中華スマホの安全性、セキュリティは本当に大丈夫なのか！？ | SIMフリースマホ研究所
中国メーカーのスマホに潜むリスクや危険性について中国メーカーのPCやスマホなどの電子機器、アプリケーションなどから、バックドアやスパイウェアが見つかる事件やそれを報じるニュースなどを数年前から度々見めにする機会があります。 それ以来、日本企業や海外の企業が現地で生産している製品をのぞいて、純粋に中国メーカーによって製造、販売されている製品については、個人的にはかなり警戒感を抱いています。 ネットでも「中華スマホはコスパ良いし全然問題なく安全に使えるよ！」という意見もある中、かなりグレーゾーンで疑惑を感じるような情報も飛び交っており諸説あるのですが、「火の無いところに煙は立たない」ということわざもあります。 万が一の時のリスクを避けるために「中華スマホ」に対しては「性悪説」のスタンスで接した方がよいのではないかと考えています。 中国メーカーのSIMフリースマートフォンは安くて高性能なコストパ
秘密裏に個人情報を収集していたとして、250以上のiOSアプリがApp Storeから削除される
By Omar Jordan Fawahl 中国のモバイル広告プロバイダーが開発した広告SDKを利用する256個のアプリがユーザーの個人情報を秘密裏に収集していることを、コードの透明性を維持するために活動している「SourceDNA」が発見しました。広告SDKを使用しているアプリ開発者もこの事実を知らなかった可能性があるとのことですが、Appleはこの事態を受けて対象となるアプリを全てApp Storeから削除しています。 iOS Apps Caught Using Private APIs https://sourcedna.com/blog/20151018/ios-apps-using-private-apis.html Apple bans over 250 apps that secretly accessed users’ personal info | The Verge h
飛行機の搭乗券に印刷されたバーコードを読み取ると個人情報など意外にも多くの情報が書かれていた
近年ではスマートフォンや手首に付けたスマートウォッチをかざして飛行機に搭乗できる「チケットレス」サービスを利用する人も多くなったと思いますが、今でも横長の厚紙に印刷されたボーディングパス(搭乗券)を受け取っている人もいるはず。何気なく手にして、フライト後はポイと捨ててしまう搭乗券ですが、実は記載されているバーコードには多くの情報が含まれている点には注意が必要なようです。 What’s in a Boarding Pass Barcode? A Lot — Krebs on Security http://krebsonsecurity.com/2015/10/whats-in-a-boarding-pass-barcode-a-lot/ 飛行機に乗ったことがある人の多くは、このような横長のボーディングパスを受け取ったことがある人も多いはず。かつては厚手の丈夫な紙が使われていましたが、近年で
1万台ものルーターを勝手にハックしてセキュリティを高めたハッカーの正体と目的が判明
By The Preiser Project アンチウイルスソフトウェアで知られるSymantecが2014年に発見した「Linux.Wifatch」は、Linuxを搭載する1万台ものルーターに感染しておきながら、悪さをするどころかデバイスのセキュリティを高めていることがわかっています。悪用されることが多いハッキングを善良な目的に使っていると見られることから、「ホワイトハッカーが登場した」などとインターネットで話題を呼びましたが、そのLinux.Wifatchを開発したハッカーがなんとマルウェアのコードを公開し、ハッキングの目的や自分の正体について語っており、さらに経済誌のForbesはこのハッカーと接触してインタビューを実施しています。 The White Team / linux.wifatch | GitLab https://gitlab.com/rav7teif/linux.wi
1万台ものルーターを何者かが勝手にハックしてセキュリティを高めていたことが発覚
