日経XTECH曰く「SSL証明書の発行者がLet's Encryptならまず詐欺」 | スラド セキュリティ
技術系メディアの日経クロステック (xTECH) が 4 日に公開した「偽サイトもアドレス欄に鍵マーク、証明書を確認してフィッシング詐欺を見抜こう」という記事が問題になっているので共有したい (はてなブックマーク)。 問題になっているのは、現代では SSL の有無だけで本物かどうか判断できないため証明書の種類を見るべきだとする以下のような記述。 このうち詐欺で悪用されるのがDV証明書。「Let's Encrypt」という認証局では無料で発行しており、フィッシング対策協議会によれば、一部の例外を除いて大半のフィッシングサイトでこの証明書が利用されているという。大手企業が利用するケースは考えにくい。ブラウザーの証明書ビューアーで、発行者が「Let's Encrypt」ならまず詐欺なので用心しよう。
Windows 10、望ましくない可能性のあるアプリケーションを既定でブロックへ | スラド セキュリティ
Microsoft が Windows 10 の望ましくない可能性のあるアプリケーション(PUA) 対策に関するサポート記事を更新し、8 月からコンシューマー向け環境で PUA のブロックを既定で有効にする計画を明らかにした(Microsoft のサポート記事[1]、 [2]、 BetaNews の記事、 Softpedia の記事)。 PUAのブロックは Windows 10 May 2020 Update (バージョン 2004) で「Windows セキュリティ」に追加された。エンタープライズ向けの環境では既定で有効になっているものもあったそうだが、コンシューマー向けの環境では有効化が推奨されるのみで既定では無効となっていた。 既定値の変更後に PUA のブロックを無効化したい場合は、Windows セキュリティの「アプリとブラウザーコントロール→評価ベースの保護→評価ベースの保護設
ソースコード流出事件を受けて、GitHubの監視サービスがスタート | スラド セキュリティ
githubにアカウントを持っているとソースコードが検索できます．無料アカウントでも利用できる機能です． 例えば com.nttdata.nttdatanotificationservice という文字列を含むjavaのソースコードを探したいなら - ブラウザで github.com を開いて - ログインして， - github.com の検索窓に 「com.nttdata.nttdatanotificationservice extension:java language:java」という文字列を入力 - 検索ボタンを押す だけです これで該当するファイルの一覧が確認できます これは以下のURLをブラウザで開いたことに相当します．(注意：github.comへのログインが要求されます) https://github.com/search?q=com.nttdata.nttdatanot
年収を査定してもらうためとして、SMBC証券の業務コードを公開していたことが発見される | スラド セキュリティ
近年ではGitHubと連携するサービスが多々あるが、あるユーザーが「GitHubのコードで年収を査定してくれるサービスを使うため」という理由で、手元にあった会社のソースコードをそのままpublicリポジトリにアップロードして放置してしまい、それが発見されるという事件があり大騒ぎになっている（Togetter、経緯のまとめっぽいツイート）。 発端となったのはゲームを巡るTwtter上での炎上事件だったようで、炎上した結果個人情報などが調べられた末に、28日夜にGitHubに会社のコピーライト表記が入ったソースコードが公開されているのが判明。慌てた周囲の人が本人に問い合わせるも「それ単体では動かない」「商用利用していない」「GitHubは非公開にした」「デフォルトで公開になるとは思ってなかった」「コードから推定年収を計算してくれるサイトを使うために、手元にあったコードをすべてアップした」「どこ
Broadcom社がSymantecエンタープライズ製品販売の制度・価格変更を通知。大幅な値上げへ | スラド セキュリティ
ストーリー by nagazou 2020年11月05日 15時05分 3倍値上げでもうまくいくと思ったのだろうか 部門より 職場でEndpointセキュリティ製品として「Symantec Endpoint Protection」を使用している。2021年度の予算検討で販売代理店からSymantec Endpoint Protectionの見積もりをとろうとしたところ、販売代理店を通じ、2019年8月にSymantec社を買収したBroadcom(以降、ブロードコム)社から以下のような通知があった（Microsoft）。 「製品販売の制度ならびに提供価格の変更」(抜粋) 1.価格表やルールの刷新 2.追加契約や更新契約の廃止。全て新規買い直しへ変更 3.これまでの継続的な特別価格提供の廃止 ※上記の変更に伴い、ブロードコム社による個別の販売店さまおよびお客さまとの交渉の実施、ならびに特別価
