญหาให้สำเร็จ

CMU ระบุว่า เนื้อหาในการแข่งปีนี้จะเป็นการผจญภัยรูปแบบใหม่ ผู้เข้าร่วมจะอยู่ในสถานการณ์ที่เพื่อนของตนอยู่ๆ ก็หายตัวไปอย่างไร้ร่องรอย ผู้เข้าร่วมจะต้องเรียนรู้และใช้ทักษะด้าน Computer Security ในการเปิดเผยและถอดความหลักฐานๆ ต่างๆ เพื่อค้นหาความจริง เรียกได้ว่าเป็นเกมที่ผู้เข้าร่วมจะได้เพิ่มทักษะและสนุกไปกับมัน picoCTF ครั้งนี้เป็นการแข่งครั้งที่ 3 จนถึงตอนนี้มีผู้เข้าร่วมแล้วกว่า 30,000 คน

“ขณะนี้พวกเรากำลังเผชิญหน้ากับความขาดแคลนผู้เชี่ยวชาญทางด้าน Computer Security ต้นตอของปัญหานี้เกิดจากการที่คนส่วนใหญ่ไม่รู้ว่าสายงานด้าน Computer Security เป็นสิ่งที่ทุกคนเข้ามามีส่วนร่วมได้ การสร้างความตระหนักถือว่าเป็นเป้าหมายหลักของ picoCTF” — David Brumley ศาสตราจารย์ภาควิชาวิศวกรรมคอมพิวเตอร์และอิเล็กทรอนิกส์ และหัวหน้าโครงการ picoCTF และผู้อำนวยการศูนย์ CyLab จาก CMU อธิบาย

นอกจากนี้ CMU ยังเปิดให้ดาวน์โหลด picoCTF เวอร์ชัน Open Source สำหรับให้อาจารย์หรือผู้ที่สนใจสามารถนำไปจัดการแข่งของตัวเองได้ ดูรายละเอียดได้ที่ GitHub

ดูรายละเอียดและลงทะเบียนเข้าร่วมการแข่งได้ที่: https://picoctf.com

from:https://www.techtalkthai.com/cmu-arranges-picoctf-hacking-contest/

ผลวิเคราะห์ชี้เกือบ 97% ของใบรับรอง SSL ที่ออกโดย Let’s Encrypt ถูกใช้บนเว็บ Phishing

Vincent Lynch ผู้เชี่ยวชาญด้านการเข้ารหัสข้อมูลจาก The SSL Store ออกมาเผยผลวิเคราะห์ตัวอย่างเว็บไซต์ที่ใช้ใบรับรอง SSL ฟรีที่ออกโดย Let’s Encrypt รวม 1,000 โดเมน พบว่าประมาณ 96.7% เป็นเว็บไซต์ Phishing ที่แฮ็คเกอร์สร้างขึ้นมาหลอกผู้ใช้ โดยบางเว็บแม้จะมีคำว่า “PayPal” ก็สามารถจดทะเบียนขอใบรับรอง SSL ได้

การวิเคราะห์ของ Lynch ช่วยยืนยันสั่งที่นักวิจัยด้านความมั่นคงปลอดภัยกังวลเกี่ยวกับการให้บริการใบรับรอง SSL ฟรี เนื่องจากแฮ็คเกอร์เจ้าของเว็บ Phishing นักต้มตุ๋นบนอินเทอร์เน็ต และนักพัฒนามัลแวร์สามารถเนียนขอจดทะเบียนใบรับรอง SSL และเปลี่ยนเว็บของตัวเองให้เป็น HTTPS เพื่อเพิ่มความน่าเชื่อถือ ทั้งที่จริงการจดทะเบียนแบบบ Domain Validated (DV) นั้นทำได้ง่ายมาก และไม่มีสิ่งยืนยันว่าเป็นเว็บไซต์เป็นเว็บของผู้ให้บริการจริงหรือเป็นเว็บ Phishing

