スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ | スラド セキュリティ
スマートホームカメラ「ATOM Cam」を開発・販売するATOM Tech（アトムテック）は6月12日、同社の提供する「ATOM – スマートライフ」アプリ（Android版、iOS版）において、事前の説明と異なる目的で位置情報を利用していたことを謝罪し、位置情報の利用を停止した修正版のアプリを公開した（ATOM Techのニュースリリース）。 発端は5月29日、Googleのソフトウェアエンジニアである河本健氏がAndroid上でのパケットキャプチャにより、同アプリが起動時に端末の緯度・経度をアトムテックのサーバーに送信していることを発見したことに始まる。 同アプリでは事前に「スマートフォンのWi-Fi情報を取得するため」として初期設定時に位置情報の取得の許可を求めていたが、そのために位置情報を送信する必要性を同社に問い質したところ、実は「ユーザーのタイムゾーンを判定するため」という回答
英国家サイバーセキュリティセンター、用語「whitelist」「blacklist」を使用中止へ | スラド セキュリティ
英政府通信本部(GCHQ)の国家サイバーセキュリティセンター(NCSC)は4月30日、サイバーセキュリティ用語としてこれまで使用してきた「whitelist」「blacklist」の使用をやめ、「allow list」「deny list」へ置き換えることをブログで発表した(NCSCのブログ記事、 The Registerの記事)。 現在、サイバーセキュリティの現場では「許可」「不許可」を示す用語として「whitelisting」「blacklisting」が普通に使われている。しかし、これは「white」を良い、「black」を悪いと結び付けた場合にのみ意味を成す表現であり、「allow list (許可リスト)」「deny list (不許可リスト)」と表現する方が明確だ。用語の置き換えはサイバーセキュリティから人種差別を取り除くのにも役立つという。 このような用語置き換えをする計画は
セキュリティソフトウェアの多くが当面はWindows 7をサポート | スラド セキュリティ
MicrosoftはWindows 7の延長サポート終了後もMicrosoft Security Essentialsにウイルス定義ファイルの更新を提供すると発表しているが、AV-TESTのまとめによるとサードパーティー製セキュリティソフトウェアの多くが当面はWindows 7のサポートを継続するそうだ(AV-TESTのニュース記事、 BetaNewsの記事、 On MSFTの記事、 Ghacksの記事)。 ベンダーの多くはWindows 7の具体的なサポート終了時期を発表しておらず、TotalAVが少なくとも1年間、F-Secure/McAfeeが少なくとも2021年12月まで、AhnLab/AVG & Avast/Bitdefender/BullGuard/Carbon Black/ESET/FireEye/G Data/Ikarus/K7 Computing/Kaspersky/Mi
「セキュリティフォント」なる仕組みが考案される | スラド セキュリティ
WFrontierという企業が、「セキュリティフォント」なるソリューションを提案している。 セキュリティ研究家の高木浩光氏が面白おかしく紹介しているこの商材は、日本語フォントのグリフIDを雑に入れ替えたものとみられる。「コピーすると文字化けしてしまう」「暗号化したまま検索できる」などと宣伝されているが、解読は容易で特別な技能も不要のようだ。カエサルに返した方が良いのではないだろうかと思うが、スラドの諸賢はどうお考えだろうか。 この「セキュリティフォント」は、各文字に対してASCIIやUnicodeで規定されているのとは異なるコードポイントを割り当てることで、表示上は意味のあるように見えるがシステム的には本来とは異なるデータとして扱われる、というもののようだ。
旧バージョンのIEは2016年1月にサポート終了、何か対策してる？ | スラド セキュリティ
Internet Explorer(IE)の旧バージョンは、すべて2016年1月12日でサポートが終了する。引き続きサポートを受けるには、Windowsがサポートする最新版のIEに更新する必要がある(The Registerの記事、 IEBlogの記事、 マイクロソフトサポートライフサイクル[1]、 [2])。 Windows 7 SP1ではIE 8～11をサポートするが、1月12日以降はIE 11のみがテクニカルサポートや更新プログラム提供を受けられる。また、Windows Vistaの場合はIE 9のみがサポート対象となる。Windows 8.1 Update/10は標準でIE 11が搭載されているため問題ない。 Windows 8については1月12日でOS自体のサポートが終了するので、IEのバージョンとは関係なく、引き続きサポートを受けるにはWindows 8.1にアップグレードする
