インド政府、電話やSNSなどすべての通信を監視するシステム構築へ | スラド YRO
インド政府は、2000年に制定された電気通信法を根拠として、オンライン活動、電話、テキストメッセージ、さらにはソーシャルメディアの会話などあらゆる情報を監視する中央監視システム（CMS）の構築プロジェクトを開始した。政府はこのCMSは2008年に150人以上の死者を出した「ムンバイ同時多発テロ」のような事件を防ぐためだと主張している。 サイバー問題に詳しい最高裁判所のPavan Duggal氏は「このシステムは乱用が可能だ。市民の個人的なインターネット記録を監視する空前の権限を政府に与えてしまった」とコメントしている（THE TIMES OF INDLA、The Register、本家/.）。 THE TIMES OF INDLAによれば、CMSは捜査機関だけでなく税務当局などでも利用できるという。インドのプライバシー団体のinternet freedomもインドでは一般市民を保護するため
第1回 標的になる車載ソフト
近年、自動車に様々なソフトウエアが導入されるなど、情報技術の活用が進んでいる。自動車1台に搭載する電子制御ユニット（ECU：Electronic Control Unit）の数が、100個以上にのぼる車両もある。ソースコードの行数は約1000万行と言われ、クルマは大規模なソフトウエアを実装するシステムになっている。 ソフトウエアの塊と言えるクルマに対して今、新しい脅威が見えている（図1）。2010年、米国の研究者らが自動車内外からの通信によって車載ソフトの脆弱性を攻撃し、車両の制御システムに影響を与えられることを明らかにした。リアルタイム性が重要である車載システムと情報システムの違いがあるとは言え、認証や通信の秘匿などの面で車載ソフトには情報セキュリティの面で脆弱な部分が存在することが分かった。 しかも今後、車載ソフトのシステムが攻撃される可能性は高まる。攻撃する経路が増えているからだ。車
Bitcoinとは
ピザ2枚分の価値が、いまや2億円に膨張！ ネット上で密かに流通する「ビットコイン」とは？ http://diamond.jp/articles/-/35129 通常の通貨のように国境も持たず、供給量を管理する中央銀行もない P2P（ピアツーピア）のファイル共有と同じしくみで、中央の組織を介さずにユーザーからユーザーに支払いができる 通貨としての存在を保護するために、採掘や取引記録は全ネットワークに記録され、また二重使用できなくするしくみもある ビットコインのしくみを考案したのは、サトシ・ナカモトという人物（感じでは「中本哲史」と記述）だが、この名前は偽名だというのがもっぱらのうわさで、日本人どころか、どこの誰なのかも不明 仮想通貨：デジタルの世界の「金採掘」http://jbpress.ismedia.jp/articles/-/37609 ビットコインの「金融政策」は利口なアルゴリズムに
Android端末を利用し航空通信の脆弱性を攻撃 | スラド セキュリティ
電話のボタン一つで飛行機をハックしハイジャック、という映画などで見かけるシーンが現実に一歩近づいたようだ (Help Net Security の記事、本家 /. 記事より) 。 アムステルダムで行われたハッキングカンファレンス Hack in the Box にて、セキュリティ専門家であり商用航空機パイロットでもある Hugo Teso 氏が Android 端末を利用した攻撃を発表した。Teso 氏は航空通信システムの脆弱性を攻撃するフレームワーク SIMON を構築、さらに航空機のフライトマネジメントシステムに攻撃メッセージを送信する PlaneSploit という Android アプリケーションを開発したとのこと。 この攻撃は ADS-B (Automatic Dependent Surveillance-Broadcast）と ACARS (Aircraft Communica
グーグルでは分からないインターネット裏情報を引き出す「SHODAN」
