スイスの電子投票システムに脆弱性--票が操作されるおそれ
オーストラリアとスイスの大学のセキュリティ研究者と学者からなる2つの異なるチームが現地時間3月12日、スイスの電子投票システムに脆弱性が見つかったことを明らかにした。このシステムは、スイスの選挙管理委員会が将来の選挙に向けて展開を計画しているものだ。 セキュリティ研究者らによると、報告された複数の脆弱性に含まれる1つは、投票機（あるいは投票機の製造業者）にローカルアクセスできる攻撃者に投票の改ざんを許しかねないものだという。 この脆弱性は、投じられた票が報告された票と同じであることを検証する暗号化システムに内在するが、この暗号化スキームは脆弱であり票の交換が可能だと、研究者らは述べている。 技術的な説明は、オーストラリアのメルボルン大学による概要と、スイスのベルン応用科学大学による詳細な報告書で確認できる。 スイスの電子投票システムを担当するスイスの郵便事業会社Swiss Postと、この
クレジットカード情報を6秒で推測する手口が見つかる、英銀行へのサイバー攻撃に利用か
クレジットカード番号と有効期限、セキュリティコードの情報をわずか6秒で推測できるという「分散型推測攻撃」の手口を英国の研究者が発表した。現在のところ、この攻撃が通用するのはVISAカードのみだという。 英ニューキャッスル大学の研究チームは12月2日（現地時間）、インターネットのクレジットカード決済に必要なカード番号と有効期限、セキュリティコードの情報をわずか6秒で推測できてしまう攻撃方法を見付けたと発表した。 研究チームはこの手口を「Distributed Guessing Attack」（分散型推測攻撃）と命名。英国では11月に、Tesco銀行の顧客を狙ったサイバー攻撃で総額250万ポンド（約3億6000万円）が盗まれる事件が発生しており、研究チームはこの事件で使われたのが推測攻撃の手口だったとみている。 発表によると、研究チームはVISAカードの決済システムの脆弱性を突き、カードのデー
すべてはここから始まった〜SHA-1の脆弱化 ― ＠IT
米国は、現在利用されているすべての米国政府標準の暗号技術を2010年までにより安全な暗号技術へ交代させていく方針を明確に打ち出している。現在、世界中で使われているデファクトスタンダードの暗号技術は、そのほとんどすべてが米国政府標準の暗号技術に準じているため影響は極めて大きい。2010年に向けて現在使われている暗号技術はどのように変わっていくのだろうか（編集部） 2005年2月15日、世界的な暗号の権威であるBruce Schneier氏のBlog「Schneier on Security」で公表された「SHA-1 Broken」という情報は、驚きをもって世界中を駆け回った。現在、ハッシュ関数のデファクトスタンダードとして最も広く利用されているSHA-1に対して、中国・山東大学のXiaoyun Wang氏とHongbo Yu氏、セキュリティコンサルタントのYiqun Lisa Yin氏のチー
米管制システムに脆弱性、当局調査が指摘
世界のセキュリティ・ベンダーのブログから、押さえておきたいトピックをピックアップして紹介する。今回最初の話題は、航空交通管制システムの脆弱性に関するもの。米国の政府説明責任局（GAO）が3月初めに発表した調査結果を、スロバキアのイーセットがブログで紹介。米連邦航空局（FAA）は航空交通管制に関するセキュリティを強化するべきだと注意を促している。 42ページにおよぶ調査レポート（PDF文書）は、米国領空に安全保障上の脅威をもたらす可能性がある航空交通管制の重大な欠陥を指摘している。GAOは調査結果に基づいて17項目の公的勧告を策定したが、さらに非公開の文書には168項目の提言が盛り込まれているという。 レポートで言及されているセキュリティの欠陥は、コンピュータリソースに対する未承認アクセスの防止と検出、ユーザーのID認証、重要データの暗号化などに関するもの。レポートの著者は、FAAの情報セキ
産業制御デバイスに対する攻撃の傾向
今回は、産業機器向けの攻撃、ソーシャルエンジニアリング、標的型攻撃といった最近の様々な攻撃の動向についてのブログを取り上げる。 「Flame」や「Stuxnet」などによる攻撃が大きな話題になったことから、産業制御システム（ICS）および遠隔制御・監視システム（SCADA）のセキュリティに対する懸念は高まっている。しかし、攻撃対象としてICS／SCADAに対する関心はいっこうに衰える気配がない。トレンドマイクロは、ICS／SCADAのセキュリティに関する調査からいくつかの注目すべき傾向を確認したとして、ブログで報告した。 目立った傾向の1つとして、トレンドマイクロはターゲット型攻撃の増加を挙げた。ターゲット型攻撃では、攻撃を実行する前にICSデバイスをより念入りに調べている様子がある。トレンドマイクロの調査では、標的を絞り込んで特定のアプリケーションのみを狙っていると思われるマルウエアを確
標的型攻撃の検出支援システム
