AWS IAM PolicyのForAllValuesを勘違いしてた件 - LayerX エンジニアブログ
LayerX Fintech事業部（※）で、ガバナンス・コンプラエンジニアリングをしている 鈴木 (@ken5scal )です。 ※三井物産デジタル・アセットマネジメントに出向しています。 今回は、AWS IAMポリシーの条件における「ForAllValues」の仕様を誤って理解していたことから、安全でないアクセス制御を実装していたという内容です。もし同様の勘違いをされている方がいたら参考になれば幸いです。 ユースケース AWS IAMユーザーを、ロールの trust policy がユーザーのタグで制御するケースで考えます。 具体的には、「Group A あるいは Group B」に所属し、且つ「Admin」権限のあるユーザーのみが行使できる役割「AdminABRole」があるとしましょう。 この場合、Group と Admin のタグが存在し、下記のようなパターン（※）が考えられます。
日本政府「情報漏えい確認せず」 中国軍ハッキング報道：時事ドットコム
日本政府「情報漏えい確認せず」 中国軍ハッキング報道 2023年08月08日12時10分配信 閣議に臨む岸田文雄首相（中央）。右は浜田靖一防衛相、左から２人目は松野博一官房長官＝８日午前、首相官邸 松野博一官房長官は８日の記者会見で、中国人民解放軍のハッカーが最も機密性の高い情報を扱う防衛省のシステムに侵入していたとの米紙報道に関し、「サイバー攻撃により防衛省が保有する秘密情報が漏えいしたとの事実は確認されていない。事柄の性質上、事実関係については答えを差し控える」と語った。 中国軍、日本の最高機密網に侵入 情報共有に支障―米報道 ワシントン・ポスト紙は、米国家安全保障局（ＮＳＡ）が察知して日本政府に伝えたと報じた。松野氏は「米国とは平素からさまざまなレベルで緊密にやりとりしており、その詳細については答えを控える」と説明。浜田靖一防衛相も閣議後の記者会見で「サイバー攻撃によって任務の遂行に
Wiresharkで公衆無線LANのヤバさを確認してみた
私（@honeniq）の個人ブログです。日々の生活の中で感じた諸々のことから、 人さまにお見せできるような上澄み部分を抽出して投稿しています。 前置き ここ数年の携帯キャリアやコンビニ業界の頑張りで、町中に公衆無線LANのAPが溢れていますが、あれって安全なんでしょうか？盗聴される的な観点で。 パスワード無しのノーガードAPは論外としても、 契約者にだけWPAキーを教える((けど、利用者が多すぎて公開しているも同然の))タイプ APにはキー無しで入ることができ、Webアクセスをすると認証ページにリダイレクトするタイプ よく見かけるこの2タイプもやヤバそう。 試してみる前の認識 無線である以上は、自分が飛ばした電波は誰でも傍受できる。じゃあ暗号化して中身が分からないようにしましょう、ってなるけど、1つ目のタイプみたいに不特定多数の人が同じWPAキーを知っている場合、暗号化してもあんまり意味な
PC版「原神」のアンチチートシステムを逆手にとってアンチウイルスを無効にするランサムウェア攻撃が発見される、「原神」をインストールしていなくても標的に
人気アクションRPG「原神」のアンチチートシステムが、ウイルス対策ソフトウェアの無効化やランサムウェア攻撃に悪用されていたことが分かりました。この攻撃は「原神」のゲームやサービスとは無関係に行われているため、「原神」をインストールしていなくても標的になると報じられています。 Ransomware Actor Abuses Genshin Impact Anti-Cheat Driver to Kill Antivirus https://www.trendmicro.com/en_us/research/22/h/ransomware-actor-abuses-genshin-impact-anti-cheat-driver-to-kill-antivirus.html Hackers abuse Genshin Impact anti-cheat system to disable an
嫌いな相手に糞尿を匿名配送するサービス「ShitExpress」から顧客情報漏れる。利用者のハッカーが脆弱性突く | テクノエッジ TechnoEdge
