報告から 1 年以上経っても完全に修正されない IKEA のスマート電球の脆弱性 | スラド セキュリティ
IKEA の TRÅDFRI (トロードフリ) シリーズ スマートホーム製品 2 点で脆弱性が見つかり、発見者の Synopsys Cybersecurity Research Center (CyRC) が詳細を報告している (The Register の記事)。 CVE-2022-39064 はスマート電球 (LED1732G11) の脆弱性。不正な IEEE 802.15.4 (Zigbee) フレームを 1 回送ると電球が点滅を始め、同じフレームの送信を複数回繰り返すとファクトリーリセットが実行されてしまうという。これにより電球は Zigbee ネットワークに関する設定情報や輝度設定を失い、最大輝度で点灯するほか、ユーザーはアプリやリモコンでの操作ができなくなる。 CVE-2022-39065 はすべての IKEA Home Smart 製品をアプリから操作可能にするゲートウェイデ
2021 年版流出パスワードトップ 200、 世界では「123456」が 1 位、日本では「password」が 1 位 | スラド セキュリティ
パスワードマネージャーの NordPass が 2021 年版の人気パスワードトップ 200 を公開している (NordPass の記事、 HackRead の記事、 Mashable の記事)。 調査は NordPass がサイバーセキュリティインシデント専門の独立系研究者と協力してまとめたもので、4 TB のデータベースを調査したという。1 位は各社の調査で 10 年以上にわたってトップを独走している「123456」であり、2 位以下も「123456789」「12345」「qwerty」「password」といった常連ばかりだが、今回の調査では国別・性別のデータもまとめられている。 日本では 85,561,976 件のパスワードが流出しており、日本人 1 人あたり 0.68 件が流出した計算になる。人口 1 人あたりの流出件数はロシア (19.902 件)やチェコ (6.221 件)、
サイバーセキュリティ企業 Sophos、ツールの設定ミスでごく一部の顧客データを流出させる | スラド セキュリティ
Sophosが内部で使用するツールに設定ミスがあり、ごく一部の顧客に関するデータが流出したそうだ(Sophos Communityでのアナウンス、 HackReadの記事)。 このツールはカスタマーサポートが連絡を受けた顧客の情報を保存するもので、アクセス許可の問題があるという情報提供を11月24日に受けたという。既に問題は修正済みだが、ごく一部の顧客について姓名と電子メールアドレスが(顧客から伝えられた場合は電話番号を含む)流出したそうだ。Sophosでは影響を受けた顧客に電子メールで連絡しており、連絡がない場合は影響を受けていないとのこと。影響を受けた顧客に対しては、現時点で特別な対策は必要ないと説明している。
QualcommやMediatekのWi-Fiチップでも「KrØØk」に似た脆弱性が発見される | スラド セキュリティ
ESETの研究者がQualcommとMediatekのWi-FiチップでもKrØØkに似た脆弱性が存在することを公表した。 KrØØkはBroadcom及びCypressのWi-Fiチップにおいて、接続解除後にチップ内の暗号化用鍵が消去されゼロとなるににもかかわらず、チップ内の送信バッファに残ったデータが鍵の消去後も送信され続けるため、結果として000...で暗号化されたデータが送信されてしまうという脆弱性（関連ストーリー）であり、様々なスマートフォンやWi-Fiアクセスポイントが影響を受けた。 今回ESETの研究者が発見した脆弱性の内、QualcommのWi-Fiチップを対象としたものは接続の解除時に平文のデータを送信させることが出来るというもので、D-Link DCH-G020とTurris Omniaで脆弱性の存在が確認されている。記事内では具体的なチップの型番は明らかにされていない
米国国家安全保障局（NSA）、位置情報を漏らさないようにするためのガイダンスを公開 | スラド セキュリティ
米国国家安全保障局（NSA）が、位置情報を保護するためのガイダンス「Limiting Location Data Exposure」を発表したそうだ。このガイダンスは政府機関や一般ユーザーなどの位置情報漏洩を防ぐためのものだという（NSA、マイナビ、ガイダンス全文[PDF]）。 マイナビによると具体的な対策例としては、 デバイスの位置情報サービス設定を無効にするWi-FiやBluetoothを頻繁に使用していない場合にはオフにするデバイスを使用していない時は機内モードにするアプリには最低限必要な権限しか許可しないようにする"デバイスを探す"などの追跡機能をオフにするデバイスでのWebブラウジングは最小限にとどめ、ブラウザへの位置情報サービスへのアクセスは許可しない匿名のVPNを使用する可能であれば、クラウドに保存される位置情報を最小限にする
IANAのルートKSKセレモニー、物理的な参加者数を7人に制限して実施される | スラド セキュリティ
