Chrome のパスワード保護を強化 - その仕組み
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
“Meltdown” と “Spectre” に備える ―― Kubernetes Engine クラスタのアップデート状況を Forseti で確認 | Google Cloud 公式ブログ
“Meltdown” と “Spectre” に備える ―― Kubernetes Engine クラスタのアップデート状況を Forseti で確認 Google のセキュリティ チームである Project Zero は今年 1 月、“Meltdown” および “Spectre” と呼ばれる CPU 脆弱性について明らかにしました。そのうえで、既知のすべての脆弱性の影響を受けないよう Google Cloud サービスがアップデート済みであることもお知らせしました。 Google Cloud サービスで仮想マシン（VM）を実行しているお客様は、引き続きセキュリティのベスト プラクティスに従い、あらゆる OS の脆弱性対策と同様に、定期的にすべてのセキュリティ アップデートを適用する必要があります。そこで私たちは、Google Cloud Platform（GCP）のお客様向けに、CP
RPCに特化したGoogleのセキュリティ通信ALTSとは何か - ぼちぼち日記
はじめに 昨年、Googleから Google Cloud Platform に関するWhitePaperがいくつか公開されました。その中でGoogleのサービス内部で使われている新しいALTSというプロトコルを説明した文書「Application Layer Transport Security」は、読んでみると非常に面白く、セキュアなサービス間通信には本当に何が必要なのか、といったことを改めて深く考えさせられるものでした。物理的なマシンからサービス運用まで、ALTSがカバーする範囲は幅広い領域に渡り、あの巨大なGoogleのサービスをよくここまでまとめ上げたものだとホント感心させられます。 以前から、Googleはデータセンタ内のサービス通信までも暗号化を進めていると言われていました。それは、2013年にエドワード・スノーデンが暴露した資料が、Googleのデータセンタ内部の通信データ
Googleクラウドの凄い内側
設備投資額は3年で294億ドル（約3兆3000億円）に達し、世界中にプライベートネットワークを張り巡らせ、独自開発のセキュリティチップでハードウエアを防御――。米GoogleのUrs Holzle上級副社長が2017年3月9日（米国時間）、「Google Cloud Next 2017」の基調講演で同社のインフラの内側を明かした（写真1）。 Holzle上級副社長はまず、通信事業者をしのぐ規模に成長したGoogleのネットワークインフラの現状を紹介した。例えば「G Suite」などGoogleのサービスを利用するユーザーの通信パケットの98％は、Googleのプライベートネットワークから直に、ユーザーが利用するISP（インターネット接続事業者）に届いているのだという。 Googleは現在、182の国と地域にネットワーク拠点を配置し、拠点間をGoogleのプライベートネットワークによって接続
SHA-1衝突攻撃がついに現実に、Google発表 90日後にコード公開
GoogleはSHA-1ハッシュが同じでコンテンツが異なる2つのPDFも公表した。90日後には、こうしたPDFを生成するためのコードを公開するとも予告している。 Webブラウザのセキュリティ対策など幅広い用途に使われてきたハッシュアルゴリズムの「SHA-1」について、米Googleは2月23日、理論上の可能性が指摘されていたSHA-1衝突を初めて成功させたと発表した。これでSHA-256やSHA-3のような、安全な暗号ハッシュへの移行を急ぐ必要性がこれまで以上に高まったと強調している。 SHA-1を巡っては、脆弱性を悪用される危険性が高まったことを受け、主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止を進めている。 Googleはオランダ・アムステルダムのCWI Instituteと2年がかりで共同研究を実施。Googleの技術とクラウドインフラを駆使して大規模な演算処理を行い、S
「Googleアカウントが変更されました」--一部のGoogleユーザーが強制ログアウトに困惑
2月24日未明から、一部のユーザーがGoogleのサービスを利用しようとした際に、「Googleアカウントが変更されました。セキュリティ保護のためもう一度ログインしてください」と表示され、強制ログアウトされていることが分かった。筆者もその一人だ。Twitterなどでは「アカウントを変更した覚えはない」「乗っ取られたのではないか」と不安視する声も見られた。 これを受けてグーグルは、Google アカウントのヘルプセンターを更新。「一部のお客様におきまして、Google アカウントが変更された旨の通知が送付されていることが判明しております。調査の結果、本メッセージはフィッシングやアカウントのセキュリティに影響するものではないため、ご安心ください」と説明し、再度ログインすれば通常通り利用できるとアナウンスしている。 現在、強制ログアウトの原因をグーグルに確認しているが、2月24日14時時点では回
透過性によるセキュリティ - Key Transparency
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
Google infrastructure security design overview | Documentation | Google Cloud
