楽しい！ 欲しい！ やっと出た！ ネットワークエンジニアから見た「ウイルスバスター for Home Network」 - はてなニュース
トレンドマイクロが発表した「ウイルスバスター for Home Network」は、ルーターに挿し、管理用のスマホにアプリを入れるだけで“家族を守る”という、ちょっと変わった、そして現実的な解だ。ホームネットワーク内の機器を毎日スキャンし、簡易なパスワードがあれば管理者に連絡する。さらに、パケットのアプリケーション層までチェックするDPI（ディープ・パケット・インスペクション）機能に、ホームネットワークのWebレピュテーション機能。企業の話ではなく、これを「自宅」で実現するデバイスが登場したのだ。 今回、新たな守り方を1つのデバイスで実現したトレンドマイクロの開発者と、はてなのネットワークを管理して守ってきたエンジニアがざっくばらんにその思いを語った。「ウイルスバスター for Home Network」はあえて技術面の詳細を隠し、シンプルさを売りとして掲げる製品だが、エンジニアとしての視
LINEの脆弱性診断を新卒エンジニアも担当！──LINEセキュリティ室の熱い「師弟関係」 - エンジニアHub｜Webエンジニアのキャリアを考える！
LINEの脆弱性診断を新卒エンジニアも担当！──LINEセキュリティ室の熱い「師弟関係」 巨大メッセージングアプリ「LINE」のセキュリティ室にも、新卒エンジニアは配属されます。若手をカンファレンスに送り出すLINEの「師弟関係」に迫りました。 若手エンジニアのための情報メディア「エンジニアHub」。連載「若手エンジニア、どんな活躍してますか？」第3回はLINE編です。巨大メッセージングアプリのセキュリティを担当する部署で、若手エンジニアはどんな活躍をしているのでしょうか？ ── 第3回はご存じ「LINE」などのアプリを運営するLINEさんのオフィスにやってきました。開発側だったメルカリ編、GMOペパボ編とは目線を変えて、今回はセキュリティを担当している若手エンジニアとメンターにお話を伺います。 万 セキュリティ室でセキュリティエンジニアとして働いている、万萌遠です。2016年春に日本の大
LINE乗っ取られたのでその鮮やかなる手口を恥を忍んで公開しましょう - はてなブログを毎日書いていたら10Kg痩せました！
どうも、情弱です。 いやー、やられました。 先程見事にLINEを乗っ取られてしまいました。 今まではLINEで「今ひま？ちょっと手伝ってもらっていい？」というプリカをねだるメッセージが来る度に「情ｗｗｗ弱ｗｗｗ乙ｗｗｗ」と笑っていたのですが、今日からぼくもそちら側です、よろしくお願いいたします。 今回の件で、やはり一番怖いのは機械的なハッキングでなくて心の隙を突かれるソーシャル・エンジニアリングだなと実感しました。 騙されちゃったらもう説得力ありませんが、僕は昔からネットのエロサイトで鍛えた眼力があって、そうそうネットのフィッシングなどには引っかかったことが無いのですが、それでもちょっと気が緩めばネットでは死んでしまうというよい事例です。 めっちょ恥ずかしいですが、自分の恥が誰かを助けるかもということでここは一発状況を共有しておきましょう。 LINE詐欺はLINE以外のメッセージで来た 僕
NIST Special Publication 800-63B
NIST Special Publication 800-63B Digital Identity Guidelines Authentication and Lifecycle Management Paul A. Grassi James L. Fenton Elaine M. Newton Ray A. Perlner Andrew R. Regenscheid William E. Burr Justin P. Richer Privacy Authors: Naomi B. Lefkovitz Jamie M. Danker Usability Authors: Yee-Yin Choong Kristen K. Greene Mary F. Theofanos This publication is available free of charge from: https://
VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について - debiruはてなメモ