by Peter Dahlgren ユーザーのネットワークに侵入したマルウェアは、侵入した後にさらなる攻撃を仕掛けるためにユーザーのルーターを利用することが多々あります。しかし、Symantecが発見したLinux.Wifatchというマルウェアは、Linuxを搭載する1万台ものルーターに感染しておきながら、悪用ではなくむしろ「デバイスのセキュリティを高める動き」をしていたことがわかりました。 Is there an Internet-of-Things vigilante out there? | Communauté Symantec Connect http://www.symantec.com/connect/blogs/there-internet-things-vigilante-out-there Someone Has Hacked 10,000 Home Routers
Androidにロックを回避する新たな手法が登場
Android端末で、たとえパスワードなどによるロックを設定している端末でも、ロック画面を回避できてしまう新たな手法が見つかりました。これはテキサス大学オースティン校が発表したもので、YouTubeには実践ムービーが公開されています。 Android 5.x Lockscreen Bypass (CVE-2015-3860) | UT Austin Information Security Office http://sites.utexas.edu/iso/2015/09/15/android-5-lockscreen-bypass/ Android 5.x Lockscreen Bypass - YouTube 対象端末のOSはAndroid 5.1系統。 ロックを解除しようとするとパスワード入力画面になります。ここで「EMERGENCY CALL(緊急通報)」を利用します。 緊急通報
ユーザーにアカウントを作らせるときのルール6個
by Wade Morgen ウェブサービスを使い始める際にユーザー登録を求められることがありますが、いくつものウェブサービスでそれぞれに異なったIDとパスワードの組み合わせを持つことは煩わしく感じられます。しかし、サイト運営側にとってはできるだけアカウント登録を行ってもらいたいもので、新規アカウント登録を増やすためのコツが公開されています。 Your Website is not Special, Don't Make Visitors Make Accounts https://www.benburwell.com/posts/your-website-is-not-special-dont-make-visitors-make-accounts/ ソフトウェアエンジニアのBen Burwell氏によれば、一般的にユーザーはサイト運営側よりもウェブサービスを使い続けるべきかどうかの判断
バイドゥ、「Baidu IME」「Simeji」でユーザーの入力内容を無断送信 ネットエージェントが解析
ネットエージェントは12月26日、中国Baiduの日本法人バイドゥが無償配布しているPC向け日本語IME「Baidu IME」とAndrid向け日本語IME「Simeji」を使って入力された文字列が、ユーザーに無断で外部のサーバに送信されているという解析結果を明らかにした。対策されるまで両アプリの使用を控えるよう呼びかけている。 指摘に対してバイドゥの広報担当者は「調査中」とコメント。26日内にも調査結果を発表するとしている。 Baidu IMEとSimejiはそれぞれ、顔文字変換や流行語の変換、スキンの変更などに対応した日本語IME。クラウド上のサーバと連携し、変換精度をアップさせる「クラウド入力」機能を備えている。 ネットエージェントは、両アプリからSSL暗号通信でインターネットに送信されているデータを解析。ユーザーが設定画面でログ送信をオフにしたり、「クラウド入力」をオフにしていても
「HDMIやDVIの著作権保護に使われているHDCPは完全に崩壊している」と専門家が指摘
By Home Cinema Pictures プロジェクターやディスプレイの接続などで用いられる「DVI」やデジタル家電の接続に使われる「HDMI」にはHDCPというコピーガード形式が用いられています。しかし、このHDCPの暗号化を行っているマスターキーは2010年9月の時点で漏洩していて、開発元であるインテルもそれがマスターキーであったことを認めています。 にも関わらずなぜか今もHDCPが使われ続けているということに対して、ロンドン在住のハッカーであり、セキュリティ関連コンサルタント会社Aperture Labsを運営しているというAdam Laurieさんがブログで疑問を呈しています。 Obviously a Major Malfunction...: HDCP is dead. Long live HDCP. A peek into the curious world of HDM
