便利なだけじゃない、5Gがもたらすセキュリティの脅威とは？
Kaspersky Labは12月3日(米国時間)、「5G technology predictions 2020｜Securelist」において、次世代通信技術「5G」が普及することで顕著化するであろう脅威に関する推測を発表した。 5Gが普及することで、高速な通信と混雑した人混みにような状態でもネットワークへの接続性が低下しにくくなるといったことが期待されている。しかし、5Gがもたらすのは利便性だけではなく、脅威を加速させるとも言われている。 Kaspersky Labは、5Gが普及することで、次のような問題が顕著化するだろうと指摘している。 5Gは通信範囲が短いため、より多くの通信施設が商業施設や建物内部に設置されることが予測される。これは、ユーザーのトラッキングがより細かく実施できるようになることを意味しており、ユーザーが家の中で何を行っているのかなどがトラッキングされる危険性がある
HTTPS通信時のURLは暗号化されるか - うまいぼうぶろぐ
2018/06 追記 古い記事ですがちょこちょこアクセスいただいているので更新。 最近は常時SSL、IPv4枯渇、CDN導入などの理由でSNIが良く使われるようになってきていますが この場合、ホスト名(URL全体ではない)は平文で送信されます。 client 側でキャプチャしたパケット curl -k https://sni.example.com/hogehoge $ sudo ngrep -d en3 -q -W byline port 443 and host 192.0.2.1 interface: en3 (192.168.6.0/255.255.255.0) filter: (ip or ip6) and ( port 443 and host 192.0.2.1 ) T 192.168.6.108:55460 -> 192.0.2.1:443 [AP] ...........
漫画違法配信サイト「漫画村」の黒幕に迫る – 無能ブログ
▶カマグラゼリーとは？ カマグラ・ゼリータイプはカマグラ・通販シリーズ（バイアグラ・正規ジェネリック）のED勃起薬です。 このゼリータイプは勃起薬業界初の仕様で 水などがなくても服用が出来きます。 当製品は 最新のカード型のパッケージで「パキッ」とカードを折り曲げて簡単に服用が出来ます。 成分がゼリーですが手を汚さずに服用ができ、国内にはないタイプの勃起薬です。 ▶用法 注意事項 等 商品名 カマグラオーラルゼリー(kamagra oral jelly) 100mg 1箱7袋（アジャンタファーマ社） 一般名（有効成分名） シルデナフィルクエン酸塩（Sildenafil Citrate） 効果 陰茎海綿体平滑筋を弛緩させ、海綿体洞への血流量を増加させて、陰茎を勃起を促進し、維持させます。効果の持続時間は4～6時間です。 用法・用量 1回に1包を性行為の1時間前に服用してください。 初めて又は
ダイヤルQ2風の電話番号でInstagramやGoogleやMicrosoftから金をむしりとれる脆弱性
セキュリティ研究者が、とても興味深い脆弱性を報告して報奨金をもらった記事が上がっている。 How I Could Steal Money from Instagram, Google and Microsoft – Arne Swinnen's Security Blog プレミアムナンバーという電話上のサービスがある。これは一時期日本で行われていたダイヤルQ2と同等の仕組みを持つサービスで、プレミアムナンバーという電話番号にかけた電話の通話料は、通常より高い。通話料の差分は、電話サービスの提供元に支払われる。 ダイヤルQ2は電話越しに何らかのサービスを提供して、電話料金で利用料を徴収できる、手軽な仕組みだった。その利用例は、投資顧問、アダルト、占い、人生相談、義援金、ダイヤルアップISPなどに利用されていた。ダイヤルQ2自体は2014年に終わったが、海外ではまだ同等の仕組みをもつサービス
MySQL 5.7.4で導入されたdefault_password_lifetimeがじわじわくる（MySQL 5.7.11でFIX！！）
MySQL 5.7.4で導入されたdefault_password_lifetimeがじわじわくる（MySQL 5.7.11でFIX！！） 【2016/01/13 10:12】 MySQL 5.7.11でdefault_password_lifetimeのデフォルトは0に変更になりました！ それ以降のバージョンであればこの記事の内容は気にする必要はありません。 日々の覚書: MySQL 5.7.11でdefault_password_lifetimeのデフォルトが0になるらしい！ TL;DR default_password_lifetime= 0 を秘伝のmy.cnfに入れておくつもり。 MySQL :: MySQL 5.7 Reference Manual :: 5.1.4 Server System Variables パラメーターの意味は読んで字のごとく、「最後にパスワードが更新さ
