Google、脆弱性検出のためのファジング（Fuzzing）を機械的に実行する「OSS-Fuzz」、ベータ公開
Google、脆弱性検出のためのファジング（Fuzzing）を機械的に実行する「OSS-Fuzz」、ベータ公開 ファジング（Fuzzing）とは、「検査対象のソフトウェアに『ファズ（英名：fuzz）』と呼ばれる問題を引き起こしそうなデータを大量に送り込み、その応答や挙動を監視することで脆弱性を検出する検査手法」であると、IPA（独立行政法人 情報処理推進機構）が発行する「ファジング活用の手引き」で説明されています。 Googleは、このファジングを機械的に実行するためのソフトウェア「OSS-Fuzz」をベータ公開したことを発表しました。 OSS-Fuzzの開発はGoogleと、OpenSSLやOpenSSH、NTPdなどインターネットの基盤に欠かせないソフトウェア開発を支援する「Core Infrastructure Initiative」が共同で行っています。 OSS-Fuzzはすでにフ
Google、Android向けパッチを開発、Linuxの未解決の脆弱性に対応
Googleの担当者は「影響を受けるAndroidデバイスは当初の報告よりもずっと少ないはず」との見方を示す。 Linuxカーネルに未解決の脆弱性が発見された問題で、米GoogleのAndroidセキュリティチームは1月21日、この問題を修正するAndroid向けパッチの準備が整ったと発表した。 脆弱性はLinuxカーネルでセキュリティデータや認証鍵、暗号鍵といったデータの保持やキャッシュに使われる「キーリング」に存在していて、悪用されればローカルユーザーにroot特権を取得されたりコードを実行されたりする可能性が指摘されている。 Googleはこの問題の発覚を受けてAndroid向けのパッチを開発し、オープンソースに公開するとともに、パートナー各社にも提供した。2016年3月1日以降のセキュリティパッチレベルで全端末への配信を必須としている。 脆弱性を発見したイスラエルのセキュリティ企業
Androidのパッチ・パイプラインは崩壊している？ 「Stagefright」脆弱性でGoogleに批判集中 - THE ZERO/ONE
Androidのパッチ・パイプラインは崩壊している？ 「Stagefright」脆弱性でGoogleに批判集中 今年の「Black Hat USA 2015」で注目を集めたトピックのひとつに、AndroidのStagefrightで発見された脆弱性がある。これは世界のAndroid端末の95％（約9億5000万台）に影響を与える可能性がある問題として、開催前から話題となっていたものだ。8月6日ののステージでは、この脆弱性の発見者であるセキュリティ企業Zimperiumの研究者Joshua J. Drake氏が、「Stagefright: Scary Code in the Heart of Android」というタイトルの講演を行った。 内容を語る前に、Stagefrightとは何かという点を確認したい。もともとStagefrightは、Android端末のシステムに標準で搭載されているマ
Google、TLS/SSLトラフィックのセキュリティテストツールを公開
オープンソースで公開された「nogotofail」ではTLS/SSL実装に関する既知の脆弱性や設定ミスをチェックできる。 「Heartbleed」や「POODLE」といったTLS/SSL絡みの深刻な脆弱性の発覚が相次ぐ中、米Googleは11月4日、TLS/SSL実装に関する既知の脆弱性や設定ミスをチェックできるネットワークトラフィックセキュリティテストツール「nogotofail」をオープンソースで公開した。 GoogleはTLS/SSLの現状について、ほとんどのプラットフォームやデバイスはデフォルトの状態ではセキュアでも、アプリケーションやライブラリによってデフォルトが書き換えられて改悪されたり、プラットフォームでミスが生じたりする場合もあると指摘する。 アプリケーションの複雑化やサードパーティーライブラリの使用増加に伴い、こうしたミスは一層導入されやすくなっているという。 nogot
Googleの2段階認証を突破する方法が発見される | スラド IT
Googleアカウントへの不正アクセスを防ぐ方法として「2段階認証」がある。2段階認証ではログイン時にユーザー名およびパスワードに加え、携帯電話に送信されたパスコードが要求されるというものだ。しかし、これをを回避する方法がDuo Securityによって発見された（本家/.）。 幸いDuo Securityは良心的なチームだったため、この問題はGoogleのセキュリティチームへ報告され修正された。しかし一度は仕様だと断り、修正に半年もかかったという。このプロセスは改善してほしいところである。 発見された手法は、「アプリケーション固有のパスワード（ASP）」を利用するもの。GmailやGoogleカレンダーなどにアクセスする一部アプリケーションでは2段階認証が利用できないため、Googleはそれらのアプリケーション向けに専用のパスワードであるASPを生成する方法を用意している。しかし、このA
［3］検索一発で3分ハッキング