キヤノンのプリンタでDOOMを実行するデモ | スラド セキュリティ
かつて人気を博したid softwareのFPSゲーム「DOOM」を、キヤノンのプリンタ上で実行するデモが発表された（ITmedia、BBC、この手法を詳しく解説しているblog）。 プリンタセキュリティ研究者が、プリンタのセキュリティ問題を実証するために行ったもので、使われたのはPIXMA MG6450という機種。日本ではPIXUSというブランドで販売されているものだと思われる。このモデルには液晶モニタが搭載されており、CPUとしてARM、そして10MBのメモリが搭載されているそうで、コードさえ送り込めればちょっとしたコンピュータとしてそのまま利用できるようだ。 今回のデモでは、インターネット経由でのファームウェアアップロードを行う際、プロクシサーバーと細工を行ったDNSサーバーを組み合わせて独自に作成したファームウェアをプリンタに取り込ませたという。また、ファームウェアはXORを使った
次善の策として「パスワードの使い回し」を容認するというアイデア | スラド セキュリティ
使用する「パスワードはすべて異なるものにする」というのはセキュリティの常識だが、パスワードの設定が必要となるシーンが増えてくると、サイトごとのパスワードを全て覚えておくのも非常に面倒だ。そこでこれへの対策として、次善の策として「たとえ破られたとしても損失の少ないアカウント」に対してはパスワードの使い回しを許容するという案がMicrosoftとカナダのカールトン大学の研究者らによって提案されている（ITmedia）。 さらに、パスワード管理ソフトの使用やクラウドを使ったデータの保存についても、そのソフトやクラウドのマスターパスワードが推測されたり漏洩した場合の損害が大きいことから、注意するように警告を出している。
GoogleがOpenSSLをフォークした「BoringSSL」を公開 | スラド セキュリティ
GoogleがOpenSSLをフォークし、「BoringSSL」として公開した(ImperialVioletブログの記事、 Ars Technicaの記事、 本家/.)。 Googleは何年もの間、OpenSSLに数多くのパッチを当てて使用していたという。一部のパッチはOpenSSLのメインリポジトリに取り込まれたが、大半はAPIやABIの安定性の問題があるなどの理由で取り込まれていなかった。AndroidやChromeなどの製品はパッチの一部を必要とするが、パッチは70以上もあるために作業が複雑になっていたそうだ。そのため、OpenSSLをフォークして、OpenSSL側の変更をインポートする方式に変更したとしている。BoringSSLは近いうちにChromiumのリポジトリに追加される予定で、いずれAndroidや内部的にも使われるようになる。ただし、BoringSSLではAPIやABI
MS、Windows XPセキュリティ製品向けアップデートを2015年7月まで延長 | スラド セキュリティ
Microsoftは同社のセキュリティ製品のWindows XP向けサポートを2015年7月14日まで延長することを発表したそうだ（TNW、slashdot）。 MicrosoftはWindows XPのサポート終了を2014年4月8日に設定し、その後一切のアップデートやサポートは提供しないとしていた。しかしこの度同社のセキュリティ製品に関してはWindows XP向けのアップデートを2015年7月14日まで延長することが発表されたとのこと。 これはエンタープライズカスタマに関してはWindows XP向けのSystem Center Endpoint Protection、Forefront Client Security、Forefront Endpoint Protection及びWindows Intuneのアップデートが継続されることを意味する。また個人ユーザに関してはMicro
パスワードがなくなる日、当分の間はやって来ない | スラッシュドット・ジャパン セキュリティ