IANAはCOVID-19のリスクを最低限にするため、第41回のルートKSKセレモニーで物理的な参加者数を7人に制限して実施した(Root KSK Ceremony 41、 ICANN Blogの記事、 The Registerの記事、 動画)。 ルートKSKセレモニーはルートゾーンの署名に使用するゾーン署名鍵(ZSK)を3か月に1回更新するため、ルート鍵署名鍵(ルートKSK)を用いて署名するものものだ。2月の第40回ルートKSKセレモニーでは物理的なセキュリティ上の問題により10年間の歴史で初めて期日を変更して実施されており、スラド記事ではタイミング的にCOVID-19の影響かと思ったというコメントもみられたが、今回は本当にCOVID-19の影響を受けることになった。 ルートKSKセレモニーの実施計画は6か月前に始まり、第41回は4月に実施が予定されていたが、2月になってCOVID-19
米上院議員、米国企業が中国にデータを保存することを禁ずる法案を発表 | スラド セキュリティ
Anonymous Coward曰く、 米共和党の上院議員Josh Hawley氏が11月18日、National Security and Personal Data Protection Act（国家安全・個人データ保護法案）を発表した。この法案はAppleやTikTokのようなIT企業を通じて、米国民の機密情報が中国に渡らないようにするものであるという。この法案は、ロシアや中国を含む「米国の国家安全保障上の懸念」を有する国と関係する企業が対象（The Hill、Slashdot）。 Josh Hawley氏によれば、この法案が中国企業による「米国でのサービス提供に必要となる以上のデータ収集」や「収集したデータの副次的目的での利用」、「｢彼らの国へのユーザーデータや暗号化キーの転送や、そこでのデータ保存」を防止できるとしている。すでにマルコ・ルビオ議員などが賛成に署名している。 なおG
小さなスパイチップをマザーボードに隠すことは技術的には可能という検証結果 | スラド セキュリティ
ストーリー by hylom 2019年10月17日 13時54分 ATtiny85だとできることは相当限られるもののカスタムチップなら 部門より taraiok曰く、 2018年、Supermicro製のマザーボードにスパイ行為を可能にする不正なチップが埋め込まれて出荷さえているとの報道があった（過去記事）。報道当時、Apple、Amazon、およびSupermicroはこのレポートは不正確だとして強く否定。米国家安全保障局（NSA）も同様に否定した。Bloombergはこの不正確な報道をフォローする記事について今になっても書いていない（WIRED、Slashdot）。 ただ、Bloombergが報じた内容は技術的に実現可能であると考える意見は多い。実際、セキュリティ研究者Monta Elkins氏は、適切なアクセス環境とわずか200ドル相当の機器さえあれば、実現は可能だという結論を出し
SMSでは簡単に送信元を偽装できる | スラド セキュリティ
SMSでは容易に送信元を偽装でき、正規の送信元からのメッセージに偽装したメッセージを紛れ込ますことができるという（SMSで送信元を偽装したメッセージを送る）。 SMSでは任意の英数字を送信元として表示するための仕様（Sender ID）があり、これに従ってメッセージを送信するだけで任意の文字列を送信元として指定できるという。また、iOSのメッセージアプリなど、昨今のスマートフォンに搭載されているSMSアプリではチャットのような体裁でメッセージのやり取りを表示するものがあるが、iOSのメッセージアプリではこのSender IDを元にスレッド表示を行うため、正規の送信元からのメッセージと同じSender IDを使用することで、偽装したメッセージがスレッドに混入してしまうという。 こうした行為は「スミッシング」と呼ばれ、今年6月に日本サイバー犯罪対策センターから注意喚起も出されている、 なお、S
Microsoftアカウント、2年以上サインインしないと削除される可能性 | スラド セキュリティ
headless曰く、 Microsoftが1日付で公開したサポートドキュメントによると、Microsoftアカウントが非アクティブとみなされるまでの期間が短縮されるようだ（Microsoft account activity policy、Neowin、Windows Central）。 Microsoftサービス規約（MSA）ではMicrosoftアカウントをアクティブな状態に保つようユーザーに求めており、少なくとも5年に1回はサインインしなければ非アクティブとみなされることが明記されている。非アクティブとみなされたMicrosoftアカウントはMicrosoftにより停止（削除）されることになる。なお、Outlook.comの受信トレイおよびOneDriveについては少なくとも年に1回は個別にサインインする必要がある。 一方、新しいアカウントポリシーでは、少なくとも2年に1回サインイ
広告SDKを通じてアドウェアに感染した200本以上のアプリがGoogle Playで見つかる | スラド セキュリティ
