テスト用ウイルス作成は倫理に反するか？
最近Consumer Reports（CR）が行ったウイルス対策製品に関するテストをめぐり、ウイルス対策コミュニティーは騒然となっている。 CRは、われわれが以前やろうとして実際にはやらなかったことを、あえてやった。ISE（Independent Security Evaluators）のコンサルタントの助けを得て、新しいウイルス5500種のテストベッドを作成し、製品をテストしたのだ。 CRについての古いジョークで、自分の専門分野についてのCRの記事を評価する人はいないが、それ以外であれば信用する、というものがある。つまり、大工はCRによる「丸のこ」のレビューを冷笑するが、ガスグリルや食洗機についてのレビューなら信用するというわけだ。ウイルステストについての論争でも、こうした話がたくさん出ている。 ウイルス対策コミュニティーでは、ウイルスを作成するのはどんな理由であれ悪であり、ウイルス対策
機械的侵入防止と不正利用防止 (#1001795) | 三井住友ビザカード、類推されやすい暗証番号でのログインを停止 | スラド
ID云々言うのは蜜墨(2ちゃん用語)のVpassのIDは機械的に作成された７桁の英数字＋ユーザーが決めた英数字パスフレーズなのに対し、カード番号でのログインは16桁の数字なのに加え、頭４桁は誰でも知ってる4980だし、下一桁はチェックサムだから、機械的に生成しやすいことに加え、パスワードが暗証番号なところに問題があります。 つまり、ここでカード番号と暗証番号を総当りでチェックして、うまくいった組み合わせでスキミングカードを作成して最寄のATMに駆け込みキャッシングすれば現金が手に入る。その上、暗証番号取引なので不正利用に対する保険の適用対象外。 ただし、この方法は蜜墨の暗証番号管理方法に重大な瑕疵があると(私は)思うので、腕のいい弁護士が突っ込めば裁判に負けるでしょう。 ちなみに以前は「従来の会員番号・暗証番号に加えて、画面に表示された4桁の数字を入力」もなかったので本当に機械的総当りが出
XSS - 表示系パラメータに存在する盲点 :: ぼくはまちちゃん！
こんにちはこんにちは！！ クロスサイトスクリプティングの時間です！ XSSというと…！ まっさきに思いつくのが、入力データ送信 → 確認表示の部分での無害化漏れですよね！ たとえばこんな感じのフォームから受け取ったパラメータを、 確認として表示するページとか！ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ← 「ぼくはまちちゃん！」を入力 本文：<input type="text" name="body"> ← 「こんにちはこんにちは！！<script>alert(1)</script>」を入力 </form> (確認) <p>この内容で登録していい？</p> <p> タイトル： ぼくはまちちゃん！<br> 本文： こんにちはこんにちは！！<script>alert
ぼくはまちちゃん！(Hatena) - はてなリダイレクタをhack
http://red.hatena.ne.jp/go?aid=&accessrk=1&url=%0aContent%2dLength%3a%2084%0aContent%2dType%3a%20text%2fhtml%3b%20charset%3dEUC-JP%0a%0a%3chtml%3e%a4%dc%a4%af%a4%cf%a4%de%a4%c1%a4%c1%a4%e3%a4%f3%a1%aa%3cscript%3ealert%28%27%a4%b3%a4%f3%a4%cb%a4%c1%a4%cf%a4%b3%a4%f3%a4%cb%a4%c1%a4%cf%a1%aa%a1%aa%27%29%3c%2fscript%3e%3c%2fhtml%3e%0a できた＞＜ でも IEでは動かないね！ 空の Locationヘッダが効いちゃうのかな…！ Firefox とか Opera だと大丈
JavaScriptを悪用した攻撃手法--セキュリティ研究者らが発見
JavaScriptを使って家庭や企業におけるネットワークの構成を把握し、接続されたサーバやプリンタ、ルータなどのデバイスを攻撃する方法を、セキュリティ研究者らが発見した。 こうした悪質なJavaScriptが埋め込まれたウェブページを一般のブラウザ上に表示すると、スクリプトが何の警告も表示しないまま実行されてしまうと、研究者らは述べる。また、これはユーザーのブラウザ上で動作するため、ファイアウォールなどのセキュリティ対策も回避するという。 ウェブセキュリティを専門にするSPI DynamicsのリードエンジニアBilly Hoffman氏は「われわれは、ネットワークをスキャンして見つかったすべてのウェブ対応デバイスを識別し、これらのデバイスに攻撃を仕掛けたり、コマンドを送信したりする技術を発見した。このテクニックを使えば、ファイアウォールで守られた企業のネットワークもスキャンできるように
