日本など7カ国、暗号化された通信へのバックドアをIT企業に要請
機密情報を共有する5カ国協定、いわゆる「ファイブアイズ」の参加国（米国、英国、カナダ、オーストラリア、ニュージーランド）が、日本およびインドの政府代表と連名で声明を発表した。テクノロジー企業に向けて、エンドツーエンドの暗号化された通信に法執行機関がアクセスすることを可能にする解決策の開発を要請している。 この声明は、暗号にバックドアを設けることをテクノロジー企業に同意させようとする、ファイブアイズの最新の取り組みだ。 各国の政府関係者はこれまでと同様、テクノロジー企業が製品にエンドツーエンド暗号化（E2EE）を組み込むことで犯罪捜査が困難になったと主張している。 7カ国の政府代表は、現在の主要なテクノロジープラットフォームでサポートされているE2EEの仕組みのために、法執行機関が犯罪組織を捜査できないばかりか、テクノロジープラットフォーム各社も、一般市民を守るためのサービス利用規約を守らせ
高木浩光＠自宅の日記 - テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた
■ テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた 先週から、「ドコモ口座不正引き出し事件」の原因として、被害の発生した銀行が4桁数字の暗証番号で認証処理していたことが取りざたされており、リバースブルートフォース攻撃の手口が暗証番号特定の手段として使われた可能性について、テレビのワイドショーでも扱われるなど、世間での認知がかつてなく高まっている。 そこで、この機会に、昔から存在していたテレフォンバンキングの危険性について、銀行側に抗議すれば今ならご理解いただけるのではないかと考えた。この問題は十数年前にも銀行側に伝えているが、サービスを止めるわけにもいかないし、電話経由での自動処理による攻撃は考えにくいと当時は考えられたのか、対処されることはなかった。2020年の今日、電話経由のサイバー攻撃は技術面で十分に容易に可能となっていると考えられ
【再発防止策】IPアドレスが外部から確認できた事態について｜note株式会社
8月14日(金)にお知らせしました、noteサービスにおいて記事投稿者のIPアドレスが記事詳細ページのソースコードから確認できてしまっていた不具合について、経緯および今後の再発防止策をご報告いたします。 改めて、みなさまの大切な情報をお預かりしているサービスにも関わらず、IPアドレスが閲覧できる状態だったこと、そして、みなさまに大きな不安や疑念を感じさせてしまったことについて、深くお詫び申し上げます。 原因及び再発防止策について 原因 投稿者のIPアドレスを意図せず露出してしまうコードが残っていました 対策 ・全ソースコードに対して、IPアドレス及びそれ以外のセンシティブな情報が露出するような同様の欠陥がないことを調査し、さらに対応するデータベースからIPアドレスのデータを削除しました ・CEO、CTO直轄の特別対策チームを結成して、直接の対策と構造的な課題や開発体制までを含めた徹底的な見
光ファイバー盗聴・侵入を５秒でできるか実験してみました
光ファイバーの盗聴について考えたことはあるでしょうか？「光ファイバーって盗聴できるの？」「そんなの知ってるよ」など答えは様々かも知れません。ただ実際に試したことがある方は少ないのではないでしょうか？本稿では、光ファイバーの盗聴を実験した顛末を紹介します。実験は成功したのでしょうか？ 本記事は、光ファイバー（光ケーブル）が盗聴されるリスクがある事を知っていただく事を目的としています。光ファイバーについて場合によっては必ずしも安全というわけではないことを知った上でセキュリティ対策を考えていただきたいと思います。 ご自身の環境以外では試さないようお願いします。 なぜ光ファイバーからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。以前LANケーブル(有線LAN)からの侵入・盗聴の実験を紹介したところ多くの方に参照いただけました。 サ
CPU律速なRuby/Pythonコードはデフォルト設定のdocker上で遅くなる - まめめも
English version 要約 dockerはデフォルトでセキュリティ機構（Spectre脆弱性の対策）を有効にします。この影響で、RubyやPythonのようなインタプリタは速度が劣化します。特にCPU律速なプログラムで顕著に遅くなります（実行時間が倍くらいになることがあります）。 現象 Rubyで1億回ループするコードを、直接ホスト上で実行する場合と、docker上で実行する場合で実行時間を比較してみます。 直接ホスト上で実行した場合： $ ruby -ve 't = Time.now; i=0;while i<100_000_000;i+=1;end; puts "#{ Time.now - t } sec"' ruby 2.7.1p83 (2020-03-31 revision a0c7c23c9c) [x86_64-linux] 1.321703922 sec docker
Engadget | Technology News & Reviews
watchOS 11 is out now, with new Sleep Apnea feature
Zoom、北米のWeb会議の暗号キーを誤って中国データセンター経由にした問題について説明
