นักวิจัยสามารถเรียกคืนทราฟฟิค HTTP ในการเชื่อมต่อ VPN ได้ด้วยการโจมตีแบบ ‘VORACLE’

ในงาน DEF CON ที่ ลาส เวกัส นักวิจัยด้านความมั่นคงปลอดภัยที่ชื่อ Ahamed Nafeez ได้นำเสนอวิธีการโจมตีที่สามารถเรียกคืนทราฟฟิค HTTP ที่ถูกเข้ารหัสภายใต้การเชื่อมต่อ VPN ได้ โดยให้ชื่อวิธีการโจมตีครั้งนี้ว่า VORACLE

credit : bleepingcomputer

แนวทางของ VORACLE ไม่ใช่วิธีการใหม่นักเพราะเกิดจากการเปลี่ยนเป้าหมายการโจมตีทางการเข้ารหัสแบบเก่า เช่นวิธี CRIME , TIME และ BREACH โดยวิธีการเหล่านี้เกิดกับการบีบอัดข้อมูลก่อนเข้ารหัสการเชื่อมต่อด้วย TLS และได้ถูกแก้ไขไปแล้วช่วงปี 2012-2013 แต่ในกรณีของ VORACLE นักวิจัยได้ชี้ให้เห็นว่ายังสามารถประยุกต์ใช้วิธีการคล้ายกันกับทราฟฟิค HTTP ที่ถูกบีบอัดและเข้ารหัสในการใช้งาน VPN

อย่างไรก็ตาม Nafeez ได้กล่าวว่าวิธีการของตนนั้นสามารถใช้ได้กับ VPN Service หรือ Client ที่สร้างบนโปรโตคอล OpenVPN เท่านั้นเพราะโดยพื้นฐานแล้วจะถูกตั้งค่าให้บีบอัดข้อมูลก่อนเข้ารหัสผ่าน TLS ซึ่งตรงกับเงื่อนไขในการโจมตีแบบเก่าข้างต้น นักวิจัยกล่าวถึงวิธีการโจมตีว่าคนร้ายล่อเหยื่อไปใช้งาน HTTP ไซต์ที่ตนเข้าควบคุมแล้วหรือสามารถลอบรันโค้ดอันตรายได้เสียก่อน (ผ่านทางโฆษณาแฝงอันตราย เป็นต้น) จากนั้นคนร้ายจึงจะสามารถขโมยและถอดรหัสข้อมูลความลับ เช่น Session Cookie ได้เพื่อใช้ล็อกอินเว็บไซต์ในฐานะของเหยื่อ

วิธีป้องกันการโจมตีแบบ VORACLE

• ใช้งาน VPN Service หรือ Client ที่สามารถเปลี่ยนไปใช้งานโปรโตคอลที่ไม่ใช่ OpenVPN ได้
• อย่าเข้าเว็บไซต์ที่ไม่ใช้ HTTPS
• ใช้ Chrome หรือ Browser อื่นที่มีกลไกการทำ HTTP Request เป็นหลายส่วน แต่ Firefox ยังได้รับผลกระทบเพราะมีการส่ง HTTP Request เป็นแพ็กเกจใหญ่ทีเดียว

เมื่อนักวิจัยแจ้งไปยัง OpenVPN แล้วแต่ไม่ได้รับการแก้ไขเพียงแต่มีการแสดงแจ้งเตือนอย่างชัดเจนในเอกสารถึงการบีบอัดข้อมูลก่อนการเข้ารหัสเท่านั้น อาจเพราะกลไกการบีบอัดข้อมูลช่วยในเรื่องของประสิทธิภาพการส่งข้อมูลนั่นเอง อย่างไรก็ดีจากการศึกษาของนักวิจัยบริการ VPN อย่าง Tunnel Bear ได้ลบการรองรับการบีบอัดข้อมูลจากเซิร์ฟเวอร์ OpenVPN ของตนแล้ว ผู้สนใจสามารถดูโค้ด PoC ได้บน GitHub

ที่มา : https://www.bleepingcomputer.com/news/security/voracle-attack-can-recover-http-data-from-vpn-connections/

from:https://www.techtalkthai.com/researcher-recover-http-traffic-over-vpn-via-voracle-attack/

ร้านออนไลน์ Adidas ถูกแฮก

Adidas เตือนลูกค้าชาวอเมริกันระวังภัยถูกขโมยข้อมูลส่วนตัว ทั้งที่อยู่เบอร์โทรศัพท์สำหรับติดต่อ ชื่อผู้ใช้ และรหัสผ่านสำหรับเว็บไซต์ Adidas โดยบริษัทยอมรับว่าถูกแฮกเกอร์เจาะระบบและเพิ่งรู้ตัวเมื่อสัปดาห์ที่ผ่านมา