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
JVN#81094176 の裏側
http://jvn.jp/jp/JVN81094176/index.html Android OS がオープンリゾルバとして機能してしまう問題 ってやつね。 報告者の森下さんが「とある方から私個人宛で報告をいただき」と言っているので、その「とある」人として少し背景を書いてみようと思う。 https://twitter.com/OrangeMorishita/status/581314325853306882 どのタイミングで発見したのか？発見のタイミングは、Android 4.2 のソースコードが出て少しして、ぐらい。この時点では、Android全てが修正されていなかった。当時、 CVE-2012-3411 (dnsmasq が libvirt の特定の config で使うときにオープリゾルバとなる) が発表されていて、これと同じ問題があるのでは、と調べた結果だった。Android の
キャッシュ制御不備の脆弱性にご用心
古い書籍に掲載されたPHP記述の掲示板ソフトを動かしていると、ログアウト処理がうまく動作していないことに気がつきました。チェックの方法ですが、ログアウト処理の脆弱性検査の簡単なものは、「安全なウェブサイトの作り方」別冊の「ウェブ健康診断仕様」に記載されています。 (J)認証 ログアウト機能はあるか、適切に実装されているか ログアウト機能がない、あるいはログアウト後「戻る」ボタンでセッションを再開できる場合 この仕様書にある通り、『ログアウト後「戻る」ボタンでセッションを再開できる』状態でした。 おそらくセッション破棄がきちんと書かれていないのだろうと思いログアウト部分のソースを見ると、以下の様な処理内容でした（オリジナルからはリライトしています）。 <?php // logout.php require_once('common.php'); // 共通の設定・処理 session_sta
武田圭史 » パスワードを定期的に変更することに意味はあるのか？
皆さんはパスワードの定期的変更、してますか？ 私ですか？ 私はしていません。でも、使用するサービスで情報漏洩があった時やパソコンを買い換えるタイミングなど時々変更するようにしています。 パスワードを定期的変更は無意味だという人がいます。私は無意味であるとは考えていません。パスワードを定期変更しなかったとしても多くの人が不正アクセスなどのセキュリティ被害にあうこともなく平穏な日々を過ごしていることが多いでしょう。そのためパスワードを定期的に変更しなくてもパスワードの盗用によるセキュリティ被害に遭うことはないと感じてしまいます。 一方、なんらかの理由（フィッシングサイトに入力してしまった、コンピュータウイルスに感染し盗まれた、サービス提供企業の管理者が不正に持ち出したなど）で流出したパスワードが闇サイトでパスワードリストの形で販売されたような場合はどうでしょうか。パスワードを一度も変更しない人
Chromecastは簡単にハイジャックできる？ | スラド セキュリティ
5月に国内でも発売が開始されたGoogleのTV向けデバイスChromecastには、簡単にハイジャックされてしまうという脆弱性があるそうだ(TechCrunch Japanの記事)。 Chromecastは動画配信サービスで配信されている動画をTVで視聴したり、Android端末の画面をミラーリングしたり、といった機能を備えた端末。ハイジャックされてもデータの破壊といった問題はなさそうだが、攻撃者は自由に動画や音楽を再生できてしまう。この問題は、Chromecastが特定のコマンドを受信すると設定モードになってしまい、外部から設定を行えるようになってしまうという仕様が原因だという。TVを見ていたら突然画面が切り替わり、不都合な動画が流れる……というのは小説の世界だけの話ではなくなったようだ。 ChromecastはWi-Fi接続設定が完了するまでWi-Fiアクセスポイントとして動作し、ノ
WordPressに仕込まれたマルウェアのコードが恐ろしすぎた