IBM は昨年末、恒例の未来予測で「パスワード不要化」を挙げていたが (/.J 記事) 、カナダのカールトン大とマイクロソフトの研究者によれば、音声や顔認識、指紋、網膜認証といったものがパスワードに取って代わることは当分の間はないだろうとのこと (IEEE Security&Privacy Magazine の予稿[PDF]、本家 /. 記事より) 。 これまでパスワードはいずれなくなるものと考えられていたため、パスワードそのものにはこの 20 年間、何も進歩がみられなかった。一方、生体認証や PKI などパスワードに取って代わろうとした他の認証方法は、費用対効果、即時性、利便性といった点でパスワードには勝てなかったとしている。また、多くのシチュエーションにおいてパスワードの利用がふさわしいということを踏まえ、代わりとなる他認証方法を求めてさらに 20 年を無駄にすることはやめ、セキュリテ
サーモグラフィーで暗証番号を盗む手法に関する一考察 | スラド セキュリティ
カリフォルニア大学サンディエゴ校の研究者が暗証番号を入力したキーパッドに残った熱をサーモグラフィーで読み取ることで暗証番号を盗み取る手法を検証した (Naked Security の記事、本家 /. 記事、論文 PDFより) 。 21 人のボランティアを対象として 27 種類のランダムな暗証番号を入力してもらい、指が接触した後の余熱を熱探知カメラを用いて計測する。実験はプラスチック製のキーと金属製のキーとで行われた。金属製のキーでは押されたキーを追跡できるほどの余熱を計測することはできなかったが、プラスチック製のキーの場合、触れたあと 10 秒以内であれば 80 % の確率で暗証番号を特定することができ、45 秒後であっても 60 % の確率で特定することができたという。 熱探知カメラはまだまだ高価であるが、利用時の設置も隠蔽も簡単に行えるため、その見返りを考えればこの手法が利用される余地
コンピュータウィルス 40 歳 | スラド セキュリティ
今年は世界初のコンピュータウィルス Creeper が出現してから 40 年となるそうだ (Help Net Security の記事、本家 /. 記事より) 。 1970 年代に ARPANET に出現したから Creeper から最近猛威を奮った Stuxnet まで、40 年の間にマルウェアは様々な形に進化を遂げてきた。1990 年には 1,300 であったマルウェアインスタンスの数は 2000 年には 50,000 を数え、そして 2010 年には 2 億を超えたとされている。 数だけでなく、ウィルスの目的も年月を掛け変化してきた。元々はプルーフ・オブ・コンセプトとして開発されるのが主だったが、その後 Geek が悪ふざけに利用するようになり、そして犯罪目的で使われるようにもなった。2005 年にはコンピュータウィルスは収益目的で利用されるようになり、現在のウィルスは複雑なビジネス
Anonymous、サイバー攻撃の次はファックスマシン攻撃 | スラド セキュリティ
WikiLeaks 擁護派ハッカー集団 Anonymous が、WikiLeaks と距離を置くことにした企業に対して仕掛ける次の戦略は、アナログ的なファックスマシン攻撃であるとのこと (Netcraft の記事、本家 /. 記事より) 。 Anonymous が「Leakflood ミッション」と銘打った新攻撃戦略では、アマゾンやマスターカード、Moneybookers、PayPal、Visa、Tableau Software に対し、大量のファックスを一日中送信し続けるよう呼びかけている。攻撃の開始を 13 日の午後 1 時 (GMT) とし、14 日の午前 4 時まで続けるよう指示している。 呼びかけのメッセージには、「敵は、我々の戦略に適応してきている。だが、所詮は動きの鈍い官僚的な奴らだ。我々はもっと素早く戦略を変更できる」とあり、今後、更にどのような手法で攻めてくるのか見物であ
無料のウイルス対策ソフトトップ5 | スラド セキュリティ
ストーリー by hylom 2010年12月02日 18時02分 家庭ではもう有料セキュリティソフトはいらない？ 部門より PCWorldが、無料のウイルス対策ソフトに関する評価を行っている。 無料で利用できるウイルス対策ソフトはいくつかあるが、記事ではAvast Free Antivirus 5、Avira AntiVir Personal Free AntiVirus 10、Microsoft Security Essentials 1.0、Panda Cloud Antivirus 1.0、Comodo Internet Security Premium 5.0をトップ5に挙げ、どれも比較的好意的な評価を述べている。 ここまで無料ソフトの性能が上がると、有料のウイルス対策ソフトはもう不要、という気もしてくる。 トップのAvast Free Antivirus 5については、「素晴ら
キヤノンの最新ドキュメント管理システムはキーワードで複製ブロックが可能 | スラド セキュリティ