2015年12月に私が発見した VALUE-DOMAIN での CSRF 脆弱性について、その脆弱性の報告と修正までの経緯を記しておきます。 きっかけ アカウント削除ページの作り アカウント削除ページの問題点 VALUE-DOMAIN への報告 CSRF 攻撃によるアカウント乗っ取りの問題 IPA への届出 余談：IPA への届出の仕方について IPA へ届出した後の状況 VALUE-DOMAIN ユーザの方へ きっかけ 数年前に VALUE-DOMAIN を利用していましたが最近は使っていないのでアカウントを削除しようとしたところ、アカウント削除操作を行うページの作りが「不自然である」ことに気付きました。更に調べたところ CSRF 攻撃によってアカウント乗っ取りが可能な状況であることが分かりました。 アカウント乗っ取りが可能な CSRF 脆弱性は2015年12月22日にIPAに報告し、2
「スクショ貼り付けでTwitter投稿」が危険な理由
大変です。こんなニュースが飛び出しました。この連載を書籍化した「デジタルの作法」がベストセラーになったという記事が、ITmedia エンタープライズに掲載されました。この“スクリーンショット”が証拠です！ ――と、自分でやっていて情けなくなりましたが、こんなニュースはITmedia エンタープライズが取り上げる訳がないですね。もちろん、こんな記事は存在しません。私が3分くらいで、HTMLを書き換え、スクリーンショットとして作り出したウソ記事です。ちなみにこの連載を書籍化した「デジタルの作法」はきちんと発売されていますので、ぜひこの記事の通り手にとっていただけるとうれしいです（苦笑）。 「スクリーンショットだとページビューにならない」という大人の理由は通用するか さて、この“スクリーンショット”。特にTwitterを使う若い方々の間では、いまやURLを送るよりも、面白いと思った部分をキャプチ
iOS9 で導入される ATS とは結局何なのか - 水深1024m
iOS9 で導入される ATS (App Transport Security) の話です。 ATS は OSX, iOS アプリケーションが NSURLConnection, CFURL, NSURLSession を利用してサーバに接続する際 現時点で最善に近いセキュアな接続をデフォルトとする仕組みです。 この記事で言いたいことはだいたい 公式ドキュメント に書いてあるのですが、"よくわからんから全てにおいて ATS を無効化する" で終わらないためにどうすれば良いかについて書きます。 個人的に AWS をよく使っているので、AWS における事情なども適宜付加します。 何が変わるのか "Default Behavior" の項目に記載されていますが、 ATS が有効になっていることによって外部接続先に要求される要素は、以下のものです。 サーバは TLS 1.2 をサポートしていなければ
“安全な暗号”とは何か――「強秘匿性」「頑強性」という概念
前回に引き続き、暗号化手法の一つ「ElGamal暗号」を学びます。そして攻撃に強く、「安全な暗号」に必要な要素とは何かを考えてみます。 連載目次 ElGamal暗号と強秘匿性 第1回で紹介したRSA暗号に続き、1984年に提案された公開鍵暗号「ElGamal暗号」を紹介します。 「ElGamal暗号」の考え方は、次回以降で紹介する楕円曲線暗号でも利用されます。これは次の方式で表現されます。 鍵生成：整数gと素数pを適切に選び、みんなに公開する（gとpの条件は省略します）。xをランダムに選びy=gx mod pとする。a mod bは整数aをbで割った余りを表す記号でした。以降mod pは省略します。 暗号化：公開鍵yを持つ人に対して平文mを送るには、整数rをランダムに選び、Enc(m)=(gr,myr)を暗号文とします。 復号：暗号文(c1, c2)=Enc(m) を受け取った人は自身の秘
不正アクセスで年金情報１２５万件が流出か NHKニュース
日本年金機構は、年金情報を管理しているシステムに外部から不正アクセスがあり、年金加入者の氏名や基礎年金番号など、およそ１２５万件の情報が流出したとみられることが先月２８日に分かったことを明らかにしました。日本年金機構の水島理事長は記者会見し、「１２５万件の個人情報が流出したことを深くおわび申し上げる。誠に申し訳ございません」と陳謝しました。 このうち、「年金加入者の氏名と基礎年金番号の２つ」が漏れたのがおよそ３万１０００件、「氏名と基礎年金番号、生年月日の３つ」が漏れたのがおよそ１１６万７０００件、「氏名と基礎年金番号、生年月日、それに住所の４つ」が漏れたのがおよそ５万２０００件で、合わせておよそ１２５万件となっています。日本年金機構では、今のところ、社会保険を支払うためのシステムへの不正アクセスは確認されていないとしています。 日本年金機構の水島理事長は厚生労働省で記者会見し、「１２５万
日本のWebサイトがテロリストの攻撃対象になった――わけでもなさそう
