画像ファイルに偽装し、HDDをフォーマットするトロイの木馬が出回るWindows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行を
高木浩光＠自宅の日記 - 第六種オレオレ証明書が今後増加するおそれ, 訂正（15日）
■ 第六種オレオレ証明書が今後増加するおそれ リンク元を辿ったところ、東京証券取引所の「適時開示情報閲覧サービス」のサイトと、民主党のご意見送信フォームの送信先サーバ*1でオレオレ証明書が使われているという話を立て続けに見かけた。 無知な鯖管, 別館「S3日記」, 2007年12月9日 民主党のSSL証明書が不正な件, 思考と習作, 2007年12月10日 これらはどちらも、中間認証局から取得したサーバ証明書なのに、中間認証局の証明書をサーバに設置していないという、第六種オレオレ証明書の状態になっているようだ。 この場合、Internet Explorerアクセスするとオレオレ警告が出ないため、サーバ管理者が気づいていないのだと思われる。 IEで警告が出ないのは、IEには独自の機能が搭載されているからで、サーバ証明書に記載の「Authority Information Access」拡張フ
アスタリスクで隠されたパスワードを確認する方法 [K'conf]
ログインが必要なサイトの多くは、IDとパスワードを入力するフォームが設置されています。 通常、このようなフォーム内のパスワード部分に入力した文字は盗み見防止のため、「********」のようなアスタリスクになって文字が隠されるようになっていますが、しばしば、この入力したパスワードを確認したい状況になる場合も少なくありません。 このようなケースに役立つハックの紹介。 以下のJavaScriptをアドレスバーに入力すると、次のようなダイアログ内にパスワードが表示されます。 javascript:(function(){var s,F,j,f,i; s = ""; F = document.forms; for(j=0; j<F.length; ++j) { f = F[j]; for (i=0; i<f.length; ++i) { if (f[i].type.toLowerCase() ==
![アスタリスクで隠されたパスワードを確認する方法 [K'conf]](https://cdn-ak-scissors.b.st-hatena.com/image/square/1a87d5887c466cccb0b849babb90931bdfa1b8c8/height=288;version=1;width=512/http%3A%2F%2Fkenz0.s201.xrea.com%2Fimage%2Fweblog%2F071121%2F2.gif)
高木浩光＠自宅の日記 - こんな銀行は嫌だ
■ こんな銀行は嫌だ 「こんな銀行は嫌だ――オレオレ証明書で問題ありませんと言う銀行」……そんな冗談のような話がとうとう現実になってしまった。しかも、Microsoftが対抗策を施した IE 7 に対してさえ言ってのけるという。 この原因は、地方銀行のベンダー丸投げ体質と、劣悪ベンダーが排除されないという組織の構造的欠陥にあると推察する。 【ぶぎんビジネス情報サイト】アクセス時に表示される警告メッセージについて ぶぎんビジネス情報サイトでは、サイトＵＲＬ（https://www.bugin.cns-jp.com/）ではなく、ベースドメイン（https://www.cns-jp.com/）でSSLサーバ証明書を取得しております。このため、本サイトにアクセスする際、ブラウザの仕様により次の警告メッセージが表示されますが、セキュリティ上の問題はございませんので、安心してぶぎんビジネス情報サイトを
高木浩光＠自宅の日記 - 最終回： PlaceEngineの次に来るもの そしてRFIDタグの普及する未来
■ 最終回： PlaceEngineの次に来るもの そしてRFIDタグの普及する未来 この日記を書き始めたいきさつは、2003年の春、RFIDタグのプライバシー問題について、何が問題なのかあまりに理解されないことに危機感を覚え、ひとつひとつ書いていこうと決意したことからだった。 当時いろいろな方とお話しした中で最も印象に残っているのは、日経デジタルコアのイベントの宴席の2次会で同じテーブルについてお話しする機会のあった泉田氏との議論だった。そのときのことは2003年7月4日の日記に記録がある。その泉田氏は現在の新潟県知事である。 泉田氏はこうおっしゃった。「プライバシーが問題になるとしたら、政府がRFID読み取り網を整備するようなことになったとき。そうでなければ無理。」 つまり、街中にRFID読み取り機が設置され、そしてそれがネットワークに接続されるような状況は、国などが敷設しない限りあり
高木浩光＠自宅の日記 - 無線LANのMACアドレス制限の無意味さがあまり理解されていない