ガジェット全般、サイエンス、宇宙、音楽、モータースポーツetc... 電気・ネットワーク技術者。実績媒体Engadget日本版, Autoblog日本版, Forbes JAPAN他 気に入らない知人や何らかの理由で敵対する相手に対し、匿名で動物の糞尿にメッセージを添えて送りつけられるサービス「ShitExpress」が、サイトの脆弱性を突かれてデータベースをまるごとダウンロードされ、ハッキングフォーラムに公開される事態が発生しました。 ShitExpressのウェブページは日本語にも対応しており、そこには「あなたを悩ますあの人、この人を思い浮かべてみてください」、「もし、その人たちにクッサーいサプライズを贈ることができるとしたら？」と書かかれています。そして送りつけるウ〇コの種類(動物)や箱に飾りのスマイリーシールを貼付するか否かなどのオプションを選択して送付できるようになっています。価
個人情報入りＵＳＢ紛失、業者が無断で「再委託」繰り返す…市「報告なく契約違反」（読売新聞オンライン） - Yahoo!ニュース
兵庫県尼崎市の全市民約４６万人分の個人情報が入ったＵＳＢメモリーが紛失した問題で、市から業務を受託した情報システム会社「ＢＩＰＲＯＧＹ（ビプロジー）」（旧・日本ユニシス）が協力会社に一部業務を委託する際、市の許可を得ていなかったことがわかった。ビプロジー社は経緯を調査している。 【図】個人情報入りUSB、どこで紛失したのか 同社は住民税非課税世帯などへの「臨時特別給付金」の支給事業を市から受託。同社によると、市との契約書では業務を再委託する場合、市の許可を得る必要があるが、無断で協力会社に再委託していた。 また、ビプロジー社は２６日、協力会社がさらに別の会社に再委託していたと発表。これまでＵＳＢを紛失したのは協力会社の社員と説明していたが、協力会社の委託先の社員だったと訂正し、ビプロジー社は「社内で誤った報告があった」と説明した。
「自衛隊に中国系メーカーのPCが配られて唖然」「LINEの情報もダダ漏れ」“ファーウェイ排除”を進めない日本の超危険 | 文春オンライン
世界が進める「ファーウェイ排除」 ここまで見てきたアメリカとロシア・中国の争い。そしてそこに巻き込まれる欧州。もちろん日本も他人事ではない。世界規模の覇権争いが続く中で、日本はどういう立場を取るべきなのか。実は日本は非常に中途半端な姿勢を見せている。 その一例が、ファーウェイ排除である。アメリカは2018年成立の国防権限法により本格的にファーウェイ排除措置がとられるようになってから、同盟国に5G通信機器などでファーウェイ製品の排除を要請した。10年も前から米政府はファーウェイを安全保障のリスクだと結論づけて警戒しており、国防権限法の前から国防総省などは米軍基地での使用禁止措置などをとっていた。 オーストラリアはすぐに反応し、同年のうちに安全保障への脅威からファーウェイを禁止にする予定であると発表した。 では、日本はどう対応したのか。米政府のファーウェイ排除要請の直後、「読売新聞」など大手メ
市民全員の情報を違法取得、職員2人免職「何が悪いという感じで…」：朝日新聞デジタル
","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"
VLC media playerを利用したサイバー攻撃確認のご報告
マルチメディアプレイヤーで有名なVLC media playerに関して、深刻な脆弱性を利用したサイバー攻撃の情報をご報告します。このアプリケーションにつき、脆弱性対策がなされるSuperShield 保護モードから切り換えないでください。 PC Matic個人版ご利用の日本のお客様で、PC Maticと他社セキュリティソフトの両方がインストールされた状態の端末において、VLC media playerの深刻な脆弱性を悪用され、VNCがインストールされ端末を遠隔操作されるという事案が本年5月9日に発生しました。お客様は遠隔操作に気がつき、画面上で勝手にエクスプローラーを操作されることに違和感を感じ、即座にイーサネットケーブルを抜いて、事なきを得ました。そのまま放置しておけば、エンドポイント保護による検出の回避やシステムのスキャン、悪意のある他のツールのダウンロード、外部のコマンド＆コントロ
「私はロボットではありません」画像選択の難易度が高すぎない？ 理由を専門家に聞いた｜FNNプライムオンライン
「私はロボットではありません」画像選択の難易度についてのツイートに共感多数 画像選択は、ボットがWEBページを不正に利用することを防ぐ技術 「もはや画像選択では、人間と機械を判別できなくなってきている」 インターネットのサイトにログインする時に表示される「私はロボットではありません」と、その後の「横断歩道」や「信号機」などの画像選択。 「人間である」ことを証明するために、慎重に、慎重に、画像を選択した経験は誰しもあるだろう。 そんな画像選択に関するツイートが9000以上リツイートされ、話題になっている。 グーグル この記事の画像（4枚） 投稿者は、「信号機」と「道路標識」の選択でミスすることが多いようで、「難易度高すぎないか？」と嘆いている。 最近、目にすることが多くなった「私はロボットではありません」の画像選択における難易度の高さについて、SNS上では、「めっちゃわかる」「私も早く人間に