『Googleから「マルウェアに感染している」という警告が届いたので、調査して欲しい』という依頼を受けて、とあるサイトの調査をしたところ、どうやらWordPressにマルウェアが仕込まれている模様。 かなり時間を掛けて広範囲にヤラれていたので、マルウェアをすべて取り除くのに苦労したのですが、その際に見付けたマルウェアが中々恐しいものだったので、ここに書き残しておきたいと思います。 なお、真似してマルウェアを作られても困るので、ソースの一部を画像で載せることにします。 ## マルウェアのソースを人間に読めるようにしてみる では、早速マルウェアの中身を見てみましょう。 まず、いきなり始まるコメント行。そして、長くて一見ランダムに見える文字列。 そして2行目でランダムに見える文字列を base64_decode() し、eval() しています。base64_encode()しているのは、ソース
DNSキャッシュポイズニングの基本と重要な対策:Geekなぺーじ
2014年4月15日に公開されたJPRSの緊急注意喚起に続き、中京大学の鈴木常彦教授によるDNSキャッシュポイズニングに関する技術情報が公開されました。 今回公開された技術情報に書かれている内容には、DNSの本質につながるさまざまな要素が関係しており一回で書ききれるものではなく、また、書いている側（私）も、それぞれの要素技術について勉強しながら理解しつつ進めていかないと混乱してしまうということが良くわかったため、これから数回に分けて徐々に書いて行くことにしました。 ということで、今回はまず、そもそもDNSキャッシュポイズニングとは何かということと、JPRSの注意喚起に書かれているUDPソースポート番号のランダム化（ソースポートランダマイゼーション）の概要、そしてなぜそれが重要なのかという点について解説します。 DNSキャッシュポイズニングとは インターネットで通信を行うとき、各機器同士は通
SPF（Sender Policy Framework） : 迷惑メール対策委員会
センドメール株式会社 (Sendmail, K.K.) 末政 延浩 2010年1月 1. SPFの背景 2. SPFの標準化 3. SPFの仕組み SPF送信側の設定 4. SPFレコードの記述法 5. SPF受信側の処理 6. SPF認証結果 7. SPFにおける課題 転送問題 第三者サーバ利用問題 8. Sender ID とSPF spf2.0とspf1 9. SPFの実装 10. SPFレコードの記述例 11. SPFレコードの間違い 有用な参照先 電子メールの送信者偽称を防ぐ送信ドメイン認証技術には、ここで説明する「Sender Policy Framework（SPF）」のほかに、「DomainKeys Identified Mail（DKIM）」、「Sender ID」など様々な方式が標準化されている。その中でもSPFは、他の方式に比べて既存システムに影響を与えず早期に導入で
世の中に満ち溢れる「パスワードの定期的変更」についてまとめてみた。 - piyolog
いつも盛り上がる「パスワードの定期的な変更」ネタですが、多くの組織でこの対策が推奨されているということをTwitterで知りました。ここではパスワードの定期的変更についてまとめます。 パスワードの定期的変更の考察・関連記事 まずはここを読みましょう。 Bruce Schneier Schneier on Security: Changing Passwords 徳丸さんの記事 パスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記 続パスワードの定期変更は神話なのか - ockeghem(徳丸浩)の日記 「管理者パスワードは何日ごとに変更すればよいか」に関する質疑応答 - ockeghem(徳丸浩)の日記 パスワードを定期的に変更する理由は何ですか? - QA@IT パスワードの定期的変更に関する徳丸の意見まとめ パスワードの定期的変更について徳丸さんに聞いてみた(1
無料でGmailなどの2段階認証を誰でも簡単にオフラインで実行できるアプリ「Authy」
FacebookやTwitter、Gmailなど便利なウェブサービスが多くの人の生活の中に溶け込んでいますが、OCNでIDとパスワードが流出したり、Yahoo!JAPANのパスワードと「秘密の質問」が流出したりと、ただパスワードを設定しているだけでは少し不安に感じることもあります。いくつかのウェブサービスでは2段階認証というセキュリティ機能が使用可能になってきており、これをスマートフォンを使って簡単かつセキュアに利用できるアプリが「Authy」です。20秒ごとにランダムな2段階認証用のトークンを発行し、オフラインでもどこでも使用可能になっています。 対応しているのはGmail・Dropbox・Facebook・LastPass・Linode・Amazon・Outlookとなっており、さらにSSHやWordPressのログインも2段階認証化させることが可能です。 Authy https://