Web会議サービスZoomに対し複数の脆弱性があるとの指摘、暗号化への懸念の声も | スラド セキュリティ
ストーリー by hylom 2020年04月03日 8時00分 いきなりクライアントをインストールさせるのはやばいでしょ 部門より Anonymous Coward曰く、 新型コロナウイルスの感染拡大による外出自粛を受けて、オンラインでのミーティングを行えるビデオチャットサービスが注目されている。その1つに「Zoom」があるが、このZoomに対しセキュリティ面での懸念の声が出ている。 その1つに、通信内容の暗号化に関するものがある。Zoomの公式サイトには、すべてのミーティングはエンドツーエンド（E2E）で暗号化されると明示されているものの、The Interceptによると、実際にはエンドツーエンドでの暗号化は行われていないという（ITmedia、Slashdot）。 エンドツーエンド暗号化の定義としては、暗号化された情報を復号できる鍵は利用者（クライアント）のみが所有することになって
本来アクセスできないメモリ領域のデータを読み出せる可能性がある脆弱性が見つかる、多くのCPUに影響 | スラド セキュリティ
どうも報道規制があるようでよく分からないのだが、少なくとも現行のIntel製CPUに脆弱性があり、カーネルメモリをユーザプロセスやWebページに組み込まれたJavaScriptなど様々なユーザ空間プロセスから読み出せる可能性があるようだ（4chan.org、TechCrunch）。対策としてLinuxカーネルやWindows NT系OSにおいてカーネルメモリ空間へASLRの導入がひっそりと進んでおり、Amazon、Google、Microsoftなどクラウドサービス事業各社は大規模なアップグレードを早いところでは来週にも計画している。 影響される利用形態はVPSにとどまらずデスクトップも含まれるが、対象のハードウェアがIntel Coreシリーズプロセッサやその一部で収まるのか、Core 2 Duoやそれ以前、またVIA Technologiesなど他社へ拡張されるかは不明だ。AMDは自社
英政府、Windows XPの有料サポートを550万ポンドで契約 | スラド セキュリティ
英国政府は4月8日でサポート期間の終了するMicrosoft製品について、セキュリティー更新プログラムの提供を受けることのできる12か月間のカスタムサポート契約を約550万ポンドでMicrosoftと結んだそうだ(Crown Commercial Serviceのニュースリリース、 Custom Support、 Computer Weeklyの記事、 本家/.)。 カスタムサポートの対象となるのはWindows XP SP3/Office 2003 SP3/Exchange Server 2003 SP2。政府機関および地方行政機関、教育機関、国民健康サービス(NHS)の使用するパソコンで「緊急」および「重要」とされる更新プログラムを2015年4月14日まで利用できるという。対象となるパソコンが250台以上の場合はMicrosoft Premierを通じてサービスを利用する。250台未満
Windows XPのサポート終了に向けて何か準備している？ | スラド セキュリティ
IT関連の仕事をしている人のほとんどがご存じの通り、Microsoftは2014年4月8日でWindows XPのサポートを終了する。このことはかなり前から告知されていたにもかかわらず、Windows XPは現在もホームユーザーの間で比較的高いシェアを保っており、ATMも当面はWindows XPを使い続けることになるものが多い。企業やユーザーの多くはコストに見合う利点がなく、現在動いているシステムを変更する理由がないなどとしてアップグレードをためらっている。このように残されるWindows XPの安全性をできるだけ保つにはどうすればいいだろう。最新のパッチを適用し、ファイアウォールやユーザーアカウントの設定を確認するのは言うまでもないが、セキュリティー製品の変更は効果があるだろうか。 大阪信用金庫の調べ(PDF)によれば、大阪府内および兵庫県尼崎内の取引先企業の46%が現在もWindow
産総研などがPCやサーバーに装着するだけでセキュリティを強化できるハードウェアを発表 | スラド セキュリティ
