【更新】7pay問題でオムニ7アプリのソースコードに漏洩の疑い。｢GitHub｣上で誰でも入手可能だったか
7payをめぐる脆弱性の懸念が解決しないまま、不正使用事件発覚から約3週間が経った。この間、実行犯とみられる複数の中国籍の容疑者が逮捕され、また外部ID連携の実装の不備から、セキュリティーの懸念を指摘する報道が続いている。 セブン&アイHDは7月中を目処に、今後の対応策などを公表する予定だ。 しかしここへきて、これまでとは異なる、別の問題が浮上してきた。 7payにも関連する、ECアプリ｢オムニ7｣の設計図にあたるソースコードが漏洩していた可能性がある。オムニ7アプリはセブン-イレブンアプリとは別アプリだが、ログインまわりの設計は非常に似通っているとみる専門家もいる。 事実であれば、アプリ開発の管理体制、アプリ自体やサービスのセキュリティーに関するリスクの有無についても、一層の警戒が必要になる可能性がある。
パスポートのセキュリティ - AAA Blog
前回、運転免許証記載情報の真正性を確認する方法を紹介しました。 パスポートにも免許証と同様にICチップが埋め込まれており、海外渡航時の入国審査では本物のパスポートかどうかチェックが行われています。 不動産取引や民間サービスの本人確認業務でも、同じ方法でICチップの確認を行えば身分証偽造による詐欺行為を防ぐことができます。 今回パスポートのICチップにアクセスして真正性を確認するAndroidアプリをつくったのでその仕組みを紹介します。 目次 電子パスポート仕様パスポートは世界で通用する身分証明書です。 それぞれの国が独自仕様のパスポートを発行すると大変なので、 国際民間航空機関(以下ICAO)がICチップの技術仕様を標準化し、各国のシステムで相互運用できるようになっています。 ICAOはDoc 9303 Machine Readable Travel Documents(機械可読な旅券)と
［速報］GitHub、依存関係表示でのパッケージやアプリケーション対応、セキュリティアラートなどの新機能発表。GitHub Universe 2017
基調講演では、GitHubの新機能としてプロジェクトの依存関係を表示する「Dependency graph」や、このDependency graphにおいてパッケージやアプリケーションの対応や、依存関係にあるパッケージなどで脆弱性が発見された場合に通知してくれる「Security alerts」機能などが発表されました。 プロジェクトの依存関係を表示する「Dependency graph」 GitHub上で開発されているソフトウェアの多くは、ほかのプロジェクトで開発されているソフトウェア、パッケージ、アプリケーションなどを利用しています。 同社はこうしたプロジェクトの依存関係を「Code metadata」として保持しており、同社 データサイエンスチームのエンジニアリングマネージャのMiju Han氏によると、リポジトリの75％が何らかの依存関係を持ち、半分以上は10以上の依存関係を持ち、
スマホカメラで指静脈認証 日立が技術開発
日立製作所は10月24日、スマートフォンに標準搭載されているカメラを利用して高精度な指静脈認証を実現する技術を開発したと発表した。スマホカメラで撮影した複数の指のカラー画像から、各指を検出して静脈パターンを抽出。複数の指の静脈パターンを認証に用いることで精度を高めた。 指静脈認証は体内のパターンで認証するため、指紋、顔、声紋など他の認証方式より偽造やなりすましが困難だが、読み取るためには赤外線を用いた専用センサーが必要だった。 新技術は、スマホカメラで撮影した指の画像から、指静脈に特有な色合いの部分を強調することで静脈パターンを抽出。指のしわと指静脈を区別でき、指静脈パターンを安定的に抽出できるという。指の色や形の実例画像をあらかじめ学習させておくことで、画像に映り込む背景に左右されずに各指の傾きや大きさを補正する技術も開発した。 スマホでのオンラインショッピングなどでの本人認証手段に利用
ＯＳ更新、サポート後手 : 科学 : 読売新聞（YOMIURI ONLINE）
