Smoozには前回の記事で詳しく紹介しきれなかった機能があります。 それがおすすめ記事というものです。 これがオンになっていると、閲覧しているサイトの末尾に、アスツール社の提示するおすすめ記事と広告が付け加えられるものです。ページの一番下までスクロールしないと出てこないので気付いてない人もいるかと思います。 この機能を有効にして、うちのサイトを表示すると下のようになります。 ▼おすすめ記事 私のコンテンツは黒線の上まで。その下からが本来のページには存在しないSmoozの付け足したコンテンツになります。Gigazineの記事や広告が並んでいるのがわかるはずです。 これについて通信内容を解析してみると、 ml.api.smoozapp.com に対しての通信が該当していることがわかります。 ▼ml.api.smoozapp.com /recommend/pagesとあるので、おすすめ記事のこと

2020年12月8日（現地時間）、米サイバーセキュリティ企業のFireEyeは自社が受けたサイバー攻撃とその取り組みの詳細について公表しました。ここでは関連する情報をまとめます。 一流の攻撃能力 FireEyeのKevin Mandia CEOが今回の同社へのサイバー攻撃についてブログに投稿を行っている。 www.fireeye.com 明らかになっていること ブログを通じ明らかにされたことは以下の通り。 Mandia氏はFireEyeが一流の攻撃能力を持つ国家支援による攻撃を受けたと表現。FBI、Microsoftを含む関連組織と調査中で、これら組織の初報は同社の見解を裏付けるものだとしている。 今回の攻撃では顧客のセキュリティテストに使用されるRedTeam用のツールを標的にしていたことが判明。FireEyeは盗まれたツールが使用された証拠は発表時点で確認していない。 攻撃者は特定の政

ACTIVE GALACTIC @active_galactic 悪巧みをする人間は賢いな．確かに口座番号・暗証番号・氏名の組み合わせは工夫すれば手に入ってしまう．口座番号を入力すると振込先の宛名を表示してくれるサービスはあるし，語呂合わせのような使っている人が多い暗証番号で口座番号を片っ端から試していくと，一定確率で貫通するだろう．>RT 2020-09-09 20:45:35 ACTIVE GALACTIC @active_galactic リバースブルートフォースアタック：物理学科のロッカーで暗証番号を137決め打ちで片っ端から試して，貫通したロッカーから貴重品を盗む泥棒を想像した．数学科なら1729とかだろうか． 2020-09-09 20:49:28

利用者が記事を配信・販売できるサービスnoteで8月14日、執筆者のIPアドレスを確認できてしまう不具合が見つかり、運営元は謝罪し同日中に修正しました。同社は「一般的なIPアドレスから、個人情報を特定することはできません」としていますが、ネットでは有名人のIPアドレスと一致する5ちゃんねる投稿が検索されるなど騒ぎは続いています。IPアドレスから個人を特定されたり、他の投稿との名寄せが行われるリスクはどの程度あるのでしょうか。 IPアドレスとはインターネットで通信を行う際に必要な差出人・宛先を示す住所のことです。現在IPv4、IPv6という2つの世代の技術が利用されており、note社のサービスはIPv4のみを利用しています。インターネットのIPv4アドレスは2011年に枯渇し、その後も利用者が増え続けたISPではCGNAT等の技術を用いることで数百人の利用者が同じIPアドレスを共用しています

ツイッターへの大規模ハックからたった2週間で、首謀者とされる17歳をなぜ逮捕できたのか？ 米連邦検事局とフロリダ州検事局は7月31日、ツイッターにおけるアカウントの大規模乗っ取り事件で、フロリダ州タンパ市在住の17歳など3人を訴追したと発表した。 バラク・オバマ前大統領、ジョー・バイデン前副大統領、マイクロソフト創業者のビル・ゲイツ氏、アマゾンCEOのジェフ・ベゾス氏、テスラCEOのイーロン・マスク氏などの著名人、アップルなどの著名企業を含む130件のアカウント乗っ取り、それらを使った被害額10万ドル（約1,000万円）を超す仮想通貨（暗号資産）詐欺事件――。 首謀者とされる17歳だけでも、その容疑は組織的詐欺、通信詐欺、個人情報の不正使用、不正アクセス、合わせて30件にのぼる。 事件が発覚したのが7月15日。それからわずか2週間後の逮捕だ。 高校を卒業したばかりという17歳は、月間利用が

注意 この記事は攻撃の実行を教唆する目的で書かれたものではなく、特定の状況におけるセキュリティ上の問題点を指摘するために公開しているものです。この記事に書かれた内容を実行して発生した結果について、筆者は一切の責任を負いません。 はじめに インターネット上で他人のメールアドレスをmd5で二重ハッシュしたものを公開されている方を見かけたため、解析する実験を行いました。 メールアドレスのユーザー名部分は多くの場合小文字のアルファベットと数字のみ（36文字）のそれほど長くない列で構成されており、ブルートフォース攻撃（総当り攻撃）によって簡単に特定できてしまうと考えられます。 またドメイン部分に関しても、一般の方が使うメールプロバイダが限られていることを考慮すると、サイズの小さい辞書でも十分な確率で当たるものと考えられます。 実験 今回はhashcatという、GPUでハッシュ値を解読するソフトウェア