「ノートン 360」で仮想通貨マイニング機能が自動インストールされる件に批判の声
by Tony Webster 多数のユーザーが利用しているアンチウイルスソフト「ノートン 360」が、アップデートにより、仮想通貨マイニング用の新機能「ノートン クリプト」も自動的にインストールされる仕様となったことに対して批判が集まっています。 Norton 360 Now Comes With a Cryptominer – Krebs on Security https://krebsonsecurity.com/2022/01/norton-360-now-comes-with-a-cryptominer/ Once Opted Into Norton Crypto, You Can't Easily Uninstall | Digital Trends https://www.digitaltrends.com/computing/no-easy-way-to-uninstal
SamsungやXiaomiのスマホは大量のユーザーデータをメーカーやその他の企業に送信していることが判明
Googleが開発するモバイル向けOSのAndroidはAppleのiOSを上回る市場シェアを誇っている一方、iOSより最大20倍も多くのユーザーデータを収集することが指摘されています。SamsungやXiaomi、Huaweiなどが開発したカスタムAndroid OSを調査した新たな研究では、カスタムAndroidの多くが重要なデータをメーカーやサードパーティー企業に送信していることが判明しました。 Android_privacy_report.pdf (PDFファイル)https://www.scss.tcd.ie/Doug.Leith/Android_privacy_report.pdf Android phones engage in ‘significant’ data collection and sharing https://www.irishtimes.com/busin
Shuji Sado (佐渡 秀治) on Twitter: "ふむ、やっと見つけた。スウェーデンのとある学校で出席確認のために顔認識の実証実験が行われたがその実験自体がGDPR違反で制裁金をくらった事例。実験は生徒の同意の下で実施されたが、データ主体である生徒と学校間の権力不均衡に鑑みて同意… https://t.co/kdFqRaluS8"
ふむ、やっと見つけた。スウェーデンのとある学校で出席確認のために顔認識の実証実験が行われたがその実験自体がGDPR違反で制裁金をくらった事例。実験は生徒の同意の下で実施されたが、データ主体である生徒と学校間の権力不均衡に鑑みて同意… https://t.co/kdFqRaluS8
トヨタの販売会社 本人の同意得ずに個人情報を目的外使用 | NHKニュース
トヨタ自動車は、直営や系列の販売会社で、アンケートなどに記入された顧客の個人情報を本人の同意がないにもかかわらず別の目的で使うという不適切な対応があったことを明らかにしました。 発表によりますと、個人情報の目的外の使用が明らかになったのは、トヨタ自動車の直営や系列の販売会社27社です。 これらの会社では、顧客がアンケートや車を注文する際の書類に記入した名前や生年月日、住所といった個人情報について、本人の同意がないにもかかわらず、トヨタの会員制ウェブサイトの登録に使っていました。 こうした不適切な対応は5797人分にのぼるということです。 8月も9つの販売会社で3318人分の個人情報が同じように目的外で使われていたことが明らかになっていて、トヨタは販売会社が、会員制ウェブサイトの登録者数を目標の水準まで増やそうとしていたことが背景にあるとみています。 外部への情報流出はなく、サーバーに保管さ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NTTビジネスソリューションズの顧客情報の不正流出について公表資料だけで語る、今回の件のヤバさ「セキュリティ教育資料に最悪の事例として載る」
セキュリティ研修で「w6!j38?pa7J」と「CanYouCelebrate?」ではどっちが強力なパスワードなのかという問題の答えが後者だった
【スイーツパラダイス オンラインショップ】不正アクセスによる個人情報漏えいの可能性のあるお客様へのお詫びとお知らせ | 公式スイーツパラダイス
警視庁、フロッピーディスク2枚紛失 38人の個人情報入り | 毎日新聞
TechCrunch
Razer製デバイスを接続するだけでシステム権限を取得できる脆弱性