WindowsやLinuxで実行できる脆弱性スキャナ「Nessus」を試す | OSDN Magazine
管理しているサーバーなどに脆弱性がないかを調べるツールを「脆弱性スキャナ」と呼ぶ。脆弱性スキャナにはさまざまなものがあるが、古くからよく知られているものの1つに「Nessus」がある。今回はこのNessusを使った脆弱性の調査について紹介する。 マルチプラットフォーム対応の脆弱性スキャナ「Nessus」 Nessusは指定したサーバーに対しポートスキャンや擬似的なアクセスなどを行うことで、サーバーに存在する脆弱性を調査するツールだ。対象とするサーバーが使用しているソフトウェアに既知の脆弱性がないかどうかを調査できるほか、設定ミスや脆弱なパスワードの存在なども確認できる。また、さまざまな形式で詳細なレポートを生成できるのも特徴だ。WindowsおよびMac OS X、Linux、FreeBSD、Solarisというマルチプラットフォームで動作する。 Nessusはかつてはオープンソースで開発
脆弱性スキャナ「OpenVAS」で実行するセキュリティチェック | OSDN Magazine
これらはそれぞれ同一のマシンで実行させることもできるし、異なるマシンで実行させることも可能だ。なお、Greenbone Security DesktopおよびOpenVAS CLIについてはLinuxおよびWindows向けのバイナリがリリースされているが、それ以外のコンポーネントについては基本的にはLinux向けとなっている。ダウンロードページではソースコードのほか、CentOS 6およびFedora 15～18、Red Hat Enterprise 6向けバイナリパッケージの入手方法が案内されている。なお、Debian GNU/LinuxやFedoraなどはその公式リポジトリでOpenVASのバイナリパッケージが提供されている。ただし、必ずしも最新のバージョンが提供されているわけではないので、それらを利用する際は注意してほしい。 今回は、CentOS 6.3をインストールした1台のサー
Mozilla、セキュリティテスト自動化フレームワーク「Minion」を発表 | OSDN Magazine
Mozillaのセキュリティチームは7月30日、セキュリティ自動化プラットフォーム「Minion」プロジェクトを発表した。Webサイトの自動スキャンやテストに利用できる「サービスとしてのセキュリティ（Security As A Service）」を提供するもので、同日バージョン0.3のコードを公開した。 Minionはオープンソースのセキュリティ自動化プラットフォーム。多数のユーザーを抱えるサービスやWebサイトをサポートするMozillaのセキュリティチームが、セキュリティテストの自動化や統合を目的に1年前に開発を開始した。開発者はこれを利用して、セキュリティテスト自動化に必要な基本要件を設定できるという。プロジェクトの基本ルールとして、容易さ、開発者向け、ツールではなくプラットフォーム、拡張性、安全性、オープンなどを掲げている。 Minionは管理プラットフォーム「Task Engin
WPScan WordPress Security Scanner
WPScan WordPress Security ScannerThe WPScan CLI tool is a free, for non-commercial use, black box WordPress security scanner written for security professionals and blog maintainers to test the security of their sites. The WPScan CLI tool uses our database of 21,907 WordPress vulnerabilities. Install now by running: gem install wpscan The version of WordPress installed and any associated vulnerabil
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
海外クレジットカードのキャッシングに対応していたATMが攻撃された件(山本一郎) - 個人 - Yahoo!ニュース