Appleの“Mシリーズチップ”から秘密鍵を盗む攻撃「GoFetch」 米研究者らが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 イリノイ大学アーバナ・シャンペーン校やテキサス大学オースティン校などに所属する米研究チームが発表した論文「GoFetch: Breaking Constant-Time Cryptographic Implementations Using Data Memory-Dependent Prefetchers」は、AppleのMシリーズチップなどの脆弱性を用いて秘密鍵を復元するサイドチャネル攻撃を提案した研究報告である。 （関連記事：新MacBook Pro（M3）でも機密情報が漏えい 2020年以降のApple製品全てに脆弱性 米国チームが
ハッカーは盗んだShimanoの大量データをオンラインで公開している
データの公開Threat Actor: LockBit Ransomware Victim: Shimano Date: 2023-11-02 Note: Allegedly, #LockBit has named #Shimano as a victim. #Ransomware #StopRansomware #DarkWeb #DarkWebInformer #Leaks #Leaked #Cyberattack pic.twitter.com/ytIYUPJDCs — Dark Web Informer (@DarkWebInformer) November 2, 2023 当初ハッカーのLockBitグループは、11月5日に4.5TBのデータを公開すると言っていた。結局データが公開されたのは今週になってから。 公開されたデータは 数千人の従業員の給与明細製造データ売上予測を含むス
中国軍、日本の最高機密網に侵入 情報共有に支障―米報道：時事ドットコム
中国軍、日本の最高機密網に侵入 情報共有に支障―米報道 2023年08月08日07時08分配信 ポッティンジャー前米大統領副補佐官（国家安全保障担当）＝２０２２年７月、ワシントン（ＥＰＡ時事） 【ワシントン時事】米紙ワシントン・ポスト（電子版）は７日、中国人民解放軍のハッカーが日本の防衛省の最も機密性の高い情報を扱うコンピューターシステムに侵入していたと報じた。２０２０年秋に米国家安全保障局（ＮＳＡ）が察知し、日本政府に伝達した。しかし、日本のサイバー対策は依然として十分ではなく、日米間の情報共有の支障となる可能性が残っている。 米大使らのメール流出か 中国発サイバー攻撃で―報道 同紙によると、中国軍によるネットワーク侵入は「日本の近代史上、最も有害なハッキング」となった。元米軍高官は「衝撃的なほどひどかった」と語ったという。 報道では、米政府は２０年秋、当時のポッティンジャー大統領副補佐
フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるか - Qiita
ゴールデンウィークのはじめ（4月29日）に投稿された以下のツイートですが、5月7日20時において、1,938.8万件の表示ということで、非常に注目されていることが分かります。 我が名はアシタカ！スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた。どうすればよい！ pic.twitter.com/e26L1Bj32Z — スタバでMacを開くエンジニア (@MacopeninSUTABA) April 29, 2023 これに対して、私は以下のようにツイートしましたが、 これ入社試験の問題にしようかな。『スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた』と言う事象に至る現実的にありえる脅威を説明せよ。結構難しいと思いますよ。 https://t.co/LH21zphCTV — 徳丸 浩 (@ockeghem) April
“そうはならんやろコード”はなぜ生まれるのか セキュリティ専門家・徳丸氏に聞く「脆弱性だらけのWebアプリ」の背景
ITmedia NEWSでセキュリティインシデントを日々伝えていると、記事に対して「そんなずさんな情報管理があり得るのか！」という驚きの声が寄せられることがある。 例えば、法令を順守していれば被害を防げたかもしれない場合や、明らかな手抜きがあった場合には「そうはならないだろう」「それはダメだろう」というツッコミもよく入る。ITmedia NEWSの読者が高いITリテラシーを持っていることの現れともいえるかもしれない。 しかし、もう少し踏み込んでみることをすすめるのが、情報セキュリティの専門家・徳丸浩さんだ。 「みなさん『それはダメだよ』と思うことはありますよね。でも『これが現実なんですよ』ということが大事だと思うんですよね。例えば、自分が作れば大丈夫という場合でも、ソフトウェアを発注して完成品を受け取ってみたら問題があったなんてことは十分あることです」 “そうはならんやろコード”はどうやっ
カメラ付き顔認識体表温度計を中古で買ったら中に全員の顔写真以下略って全部言っちゃった！ - honeylab's blog