いまや国民の３人に１人が使うとされるアンドロイドＯＳ※のスマートフォン。だが、発売から１年前後でＯＳのサポート対象から事実上外れてしまう端末が多いことをご存じだろうか。ＯＳの欠陥が放置されればサイバー攻撃などの危険は増す。ソフトウェアの「賞味期限」について、メーカーも販売会社も、そして私たち利用者も考える時期にきているのではないか。 コンピューターの世界では、利用が始まった後にプログラムにセキュリティー上の脆弱性（弱点）が見つかることは珍しくない。脆弱性が見つかるとパッチ（絆創膏）と呼ばれる修正プログラムが作られ、利用者がアップデートすることで安全を保っている。「パッチを当てる」ともいい、いわば傷口を絆創膏で塞ぎ、バイ菌の侵入を防ぐようなものだ。 例えば、ウィンドウズＯＳの入ったパソコンの場合、ＯＳを開発したマイクロソフトから定期的に更新プログラムが配布されている。スマホでも、ｉＰｈｏｎｅ
世界のメールの暗号化はたった一人の男に依存しており、開発資金はゼロになってしまっているという衝撃の事実が判明
世界中のジャーナリストやセキュリティ関連に敏感な人、さらにはエドワード・スノーデン氏のような内部告発者までもが使用している、無料のメール暗号化ソフトウェアが「GNU Privacy Guard(GPG)」です。この暗号化ソフトを1997年からたった一人で開発してきたのがヴェルナー・コッホ氏で、彼が置かれている厳しい現状をProPublicaが明かしています。 The World’s Email Encryption Software Relies on One Guy, Who is Going Broke - ProPublica http://www.propublica.org/article/the-worlds-email-encryption-software-relies-on-one-guy-who-is-going-broke ソフトウェアエンジニアのコッホ氏がGPGの開
グーグル、「OS X」用マルウェア対策ソフト「Santa」を提供--オープンソースで
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 「Mac」をマルウェアから保護するには、Appleが提供している「XProtect」だけで十分だと考えるユーザーもいる一方で、Macを導入しているほとんどの企業はそのように考えていない。独自のマルウェア対策ソフトウェアを開発したGoogleもそのうちの1社だ。 GoogleのMacintosh Operationsチームによって開発された「Santa」というソフトウェアは、「バイナリコードをブラックリストとホワイトリストで管理する」ものだ。 Googleはこのツールを、他の人々も貢献できるオープンソースプロジェクトとしてGitHub上で公開した。Macintosh Operationsチームは、「OS X」向けのこのセキュリティツールの
OpenSSLにはこんなに問題が! LibreSSL開発者が発表 - BSDCan2014
The OpenBSD project produces a FREE, multi-platform 4.4BSD-based UNIX-like operating system. OpenBSDプロジェクトの開発者でありLibreSSLの開発に携わっているBob Beck氏は5月17日(カナダ時間)、「BSDCan2014: LibreSSL」においてLibreSSLの開発がはじまってからのおおよそ30日間のできごとを伝えた。なぜOpenSSLからLibreSSLを派生させ別プロジェクトとして取り組むことにしたのか、具体的にどういった変更を実施したのかなどが説明された。プロジェクトを立ち上げるきっかけはHeartbleed脆弱性が決め手だったのではなく、そのあとに取り組んだ作業によって別プロジェクトにするという判断が決定的なものになったと説明があった。懸念された点は特に次のとおり。
「顔認識」無断で客撮影…首都圏の商業施設など : 社会 : YOMIURI ONLINE（読売新聞）
通行人などの顔を自動判別する「顔認識」方式のカメラが増えているが、このうち首都圏の商業施設や大規模マンションの２９台で、断り書きなしに撮影が行われていたことが読売新聞の調べで分かった。 広告用ディスプレーに小型カメラを埋め込み、視聴した人の性別や年代を分析して顧客分析に利用するのが目的だ。設置業者は「個人を特定しておらず問題ない」としているが、専門家からは「ルール整備が必要」などの声が上がっている。 東京都江東区の大型商業施設「ららぽーと豊洲」。店舗案内を流している高さ約２メートルのディスプレーの上部に、小型カメラが設けられている。外観からは分かりにくいが、終日、客の顔を撮影し、どの広告をどんな客が見たかを分析している。ららぽーとを運営する三井不動産グループによると、２００９年１１月に同店で１０台導入し、１０年３月からは新三郷店（埼玉）でも８台稼働させているが、いずれも撮影は明示していない