Adidas ประกาศว่าระบบของบริษัทกำลังได้รับความเสียหายจากการถูกเจาะระบบจนอาจทำให้ข้อมูลลูกค้าหลายล้านรายถูกเปิดเผย โดย Adidas รับทราบถึงปัญหานี้เมื่อวันอังคารที่ผ่านมา และออกแถลงการณ์สู่สาธารณชนในวันพฤหัสบดีสัปดาห์เดียวกัน

รายงานระบุว่ามีกลุ่มคนที่อ้างว่าสามารถเข้าถึงข้อมูลลูกค้าบางรายของ Adidas โดยกลุ่มลูกค้าที่อาจได้รับผลกระทบคือกลุ่มที่ซื้อสินค้าบนเว็บไซต์ของ Adidas US คาดว่าข้อมูลเบอร์โทรติดต่อ ชื่อผู้ใช้ และรหัสผ่านอาจถูกเข้าถึง ซึ่งจากการตรวจสอบเบื้องต้น Adidas ยืนยันว่าข้อมูลบัตรเครดิต และข้อมูลด้านสุขภาพไม่ได้ถูกขโมยไป

Adidas ถือเป็นบริษัทล่าสุดที่ออกมายอมรับว่ามีช่องโหว่ด้านความปลอดภัยจนทำให้ข้อมูลรั่วไหล ก่อนหน้านี้ บริษัทอย่าง Panera และ Orbitz ต่างถูกแฮกจนข้อมูลบัตรเครดิตกว่า 880,000 ใบรั่วไหล ยังมี Saks Fifth Avenue และ Lord & Taylor ทั้งหมดนี้ Adidas ย้ำว่าได้ทำงานร่วมกับบริษัทรักษาความปลอดภัยข้อมูล ขณะเดียวกันก็เร่งดำเนินการด้านกฎหมายพร้อมกับแจ้งเตือนลูกค้าให้ป้องกันตัวเองก่อนได้รับผลกระทบ

ที่มา: : EnGadget

 

Source: thumbsup

from:https://thumbsup.in.th/2018/07/adidas-us-customers-data-breach/

สาวกคิตตี้สะพรึง! นักวิจัยพบข้อมูลผู้ใช้งานหลุดจากเว็บ Hello Kitty กว่า 3 ล้านรายชื่อ

Chris Vickery นักวิจัยออนไลน์ออกมาเปิดเผยว่า ค้นพบดาต้าเบสเก็บข้อมูลผู้ใช้งานกว่า 3.3 ล้านบัญชีรายชื่อ โดยที่ข้อมูลเหล่านี้หลุดมาจาก Hello Kitty Online เว็บไซต์อย่างเป็นทางการของคาแรกเตอร์ขวัญใจสาวๆ อย่าง Hello Kitty ซึ่งรวมไปถึง SanrioTown.com, HelloKitty.com และ MyMelody.com

ข้อมูลที่หลุดออกมา ประกอบไปด้วยชื่อและนามสกุลของผู้ใช้งาน วันเกิด เพศ ประเทศ อีเมล คำถามสำหรับกู้คืนพาสเวิร์ด และคำตอบ รวมไปถึงข้อมูลอื่นๆ ด้วย ตามการรายงานของ CSO Online บางส่วนของข้อมูลเหล่านี้ถูกเข้ารหัสเอาไว้ แต่ก็เจาะเข้าไปได้ไม่ยากนัก

เป็นไปได้ว่าการรั่วไหลของข้อมูลในครั้งนี้เป็นผลมาจากความผิดพลาดในการคอนฟิกขณะติดตั้งระบบดาต้าเบส และเซิร์ฟเวอร์ทั้งหมดก็ปลอดภัยแล้วในขณะนี้

ทั้งนี้ ทาง Sanrio ต้นสังกัดก็ออกแถลงการณ์ชี้แจงว่า เรื่องดังกล่าวอยู่ในขั้นตอนการสืบสวน และจะให้ข้อมูลมากกว่านี้เมื่อทุกอย่างได้รับการยืนยันเรียบร้อยแล้ว

ที่มา : Engadget

from:http://thumbsup.in.th/2015/12/database-error-publishes-info-of-3-million-hello-kitty-fans/

ผลสำรวจชี้ คนรุ่นใหม่ตื่นตัวเรื่องข้อมูลรั่วในโลกออนไลน์ พร้อมเลิกใช้หากไม่ปลอดภัย