SGML の短縮タグ機構 | 鳩丸よもやま話
SGML には短縮タグ機構と呼ばれる仕組みがあって、タグを書くときにいろいろな省略をすることが許されています。ただし、それには「SGML宣言」の FEATURES - MINIMIZE の項目で SHORTTAG YES と指定されていることが条件となります。HTML でも SHORTTAG YES となっていますから、短縮タグ機構を利用することができます。 ※ただし HTML+ では SHORTTAG NO です。また XHTML は XML のルールに従いますので、SHORTTAG NO と同じ扱いです。これらでは、以下の省略記法は全く使うことができません。 引用符の省略特定の条件を満たしている場合、属性値の引用符は省略することができます (厳密な言い方をすると、「属性値表記」の代わりに「属性値」をそのまま使用できます)。その条件とは、属性値が「名前字句（name token）」である
SQLインジェクション攻撃が激増
SecureWorksによれば、1～3月には1日当たり100～200件程度だったSQLインジェクション攻撃が、4月に入って1000件から4000件、8000件という規模になったという。 ITセキュリティ管理サービスの米SecureWorksは7月18日、銀行や信用組合、公益企業を標的としたSQLインジェクション攻撃が、過去3カ月で激増していると発表した。 1～3月にかけて同社が遮断したSQLインジェクション攻撃は1日当たり100～200件程度だったが、4月に入って激増し、1000件から4000件、8000件という規模になったという。 攻撃の大部分は米国外から仕掛けられ、特定の組織に標的を絞る傾向が見られると同社。攻撃が巧妙になれば顧客データベースにアクセスされ、口座番号やクレジット番号、社会保障番号などが盗み出される恐れがあると解説している。 最近のSQLインジェクション攻撃としては、昨年
ワンタイム・パスワードでは防げない“中間者攻撃フィッシング”が出現
米SANS InstituteやフィンランドF-Secureは現地時間7月12日，米Citibankをかたる「中間者攻撃（man-in-the-middle attack）」タイプのフィッシング詐欺が確認されたことを明らかにした。ワンタイム・パスワードなどの2要素（2因子）認証を使っていても防げないことが特徴。偽サイトは既に閉鎖されている。 中間者攻撃とは，正規の通信の間に“割り込んで”，通信の当事者には気付かれないように通信内容を盗んだり改ざんしたりする攻撃手法。今回のフィッシングでは，ユーザーと正規のWebサイト（Citibankのサイト）の間に割り込む。ユーザーに対しては，攻撃者が構築した偽サイトをCitibankのサイトと思わせ，Citibankのサイトに対しては，偽サイトを同社サービスのユーザーに見せかける。 具体的にはまず，ユーザーに偽メールを送って，偽のログイン・サイトへ誘導
SendIP - Programs - Project Purple
SendIP is a commandline tool to allow sending arbitrary IP packets. Download SendIP Lastest release: 2.5, 29/07/2003. Source tarball (54Kb) Source RPM (59Kb) Binary RPM (52Kb) Features SendIP has a large number of command line options to specify the content of every header of a NTP, BGP, RIP, RIPng, TCP, UDP, ICMP or raw IPv4 and IPv6 packet. It also allows any data to be added to the packet. Docu
暗号の危殆化と新しいアルゴリズム — 旧メイン・ブログ | Baldanders.info
L が鍵長で N が被署名データのサイズです。 FIPS186-3 ドラフト案ではこの組み合わせの中から選択して使うべきとしています。 ところで署名・暗号に使う鍵の長さはどの程度が適当でしょうか。 確かに長ければ長いほど安全といえますが， 長すぎる鍵はとりまわしが不便です。 この件については IPA/ISEC による 「将来の暗号技術に関する安全性要件調査」 が参考になります。 詳しい内容はそちらを読んでいただくとして， 結論としては， 今後10年のスパンで考えるなら共通鍵暗号の鍵で128ビット程度で十分なようです。 128ビットの共通鍵暗号鍵を公開鍵暗号鍵に換算するとどの程度になるかは難しいですが（先ほど紹介した調査報告書では参考値としながらもかなり大きい鍵を要求しているように読めましたが）， これについては RSA Security による 「A Cost-Based Security
