“余計なもの”って何？ 「Mate 20 Pro」の疑惑を晴らす (1/3) - EE Times Japan
“余計なもの”って何？ 「Mate 20 Pro」の疑惑を晴らす：製品分解で探るアジアの新トレンド（34）（1/3 ページ） Huaweiの2018年におけるフラグシップ機「Mate 20 Pro」。この機種には、“余計なもの”が搭載されているとのうわさもある。本当にそうなのだろうか。いつものように分解し、徹底的に検証してみた。 弊社（テカナリエ）では、年間おおよそ30機種ほどのスマートフォンを分解している（実際にはカスタム解析依頼などに対応するために同じ機種を数台分解するので、台数はさらに多い）。 分解の前に若干使う場合もあるが、多くは買ったものをそのまま分解する。分解は、おおよそ1時間ほどで終わる。実際、分解するだけならば手慣れたもので、数分もあれば基板取り出しまでできてしまうのだが、分解の各工程を写真に撮りながら進めるので1時間程度かかるわけだ。2018年、最も時間をかけて丁寧に分解
Chrome が非 HTTPS サイトに「保護されていません」と表示、2018 年 7 月下旬開始予定
オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。 詳しくはこちら
CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして - Mercari Engineering Blog
本日コーポレートサイトでお知らせした通り、Web版のメルカリにおいて一部のお客さまの個人情報が他者から閲覧できる状態になっていたことが判明しました。原因はすでに判明して修正が完了しております。また、個人情報を閲覧された可能性のあるお客さまには、メルカリ事務局より、メルカリ内の個別メッセージにてご連絡させていただきました。 お客さまの大切な個人情報をお預かりしているにも関わらず、このような事態に至り、深くお詫びを申し上げます。 本エントリでは技術的観点から詳細をお伝えさせていただきます。 2017年6月27日 CDNのキャッシュの動作について、CDNプロバイダと仕様について確認し検証を行いました。その結果一部記述に実際と異なる箇所があり、加筆修正いたしました。 概要 メルカリWeb版のコンテンツキャッシュをしているCDNのプロバイダ切り替えを行いました。 その際本来キャッシュされるべきでない
piyokango氏に総務大臣奨励賞 ブログ「piyolog」で「セキュリティ向上に貢献」
セキュリティ情報ブログ「piyolog」のpiyokango氏などが「サイバーセキュリティに関する総務大臣奨励賞」初の受賞者に。 総務省は5月29日、サイバーセキュリティ分野で顕著な功績があった個人や団体を表彰する「サイバーセキュリティに関する総務大臣奨励賞」の初の受賞者として、セキュリティ情報ブログ「piyolog」を運営する「piyokango氏」など個人2人と団体1人を選んだと発表した。6月1日に都内で表彰式を行う。 同賞は、地方自治体や民間企業などの現場でサイバーセキュリティ向上の観点から顕著な功績があり、今後も活躍が期待される個人や団体に授与する賞で、今年スタートした。公募や推薦で候補者を募り、選考委員会で受賞者を選んだ。 初の受賞者となったのは、セキュリティリサーチャーのpiyokango氏と、日立製作所Hitachi Incident Response Teamチーフコーディ
SHA-1衝突攻撃がついに現実に、Google発表 90日後にコード公開
GoogleはSHA-1ハッシュが同じでコンテンツが異なる2つのPDFも公表した。90日後には、こうしたPDFを生成するためのコードを公開するとも予告している。 Webブラウザのセキュリティ対策など幅広い用途に使われてきたハッシュアルゴリズムの「SHA-1」について、米Googleは2月23日、理論上の可能性が指摘されていたSHA-1衝突を初めて成功させたと発表した。これでSHA-256やSHA-3のような、安全な暗号ハッシュへの移行を急ぐ必要性がこれまで以上に高まったと強調している。 SHA-1を巡っては、脆弱性を悪用される危険性が高まったことを受け、主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止を進めている。 Googleはオランダ・アムステルダムのCWI Instituteと2年がかりで共同研究を実施。Googleの技術とクラウドインフラを駆使して大規模な演算処理を行い、S
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
CMS四天王のバリデーション状況を調査したところ意外な結果になった
バリデーションでSQLインジェクション攻撃をブロックしないCMSが多い ログインIDにおける典型的なSQLインジェクション攻撃として、'OR 1=1# をバリデーションがブロックするかどうかを確認しました。ログインIDとして許容される文字を見る限り、WordPress、Joomla、Drupalはブロックしそうですが、結果は下記の通りです。 WordPress: ブロックしない Joomla: ブロックする Drupal: ブロックしない MovableType: ブロックしない ということで、意外なことに、バリデーションでSQLインジェクション攻撃を止めるのはJoomlaのみという結果でした。 ログインIDにヌルバイトや改行が使えるCMSがある テストをしていてもっともびっくりしたことの一つがこれです。JoomlaとMovableTypeはヌルバイトや改行など制御文字がログインIDとして
