Androidのフルディスク暗号化が破られる恐れ、研究者が問題指摘
米Qualcommのプロセッサを搭載したAndroid端末のセキュリティ機能「TrustZone」のコード実行の脆弱性を突いてAndroidのフルディスク暗号化を破る方法を発見したとして、セキュリティ研究者がブログで詳細を公表した。 研究者のブログによると、Androidのフルディスク暗号化はAndroid 5.0以降、デフォルトで有効になり、ユーザーの情報が自動的に保護されるようになった。 しかし、Androidで暗号鍵を守るためのモジュール「KeyMaster」では、「ソフトウェアによる抽出が不可能な真のハードウェア鍵が使われておらず、鍵が直接TrustZoneに受け渡されてしまう」と研究者は解説。KeyMaster鍵を抽出するTrustZoneイメージをOEMが作成して署名すれば、捜査機関がその鍵を使ってブルートフォース攻撃を仕掛け、端末のフルディスク暗号化のパスワードを簡単に破るこ
2010 年 9 月 21 日現在のツイッターのバグ(脆弱性)について
【お知らせ】 9 月 21 日午後 11 時頃、公式サイドから脆弱性が修正されたとの発表がありました。 はじめに 2010 年 9 月 21 日、ツイッターで深刻な脆弱性(ぜいじゃくせい)が発見され、被害が広がっています。これが何なのか、簡単に説明します。 JavaScript とマウスオーバーイベント まず、下のピンク色の枠内にマウスカーソルをすべらせてみてください。 この枠の中をマウスカーソルで触って! どうでしたか。「触ってくれてありがとう!」というメッセージが表示されましたね。 このように、ウェブページには簡単なプログラムを仕込むことができます。どのウェブブラウザー(皆さんがウェブを見る時に使うソフトウェア。インターネットエクスプローラーなど)でも共通で使える「JavaScript (ジャバスクリプト)」という言語が一般的に使われています。 今回は、ページ上のある部分にマウスカーソ
Windows の全バージョンに危険な脆弱性が見つかる | スラド セキュリティ
USB メモリを差し込んだり、ブラウザ経由で WebDAV を表示したり、Microsoft Office などの埋め込みショートカットに対応したファイルを表示するだけで感染してしまう可能性のある危険な脆弱性が見つかった (CVE-2010-2568、RBB TODAY の記事、エフセキュアブログの記事) 。この脆弱性は Windows ショートカット (*.lnk) に存在するため、AutoRun/AutoPlay を切るだけでは回避できない。Windows の全バージョンで影響を受ける。 この脆弱性を利用したワームの「Stuxnet」が既にイランやインドネシア、インドを中心として広がっている (security-jounral の記事)。このワームは公共インフラにも使われる SCADA (産業制御システム) をターゲットとしており、このワームに含まれるルートキットは適切にデジタル署名さ
IT news, careers, business technology, reviews
Heads on: Apple’s Vision Pro delivers a glimpse of the future
DNSキャッシュポイズニング対策：IPA 独立行政法人 情報処理推進機構
本資料は、「DNSキャッシュポイズニングの脆弱性」の対策を更に促進することを目的としており、DNSキャッシュポイズニング対策の検査ツールの使用方法や、DNSの適切な設定方法に関する情報等をまとめています。 第1章では、DNSの役割とその仕組み、DNSキャッシュポイズニングの実現手法とその脅威を解説しています。 第2章では、DNSの問合せ動作を概説し、その動作の理解を深めて頂くための関連ツールとしてwhoisサービスやnslookupコマンドの使い方を説明しています。 第3章では、DNSキャッシュポイズニング対策の検査ツールとして活用できるCross-Pollination CheckツールとDNS-OARC Randomness Testツールの使い方と注意点をまとめてあります。 第4章では、BIND DNSサーバとWindows DNSサーバの適切な設定に関して具体的に記述してあります。
認証局のデジタル証明書が偽造されるリスクについて
結論を最初に記しておく。認証局（認証機関：CA）のデジタル証明書（SSL証明書）を偽造するという今回の攻撃を調査した結果，リスクの大きさは大して変わらなかった。これは旧式のハッシュ・アルゴリズム（ハッシュ関数）を狙った非常に深刻な攻撃といえるが，広く知れわたってはおらず，攻撃者たちに悪用されないよう対策済みだ。 ドイツのベルリンで開催された第25回 カオス コミュニケーション会議（Chaos Communication Congress）で2008年12月30日（現地時間）に発表された技術的な脆弱性については，さまざまな説明がなされている。米ワシントン・ポスト紙の記者であるBrian Krebs氏は，平均的インターネット・ユーザーにも理解できるよう，いつもながらの見事な記事を書いてくれた。米プリンストン大学の教授であるEd Felten氏は，セキュリティの専門家でもあまり暗号やPKI（公開
