Sci - Com #01 Strisuksa School

04/05/2018

เอิ๊ก... ผู้ใช้กว่า 300 ล้าน คน
ถูก Twitter ขอให้ reset รหัสผ่าน

Kreb Security รายงานว่า มี Bug ใน Twitter
ทำให้มีการเก็บ log รหัสผ่านเป็น cleartext
ในชั้นตอนการ hash รหัสผ่านด้วย bcrypt

ดังนั้น Twitter จึงขอใหัผู้ใช้กว่า 300 ล้านคน (อือฮือ)
reset รหัสผ่านของตัวเอง

Parag Agrawal ซึ่งเป็น Twitter CTO เป็นคนให้ข้อมูล ดังต้นฉบับข้อความด้านล่าง

“When you set a password for your Twitter account, we use technology that masks it so no one at the company can see it. We recently identified a bug that stored passwords unmasked in an internal log. We have fixed the bug, and our investigation shows no indication of breach or misuse by anyone."

https://krebsonsecurity.com/2018/05/twitter-to-all-users-change-your-password-now/

17/03/2018

ขโมยเงินของเหยื่อ ผ่านบัญขีธนาคาร online ใช้เวลา 3 วัน
ได้ไป 1 ล้าน 5 แสน กว่าบาท แล้วนำไปซื้อทองคำ เหอะๆ
เหยื่อเป็นเจ้าของสวนทุเรียน นานๆ ทีจึงจะ check บัญชี ตัวเอง
กรณีนี้ ธนาคารเป็นคนจับสงสัยได้ แล้วนำไปสู่การจับกุม
ตาม clip ข่าวเนชั่น 16 March 2018 https://www.youtube.com/watch?v=cIyLJeLPqdQ

ข้อวิเคราะห์กันหน่อย

1) โจรใช้วิธีเดารหัสผ่านแล้วถูก เหอะๆ ระบบธนาคารออนไลน์ทั่วไป หากผิด หลายครั้งจะ lock บัญชี online ไม่ให้ใช้ แสดงว่าคนร้ายเดาถูกได้เร็วมาก และเจ้าของบัญชี set รหัสผ่านไว้ปัญญาอ่อนเกินไป อาจเป็น เลขเรียงกัน เบอร์โทรศัพท์ตัวเอง หรือ พวกรหัส top hit เช่น "abc123" ขบวนการเดารหัสผ่านแบบนี้ ทางเทคนิค เค้าเรียกว่า brute-force attack

ข้อแนะนำคือ
อย่า set รหัสผ่านโง่ๆ เช่นพวกเลขล้วน ซ้ำกับ dictionary หรือพวกรหัสผ่าน top hit เช่น abc123, passw0rd, อะไรพวกนี้
อย่าปล่อยรหัสผ่านรั่วไหล
อย่า set รหัสผ่านซ้ำกันระหว่างระบบสำคัญ

2) จะโอนเงิน ต้องใช้ OTP แล้วโจรโอนได้ไง คำตอบคือ หากโอนไม่เกิน 500 บาท
บางธนาคาร จะอนุญาตให้โอนโดยไม่ผ่าน OTP ซึ่งก็คือธนาคารที่โดน
เหอะๆ รู้เลยมะ ว่า Bank อะไร?
Bank นี้ในที่สุดยังดีที่ช่วยจับโจรได้
แต่ที่อนุญาตแบบนี้หนะ มันไม่ปลอดภัยนะจ๊ะ
ควรแก้ไขได้แล้ว เค้าโอน 3 วัน ครั้งละ 500 ได้ไป 1.5 ล้าน
เกิดหนีอออกนอกประเทศไปแล้ว จาทำยังไง

ข้อแนะนำคือ
ธนาคารที่ทำแบบนี้ควรแก้ไขวิธีการให้ใช้ OTP เสมอ
สำหรับลูกค้าธนาคารพวกนี้ หากไม่แก้ไข ก็เลิกใช้บริการ ไปเปิด bank ใหม่ดีกว่านะจ๊ะ

