JVNTA#96606604: ウェブブラウザの権限機構におけるセキュリティ上の問題について
早稲田大学および NTT 社会情報研究所の研究チームにより、モバイル OS とデスクトップ OS を含む 5 種の OS と、それぞれの OS で動作する合計 22 の主要なブラウザ実装を対象とした、権限機構に関する体系的な分析が行われ、権限機構の実装や挙動に統一性がない、プライバシーリスクにつながる欠陥がある、といった複数の実装上の問題が存在することが指摘されています。これらの問題は、ブラウザのユーザに誤った判断を引き起こさせ、セキュリティ上の脅威を生じさせる可能性を含みます。本記事に記載されている内容は、研究チームにより NDSS 2023 で公表されました。 ブラウザにおける権限機構について ウェブブラウザにおける権限機構は、ユーザの同意に基づいて、カメラやGPSといったユーザのデバイスに搭載されたハードウェアリソースへのウェブサービスによるアクセスを制御する機構であり、多くの主要な
セキュリティ調査に役立つブラウザ拡張機能のまとめ - 午前７時のしなもんぶろぐ
おはようございます。しなもんです。 今回はセキュリティ調査に使える便利なブラウザの拡張機能 (アドオン・エクステンション) をご紹介します。 こうした拡張機能の多くはこの世で唯一無二の機能を持っているわけではありませんが、普段から一番よく使う調査ツールである「Web ブラウザ」に直結するため、手間の節減や各種オンラインサービスへのアクセシビリティ向上に大きな効果を発揮する場合があります。 前提 Mitaka IP Address and Domain information Link Redirect Trace User-Agent Switcher Flagfox IP Domain Country Flag Wappalyser anonymoX Wayback Machine Exif Viewer/EXIF Viewer Pro Simple Translate Mouse Di
Microsoft、不正証明書失効の更新プログラムを再配信
米Microsoftが9月13日（米国時間）に配信したセキュリティ以外の更新プログラムに不備があったことが分かり、問題を修正した累積的な更新プログラムをWindows XPとWindows Server 2003向けに改めてリリースした。セキュリティ対策センターのブログで19日に明らかにした。 この更新プログラム「KB2616676」はオランダの認証局DigiNotarが不正なSSL証明書を発行していた問題に対応するもので、関連の認証局が発行した証明書を全て失効させるはずだった。しかし、実際に同プログラムで失効させた不正証明書は6件にとどまり、それ以前に別の更新プログラムで対応した不正証明書を失効させる措置が盛り込まれていないことが分かったという。 不正な証明書が無効化されない場合、第三者が通信に割り込んで情報を盗み出す中間者攻撃に利用される恐れがある。このためMicrosoftは、それま
不正証明書発行の認証局、セキュリティ対策の実態は？ オランダ政府が中間報告書
監査の結果、DigiNotarが運営している複数の認証局のサーバが全てハッキングされていたことが判明した。「google.com」用の不正証明書は30万のIPアドレスで利用されていたという。 （不正証明書発行事件の記事一覧はこちら） サイバー攻撃を受けて不正なSSL証明書を発行していた認証局のDigiNotarに対し、オランダ政府が実施した監査の中間報告書がまとまった。 報告書は監査責任者を務めるセキュリティ企業のFox-ITの最高経営責任者（CEO）がまとめたもので、オランダ政府が公表した。米セキュリティ機関のSANS Internet Storm Centeが9月6日にWebサイトで概略を紹介した。 それによると、監査の結果、DigiNotarが運営している複数の認証局のサーバが全てハッキングされ、管理者権限でアクセスされていたことが判明。中にはログ記録が一部抹消されていた認証局もあり
DigiNotar Damage Disclosure | Tor Project
About an hour ago I was contacted by the Dutch Government with more details about the DigiNotar Debacle. It seems that they're doing a great job keeping on top of things and doing the job that DigiNotar should've done in July. They sent a spreadsheet with a list of 531 entries on the currently known bad DigiNotar related certificates. The list isn't pretty and I've decided that in the interest of
News from the Lab Archive : January 2004 to September 2015
Almost from the beginning of the DigiNotar CA Disaster (report here), we had a reason to believe the case was connected to "ComodoGate" — the hacking of another Certificate Authority earlier this year, by an Iranian attacker. This connection has now been confirmed. After ComodoGate, the hacker — who called himself ComodoHacker — sent a series of messages via his Pastebin account. Then at the end o
エフセキュアブログ : 「Diginotar」がBlack.Spookとイランのハッカーによりハッキング
