パスワードとmemset関数 - yohhoyの日記
C言語プログラム上で高機密性情報（パスワード文字列など）を消去するケースで、memset関数の単純利用では機密情報がメモリ上に残存してしまい、セキュリティ上の脆弱性につながる可能性がある。 void secure_operation() { // パスワード文字列を取得 char passwd[128]; get_password(passwd, sizeof(passwd)); //... // メモリ上の高機密データを消去... memset(passwd, 0, sizeof(passwd)); // ?? } 上記コードではパスワード文字列が格納された変数passwdを使用後にゼロクリアしているが、コンパイル時の最適化によりmemset関数呼び出しが削除される可能性がある。この（プログラマの意図に反する）最適化は、C言語の言語仕様上も許容されるコンパイラの振る舞いとなっている。*1
ウェブサイト改ざんの増加に関する一般利用者（ウェブ閲覧者）向け注意喚起：IPA 独立行政法人 情報処理推進機構
第13-26-294号 掲載日：2013年6月26日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター（IPA/ISEC） IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、企業のウェブ改ざん被害の急増により、一般利用者（ウェブ閲覧者）におけるウイルス感染の危険性が高まっているため、一般利用者に広く注意を呼びかけることを目的として注意喚起情報を発することとしました。 企業や公共機関が運営しているウェブサイトが改ざんされる被害事例が継続的に発生しています。今月にも“トヨタ自動車”、“リコージャパン”、“日本赤十字社”、“札幌市の観光情報サイト”など、比較的利用者が多いと思われるウェブサイトの被害事例が報告されています。 改ざんされたウェブサイトには、閲覧した利用者のパソコンにウイルスを感染させる仕掛けが組み込まれている場合があります。利用者側が適切なセキュリティ対策を
第2回 車載ソフトへの攻撃例が続々
第1回で、車載ソフトが悪意ある攻撃者の対象になりつつある自動車技術の大きなトレンドを示した。現在、情報セキュリティの研究者らは自動車への攻撃手法を検討し始めている。情報セキュリティの世界では防御の手法を練るのと同時に、どんな攻撃を受ける可能性があるのか研究することが大切である。第2回は現時点で公開されている研究のうち、代表的な4例を紹介する。 【事例1】発端となった米国の研究論文 2010年、実証実験に基づく論文「Experimental Security Analysis of a Modern Automobile」が公開された（図1）。論文では、自動車の保守点検用ポートに特別な機械を設置し、並走する車両から車載システムの脆弱性をついた攻撃することで、ブレーキやワイパーの制御に影響を与えられることを明らかにした。 この論文では、対象車両の通信を盗聴して解析し、認証すること、および発信元
パスワードリマインダが駄目な理由
昨日、某著名サイトのパスワードリマインダの方式が変更になっていることに気がつきました。 旧: 現在のパスワードをメールで送信する（パスワードリマインダ） 新: パスワード再設定の画面のURLをメールで送信する（パスワードリセット） 新しい方式（パスワードリセット）の方が優れていますが、それでは何故パスワードリマインダは駄目で、パスワードリセットの方がよいのでしょうか。このエントリではその理由について説明します。 パスワードリマインダのリスク 良く指摘されるように、パスワードリマインダの場合、２つの問題があります。 現在のパスワードをメール送信できるということは、パスワードをハッシュ値で保存していない証拠である メールは平文通信なので、パスワードを書いたメールが盗聴されると被害が甚大になる これらのうち、パスワードの保存方法については別稿にゆずるとして、このエントリでは盗聴のリスクについて検
コンピューターウイルス調べる実験施設 NHKニュース
国の省庁や、企業などから情報を盗み出すコンピューターウイルスの被害が相次ぐなか、独立行政法人の情報通信研究機構は、ウイルスを実際に動かして、その弱点などを調べる国内で初めての実験施設を、石川県に設置することになりました。 情報通信研究機構が石川県能美市に１００億円をかけて作る実験施設には、国の省庁や企業の通信ネットワークが再現され、実際にウイルスを動かして調べることができます。 そして、ウイルスがどのように情報を盗み出し、どこに送ろうとしていたかなどを調べ、被害を防ぐためのセキュリティー対策ソフトの開発などに役立てるということです。 情報通信研究機構によりますと、こうしたウイルスは、最近ではメールで送りつけられることが多く、情報を盗み出したあとは消えてしまうことがあるため、こうした施設を設けることで詳細な動きを調べることができるということです。こうした実験施設が設置されるのは国内では初めて
革命の日々！ __attribute__(alloc_size) を使わないと_FORTIFY_SOURCE を活かせないよ。という話
_FORTIFY_SOURCEというバッファーオーバーフロー攻撃を防ぐのにとても有用なマクロがある。 知らなかった人は以下のmanでもまず見てください http://linuxjm.sourceforge.jp/html/LDP_man-pages/man7/feature_test_macros.7.html _FORTIFY_SOURCE (glibc 2.3.4 以降) このマクロを定義すると、文字列やメモリの操作を行う様々な関数を 使用する際にバッファオーバーフローを検出するための軽めのチェックが 実行されるようになる。すべてのバッファオーバーフローが検出される わけではなく、あくまでよくある例についてだけである。 現在の実装では、以下の関数にチェックが追加されている: memcpy(3), mempcpy(3), memmove(3), memset(3), stpcpy(3),