年金情報、ダウンロードした職員ＰＣから流出か：朝日新聞デジタル
日本年金機構がサイバー攻撃されて年金受給者や加入者の個人情報約１２５万件が流出した問題で、個人情報は職員がパソコンにダウンロードして保存してあった。この保存情報が漏れた可能性もあり、専門家からは機構のセキュリティー態勢への疑問が出ている。 今回の攻撃は５月８日に始まった。職員がパソコンに届いた電子メールに添付されたファイルを開くと、パソコンがウイルスに感染して外部に個人情報を送り始めた。政府機関への不正アクセスを検知する「内閣サイバーセキュリティセンター（ＮＩＳＣ）」が、この日のうちに不正アクセスに気づき、機構や厚生労働省に知らせた。 機構などによると、今回の不正アクセスで流出したとみられるのは「情報系システム」に入っていた基礎年金番号、氏名、生年月日、住所の４種類の個人情報。このシステムは年金記録を管理する「社会保険オンラインシステム」とは分離され、年金受給者や加入者に年金関係の通知を郵
［続報］日本年金機構、ファイル共有サーバーを5年以上前から運用
［続報］日本年金機構、ファイル共有サーバーを5年以上前から運用 ルール上は「個人情報の格納は原則禁止」 日本年金機構から125万件の年金情報が漏洩した問題で、同機構は漏洩データを保管していたファイル共有サーバーを社会保険庁時代から恒常的に利用していたことが明らかになった。年金記録などを格納する基幹システム（社会保険オンラインシステム）から個人情報をファイル共有サーバーに移していたところ、標的型ウイルスに感染したパソコン経由で情報が漏れた（関連記事：日本年金機構にサイバー攻撃、ファイル共有サーバーから125万件の年金情報が流出）。サーバー上に個人情報を置くことは原則禁止していたという。 同機構のシステム統括部によれば、少なくとも2010年1月の機構発足時には、基幹システムから抽出した個人情報をファイル共有サーバー内のフォルダに格納して、職員間や事務所間で共有していた。フォルダは階層構造であり
仮想化製品多数に「ゲストVM脱出」の脆弱性、影響は極めて重大
悪用された場合、攻撃者がゲストVMから抜け出してホストシステムにアクセスし、任意のコードを実行できてしまう恐れがある。 XenやKVMなど多数の仮想化プラットフォームで使われている仮想フロッピードライブのコードに、極めて重大な「仮想マシン（VM）エスケープ」の脆弱性が発覚した。セキュリティ企業CrowdStrikeの研究者が発見して5月13日に情報を公開した。 CrowdStrikeによると、この脆弱性（CVE-2015-3456）はXenやKVMをはじめとする膨大な数の仮想プラットフォームやアプライアンスに使われているQEMUの仮想フロッピーディスクコントローラ（FDC）に存在する。同社は、この脆弱性を「VENOM」（Virtualized Environment Neglected Operations Manipulation）と命名した。
新入生の皆さんへ －入学式における個人情報の紛失と対応について（お詫び）－<br /> - 横浜国立大学
新入生の皆さんへ すでにホームページでご確認いただいているかと思いますが、平成27年4月3日の、横浜文化体育館での本学入学式の受付において、全学部新入生の氏名、性別、学籍番号、所属学部・学科・コース（EP）、受験番号及び生年月日の記載された名簿を紛失しました。 学生や保護者の皆様には大変ご迷惑をおかけしましたことをお詫びいたします。 大学執行部において至急対応を検討し、伊勢佐木警察署への届け出等を即日実施いたしましたが、さらに検討を行い、個人情報流出の影響を少しでも減じるために、皆さんの学籍番号を変更し、学生証を再発行することにしました。いろいろな手続きでお手数をおかけしてしまいますが、連絡、掲示にしたがって、対応をいただきたくお願い申し上げます。 なお、皆さんの氏名と生年月日の情報が流出していますので、いろいろな手続きのパスワードに生年月日を用いない、また身に覚えのない連絡には返信しない
PHP5.5.0 から導入されたパスワードハッシュ関数を使ってみた - mikanmarusanのブログ
概要 パスワードのハッシュ パスワードハッシュ API は crypt() を手軽に使えるようにしたラッパーで、 パスワードの作成や管理を安全な方法で行えます。 crypt() を利用すればパスワードハッシュの生成は可能なんだけど、経験上煩雑なコードになりやすい気がして（自分がPHPを書くのが下手なだけかもしれないけど）ちょっと勉強してみた。 環境構築 vagrantでUbuntu(raring)を用意し、php5.5.7をLaunchpadのPersonal Package Archiveでインストール。 $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 13.04 Release: 13.04 Codename: raring $ php -v PHP 5.