ネットワーク接続されるデバイスの数が日々増加する中、その危険性について警鐘を鳴らすサービスに再び注目が集まっている。サービス開始から2年が経過した「SHODAN」というWeb検索サービスだが、これについて最新情報（翻訳版）を紹介したCNNによれば、最も危険な検索エンジンであり、Googleがインターネットにおける表の顔だとすれば、SHODANはインターネットの暗部を映し出す存在だという。 インターネット接続されたデバイスの動作状況を 24時間監視するサービス 一般に我々が「検索エンジン」と聞いて想像するものは「Webページ上のコンテンツの検索」であり、日々インターネット検索を行なっている。一方、SHODANで検索できるのは「サーバーやルーターなどインターネットに接続されたデバイスの状態」であり、Googleなどで検索可能なデータとはレイヤーが異なる。 例えばGoogleでは、「Webサーバ
アイデンティティ愛好家の集いで交わされたPKIを巡る熱い議論
2月1日、第15回「Identity Conference（Idcon）」が開催された。東京・六本木に用意された広い会場は、金曜日の夜にもかかわらず「アイデンティティ愛好家」で埋め尽くされる盛況となった。 2月1日、第15回「Identity Conference（Idcon）」が開催された。Idconはデジタル・アイデンティティに興味を持つ人々による勉強会で、OAuthやOpenID Connectといったアイデンティティ関連技術を中心に、それを取り巻くさまざなな情勢について情報共有し、議論する場だ。 東京・六本木に用意された広い会場は、金曜日の夜にもかかわらず「アイデンティティ愛好家」で埋め尽くされる盛況となった。
RSA暗号の生みの親曰く「暗号化の重要性は薄れてきている」 | スラド セキュリティ
ターゲット型攻撃（APT：Advanced Persistent Threat）が活発になっている昨今、暗号化の重要性は低下しており、データやシステムを守る新たな術を模索すべき時を迎えているという（threatpost、本家/.）。 セキュリティに関する年次イベントRSA Conference 2013のパネルディスカッションにて、RSA暗号の発明者の一人であるアディ・シャミア氏がこう述べたという。 従来のセキュリティの考え方は、アンチウィルスソフトウェアやその他の手段をもってAPT攻撃による侵入を防ぎ、侵入された場合にはAPT攻撃の活動を検知するという二つの段階を踏んでいたが、APT攻撃はこのどちらも突破し、数年の単位で活動できることが最近の事例で明らかになっている。 シャミア氏曰く、APT攻撃がシステム内の全てを監視していることを考えると暗号を効率的に活用することは非常に難しく、セキュ
「サイバー捜査官」、全国の警察で採用募集中 | スラド IT
急増するサイバー犯罪に対応するため、全国の警察でサイバー捜査官の採用活動が活発になっている模様（警視庁による求人情報、各都道府県警の採用情報：千葉県警、 群馬県警 、 茨城県警、 大阪府警）。採用条件はほぼ以下の内容で統一されているようです。/.Jの読者で該当する人は多いのでは？ 民間企業等において情報システムの開発・保守・運用等のコンピュータ技術開発関連業務に５年以上従事した経験がある人で、情報処理の促進に関する法律（昭和４５年法律第９０号）に基づき、独立行政法人情報処理推進機構が実施する次の情報処理技術者試験のいずれかの資格を取得している人 応用情報技術者ＩＴストラテジストシステムアーキテクトプロジェクトマネージャネットワークスペシャリストデータベーススペシャリストエンベデッドシステムスペシャリスト情報セキュリティスペシャリストＩＴサービスマネージャシステム監査技術者
マルウエアまん延の原因はパッチ更新管理サーバーのハッキング、韓国政府機関が発表
韓国インターネット振興院（KISA）は現地時間2013年3月21日、民・官・軍合同対策チームの調査で判明した被害の全容を発表した。これによると、放送局や金融機関6社が被害に遭い、パソコンとサーバーの合計で3万2000台が影響を受けたという（関連記事1、関連記事2、関連記事3）。 攻撃の実態調査は現在も継続しており、完全な正常化には少なくとも4～5日掛かると予想している。 マルウエア対策を実施しているはずの大手企業が被害を受けたのは、企業内でセキュリティパッチを一括管理する更新管理サーバーがハッキングされたのが原因と発表した。これにより、マルウエアの企業内への侵入を許してしまったとしている。 農協銀行のシステムを分析したところ、中国のIPアドレス（101.106.25.105）がパッチ更新管理サーバーに接続して、悪意あるファイルを作成していたことが確認されたという。 韓国のセキュリティベンダ
