高木浩光＠自宅の日記 - 年金機構から基礎年金番号の付番機能を剥奪せよ, 追記（6月29日）
■ 年金機構から基礎年金番号の付番機能を剥奪せよ 我が目を疑うニュースが飛び込んできた。 性同一性障害者に年金共通番号 一時ネット閲覧可能に, 共同通信, 2013年5月7日 日本年金機構が、性同一性障害で性別変更した人を判別するため、昨年１０月から基礎年金番号１０桁のうち前半４桁に共通する固定番号の割り当てを始めていたことが７日、分かった。この４桁の番号が性同一性障害者を示すと明記した機構の内部文書が一時インターネットで確認できる状態だった。 「内部文書が一時インターネットで確認できる状態だった」というのが意味不明だなと思いつつ、Twitterを検索してみたところ、この問題と戦っている方々のツイートと、問題提起のブログが見つかった。 ＧＩＤ（性同一性障害）年金基礎番号 強制付番問題について, URＡIKADA | ＦＴＭＴＳのために, 2013年4月19日 急ぎで載せました「ＧＩＤ（性同
コンピューターウイルス調べる実験施設 NHKニュース
国の省庁や、企業などから情報を盗み出すコンピューターウイルスの被害が相次ぐなか、独立行政法人の情報通信研究機構は、ウイルスを実際に動かして、その弱点などを調べる国内で初めての実験施設を、石川県に設置することになりました。 情報通信研究機構が石川県能美市に１００億円をかけて作る実験施設には、国の省庁や企業の通信ネットワークが再現され、実際にウイルスを動かして調べることができます。 そして、ウイルスがどのように情報を盗み出し、どこに送ろうとしていたかなどを調べ、被害を防ぐためのセキュリティー対策ソフトの開発などに役立てるということです。 情報通信研究機構によりますと、こうしたウイルスは、最近ではメールで送りつけられることが多く、情報を盗み出したあとは消えてしまうことがあるため、こうした施設を設けることで詳細な動きを調べることができるということです。こうした実験施設が設置されるのは国内では初めて
革命の日々！ __attribute__(alloc_size) を使わないと_FORTIFY_SOURCE を活かせないよ。という話
_FORTIFY_SOURCEというバッファーオーバーフロー攻撃を防ぐのにとても有用なマクロがある。 知らなかった人は以下のmanでもまず見てください http://linuxjm.sourceforge.jp/html/LDP_man-pages/man7/feature_test_macros.7.html _FORTIFY_SOURCE (glibc 2.3.4 以降) このマクロを定義すると、文字列やメモリの操作を行う様々な関数を 使用する際にバッファオーバーフローを検出するための軽めのチェックが 実行されるようになる。すべてのバッファオーバーフローが検出される わけではなく、あくまでよくある例についてだけである。 現在の実装では、以下の関数にチェックが追加されている: memcpy(3), mempcpy(3), memmove(3), memset(3), stpcpy(3),
ソーシャルアプリ「Path」を削除後に電話帳の相手に招待メールが届く不具合発生
家族や友達のような親しい人間とだけ写真やメッセージを共有できるソーシャルネットワークサービス「Path」で、スマートフォンからPathのアプリを削除しているにもかかわらず、アドレス帳に載っていた全員宛に招待メールが送られていたという不具合が発生しています。ユーザー本人は招待の送信を許可した覚えもなかったため、Pathがアドレス帳のデータを盗み出したのではないかと疑いを抱いています。 The antisocial network: Path texts my entire phonebook at 6am | Branded3 http://www.branded3.com/blogs/the-antisocial-network-path-texts-my-entire-phonebook-at-6am/ Path is spamming address books with unwant
JPCERT コーディネーションセンター 注意喚起
2024 2023 2022 2021 2020 その他の年 2019 2018 2017 2016 2015 2014 2013 2012 2011 2010 2009 2008 2007 2006 2005 2004年以前 深刻且つ影響範囲の広い脆弱性などに関する情報を告知するための文書です。 情報システムや制御システムに関わる端末やネットワークの構築・運用管理業務、組織内CSIRT業務、セキュリティ関連業務などに関与する担当者、技術者、研究者等を対象としています。 ※2018年1月分から注意喚起のページ表示デザインが変わりました。 <注意> 以下の各文書で紹介しているソフトウェア、バージョン、URL等は、各文書の発行時点のものであり、変更されている可能性があります。 2013 公開日 注意喚起内容 テキスト (PGP署名付き)