3) มีอีกธนาคารเค้าทำแบบนี้ แหะๆ เดากันเองว่า ธนาคารอะไร
เค้าจะใช้ OTP เมื่อ เพิ่มบัญชีปลายทางสำหรับการรับโอน
และตอนโอนครั้งแรก กับครั้งที่สอง เข้าบัญชี ที่เพิ่งเพิ่มใหม่
แต่การโอนตั้งแต่ครั้งที่ 3 เป็นต้นไป ของบัญชีที่เพิ่มไว้
แล้วจะไม่ใช้ OTP เหอะๆ

ข้อแนะนำ:
โดนส่วนตัวชั้นจะ remove บัญชีหลังโอน 2 ครั้ง ออกนะจ๊ะ
ไม่งั้นไม่มี OTP เงินก็ไปบัญชีนั้นได้ เหอะๆ

4) แอบบอกทางเทคนิคนิดนึงว่า
ต่อให้ใช้ SMS OTP แบบที่ Bank ไทยใชักันตอนนี้
ก็โดน Hack SMS OTP ได้ เค้าโจมตีกันได้นานแล้ว
เหอะๆ จน NIST (National Institute of Standard and Technology) ของสหรัฐอเมริกา ประกาศไปแล้วในเอกสาร SP 800-63B
https://pages.nist.gov/800-63-3/sp800-63b.html
เมื่อ มิถุนายน ปีที่แล้ว (ค.ศ. 2017) ว่า ไม่แนะนำให้ใช้ SMS OTP

ข้อแนะนำ:
ธนาคารไทยควรเลิกใช้ SMS OTP แล้วใช้ OTP แบบอื่นได้แล้ววววว ...นะจ๊ะ
เมื่อไหร่ จาทำกันสักที เฮอะ ...

26/01/2018

Koisuru Fortune Cookies (คุกกี้เสี่ยงทาย)
Lyrics: Yasushi Akimoto
Music: Shintaro Ito

#เห่เฮเฮ
ear worm ใหม่มาอีกแล้ว ฮัมกันทั้งบ้านทั้งเมือง
กลายเป็น viral clip ที่กำลังแพร่หนัก

ยอด hit ทะลุ 130 ล้าน ไปแล้ว สำหรับตัว version ญี่ปุ่น
https://www.youtube.com/watch?v=dFf4AgBNR1E

ส่วน version ไทยก็ทะลุ 18.7 ล้านละ
https://www.youtube.com/watch?v=mfqJyKm20Z4

และยังอีกหลากหลาย version
https://www.youtube.com/watch?v=mjS9aftBscw

https://www.facebook.com/Lipta/videos/10156703004284972/

https://www.facebook.com/manop.janthanaphan/videos/1766472400043900/

hit หนักๆ แบบนี้
ต้องออกแบบ Internet
ให้เป็น Information Centric
ไม่ใช้ CDN หรือให้ดีใช้ ICN
ลำพัง host -to-host IP communication
ในแนวคิดเดิม รับ load ไม่รอดครับ

#แอบมองเธออยู่นะจ๊ะ #แต่เธอไม่รู้บ้างเลย
#แอบส่งใจให้นิดนิด #แต่ดูเธอช่างเฉยเมย

22/01/2018

22/01/2018

Video Name: Despacito

นี่คือ youtube ที่มีสถิติ hits สูงที่สุด
จำนวน View มากกว่า 4,720 ล้านครั้ง
Uploaded by: Luis Fonsi featuring Daddy Yankee
since: January 12, 2017

เป็นไปไม่ได้ที่จะรองรับ hit ระดับนี้ใน internet ปกติ
Content Centric หรือ Information Centric เป็นสิ่งต้องทำ
อย่างน้อยตอนนี้เราก็ใช้ CDN

https://www.youtube.com/watch?v=kJQP7kiw5Fk

09/01/2018

A new prime number

เมื่อช่วงวันคริสตมาสที่ผ่านมาโครงการ Great Internet Mersenne Prime Search (GIMPS) ค้นพบจำนวนเฉพาะขนาดใหญ่ที่สุดที่เคยพบมา คือ 277,232,917-1 ห�...