Googleハッキングの一例を示そう。国会議員のメールアドレスを入手しようとした場合、Googleで「名簿 衆議院 .xls 渋谷区」といった文字列を検索すれば、国会議員のメールアドレスを含む名簿が入手できる（写真1）。 Googleハッキングの特徴は、一般には検索キーワードとして使用しない「.xls」（Excelファイルの拡張子）のような特殊な文字列を入力して、目的の情報を検索する点にある。「すべての国会議員のメールアドレスを攻撃者が不正入手した」というと高度なサイバー攻撃が行われた印象を持つが、実際には我々が日常使っている検索サービスで簡単に入手できる。 Googleハッキングで得られる情報は、Googleが検索ロボットで検索した結果、すなわち検索エンジンのデータベース上のコピー情報で、アクセス先はGoogleだ。したがって、攻撃者は本来の標的となる企業や組織のサーバーにアクセスする必
「グーグルはIEのプライバシー設定も迂回していた」：MSが発表
ウェブ大手のGoogleが「Safari」のプライバシー設定を迂回していたという報道を受け、Microsoftは米国時間2月20日、「Internet Explorer」（IE）においてもGoogleによる同様の行為があったことを発見したと発表した。 IE担当エグゼクティブのDean Hachamovitch氏は20日午前のブログ投稿で、「IEチームは、GoogleがSafariのユーザープライバシー設定を迂回していたと聞き、単純な疑問を抱いた。つまり、GoogleはInternet Explorerユーザーのプライバシー設定も迂回しているのだろうかという疑問だ」と記した。「われわれはその答えがイエスであることを発見した。Googleは同様の方法によって、IEにおけるデフォルトのプライバシー保護を迂回し、IEユーザーをクッキーで追跡している」（Hachamovitch氏） このブログ投稿で
グーグル、「Safari」のプライバシー設定を迂回
UPDATE Googleが、Appleの「Safari」ブラウザにおけるデフォルトのクッキー設定を迂回していたという報道を受けて、2件の申し立てが米連邦取引委員会（FTC）に提出された。これを受け、ユーザーが希望しない限り複数サイト間での行動履歴が追跡されることのないよう、ウェブ利用者を保護する法規制および業界規格を求める声が再び相次いであがっている。 Googleは今回、サードパーティークッキーによるユーザーの行動履歴追跡を原則的に禁止しているSafariの例外設定を利用した。公平のために記すと、こうした企業はGoogleだけではない。Google以外に3社のオンライン広告企業がこの抜け穴を利用していたと、The Wall Street Journalは報じている。これとは別にGoogleは、ユーザーによる「DoubleClick」クッキーのオプトアウトを可能とする「Ads Prefe
Googleの賞金付き脆弱性報告制度は「大成功」、Chromium OSにも対象拡大
「賞金制度によって脆弱性研究への参加が広がり、それだけ多くの脆弱性が修正されてユーザーにとっての安全性が高まった」とGoogle。 米Googleは、Webブラウザ「Chrome」などの脆弱性情報に賞金を支払う制度について、導入から2年を経て「あらゆる点で大きな成功を収めた」と振り返るとともに、今後はChromium OSも同制度の対象にすると発表した。 Googleは2010年1月からChromeの脆弱性を発見・報告した研究者などに賞金を進呈する制度を開始し、これまでに支払った賞金の総額は30万ドルを超えた。 同年11月には「google.com」や「youtube.com」などのWebアプリケーションに対象を拡大し、これまでに200人以上が1100件を超す問題を報告。うち730件について総額41万ドル以上の賞金を進呈し、報告者の厚意によって1万9000ドルは慈善事業に寄付したという。
遂にｷﾀ - .∵･(ﾟ∀ﾟ)･∵. - ｯ!!大事なGoogleアカウントを堅牢に守りきる2段階認証プロセス日本語版がとうとう有効になりました！ - 適宜覚書-Fragments
遂にｷﾀ - .∵･(ﾟ∀ﾟ)･∵. - ｯ!!大事なGoogleアカウントを堅牢に守りきる2段階認証プロセス日本語版がとうとう有効になりました！ Googleアカウントは、Googleのサービスを使う上でとても重要です。各種のサービスの利用設定はもとより、そこで蓄積したデータの管理はアカウントに紐づけられています。これは裏を返せば、アカウントの認証情報を取られてしまうと被害が甚大となります。Google側としてもこれを認識してユーザに認証情報を保護するよう啓蒙してきました。 でも、それには限界があって詐取に対する有効な手段として、今年2月に2段階認証プロセスが採用されました。日本語版も7月末に公開されたものの携帯電話でのコード受信が利用出来ず形だけのものとなっていました。恐らくは12月上旬ひっそりですが、とうとうこの機能が利用可能になりましたので導入プロセスを以下に紹介します。 【重要】
Googleのセキュリティ機能「二段階認証プロセス」が日本語に対応
2月に米国でスタートしたGoogleアカウントの二段階認証プロセスが日本語を含む40カ国語に対応した。Googleの各種サービスのセキュリティが強化される。 米Googleは7月28日（現地時間）、2月に発表したGoogleアカウントの二段階認証機能を、日本語を含む40カ国語、150カ国以上に対応させたと発表した。日本語のスタートガイドも用意された。 同機能はオプトインで提供され、有効にするとログインの際にユーザー名とパスワードに加え、ユーザーが登録した電話番号宛てにテキストメッセージなどで送られてくるワンタイム認証コードを入力しないとアクセスできないようになる。これにより、Googleの各種サービスのセキュリティはかなり強化されることになる。 この機能を利用するには、Googleアカウント設定ページの「セキュリティ」の「2段階認証プロセスを使用する」のリンク先で設定する。認証コードを受け