ITmedia エンタープライズ：サイバー犯罪の多くは技術的な攻撃ではない
サイバー犯罪というと技術的に高度なテクニックが用いられるもの、というイメージがあるかもしれないが、実際に多用されているのは人の心理を突く手口だ。 「犯罪者らがコンピュータを1つの道具として利用し始めていることは間違いない」――6月28日から開催された情報セキュリティEXPOの専門セミナーにおいて、警察庁の河崎裕二氏（情報通信局情報技術解析課課長補佐）はこう語った。「犯罪者は使えるものは何でも使う。コンピュータも使わない手はない」（同氏） 警察庁がまとめているサイバー犯罪の検挙／相談受理件数は右肩上がりで増加を続けている。しかしその多くは、従来からあった詐欺や児童買春などの犯罪をインターネットを利用して行う「ネットワーク利用犯罪」だ。 2005年のサイバー犯罪検挙件数は3161件だが、内訳を見ると、コンピュータやネットワークなどの仕組みがなければ成り立たない「コンピュータ・電磁的記録対象犯罪
IEに新たに2種類の脆弱性
Internet Explorerに新たに2種類の脆弱性が発見された。これを悪用するコンセプト実証コードも公開されている。 Microsoft Security Response Center（MSRC）は6月28日、Internet Explorerの新たな脆弱性を悪用するコンセプト実証コードが公になっていることをブログを通じて明らかにした。SANS ISCなどのセキュリティ機関も、これらの脆弱性への注意を呼びかけている。 SANS ISCの情報によると新たな脆弱性は2種類ある。1つは、HTAアプリケーションの実行に関するものだ。何らかの手段でユーザーをだまし、SMBやWebDAV経由でファイルをダブルクリックして開かせることにより、リモートに置かれた任意のファイルが実行される恐れがあるという。もう1つはクロスドメイン違反の脆弱性で、悪用されれば、認証情報など重要なデータを盗み見られる恐
Captcha Plugin公開 - Ogawa::Memoranda
Posted by: Hirotaka Ogawa @ May 21, 2006 09:38 PM | CAPTCHA™テストを使った簡単なアンチコメントスパムプラグインを作ったので公開しておきます。 Captcha Plugin.ja JP - Ogawa Code このプラグインは、以下のように、コメント時に大抵の人間には容易に解答できるがプログラムでは簡単に解けないようなテストを課すことで(この場合はSecure Codeを入力させることで)、spambotを排除するという仕組みを実現します。 Movable Typeで同様の機能を実現する方法としては、SCode - Movalog Plugins - TracやCAPTCHA によるコメントスパム対策 - Open MagicVox.netが知られています。 Captcha Pluginがこれらと異なるのは、セッションごとに(つま
Opera最新版にDoS攻撃の脆弱性
SANSなどによれば、Opera 9リリースの翌日に、HREFに関するDoS攻撃の脆弱性が報告された。実証コードも公開されており、現時点で回避策はないという。 6月20日にリリースされたばかりのブラウザ新版「Opera 9」で、サービス妨害（DoS）攻撃につながる脆弱性が報告された。 SANS Internet Storm Centerのサイトに21日付で掲載された情報によれば、Opera 9リリースの翌日に、冗長なHREFに関するDoS攻撃の実証コードが公開された。パッチがいつ提供されるかは不明だとしている。HREFはHTMLファイルでリンクを指定するためのコード。 セキュリティサービス企業のSecurityTrackerが22日に公開したアラートでも、冗長なHREFタグの処理に関するメモリエラーが原因でリモートからDoS攻撃を引き起こされる可能性があると解説している。細工を施したHRE
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
“脆弱性オークション”など闇の世界の最新トレンド、米Finjanが警告
警察庁、DNSを悪用したDDoS攻撃の検証結果を公表
Browser Fun
http://japan.internet.com/webtech/20060703/12.html
http://japan.internet.com/webtech/20060629/12.html
captcha.jp