独立行政法人産業技術総合研究所（産総研）と技術研究組合制御システムセキュリティセンター（CSSC）が、「装着するだけで重要データを防御するセキュリティバリアデバイス（SBD）」を発表している。（プレスリリース）。 発表されたのは、マザーボードのSATAポートやUSDポート、イーサネットポートといったI/Oポートと、そこに接続するデバイスの間に接続するデバイス。今回の発表によると、「SATAポートに接続される記憶装置と本体の間にSBDを割り込ませることで、ディスクのブロック単位の保護に加えてファイル単位での読み出しや書き込みの保護を行うことに成功した」という。OSの種類を問わず、またデバイスドライバーなどのソフトウエアをインストールする必要もなくマルウェアの攻撃からデータを保護できるという。 SBDではストレージに対する読み出しや書き込みといったアクセスを中継することでセキュリティを強化する
ntpdを使った大規模なDDoS攻撃が確認される | スラド セキュリティ
2014年1月14日に公開された、NTPの問題を利用したDDoS攻撃（"JVNVU#96176042）を使った大規模攻撃が確認されている模様（@IT）。 問題とされているのは、ntpdが管理用に提供しているmonlist機能。monlistによる問い合わせでは、234バイトの問い合わせパケットに対し数十〜数百倍のパケットを返送するとのことで、送信元を偽装したmonlistリクエストをntpdに送付することで、ターゲットに膨大なトラフィックを流すことができるという。 また、さくらのVPSやさくらのクラウド、さくらの専用サーバーなどで稼働しているntpdを使ってこの攻撃を行う例が多く確認されているとしてさくらインターネットが注意喚起を行っている。
「ECカレント」や「特価COM」に不正アクセス、クレジットカード番号などの流出の可能性 | スラド セキュリティ
ストリームが運営する通販サイト「ECカレント」「イーベスト」「特価COM」が不正アクセスを受け、購入者の決済情報が流出した可能性があるそうだ(プレスリリース: PDF、 ECカレントのプレスリリース: PDF、 イーベストのプレスリリース: PDF、 特価COMのプレスリリース: PDF、 NHKニュースの記事)。 昨年11月にクレジットカード会社から不正使用の連絡を受けて調査を行ったところ、昨年9月28日から12月8日の間に各サイトから商品を購入した顧客の決済に関する情報が侵入者に閲覧可能な状態だったという。流出した可能性があるのは購入者氏名、メールアドレス、クレジットカード情報(カード番号と有効期限)。ただし、特価COMではクレジットカード情報の漏えいはないとのこと。同社では脆弱性を修正し、不正アクセスおよび個人情報漏えいを防止する措置を行ったとのことだ。 ECカレントや特価COMは価
スパムを送信する冷蔵庫が確認される | スラド セキュリティ
さまざまな機器をネットに接続できるようにする「モノのインターネット（Internet of Things）」が、スパムやマルウェアの温床になっているそうだ（slashdot、日経ITpro）。 BBCの記事によると、スパムを送信する冷蔵庫が発見されたという。冷蔵庫だけで無く、スマートTVやルーターなどさまざまなガジェットがスパム送信に使われていたという。スパム攻撃が確認されたのは昨年12月23日から今年1月6日の間で、トータルで75万通のメッセージが送信されていたそうだ。調査によるとその25％はPCやスマートフォンを経由せず、感染したガジェットから送信されていたという（元ネタのproofpoint記事）。
シマンテック曰く、「冷蔵庫はスパムを送っていない」 | スラド セキュリティ
先日、「スパムを送信する冷蔵庫が確認される」という話題があったが、これに対しシマンテックが「冷蔵庫は無実だ」と述べている（シマンテックのブログ、@IT）。 シマンテックの調査では、スパムの送信元では無く、「たまたま同じネットワーク上にあったWindows PC」だったという。シマンテックは「NATやポート転送のため、冷蔵庫がスパムを発信しているように見えた」と述べている。シマンテックがスパムの送信元IPアドレスを調査したところ「エンターテインメントシステムやその他の家庭用デバイスに到達した」ことが難度もあったそうだが、それはたまたまルーターを介して同じPCと同じグローバルIPアドレスを共有していただけだという。
セキュリティーソフトの大半が今後2年以上Windows XPをサポート | スラド セキュリティ
