「中華ウェブカメラ」のセキュリティについて - 黒林檎のお部屋♬
黒林檎です。 今日は、IPカメラをハッキングしていこうと思います。 ◆最初に 巷で話題のIPカメラ『VSTARCAM Mini WIFI IP Camera 技術基準適合認定済み有線/無線LAN対応ネットワークカメラ C7823WIP』をハッキングして、どんなセキュリティリスクがあるか考えていきたいと思います。 hardshopper.hatenablog.com 最初に疑ったことはスピーカーの破損によるシステム音声のボヤきだったので、ウェブカメラで再生される音声データを抽出してみましたが、該当しそうな音声データはありませんでした。 中国カメラ音声 - Google ドライブ 金曜日にこんな面白い話が降ってきたので、速攻ポチって買いました。 同じシステムを使っているカメラを購入してハッキングしていたので、そこまで時間掛けずにハッキングできるだろうといったところでした。 (図)IPカメラ 私
高木浩光＠自宅の日記 - 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき, CAPTCHA機能の発注仕様をどうするか
■ 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき CAPTCHA*1が基本的に荒らし対策目的で使用されるものであることは以前にも書いた。ユーザビリティの犠牲が少ないものは早いうちに破られるし、改良してもイタチごっこになることも目に見えている。それでもなお活用する意義があるのは、使用目的が荒らし対策だからだ。新規ユーザ登録や、ログインなしでできるコメントやトラックバックなど、元々自由に利用させる機能である限り、完全に防ぐことはできないのであり、たとえ将来破られる可能性があろうとも何もしないよりはましだというわけだ。（荒らしがよりハードルの低いところへ行ってくれることを期待できる。） そのようなCAPTCHAは、日本ではあまり普及していないようだ。荒し行為が英語圏での状況ほど深刻なものになっていないためか、あるいは、イタチごっこになることが目に見えている技術の採用を嫌う国
認証を含む API 開発で検討すべきこと - ボクココ
ども、@kimihomです。 API に関する基礎的な話で、なぜ API が重要なのか、APIの実装で注意する点について記述した。 今回はAPI開発において最も頭を悩ます、認証の問題について考えてみたい。 API における認証 よくあるログインが必要なページを考えてみていただきたい。 通常のWebアプリケーションであれば、Cookieという仕組みを使って毎回Webサーバーにアクセスするときにsession idというものを送信し、それとユーザー情報を紐付けたデータを取ってくることで、どんなユーザーからリクエストが来たのかをWebアプリケーション側で判断することができる。これにより、私たちはいつも閲覧しているWebアプリケーションが自分専用の画面として見れるようになっている。 これがAPIになると話は違ってくる。Cookieという仕組みが使えないのである。ということで、なんとかしてAPIにア
IoT: The Internet of Terror - ACM Queue
Kode Vicious - @kode_vicious July 6, 2017 Volume 15, issue 3 PDF IoT: The Internet of Terror If it seems like the sky is falling, that's because it is. Dear KV, We're deploying a consumer IoT (Internet of Things) device, with each device connected to a cloud service that acts as the platform from which it will be controlled. The device itself isn't dangerous: it's a simple, slimmed-down tablet to
ゲームのＩＤ販売、現金詐取か 運営会社の契約社員逮捕：朝日新聞デジタル
人気オンラインゲーム「剣と魔法のログレス いにしえの女神」の利用者のＩＤやパスワードを販売して現金をだまし取ったとして、大阪府警は２１日、大阪市東淀川区豊里４丁目、同ゲーム運営会社の契約社員宮口大介容疑者（２３）＝不正アクセス禁止法違反罪で起訴＝を詐欺の疑いで逮捕し、発表した。宮口容疑者は「金に困っていた」と容疑を認めているという。 サイバー犯罪対策課によると、宮口容疑者は４月中旬、同ゲームの利用者のＩＤとパスワードをインターネットのサイトに出品し、兵庫県内の男子高校生（１６）に販売。代金約４万円を詐取した疑いがある。 同ゲームは、スマートフォン向けのロールプレイングゲームで、ダウンロード数は約８００万回に上る。宮口容疑者はゲームの利用者のＩＤやパスワードを自由に閲覧できたという。 府警は、宮口容疑者が昨年９月から今年４月にかけて約７０人分を出品し、約２０件計約３５万円を売り上げたとみてい
BITSを使って侵入してくる悪者たち
マルウエアの開発者が，WindowsのBITS（Background Intelligent Transfer Service）を使って，Windowsにマルウエアを送り込むようになってから，かなりの時間が経過した。BITSはファイルのダウンロードを目的に設計されたサービスであり，全WindowsがBITSを標準的に利用しているので，彼らがBITSを使うことは，理に適っている。特にBITSは，使用されていない帯域を利用することでネットワーク使用を最適化しているので，自らの動作をユーザーに目立たなくしている。 BITSの悪用を防ぐに当たっての第一の問題は，BITSがWindows UpdateやSystems Management Server（SMS），Microsoftメッセンジャーといったツールによって使用されることである。そのためにBITSは通常，ファイアウオールに信頼されており，ネ
Reflections on reflection (attacks)
Recently Akamai published an article about CLDAP reflection attacks. This got us thinking. We saw attacks from Connectionless LDAP servers back in November 2016 but totally ignored them because our systems were automatically dropping the attack traffic without any impact. CC BY 2.0 image by RageZ We decided to take a second look through our logs and share some statistics about reflection attacks w