■ 無線LANのMACアドレス制限の無意味さがあまり理解されていない 職業マスメディアに代わって、ブログスタイルのニュースサイトが人気を博す時代になってきた。海外の話題を写真の転載で紹介する安直なニュースも人気だ。 このことろなぜか、無線LANのセキュリティ設定について書かれた記事を何度か見た。おそらく、ニンテンドーDSがWEPしかサポートしていないことが不安をもたらしている（そして実際に危険をもたらしている）ためだろうと思われる。 セキュリティの解説が増えてきたのはよいことなのだが、内容に誤りのあるものが少なくない。 実は危険な無線LAN, らばQ, 2007年10月21日 この記事には次の記述があるが、「接続されなければMACアドレスは盗まれない」という誤解があるようだ。 MACアドレスというのは、機器固有のIDのようなものです。たいていの無線LANアクセスポイントにはMACアドレスフ
第3回 通用しなくなった「80番ポートの安全神話」
セキュリティ対策の基本の一つに，ファイアウォールに余計な“穴”を開けないというものがある。それでも，WebアクセスのプロトコルであるHTTPが使う80番や8080番，SSLで使用する443番などは，ふさぐことのできないポートだろう。しかし最近は，この80番などを使ったWeb経由の攻撃が後を絶たない。開けているのが80番などの基本的なポートだけでも，安心とは言えないのだ。 ボットを制御するIRCがWebのフリをする 最近，多くのパソコンに感染が広がり，セキュリティ上の大きな脅威となっているものにボットがある。ボットとは，「ロボット（Robot）」から派生した言葉で，感染パソコンをロボットのようにリモート・コントロールする不正プログラム（ウイルス）の総称である。また，ボットが構成するネットワークの総称を，ボットネットと呼ぶ。ボットネットは，ハーダーと呼ばれる悪意を持った第三者の指示により，DD
koress.jp: OpenIDの襲来に備えよ！
追記: OpenID対応サービスまとめを作りました。 たぶん、2008年のインターネット（Webサービス)業界はOpenIDによるWebサービスのID体系の統一の荒波に揉まれることになると思う。日本のサービスプロバイダは、OpenIDの襲来に備えるべき。 海の向こうではすでにDigg, Wikipedia, Yahoo, Microsoftなどが導入や支持を発表しているほか、多くの小さなネットサービスはOpenIDに頼ったアーリーアダプタの取り込みに積極的になってる。日本国内ではどうかと言えば、niftyのaboutmeなどを除いて大手のWebサービスは未だ様子を見ている状態。リサーチレベルでは重要性が把握されつつある一方、経営レベルでは「なにそれ」的な状態が多そう。いかん、いかんよ。 2008年、YahooかAmazonかGoogleかわからないけれど、ほぼ間違いなくどこかの日本の大手の
荻上式BLOG - 騙しサイトで表示される「個人情報を取得しました」画像を集めてみた
アダルトサイトっぽいページでリンク先に飛ぼうとすると、「個人情報を取得しました→登録が完了しました→何日以内に払え、払わないと通報」的な画像が表示されることがよくあります。ソーシャルブックマークなどでセルクマしてランキング操作しているサイトもあるので、知らずに訪れて焦ってしまう方も少なからずいるのでは。 しかし、それらの画像のほとんどはただの gif 画像。「請求の 正体見たり gif 画像」ということで、さっさとページを閉じ、サイトの URL を検索してみるとかが吉かと。 ところでそれらの画像って、マジマジと見ると大抵マヌケな感じがしてほほえましい。今までも当サイトで何度か取り上げたのだけれど、他にもそういう画像がないかと釣りサイトを巡ってみた。というわけで、以下ではそれらのサイトから収集した gif 画像を紹介します。画像をクリックすると、それぞれの画像を単体でみれるよ。再生が一回で終
Part1 バッファ・オーバーフローとは
Part1では，セキュリティ・ホールの定義を説明するとともに，セキュリティ・ホールを攻撃する代表的な手法の一つであるバッファ・オーバーフローについて見ていこう。 セキュリティ・ホールとは，一般に，OSやアプリケーションにおいて，プログラムの不具合（バグ）や設計ミスが原因で発生するセキュリティ上の欠陥を指す言葉である。単にプログラムの「脆弱性」（vulnerability）と呼ばれることもある。 ハッカーなどの攻撃者は，セキュリティ・ホールを突いて悪さを試みる。セキュリティについて勉強していく上では避けられない必須といえる存在である。 一口にセキュリティ・ホールといっても幅広い。先に「セキュリティ・ホールとは，一般に，OSやアプリケーションにおいて，プログラムの不具合（バグ）や設計ミスが原因で発生するセキュリティ上の欠陥を指す言葉である」と述べたが，実はセキュリティ・ホールの原因は必ずしもバ
ぼくはまちちゃん！ こんにちはこんにちは!!
