ISO ประกาศไม่ยอมรับ Encryption Tool ของ NSA ชี้อาจมี Backdoor

International Organization of Standards (ISO) ได้ออกมาปฏิเสธการยอมรับ Encryption Algorithm สำหรับระบบ Internet of Things (IoT) ของ NSA เนื่องจากมีความกังวลว่าอาจมี Backdoor ฝังอยู่
เครื่องมือเข้ารหัสดังกล่าวมีชื่อว่า Simon และ Speck ซึ่งทาง NSA ออกแบบมาสำหรับใช้งานในอุปกรณ์ IoT โดยเฉพาะ และต้องการให้เครื่องมือเหล่านี้กลายเป็นมาตรฐาน โดย NSA ได้ทำการพัฒนาเครื่องมือเหล่านี้และผลักดันให้กลายเป็นมาตรฐานมาได้เป็นเวลา 3 ปีแล้วก่อนที่ ISO จะออกมาปฏิเสธในครั้งนี้
ทางด้านทีมงานจากฝั่ง ISO นั้นออกมาให้ความเห็นถึงการปฏิเสธครั้งนี้ว่าในระหว่างกระบวนการพิจารณานั้น ทาง ISO เองก็มีการโต้เถียงขัดแย้งรุนแรงกับ NSA อยู่เรื่อยๆ โดยเฉพาะอย่างยิ่งในระหว่างที่มีการสอบถามเกี่ยวกับขั้นตอนการทำงานในเชิงเทคนิคของเครื่องมือเหล่านี้ ในขณะที่ก่อนหน้านี้ NSA เองก็เคยมีกรณีการนำ Dual EC DRBG Algorithm ไปให้ RSA ใช้งานภายใน Software ของตนเอง ก่อนจะพบว่ามี Backdoor อยู่ภายหลัง

Comments

Post a Comment

Popular posts from this blog

NSA ตั้งหน่วยใหม่เน้นรับมือการโจมตีทางไซเบอร์จากต่างชาติ

Image
National Security Agency (NSA) ได้ประกาศจัดตั้งหน่วยงานใหม่ที่ชื่อ ‘Cybersecurity Directorate’ ขึ้นมารับผิดชอบการโจมตีทางไซเบอร์จากต่างชาติ กลยุทธ์ของหน่วยงานใหม่ด้านความมั่นคงแห่งชาติครั้งนี้จะทำหน้าเป็นฝ่ายเชิงป้องกันเสียมากกว่าเมื่อเทียบกับ NSA ที่เน้นการรับมือแบบเชิงรุก ทั้งนี้ Cybersecurity Directorate ถูกรับหน้าที่ดูแลโดย Anne Neuberger ซึ่งก็ยังรายงานตรงต่อ Paul Nakasone ผู้อำนวยการของ NSA โดยตรง อย่างไรก็ดี NSA ได้แสดงความเห็นไว้ว่า “ กลยุทธ์ใหม่จะช่วยให้ NSA อยู่ในสถานะการทำงานที่ดีขึ้นร่วมกับพาร์ทเนอร์ในภาครัฐอย่าง DHS, U.S. Cyber Command และ FBI เพื่อรับมือการโจมตีทางด้านไซเบอร์ ” ที่มา :   https://www.zdnet.com/article/nsa-to-establish-a-defense-minded-division-named-the-cybersecurity-directorate/
Read more

แนะนำ Chrome Extension ช่วยป้องกัน Homograph Attack

Image
Phish.ai ได้พัฒนา Extension สำหรับ Chrome เพื่อช่วยตรวจจับชื่อโดเมนของเว็บไซต์ที่ไม่เป็นไปตามมาตรฐานของอักขระ Unicode และเตือนผู้ใช้เกี่ยวกับแนวโน้มที่อาจจะเกิดอันตรายได้ โดยผู้ร้ายมักจะอาศัยเทคนิคการโจมตี Homograph หรือ Unicode นี้เพื่อสร้างเพจหลอกลวงซึ่งมีชื่อคล้ายกับเพจที่ถูกต้องให้สังเกตได้ยากเพื่อหลอกเอา Credentials ของผู้ใช้หรือหลอกให้โหลดไฟล์ที่มีมัลแวร์ Homograph Attack ทำงานอย่างไร สาเหตุที่เทคนิคนี้เกิดได้เพราะ ICANN ได้อนุญาตให้สามารถลงทะเบียนชื่อโดเมนได้ในหลากหลายภาษาและอักขระโดยใช้  Unicode  (การแทนอักขระภาษาต่างๆ ด้วยมาตรฐานหนึ่งเช่น ก ของภาษาไทยสามารถแทนด้วย U+0E01 ในระบบ Unicode) โดย Unicode บางตัวมีความคล้ายกันเมื่อดูด้วยตาในมาตฐานภาษาลาติน เช่น ‘f’: [‘Ḟ’,’ḟ’,’Ƒ’,’ƒ’,’ᵮ’,’ᶂ’,’ꜰ’,’Ｆ’,’ｆ’] ดูเพิ่มเติม ที่นี่  ดังนั้นผู้ร้ายจึงอาศัยจุดนี้ลงทะเบียนชื่อโดเมนเพื่อหลอกผู้ใช้งานที่ไม่ทันสังเกตความแตกต่างของชื่อ URL ซึ่งความพยายามล่อหลอกผู้ใช้แต่ละโดเมนนี้เองเรียกว่า  internationalized domain name (IDN) homograph attack  หรือ Unicode attack และใ...
Read more

เหนื่อยก็พัก! Zoom ประกาศหยุดอัปเดตฟีเจอร์ชั่วคราว มุ่งแก้ปัญหาด้าน Security&Privacy

Image
หลังจากที่มีข่าวรายวัน วันนี้ทาง Zoom ได้ประกาศว่าตนจะหยุดพักการอัปเดตฟีเจอร์เป็นเวลา 90 เพื่อเทความสนใจไปที่เรื่อง Security และ Privacy อย่างจริงจัง Zoom พบว่าจากเดือนธันวาคมที่มีผู้ใช้รายวันเพียง 10 ล้านคนต่อวัน ปัจจุบันกระโดดไปถึง 200 ล้านคนต่อวัน ซึ่งแน่นอนว่าพบปัญหาต่างๆ เกิดขึ้นตามมาเช่นกัน แต่ที่หนักคือการโดนเปิดเผยในเรื่องของ Security และ Privacy หลายประเด็น (ติตดามเพิ่มเติมได้ที่  1 , 2 ) ดังนั้นก่อนเหตุการณ์จะบานปลายไปมากกว่านี้ Zoom จึงต้องเร่งมือแก้ปัญหาแล้ว นอกจากนี้ Zoom ยังเพิ่มรางวัลในโปรแกรม Bug Bounty อีกด้วย ที่มา :   https://www.reviewgeek.com/39148/zoom-pauses-feature-updates-to-fix-its-privacy-and-security-issues/
Read more