時事ドットコム：プロの開発者が作成か＝高価な専門ツール使用−証拠隠滅の痕跡も、ＰＣ遠隔操作
プロの開発者が作成か＝高価な専門ツール使用−証拠隠滅の痕跡も、ＰＣ遠隔操作 プロの開発者が作成か＝高価な専門ツール使用−証拠隠滅の痕跡も、ＰＣ遠隔操作 遠隔操作ウイルスに感染したパソコンから犯行予告が書き込まれた事件で、このウイルスは主にプログラム開発者らが使用する高価な専門ツールで作成された可能性があることが１８日、専門家らへの取材で分かった。 ウイルス作成者のパソコン本体に証拠が残らないようにした痕跡があったことも判明。警視庁捜査１課などは日常的にプログラムを開発する人物がウイルスを作った可能性が高いとみて、特定を急ぐ。 このウイルスを入手、解析した情報セキュリティー会社「ラック」（東京都千代田区）の西本逸郎専務理事によると、ウイルスは「ＶｉｓｕａｌＳｔｕｄｉｏ２０１０」というソフト開発ツールを使って作成されていた。数万円から数十万円以上する専門的なソフトで、素人が購入することは考
IPAからAndroidアプリの脆弱性に関するレポート出ました
「Androidアプリを作っている（作ってもらっている）けど、脆弱性が心配」という声はtwitterでも目にすることがあります。そして、「『安全なウェブサイトの作り方のAndroidアプリ版』があったらいいのに」という希望を目にしたこともあります。 6月13日にIPAから公表された「IPA テクニカルウォッチ『Androidアプリの脆弱性』に関するレポート」は、この『安全なウェブサイトの作り方のAndroidアプリ版』に相当する位置づけのドキュメントです。なぜそう思うかというと、以下の性格が『安全なウェブサイトの作り方』と共通するからです。 Androidアプリの基本的な問題に絞っている 届出の多い脆弱性にフォーカスしている 以下、もう少し詳しく紹介します。 Androidアプリの脆弱性とは何か 同レポートでは、Androidアプリの脆弱性を以下のように定義しています（同書P3）。 ■ 「
Webプログラマ必見。HTML5のセキュリティチートシート·HTML5 Security Cheatsheet MOONGIFT
HTML5 Security CheatsheetはHTML5のセキュリティに関するチートシートです。問題点と対象Webブラウザ、対処法が一覧になっています。 HTML5 Security CheatsheetはHTML5におけるセキュリティホールになりえる問題点をコードを通じて広めていこうというプロジェクトです。Webプログラマ必見と言えるでしょう。 トップページです。様々な項目が並んでいます。 左側は各セキュリティチェックすべき項目で、対象になるWebブラウザとそのバージョンが並んでいます。問題点の提示とともに、その回避策についても書かれていますのでとても参考になります。 まだ日本語化されていない部分もあります。 ほぼ全てのWebブラウザが対象になる部分もあるようです。 項目は非常に多いですが、セキュリティを重視するためにもチェックしておくべきです。 HTML5ではありますがIE6など
なぜIMEIの利用が問題視されたのか--個人情報とプライバシーをめぐって
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 携帯電話に搭載されている固有IDが波紋を呼んでいる。 問題の発端は、NTTドコモが開発者向けに開示した情報だった。公開されたのは、同社のスマートフォン向けコンテンツ開発に関する情報で、ドコモがスマートフォンにプリインストールする「メディアプレイヤー」アプリが、動画を再生する際にIMEIと呼ばれる端末一意の固有IDを送信する、というものだった。 この記述自体はその後、マイクロソフトの「PlayReady」と呼ばれるDRMを使った動画の再生時に「ライセンスが確認できない場合」のみ送信され、1回ごとにユーザーに送信の可否を問うダイアログが出る仕組みであると説明が追記（修正）され、問題自体は終息している。 しかし、これをきっかけに、スマートフォ
HTTPS を使ってるアプリを AppStore や Android Market で配信するときの輸出手続きについて - むらかみの雑記帳
