プレス発表 「安全なウェブサイトの作り方 改訂第7版」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、ウェブサイトの開発者や運営者向けの「安全なウェブサイトの作り方」にパスワードリスト攻撃への悪用防止対策等を新たに追加した改訂第7版を2015年3月12日（木）からIPAのウェブサイトで公開しました。 URL：https://www.ipa.go.jp/security/vuln/websecurity.html IPAでは、必要な技術的配慮が不足していたために起こるウェブサイトの情報漏えいや改ざん等、意図しない被害を防ぐため「安全なウェブサイトの作り方」を2006年から発行しており、これまでに6版を数えています。その内容には、IPAへの届出件数が多く攻撃による影響度が大きいソフトウェア製品やウェブアプリケーションに関する脆弱性関連情報を取り上げ、適切なセキュリティが考慮されたウェブサイト作成のためのポイントをまとめています。 7版
「100年前から情報セキュリティ」――凸版印刷に見る大規模企業の対策と現実
「100年前から情報セキュリティ」――凸版印刷に見る大規模企業の対策と現実：情報システム担当者のための「突撃！ 隣のセキュリティ」（1/4 ページ） サイバー空間の脅威から自社を守るために、情報システム担当者はセキュリティ対策の在り方を常に考える必要がある。本連載ではJPCERTコーディネーションセンターの情報セキュリティアナリスト、瀬古敏智氏が企業の情報セキュリティ対策事例を取材。エキスパートの視点から取り組みのポイントを分かりやすく解説する。 情報セキュリティ上の脅威から自社を守るために 企業組織の情報セキュリティを取り巻く状況は、目まぐるしく変化しています。攻撃者の目的や手口が複雑化する一方で、守るべき環境は多様化し、それに伴いリスクは増大の一途をたどっているといえるでしょう。 例えば、世間一般でも大きな話題になっているネットバンキングの不正送金事件は、警察庁の発表によると2013年
パスワードを管理する新しい手法「PolyPassHash」が提案される | スラド セキュリティ
パスワードの管理において、「PolyPassHash」と呼ばれる新しい管理手法が提案された（slashdot、論文PDF）。 この手法が提案通りに機能するならば、個別のパスワードを対象としたクラッキングがほぼ無効化されるようだ。またサービスを利用するユーザー側でなにかを変更する必要はなく、パスワードを保存・管理する側（サービス提供側）でこの手法を採用すればいいだけとのこと。 すでにCおよびPythonによる実装も公開されている。 安全性の高さの説明として、「6文字のランダム文字列のパスワードが3アカウント分あったとして、salt＋なんらかのhashで保管されている場合は3つのパスワードすべてをクラックするのに1台のノートPCで1時間ほどの時間しかかからなかったが、 PolyPassHashで保管した場合は地球上の計算機資源をすべて使って宇宙の終わりまでアタックしてもクラックされることはない
ITエンジニア小説シリーズ最新刊、Librahack事件を題材に
あなたはもう結末を知っている。しかし、その発端は知らない。まして、その裏話となれば知りようもない――2010年に起こったLibrahack事件を題材としたフィクション小説がアイティメディアから発売。 アイティメディアは10月25日、『ITエンジニア小説 鼠と竜のゲーム 高村ミスズ女史の事件簿』（リーベルG著）を電子書籍で配信開始した。主要な電子書店で配信しており、価格は500円。 同作は、2010年3月に起きた「岡崎市立中央図書館事件」（別名Librahack事件）をモデルとしたフィクション。蔵書検索システムの使い勝手に不満足のユーザーが、自作プログラムで蔵書検索システムに高頻度のリクエストを故意に送りつけたとして偽計業務妨害容疑で逮捕され、起訴猶予処分となった事件だ。作品内には産業技術総合研究所情報セキュリティセンターの高木浩光氏をモデルとした人物も登場している。 著者のリーベルG氏は2
ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
セキュリティのトビラ(1) パスワードのトビラ(1) オンラインとオフラインを知る
