日本発セキュリティ国際会議「CODEBLUE」、2月17日より開催 | スラド セキュリティ
2月17日（月）～18日（火）に、日本発のセキュリティ国際会議であるCODE BLUEが開催される。 CODE BLUE自体は今回初めて開催されるものだが、かつて日本で行われていたセキュリティ国際会議のBlack Hat Japanの関係者の一人が中心となって立ち上げを行っている。 投稿のレビューボードも、FFRIの鵜飼 裕司氏、SECCON実行委員長の竹迫 良範氏、はせがわようすけ氏、トレンドマイクロの新井 悠氏と豪華メンバが揃っており、基調講演もJeff Moss（Dark Tangent）と Chris Eagleという具合に気合が入っている。他の発表内容もなかなかおもしろそうである。 1つだけ気になるのが、参加費の額。現時点での申込みで3万5,000円、2月8日から前日までの申込みは4万円、当日は4万5,000円という感じである。とはいえ、同じ内容を（日本以外の国際会議で）聞こうと
ロシアのハッカーら、リモートから米イリノイの水道施設を破壊 | スラド セキュリティ
ロシアのハッカーらが、米イリノイ州・Springfield市の水道供給施設のシステムに侵入、リモートからポンプを操作して破壊したそうだ（MailOnline）。 ハッカーらはログイン名およびパスワードを盗み、これを用いてネットワークに侵入（侵入したハッカーが盗んだのか、それともほかの者の手によって流出させられていたかは不明）。ポンプのオン･オフ操作を短期間に繰り返すことでポンプを破壊したと見られている。。また、異なる水道施設のコントロールシステムについてスクリーンショットを撮影・投稿しているハッカーもおり、このような事件は他にも発生する可能性があるという。 この事件は「ハッカーが重要なインフラを米国外からハックして破壊した最初の例である可能性が高い」とのことで、FBIやアメリカ合衆国国土安全保障省が捜査を行っているという。今回問題となっている制御システムはSCADAと呼ばれており、近年セキ
子供向けハッカーイベント「DEFCON Kids」で10歳のハッカーがゲームの脆弱性を発表 | スラド セキュリティ
米ラスベガスで8月6日から7日にかけ、「DEFCON Kids」が開催された。このイベントはハッカーイベント「DEFCON」の子供版という位置付けで、今回が初の開催となる（AFPBBニュースの記事）。 DEFCON Kidsの対象年齢は8歳から16歳で、子供向けにハッキング技術を教える「Classroom」やハッキング作業を体験できる「Workstation」、そして各種コンテストが行われたとのこと。 そのなかでも注目されたのが「Apps – A Traveler of Both Time and Space」という講演。10歳のハッカーというCyFi氏が、iOS/Andoridゲームの脆弱性に関するプレゼンを行ったという。内容は「待ち時間がかかる農場系ゲーム」に対し、端末の時計を操作することでゲームの時間を進めるというものだそうだ。 CyFi氏はDEFCON Kidsの共同創設者でもあり
Unlha32.dll等開発停止、LHA書庫の使用中止呼びかけ - Claybird の日記
今日ではほとんどのウイルス対策ソフトが書庫ファイルに対しウイルスチェックを行う機能を備えているが、多くのウイルス対策ソフトで「LZH書庫ファイルのヘッダー部分に細工を施すことでウイルスチェックを回避できる」という脆弱性が存在するとのこと（LZH書庫のヘッダー処理における脆弱性について）。 Micco氏はこれをJVN（Japan Vulnerability Note、JPCERTおよびIPAが共同運営する脆弱性情報集積サイト）に報告したところ、「不受理」となったそうだ。ZIPや7z形式の書庫にも同様の問題があるものの、そちらは「脆弱性」として受理されているとのこと。Micco氏曰く、 「ベンダー， JVN / IPA 等共に『LZH 書庫なんて知らねぇ～よ』という態度から変わることはない」と判断できましたので， UNLHA32.DLL， UNARJ32.DLL， LHMelt の開発を中止す
「高度なハッキング技術」を用いた米国史上最大のカード情報盗難事件、盗まれた情報は1億件以上 | スラド セキュリティ
