数億個のAMD製CPUに存在する深刻な脆弱性「Sinkclose」が報告、検出不可能なマルウェアインストールが可能となり、システムの廃棄が必要になる場合も | XenoSpectrum
AMD製CPUに10年以上にわたって存在していた深刻な脆弱性「Sinkclose」が発見された。この脆弱性は、2006年以降に製造されたほぼ全てのAMD製プロセッサに影響を与え、システムの非常に奥深くに侵入することを可能とする物であり、場合によってはマシンの修復が不可能となり、マシン自体を廃棄する必要すらある程に深刻な物となっている。 Sinkclose はウイルス対策を回避し、OS の再インストール後も存続する Sinkcloseは、セキュリティ企業IOActiveの研究者Enrique Nissim氏とKrzysztof Okupski氏によって発見された。彼らは、AMDのドキュメントを何度も読み返す中で、この重大な脆弱性を見出した。Nissimは、「脆弱性のあるページを約1000回読んだと思います。そして1001回目に気づいたのです」と述べており、この発見が綿密な、そして粘り強い調査
ITに強いはずのハイテク企業で、1億人超の個人情報が流出…… 「新技術こそ優れている」という思い込みが招いた大規模事件
連日さまざまなサイバーセキュリティ犯罪のニュースが報じられる中、いまだに日本のセキュリティレベルは高いとは言えない状況にあります。一方で、企業がサイバーセキュリティ対策を進める上では、人材不足や経営層の意識・関心、コスト、導入による利便性の低下など、さまざまな壁が立ちはだかっています。 そこで今回は、株式会社網屋が主催する「Security BLAZE 2023」より、サイバーセキュリティのエキスパートによる講演をお届けします。本記事では、米金融大手で1億人以上の個人情報が漏えいした事件の背景をひもときながら、問題点とセキュリティ対策のポイントを解説します。 Webセキュリティの第一人者が語る、個人情報流出事件の裏側 徳丸浩氏：ただいまご紹介いただきました、EGセキュアソリューションズの徳丸でございます。本日は「米国金融機関を襲った個人情報大規模流出事件の真相」というテーマでお話をさせてい
Googleアカウントで「パスキー」認証がデフォルトに、パスワードレスがさらに加速
Googleは2023年5月に、パスワードではなく顔や指紋などの生体情報やPINでアカウント認証を可能にする「パスキー」に対応しました。そして、2023年10月10日から、個人のGoogleアカウントでパスキーをデフォルトオプションとして提供することを発表しました。 Passkeys are now enabled by default for Google users https://blog.google/technology/safety-security/passkeys-default-google-accounts/ パスキーは、パスワードレス認証技術「FIDO」を推進するFIDOアライアンスとウェブ技術の標準化団体であるW3Cが共同で定めたパスワードレス認証技術です。認証資格情報をクラウド経由で同期し、スマートフォンの顔認証や指紋認証でアカウント認証を進めることができます。A
隣の防音部屋をミリ波で盗聴、瞬時にテキスト化する技術 中国の研究者らが開発
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 香港大学や清華大学に所属する研究者らが発表した論文「Radio2Text: Streaming Speech Recognition Using mmWave Radio Signals」は、ミリ波（mmWave）信号から音声を認識するストリーミング自動音声認識（ASR）システムを提案した研究報告である。このシステムは、周囲のノイズに強く、防音対策した部屋の外からでも取得でき、これまでと異なり長い文章をリアルタイムに認識する能力を提供する。 無線センシングの進展に伴い、特にミリ波信号の注目が高まっている。なぜなら、音源のミリメートルレベルの
セキュリティエンジニアを目指す人に知っておいてほしい組織 - FFRIエンジニアブログ
はじめに 研究開発第二部リードセキュリティエンジニアの一瀬です。セキュリティエンジニア同士の会話では、「"シサ"が最近またレポート出していて…」とか「"アイピーエー"から注意喚起出てたね」といった、初学者には謎の単語がたくさん出てきます。本記事では、そういった会話に出てくる単語のうち、国内外のセキュリティ関連の主な組織についてまとめました。セキュリティに興味があれば、ここに挙げた組織と、その組織が関わる政策や活動について、事前に抑えておいて損はありません。これからセキュリティを学ぼうという方の参考になれば幸いです。 なお、記載した情報はすべて執筆時点 (2023 年 6 月) のものです。 【2023/06/30 追記】NISC および ENISA の日本語名称を修正、CISA の読み方について修正・追記、NCSC について追記しました。 はじめに 中央省庁 内閣サイバーセキュリティセンタ