日本のWebサイトがテロリストの攻撃対象になった――わけでもなさそう：セキュリティクラスター まとめのまとめ 2015年3月版（1/3 ページ） 相次ぐWebサイト書き換え。とうとう日本のWebサイトがテロリストのターゲットになってしまった……と思いきや、共通点を探っていくとそんなわけでもなさそうです。 連載目次 2015年3月のセキュリティクラスターは、またまた「OpenSSL」に脆弱性が見つかったことが話題となりました。実際には急ぎで対応するほど影響のあった人は多くなかったようですが、以前のHeartbleedの件もあったので、気にしていた人が多かったようです。 また、依然として活動を続けているISIL（ISIS、「イスラム国」などとも）が、とうとう日本をターゲットとし、Webサイトの書き換えを行い始めた疑いについても騒ぎとなりました。そして、Androidに話題となる脆弱性がいくつも
SQLインジェクション対策もれの責任を開発会社に問う判決
ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった 以下の脆弱性その他が認められた システム管理機能のIDとパスワードが admin/password であった 個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ
『例えば、PHPを避ける』以降PHPはどれだけ安全になったか
この記事はPHPアドベントカレンダー2014の22日目の記事です 。 2002年3月に公開されたIPAの人気コンテンツ「セキュアプログラミング講座」が2007年6月に大幅に更新されました。そして、その一節がPHPerたちを激しく刺激することになります。 (1) プログラミング言語の選択 1) 例えば、PHPを避ける 短時日で素早くサイトを立ち上げることのみに着目するのであれば、PHPは悪い処理系ではない。しかし、これまで多くの脆弱性を生んできた経緯があり、改善が進んでいるとはいえまだ十分堅固とは言えない。 セキュアプログラミング講座（アーカイブ）より引用 「PHPを避ける」とまで言われてしまったわけで、当然ながらネット界隈では炎上を起こし、現在はもう少しマイルドな表現に変わっています(参照)。 本稿では、当時のPHPの状況を振り返る手段として、この後PHPのセキュリティ機能がどのように変化
弊社ホームページ改ざんに関するお詫びとご報告 | gihyo.jp
弊社ホームページにおいて、2014年12月6日11時～14時のあいだ、第三者からの不正アクセスによりサイトが改ざんされていた事が判明いたしました。ご利用頂いておりますユーザの皆さまにおかれましてはご迷惑をお掛けいたしまして、深くお詫び申し上げます。 なお、現在は被害を受けたサーバは復旧作業を実施済みです。ご利用ユーザーの皆さまの個人情報流出等は、現在のところ確認されておりません。 被害対象サイト／コンテンツ URL：http://gihyo.jp 改ざん内容とその影響 サーバの中身を入れ替えられ、外部のサイトにリダイレクトされるように設定されていた。 リダイレクトされていたサイト（アクセスしないようご注意ください） www.koushin-lawfirm.net live.livelistingreport.com 現在把握している改ざんされていた可能性がある期間 2014年12月6日
サーバ障害のお詫び | gihyo.jp
本日（2014年12月6日）11時頃より発生しておりましたサーバ障害（第三者サイトへのリダイレクト、アクセス不能）は先ほど復旧いたしました。みなさまには大変なご心配・ご迷惑をおかけいたしまして申し訳ございませんでした。 状況は把握しており、現在サーバはコントロール下にあります。ユーザー情報の漏洩等は確認されておりません。 なお、DNSの更新を行ったため、仮サイトに接続されている場合がございます。Gihyo Digital Publishing等をご利用の際にはご注意ください（仮サイトでは閲覧のみでご利用くださいという旨の通知が出ます）。 詳細は後日改めてご報告いたしますのでお待ちください。 12月8日更新：詳細を公開いたしました。
ベネッセお客様本部
お客様情報の漏えいに関して多大なるご迷惑とご心配をおかけしております。ご不安軽減のため、こちらで最新の情報セキュリティ対策や拡散防止活動のご報告、不審な勧誘への対応方法、お詫びの品のお手続き等についてご案内しております。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
/blog/2016/09/msit_malware/
【やじうまWatch】「パスワードの定期変更をユーザーに求めるべきではない」……NISTの文書でついに明示へ
ウィンドウズサーバー2003 15日で対策終了 NHKニュース
[PDF]ネットエージェント株式会社の株式の取得 (子会社化) に関するお知らせ / 平成27年3月30日 株式会社ラック
お客様情報の漏えいについてお詫びとご説明（PDF） - 株式会社ベネッセコーポレーション