君は“はまちちゃん事件”を知っているか？ mixiのホームページ。mixiユーザーの中には、赤で囲んだ“マイミクシィ最新日記”欄に、“ぼくはまちちゃん！”の文字がいくつも並んだ人がいた 古くからのmixiユーザーであれば、“はまちちゃん事件”を覚えている人も多いだろう。2005年4月、mixiで大勢のユーザーが“ぼくはまちちゃん！”というタイトルを付けた、謎の日記を次々に公開するという怪現象が起こった。 きっかけとなったのは、あるユーザーが投稿した日記。その日記の本文には「こんにちはこんにちは!!」という言葉とともに“あるURL”が貼り付けてあった。 このURLが罠で、不思議に思って押すと、クリックしたユーザーのページに“ぼくはまちちゃん！”というタイトルで同じ文面/URLの日記が勝手にアップされてしまうのだ。 投稿は“ねずみ算”的に増え、一時は混乱状態に…… さらに、勝手にアップロードさ
ぼくはまちちゃん！(Hatena) - Port801 (初心者向け)セキュリティ勉強会 Hamachiya2編
こんにちはこんにちは！！ 先日、Twitterで声をかけてもらって、 第一回 Port801 セキュリティ勉強会っていうのに参加してきたよ！！ (↑pw: security) そこで、すこし喋った時のビデオを頂いたので、もったいないので公開しちゃいますね！ プレゼンだとかそういうの慣れてなくて、ぐだぐだな感じだけど、 よかったら何かの参考にしたり、晩ご飯のおかずにしてください＞＜ Port801 セキュリティ勉強会 - Hamachiya2 その1 (http編) Port801 セキュリティ勉強会 - Hamachiya2 その2 (CSRF編1) Port801 セキュリティ勉強会 - Hamachiya2 その3 (CSRF編2) Port801 セキュリティ勉強会 - Hamachiya2 その4 (XSS編1) Port801 セキュリティ勉強会 - Hamachiya2 その5
第12回 パスワードの決め方を考える
セキュリティ上重要なので、長く、複雑で、フレーズになっていないパスワードを作ってください。そして定期的に変更してください──。理屈では分かっても、実際に運用するのはたいへんなことだ。実際に使えるパスワードの作り方を考える。 PCでもWebサービスでも、使う際に必ずついて回るのがIDとパスワードだ。「あ、どんなパスワード入れたか忘れちゃった……」「これは！ と思うパスワードを全部入力したけどダメだった」「えーと、どんなパスワードにしよう。前と同じでいいかな？」 ほとんどの人はこんな経験をしたことがあるはずだ。その理由の1つは、守るべき要素と、運用上の使い勝手がほとんどの場合矛盾しているからである。 一般に、パスワードについては下記のようなことが“セキュリティ上重要”だと言われる。 同じパスワードを使わないこと → だからどのパスワードを使ったか分からなくなる パスワードは定期的に変更すること
無料のアンチウイルスソフト「AVG Anti-Virus Free Edition」日本語版登場 - GIGAZINE
Windows 98/Me/NT/2000/XP/Vistaに対応したアンチウイルスソフト「AVG Anti-Virus Free Edition」の日本語版がついに先ほど、ようやく公開されました。家庭内で個人的に非商用で利用するのであれば無料です。 いろいろと機能的な制限はあるものの、常駐させることが可能で、なおかつ定期的にパソコンの中をフルスキャンさせたり、あるいは右クリックから任意のファイルをスキャンするといったことも可能ですし、メールの送受信時に自動的にスキャンしてチェックすることもできます。なので、とりあえずアンチウイルスソフトに払うお金がないという人には最適なのかも。 というわけで、実際にインストールして使ってみました。 ダウンロードは以下から可能です。 AVG - AVG Anti-Virus Free Edition ダウンロードしたらクリックして実行 「次へ」をクリック
MS DirectXに脆弱性、TGA画像で悪用の恐れ