ครั้งแรกที่ใบรับรองของ Let’s Encrypt ถูกใช้ในแคมเปญ Malvertising ค้นพบโดย Trend Micro เมื่อเดือนมกราคมปี 2016 ที่ผ่านมา หลังจากนั้น ก็พบเคสอื่นๆ แฮ็คเกอร์ใช้ Let’s Encrypt เป็นเครื่องมือในการหลอกลวงผู้ใช้มากมาย ล่าสุด Lynch พบว่าตั้งแต่ต้นเดือนมีนาคมที่ผ่านมา ใบรับรอง SSL รวม 988 ฉบับของ Let’s Encrypt มีคำว่า “PayPal” ประกอบอยู่ แต่มีเพียง 4 ฉบับเท่านั้นที่ถูกใช้เพื่อให้บริการอย่างถูกต้องตามกฎหมาย

แผนภาพด้านล่างแสดงจำนวนโดเมนที่มีคำว่า PayPal ประกอบอยู่ ตั้งแต่เดือนมีนาคม 2016 จนถึงเดือนกุมภาพันธ์ 2017 จะเห็นว่าตั้งแต่ประมาณเดือนพฤศจิกายนเป็นต้นมา เว็บไซต์ Phishing ที่ใช้ธีม PayPal เริ่มปรากฏให้เห็นเป็นจำนวนมาก และบางชื่อโดเมนก็เห็นได้ชัดเลยว่าถูกสร้างขึ้นเพื่อหลอกผู้ใช้

ก่อนหน้านี้ MaYaSeVeN นักวิจัยด้านความมั่นคงปลอดภัยชื่อดังของไทย ก็เคยออกมาโพสต์ใน Blog แจ้งเตือนเกี่ยวกับการดูเว็บ Phishng ว่า “ถ้าเราอยากจะทำเว็บให้เป็น HTTPS ด้วย SSL Certificate แบบ DV นั้นง่ายมากไม่ถึง 5 นาทีก็เสร็จ เพราะ CA จะยืนยันแค่ว่าเราเป็นเจ้าของ domain จริงหรือเปล่าเท่านั้น เป็นสาเหตุให้พวกโจรไปจดชื่อ domain คล้ายๆเช่น paypal-accountinfo.com แล้วมาใช้ SSL Certificate DV ได้ ทำให้ SSL Certificate แบบนี้ความน่าเชื่อถือต่ำสุดและไม่มีชื่อองค์กรบน address bar”

จนถึงต้นเดือนมีนาคมนี้ Let’s Encrypt ออกใบรับรอง SSL ให้ที่มีคำว่า “PayPal” ประกอบอยู่รวมแล้ว 15,270 ฉบับ คาดว่ามากกว่า 14,000 เว็บไซต์เป็นเว็บ Phishing แต่ข่าวดีคือ เว็บไซต์เหล่านี้เฉลี่ยแล้วจะอยู่ได้เพียง 2 วันเท่านั้น ก่อนที่จะโดนเว็บเบราเซอร์ Blacklist ว่าเป็นเว็บอันตราย หรือถูกปิดโดยบริษัทที่ให้บริการโฮสติ้ง (อ้างอิงจาก CYREN)

ดังนั้นแนะนำให้ผู้ใช้อย่าคิดว่า ขอเพียงแค่เห็นสัญลักษณ์รูปแม่กุญแจสีเขียวบน Address Bar และเว็บไซต์เป็น HTTPS จะปลอดภัย ควรพิจารณาชื่อ URL และพฤติกรรมของเว็บไซต์นั้นๆ ว่าจะต้องไม่มีการหลอกถามข้อมูลเกินความจำเป็น ดูวิธีตรวจสอบเว็บ Phishing ได้ที่ “วิธีดูเว็บจริงเว็บปลอมใน 5 วินาทีและประเภทของ SSL Certificates”

ดูผลวิเคราะห์ฉบับเต็ม: https://www.thesslstore.com/blog/lets-encrypt-phishing/

ที่มาและเครดิตรูปภาพ: https://www.bleepingcomputer.com/news/security/14-766-lets-encrypt-ssl-certificates-issued-to-paypal-phishing-sites/

from:https://www.techtalkthai.com/97-percent-of-lets-encrypt-ssl-certificate-used-for-phishing-sites/