グーグル、「DOM Snitch」をリリース--危険なサイトを検出
Googleは米国時間6月21日、ブラウザ内で実行すると危険なウェブサイトソフトウェアについて警告を発する「DOM Snitch」というオープンソースツールをリリースした。 同ソフトウェアはウェブサイトコードの実行方法を調べて、コマンドの実行がウェブブラウザ経由でマルウェアをコンピュータに配布するクロスサイトスクリプティングのような攻撃につながるかどうかを確認する、実験的な「Google Chrome」拡張だ。 GoogleのセキュリティテストエンジニアであるRadoslav Vasilev氏はブログ投稿で、DOM Snitchを利用することにより「開発者やテスターはクライアント側のコードによく見られる、危険な慣行を特定できるようになる」と述べた。同氏は次のように説明している。 われわれはこれを可能にするため、（例えば）document.writeやHTMLElement.innerHTM
Google、2ステップ認証でサインイン・セキュリティを強化 | ネット | マイコミジャーナル
米Googleは2月10日(現地時間)、Googleアカウントのサインイン・プロセスにオプションとして2ステップ認証を用意することを明らかにした。有効にすると、これまでのユーザーネーム(メールアドレス)とパスワードに加えて、ユーザーの固定電話または携帯電話にGoogleから送られてくる認証コードの入力が求められる。 利用するには、まずアカウント設定ページの「Security」下の「Using 2-step verification」から登録する。必要なのは電話番号2つ。1つは認証コード受取用、もう1つは電話の紛失や故障によってアカウントにアクセスできなくなるのを防ぐためのバックアップ用になる。完了するとGoogleアカウントのサインインにおいて、パスワード認証後に認証コード入力画面が表示されるようになる。2ステップ認証においても、認証を30日間保持するオプションの選択が可能だ。 ユーザーネ
グーグル、深刻な脆弱性は60日以内に修正するようベンダー各社に要請 - セキュリティ - ZDNet Japan
Googleはソフトウェアメーカーに対し、深刻な脆弱性の修正に60日という期限を設けるよう求めるとともに、期間内に修正されない場合はGoogleが脆弱性の情報を公開すると警告している。 Googleのセキュリティチームは、米国時間7月20日付のブログ投稿の中で、同社がソフトウェアベンダーとの間で定めている「行動規則」（rules of engagement）に加えた変更点を説明した。この行動規則は、同社がベンダー各社に脆弱性を報告する方法とタイミングについて定めたものだ。同チームは、セキュリティの専門家が「責任ある開示」のポリシーに従うことは、必ずしもエンドユーザーにとって最善の策にならないと主張している。このポリシーの下では、脆弱性は非公開のままベンダーに報告され、報告した側の研究者は、当のセキュリティホールが修正されるまで詳細情報を一般に公開せず待つことになる。 Googleのセキュリ
Google、ユーザーのAndroid端末からアプリをリモート削除
Android Marketの利用規約に基づいて、セキュリティ研究者が配布した無用なアプリをユーザの端末からリモートで削除したことを明らかにした。 米Googleは6月23日（現地時間）、ユーザーのAndroid端末にインストールされた2本の無料アプリをリモートで削除したと公式ブログで発表した。 削除したのは、セキュリティ研究者が調査目的でAndroid Marketに登録したもので、不正な利用はできず、個人情報の収集もしない。ダウンロードを促すためにアプリの用途がごまかされていたが、ダウンロードしたユーザーのほとんどはアプリが役に立たないことに気づいて削除したという。 アプリを投稿した研究者が自主的にAndroid Marketから当該アプリを削除した後、同社はこれらのアプリを完全に抹消するためにリモートアプリ削除の実行を決定した。 Android Marketのサービス利用規約には、開
Windowsのヘルプとサポートセンターに脆弱性--報告したグーグル社員に非難の声も
Googleのエンジニアが米国時間6月10日、「Windows XP」の脆弱性を公表し、さらにそのエクスプロイトコードを公開した。Microsoftは5日間の修正期間しか与えらなかったことに対し、Microsoftや外部のセキュリティ研究者らは、Microsoftが推奨している責任ある開示の慣習に従っていないとして非難した。 Tavis Ormandy氏は5日、顧客にテクニカルサポートを提供するオンラインの「Windowsヘルプ」および「サポートセンター」機能に脆弱性が存在することを、Microsoftに報告した。その後同氏は10日に、「Full Disclosure」セキュリティメーリングリストへの投稿において、脆弱性の詳細を公表し、概念検証用のコードを公開した。 同氏は、「動作するエクスプロイトなしで（本件を）報告すれば、無視されていたであろうことを指摘したい」と記してから、同氏の行動
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
TechCrunch | Startup and Technology News
ggsoku.com
グーグルが目指す「パスワードに代わる認証方法」