OCNでの不正ログイン、パスワード流出の原因はロジテック製ルータの脆弱性
OCNでの不正ログイン、パスワード流出の原因はロジテック製ルータの脆弱性：リモートから機器調査を実施、個別に対応を依頼へ NTTコミュニケーションズ（NTT Com）は2013年8月20日、6月に発生した不正ログインの原因が、特定の無線LANブロードバンドルータの脆弱性にあった可能性が高いことを公表。OCNユーザーを対象にしたセキュリティ調査を10月31日までの間実施する。 NTTコミュニケーションズ（NTT Com）は2013年8月20日、6月に発生した不正ログインの原因が、特定の無線LANブロードバンドルータの脆弱性にあった可能性が高いことを公表した。同社はさらなる不正利用を防止するため、OCNユーザーを対象にしたセキュリティ調査を10月31日までの間実施する。当該機器を利用している顧客には個別に、ファームウェアアップデートなどの対応を依頼するという。 OCNへの不正ログイン事件は、6
Android史上「最も高度なマルウェア」、Kaspersky Labが報告
このマルウェアの複雑さと、未解決の脆弱性を多数悪用しているという特徴は、ほかのAndroidマルウェアよりも、Windowsマルウェアに近いとKasperskyは指摘する。 ロシアのセキュリティ企業Kaspersky Labは、これまでに発見された中で最も高度なAndroidマルウェアを発見したと伝えた。このマルウェアは感染した端末に潜み、Androidの未解決の脆弱性を悪用するなど極めて高度な機能を持つという。 Kasperskyのブログによると、このマルウェアはすべてのコードが暗号化され、難読化されているのが特徴だという。ここまで高度な潜伏能力を持ったモバイルマルウェアは稀（まれ）だと同社は指摘する。 さらに、これまで知られていなかったAndroidの脆弱性を突いて管理者権限を拡張するなど、複数の未解決の脆弱性を悪用する機能も持つ。管理者権限を取得された端末からは、このマルウェアを削除
高木浩光＠自宅の日記 - ウイルス罪について法務省へ心からのお願いです
■ ウイルス罪について法務省へ心からのお願いです （時間切れなので完成度がいまいちのまま公開。後で書き直すかも。） ウイルス罪法案の国会答弁でバグ放置が提供罪に該当する事態は「ある」とされた件について、多くの疑問の声があがっている。ただ、その声の多くは、どんなバグでも罪になると誤解している様子がある。議員の質問では「重大なバグ」と、状況を限定して尋ねたものだった点に注意が必要である。「重大なバグ」とは、たとえば、電子計算機が動かなくなってしまうような、そういう破壊的な結果をもたらすものなどを指すのだろう。 そうすると、法務省は今回の不安の声に対応してこう釈明するかもしれない。「どんなバグでも犯罪になるわけではありません。法務大臣の答弁は、重大な結果をもたらす場合について述べたものです。通常のバグであれば、『不正な』に該当しないことから罪には該当しませんので、ご安心ください」と。続く国会の法
四時作者の小池です。
四時作者の小池です。面倒だからここに書く。 首記の件はどうでもいいのだけど、 「あ、ちなみにOAuth許可してたらモノにもよるけどアプリケーション側からDMとかも取得できるからね。まあホイホイOAuth登録するんだからDMに住所とかメールアドレスとか大事なこと書いてたりしないとは思いますけどね。」 について。この表現だと誤解を招きそうなので。ユーザーから OAuth 経由での API アクセスを許可されたアプリケーションは、そのユーザーが読むことが出来るデータの全てにアクセスできます。書き込みを許可していればアカウント削除以外のことは大体出来る。 DM を「読む」だけなら OAuth 認可を受けたコンシュマーは誰でもできます。 デスクトップアプリケーションであれば通信を監視すればよいけど、 Web アプリケーションの場合はそれが出来ない(例えば四時と twitter の間で何か通信をしたと
Windows の全バージョンに危険な脆弱性が見つかる | スラド セキュリティ