「パスワードは定期的に変更してはいけない」--米政府
＜アメリカの電子認証専門機関が、定期的なパスワード変更の推奨をやめると決めた。エンドユーザーもいずれ、代わりの新しい「パスフレーズ」を要求されるようになるはずだ＞ 米政府機関はもう、パスワードを定期的に変えるのを推奨しない。アメリカの規格標準化団体、米国立標準技術研究所（NIST）が発行する『電子認証に関するガイドライン』の新版からルールを変更する。 ウェブサイトやウェブサービスにも、サイトが乗っ取られたのでもない限り、「パスワードが長期間変更されていません」などの警告を定期的に表示するのを止めるよう勧告するという。銀行や病院のように人に知られてはいけない個人情報を扱う機関も同じだという。 【参考記事】パスワード不要の世界は、もう実現されている？！ 実は近年、情報セキュリティー専門家の間でも、特別の理由がない限り、ユーザーにパスワード変更を求めるべきではないという考え方が増えてきた。なぜな
HPのPCにキーロガー？ セキュリティ企業が指摘
全てのキー入力を記録したログファイルが、ユーザーにも読める状態で、Cドライブのフォルダ内に保存されているという。 スイスのセキュリティ企業modzeroは5月11日、HPのPC向けオーディオドライバに、入力内容を記録するキーロガーを見付けたと伝えた。 modzeroによると、問題のオーディオドライバは、半導体メーカーのConexantが開発したもので、HPのWebサイトでドライバパッケージとして提供されていた キーロガーは2015年の12月ごろからHPのコンピュータに存在していたことが判明。最新バージョンの1.0.0.46では、全てのキー入力を記録したログファイルが、Cドライブの「ユーザー」フォルダ内にある「パブリック」フォルダに「MicTray.log」の名称で保存され、ユーザーが読める状態になっているという。 このファイルはログインするたびに上書きされるが、プロセス実行やフォレンシック
Chrome58で、HTTPSの自己証明書が NET::ERR_CERT_COMMON_NAME_INVALID になる場合の対応
Chrome58で、HTTPSの自己証明書が NET::ERR_CERT_COMMON_NAME_INVALID になる場合の対応 Google Chrome をバージョン58 にアップデートすると、SSL自己証明書を使っているサイトが見れなくなる場合があります。 自己証明書(オレオレ証明書)を使っているサイトに HTTPS でアクセスすると、 この接続ではプライバシーが保護されません 攻撃者が、tech.torico-corp.com 上のあなたの情報（パスワード、メッセージ、クレジット カード情報など）を 不正に取得しようとしている可能性があります。 NET::ERR_CERT_COMMON_NAME_INVALID セキュリティに関する事象についての詳細を Google に自動送信する。プライバシー ポリシー セキュリティで保護されたページに戻る詳細情報を表示しない このサーバーが
Introducing TLS with Client Authentication
Introducing TLS with Client Authentication Loading... In a traditional TLS handshake, the client authenticates the server, and the server doesn’t know too much about the client. However, starting now, Cloudflare is offering enterprise customers TLS with client authentication, meaning that the server additionally authenticates that the client connecting to it is authorized to connect. TLS Client Au
「パスワード解読は無罪」判決確定 無線ＬＡＮ無断使用：朝日新聞デジタル
隣人の無線ＬＡＮに無断接続して送ったフィッシングメールで、他人の預貯金口座から現金を不正送金したとされる事件で、東京地裁が電波法違反（無線通信の秘密盗用）罪について被告の男を無罪とした判決に対し、東京地検が控訴を見送ることがわかった。 無線ＬＡＮのパスワードの無断使用が同法違反に当たるかが初めて争われた裁判だったが、無罪判決が確定する。 地裁は４月２７日、無職の藤田浩史被告（３１）が不正送金した行為は有罪として懲役８年を言い渡す一方、隣家の無線ＬＡＮを無断で使うために、パスワードを解読した行為は無罪とした。電波法はメールなど無線通信の秘密を盗むことを禁じているが、判決は、パスワードは、通信内容を知るための手段に過ぎないと結論付けていた。 一方、被告側は１０日、一審判決の有罪部分を不服として、東京高裁に控訴した。
IoT Security Anti-Patterns
From security cameras to traffic lights, an increasing amount of appliances we interact with on a daily basis are internet connected. A device can be considered IoT-enabled when the functionality offered by its Embedded System is exposed through an internet connected API. Internet-of-Things technologies inherit many attack vectors that appear in other internet connected devices, however the low-po
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Broadcom Wi-Fiの脆弱性「Broadpwn」詳細。ワームの悪夢再び ～Wi-Fiをオンにしているだけで突かれる可能性、Galaxy/Nexus/iPhoneなどが標的に
Secure Microservices Adoption
Practical mTLS: Security without the Headaches
【やじうまPC Watch】 2万円の小型機器で漏洩電磁波を測定するハッキング手法。AES 256暗号も解読可能
トレンドマイクロ、NFV向けネットワークセキュリティ技術を発表
SIOS Tech. Lab - エンジニアのためになる技術トピックス
【セキュリティ ニュース】ガンホー、「パズドラ」連続コンボ指南アプリに「待った」 - 法的措置を検討（1ページ目 / 全1ページ）：Security NEXT