【続報あり】NTTドコモがハッキングされ契約者のクレジットカードの情報が漏えい中
とりあえず緊急性が高そうなので、速報です。もし、該当のリストに名前があるようでしたらご注意を。 【15:37追加】 寄せられた情報から、漏えいした情報は実在する顧客に関する情報だと思われます。末尾に情報を追加しているのでご確認ください。 【21:50】 ついにNTTドコモが認めました。 「CYBER WAR NEWS」が日本のNTTドコモがハッキングされ、クレジットカードを含む個人情報が漏洩していることを報じています。 Japanese Mobile Operator NTT DoCoMo Hacked, Credit Card Information Leaked for #StopCISPA 同記事内には、ハッキングを行ったとみられるLulzSecによるツイートが示されており、そのリンク先にはハッキングされたサーバの管理者アカウント、パスワードとともに、名前、クレジットカード等を含む4
ワンタイムパスワードを盗むウイルスによるネット銀行被害
昨日、こんなニュースが飛び込んできました。 パスワード盗む新手口＝ネット銀の不正送金－被害、最悪ペース・警察庁 インターネットバンキング利用者の口座から無断で現金を送金する事件で、パスワードを盗む新しい手口による被害が多発していることが２４日、警察庁への取材で分かった。不正送金を防ぐため内容を毎回変えている「ワンタイムパスワード」を、犯人がコンピューターウイルスで入手したとみられる。 今年確認された不正送金の被害は９０００万円を超えた。昨年の約４８００万円を上回り、過去最悪だった２０１１年の約３億８００万円と同じペースとなっている。（2013/04/24-21:38） 時事ドットコム：パスワード盗む新手口＝ネット銀の不正送金－被害、最悪ペース・警察庁より引用 『「ワンタイムパスワード」を、犯人がコンピューターウイルスで入手』だと? 最初は、いよいよ本格的なMITB(Man in the B
そのAndroidアプリはなぜ大量の「アクセス許可」を求めるのか | ライフハッカー・ジャパン
ライフハッカー編集部さま Chrome拡張機能の「アクセス許可」に関する記事を読みましたが、Androidアプリの場合についても教えてください。どのアプリ開発者も、私の端末にすごくアクセスしたがっているように見えます。ただ単にデータを抜き出したいだけではないでしょうか？ 本当に必要なのでしょうか？ Androidに疑心暗鬼より Androidに疑心暗鬼さんへ Androidアプリの「アクセス許可」は開発者にとって最良の友であり、同時に最悪の敵でもあります。信頼できる企業や開発者が手がけた優れたアプリであっても、そのいくつかは、基本的な動作のためにかなり踏み込んだ許可を必要とします。 とはいえ、Androidのマルウェア対策について賛否両論がある状況では、新しいアプリのインストール時にたくさんのアクセス許可が求められるだけでぞっとしてしまいますね。どうすれば安心できるようになるか、一緒に考え
第2回 10大脅威---1位から5位
情報セキュリティーの研究者、実務担当者など約100名の意見を集約して選んだ、情報システムを取り巻く「2013年版10大脅威」。今回は1位から5位について紹介する。 1位：クライアント・ソフトの脆弱性を突いた攻撃 OSに依存しないクライアント・ソフトの脆弱性を悪用されることにより、ウイルスに感染したり、システム内の情報が窃取されたりするなどの被害が発生する可能性がある。ユーザーにおいては、クライアント・ソフトを最新に保つ対応が求められる。 ＜脅威と影響＞ 近年発生しているウイルスを用いた攻撃の大半は、クライアント・ソフトの脆弱性が悪用されている。クライアント・ソフトの脆弱性を狙った攻撃傾向は、主流な攻撃手法になって久しい。しかし、昨今のインターネット・バンキングを狙ったウイルスや政府機関を狙った攻撃を見ても分かるように、ユーザーに対策が浸透しておらず被害を食い止められていないのが実情である。
警察庁がTorの遮断を要請するという報道について - yet2come's diary