เตือนช่องโหว่บน Moodle ระบบ e-Learning ยอดนิยม พบสาเหตุมาจาก “ตรรกะ”​ ผิดพลาด

Netanel Rubin นักวิจัยด้านความมั่นคงปลอดภัยออกมาเปิดเผยถึงช่องโหว่บน Moodle ระบบ CMS สำหรับบริหารจัดการ e-Learning ยอดนิยม ซึ่งช่วยให้แฮ็คเกอร์สามารถเข้าควบคุมเว็บไซต์โดยมีสิทธิ์เป็น Admin รวมไปถึงลอบส่งโค้ด PHP เข้ามารันบน Web Server ได้ แนะนำให้สถานศึกษารีบอัปเดตแพทช์โดยทันที

Moodle เป็นแพลตฟอร์ม Open-source สำหรับให้บริการเว็บไซต์แบบ e-Learning ที่นักศึกษาและคณาจารย์สามารถเชื่อมต่อหากันได้ ส่งผลให้เป็นแพลตฟอร์มที่มหาวิทยาลัย โรงเรียน และสถานศึกษาจากทั่วโลกนิยมใช้ ปัจจุบันนี้มีเว็บไซต์ E-Learning ที่เบื้องหลังเป็น Moodle รวมแล้วมากกว่า 78,000 เว็บจาก 234 ประเทศทั่วโลก และมีผู้ใช้มากกว่า 100 ล้านคน

สัปดาห์ที่ผ่านมา Moodle ได้ออกแพทช์ใหม่สำหรับแพลตฟอร์มหลายเวอร์ชัน ได้แก่ 3.2.2, 3.1.5, 3.0.9 และ 2.7.19 โดยระบุใน Release Note ว่า ได้ทำการแก้ไขปัญหาด้านความมั่นคงปลอดภัยหลายรายการ แต่ไม่ได้ระบุรายละเอียดแต่อย่างใด ส่งผลให้ Rubin ทำการตรวจสอบแพทช์ดังกล่าว และค้นพบช่องโหว่หลายรายการ ถึงแม้ว่าช่องโหว่เหล่านั้นจะไม่ได้มีความรุนแรงมากนัก แต่เมื่อนำมารวมกับกลับช่วยให้แฮ็คเกอร์สามารถสร้างบัญชีระดับ Admin แบบลับๆ และลอบส่งโค้ด PHP เข้ามารันบน Web Server ได้

Rubin ระบุใน Blog ของเขาว่า ช่องโหว่ที่ค้นพบส่วนใหญ่เกิดจากสมมติฐานที่ผิดพลาดของนักพัฒนา ไม่ว่าจะเป็นตรรกะที่มีช่องโหว่, Object Injection, Double SQL Injection และ Dashboard บริหารจัดการที่มีสิทธิ์มากเกินไป ซึ่งตรรกะที่ผิดพลาดนี้เกิดจากการเขียนฟังก์ชันใหม่โดยไม่สนใจการตัดสินใจของฟังก์ชันเดิมที่นักพัฒนาคนอื่นได้ทำไว้ ส่งผลให้ Moodle มีโค้ดมากเกินไป นักพัฒนาที่มากเกินความต้องการ แต่กลับขาดการจัดทำเอกสาร

อย่างไรก็ตาม ถือว่ายังพอโชคดีที่การเจาะช่องโหว่แฮ็คเกอร์จำเป็นต้องมีบัญชีและพิสูจน์ตัวตนเข้าไปก่อน แต่อย่าลืมว่า Moodle เป็นเว็บสำหรับคณาจารย์และนักศึกษาที่มีผู้ใช้ลงทะเบียนเป็นจำนวนมาก การปลอมเป็นนักศึกษาหรือขโมยบัญชีไม่ใช่เรื่องยากเกินความสามารถของแฮ็คเกอร์แต่อย่างใด วิธีการที่ดีที่สุดคือการอัปเดตแพทช์ล่าสุดเพื่ออุดช่องโหว่

อ่านรายละเอียดช่องโหว่เชิงเทคนิค: http://netanelrub.in/2017/03/20/moodle-remote-code-execution/

ที่มา: http://www.csoonline.com/article/3183533/security/flaws-in-moodle-cms-put-thousands-of-e-learning-websites-at-risk.html

from:https://www.techtalkthai.com/moodle-login-flaw/

สรุปผลสำรวจความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ในเขตภูมิภาคเอเชียตะวันออกเฉียงใต้โดย Intel Security