今日時点での偽SSL証明書の話関連をピックアップ - naoeの日記
そろそろ各種ベンダーからもプレスリリースやらメールが回り始めたことだし ちょっとづつ集めてみよう．どうせ仕事でこの辺をやる羽目になるのだろうから・・・ MD5 considered harmful today: Creating a rogue CA certificate http://www.win.tue.nl/hashclash/rogue-ca/ http://d.hatena.ne.jp/naoe/20090105#p1でも書いたように 年末にWebAppSecのメーリングリストでこの件について僕は知りました． そのときはふーん．PS3を200台使うとかうらやましすぎる．とか位にしか思っていなかった． あとはここでもよくCFPを流していてChaos Communication Congressは前にも流したのでへぇーくらい． http://d.hatena.ne.jp/naoe
TechCrunch | Startup and Technology News
Unlike Light’s older phones, the Light III sports a larger OLED display and an NFC chip to make way for future payment tools, as well as a camera.
自堕落な技術者の日記 : MD5サブCA偽造問題の解決って本当？ - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 カンファレンスでMD5ハッシュ衝突を用いたサブCAの偽造が発表されて、わずか数時間でRapidSSLサービスを提供している米VeriSign社はすぐにMD5withRSAのSSLサーバー証明書を発行することを止やめる対応をとりました。この米VeriSignの迅速な対応は私もすばらしいと思います。 日本ベリサインやグローバルサインでもMD5問題の報告をしています。 日本ベリサインのグローバル・サーバーIDでは現在、証明書発行を停止しており1月15日よりSHA1withRSAに切り替えて再開する。 既存のMD5withRSAのSSLサーバー証明書のオーナーには影響が無い。 と書いてあります、 米VeriSignのTom氏のブログは1月2日に読んだ
自堕落な技術者の日記 : 続々：MD5の商用ルートCAの終焉 - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 自堕落な技術者の日記 : 続：MD5の商用ルートCAの終焉 - livedoor Blog（ブログ） う〜〜む、続々荒野の七人みたいなタイトルになってきましたね、、、（ ´∀｀） 今回のMD5ニセサブCA問題について幾つか補足しておきます。 EV SSL証明書とMD5ニセサブCA問題 今回の問題のEV SSLサーバー証明書への影響についてCA Browser Forum議長 EntrustのTim MosesはIETFの関連MLに2009年1月1日以下のようにポストしています。 ・EV SSLサーバー証明書を発行するCAでMD5を使って証明書に署名するCAは無い ・EV証明書は自動的な手続きにより発行されることは無い EVのガイドラインではM
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft Windows の OLE オートメーション機能の実装に起因する任意コード実行の脆弱性（Scan Tech Report） | ScanNetSecurity
セキュリティ診断・検査のGMOサイバーセキュリティ byイエラエ
知らぬ間に“自宅ビュー”を撮影されている恐怖、AndroidマルウェアのPoC 
Diaries of a vulnerability
Excelでローカルユーザの権限を奪取される脆弱性に関する検証レポート（NTTデータ先端技術） | ScanNetSecurity
テクノロジー : 日経電子版
【セキュリティ ニュース】ATOKにスクリーンロックが回避され、コードが実行される脆弱性（1ページ目 / 全1ページ）：Security NEXT
重要なセキュリティの脆弱性がQuicksortで発見
日本ベリサイン - Enterprise & Internet Security Solutions
偽のSSL証明書作成を研究者グループが実証、200台のPS3を使用