Twitter、「Twitter.com」からのメールに「DMARC」採用--フィッシング防止で
ソーシャルネットワーキング大手のTwitterは、同社からと名乗る電子メールをユーザーが受け取ったとき、それが本当にTwitterから来たものであることを保証し、誰かにパスワードを盗み取られることを心配しなくてもいいようにしたいと考えている。 Twitterは米国時間2月21日、単にTwitter.comアドレスから送られてきた電子メールを受け取った場合、それがフィッシング攻撃であることはほぼ確実にないことをブログ投稿で述べた。 同社は「DMARC」という新しいセキュリティプロトコルを採用したことを明らかにした。DMARCは、あるコンソーシアムがフィッシング攻撃を減らす目的で開発したプロトコルだ。 DMARCは、電子メールの認証プロトコルに関して、長年続いている運用、実装、報告面でのいくつかの問題を解決する。DMARCは、確立された認証プロトコル（DKIMとSPF）に基づいて構築されており
サイバー防御システム 総務省がシステム構築へ 多国間の連携も視野 - MSN産経ニュース
他国からのサイバー攻撃を事前に予知し防御するため、総務省はハッキングの手口などに関するデータの共有や解析を他国の関係機関と連携する動きを本格化させた。今月７日にはタイ電子取引開発庁との間で連携を開始した。その後も欧米や東南アジア諸国連合（ＡＳＥＡＮ）各国を含む多国間の枠組みでサイバー防御システムの構築を主導する方針だ。 総務省の情報セキュリティ対策室は、平成２３年度からの５カ年計画で、国内の省庁や企業を狙ったサイバー攻撃を事前に把握するためのシステム研究を官民共同で行い、民間の情報セキュリティー会社と連携し、インターネット上の不審な情報を検出できる観測システムの開発を進めている。 国内のある場所に置いたサーバーにあるソフトウエアを組み込んで「おとり」のネットワーク機器をネットワーク上に仕込み、そこに飛び込んでくるコンピューターウイルスを検知、外部に影響を及ぼさないサーバーのある特定の区域に
ファイル共有サイトの帝王キムからの挑戦状、「MEGA」のセキュリティーを破れたら賞金1万ユーロ
By Eric Caballero キム・ドットコム(Kim Dotcom)氏が設立したファイル共有サービス「Megaupload」は米国内だけでも1000以上のサーバーに25ペタバイトの膨大なデータを納め、1億7500万ドル(約135億円)以上もの莫大な利益を上げていました。しかし、2012年始めにはアメリカ司法省と連邦捜査局(FBI)の捜査により同サイトが著作権侵害を行っているとみなされ閉鎖に追い込まれ、本人も母国のニュージーランドで逮捕されてしまいました。 「Megaupload」閉鎖＆FBIが運営者を逮捕、驚愕の運営実態と収益額が判明 http://gigazine.net/news/20120120-megaupload-shut-down しかし、キム・ドットコム氏はその後すぐに保釈され、約1年を経て2013年に50GBの容量を無料で使用可能で保存したファイルを不特定多数の相手
パスワード運用はもう限界
「アカウントの情報を勝手に書き換えられた上、覚えのない課金の請求書が来た」「ポイントが勝手に使われていた」─IDとパスワードを盗まれ、アカウントを不正に利用されたとする被害者の声がネット上にあふれている。 消費者向け、企業向けに関わらず、IDとパスワードに頼る認証は、もはや限界に来ている（図1）。 通常、一人が使いこなせるパスワードは、せいぜい3～4個。にもかかわらず、クラウドサービスの利用が加速する中で、それぞれ独立にIDやパスワードを求めるシステムやサービスは年々増え続けている。こうなれば、同一のIDとパスワードの使い回しは避けられない。一つのサービスでパスワードが漏洩すれば、他のサービスでもIDを乗っ取られる。「IDを乗っ取るサイバー攻撃の多くは、別のサイトから漏れたとみられるIDとパスワードを利用している。攻撃のうち数％はログインに成功している」（セキュリティ企業 HASHコンサル
Kasperskyが独自OSを開発へ、産業制御システム用に
