ผู้เขียน: ข่าวไอที นวัตกรรมใหม่ๆ

Heartbleed Bug คืออะไร? Heartbleed Bug เป็นช่องโหว่ความเสี่ยงสูงที่มีอยู่ใน OpenSSLLibrary ซึ่งเว็บไซต์นับ ล้านทั่วโลกใช้งาน Library นี้อยู่โดยที่ OpenSSL Library นี้จะถูกเรียกใช้งานโดย Application ที่ต้องการเข้ารหัสการรับส่งข้อมูลโดยใช้SSL/TLS (เช่น HTTPS, VPN, EMAIL) ผลกระทบที่เกิดจาก Heartbleed Bug คือการที่ผู้โจมตีสามารถเข้าถึงข้อมูลที่ อยู่ในหน่วยความจำหลัก (หรือ RAM นั่นเอง)ได้จากระยะไกล ซึ่งเป็นที่ทราบกันดีอยู่ แล้วว่าข้อมูลในระหว่างการรับ-ส่ง นั้นจะถูกเข้ารหัสโดย SSL/TLS แต่เมื่อข้อมูลถูกส่ง มาถึงผู้รับและเข้าไปอยู่ใน RAM นั้นจะเป็นplaintext หรือพูดง่าย ๆ ว่า ไม่ได้ถูก เข้ารหัสแล้วนั่นเอง เป็นเหตุให้ข้อมูลความลับไม่ว่าจะเป็น key ที่ใช้ถอดรหัสข้อมูล รวมถึงข้อมูลอื่น ๆ เช่น username/passwordถูกเข้าถึงได้โดย Hacker (ขอแถมอีกนิด ว่าการที่ช่องโหว่นี้ได้ชื่อว่า Heartbleedเนื่องจากตัว Extension ตัวหนึ่งใน OpenSSL Library ชื่อว่า “Heartbeat” เป็นตัวการให้เกิดการรั่วไหลของข้อมูล) Heartbleed Bug ได้ข้อมูลหมดทุกอย่างใน RAM เลยหรือ? คำตอบคือ ไม่ จะได้ข้อมูลเฉพาะของ Applicationที่ใช้งาน OpenSSL Library นั้น ๆ เช่น สมมติว่า มีเครื่อง server 1เครื่อง ให้บริการ HTTPS Web, VPN, Email แล้วทั้ง 3 บริการนี้มีช่องโหว่ Heartbleed Bug เหมือนกันหมดการโจมทีไปที่ VPN จะไม่ได้ ข้อมูลใน RAM ของWeb และ Email ได้เฉพาะVPN เองเท่านั้น (หากสงสัยว่าทำไม ต้องตอบว่านี่คือการทำงานปกติของระบบคอมพิวเตอร์โปรแกรมต่าง ๆ ที่ทำงานอยู่ใน RAM จะรู้สึกเหมือนกับว่าตัวมันเองใช้งาน RAMอยู่เพียงผู้เดียว ทั้ง ๆ ที่จริงแล้วมี โปรแกรมนับร้อยทำงานอยู่) รูปที่ 1: ตัวอย่างการรั่วไหลของข้อมูลจากRAM จากช่องโหว่ Heartbleed รูปที่ 2: ตัวอย่างข้อมูลสำคัญที่ได้ ช่องโหว่นี้เกิดกับ OpenSSL version ใดบ้าง? OpenSSL version 1.0.1a – 1.0.1f OpenSSL version 1.0.1:beta1 – 1.0.1:beta3 OpenSSL version 1.0.2-beta1 วิธีการตรวจสอบว่าโดเมนของท่านจะโดนโจมตีได้หรือไม่? สามารถใช้บริการได้ที่ http://www.tisa.or.th/heartbleed โดยระบุโดเมนที่ต้องการตรวจสอบในช่องใส่โดเมนจากนั้นคลิกที่ปุ่มGO ผู้ดูแลระบบจะรับมือช่องโหว่ได้อย่างไร? 1. ทำการปิดช่องโหว่ ซึ่งทำได้โดย 1.1 ทำการอัพเดท software OpenSSL และตรวจสอบหมายเลขversion ให้ แน่ชัด ว่า version ของsoftware ได้รับการอัพเดทแล้ว 1.2 หากต้องการใช้ version เดิมให้ทำการ recompile OpenSSL Library ใหม่ แล้วจึงนำมาใช้งาน (ข้อมูลเพิ่มเติมได้ที่heartbleed.com) เนื่องจาก OpenSSL เป็น Open Source Software 1.3 ผู้ดูแลระบบสามารถดูรายชื่อ product ที่ได้รับผลกระทบจากช่องโหว่และ อาจอยู่ในความดูแลของท่านได้ที่ http://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Referenc e=720951&SearchOrder=4 2. หากตรวจสอบแล้วพบว่ามีช่องโหว่จริง ควรประกาศให้ผู้ใช้งานได้รับทราบเพราะเรา ไม่สามารถรู้ได้ว่าก่อนหน้าที่เราจะรู้ตัวเราถูกโจมตีหรือไม่(เป็นอีกหนึ่งความพิเศษของ ช่องโหว่นี้) และเสียหายไปเท่าไรเพื่อให้ผู้ใช้งานได้รับมือกับการรั่วไหลของข้อมูลได้อย่าง ทันท่วงที 3. สร้าง X.509 Certificates ใหม่เพราะเป็นไปได้ว่าถ้าหากถูกโจมตี ข้อมูลของ Certificates อาจรั่วไหลไปได้เช่นกัน ถ้าหากยังใช้ Certificateเดิมที่ข้อมูลรั่วไหลไป แล้ว ต่อให้เราปิดช่องโหว่ที่ OpenSSL แต่ข้อมูลในCertificate เดิมก็สามารถนำมาใช้ ถอดรหัสข้อมูลใหม่ ๆ ได้ ผู้ใช้งานหากได้รับประกาศช่องโหว่จากผู้ให้บริการควรทำอย่างไร? รีบเปลี่ยนรหัสผ่านและข้อมูลสำคัญที่ใช้ยืนยันตัวตนกับผู้ให้บริการทันทีเพราะเราไม่ สามารถแน่ใจได้ว่าข้อมูลของเราเองอยู่ใน RAMขณะที่เกิดการโจมตีหรือไม่ หากการ โจมตีเคยเกิดขึ้นจริง หน่วยงานในประเทศไทยที่สามารถขอความช่วยเหลือได้ ThaiCERT Email : report@thaicert.or.th Hotline: 1212 Reference: http://heartbleed.com ด้วยความปรารถนา ดีจาก สมาคมผู้ดูแลเว็บไทยสมาคมผู้ประกอบการพาณิชย์ อิเล็กทรอนิกส์ไทยสมาคมความมั่นคงปลอดภัยระบบสารสนเทศ (TISA) และACIS Professional Center โดย ACIS Cyber LAB