ストーリー by hylom 2009年08月19日 15時24分 企業内のコンピュータでも安心はできない、 部門より ロイター、AFP通信、読売新聞の記事によると、米国で過去最大のカード情報盗難事件を起こしたハッカー・グループ3人が起訴されたとのこと。 起訴状によると、3人は2006年10月以降、米セブンイレブン社など計5社のコンピューターに侵入し、SQLインジェクションでクレジットカードやデビットカードの情報約1億3千万件を盗み、売ろうとしていたとされる。 主犯格とされるアルバート・ゴンザレス被告（28）は元々、米シークレットサービスの協力者としてクラッカー摘発を手伝っていたが、その後、自らクラッカーとなったようだ。まさに「ミイラ取りがミイラになる」である。
クレジットマスターの恐怖 | スラド セキュリティ
やや旧聞になるが、産経ニュースによると、クレジットカードの番号には特定の法則があり、正しいカード番号と有効期限が一組手に入ればその番号から同じ有効期限をもった実在する他のカード番号をかなりの確率で生成できるのだそうだ。 なぜカード番号と有効期限に法則性があるのか疑問だが、なんらかしらの事情があるのだろう。記事では「スーパーコンピュータを使って番号を作り直せばいいのでは」というカード会社関係者の話も載っているが……。 Internet Watchの記事によると、他人のクレジットカード明細書を盗み、明細書に記載されている一部がマスクされたカード番号から正しいカード番号を導出される事件も発生しているそうだ。
デジカメプリント注文機にウイルス感染、被害が広まる | スラド セキュリティ
ストーリー by hylom 2008年12月17日 18時00分 無防備な挿入にはお気をつけください、 部門より asahi.comの記事によると、東京のＪＲ立川駅北口にある家電量販店「ビックカメラ立川店」で、デジタルカメラの写真プリント注文機がコンピューターウイルスに感染し、利用者の持ち込んだメモリーカードにも感染が広がっていたことがわかった。ビックカメラ広報・ＩＲ部は「利用者には伝票の控えで連絡を取るなどし、感染の可能性と対策について早急に告知する」と説明している。 感染していたのは写真プリント注文機「オーダーキャッチャー」の１台で、画像が記録されたメモリーカードを同機に差し込むことで感染して拡大していく「ワーム型」と呼ばれるウイルスが確認された。注文機を開発した富士フイルムの調査によると、３日には感染していたことが分かったそうだ。 私はこのようなプリント注文機を利用した事がないので
セキュリティセミナー 「PacSec 2008」でWPAが破られる | スラド セキュリティ
ストーリー by nabeshin 2008年11月10日 14時10分 WEPに続きWPA(TKIP)も瞬殺？ 部門より 私は今（11/06）、広尾のレストランでPacSecのDragosと食事をしているが、彼によると今年のPacSecの目玉は、ずばり"Breaking WPA"。彼から「15分前に掲載されたばかり」として紹介されたのが次のサイトである。 http://www.pcworld.com/article/153396/.html?tk=rss_news もうひとつ、「Countermeasure to SSH Brute Force Attack according to behaviour — Tetsuo Handa 」が気になる。さあ、みんなでregisterしよう。
クッキーを使ったSQLインジェクション、詳細が明らかに | スラド セキュリティ
記事によると、今回判明したSQLインジェクション攻撃はASPやASP.NET、PHPなどでCGIがデータを受け取る際に使用する関数の仕様を突いたものだそうだ。たとえばASPでは「Request("引数名")」という関数でGET/POSTに関係なくCGIに渡されたデータを取得できるが、この際にcookieとして渡された情報も取得対象となってしまう（たとえば、Request("data1")という関数を呼び出した際、GETもしくはPOSTでdata1というデータが送信されず、さらにdata1という名前のcookieが存在した場合、そのcookieの値が取得される）。 これを利用すると、cookieとして送信したデータを、CGI側ではGET/POSTで送信されたもののように扱わせることができる。侵入検知システムなどが導入されている場合、不正なGET/POSTについてはブロックできるようになってい
スラッシュドット・ジャパン | 楽天・ドリコムの行動ターゲッティング広告、HTML/CSSの仕様の不備を突いて訪問先サイトを調査