Intel Security ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยชื่อดังออกมาเปิดเผยถึงผลสำรวจความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ (Cyber Awareness Study) ในภูมิภาคเอเชียตะวันออกเฉียงใต้ พบคนไทย 1 ใน 3 รู้สึกว่าการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์มีความซับซ้อนมากขึ้นเรื่อยๆ

Credit: ShutterStock.com

Intel Security ได้ทำการศึกษาเรื่องความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ขององค์กรขนาดใหญ่ที่อยู่ในเขตภูมิภาคเอเชียตะวันออกเฉียงใต้ ได้แก่ สิงคโปร์ มาเลเซีย ไทย อินโดนีเซีย เวียดนาม และฟิลิปปินส์ โดยสอบถามความคิดเห็นจากผู้เชี่ยวชาญทางด้าน IT มากกว่า 2,000 คน เกี่ยวกับประเด็นเรื่องการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์ มุมมองของพวกเขาที่มีต่อเจ้าของผลิตภัณฑ์ และการเตรียมความพร้อมในการรับมือกับภัยคุกคามไซเบอร์ ซึ่งได้ข้อสรุป ดังนี้

  • ความซับซ้อนของการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์: 1 ใน 3 ของผู้รับการสำรวจจากประเทศไทย และเกือบครึ่งหนึ่งจากสิงคโปร์รู้สึกว่าการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์มีความซับซ้อนขึ้นเรื่อยๆ ในขณะที่ฟิลิปปินส์ ประเทศที่เรียกได้ว่ามีความพร้อมด้านไซเบอร์น้อยที่สุดในเอเชียตะวันออกเฉียงใต้ [1] ก็มีคนเห็นด้วยกับความคิดดังกล่าวสูงถึง 44% ส่วนมาเลเซีย อินโดนีเซีย และเวียดนามคิดว่าการบริหารจัดการความมั่นคงปลอดภัยไซเบอร์มีความซับซ้อนน้อยลง 31%, 34% และ 41% ตามลำดับ
  • ความพร้อมขององค์กรในการรับมือกับภัยคุกคามไซเบอร์: 32% และ 37% ของผู้รับการสำรวจจากมาเลเซียและเวียดนามเชื่อว่าองค์กรที่พวกเขาสังกัดอยู่มีการเตรียมความพร้อมในการต่อสู้กับภัยคุกคามไซเบอร์ลดลงจากเมื่อ 12 เดือนก่อน
  • การทำงานร่วมกับเจ้าของผลิตภัณฑ์ด้านความมั่นคงปลอดภัยไซเบอร์: การประสานงานกับเจ้าของผลิตภัณฑ์เป็นกุญแจสำคัญในการรับมือกับภัยคุกคามไซเบอร์ที่นับวันจะทวีความรุนแรงยิ่งขึ้น ซึ่ง 46% ของผู้ตอบแบบสอบถามระบุว่า องค์กรที่พวกเขาสังกัดอยู่ต้องการทำงานร่วมกับเจ้าของผลิตภัณฑ์ด้านความมั่นคงปลอดภัยหลายรายมากขึ้น

ถึงแม้ว่าการประสานงานกับทางเจ้าของผลิตภัณฑ์จะมีความสำคัญ Intel Security ได้ให้คำแนะนำเพิ่มเติมว่า แต่ละองค์กรควรหันไปใช้วิธีการรับมือกับภัยคุกคามไซเบอร์ที่ผสานรวมหลายเทคโนโลยีแบบบูรณาการ รวมไปถึงให้ให้ความรู้และสร้างความตระหนักด้านความมั่นคงปลอดภัยแก่พนักงานในองค์กร

“นวัตกรรมอันทรงพลัง อย่าง Machine Learning และ Artificial intelligence สามารถเอามาใช้สู้กับอาชญากรไซเบอร์ ที่นับวันจะยิ่งค้นค้นเทคนิคใหม่ๆ ออกมาเรื่อยๆ ได้” — David Allott ผู้อำนวยการด้านการป้องกันไซเบอร์ ภูมิภาคเอเชียแปซิค จาก Intel Security กล่าว “องค์กรจำเป็นต้องระบุส่วนหลักของธุรกิจที่ต้องการให้มีความมั่นคงปลอดภัย และทำงานร่วมกับผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ในการค้นหาโซลูชันแบบบูรณาการที่ตรงกับความต้องการของตัวองค์กรเอง”