（本件に関する詳しいお問い合わせはTwitterのDMか、→のプロフィールにあるメールアドレスにどうぞ。） Twitter見てたらこんな記事が流れてきたんですよ コロナ禍が終わり、店の入り口にある温度計の中古品が安く出回り始めた。 で、買った。 pic.twitter.com/708olhpSjN — 林 雄司 (@yaginome) April 30, 2023 変なもの投げ売りに興味のある私、早速メルカリで見てみると、それなりの安い値段で売っていたので、また値段が上がる前にと思って早速一台買ったんですよ。 ある意味有名な、しかしなぜか業界標準の体表温度計サーモマネージャーを買ってみた。自分への誕生日プレゼントとすることにした。尚、傷あり中古ということで定価の1/10程度で入手した。この価格で、実は大変高価な何かが採取できないかどうか気になるのである。 pic.twitter.com/j
Wi-Fiルーターのサポート期間 - Qiita
はじめに Wi-Fiルータのセキュリティについて、2023年4月5日に警視庁より「家庭用ルーターの不正利用に関する注意喚起」が行われました。この中で対策として、次の4つが挙げられています。 初期設定の単純な ID やパスワードは変更する。 常に最新のファームウェアを使用する。 サポートが終了したルーターは買換えを検討する。 見覚えのない設定変更がなされていないか定期的に確認する。 定期的な設定確認が現実的に可能なのか疑問はありますがそれはさておき、今回は３番目のサポート終了についてです。 たとえばWindowsであればいつサポートを終了するのかずいぶん前に告知がありますし、他のソフトウェア製品についてもLTS(Long Term Support)の設定があるものは計画的にアップグレードを行えます。一方で家庭用のWi-Fiルーターについて、いつサポートが終了するのかわからないまま買っていまし
GitHub に漏れ出た内部コードを探す ~ 上場企業 3900社編 ~ - ぶるーたるごぶりん
全１回、このシリーズは今回で最後です！ TL;DR 上場企業 3900 社程に対して、すごく大雑把な「内部コード等の漏洩調査」を GitHub 上で行った 結果としては、重要度の高いものから低いものまで 10社ほどで漏洩が確認された 重要度の高いものとして、社外秘っぽそうなスプレッドシート、社員のハッシュ化パスワード(BCrypt)、 AWS Credential 等 「大雑把な」調査を行ったが、より精度の高い方法等について記事内にて触れていく 脅威インテルとか DLP みたいなエリアとかも、外部企業とかに頼るだけじゃなく「自分たちでも」頑張ってみるのがいいんだと思います GitHub Code Search ... すげえぜ！ Google Dorks ならぬ、 GitHub Dorks + GitHub Code Search でまだまだいろいろできるはず。 はじめに チャオ！ 今回は
2要素認証のショートメールを要求しまくるボットのせいでTwitterは年間80億円も失っていた
by NASA Kennedy 2023年2月15日、Twitterがショートメッセージサービス(SMS)を使った2要素認証設定を同年3月20日以降に有料化する方針を明らかにしました。これまで無料で使えていたものが有料になるということで一部ユーザーに混乱をもたらしましたが、有料化となる理由の1つに「悪質なボットの台頭」があることをTwitterのCEOであるイーロン・マスク氏が伝えました。 Elon Musk Says Twitter Lost $60mn a Year Because 390 Telcos Used Bot Accounts to Pump A2P SMS | Commsrisk https://commsrisk.com/elon-musk-says-twitter-lost-60mn-a-year-because-390-telcos-used-bot-account
「相続地獄」を経験した森永卓郎さんに聞いた、親の生前に最低限しておくべきこと - 【SUUMO】住まいの売却ガイド
親の死後、子どもに降りかかる遺産相続の問題。相続税は死去から*110カ月以内に申告・納付する必要があり、資産が多い場合や相続人が複数人いる場合などは、やるべきことが山積みです。 「うちには大して資産がないはずだから、関係ない」と思っていても、親が本当にどれだけの資産を保有しているかは、意外とわからないもの。 2015年からは相続税の基礎控除の金額が大幅に引き下げられており、もはや相続は一部のお金持ちだけの問題ではなくなっています。 そこで、2011年に父親を亡くし、10カ月にわたる「相続地獄」を経験した経済アナリストの森永卓郎さんに、相続にまつわる作業や手続きで大変だったこと、相続する側が事前に準備しておくべきことなどを伺いました。 どれだけあるか全くわからなかった父親の資産 ――森永さんは2011年にお父さまを亡くされ、それから10カ月にわたる「相続地獄」を体験したと伺いました。相続にま
米航空大手、紛失した荷物についてのウソがAirTagからバレる
米大手航空会社、ユナイテッド航空が紛失した荷物をAirTagを使って追跡したところ、住宅街のゴミ捨て場にからのスーツケースがいくつも見つかった、と乗客の女性がTwitterに投稿しています。 住宅街のゴミ捨て場に放置された空っぽのスーツケース 米ワシントンD.C.在住のバレリー・シベラ氏（＠vszyb）は、ユナイテッド航空が紛失した複数の荷物に入れていたAirTagで場所を確認したところ、1日以上にわたって住宅街のアパートにあることを発見しました。 シベラ氏がAirTagで追跡していると、荷物は時々移動してマクドナルドやショッピングセンターに行き、しばらくすると元のアパートに戻っています。荷物は車に積まれたままのようです。 AirTagが示す場所にシベラ氏が出向いてみると、住宅街のゴミ捨て場に、ユナイテッド航空の乗客のものと見られる複数の荷物が、中身が空の状態で放置されているのを発見したそ