Web会議サービス「Zoom」を運営する米Zoom Video Communicationsの創業者でCEOのエリック・ユアン氏は4月3日（現地時間）、一部の北米でのWeb会議が、本来接続するはずのない中国のデータセンターを経由した可能性があることを認め、この問題を修正したと語った。 この問題は、加トロント大学のグローバルセキュリティ研究所Citizen Labが3日に指摘したもの。ユアン氏のブログは、この指摘の数時間後に公開された。 Citizen Labは、Zoomが主張するエンドツーエンドの暗号化について調査する目的で米国カナダ間のWeb会議を実施したところ、その会議の暗号化キーが中国の北京にあるサーバを経由していたことが分かったとしている。 Zoomは米国に拠点を置く企業だが、中国にも拠点がある。もし中国政府がZoomの中国拠点に対し、ユーザー情報の開示を求めれば、Zoomはこれを
JVNVU#99619336: 勾配降下法を使用する機械学習モデルに、誤った識別をさせるような入力を作成することが可能な問題
勾配降下法を用いて学習させたモデルを用いた分類を行う場合に、任意の分類結果が得られるような入力を意図的に作成することが可能です。これは、Kumar et al. による攻撃分類では、perturbation attacks や adversarial examples in the physical domain に該当します。 攻撃対象のシステムに対して、攻撃者がデータの入力や出力の確認などを行うことができる余地が大きいほど、攻撃が成功する可能性は大きくなります。 また、学習プロセスに関する情報（教師データ、学習結果、学習モデル、テストデータなど）があれば、攻撃はより容易に行えるようになります。 現状では、数秒で攻撃できるものから何週間も必要になるものまで様々な事例が知られています。 本件はアルゴリズムの脆弱性であり、攻撃対象となるシステムにおいて機械学習の仕組みがどのように使われている
Let's EncryptがはまったGolangの落とし穴 - ぼちぼち日記
0. 短いまとめ 300万以上の証明書の失効を迫られたLet's Encryptのインシデントは「Golangでよくある間違い」と書かれているようなバグが原因でした。 1. はじめに、 Let's Encryptは、無料でサーバ証明書を自動化して発行するサービスを行う非営利団体として2014年に設立されました。 2015年にサービス開始されると証明書の発行数はぐんぐん伸び、先月末のプレスリリースでは累計10億枚のサーバ証明書を発行したことがアナウンスされました「Let's Encrypt Has Issued a Billion Certificates」。CTLogの調査から、2020年2月末の時点では有効な全証明書の38.4%がLet's Encryptの証明書であるとみられています「Certificate Validity Dates」。 無料の証明書を提供してもらえるのは非常に嬉し
証明書300万件を強制失効。Let's Encrypt に一体何が起きたのか？ - Qiita
無料 SSL の認証局である Let's Encrypt は、有効な証明書のうち 2.6% に当たる300万件の証明書に対し、2020年3月4日に失効手続きを行うと宣言しました。しかもその事がユーザーに通知されたのは失効手続きの数時間前です。一体、Let's Encrypt に何が起きたのでしょうか？ 私が調べた事を共有したいと思います。 この記事は Let's Encrypt の証明書失効に関する一連の出来事についてまとめた物です。今回の失効処理の対象となっているかどうかの確認方法等については、以下の記事をご覧下さい。 Let's Encrypt に重大なバグが発覚。該当サイトは2020/3/4 までに対応が必須 更新しました(2020/3/7) 影響の度合いについての記載が正しくなかったので修正 現在の Let's Encrypt の見解が正しくなかったので修正 何が起きているのか？
最新のブラウザで変わるCookieの取り扱いやPrivacyの考え方
2020/02/13 DevSumi 発表資料
SHA-1 is a Shambles
We have computed the very first chosen-prefix collision for SHA-1. In a nutshell, this means a complete and practical break of the SHA-1 hash function, with dangerous practical implications if you are still using this hash function. To put it in another way: all attacks that are practical on MD5 are now also practical on SHA-1. Check our paper here for more details. Slides from RWC are also availa
Breaking PHP's mt_rand() with 2 values and no bruteforce
Posted By Charles Fol php mt_rand mt_srand predict seed bruteforce IntroductionWhile performing a pentest on an old website, we encountered a piece of code that we had not seen in a long time: function resetPassword($email) { [...] $superSecretToken = md5($email . ':' . mt_rand()); [...] $this->sendEmailWithResetToken($email, $superSecretToken); } A token, deemed secret and unguessable, was genera