総務省｜報道資料｜クレジットカード会社等に対するフィッシング対策強化の要請
総務省、警察庁及び経済産業省は、本日、クレジットカード番号等の不正利用の原因の一つであるフィッシング被害が増加していることに鑑み、クレジットカード会社等に対し、送信ドメイン認証技術（DMARC）の導入を始めとするフィッシング対策の強化を要請しました。 昨今、悪意のある第三者が、クレジットカード会社等を騙った電子メール等を利用者に送信し、利用者を当該電子メール等のリンクから偽サイトに誘導した上で、利用者のクレジットカード番号等を詐取する攻撃（いわゆるフィッシング）が多発しています。 フィッシングによるクレジットカード番号等の詐取は、クレジットカード番号等の不正利用の一因となっており、利用者保護の観点から、クレジットカード会社等において適切な対応が取られることが求められます。 とりわけ、フィッシングメールがドメイン名をなりすまして送信されることが多い点に鑑みると、送信ドメイン認証技術のうち、フ
暗号アルゴリズム「SHA-1」の廃止を発表、NIST
米国国立標準技術研究所(NIST: National Institute of Standards and Technology)は12月15日(米国時間)、「NIST Retires SHA-1 Cryptographic Algorithm｜NIST」において、暗号アルゴリズム「SHA-1」を廃止すると伝えた。SHA-1の暗号ハッシュ関数はすでに脆弱と評価されており米国政府機関での利用廃止が発表されている。 電子情報を保護するために初期に広く使われた手法の一つであるSHA-1アルゴリズムは、耐用年数が終了しているとして廃止が決定されている。SHA-1がまだ使用されているという現状から、より安全性の高い新しいアルゴリズムに置き換えることが推奨されている。 SHA-1という名称は「Secure Hash Algorithm」の頭文字からきており、1995年から連邦情報処理規格(FIPS:
「非対称パスワード認証」の実証に成功、パスワード漏えいの脅威を一掃 | ScanNetSecurity
メテオーラ・システム株式会社は11月17日、パスワード漏えいにまつわる脅威を一掃する「非対称パスワード認証」の実証に成功したと発表した。協業や共創に関する問合せを受け付けている。 同社では、従来の「ID/パスワードのペア」による認証システムは、パスワードとそれに関連付けられたユーザの個人情報を予めサービス側が保管していることが、パスワードを標的としたサイバー攻撃や人為的ミス等の「パスワード漏えいにまつわる脅威の温床」になっていると指摘、「ID/非対称パスワード」への移行を提案している。 「ID/非対称パスワード認証」の、ユーザー登録時及びユーザー認証時の特徴は下記の通り。
警視庁がドラマ公開 実話をもとに先端技術の流出事件描く 出演はのんさん、筧利夫さん
警視庁は11月9日、実際の事件をもとに産業スパイの手口を描いたドラマ「PRIDE×ORDER 警視庁公安部 presents 狙われる日本の技術」をYouTubeで公開した。能年玲奈（のん）さんや筧利夫さんら著名俳優を起用、企業のセキュリティ対策の重要性を訴える。 能年玲奈さん演じる佐倉南は、自動運転車の通信技術を開発する中小企業のSE。新たな技術開発に情熱を注いでいたが、あるとき上司が海外の産業スパイに騙されて……。筧利夫さん演じる警視庁公安部の大谷昭栄警部と共に機密情報を守るために奔走する。 ドラマは前編、中編、後編に分かれており、再生時間はそれぞれ8～11分程度（計26分）。9日に一挙に公開した。 警視庁公安部は「社会全体でデジタル化が加速する中、情報の持ち出しは以前より容易になっている」と指摘。「一度技術が流出してしまったら、取り戻すことはできない。不審な動向、情報などを把握したら
パスワードのない世界に向けて ～TechFeed Conference 2022講演より | gihyo.jp