キヤノンの最新のドキュメント管理システム「Uniflow 5」は、特定のキーワードを含んだドキュメントの複製や出力を防ぐことができるそうだ (iTnews の記事、本家 /. 記事より) 。 Uniflow はプリンタやスキャナ、コピー機やその他多機能端末を中央管理できるシステムとのことで、Uniflow サーバとキヤノンの Uniflow 対応イメージデバイスから構成される。最新のバージョンではキーワードによるセキュリティ機能が搭載されており、管理者によって設定されたキーワードを含む書類の印刷・スキャン・コピー及びファックスを防ぐことができるとのこと。 例えば設定されたプロジェクト名やクライアント名などのキーワードが含まれるドキュメントの複製等を行おうとすると、そのドキュメントの PDF コピーが作成され管理者にメールが送られるとのこと。ユーザにはキーワードを明かさずに、「処理がブロック
米 TSA 職員、スキャン装置に映し出された性器のサイズをからかわれ同僚を攻撃 | スラド セキュリティ
「全身透視スキャナー」に映し出された性器のサイズをからかわれたことに腹をたて、米運輸保安局 (TSA) 職員が同僚を攻撃したそうだ (本家 /. 記事より) 。 米マイアミ国際空港に勤める Roland Negrin 氏 (44) が職場トレーニングの一環として全身透視スキャナーを通ったところ、性器が小さいとからかわれたという。Negrin 氏はその後従業員駐車場で同僚にひざまずいて謝るように言い、警棒で腕と背中を殴ったとされている。翌日出勤してきた Negrin 氏は加重暴行の罪で警察に逮捕された。 Negrin 氏曰くからかいは日常的に行われていたとのことで、「(からかわれるのに) 耐えられなくなり、我を忘れてしまった」とのことだ。
人生を記録する「ライフ・レコーダー」 | スラド セキュリティ
本家/.にて、身の回りで起きる出来事を記録する「ライフ・レコーダー」が紹介されている（ネタ元：Schneier on Security）。 セキュリティ・スペシャリストのBruce Schneier氏曰く、ライフ・レコーダーは自分の身の回りで起きる出来事を記録できる小型のセキュリティ装置で、襟元に装着し、1年あたり200GBの音声と700GBの動画を記録するという。これを装着していれば、攻撃的行為を仕掛けてくる人がいたとしても全て記録されるという。このアイデアは自身のブログの2006年のエントリ「消えゆくプライバシー」にて初めて言及したそうで、このような装置が普及した場合、これを身に付けずに外出すると「連絡が取れないように携帯電話を意図的に持っていかなかった」かのように「悪事を働く意図があった」ように見なされるのだろうか？と読者に投げかけている。 Schneier氏はまた、「技術の進歩は止
Google バズはフルネームの公開がデフォルト | スラド セキュリティ
Google Buzz の記事につけられたコメントでも言及されていたが、Google のプロフィールページで「検索して見つけてもらえるようにフルネームを表示する」という項目が勝手にチェックされている。また iPhone から Google Buzz を利用した場合、Google Buzz の起動時に位置情報の利用するかどうか尋ねられ、許可した場合はすべての Buzz (つぶやき) に位置情報が付与される (ITmedia News の記事より)。 この件が各所で話題となったためか、Google Japan は Blog 記事にてフルネームを公開しない方法および iPhone で位置情報を添付しない方法について説明している。
パスワード管理の秘策は？ | スラド セキュリティ
ストーリー by hylom 2009年11月13日 13時52分 最もよろしくないソリューション「全部同じパスワードにする」 部門より 最近自分のセキュリティに関して再考している。万が一ノートPCが盗まれた場合のことを考えると、Firefoxに自分の銀行サイトなどのパスワードを保存しておくのは良案とは思えない。またパスワードを全て覚えておくというのは、最近の記憶力の衰えた自分の脳みそにはなかなか厳しいのが現状だ。パスワード管理ツールの導入も検討したが、あまりに多くのツールが出回っていて正直把握しきれない。Firefoxのアドオンの「Magic Password Generator」などは良さそうだが、アドオンを入れていないコンピュータを使うこともあるかもしれないし、Firefoxで使う以外のパスワードも管理したい。 出来ればアプリケーションやブラウザ、また端末依存でなく、持ち運びしやすく
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
人工知能の進化で変形文字「CAPTCHA」が解除可能に | スラド セキュリティ