USB メモリを差し込んだり、ブラウザ経由で WebDAV を表示したり、Microsoft Office などの埋め込みショートカットに対応したファイルを表示するだけで感染してしまう可能性のある危険な脆弱性が見つかった (CVE-2010-2568、RBB TODAY の記事、エフセキュアブログの記事) 。この脆弱性は Windows ショートカット (*.lnk) に存在するため、AutoRun/AutoPlay を切るだけでは回避できない。Windows の全バージョンで影響を受ける。 この脆弱性を利用したワームの「Stuxnet」が既にイランやインドネシア、インドを中心として広がっている (security-jounral の記事)。このワームは公共インフラにも使われる SCADA (産業制御システム) をターゲットとしており、このワームに含まれるルートキットは適切にデジタル署名さ
グーグル、深刻な脆弱性は60日以内に修正するようベンダー各社に要請 - セキュリティ - ZDNet Japan
Googleはソフトウェアメーカーに対し、深刻な脆弱性の修正に60日という期限を設けるよう求めるとともに、期間内に修正されない場合はGoogleが脆弱性の情報を公開すると警告している。 Googleのセキュリティチームは、米国時間7月20日付のブログ投稿の中で、同社がソフトウェアベンダーとの間で定めている「行動規則」（rules of engagement）に加えた変更点を説明した。この行動規則は、同社がベンダー各社に脆弱性を報告する方法とタイミングについて定めたものだ。同チームは、セキュリティの専門家が「責任ある開示」のポリシーに従うことは、必ずしもエンドユーザーにとって最善の策にならないと主張している。このポリシーの下では、脆弱性は非公開のままベンダーに報告され、報告した側の研究者は、当のセキュリティホールが修正されるまで詳細情報を一般に公開せず待つことになる。 Googleのセキュリ
「弟のドラクエが焚き火から抜け出せません助けてください」 DSドラクエ6のマジコン対策は“焚き火ループ” : まにあっくすZ
「弟のドラクエが焚き火から抜け出せません助けてください」 DSドラクエ6のマジコン対策は“焚き火ループ” 「弟のドラクエが焚き火から抜け出せません助けてください」 DSドラクエ6のマジコン対策は“焚き火ループ” 本日28日に発売されたニンテンドーDS用ゲーム「ドラゴンクエストVI 幻の大地」のマジコン対策は、序盤の“焚き火シーン”から抜け出せないという対策が講じられているよう。 ゲーム一覧 [02:21] Tweet (77) 本日28日に発売されたニンテンドーDS用ゲーム「ドラゴンクエストVI 幻の大地」のマジコン対策は、序盤の“焚き火シーン”から抜け出せないという対策が講じられているよう。 ニンテンドーDS用ゲームとして新たにリメイクされた「ドラゴンクエストVI 幻の大地」が本日28日に発売された。そんなDS版ドラクエには、違法で入手されたデータで遊ぶ輩への対策が講じられている。今回は
アメーバでセキュリティ欠陥 スパム攻撃、プロフ消去相次ぐ
サイバーエージェント運営のブログサービスで、セキュリティの欠陥による被害が相次いでいる。新しいミニブログ「アメーバなう」にスパム感染が広がったほか、「アメーバブログ」でもプロフィールが消える被害が次々見つかった。なぜこんな初歩的な対策漏れがあったのか。 ツイッターのモノマネとして話題の「アメーバなう」が、最初からつまずいた。携帯電話版が始まった翌日の2009年12月9日、古典的なスパム感染が起きたのだ。 2005年4月のミクシィ被害と酷似 それは、「こんにちはこんにちは！！」という投稿を見て、記載のURLをクリックすると起きる現象だ。勝手に同じ投稿をさせられたうえ、「はまちや2」というユーザーを自動的にフォローしてしまうのだ。 ネットユーザーには見覚えのあるスパム投稿に違いない。それは、ミクシィで05年4月に広がった被害と似ているからだ。そのときは、「ぼくはまちちゃん！」という投稿だった。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
iPhone 5s：「指紋認証ハッキング」は成功したのか
【特別企画】アカウントハックに遭ってしまった！（後編） JOGAは「各社に任せる」方針。調べてわかったメーカーごとに大きく異なる対応内容
【特別企画】アカウントハックに遭ってしまった！（前編） 被害は救済されない。被害者になって見えてきた問題点と課題