[1] ASPI Report: Cyber Maturity in the Asia Pacific 2016 (กันยายน 2016)

from:https://www.techtalkthai.com/cyber-awareness-study-asean-2017/

พบช่องโหว่ Zero-day บน Apache เสี่ยงถูกโจมตีแบบ Remote Code Execution

สัปดาห์ที่ผ่านมา Talos ทีมนักวิจัยด้าน Threat Intelligence ของ Cisco ออกมาเปิดเผยถึงช่องโหว่ Zero-day บน Apache Struts2 ซึ่งช่วยให้แฮ็คเกอร์สามารถโจมตีแบบ Remote Code Execution (RCE) ผ่านทางพารามิเตอร์ Content-Type ได้ ล่าสุดนักวิจัยจาก HPE ขยายผลช่องโหว่ พบว่าสามารถโจมตีผ่านพารามิเตอร์อื่นได้ด้วยเช่นกัน

ช่องโหว่ดังกล่าวมีรหัส CVE-2017-5638 เป็นช่องโหว่บน Jakarta Multipart Parser Library ใน Apache Struts2 เวอร์ชัน 2.3.x (2.3.5 – 2.3.31) และ 2.5.x (ก่อน 2.5.10.1) ซึ่งช่วยให้แฮ็คเกอร์สามารถลอบส่งคำสั่งหลากหลายประเภทให้เข้ามารันผ่านทางพารามิเตอร์ Content-Type ได้ ตั้งแต่คำสั่ง “whoami” ไปจนถึงชุดคำสั่งสำหรับดาวน์โหลด ELF Executable มารันบน Web Server

ล่าสุด I-SECURE ผู้ให้บริการ Managed Security Services ชื่อดัง ออกมาโพสต์อัปเดตช่องโหว่ดังกล่าวว่า @Alvaro_munoz นักวิจัยจาก HPE ได้ทำการค้นคว้าช่องโหว่เพิ่มเติม พบว่า Apache Struts2 ไม่ได้มีช่องโหว่ที่พารามิเตอร์ Content-Type เพียงอย่างเดียว แต่ยังพบในส่วนของพารามิเตอร์ Content-Disposition ซึ่งเป็นส่วน Upload Body Data อีกด้วย โดยเงื่อนไขการเกิดช่องโหว่ คือ

  • มีการใช้งาน JakartaStreamMultipartRequest Library ซึ่งไม่ใช่ Default Library ที่จะนำมาใช้งาน (<constant name=”struts.multipart.parser” value=”jakarta-stream” />)
  • ขนาดของ Content-Length มากกว่าค่าสูงสุดที่ Apache Struts2 กำหนดในการอัปโหลด (Default คือ 2 GB)
  • ชื่อไฟล์มีลักษณะเป็น OGNL (ภาษาสำหรับการดึงค่าหรือการกำหนดของ Java Setting )

หากครบทุกเงื่อนไขตามที่กำหนดก็จะทำให้แฮ็คเกอร์สามารถโจมตีแบบ Remote Code Execution ได้ทันที

“ตอนนี้ช่องโหว่บน Apache Struts2 มีโค้ด POC ออกมาให้ทดสอบเรียบร้อย แนะนำให้ผู้ใช้ Jakarta Multipart Parser อัปเกรด Apache Struts2 ไปเป็นเวอร์ชัน 2.3.32 หรือ 2.5.10.1 โดยเร็ว” — I-SECURE ระบุ

อย่างไรก็ตาม สำหรับองค์กรที่ไม่สามารถอัปเดตแพทช์ได้ทันที สามารถติดต่อทีมงาน I-SECURE หรือ UIH เพื่อเรียกใช้บริการ Managed WAF สำหรับทำ Policy Tuning และ Virtual Patching บน Imperva Web Application Firewall เพื่ออุดช่องโหว่ดังกล่าวได้ทันที

รายละเอียดเพิ่มเติม: http://blog.talosintelligence.com/2017/03/apache-0-day-exploited.html และ
https://community.hpe.com/t5/Security-Research/Struts2-046-A-new-vector/ba-p/6949723#.WNDOFxKGNgf

from:https://www.techtalkthai.com/apache-zero-day-leads-to-remote-code-execution/