Microsoftのセキュリティー製品では2015年7月までWindows XPをサポートすることが話題となったが(/.J記事)、AV-TESTの調べによると4月9日以降も2年以上Windows XPのサポートを継続するセキュリティーソフトメーカーが多いようだ( AV-TESTの記事、 ITmediaニュースの記事)。 29社中15社はサポート終了時期を明らかにしていないが、少なくとも2年間はサポートを継続する。サポート終了時期を明らかにしているのは13社だが、このうち2016年4月以前にサポート終了時期を設定しているのは5社のみ。ただし、Bitdefenderは企業向け製品のサポートは2017年1月までとしているが、個人向け製品では2016年1月までとなっている。一方、Symantecでは製品がWindows XPをサポートするとしており、サポート終了時期は未定とのこと。最も早くWind
パソコンの電源鳴きから4096ビットのRSA秘密鍵が解析される | スラド セキュリティ
イスラエル・テルアビブ大学の研究チームが、GnuPGが暗号文を処理する際に変化するパソコンの「電源鳴き」を取り込んで処理することで、4096ビットのRSA秘密鍵を1時間以内に解析できたそうだ(RSA Key Extraction via Low-Bandwidth Acoustic Cryptanalysis、 論文PDF、 Hack a Dayの記事、 本家/.)。 多くのCPUでは与える命令や結果によって消費電力、発熱、発するノイズなどが変化し、これを観察することで実行中の命令やデータを外部から推測することができる(サイドチャネル攻撃と呼ばれる)。通常この攻撃はスマートカードや小さなセキュリティチップなどに対して行われるが、このチームでは過去に処理するRSAキーによってPCの発する音が変化することを発見していた。 今回の実験では主に高感度マイクを標的PCの排気口に向け、アンプやデータ収
「企業内のプライベートネットワークは安全である」という神話 | スラド セキュリティ
Googleが「企業ネットワーク」という考え方を終わらせようとしている、という話が本家slashdotで取り上げられている（Google's Plan To Kill the Corporate Network、元ネタのSCMagazine記事）。 タイトルだけ見るとなにやらよく分からないが、話としては「企業内ネットワークは安全」という考え方はやめよう、ということのようだ。Googleが考えているのは、従来の企業ネットワークの概念を廃止し、暗号化されていないアメリカの無料WiFiネットワークのような「ゼロトラストモデル」へ移行すること。ゼロトラストモデルについてはdarkreading、マイナビニュースの記事が詳しい。 Googleでこのプロジェクトに関わるHarald Wagener氏は、「現在、多くの人が当てにしている、ファイアウォールやゲートキーパーは役に立ちません。こうした周辺機器
/.Jに聞け：経産省のシステム管理基準、使ってる？ | スラド セキュリティ
４．プログラミング（４） （1）プログラム設計書に基づいてプログラミングすること。 （2）プログラムコードはコーディング標準に適合していること。 （3）プログラムコード及びプログラムテスト結果を評価し、記録及び保管すること。 （4）重要プログラムは、プログラム作成者以外の者がテストすること。 などだ。いまどきプログラム設計書など作ったことなどないし、納品物として求められたこともない。そもそもプログラム設計書とは何を指すのだろうか。少し大きめの業務システムならクラス数が1000や2000を超えてしまうだろう。それをいちいち設計書を作成せよ、と言っているのだろうか。 世の中のシステム会社は、本当にこの管理基準に従った開発をやっているのだろうか？
セキュリティ専門誌「ハッカージャパン」、休刊 | スラド セキュリティ
白夜書房発行のセキュリティ専門誌「ハッカージャパン」が、現在発売中の2013年11月号をもって休刊となることが発表された（HackerJapan休刊のお知らせ）。最終巻となった11月号は奇しくも創刊15周年記念号で、これからの発展が期待される雰囲気だっただけに突然すぎる休刊発表である。 同誌は1998年発行で、ネット系雑誌の中ではかなりの古株。セキュリティ専門誌と銘打っているが、昔はクラッキングやソフトウェアの違法コピーなどアングラ寄りの話題が多く、敬遠される向きも強かった。 しかし最近は、セキュリティ絡みの話題が社会的に注目されていることもあり、最新数号の特集記事を挙げてみても、フォレンジック・無線LANハッキング・ペネトレーションテストなど、先進的な内容が多かった。また、世界各地のセキュリティイベントのレポート記事や、セキュリティ関連の連載などに読み応えある記事も多く、セキュリティ業界
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Windows XPを安全・快適に使い続けるための本」が話題に | スラド セキュリティ