WindowsのDirectXにRLEで圧縮されたTarga形式の画像ファイルを処理する方法に脆弱性が存在する。 Microsoft DirectXに、任意のコマンド実行が可能になる脆弱性が報告され、7月19日、セキュリティ各社がアドバイザリーを公開した。最新バージョンでは問題は修正済みだという。 Secuniaのアドバイザリーによると、脆弱性は、RLE（Run Length Encoding）で圧縮されたTarga（TGA）形式の画像ファイルを処理する際の入力認証エラーに起因する。悪用されると、細工を施したTarga画像を使ってヒープベースのバッファオーバーフローを誘発し、システムを制御される恐れがある。 同社の深刻度評価は5段階で上から2番目の「Highly critical」となっている。 影響を受けるのはMicrosoft DirectX 7.x／8.x／9.xとMicrosoft
サン・マイクロシステムズ
日本のオラクル・コミュニティが一堂に会するプレミア・イベントにぜひご参加ください。新しいスキルを身に付け、業界エキスパートと交流し、複雑なビジネス課題を解決するためのソリューションを発見しましょう。
IEとFirefoxをインストールしている人は要注意--「非常に重大」なセキュリティリスク:ニュース - CNET Japan
「（Internet ExplorerとFirefoxの）どちらにも非がある」 「Internet Explorer」のゼロデイエクスプロイトについて当初はMicrosoftを非難していたセキュリティ研究者たちが今、このように述べている。この問題はウェブブラウザ「Firefox」のユーザーにも影響するからである。 IEと、Firefoxのバージョン2.0以降をインストールしているユーザーは、「非常に重大」なリスクにさらされている。攻撃者は、悪質なサイトをユーザーにIEで閲覧させることで、「firefoxurl://」というURLハンドラを利用しながら、ブラウザとウェブ上の特定のリソースとの間でやりとりをさせることが可能になる。この結果、ユーザーのシステムが遠隔地から悪用される可能性がある。 IEの問題を発見したセキュリティ研究者のThor Larholm氏とセキュリティ企業大手のSyman
「コーデックが必要です」、偽のコーデックサイトでマルウェア配布
検索して見つけたサイトでコーデックをインストールすると、マルウェアを呼び込んでしまうことがあるとMcAfeeが注意を喚起している。 ダウンロードした映画を見たいというユーザーの欲求に付け込み、コーデックを装ったマルウェアをダウンロードさせるサイトがあるとして、McAfeeがブログで注意を促している。 ネットからダウンロードした動画は、再生しようとすると「ファイルの一部が再生できません。コーデックが必要です」とのメッセージが表示されることがある。ネットでコーデックを検索してこの問題を解決しようとするユーザーが、悪質サイトの標的になっているとMcAfeeは指摘する。 こうしたサイトは、ユーザーが「Codec」（コーデック）などのキーワード検索をかけると表示される。一見プロフェッショナル仕様に見せかけてあり、コーデックのインストールと称して使用許諾契約書（EULA）を提示し、ユーザーをだましてマ
創意無限空間 » さくらの専用サーバーセキュ
先日、さくらインターネットで専用サーバーをレンタルしました。で、サービスのセットアップや動作確認など準備を進めている最中なのですが… サーバーをレンタルしてから数日後、ふとログファイルをチェックしていたところ、/var/log/maillogに見覚えのないログがつらつらと… …思いっきりSPAMの踏み台にされていましたorz もしや!! と思い、iptablesで解放portを調べてみたところ… # /sbin/iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt sou
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
不正流通ゲームから感染する「谷口ウイルス」、トレンドマイクロが警告