Send feedback Google infrastructure security design overview Stay organized with collections Save and categorize content based on your preferences. This content was last updated in June 2023, and represents the status quo as of the time it was written. Google's security policies and systems may change going forward, as we continually improve protection for our customers. Download pdf version Intro
googleの新しい時刻同期プロトコル Roughtimeとは - ASnoKaze blog
[追記] 2020年1月時点の動向について、新しく記事を書きました asnokaze.hatenablog.com Googleの「Adam Langley氏のブログ」で、新しい時刻同期プロトコルについて紹介されている。このRoughtimeは特定のタイムサーバに依存しないセキュアな方法で時刻同期を行うことを目的としたプロトコルです。すでに、googleのサーバで動作しており、roughtime.sandbox.google.com:2002に向けて公開されている専用クライアントで接続できる。 現在のセキュリティは現在の時刻に依存しており、その重要性はましています。証明書の有効期限や、OCSPレスポンス、Kerberosのチケット、DNSSECの応用やPGP鍵といった機能でも重要です。しかし、Chromeの証明書エラーのうち25%はローカルの時刻に起因するとしているとしています。 現在、最
新リサーチ: 「秘密の質問」を問い直す
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
Googleの新API「reCAPTCHA」ではイメージをクリックするだけでボットでないことを証明でき文字入力は不要に
ウェブサイトにアクセスを試みるボットを遮断するために設置されている、画像で表示される文字を入力することでボットでないことを証明できる機能reCAPTCHAは多くのサイトで導入されていますが、いちいち文字入力するのは手間で、スマートフォンなどのモバイル端末ではめんどくさい作業でした。しかし、Googleが新たにクリック・タップだけでサクッとボットでないことを証明できるように進化させました。 recaptcha https://www.google.com/recaptcha/intro/index.html Google Online Security Blog: Are you a robot? Introducing “No CAPTCHA reCAPTCHA” http://googleonlinesecurity.blogspot.jp/2014/12/are-you-robot-i
Caja とは何か
OpenSocial 周りの調査をしていると、Caja という言葉に遭遇します。セキュアな JavaScript を実現するもの、ということだけ分かっていたのですが、詳細を調べてみました。 クロスサイトスクリプティングとブログパーツ # goo や livedoor、fc2 などのホスティングを含めたブログサービスを使ったことのある方はご存知と思いますが、サービスによってブログパーツが貼れるもの、貼れないもの、一部だけ許可しているものがあります。なぜでしょうか？ Cookie には同一ドメインから実行されたスクリプトしか参照できないという特徴があります。これを利用して、Cookie をセッション情報や閲覧履歴の保存場所として活用しているサービスは少なくありません。上記ブログサービスがブログパーツを許可しないのは、これらの情報を悪意のある JavaScript から守るためです。逆に言うと、
iOS向けGmailアプリで通信傍受の恐れ、セキュリティ対策の不備か
Android向けのGmailには実装されているセキュリティ対策が、iOS版のGmailには実装されていないとして、セキュリティ企業がブログで概略を公表した。 GoogleがAppleのiOS向けに提供しているGmailアプリには、暗号化された通信の傍受を防ぐための仕組みが実装されておらず、中間者攻撃を仕掛けられて情報を盗まれる恐れがあるとして、セキュリティ企業のLacoon Mobile Securityが7月10日のブログで概略を公表した。 Lacoonによると、Gmailのようなアプリでは通常、証明書のピン留め（Pinning）という仕組みを使ってアプリ内にサーバ証明書をコーディングし、不正な証明書を見分ける仕組みを実装している。 ところがiOS向けのGmailには、この証明書のピン留めの仕組みが実装されていないことが分かったという。 この問題を悪用された場合、攻撃者がユーザーをだま
XSS game
Welcome, recruit! Cross-site scripting (XSS) bugs are one of the most common and dangerous types of vulnerabilities in Web applications. These nasty buggers can allow your enemies to steal or modify user data in your apps and you must learn to dispatch them, pronto! At Google, we know very well how important these bugs are. In fact, Google is so serious about finding and fixing XSS issues that we
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Google Chrome」にゼロデイ脆弱性 ～ローカルPDFファイルを開くと個人情報が漏洩／Googleは4月下旬の修正を約束
GoogleのSHA-1のはなし
Announcing the first SHA1 collision
GoogleがWebでのSHA-1の利用停止を急ぐ理由 | POSTD
Stable Channel Update
Gmailに、ユーザーのアドレスを収集できるバグ