ワンタイムパスワードを盗むウイルスによるネット銀行被害
昨日、こんなニュースが飛び込んできました。 パスワード盗む新手口＝ネット銀の不正送金－被害、最悪ペース・警察庁 インターネットバンキング利用者の口座から無断で現金を送金する事件で、パスワードを盗む新しい手口による被害が多発していることが２４日、警察庁への取材で分かった。不正送金を防ぐため内容を毎回変えている「ワンタイムパスワード」を、犯人がコンピューターウイルスで入手したとみられる。 今年確認された不正送金の被害は９０００万円を超えた。昨年の約４８００万円を上回り、過去最悪だった２０１１年の約３億８００万円と同じペースとなっている。（2013/04/24-21:38） 時事ドットコム：パスワード盗む新手口＝ネット銀の不正送金－被害、最悪ペース・警察庁より引用 『「ワンタイムパスワード」を、犯人がコンピューターウイルスで入手』だと? 最初は、いよいよ本格的なMITB(Man in the B
そのAndroidアプリはなぜ大量の「アクセス許可」を求めるのか | ライフハッカー・ジャパン
ライフハッカー編集部さま Chrome拡張機能の「アクセス許可」に関する記事を読みましたが、Androidアプリの場合についても教えてください。どのアプリ開発者も、私の端末にすごくアクセスしたがっているように見えます。ただ単にデータを抜き出したいだけではないでしょうか？ 本当に必要なのでしょうか？ Androidに疑心暗鬼より Androidに疑心暗鬼さんへ Androidアプリの「アクセス許可」は開発者にとって最良の友であり、同時に最悪の敵でもあります。信頼できる企業や開発者が手がけた優れたアプリであっても、そのいくつかは、基本的な動作のためにかなり踏み込んだ許可を必要とします。 とはいえ、Androidのマルウェア対策について賛否両論がある状況では、新しいアプリのインストール時にたくさんのアクセス許可が求められるだけでぞっとしてしまいますね。どうすれば安心できるようになるか、一緒に考え
第2回 10大脅威---1位から5位
情報セキュリティーの研究者、実務担当者など約100名の意見を集約して選んだ、情報システムを取り巻く「2013年版10大脅威」。今回は1位から5位について紹介する。 1位：クライアント・ソフトの脆弱性を突いた攻撃 OSに依存しないクライアント・ソフトの脆弱性を悪用されることにより、ウイルスに感染したり、システム内の情報が窃取されたりするなどの被害が発生する可能性がある。ユーザーにおいては、クライアント・ソフトを最新に保つ対応が求められる。 ＜脅威と影響＞ 近年発生しているウイルスを用いた攻撃の大半は、クライアント・ソフトの脆弱性が悪用されている。クライアント・ソフトの脆弱性を狙った攻撃傾向は、主流な攻撃手法になって久しい。しかし、昨今のインターネット・バンキングを狙ったウイルスや政府機関を狙った攻撃を見ても分かるように、ユーザーに対策が浸透しておらず被害を食い止められていないのが実情である。
JAXA｜JAXAのサーバーに対する外部からの不正アクセスについて
宇宙航空研究開発機構（JAXA）において、インターネットに接続したJAXAのサーバーへ外部から不正アクセスがあったことが4月18日に判明しました。 現在、JAXAでは原因及び影響について調査を行っております。 アクセスされた情報について 国際宇宙ステーション日本実験棟「きぼう」の運用準備に使われる参考情報 「きぼう」運用関係者の複数のメーリングリスト 現在判明している状況について 4月18日に当該サーバーの通信記録の定期確認を行ったところ、不審なIPアドレスからのアクセス記録が見つかりました。このため、直ちに当該サーバーをネットワークから切り離し、状況を調査したところ、4月17日深夜に当該サーバーへ不正なアクセスがあったことが判明しました。現在、原因及び影響等について調査を行っているところです。 今回アクセスされた情報は、「きぼう」の運用に直接使われるものではなく、運用に支障を来すものでは
SSLShader - GPU-accelerated SSL Proxy
What is SSL? SSL (Secure Sockets Layer) is a protocol used in the Internet to provide secure end-to-end communication and client and server authentication. It is widely used in e-commerce and Internet banking. SSL relies on three different cryptographic algorithms. The first algorithm is a key-exchange algorithm such as RSA, DHE, or DSA. These algorithms provide a secure way to exchange the key ev
なぜGoogleはJSONの先頭に while(1); をつけるのか - Qiita
Stack Overflowに面白い質問があったので紹介する javascript - Why does Google prepend while(1); to their JSON responses? - Stack Overflow 質問 Googleのサービス内で使われるJSONの先頭に while(1); てついているのは何故？ 例えばGoogle Calendarではカレンダーを切り替えるときに以下のような内容のデータがサーバから返される。 while(1);[['u',[['smsSentFlag','false'],['hideInvitations','false'],['remindOnRespondedEventsOnly','true'],['hideInvitations_remindOnRespondedEventsOnly','false_true'],['C