6月27日のストーリー「行動ターゲティング広告とプライバシー」で、「閲覧情報の照会範囲が世界中のウェブサイトへと拡大」というのが謎とされていた、楽天とドリコムの新型広告システムについて、その仕組みがNIKKEI NETの記事「行動ターゲティング広告はどこまで許されるのか」で明らかにされた。 記事によると、「ブラウザ側の欠陥を突くことによって閲覧履歴を取得するもの」で、「Flashオブジェクトの中に数千個の隠しリンクが埋め込まれており、JavaScriptによってそのリンクの訪問の有無を調べ、どんなカテゴリーのサイトに多く訪問しているかを集計」しているのだという。 記事では「合法ではあるが、企業のビジネス行為として倫理的に許されるものだろうか」と疑問を投げかけているが、スラッシュドットのみなさんはどう思われるだろうか。
GmailのセッションIDを自動的に盗むツールが登場 | スラド セキュリティ
米ラスベガスで開催されたハッカーカンファレンスDefconで、GmailのセッションIDを自動的に盗むツールが発表された（hungry-hackers.com・本家記事）。 Gmailにアクセスする際にブラウザはクッキーを送信している。Gmail上の単なる画像にアクセスするだけでもクッキーは送られているのだが、Gmailはセッション情報をクッキーで管理しているため、悪意ある者がhttp://mail.google.comの画像をメールやウェブページに紛れ込ませることでセッションIDを得ることが可能である。一旦セッションIDを手に入れてしまえば、パスワード無しにログインすることが可能になる。 このツールは２週間後にリリースされる予定だが、Gmailには常にhttpsを利用する設定オプションが追加されているので、特に保護されていないワイヤレスネットワークからアクセスする際などは利用したほうがよ
企業のメール、「180日以上前のメールは削除」だったらどうする？ | スラド セキュリティ
ストーリー by hayakawa 2008年07月29日 12時49分 届いたメールをWordファイルに変換するマクロを作らねば…… 部門より 本家/.の記事(Are There Any Smart E-mail Retention Policies?)によると、訴訟や訴訟時の証拠開示に関する企業の法的リスクを下げる試みとして、メールの強制破棄という方針を打ち出す企業が出てきているようだ。 本家タレコミ人の勤める大企業でも、180日以上前のメールは破棄するとの方針を決定したとのこと。ハードディスクなどにアーカイブして削除を免れたいところだが、Exchangeサーバのコンフィグで.PSTファイルへのオフラインコピーが出来ないよう設定されている。なお、会社のポリシーでは重要なメールはWordドキュメントとして保存することを推奨しているという。このようなポリシーを本当に実施している企業などある
OSに依存しない、Intelチップの構造的欠陥を利用した攻撃 | スラド セキュリティ
Intelチップの構造的欠陥を利用してローカル攻撃やリモート攻撃が可能であることを実演する講演が、今年10月にクアラルンプールで開催されるHITB（Hack In The Box）カンファレンスで行われるそうだ（Computer Worldの記事）。 JavaScriptやTCP/IPパケット攻撃、Javaなどを利用してこの脆弱性を突くことが可能で、講演ではJavaのよくある命令シーケンスを使ってJava Compilerを乗っ取るというデモも予定されている。この攻撃はOSにほとんど依存せず、デモはきちんとパッチがあてられたWindows XP、Vista、Windows Server 2003、Windows Server 2008、Linux及びBSDに対して行われるとのこと。なお、デモには含まれていないが、MacのIntelチップにも同様の脆弱性が存在する可能性があるとのこと（本家/
DNSキャッシュ汚染に関する脆弱性が公表さる | スラド セキュリティ
US-CERTは、DNSプロトコルおよび一般的なDNS実装における機能欠如により、DNSキャッシュ中毒攻撃(DNS cache poisoning attacks)を助長する脆弱性の存在を公表した(US-CERT Technical Cyber Security Alert TA08-190B, US-CERT Vulnerability Note VU#800113, CNET記事)。 US-CERT TA08-1908によると、影響するのは次の2点である。 キャッシングDNSリゾルバ DNSスタブリゾルバ の 2つである。この脆弱性を利用した効果的攻撃法も示される状態にある。解決する最善の方法としてはベンダのパッチを適用することだが、暫定的な回避方法として5点挙げられている。 アクセスの制限 ネットワーク境界点におけるトラフィックのフィルタリング ローカルでDNSキャッシュを行う 再帰