「Diginotar」がBlack.Spookとイランのハッカーによりハッキング 2011年08月30日18:05 ツイート mikko_hypponen ヘルシンキ発 by：ミッコ・ヒッポネン 「Diginotar」はオランダの認証局で、SSL証明書を販売している。 2011年7月10日、何者かが何らかの形で、彼らから不正なSSL証明書を獲得することに成功した。この証明書は、ドメイン名「.google.com」用に交付されたものだ。 このような証明書で何をすることができるのだろうか？ まず、Googleになりすますことができる。最初にgoogle.comに対するインターネットトラフィックを、自分に対してリルートできるならばだが。これは政府や不正なISPによって行える事だ。このようなリルートは、その国もしくはそのISPのもとにいるユーザしか影響を及ぼさない。 しかし、何故Googleをイ
GoogleとMicrosoft、不正SSL証明書問題に追加対応 Chromeの安定版を再度更新
Mozillaに続きGoogleとMicrosoftも、DigiNotar関連の認証局が発行したSSL証明書はオランダ政府関連のものも含め、全て失効させると表明した。 オランダのSSL認証局（CA）DigiNotarから不正なSSL証明書が発行されていた問題で、Mozilla Foundationに続きGoogleとMicrosoftも、DigiNotar関連のCAが発行したSSL証明書はオランダ政府関連のものも含め、全て失効させると表明した。 2社とも既に、DigiNotar発行の証明書を失効させる措置は実施済み。今回はこれに加え、オランダ政府のプログラム「PKIoverheid」にかかわるDigiNotar関連CAの証明書も失効の対象とした。 GoogleはWebブラウザ「Chrome」の安定版を再度更新し、9月3日付で「Google Chrome 13.0.782.220」を公開。一
Archived MSDN and TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
DigiNotarへのハッキング、FacebookやCIAなども影響か--証明書被害は500件以上に
オランダ政府は現地時間9月3日、同政府ウェブサイトのデジタル証明書を発行しているDigiNotarがハッキングの被害を受けたため、自身のウェブサイトの安全性を保証できないと述べた。イスラエル諜報特務局や英国のMI6、米国のCIAといった諜報機関も同様の被害にあったようだ。さらに、Facebook、Twitter、Microsoftの「Windows Update」、Skypeのユーザーも危険にさらされる可能性がある。 DigiNotarは、先々週末にハッキングを受けたことを認めている。Mozilla Foundationはすでに該当する証明書をブロックしている。Microsoftによれば、「Internet Explorer」のユーザーが不正な証明書を使っているウェブサイトにアクセスしようとすると警告が表示されるという。最新版の「Google Chrome」を使っているユーザーも同様に警告
MozillaがDigiNotarのCA認定を取り消し、政府関連証明書も失効
不正なSSL証明書発行事件に絡み、Firefoxブラウザを提供するMozillaはオランダのSSL認証局DigiNotarに対する認定を恒久的に取り消すと発表した。 オランダのSSL認証局（CA）DigiNotarから不正なSSL証明書が発行されていた問題で、Firefoxブラウザ提供元であるMozilla Foundationは、DigiNotarに対する信頼が失墜したと判断し、同社のCA認定を恒久的に取り消すと表明した。慎重に検討した結果、最後の手段として決めた方針だとしている。 Mozillaは9月2日のセキュリティブログで、不正に発行されたSSL証明書の中には「addons.mozilla.org」のドメイン用のものもあったことを明らかにした。それにもかかわらず、DigiNotarが6週間も前に問題に気付いて不正な証明書を失効させておきながら、Mozillaに何の連絡もなかったこと
An update on attempted man-in-the-middle attacks
The latest news and insights from Google on security and safety on the Internet Paul van Brouwershaven said... Does this also include the "DigiNotar PKIoverheid CA Overheid en Bedrijven" root which is maintained by the same company? August 30, 2011 at 2:03 AM Unknown said... And how about the Google Talk? Despite Chrome and Firefox, it didn't give any alert while signing in my account. Unfortunate
DigiNotar Removal Follow Up – Mozilla Security Blog
Michichael wrote on September 2, 2011 at 7:15 pm: A well made point. Realistically, 90% of people just click “ignore” anyway when they encounter a certificate error, but the rest of us might get suspicious when we see bad certs. The entire system needs to be re-evaluated, but that can’t happen when there are bad root CA’s. Ferdinand wrote on September 2, 2011 at 7:45 pm: Well done, giving us a qui
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IT news, careers, business technology, reviews
Google ChromeのシェアがFirefoxを抜く、月ベースで初 
MSDN ホームページ
/blog/2011/09/protecting-yourself-from-attacks-that-leverage-fraudulent-diginotar-digital-certificates/
DigiNotar偽SSL証明書事件、「twitter.com」などにも拡大、全貌は未だ不明 
偽SSL証明書問題でMozillaが対応を説明、DigiNotarの証明書は恒久的に削除 