ここ数か月、不正ログインによる被害が相次いでいます。大手ポータル、プロバイダ、オンラインショッピングサイトなどなど。こうしたニュースを耳にし、「私のパスワードは大丈夫か?」といった不安をお持ちの方も多いのではないでしょうか。 パスワードにまつわるお作法や約束事にはさまざまなものがあります。サービス運営側から指南されるケースも多いので、大抵のユーザーが実践しているものも少なからずあるはずです。にもかかわらず、これほどの不正ログイン事件が発生しているのはなぜなのか、そんな当然の疑問や漠然とした危機感に少しで応えられればと思い、本連載の最初のテーマに「パスワード」を選びました。 パスワードという、多くに親しみのある認証の仕組みは「すでに限界」と言われてはきているものの、この先もまだまだお世話になる機会が多いはずです。知っておいて損することはないので、まずはこのテーマについて理解を深めるお手伝いを
警察庁が ISPに Torのブロックを要請！？ - セキュリティは楽しいかね？ Part 2
元は毎日新聞のこの記事。 警察庁有識者会議:サイト管理者が通信遮断を 匿名悪用で パソコン（ＰＣ）の遠隔操作事件を受け、発信元の特定を困難にする匿名化システム「Ｔｏｒ（トーア）」を悪用した犯罪対策を検討していた警察庁の有識者会議は１８日、サイト管理者の判断で通信を遮断することが抑止に効果があるとする報告書をまとめた。警察庁は提言を踏まえ、インターネット接続事業者の業界などに自主的な取り組みを促す。 よく読めば、「ISPが Torをブロックする」なんてことはどこにも書いてないのですが、なぜか話がどこかで捻じ曲がってしまい、国内だけでなく海外でも報道されています*1。Tor Projectもこんなツイートをしています。 Unfortunately, NPA recommends banning Tor in Japan, ur1.ca/dfu9c. NPA caught suspect, wh
ブラウザにファイルをドロップしてはいけない - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、CROSS 2013っていう、エンジニア向けのビール飲み放題のイベントに行ってきました！ そこの「HTML5×セキュリティ」っていうコーナーで、ちょっと喋ってきたんですが、 その時の小ネタを紹介しておきます。 最近、ブログとかのWebサービスで写真をアップロードする時に、 ファイルをドラッグ＆ドロップするだけでできたりしますよね。 いちいちダイアログから選ばなくていいから便利です。 こんなやつ。 この手の仕掛けって、ドラッグ時にボーダーカラーを変えたりして 「いまドラッグ＆ドロップ状態ですよ〜」ってわかりやすく表示されますが、 それって別に、ブラウザが警告の意味で出してるんじゃなくて、 あくまで、Webサービス側が親切で表示してるだけなんですよね。 ってことは ・ドラッグされても特にボーダーラインなどを表示せず ・画面上のどこでもドロップを受け入れるようにし
セキュリティWatch(5) Monthly Research 「数学者の暗号破りに見る "暗号の強さ" の重要性」
フォティーンフォティ技術研究所 技術戦略室の大居です。 11月が終わって一週間が経とうとしていますが、11月の Monthly Research を公開します。 今回の Monthly Research は趣向を変え、なぜ一人の数学者が Google の送信元証明を破り、創業者を装ったメールを送ることができたのかを追跡してみました (英語版 WIRED の元インタビュー記事 / 同記事の抄訳)。 Monthly Researchのダウンロードはこちら 最近メール送信元のなりすましを防止するための技術として利用が増えている DKIM (DomainKeys Identified Mail) は、現代暗号の利用モデルのひとつ、電子署名を使うことによって送信元が正しいことを保証しています。しかしこれに用いられる鍵が弱い場合、他のセキュリティホールを破ることなく、ある意味正面から署名を破ることがで
マンスリーAFCCニュース：2012年9月 モバイルユーザを狙う脅威の動向を俯瞰する ～入門編～(PDF)
Operationalize your investment and speed your time to value for ID Plus, SecurID, and RSA Governance & Lifecycle. Resources include 24/7 tech support from a world-class team, personalized support, and peer-to-peer knowledge sharing. Rely on RSA to identify the capabilities and strategic direction that will serve you best, no matter where you are on your identity journey. Build an intimate understa