2008年度「陰険なCコードコンテスト」開始 | スラド セキュリティ
本家/.の記事より。毎年開催されている「陰険なCコード」(Underhanded C Contest)だが、今年も募集が始まった。締切は9月30日。このコンテストでは、応募者は一見単純かつ無害で、可読性の高いCプログラムに、ちょっとソースを読んだくらいではなかなか分からない予想外の有害なふるまいを実装することが要求される。今年のテーマは「PPM形式の画像を与えると、その画像の一部が消える(ただし後で復旧可能)」というもの。ちなみに去年のテーマは「0.01%から1%の確率で暗号化が脆弱になってしまう単純な暗号化ユーティリティを書け(ただし暗号化に失敗したことを簡単に見破られてはいけないし、復号もできなければならない)」というものだったが、昨年の優秀者とその作品も発表されている。
勝手に暗号化して脅迫するウイルス | スラド セキュリティ
本家/.の記事より。アンチウイルスベンダのKaspersky Labによると、ウイルスGpcodeの新たな変種が見つかったらしい(Net Securityの記事)。Gpcodeは、感染したコンピュータ上にある.doc, .txt, .pdf, .xls, .jpg, .png, .cpp, .hといった拡張子のファイルを勝手に暗号化。暗号化したファイルの拡張子を._CRYPTに変えると共に、同じディレクトリに!_READ_ME_!.txtなるテキストファイルを置く。このファイルには、被害者のファイルが暗号化されていること、そして復号化ソフトウェアの購入方法が書かれているそうだ。かつてのGpcodeは暗号化アルゴリズムとして若干弱い660ビット長鍵のRSAを使っていたため、アンチウイルスベンダ側で秘密鍵をクラックすることができたが、今回見つかった変種Gpcode.akが使っているのは1024
MITMアタックを完全に防止可能な「蒸発鍵」方式を実用化? | スラド セキュリティ
三重県四日市市のベンチャー企業、エヌクリプトが、OATHに準拠したワンタイムパスワード技術を応用し、 暗号通信ラインの双方向常時認証を実現する「Dynamic OATH認証システム」を開発したそうだ(日経BPnetの記事)。記事によれば、MITM(Man-In-The-Middle)アタックを完全に防止できる蒸発鍵方式を、世界で初めて実用化した認証システムとして注目を集めている、とのこと。タレコミ子は寡聞にして「蒸発鍵方式」というものを聞いたことがなかったのだが、この会社のページで説明されている瞬在鍵というのが実装のようだ。これを見ると、セッション鍵を大量に更新させ続けるだけにも見えるわけだが、これこそ 画期的な技術なのだろうか? 「超非線形アルゴリズムを用いた暗号発生メカニズム」というあたりも興味深い。
データセンタ内のARP spoofing攻撃で通信改ざんが発生、対策の定石は? | スラド セキュリティ
INTERNET Watchの記事によると、さくらインターネットのレンタルサーバの1台がクラックされ、6月1日1時52分〜6月2日17時23分の期間、ARP spoofing攻撃が発生していたとのことです。これにより、さくらインターネットの「専用サーバ10Mスタンダード」プランの「219.94.145.0〜219.94.145.127」のIPアドレスのサーバの通信経路が変更されてしまい、クラックされたマシンを通して外部と通信する状態になっていたとのこと。セキュリティホールmemoの記事によりますと、さくらでホストされていたethna.jp や jp2.php.net などのウェブサイトで、HTMLにウイルスを埋め込む<iframe>タグが差し込まれていたと報告されており、どうやらクラックされたマシン上で通信の改ざんが行われたようです。 さくらインターネットは、障害情報のページで「6月4日追
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DNS キャッシュポイズニング続報 | スラド セキュリティ
秀逸なXSSの練習サイト | スラド セキュリティ