Kaspersky Labが独自OSの開発を進めていることを確認し、「Kaspersky Labが世界を救う」と宣言した。 ロシアのKaspersky Labが、原子力発電所や交通網といった基幹インフラの運用を担う独自OSの開発を進めていることが明らかになった。最高経営責任者（CEO）のユージン・カスペルスキー氏が自身のブログで10月16日に発表した。 カスペルスキー氏はブログの中で、原発やエネルギー供給、公共交通機関の制御、金融や通信システムといった基幹インフラに使われている産業制御システム（ICS）が、いかに無防備な現状にあるかを説いている。 さらに、各国でこうしたシステムが実際に攻撃された事例を挙げ、国家が関与したとされる「Stuxnet」「Flame」などのサイバー兵器的マルウェアも出現していると指摘。既存のインフラに組み込んでICSを健全な状態で運用できるセキュアなOSが必要だと
［ITpro EXPO 2012］三菱電機、標的型攻撃対応のファイル暗号化システムを参考出展
写真2●Windowsのファイルシステムに統合した形で動作する 条件式を設定したフォルダにファイルをコピーするだけで、合致する属性情報を持ったユーザーのみがファイルを復号して利用できるようになる 三菱電機は、2012年10月10日から東京ビッグサイトで開催している「ITpro EXPO 2012」の同社ブース内で、社内の特定ユーザーを狙う「標的型攻撃」への対応をうたったユニークなファイル暗号化システムを参考出展している（写真1）。 この暗号化ファイルシステムは、一般的な共通鍵暗号や公開鍵暗号アルゴリズムでは実現できない「属性情報および条件付き」の暗号化/復号処理を可能にする。すなわち、ファイルを暗号化するユーザーは一つの暗号鍵（公開鍵）を用いながら「このファイルは経理部の部長か課長だけ復号可能」といった条件を指定でき、その条件に合致する属性情報が埋め込まれた秘密鍵を持つユーザーのみがファイ
新たな感染手口を備えたSIREFEF/ZACCESSが登場
今回は新手のマルウエアに関するブログをいくつか紹介する。まず、トレンドマイクロが確認した「SIREFEF/ZACCESS」（別名「ZEROACCESS」）マルウエアの亜種について。同社はブログで注意を呼びかけた。 同社は7月下旬に、顧客から「services.exe」ファイルが未知のマルウエアにパッチを当てられたとの報告を受けた。パッチを当てられたservices.exeはZACCESSマルウエアファミリーのコンポーネントであることが確認されたという。このシステムファイルを利用して、ZACCESSはマシンが再起動する際に別の不正コンポーネントを実行する。この亜種は、通常のルートキット機能を使うのではなく、ユーザーモードを悪用して不正なコードを密かにロードする点が新しい。 詳細に分析したところ、トレンドマイクロはservices.exeのパッチに関係するメインの不正コード（「BKDR_ZAC
標的型サイバー攻撃に備えるなら頭を使え！
サイバー攻撃の手口の巧妙化・複雑化によって、「今までの対策は無意味なのか？」と頭を抱える企業が少なくない。この状況に対応していくための新たなキーワードが「インテリジェンス」である。 警察庁は8月23日、国内のセキュリティサービス企業10社と「サイバーインテリジェンス対策のための不正通信防止協議会」を立ち上げた。機密情報の搾取が目的とみられる企業や政府機関を狙った標的型サイバー攻撃の増加を受け、ICTインフラの不正利用を防ぐためには、セキュリティの専門機関が連携して対応する必要性が高まっている。 警察庁と各社ではサイバー攻撃にかかわる情報を共有し、それぞれが持つ知見やノウハウを相互に連携させながら対策活動に当たるという方針を掲げる。そこでのキーワードは、組織の名称にもある「インテリジェンス」だ。情報セキュリティ対策における「インテリジェンス」とは何か、なぜ「インテリジェンス」が求められている
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
健康に関する個人情報がハッキングされる可能性
IPA、2013年版「セキュリティ10大脅威」を発表 
不正ポップアップだけではない、銀行を悩ます近ごろのフィッシング4つの傾向 巧妙化する手口、みずほ銀行のCSIRT担当者が実例解説