ขอขอบคุณแหล่งที่มา : “รู้จักกับ Heartbleed Bug ก่อนที่เลือดจะไหลหมดหัวใจ”

 ผู้สื่อข่าวรายงานว่า  แถลงการณ์ร่วมดังกล่าว ระบุว่า  จากเหตุการณ์ช่องโหว่ OpenSSLHeartbleed ที่ถูกเผยแพร่ตามสื่อต่างๆ ตั้งแต่วันที่ 10 เมษายน2557 ที่ผ่านมา และมีการแจ้งเตือนให้ผู้ใช้เว็บต่างๆ เช่น Facebook,Instagram,Gmail ทำการเปลี่ยนรหัสผ่านของตนเองทางสมาคมผู้ดูแลเว็บไทย สมาคมผู้ประกอบการพาณิชย์อิเล็กทรอนิกส์ไทยสมาคมความมั่นคงปลอดภัยระบบสารสนเทศ และ ACIS Professional Center โดยACIS Cyber LAB มีความเป็นห่วงต่อปัญหานี้จึงขอเรียกร้องให้ผู้ดูแลเว็บและผู้ดูแลระบบที่มีการใช้งาน SSL ภายในเว็บไซต์ของตนเองเช่น เว็บธนาคารอิเล็กทรอนิกส์ เว็บขายสินค้าออนไลน์ได้ทำการตรวจสอบแก้ไขปัญหาโดยเร็ว ทั้งนี้ ทั้ง 4 องค์กรได้แนบบทความ”ปัญหาของ OpenSSL และแนวทางแก้ไข – รู้จักกับ Heartbleed Bug ก่อนที่เลือดจะไหลหมดหัวใจ”เพื่อเป็นแนวทางสำหรับผู้ดูแลเว็บและผู้ดูแล ระบบใช้สำหรับตรวจสอบเว็บไซต์ของตนเองมาพร้อมกับแถลงการณ์ฉบับนี้แล้ว ด้วยความปรารถนาดี สมาคมผู้ดูแลเว็บไทย   สมาคมผู้ประกอบการพาณิชย์อิเล็กทรอนิกส์ไทย  สมาคมความมั่นคงปลอดภัยระบบสารสนเทศ (TISA) และACIS Professional Center โดยACIS Cyber LAB