本記事は、2022年5月に開催されたTechFeed Conference 2022のセッション書き起こし記事「パスワードのない世界に向けて（えーじ） — TechFeed Conference 2022講演より」を転載したものです。オリジナルはTechFeedをご覧ください。 皆さんこんにちは。えーじです。今日は「パスワードのない世界に向けて」というお話をしたいと思います。 パスワードだけでは守りきれない世の中に 皆さんご存知のように、今多くのWebサイトはパスワードを使ったログインが主流です。 しかし、どんなに堅牢なシステムでも、ユーザーさんが弱いパスワードを作ってしまったり、同じパスワードを複数サイトで使い回してしまったり、フィッシングに引っかかってしまえばアカウントは乗っ取られてしまいます。 近年フィッシングが急増していることからもわかるように、パスワードだけのシステムでは守り
暗号資産界の大物偽るディープフェイクによるサイバー攻撃、対策は「横顔を見せて」
Malwarebytesは8月24日(米国時間)、「Binance chief says a “sophisticated hacking team” turned him into a deepfake hologram」において、ディープフェイクが金融業界の人々に使われたと伝えた。最近、暗号資産コミュニティのユーザをターゲットにした詐欺師が現れたという。 Binance chief says a “sophisticated hacking team” turned him into a deepfake hologram 詐欺師はインターネットユーザーをだますことによって、莫大なお金を窃取することができる。攻撃内容はフィッシングもあれば、暗号資産の取引所への侵入もあるが、今回、ディープフェイクが使われたことが明らかとなっった。 具体的には、大手暗号資産取引所のBinanceの最高コン
米政府、ポスト量子暗号への備えを今すぐ始めるよう推奨
量子コンピューターがもたらすセキュリティ問題に、自社はいつ深刻に向き合い始めるべきだろうかと思いを巡らしているとしたら、その答えは今だと、米政府は述べている。 「量子コンピューターが米国の敵対者に使われるようになるまで、行動を先延ばしにしてはいけない」と、 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は米国時間8月24日に公開したガイドの中で述べた。「早期の準備が、ポスト量子暗号規格がひとたび制定された後の円滑な移行につながる」（CISA） 量子コンピューター技術は現在、黎明期にある。しかし、IBM、Intel、Google、Microsoftなどの企業が、複数の新興企業と同様、その開発に多額の資金を投じている。量子コンピューターはさらに高性能になるにつれて、従来の暗号の解読が可能になり、機密性の高い通信をむき出しの状態にする可能性がある。 米国立標準技術研究所（NIST）が
完全未経験の文系事務員がOSEPを取得するまで - Qiita
はしがき ・著者は、文章を書くのが苦手です。 ・この記事は、大変長く冗長になっています。 ・この記事は、間違っていることを多く含んでいる可能性があります。 ・この記事は、あなたの学習における大きなネタバレとなる可能性があります。 ・この記事は、誤字・脱字が多いです。 記事の目的 本記事は、OSCP取得の直後から著者が歩いたOSEP取得までの過程を残した記事です。 記事の妥当性 私自身は、自己学習の範囲内で1年ほどのセキュリティの経験しかないただの事務員です。業務で診断業務やペネトレーション・Red Teamingをしたこともなければ、大規模なシステムやサーバの管理・プログラム開発をしたことはありません。よって記事の内容の妥当性には大いに疑問が残ると思います。一方で完全な未経験ながらの視点や疑問を残しつつ、入門者がどういった行動に出るのかという点を残すことは意味があることだと著者は思います。
アップル、パスワード不要の認証技術「passkey」のテストを開始
Appleは、パスワードと同じくらい使いやすく、それでいてはるかに安全だという新たな認証技術「passkey」のテストを開始した。この技術のテスト版は、「iCloudキーチェーン」の一部として、2021年中に「iPhone」「iPad」「Mac」に搭載される見込みだ。 ウェブサイトやアプリでpasskeyを使ってアカウントを設定するには、まず新規アカウントのユーザー名を選び、「Face ID」を利用して、そのデバイスを使っているのが本当に本人であることを確認する。パスワードを設定することはない。デバイス側でpasskeyの生成と保存が行われ、iCloudキーチェーンによってすべてのAppleデバイス間で同期される。 その後、passkeyを認証に使うには、ユーザー名を確認し、Face IDで本人確認をするよう求められる。開発者は、passkeyをサポートするようログイン手続きをアップデート