Mozilla Re-Mix: [AutoCopy][Fasterfox Lite]などのFirefoxアドオンが買収され現在の所有者があらゆる情報を収集している件。
Firefoxユーザーなら[AutoCopy]、[Fasterfox Lite]などといった有名かつ人気アドオンのことはご存じかと思います。 実はこれらアドオンはいつからか所有者が変更されており、現在の所有者はアドオン利用者のブラウジング情報を収集しているという事実が判明しています。 現所有者は[wips]というウェブ分析企業となっており、[AutoCopy]、[Fasterfox Lite]利用者は、この企業にOS情報やブラウジングに関する履歴、訪問日時、滞在時間などが送信されるという恐ろしいことになっています。 これら情報収集関しては[wips]に明記されてはいますが、AMOにはなんら情報は記載されておらず、ユーザーはアドオン所有者が変わったことやプライバシー情報が垂れ流しになっていることさえ気が付かないような事態となっています。 この件に関してはすでに各アドオンのレビュー欄や、国内外
Gmailの乗っ取りが国内で相次ぐ、パスワードの強化や2段階認証の利用を
12月24日以降、Webメールサービス「Gmail」のアカウントを乗っ取られる事件が国内で相次いでいる。日経パソコン編集部にも、乗っ取られたアカウントから送信されたとみられるメールが複数送られている。Gmailユーザーは、パスワードの強化や2段階認証の有効化が急務。既に乗っ取られていないかどうか、ログイン履歴（アカウントアクティビティ）も確認しよう。 被害に遭ったユーザーによるネットへの書き込みなどによると、Gmailのパスワードが推測や総当たり攻撃により破られて、不正にログインされているようだ。不正にログインした攻撃者はそのユーザーになりすまし、アドレス帳に登録されているメールアドレスに対して、迷惑メール（スパム）を送信している。 迷惑メールの本文には、特定のURLだけが記載されている（図1）。このURLのWebサイトに誘導することが攻撃者の目的だったと考えられる。同サイトは現在では閉鎖
tax-hoken.com - このウェブサイトは販売用です！ - tax hoken リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
SSL/TLS, SSH で利用されている公開鍵の多くが意図せず他のサイトと秘密鍵を共有している問題 – IIJ Security Diary
インターネット上の IPv4 アドレスを広範囲にスキャンして、SSL/TLS, SSH で利用されている公開鍵証明書および DSA 署名を収集したところ、SSL/TLS では5.57% (714,243アドレス)、SSH では9.60% (981,166アドレス) が、意図せず他のサイトと秘密鍵を共有していることが報告されています。その原因は機器出荷時のデフォルト鍵を利用しているケースと、鍵生成時に擬似乱数生成モジュールのエントロピー不足であることが指摘されています。善意で提供されているオンライン鍵チェックサービスにより公開鍵が脆弱かどうかチェックできますので、必要な場合には早急に対策を実施してください。 USENIX Security Symposium は、毎年実践的な研究発表が行われる場で、本年は8月6日から10日にかけて、米国 Redmond にて他のワークショップとともに開催され
FlameとStuxnetの姉妹品、セキュリティに気を使うこと
Flame and Stuxnet Cousin Targets Lebanese Bank Customers, Carries Mysterious Payload | Threat Level | Wired.com FlameとStuxnetは、そのセキュリティの低さが叩かれた。低いというのは、FlameとStuxnetは、本来の攻撃者以外からでも、利用できるという事だ。 しかし、新たに発見された、FlameやStuxnetと同等の構造を持つ、おそらく同じ攻撃者によって作られたと思われる、Gaussと名付けられたマルウェアは、その部分を改良したらしい。 このマルウェアは、当初銀行から発見されたので、おそらく銀行を狙っているのではないかと推測されている。問題は、どのような攻撃をするかという部分が、暗号化されているのだ。 明らかに、攻撃者はターゲットとなるシステムについて十分に熟知して
パスワードとString型 - yohhoyの日記
Javaプログラム上で高機密性情報（パスワード文字列など）を扱う場合、セキュリティ的にはjava.lang.Stringクラスよりchar型の配列char[]の方が好ましい。 Java言語の文字列Stringインスタンスは不変(Immutable)なオブジェクトであり、メモリ上からデータ破棄されるタイミングはGCに依存する。一方char[]ならばプログラマがメモリ上でのデータ存在期間を制御できる。 関連URL java - Why is char[] preferred over String for passwords? - Stack Overflow Java Cryptography Architecture(JCA) Reference Guide: Using Password-Based Encryption, パスワードベース暗号化の使用
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【インタビュー】過去最大300Gbps超のDDoS攻撃に悪用されたDNSの「オープンリゾルバー」とは 
驚きの顛末、グーグルの脆弱性が採用メールから悪戯されるまで