พฤติกรรมการใช้โซเชียลมีเดียของคนรุ่นใหม่ที่แทบจะอาศัยอยู่ในโลกโซเชียล พวกเขาอัปเดตตลอดเวลา ไม่ว่าจะทำอะไร กินอะไร ไปกับใคร โลกต้องรู้ และดูเหมือนว่าจะไม่มีอะไรมาหยุดยั้งพฤติกรรมเหล่านี้ได้ 

แต่จากการสำรวจล่าสุด พบว่าในกรณีที่ระบบรักษาความปลอดภัยในออนไลน์ไม่สามารถรับรองความเป็นส่วนตัวได้ วัยรุ่น 75% ระบุว่า พวกเขา “อาจจะ” ยกเลิกบัญชีผู้ใช้งานส่วนตัว และอีก 23% ระบุว่า “มีความเป็นไปได้สูง” ที่พวกเขาจะทำแบบนั้น เพื่อปกป้องสิทธิส่วนบุคคล

ต้องยอมรับว่าวัยรุ่นอเมริกันค่อนข้างจะตื่นตัวในเรื่องนี้ เพราะโดยมากแล้ว พวกเขาเชื่อว่าข้อมูลจะปลอดภัยจริงๆ ก็ต่อเมื่อมันถูกเก็บในที่ที่จับต้องได้ มากกว่าบนก้อนเมฆแบบ Cloud ผลสำรวจชิ้นนี้ระบุว่าระบบการจัดเก็บที่จับต้องได้ก็ยังได้รับความน่าเชื่อถือมากกว่าสำหรับคนรุ่นใหม่

ดูเหมือนว่าผลการสำรวจเรื่องนี้จะขัดแย้งกับพฤติกรรมการใช้โซเชียลมีเดียของวัยรุ่นอยู่พอสมควร แต่ผลสำรวจอื่นๆ ก็ชี้ให้เห็นว่าเด็กๆ เหล่านี้รับรู้ประโยชน์ที่โซเชียลมีเดียมีต่อชีวิตของพวกเขา ถึงแม้ว่าบริษัทเหล่านี้จะนำข้อมูลส่วนตัวของพวกเขาไปใช้ก็ตาม

บทสรุปสุดท้ายของรายงานฉบับนี้ระบุว่า มุมมองที่คนรุ่นใหม่มีต่อความเป็นส่วนตัวนั้นซับซ้อนเกินกว่าที่จะอธิบายให้เข้าใจได้ง่าย แต่อย่างน้อยๆ มันก็ชี้ให้เห็นว่าเรื่องของความปลอดภัยยังเป็นสิ่งสำคัญที่บริษัทด้านเทคโนโลยีต้องใส่ใจ และสื่อสารเรื่องนี้กับผู้บริโภคที่เป็นวัยรุ่น อย่างน้อยๆ ก็ในแง่ของการประชาสัมพันธ์

เพราะเห็นได้ชัดว่ายังมีคนบางกลุ่มให้ความสนใจในหัวข้อนี้เป็นอย่างมาก และถ้าบริษัทตัดสินใจที่จะละเลยมันโดยไม่สนใจว่ากลุ่มคนเหล่านี้คิดอย่างไร รายงานฉบับนี้แนะนำว่ามันเป็นกลยุทธ์ที่ไม่เวิร์กแน่ๆ

ที่มา : Techcrunch

from:http://thumbsup.in.th/2015/06/report-suggests-young-people-may-abandon-social-media-if-privacy-breaches-continue/

Target ยอมจ่ายเงิน 10 ล้านดอลล์ชดใช้เหยื่อข้อมูลรั่วปี 2013

นี่คือข่าวใหญ่ในวงการค้าปลีกอเมริกันยุคดิจิทัล เพราะผู้ประกอบการรายใหญ่อย่าง Target ประกาศยอมจ่ายเงินค่าเสียหายมากกว่า 10 ล้านเหรียญสหรัฐ หรือประมาณ 320 ล้านบาท เพื่อชดเชยความเสียหายที่ลูกค้าได้รับจากพิษข้อมูลเครดิตการ์ดรั่วไหลในปี 2013

ย้อนกลับไปเมื่อ 2 ปีที่แล้ว หมายเลขบัตรเครดิตและบัตรเดบิตของลูกค้า Target จำนวนกว่า 4 ล้านเลขหมายถูกโจรไฮเทคขโมยไปจากเซิร์ฟเวอร์ของบริษัท โดยข้อมูลส่วนใหญ่เป็นเลขหมายบัตรที่ถูกใช้จ่ายในช่วงเทศกาลจับจ่ายปลายปี 2013 ซึ่งเป็นช่วงที่มีมูลค่าการใช้จ่ายสูงเป็นพิเศษ