HASHコンサルティングのイー・ガーディアングループ参加に関するお知らせ
既にご案内の通り、イー・ガーディアン株式会社がHASHコンサルティング株式会社の全株式を取得し、完全子会社化することで合意いたしましたのでご案内いたします。 平たくというと、何が変わるの? (1) HASHコンサルティング株式会社の株主が変わります 旧株主: 徳丸浩(100%) → 新株主: イー・ガーディアン株式会社(100%) (2) 本社が移転します 旧本社: 東京都品川区（自宅兼オフィス） 新本社: 東京都港区麻布十番1-2-3 プラスアストルビル 5F ※イー・ガーディアン株式会社の本社が入居しているビルです (3) 社員を増やします 旧: 徳丸が一人でなんでもやっていました 新: 一緒に仕事をしてくれる技術者を募集します 変わらないことは何? (1) 会社は存続します HASHコンサルティングという会社はイー・ガーディアン株式会社の子会社として存続し、社名も変わりません。
データベース「MongoDB」の管理ツール「phpMoAdmin」に存在するゼロデイ脆弱性の解析 | トレンドマイクロ セキュリティブログ
「PHP MongoDB administration tool（phpMoAdmin）」は、オープンソースのドキュメント指向データベース「MongoDB」をグラフィカルユーザインタフェース（GUI）で操作できる無料の管理ツールです。phpMoAdmin は 、NoSQL のデータベース「MongoDB」を管理する人気のツールで、PHP言語で記述されています。 2015年3月上旬、リモートでコードが実行されるゼロデイ脆弱性が、「phpMoAdmin」で確認されました。この脆弱性を利用することにより、攻撃者は、認証なしに任意のコードを実行することができます。これは、コマンドインジェクションの脆弱性で、通常は、Webアプリケーションがユーザの入力に基づいて特定のオペレーティングシステム（OS）のコマンドを実行する際に発生するものです。 ■脆弱性の解析 この脆弱性は、「moadmin.php」と
Lenovo製品にプリインストールされているアドウェアSuperfishに関連する情報をまとめてみた。 - piyolog
2015年2月19日、Lenovo製品のPCの一部にプリインストールされているアドウェアSuperfishに深刻な問題が確認されたとして報道されました。ここでは関連情報をまとめます。 公式発表 2015年2月19日 LENOVO STATEMENT ON SUPERFISH (魚拓：当初発表・変更後) 2015年2月20日 Superfishに関するレノボの見解 (魚拓：当初発表・変更後) 2015年2月20日 SUPERFISHの脆弱性 (魚拓) 2015年2月21日 Updated Lenovo Statement on Superfish (魚拓) 2015年2月21日 Superfish に関するレノボからのお知らせ（更新）(魚拓) 見解内容 2015年1月以降Superfishのサーバー側作用により完全に無効となっており、この無効化は市場に出回っている全てのSuperfishが対
クラウドを支えるこれからの暗号技術
SSII2021 [TS3] 機械学習のアノテーションにおける データ収集 〜 精度向上のための仕組み・倫理や社会性バイアス 〜SSII
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
携帯大手3社もファーウェイ除外へ - 共同通信 ｜ This kiji is
cookpad.com 全 HTTPS 化の軌跡
年金情報 百数十万件が流出か - NHK 首都圏 NEWS WEB
(PDF) MongoDB に対する探索行為の増加について - 警察庁 (平成27年2月20日)