軍事技術などの文献不正入手容疑で逮捕 露スパイ活動に協力か｜NHK 首都圏のニュース
在日ロシア通商代表部の職員に渡す目的を隠して軍事技術などに関する文献を不正に入手したとして、神奈川県座間市の７０歳の男が逮捕されました。 調べに対し、「およそ３０年にわたって複数のロシア人に文献を渡していた」と供述しているということで、神奈川県警は外務省を通じてロシア側に職員の出頭を要請しました。 逮捕されたのは座間市の無職、宮坂和雄容疑者（７０）です。 警察の調べによりますと、宮坂容疑者はおととし、在日ロシア通商代表部の職員に渡す目的を隠して、論文などのコピーを提供するサービスに会員登録し、軍事技術や半導体の研究開発に関する文献など８点を不正に入手したとして電子計算機使用詐欺の疑いが持たれています。 調べに対し容疑を認め、「入手した資料を渡した職員はロシアのスパイだと思っていた。およそ３０年にわたって複数のロシア人に軍事関係や科学技術関係の文献を渡していた」などと供述しているということで
セキュリティ業務における「ログ」の基礎知識――なぜ分析基盤が必要なのか
セキュリティ業務における「ログ」の基礎知識――なぜ分析基盤が必要なのか：セキュリティログ分析基盤活用入門（1）（1/2 ページ） セキュリティ業務における「ログ」と、その分析基盤の活用について解説する連載。初回は、セキュリティログに関する基礎知識や分析基盤に求められることなどについて。 リクルートテクノロジーズのサイバーセキュリティ部の日比野です。これまで筆者は、オープンソースの全文検索エンジンである「Elasticsearch」を活用し、ログ分析システムの導入を行ってきました。現在は、リクルートテクノロジーズで次期ログ分析基盤の全体構想検討や新技術検証などを進める傍ら、そこで得た技術ナレッジを広く公開することに情熱を注いでいます。 「セキュリティ人材が約20万人不足している」と言われている中、特にセキュリティログ分析という領域は、フルスタックかつ高い技術力が要求されるにもかかわらずナレッ
スマホの周囲の会話はジャイロスコープ経由で盗聴可能
By Kārlis Dambrāns 近年のスマートフォンに必ずといっていいほど搭載されているのが、物体の角度や角速度を検出するためのジャイロスコープ。位置情報の精度を高める役割も果たしているので、iOS・Androidのアプリがジャイロスコープを利用するときは、特別な許可を取らなくても使うことができます。しかし、最新のジャイロスコープはスマートフォン周辺の音響信号を測定することが十分に可能なほど高性能になっており、スタンフォード大学の研究チームが「ジャイロスコープから得られる超長波情報をもとに、スマートフォンの周りで行われた会話の内容を認識可能なレベルにまで解析する」という、なにやらとんでもないことを成功させました。 Mobile Sensors Exploitation http://crypto.stanford.edu/gyrophone/ Gyrophone: Recognizi
スマホでリンクをクリックするだけで究極のスパイツールと化す不具合が発覚
by Kristen Nicole Android搭載スマートフォンでリンクをクリックすると、攻撃者がフルリモートコントロール可能になってしまうというセキュリティの不具合があることが報告されました。実機を使ったデモンストレーションで実証されており、また、Android以外にiPhoneやiPad、BlackBerry、GoogleTVの端末も同様の危険に晒されている可能性があります。 How a Web Link Can Take Control of Your Phone - Technology Review サンフランシスコで開催されているRSA Conference 2012で、セキュリティ技術企業CrowdStrikeのジョージ・クルツさんらは、Android端末で誤ったリンクをクリックすると、攻撃者が端末をフルリモートコントロール可能になる不具合を発見しました。 「カメラがあっ
Cinavia検証:CD-R実験室
Blu-rayの違法コピー防止プロテクトはいくつかありますが、機能していない のが現状です。 そんな状況の中、新たな違法コピー防止プロテクトとして Cinavia なるものが採用されつつあるようです。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
トレンドマイクロ、大規模産業制御システム向けセキュリティソリューション「EdgeIPS Pro」を提供