アップル、157ページに及ぶ詳細なセキュリティガイドを公開
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Appleは、「プラットフォームセキュリティ」について詳しく説明した157ページの長大な文書を公開した。この文書では、ハードウェアと生体認証のセキュリティ、システムセキュリティ、暗号化、アプリのセキュリティ、サービスのセキュリティ、ネットワークのセキュリティに関する同社の取り組みが紹介されている。 この新しい文書は、新しいセキュリティ技術への投資や一般に開放されたばかりのバグ報奨金プログラムを含む、Appleのセキュリティ強化策の一環だ。これまで、同社のバグ報奨金プログラム（報奨金の最高額は150万ドル：約1億6400万円）でバグを報告できるのは、承認されたセキュリティ研究者だけだった。 同社は新しい文書で、セキュリティ分野のさまざまな
教員用PC貸与が発端となった中学生による校内不正アクセス事案についてまとめてみた - piyolog
2019年12月4日、新潟県長岡市内の中学校に通う生徒が校内のサーバーに記録された成績表を改ざんを行っていたとして不正アクセス禁止法などの容疑で書類送検されました。19日に中学校の校長が記者会見を行い、管理体制に不備があり保護者や関係者に不安を与えたとして謝罪しました。ここではこの事案に関連する情報をまとめます。 スライドショー作成のために貸与 事案の概要図 教員が委員会活動のためとして教員用PCを生徒に貸していた。 委員会活動とは具体的には給食時間に発表するスライドショーの準備。全校生徒に学校行事の写真を見せるもの。*1 生徒は自分のPCの性能では作業が追い付かない等と訴え借りていた。*2 使用中は教員が横にいたが、3分ほど教室を離れる時もあった。 生徒による不正行為はパスワード窃取と自宅からのリモート操作により行われていた。 事件に関連するタイムラインを整理すると次の通り。 日時 出来
「世界最悪級の流出」と報じられた廃棄ハードディスク転売事案についてまとめてみた - piyolog
2019年12月6日、インターネットオークションで落札したハードディスクから行政文書とみられるデータが復元されたと報じられました。その後の調査でこのハードディスクはリース会社が委託した処理業者の従業員が転売して事実が明らかになりました。第一報を報じた朝日新聞は今回の流出事案を「世界最悪級の流出」と表現しています。ここでは関連する情報をまとめます。 発端は落札者のデータ復元 IT会社の男性が仕事で使うためにネットオークションで中古のHDDを落札。 使用しようとしたところ、エラーメッセージが表示されたため過去の経験からHDDのデータを確認。 復元ソフトを用いてデータサルベージを実施し、神奈川県の公文書情報とみられるデータを発見。 同じ出品者から同じ製造元のHDDが他にも出品されていたことからその後も落札した。 朝日新聞を通じて神奈川県へ情報提供し事案が発覚した。 以下は関連する出来事を整理した
Two malicious Python libraries caught stealing SSH and GPG keys
The Python security team removed two trojanized Python libraries from PyPI (Python Package Index) that were caught stealing SSH and GPG keys from the projects of infected developers. The two libraries were created by the same developer and mimicked other more popular libraries -- using a technique called typosquatting to register similarly-looking names. The first is "python3-dateutil," which imit
2019年11月22日号 Meltdown/Spectre/Foreshadowの後の世界・“TAA”, “MCEPSC”への対応 | gihyo.jp
Ubuntu Weekly Topics 2019年11月22日号Meltdown/Spectre/Foreshadowの後の世界・“TAA”, “MCEPSC”への対応 Meltdown/Spectre/Foreshadowの後の世界・“TAA”, “MCEPSC”への対応 また新しいCPU脆弱性がやってきました。Intelの今年2度目の定期アドバイザリで公表された、TAA（TSX Asynchronous Abort）と呼ばれるこの攻撃手法（INTEL-SA-00270; CVE-2019-11135）は、半年前のMDS（としてグループにされた攻撃手法のひとつ、ZombieLoad）のバリエーションで、TSX命令をターゲットとするものです。TSX命令はCascade Lake以降（＝第8世代Coreシリーズ／第2世代Xeon Scalable Processsorシリーズ以降）のInt
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DockerCon EU 2015: Day 1 General Session
これからのフロントエンドセキュリティ