ขอขอบคุณแหล่งที่มา : แถลงการณ์ร่วม 4 องค์กรให้ผู้ดูแลเว็บและผู้ดูแลระบบตรวจสอบปัญหา Heartbleed

วันนี้(11เม.ย.) ผู้สื่อข่าวรายงานว่า หลังจากที่เกมไลน์ คุกกี้รัน ได้รับความนิยมอย่างมากจากคนไทยโดยมียอดดาวน์โหลดแล้วกว่า 10 ล้านครั้งในประเทศไทยและขึ้นเป็นแอพพลิเคชั่นเกมยอดฮิตอันดับ 1 ในแอพ สโตร์ และกูเกิลเพลย์สโตร์ติดต่อกันเป็นเวลานาน ซึ่งจากความนิยมเล่นเกมนี้ของคนจำนวนมากส่งผลให้เกิดการส่งต่อข้อความชวนเล่นเกมนี้จากเพื่อนๆในไลน์จนทำให้ผู้ใช้ไลน์จำนวนมากเกิดความรำคาญกับข้อความเชิญชวนเหล่านี้ที่ส่งมาจากเพื่อนๆซึ่งไม่ใช้ข้อความที่แชทใช้สนทนาคุยกับแบบปกติอย่างไรก็ตามสำหรับผู้ที่รำคาญกับข้อความต่างๆเหล่านี้นั้นสามารถที่จะบล็อกข้อความเหล่านี้ได้ด้วยตนเองเพื่อตัดปัญหาการแจ้งเตือนข้อความเชิญชวนของเกมโดยที่ไม่ได้เป็นการบล็อคไลน์ของเพื่อนๆในไลน์ยังสามารถส่งข้อความแชทได้ตามปกติโดยมีวิธีการ คือ ดาวน์โหลดเกมคุกกี้ รัน จาก แอพ สโตร์ หรือกูเกิลเพลย์ สโตร์ ลงเครื่องก่อนสำหรับคนที่ยังไม่มีเกมนี้ในเครื่อง จากนั้นให้เปิดแอพพลิเคชั่นไลน์ขึ้นมาเข้าไปที่ settings แล้วเลือก Notifications จากนั้นให้คลิกที่ AdditonalServices ซึ่งใน Authorized Apps จะมีเกมของไลน์ที่ดาวน์โหลดไว้ในเครื่องให้เลือกที่เกมคุกกี้ รัน จากนั้นให้ปิดการแจ้งเตือนที่ Receive Messages และ Receive Notifications ทั้งสองอัน แค่นี้ก็จะไม่มีข้อความจากคุกกี้รัน มากวนใจอีกต่อไปสำหรับเกมอื่นๆของไลน์ก็สามารถใช้วิธีแบบเดียวกันนี้เช่นกันเพียงแต่เลือกเกมที่ต้องการปิดการแจ้งเตือนเท่านั้นทั้งนี้การที่ต้องดาวน์โหลดเกมลงเครื่องก่อนเพราะแอพพลิเคชั่นไลน์จะไม่รู้ว่าข้อความที่ส่งมาจากเพื่อนๆเป็นของเกมคุกกี้รัน จึงไม่สามารถปิดการแจ้งเตือนหรือบล็อกได้ ซึ่งคนที่ไม่ได้ลงเกมนี้ไว้เวลาเข้าไปเพื่อปิดการแจ้งเตือนจะไม่เห็นเมนูดังกล่าว จนกว่าจะมีการลงเกมในเครื่อง จึงจะเห็นเมนูแล้วจึงจะสามารถเข้าไปตั้งค่าบล็อกข้อความจากเกมในแอพพลิเคชั่นไลน์ได้.

ขอขอบคุณแหล่งที่มา : แนะวิธีปิดการแจ้งเตือนและข้อความเชิญชวนเกม“ไลน์ คุกกี้ รัน”