09/01/2018

แฟนคลับ phpmyadmin
upgrade นะขอรับ !!!

PHPMyAdmin version ต่ำกว่า 4.7.7
โดน Cross Site Request Forgery (CSRF) Attack ได้
จนเป็นจุดอ่อนให้ Drop table ใน database ได้
ใครใช้ PHPMyAdmin version ต่ำกว่า 4.7.7
ควร upgrade ด่วน !!!

เปิดเผยโดย
youtube user ชื่อว่า Ashutosh Barot
เมืีอ 27 Dec 2017 ที่ผ่านมา

Source: https://www.youtube.com/watch?v=aao8fP4uZoM

09/01/2018

WoW !!

22/12/2016

#เอสทีดีไอโอดอทเอช

24/04/2016

Drive A กับ B หายไปไหน ?

วันนี้ผมเจอคำถามจากน้องๆใกล้ตัว (รุ่นหลายเลยก็ว่าได้) มาถามว่า ทำไมคอมพิวเตอร์ของเรา มีไดร์ฟ C , D , E , F ไปเลย แล้วไดร์ฟ A และ B หายไปไหน เราหากใครยังไม่ทราบ เรามาหาคำตอบกันดีกว่า…

06/03/2016

RIP Boss
( Pachita obpirom )
หลับให้สบายนะเพื่อน
Sci-ComSTR #1

14/02/2016

#ตัวเรายังมีค่าที่สุดเสมอ
อาจารย์คนนึง เริ่มการสนทนาในชั้นเรียนด้วยการควักธนบัตรใบละ 1,000 บาท ..
ออกมาให้นักศึกษาดู แล้วถามว่า มีใครอยากได้บ้างไหม ทุกคนรีบยกมือ

อาจารย์ขยำธนบัตรนั้น จบยับยู้ยี่ .. แล้วถามอีกครั้งว่า มีใครยังอยากได้ธนบัตรใบนี้อีกหรือไม่ .. ทุกคนยังยกมือขึ้นเหมือนเดิม ..

อาจารย์ถามต่ออีกว่า ถ้าสมมุติว่า ธนบัตรใบนี้ถูกทิ้งอยู่บนพื้น แล้วมีคนมาเหยียบย่ำจนสกปรก ยังจะมีใครอยากได้อีกหรือไม่ .. นักศึกษาทุกคน ก็ตอบว่ายังอยากได้ ..

อาจารย์จึงกล่าวสรุปว่า ..

นั้นคือสิ่งมีค่า ที่พวกเธอได้เรียนรู้ในวันนี้! .. ไม่ว่าจะเธอจะทำอะไรกับธนบัตรใบนี้ มันก็ยังคงจะมีราคา 1,000 บาท อยู่เสมอ .. ชีวิตคนเราก็เช่นเดียวกัน

บางครั้ง เราอาจจะถูกทอดทิ้ง ถูกใครต่อใคร ซ้ำเติม เหยีบย่ำ ถูกขยี้ ยับเยิน..
เพราะความผิดพลาดในการก้าวเดินของชีวิต จนทำให้เกิดความรู้สึกว่าตนเอง ไร้ค่า

แต่ รู้มั้ย?.. ไม่ว่าอะไรจะเกิดขึ้น เธอก็ยังมี คุณค่าของความเป็นคน ..
ไม่ว่าเธอจะสะอาดเอี่ยม หรือว่า ยับยู้ยี่ .. ตัวเราก็ยังมีค่าที่สุดเสมอ

Credit :http://www.kwamru.com/175

TweetSharebar Tweetอาจารย