かつて、技術レポート Internet Infrastructure Review (以下 IIR) で DDoS backscatter 観測状況を継続的に報告していました。最後の報告記事は2017年3月までを扱った IIR Vol.35 でしたから、それから3年近くになります。本記事では、この間の長期的な傾向の変化を紹介しようと思います。 DDoS backscatter とは DDoS における backscatter とは、送信元を偽ったパケットを受け取ったホストが、その偽装された送信元に対して返答するパケットのことです。DDoS 攻撃では送信元を偽った大量のパケットを送りつける攻撃手法があり、偽装された送信元がたまたま自分で使用している IP アドレスだった場合、その backscatter パケットを受け取ることになります。IIJ では MITF (Malware Invest

「一過性のトラブル」ではありません セブン＆アイ・ホールディングスの独自決済サービス「7pay」が、セキュリティ問題に揺れている。 クレジットカードなどから不正にチャージが行われ、タバコやプリペイドカードなど、換金しやすい製品を不法に購入される被害が続出したのだ。金銭的被害は、7月4日の段階で5500万円にのぼるという。サービス開始から、たった3日間での出来事だ。 7payは、この記事を執筆している7月8日現在、新規の会員登録と残高のチャージを停止している。原因の究明とシステムの改良が行われている状況だ。 7payに、いったい何が起きたのか？ そこには、単に一企業の問題にとどまらない、「技術と経営」に関する普遍的な課題が隠れている。あらゆる企業の経営者にとって、そしてそこに勤めるビジネスマンにとっても、決して一過性のトラブルとしてすませるわけにはいかないこの問題の「深層」に迫ってみよう。

今回の問題はもう馬鹿かというほど素人のご意見がばら撒かれているくらいは世の中が騒然としていますがね、とりあえず最初に言っておきたいのが、この問題がいかにダメかと言っている技術者に対して「経営課題ガー」とか言っているのはもうアホ極まりない話で、そもそもITをどう使うかということそのものが経営課題である昨今においてこのレベルの問題を起こした企業の「経営課題」なるものを多少なりとも免罪的に持ち出すのはホント糞だと思う。 で、楠さんまで「ベンダー任せが一因」みたいなことを言っていて、まあ確かにそういう面もあるんだろうけど、正直なところ、今回の件はダメをダメと言えないガバナンスの問題なんだと思う。とはいえ、ここの真実は当事者にしかわからんのでこれ以上突っ込むのはやめておこう。 で、問題はomni7の方、と言い出す人も出てきているのでなんともかんともなんだけどさ、先ずもって今回の最大の問題は「ID/P

セブンイレブンのQR決済「7Pay」がリリース翌日から大規模な不正アクセスの被害を受け、少なくとも約900人が、計約5500万円の被害を受けた。原因は杜撰なIDの設計にあり、被害者はいずれもIDを乗っ取られて、クレジットカードから不正にチャージされた。 自分の設定したIDとパスワードを入力して、どちらも正しい場合にログインできる仕組みは1960年代前半に発明されて以来、今もインターネット上で最も広く利用されている。GAFAはじめYahoo!や楽天といった大手企業が今も使っていることから、十分に安全と思われがちだ。 ところが実際のところ特にここ数年は非常に激しい攻撃に晒されており、血の滲むような努力と不断の改善によって維持されている。利用者は自分が入力したIDとパスワードしか意識しないけれども、その裏では端末環境の特徴やアクセス元のIPアドレスや位置情報、同時に利用している他の端末など、実に

科学技術振興機構（以下JST）の運営する「J-STAGE」は、国立情報学研究所が運営する「CiNii」と双璧を成す、日本の電子ジャーナルプラットフォームである。それが2018年12月12日、Firefoxからのアクセスが不可能となった。 試しにFirefox 64でアクセスしてみたところ、確かにページ読み込みエラーとなり、コンテンツを表示することができなかった。サーバ証明書のエラーではないため例外を許可して続行することもできない。完全にFirefoxでのアクセスが遮断された格好だ。 翌日13日になってTwitterで原因の考察が始まり、J-STAGEの対応する暗号スイートに問題があることが判明する。 原因はJ-STAGEのTLS仕様違反J-STAGEはセキュリティ強化のため、2018年12月12日にTLS 1.2への切替とTLS 1.0/1.1の無効化を行うことを予告していた。これが影響し