ここ数年、標的型攻撃の件数が著しく増加している。この状況を受け、攻撃を検出する仕組みも開発が進んでいる。例えばトレンドマイクロの「SPuNge」という標的型攻撃検出支援システムがその一つだ。 トレンドマイクロによれば、標的型攻撃と広範な無作為攻撃を分ける要素は、単純にその動機と被害者だ。実際に使われているツールはほぼ変わらない。例えば50カ国にわたる多数のユーザーに感染するリモートアクセスツール（RAT）は広範な無作為攻撃とみなされるが、原子力発電所のみを標的にした同様の攻撃は標的型攻撃となる。いずれも使われているツールは同じだが、動機と標的が異なる。 標的型攻撃について1つ明らかなのは、検出が難しいということ。これまで標的型攻撃の検出についてはそれほど研究がなされていない。 トレンドマイクロが提案するSPuNgeは、同社のセキュリティ技術基盤「Smart Protection Netwo
電力グリッドは丸腰状態、サイバー攻撃のリスクは深刻
「エネルギーセクターの再編とスマートグリッドの登場は、サイバーセキュリティの問題をおおかた見過ごしてきた。攻撃に対する電力会社の準備はさんたんたるものだ」。これは、電力供給業界のセキュリティに関する米ABIリサーチの調査報告である。この報告書の内容を、スロバキアのイーセットがブログで紹介している。 世界的に見て、電力グリッドはますますサイバー攻撃を受けやすくなっている。ABIリサーチはその要因として、工業制御システムを使用している点を指摘する。工業制御システムは認証手段が不十分で、暗号化機能はほとんどなく、侵入検知機能も備えていない場合が多い。サイバーセキュリティの対応が欠落していることに加え、コスト削減と市場指向モデルの効率化を混同していることにより、サイバー攻撃を受ける危険性は高まっているという。 例えば米ウォールストリートジャーナルは5月下旬、悪質なハッカーが複数の米国エネルギー企業
第3回 クルマはどこから攻撃されるのか
第2回で、情報セキュリティの研究者らによる車載ソフトに攻撃する研究事例を紹介した。第3回は自動車システムを攻撃するのに考えられる経路や、車両の機能群の違いに応じたセキュリティ対策を少し一般化する形で整理する。その際、IPAで考えた自動車モデルを基にする。 ユーザーが常に監視できないのがクルマ IPAでは、自動車の情報セキュリティに関する攻撃手法を分析する上で、図1のような三つの経路があると考えた。 1．直接攻撃 自動車はパソコンや携帯電話機と異なり、その大きさと性質からユーザーが常に監視することは難しい。悪意ある攻撃者が自動車に直接触れることは比較的簡単である。また、車検などで整備するときは自動車の管理を整備員に任せねばならず、整備員になりすました第三者が攻撃を加える可能性がある。さらにユーザー自身が車両を改造することによって、無意識のうちに自動車のセキュリティ機能を解除することも考えられ
第2回 車載ソフトへの攻撃例が続々
第1回で、車載ソフトが悪意ある攻撃者の対象になりつつある自動車技術の大きなトレンドを示した。現在、情報セキュリティの研究者らは自動車への攻撃手法を検討し始めている。情報セキュリティの世界では防御の手法を練るのと同時に、どんな攻撃を受ける可能性があるのか研究することが大切である。第2回は現時点で公開されている研究のうち、代表的な4例を紹介する。 【事例1】発端となった米国の研究論文 2010年、実証実験に基づく論文「Experimental Security Analysis of a Modern Automobile」が公開された（図1）。論文では、自動車の保守点検用ポートに特別な機械を設置し、並走する車両から車載システムの脆弱性をついた攻撃することで、ブレーキやワイパーの制御に影響を与えられることを明らかにした。 この論文では、対象車両の通信を盗聴して解析し、認証すること、および発信元
第3回 Waldacボットネットの遮断に挑戦
いよいよ、今回はマイクロソフトの「Operation B49」によるWaledacボットネットの遮断について解説する。なお、ここで紹介する内容は、「Microsoft Security Intelligence Report Volume 8.」に詳しく記載されている。特に法的な対応については、原文を合わせて参照していただきたい。 セキュリティベンダーや学術機関と共同で遮断計画を策定 Waledacは、米国を含む39カ国でTOP 10にランクされたボットネットで、スパムメールの送信、DDoS攻撃、クリック詐欺、感染などの活動を行う。感染した7万～9万台のPCで構成され、一日あたり約15億通のスパムメールを送信していた（図6）。 2009年の10月に、マイクロソフトのDigital Crime Unit（DCU）が主催するDigital Crime Consortium（DCC）と呼ばれるイ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
健康に関する個人情報がハッキングされる可能性
IPA、2013年版「セキュリティ10大脅威」を発表