広告SDKを通じたGoogle Playでのアドウェアキャンペーンについて、発見したCheck Point Researchが解説している（Check Point Research、Android Police、SlashGear、The Verge）。 この広告SDKはRXDroiderと呼ばれるもので、キャンペーンが特定の国をターゲットにしたものではなく、アプリはそれぞれ異なる開発者によるものであることから、アプリ開発者をだまして使わせていたものとみられている。アドウェアに感染したアプリは206本見つかっており、シミュレーションゲームが多いことからCheck Point Researchでは「SimBad」と呼んでいる。 感染したアプリがインストールされると、SimBadは端末の起動完了時とユーザーが端末を使用している時にアクションを実行するようインテントを登録する。また、C&Cサーバ
すみだセキュリティ勉強会、神奈川県・埼玉県・千葉県警による不当逮捕を恐れ活動休止 | スラド セキュリティ
すみだセキュリティ勉強会が、しばらく勉強会の開催などの活動を休止するという（勉強会の活動休止のお知らせ）。「昨今の警察の動きがあまりにも不穏で、単なるセキュリティ勉強会ですら、脆弱性の解説や攻撃コードの研究発表を理由に、逮捕事案にしかねないため」とのこと。 昨今では延々とメッセージを表示させるWebサイトのURLを貼った中学生らが補導・逮捕されたり、サイトにCoinhiveを設置していたサイト管理者が不正指令電磁的記録取得・保管罪で摘発されたり、「Wizard Bible」管理人がウイルス公開の疑いで略式起訴されるといった事件が発生している。これらはいずれも法的に問題はないと思われていたにもかかわらず警察によって摘発された事案であり、こういった状況では「発表者の方が近隣の神奈川県・埼玉県・千葉県から来られる場合……その発表を元に、各県警により不正指令電磁的記録に関する罪で発表者が逮捕される
Thunderboltポート経由で本来行えないはずのデータの読み取りなどが行える脆弱性が見つかる | スラド セキュリティ
Thunderboltではハードウェア同士がソフトウェアを介さずに直接データ転送を行うDMAを使ったデータ転送が可能だが、Thunderbolt経由で接続された機器からDMAを使ってシステムメモリを直接読み書きできてしまうという脆弱性が見つかったことが報じられている。これを悪用し、意図的にデータを盗んだり改変するようなThunderbolt接続のハードウェアを作ることができるようだ（itnews、GIGAZINE、Slashdot）。 この問題は「Thunderclap」と呼ばれている。DMAによるデータ転送を行う場合、通常は許可されたアドレスへのデータ転送以外は行えないよう制限がかけられる。しかし、多くのOSでこの制限をバイパスしてDMAアクセスを可能にする脆弱性が存在するという。 この問題を指摘した研究者らはFPGAを使い、Thunderbolt経由でPCに接続して攻撃を行うデバイスを
日本の家庭用ルーターの57%が脆弱な状態、Avastスキャン調査結果 | スラド セキュリティ
セキュリティソフトウェアを手がけるAvastによると、日本の世帯の29%が1台以上の脆弱なデバイスを保有しているという（Avastの発表）。また、日本の家庭用ルーターの57%が脆弱な状態なのだそうだ。 日本の家庭で使用されているスマートホームデバイスの84%は、パスワードなどの認証が脆弱だったり二要素認証を使用しておらず、また16％がパッチをセキュリティ修正パッチを適用していないという。 脆弱なデバイスとしてはプリンターが42％と最も多く、続いてネットワーク機器（37％）、メディアストリーミング端末（13％）、防犯カメラ（5％）、NAS（1%）が続いている。 この調査は、Avastのセキュリティソフトユーザーが同ソフトに搭載されている「Avast Wi-Fi Inspector」というネットワークスキャン機能を使って収集したデータを元に集計しているという。
Nintendo Switchでは不正行為に対し本体やゲーム単位でのBANが行える | スラド セキュリティ
最近ではNintendo Switch向け人気ゲーム「スプラトゥーン2」でのチートが増えているほか、Nintendo Switch向けゲームの海賊版などが出回り始めているという噂がある。しかし、安易にこれらに飛びつくと最悪利用した本体で任天堂のネットワークサービスが一切利用できなくなる可能性もあるようだ。 Nintendo Switchには端末毎に認証用のクライアント証明書が埋め込まれており、これを使って不正な行為を行った端末のブロックが行えることがハッカーによる分析で明らかになっている（Ars Technica）。この情報は、Nintendo Switchのハックを試みているSciresMというハッカー集団が公開したもの。これによると、Nintendo Switchでは非常に強固な海賊版対策機構が導入されており、海賊版ソフトウェアの実行を検知できるという。 Switchでは、ゲームプレイ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
クレジットカード番号とセキュリティコードの生成アルゴリズムを調べ、紙とペンで計算・生成 | スラド セキュリティ
Yahoo! JAPAN、ついに「秘密の質問」を廃止へ | スラド セキュリティ
ウイルス公開の疑いで起訴された「Wizard Bible」管理者が検察と争わなかった理由 | スラド セキュリティ
ネットゲームのチートツールにマイニング機能をこっそり実装していたとして逮捕された男性、有罪判決が下る | スラド セキュリティ
WindowsアプリのインストーラのDLL読込み脆弱性、Microsoftは自社製品を修正せず | スラド セキュリティ