WebサーバのHTTPS化において、SSL/TLS周りの各種設定はどう選択するべきか（2016年度版）SecuritySSLHTTPSTLS 公開HTTPSサーバを立てるときに悩む点の一つが、SSL/TLS周りの設定です。 SSL/TLSや暗号周りの知識がないと適切な設定を選ぶのは難しい そもそも設定が何を意味しているのか読み取れない 「推奨される設定」が各種サイトでいくつも、微妙に違うものが紹介されていて、どれが良いのか選べない とりわけ暗号が関連する選択肢は呪文めいていて、専門知識を持たないWebエンジニアにとっては、なかなか難しいものがあると思います。 筆者もSSL/TLSの専門家ではありません。 専門家でないなりに極力信頼できそうなソースや実例を参考にしつつ、まとめました。もともとは自分用調査資料集のような記事です。 すごく長くなってしまいました（若干力尽きている）。 TL;DR

Zaifの仮想通貨流出、70億円に　当初発表から3億円拡大（ITMedia） http://www.itmedia.co.jp/news/articles/1809/22/news019.html Zaif「67億円超ハッキング事件」信憑性ゼロのテックビューロに集まる疑念の声（Not-So-News ） http://nots.hatenablog.com/entry/2018/09/20/170000 Zaifはハッキング被害の確認までに4日を要していた Zaifのプレスリリースから確認できる時系列は以下のとおり。 9月14日　17時頃から19時頃までの間、Zaifに外部からの不正アクセス。仮想通貨（BTC、MONA、BCH）が不正に送金される 9月17日　Zaif、サーバ異常を検知、翌18日ハッキング被害を確認。財務局へ報告を行うとともに、原因分析、捜査当局への被害申告等を行う 9月2

パスワードにはうんざり。改善しましょう。 誰もが経験するあの瞬間。新しいサービスに登録し、パスワードを選んで入力する。でも、入れません。選んだパスワードは十分安全なはずなのに、使いたいサービスが独善的にそれを拒むのです。 記号、数字、大文字、小文字を少なくとも１つずつ使用しなければなりません。 小文字の長いパスワードの方がドルマークだらけの短いパスワードより安全だということを証明する、 XKCDの有名なコミック のことは忘れましょう。まず、あなたの主力パスワードが $$ICECREAM$$ だとします。アイスクリームは、恐ろしい人生の希望の灯火とも呼べるほどの大好物なので簡単に思い出せます。そして、このパスワードにはブートのための特殊文字が入っています。 残念なことに、 $$ICECREAM$$ には小文字と数字がないので、客観的に見れば安全ではありません。そこで、このサービスのためのパス

漫画の海賊版サイトの被害が2017年から拡大している。「日本政府はISPに対して海賊版サイトへのアクセス遮断（サイトブロッキング）を要請する調整に入った」という報道もあり、さまざまな議論が巻き起こっている。著作権法に詳しい福井健策弁護士の寄稿。 編集部より 「政府がISPに対して海賊版サイトへのアクセス遮断（サイトブロッキング）を要請する調整に入った」という報道をめぐり、「憲法で定めた『通信の秘密』や『表現の自由』を侵すのではないか」「サイトブロッキングは有効な対策なのか」「他の有効策があるのではないか」などさまざまな議論が巻き起こっている。本稿は、深刻さが増す海賊版サイトをめぐる諸問題について、著作権法に詳しい福井健策弁護士に寄稿してもらった。ITmedia NEWS編集部では、引き続き海賊版サイトやサイトブロッキングに関する取材を続けていく。 海賊版サイトへの対策として提案されている「

どこの会社でも「1行直すだけでしょ？　そんなに大変なの？」ということを何度も聞かれる (もしくは言外にそのニュアンスを含められる) ので毎度説明するのだけれど、「いや、そう思うだろうけれど大変なんですよ」以外に答えられていなくて、自分でもあまりうまい答えではないなと感じるのでまじめに考えてみた。 まず大前提として1行を修正するのに本当に言われるがままにその1行を直すのであればそれは作業者で世の中にエンジニアなんて職業はいらないわけで、ぼくらの付加価値は1行を直すときに1行の外にあるものを想起できるから価値があるわけです。 じゃあ、どんなことを考えているかというと、まずたいていそんなすぐに安請け合いできないシステムというのは1行を直すときに影響を受ける行数というのは10行や20行ではないことが多い。そこで影響範囲を考えます。途端にこれが1万行になったりする。すると、1万行へ影響が出るのにこれ

架空世界 認証セキュリティセミナー 第8回「ガンダム・パトレイバー・コードギアス−−リアルロボットにおける認証」 2017年10月26日 架空世界 認証セキュリティセミナー ネタ記事, 架空世界, 認証 まゆずみ＠パスロジ ロボットアニメの雄、サンライズ ……それでは講義を始める。 前回は、「鉄人28号」シリーズにおける認証について考察した。どの世代の鉄人28号も操縦器に認証はかかっていないか、かかっていても簡単なものしかなく、「いいも悪いもリモコン次第」となってしまうという、認証セキュリティ的には残念な結果だったが、ストーリー的にはそこが見どころといったところだろう。 また、自律式AIロボット「ブラックオックス」についても考察した。鉄人28号との対比も科学的なテーマとなっていた点が面白い。詳しくは前回の記事を参照してほしい。 >「架空世界 認証セキュリティセミナー」記事一覧 では、他のロ