高木浩光＠自宅の日記 - Tポイント曰く「あらかじめご了承ください」
■ Tポイント曰く「あらかじめご了承ください」 「Tポイントツールバー」なるものが登場し、8月8日ごろからぽつぽつと話題となり、13日には以下のように評されるに至った。 Tポイントツールバー（by CCCとオプト）が悪質すぎてむしろ爽快, やまもといちろうBLOG, 2012年8月13日 その13日の午後、一旦メンテナンス中の画面となり、夕方には新バージョン（1.0.1.0）がリリースされたのだが、15日には、「Tポイントツールバーに関する重要なお知らせ」が発表されて、「8月下旬」まで中止となった。非難の嵐が吹き荒れる中で堂々と新バージョンを出してきたにもかかわらず、なぜすぐに中止することになったのかは不明である。 この「Tポイントツールバー」とはいかなるものか。以下の通り検討する。 騙す気満々の誘導 刑法の不正指令電磁的記録供用罪（第168条の2第2項）は、「人が電子計算機を使用するに際
Tポイントツールバーを導入するとSSL通信の履歴までもが盗聴可能になる
twitterなどでTポイントツールバーの利用規約が話題になっています。このエントリでは、Tポイントツールバーを実際に導入して気づいた点を報告します。結論として、当該ツールバーを導入すると、利用者のアクセス履歴（SSL含む）が平文で送信され、盗聴可能な状態になります。 追記(2012/08/10 20:10) たくさんの方に読んでいただき、ありがとうございます。一部に誤解があるようですが、ツールバーが送信している内容はURLだけで、Cookieやレスポンスまでも送信しているわけではありません。URLを送信するだけでも、以下に示す危険性があるということです。 追記終わり 追記(2012/08/13 23:50) ポイントツールバーにバージョンアップがあり、WEB閲覧履歴の送信がSSL通信に変更されました。従って、WEB閲覧履歴が盗聴可能な状況は回避されました。本日22:50頃確認しました。
Androidの「マルウェア」と「権限」の正しい理解と対策 カスペルスキーに聞く
最近、Android端末のセキュリティに関する報道が目立つ。ウイルス対策は大丈夫なのか、個人情報は守れるのかなど、ユーザの不安は増す。そこで、主な不安要素として挙げられる「マルウェア」と「アプリの権限（パーミッション）」の現状について、セキュリティソフト開発大手のカスペルスキーに話を聞いた。取材を受けていただいたのは、チーフセキュリティエヴァンゲリストの前田典彦氏。 マルウェアとは マルウェアとは、悪意のあるソフトウェアの総称をいう。「Android OS」で多く見られるマルウェアは、SMSを悪用するタイプ（SMS Trojan、SMS型トロイの木馬などと呼ばれている）が現在の主流だ。なかでも、プレミアムSMSを悪用するタイプの数が多い。 プレミアムSMSとは、欧州でよく利用されているサービスで、SMSを通じてコンテンツ利用料などを課金できるシステムのこと。 「SMS Trojan」に感染
難読化していないAndroidアプリケーションは脆弱性か
このエントリでは、Androidアプリケーションにおいて、難読化が施されていない場合、脆弱性にあたるかについて議論します。 はじめに Androidアプリケーションは主にJava言語で記述され、DEX形式のファイルにコンパイルされたコードを、DalvikというJava互換VM上で実行します。DEXおよびAPKファイルの仕様は公開されており、DEXにはクラスやメソッド等のシンボル名も含まれているため、リバースエンジニアリングが容易であると言われています。このため、Android SDKには標準でProGuardという難読化ツールが添付されています。 それでは、難読化の目的はそもそも何で、難読化でその目的は達成されるのでしょうか。 難読化の目的 Webアプリケーションの場合は、重要なロジックは主にサーバー側に存在するため、ソースコードを外部から取得することはできません。これに対して、スマートフ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【インタビュー】過去最大300Gbps超のDDoS攻撃に悪用されたDNSの「オープンリゾルバー」とは 
TechCrunch
【Googleポリシー統合】Googleに保存される情報を管理する 
【Googleポリシー統合】どんな情報が保存されているのか（後編・その2） 
【Googleポリシー統合】どんな情報が保存されているのか（後編・その1） 
【Googleポリシー統合】どんな情報が保存されているのか確認する（前編） 