まず、事実として 警察庁がISPに対してTorのブロックを要請する、というのは英文記事への翻訳ミスによる誤報です 翻訳ミスがあった英文記事については4/23夜に修正されています 4/18に警察庁の有識者会議*1がまとめたとされる報告書は4/23現在公開されていません 4/18に毎日新聞（毎日.jp）から「警察庁有識者会議：ネット管理者が通信遮断を 匿名悪用で」という報道がありました。（記事タイトルについては4/23夜に「ネット管理者が」から「サイト管理者が」に修正されています）私の所属するインターネット関連事業者団体にも問い合わせがあったようで一時話題になったのですが、その時はむしろその実効性についての意見交換が主でした。日本語の記事はちゃんと読めばあくまで対象は「サイト管理者」ということだったので、それ以上の詳細については警察庁からの連絡（もしくは最終報告書の公開）がないとわからないよね
JSSEC、「Androidアプリのセキュア設計・セキュアコーディングガイド」2013年4月1日版を公開
日本スマートフォンセキュリティ協会（JSSEC）の技術部会アプリケーションWG「セキュアコーディンググループ」は、Androidスマートフォンのアプリ作成におけるセキュリティ確保の手法についてまとめた「Androidアプリのセキュア設計・セキュアコーディングガイド」の2013年4月1日版を、23日に公開するとともに、同ガイドへのパブリックコメントの募集を開始した。 「Androidアプリのセキュア設計・セキュアコーディングガイド」は、Androidアプリのセキュリティを考慮した設計・開発のノウハウを集めた文書で、アプリ開発現場で「使う」ことを想定した文書構成をとっている。 各テーマの文書は、サンプルコードセクション、サンプルコードの背景にあるセキュリティ観点の留意事項をまとめたルールブックセクション、さらにセキュリティの理解を深めるための話題をまとめたアドバンストセクションで構成する。 2
JAXA｜JAXAのサーバーに対する外部からの不正アクセスについて
宇宙航空研究開発機構（JAXA）において、インターネットに接続したJAXAのサーバーへ外部から不正アクセスがあったことが4月18日に判明しました。 現在、JAXAでは原因及び影響について調査を行っております。 アクセスされた情報について 国際宇宙ステーション日本実験棟「きぼう」の運用準備に使われる参考情報 「きぼう」運用関係者の複数のメーリングリスト 現在判明している状況について 4月18日に当該サーバーの通信記録の定期確認を行ったところ、不審なIPアドレスからのアクセス記録が見つかりました。このため、直ちに当該サーバーをネットワークから切り離し、状況を調査したところ、4月17日深夜に当該サーバーへ不正なアクセスがあったことが判明しました。現在、原因及び影響等について調査を行っているところです。 今回アクセスされた情報は、「きぼう」の運用に直接使われるものではなく、運用に支障を来すものでは
SSLShader - GPU-accelerated SSL Proxy
What is SSL? SSL (Secure Sockets Layer) is a protocol used in the Internet to provide secure end-to-end communication and client and server authentication. It is widely used in e-commerce and Internet banking. SSL relies on three different cryptographic algorithms. The first algorithm is a key-exchange algorithm such as RSA, DHE, or DSA. These algorithms provide a secure way to exchange the key ev
なぜGoogleはJSONの先頭に while(1); をつけるのか - Qiita
Stack Overflowに面白い質問があったので紹介する javascript - Why does Google prepend while(1); to their JSON responses? - Stack Overflow 質問 Googleのサービス内で使われるJSONの先頭に while(1); てついているのは何故？ 例えばGoogle Calendarではカレンダーを切り替えるときに以下のような内容のデータがサーバから返される。 while(1);[['u',[['smsSentFlag','false'],['hideInvitations','false'],['remindOnRespondedEventsOnly','true'],['hideInvitations_remindOnRespondedEventsOnly','false_true'],['C