'12/11/24: このブログの内容をもとに Amazon Kindle ストアで電子書籍を出版しました。 スマートフォンアプリ配信の輸出管理 作者: 村上卓弥出版社/メーカー: 村上 卓弥発売日: 2012/11/23メディア: Kindle版 クリック: 1回この商品を含むブログ (2件) を見る AppStore でアプリ配信をしようとして iTunes Connect にアプリをアップロードしようとすると、「暗号使ってるかい？」(Export Complianceのところ)という質問がされますよね？皆さん、あそこちゃんと答えてますか？ ほとんどのサイトは No でいいよ、と書いてあります。が、これは間違い。アプリが暗号関連でなくても、アプリ内に暗号コードが入ってなくても、iOS の暗号を使っている場合はここは Yes と答えないといけません。 具体的には、HTTPS を使ってる場
Linuxカーネル2.6.36登場 - AppArmorがメインラインに取り込み | エンタープライズ | マイコミジャーナル
Linus Torvalds氏は10月20日(米国時間)、Linuxカーネル 2.6.36を公開したことを発表した。64コアCPUのTirelaアーキテクチャのサポート、新しいファイル通知インタフェースのfanotifyのマージ、AppArmorのメインライン採用など、多くの機能追加および変更が実施されている。 2.6.36で実施された主な変更点は以下の通り。 Tirelaアーキテクチャのサポート 新ファイル通知インタフェース「fanotify」 KMSとKDB(カーネルデバッガ)の統合 スレッドプールマネージャによるワークキューの管理 Intel Core i3/5のインテリジェントパワーシェアリングのサポート CIFSにFS-Cache(ローカルキャッシュ)を追加 デスクトップ周りの不具合の改善 (USBストレージへの書き込み速度の向上など) OOM(Out of Memory Kil
富士通研、情報漏えい対策向けに文書に含まれるマークなどの認識技術を開発 | ネット | マイコミジャーナル
富士通研究所は9月6日、組織内で用いられる社外秘マークや部外秘といった文書の背景に透かし文字として用いられる文字などを検出することで、機密文書の漏洩対策が可能となる技術を開発したことを発表した。 メールなどによる情報漏えいは、どこの組織でも起こりうる可能性があるが、クラウド化が語られるようになった昨今、従来のファイアウォールやプロキシを用いた外部からの侵入を防御するだけでなく、内部からの流出を防ぐ手立てとして「情報セントリック(中心)セキュリティ」が求められていると同社は指摘する。 クラウド化に伴い、データのある場所を守るのではなく、データそのものを守る方向にシフトしていくというのが同社の主張するところ 今回、同社が開発した技術はPCから外部に向けてメールやUSBメモリで送信されるデータを監視、その送信データに機密情報が含まれていた場合に警告を行ったり、送信を防止する仕組みとして機能すると
【2ch】ニュー速クオリティ:LZH終了のお知らせ
1 ダイヤモンドテトラ(神奈川県) 2010/06/06(日) 15:43:53.10 ID:dJO0f3qX● ?PLT(18500) ポイント特典 Unlha32.dll等開発停止、LHA書庫の使用中止呼びかけ Unlha32.dllの開発が停止された。バグ対応などは当面続けられる模様だが、http://www2.nsknet.or.jp/~micco/notes/ann.htm にて、LZH(LHA)形式の使用中止が呼びかけられている。 経緯について、作者であるMicco氏のページから、自分の理解できる範囲で簡単にまとめてみる。間違いがあったら指摘して欲しい。また、詳しい情報はMicco氏のページ http://www2.nsknet.or.jp/~micco/micindex.html を参照して欲しい。 ・背景 LZH形式は国際的にはマイナーな形式である。しかし日本国内
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
量子コンピュータでも解読が困難な新暗号方式が国内で開発
開発したAndroidアプリとセキュアコーディングガイドを照らし合わせるツール 
http://blog.monoweb.info/article/2012021823.html