「gmail」ドメインを「gmai」と誤記、10カ月気付かず2000件超の情報漏えいか 埼玉大が「ドッペルゲンガー・ドメイン」の毒牙に
2021年5月6日から22年3月3日にかけて、4890件のメールを誤配信していた。一連のメールには、教員の氏名・メールアドレスなどが485件、学生の氏名、学生番号、メールアドレスなどが849件、学外関係者の氏名、メールアドレスなどが788件含まれていたという。漏えいした可能性がある情報の悪用は確認していない。 @gmai.comなどタイプミス・誤認識しやすいドメイン名は「ドッペルゲンガー・ドメイン」とも呼ばれる。ユーザーが誤ってアクセスしたり、メールを誤送信したりするのを狙って取得されたものもある。 通常、存在しないアドレス宛てのメールにはエラーメッセージが返送されるので、タイプミスなどがあった場合は誤送信に気付ける。一方、ドッペルゲンガー・ドメイン宛てのメールは全て受信されてしまい、エラーメールが返ってこず、ミスに気付きにくい。 埼玉大も22年3月3日までタイプミスに気付かずメールを転送
Announcing KataOS and Sparrow
The latest news from Google on open source releases, major projects, events, and student outreach programs. As we find ourselves increasingly surrounded by smart devices that collect and process information from their environment, it's more important now than ever that we have a simple solution to build verifiably secure systems for embedded hardware. If the devices around us can't be mathematical
Appleは「秘密主義」 古いOSの脆弱性めぐり外部セキュリティ研究者が皮肉
米Appleがセキュリティ研究サイトを新設し、外部の研究者との協力関係を重視する姿勢を打ち出した。同社製品の脆弱性への対応に関して研究者が不満を募らせていた問題を認めた形だ。これについて業界からは一定の評価がある一方で、脆弱性修正の方針を巡って依然、疑問の声もある。 新サイトの「Apple Security Research」は、同社の最先端のセキュリティ技術を紹介するとともに、外部の研究者にも協力を呼び掛け、ユーザーの安全確保に貢献した研究者を認定・表彰する場と位置付けている。 同サイトには10月27日、まず2本のブログ記事が掲載された。このうち1本は、Apple製品の脆弱性を発見・報告した研究者に賞金を支払うセキュリティバウンティプログラムの「アップグレード」を紹介する内容だった。 これまでAppleのバウンティプログラムについては、研究者が脆弱性を報告しても反応が鈍く、問題への対応状
見分けが不可能な偽サイトがGoogle検索最上位に堂々と表示されてしまう、「i」をURLに含む全てのサイトが信用できなくなる極悪手法
Googleは独自のルールに従って検索結果の表示順位を決めていますが、Googleの広告枠を購入すれば任意のウェブサイトを検索結果の最上部に表示することができます。この広告枠を悪用して人気画像処理ソフト「GIMP」の公式サイトになりすました偽サイトが検索結果の最上部に表示されてしまう事態が発生しました。偽サイトはドメインの見た目までソックリで、インターネットに慣れている人でも見分けることは困難となっています。 Dangerous Google Ad Disguising Itself as www.gimp.org : GIMP https://www.reddit.com/r/GIMP/comments/ygbr4o/dangerous_google_ad_disguising_itself_as/ Dangerous Google Ad Disguising Itself as www
ショッピングサイトのプログラム改ざん クレジット情報流出か | NHK
東京のIT企業が開発し、複数のショッピングサイトなどで導入されている入力フォームのプログラムが何者かに改ざんされ、少なくとも3800件以上のクレジットカードの情報が流出したおそれがあることがわかりました。 改ざんされたのは、東京 港区にあるIT企業「ショーケース」が開発し、ショッピングサイトなどで導入されている入力フォームのサービスのプログラムです。 会社によりますと、ことし7月、取引先から指摘を受け調査した結果、3種類のサービスのプログラムが外部からの不正アクセスによって改ざんされていたことがわかったということです。 これらのサービスは、さまざまなショッピングサイトなどに少なくとも5000以上導入されているということで、このうち一部のサイトで、入力された情報が外部に流出したおそれがあるとしています。 このサービスを利用していた靴の販売などを行っている「エービーシー・マート」によりますと、
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ウェブサイトのセキュリティとパフォーマンス改善
au PAYと”回線認証”問題を考える 不正対策と利便性のアンバランス【石野純也のモバイル通信SE】
バッファロー製Wi-Fiルーターに脆弱性、アップデートを呼びかけ
iOS・Androidも対応「パスキー」とはなにか? パスワード時代の終焉