Outbound Port 80 blocking のご提案
Outbound Port 80 blocking ⽵竹 <takesako@shibuya.pm.org> http://www.janog.gr.jp/meeting/janog31/program/OP80B.html [ ] � MacBook Air ⾏行行 � [ ] � ⾏行行 ⼈人 � [ ] � ⼊入 � [ ] � ⼈人 � [ ] � ⽤用 Google Wireshark ⾯面⼈人 Firesheep � 2010 10⽉月 �Firefox � �Eric Butler⽒氏 � LAN facebook Twitter ⽂文 HTTP Cookie � �PoC⽰示 Firesheep ⾯面 Eric Butler⽒氏⽤用 Firesheep � Web �Amazon.com CNET dropbox Evernote Facebook Flickr Gith
Mozilla Re-Mix: [AutoCopy][Fasterfox Lite]などのFirefoxアドオンが買収され現在の所有者があらゆる情報を収集している件。
Firefoxユーザーなら[AutoCopy]、[Fasterfox Lite]などといった有名かつ人気アドオンのことはご存じかと思います。 実はこれらアドオンはいつからか所有者が変更されており、現在の所有者はアドオン利用者のブラウジング情報を収集しているという事実が判明しています。 現所有者は[wips]というウェブ分析企業となっており、[AutoCopy]、[Fasterfox Lite]利用者は、この企業にOS情報やブラウジングに関する履歴、訪問日時、滞在時間などが送信されるという恐ろしいことになっています。 これら情報収集関しては[wips]に明記されてはいますが、AMOにはなんら情報は記載されておらず、ユーザーはアドオン所有者が変わったことやプライバシー情報が垂れ流しになっていることさえ気が付かないような事態となっています。 この件に関してはすでに各アドオンのレビュー欄や、国内外
Japan Vulnerability Notes
JVNVU#93188600: UDPベースのアプリケーション層プロトコル実装におけるサービス運用妨害 (DoS) の脆弱性 [2024/03/21 16:00] JVNVU#93571422: Franklin Electric製EVO 550および5000における'/../filedir'に関するパストラバーサルの脆弱性 [2024/03/21 11:30] JVNVU#90671953: Sangoma Technologies製CG/MG family driver cg6kwin2k.sysにおけるIOCTLに対する不十分なアクセス制御の脆弱性 [2024/03/21 11:00] JVNVU#99690199: 三菱電機製MELSEC-Q/LシリーズCPUユニットにおける複数の脆弱性 [2024/03/18 18:00] JVNVU#96145466: 複数の三菱電機製FA製品
Gmailの乗っ取りが国内で相次ぐ、パスワードの強化や2段階認証の利用を
12月24日以降、Webメールサービス「Gmail」のアカウントを乗っ取られる事件が国内で相次いでいる。日経パソコン編集部にも、乗っ取られたアカウントから送信されたとみられるメールが複数送られている。Gmailユーザーは、パスワードの強化や2段階認証の有効化が急務。既に乗っ取られていないかどうか、ログイン履歴（アカウントアクティビティ）も確認しよう。 被害に遭ったユーザーによるネットへの書き込みなどによると、Gmailのパスワードが推測や総当たり攻撃により破られて、不正にログインされているようだ。不正にログインした攻撃者はそのユーザーになりすまし、アドレス帳に登録されているメールアドレスに対して、迷惑メール（スパム）を送信している。 迷惑メールの本文には、特定のURLだけが記載されている（図1）。このURLのWebサイトに誘導することが攻撃者の目的だったと考えられる。同サイトは現在では閉鎖
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【インタビュー】過去最大300Gbps超のDDoS攻撃に悪用されたDNSの「オープンリゾルバー」とは 
JINSのECサイトに不正アクセス、1万2036件のカード情報流出の可能性 