เหตุที่ทำให้ Target ยอมตกลงจ่ายเงินมากกว่า 10 ล้านเหรียญสหรัฐฯเพื่อชดเชยให้กับลูกค้าคือการตรวจสอบเบื้องต้นพบว่า ขโมยไฮเทคสามารถนำหมายเลขบัตรเครดิตที่ขโมยมาได้ ไปสร้างเป็นบัตรเครดิตใบใหม่ โดยนำหมายเลขบัตรมาเก็บข้อมูลลงแถบแม่เหล็กอีกครั้ง

เพื่อยอมความก่อนที่จะเป็นคดีเรียกร้องความเสียหายที่ใหญ่โต Target จึงยอมรับความผิดนี้และชดเชยค่าเสียหายให้กับลูกค้าที่เป็นเหยื่อ ไม่เช่นนั้น Target อาจจะถูกรุมฟ้องร้องมากขึ้นในอนาคต

อย่างไรก็ตาม การยอมความนี้ยังต้องรอการอนุมัติจากศาลสหรัฐฯ โดยขณะนี้ Target ตกเป็นจำเลยถูกฟ้องร้องใน 13 คดีนับตั้งแต่ปี 2013 ที่ผ่านมา ซึ่งทำให้มีการสอบสวนเพื่อสรุปความเสียหายจากเหตุที่เกิดขึ้นอย่างจริงจัง

แน่นอนว่าข่าวนี้ทำให้ผู้เกี่ยวข้องกับวงการค้าปลีกทั่วโลกตื่นตัวกับการรักษาความปลอดภัยระบบอิเล็กทรอนิกส์ของตัวเอง ขณะเดียวกันก็ได้ตระหนักถึงความรับผิดชอบที่ผู้ค้าปลีกต้องมีกับผู้บริโภค ซึ่งไว้วางใจในการใช้จ่ายกับร้านค้านั้น

ที่มา : VentureBeat

from:http://thumbsup.in.th/2015/03/target-will-pay-10m-in-damages-to-2013-data-breach-victim/

Uber แถลง ถูกเจาะดาต้าเบสตั้งแต่ปีที่แล้ว ข้อมูลคนขับรั่วไหล 50,000 ราย

วันนี้ทาง Uber ออกมาประกาศว่ามีข้อมูลจากดาต้าเบสรั่วไหลจากการถูกเจาะเมื่อปีที่แล้ว ถือเป็นเรื่องเกี่ยวกับ Uber ที่น่าตกใจยิ่งกว่าถูกแบนในหลายๆ ประเทศซะอีก

เรื่องนี้เกิดขึ้นเมื่อวันที่ 13 พฤษภาคมปีที่แล้ว โดยข้อมูลที่รั่วออกไปก็คือชื่อ หมายเลขใบอนุญาตขับขี่ของคนขับรถ Uber ราวๆ 50,000 คนจากหลายๆ พื้นที่ โดยทาง Uber ระบุว่าตัวเลขดังกล่าวยังถือเป็นเปอร์เซนต์ที่น้อยมาก เมื่อเทียบกับจำนวนผู้ขับขี่ทั้งในปัจจุบัน และจนถึงตอนนี้ ยังไม่ได้รับรายงานว่ามีการขำเอาข้อมูลเหล่านั้นไปใช้ในทางไม่ควรแต่อย่างใด

ในขณะนี้ Uber ได้ทำการแจ้งไปยังผู้ขับขี่เหล่านั้นเรียบร้อยแล้ว

Uber ได้แจ้งไว้ในบล็อกของตัวเองว่าเริ่มพบการรั่วไหลของข้อมูลดังกล่าวเมื่อเดือนกันยายนปีที่แล้ว ทำให้ทางบริษัทต้องปรับเปลี่ยนวิธีการจัดเก็บและเข้าถึง รวมทั้งเริ่มทำการสืบสวน และทางบริษัทก็ไม่ได้แจ้งว่าทำไมต้องปล่อยเวลาให้ผ่านมานานขนาดนี้ กว่าจะออกมาบอกให้สาธารณะชนรับรู้และแจ้งเตือนผู้ขับขี่

นอกจากนี้ สิ่งที่ Uber ได้พยายามชดเชยให้กับคนขับรถที่ข้อมูลรั่วไหลคือ การให้เป็นสมาชิกของ Experian’s ProtectMyID Alert บริการป้องกันการขโมย ID แบบฟรีๆ เป็นเวลา 1 ปีเต็ม และดำเนินการฟ้องร้องผู้ก่อเหตุต่อไป เรื่องตลกคือ ทาง Uber ใส่ชื่อแฮ็คเกอร์ว่า “John Doe” เอาไว้ในเอกสารฟ้องร้อง

ที่มา : Techcrunch

from:http://thumbsup.in.th/2015/02/uber-database-breach-exposed-information-of-50000-drivers/