世界のメールの暗号化はたった一人の男に依存しており、開発資金はゼロになってしまっているという衝撃の事実が判明
世界中のジャーナリストやセキュリティ関連に敏感な人、さらにはエドワード・スノーデン氏のような内部告発者までもが使用している、無料のメール暗号化ソフトウェアが「GNU Privacy Guard(GPG)」です。この暗号化ソフトを1997年からたった一人で開発してきたのがヴェルナー・コッホ氏で、彼が置かれている厳しい現状をProPublicaが明かしています。 The World’s Email Encryption Software Relies on One Guy, Who is Going Broke - ProPublica http://www.propublica.org/article/the-worlds-email-encryption-software-relies-on-one-guy-who-is-going-broke ソフトウェアエンジニアのコッホ氏がGPGの開
インターネットの根幹「DNS」に根本的欠陥が見つかる(dragoner) - 個人 - Yahoo!ニュース
このJPRSの発表に対し、この欠陥を発見した中京大学の鈴木常彦教授、前野年紀氏は「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」を懸念し、下記のブログ記事等でこの問題の危険性を訴えています。 この問題はインターネットの根幹に関わるものですが、どんな問題を孕んでいるのでしょうか。それを理解するために、まずはDNSの仕組みから見て行きましょう。 DNSの仕組みとDNSキャッシュサーバDNSとはインターネットの根幹に関わる仕組みで、目的のサーバにアクセスする為の重要な役割を持ちます。簡単に説明すると、"http://www.example.jp"というURLのサイトを見たい場合、それを管理するサーバのインターネット上の住所（IPアドレス）が必要になります。そこで、DNSサーバに上記URLのラベル（ドメイン）に相当する"www.example.jp"を管理するサー
IPAが注意喚起をしたApache Struts2の脆弱性CVE-2014-0094について調べてみた。 - piyolog
Apache Struts2の脆弱性についてIPAが注意喚起を4月17日に掲載しました。 Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) Apache Struts 2 Documentation S2-020 ニュース - Apache Struts 2の脆弱性対策が急務、攻撃プログラムが出回る：ITpro Apache Struts2に脆弱性攻撃の恐れ、IPAが緊急勧告 - ITmedia エンタープライズ 検証コードが既にインターネット上で公開されていること、そして悪用が比較的容易であることから、ここではS2-020のClassLoaderが操作されてしまう脆弱性CVE-2014-0094について調べた結果をまとめます。 １．検証環境の準備 検証にあたり、Apache Struts2の環境のメモです。Struts2を動かすだけであれば
DoSの踏み台にされているJPドメインのWordPressをまとめてみた - piyolog
Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW
CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ - めもおきば
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
なんという無理ゲー…… あまりにも巧妙すぎるスキミング手口が「絶対気付かない」と話題に
クレジットカードやキャッシュカードなどの情報を勝手に読み取る「スキミング」。セブン銀行のスキミング被害が話題になっている一方で、その巧妙すぎる手口に対し、ネットでは「無理ゲーすぎる」「絶対気付かない……」といった声があがっています。「自分は大丈夫」と思っている人、このまとめを見てもそんなことを言っていられますか？ 【画像あり】ATMはホントに安全？精巧過ぎるスキミングの実態 まとめではさまざまなスキミングの手口を画像で紹介。例えばいきなり無理ゲー感漂いまくりなのがこちらのケースです。 一見普通のATMに見えますが、実は本物のカード挿入口をすっぽりと覆う形で、偽物のカード挿入口をかぶせてあるという仕掛け。“この画像を見て「あれ？」と思わない人は被害にあいそうです”とありますが、すいません、まったく気付きませんでした……。 パンフレット入れにカメラを仕込んで操作を盗み見したり、偽物のテンキーを
NICOSパスワード8文字切り詰め制限祭りまとめ
NICOSカードのパスワードがなぜか8桁に切り詰められた、元々9桁以上に設定していた人が知らずにログインしようとして失敗して大変な目に遭っているようです。
「魔法少女まどか☆マギカ」アプリに脆弱性……Twitterアカウントをそのまま保存 | RBB TODAY
IPA（独立行政法人情報処理推進機構）セキュリティセンターおよびJPCERT/CCは1日、Androidアプリ『魔法少女まどか☆マギカiP for Android』に、情報漏えいの脆弱性があることを、JVN（Japan Vulnerability Notes）において公表した。 「魔法少女まどか☆マギカiP for Android」は、バンダイナムコゲームスが提供するゲームアプリ。画面をタッチすることで、登場キャラクターがさまざまなリアクションを見せるほか、アラームボイス／目覚ましボイス機能にも対応する。 Twitterへの投稿にも対応していたが、ユーザーの入力したTwitterアカウント情報が、とくに暗号化などされず、平文（そのまま読める形）でログファイルに出力されてしまうことが明らかとなった。そのため、Android端末のログ情報を閲覧する権限のあるアプリケーションによって、Twitt
恐怖！あなたのネット履歴がぜ〜んぶ丸見え！？
●更新日 ０７／０７● 恐怖！あなたのネット履歴がぜ～んぶ丸見え！？ 友達や会社のPCを使ってネットをやった際、ついうっかりエロサイト的なところを見てしまい、サイトの履歴を消して証拠隠滅を図ったことがある人は多いだろう。 これが履歴 ここで消す しかし！実はこの「履歴のクリア」機能を使っても、 完全に証拠隠滅できない場合があるのです そう、あなたが会社や自宅でこっそり見た後、履歴を消去したと思って安心していた、あーんなサイトやこーんなサイトが見れてしまうかもしれない方法が実はあるのです！！ 確かにIE上で履歴は消えているのだが、何故か、見れてしまうその恐怖の方法。 消した履歴を見るのは、とっても簡単。 まずはEXCELを立ち上げて、 適当なセルを右クリックして、「ハイパーリンク」を選択。 次にリンク先から、「ファイル、Webページ」をクリックし、「ブラウズしたページ」を選ぶだけで、 消した
職場のパソコンは“監視”されているm9( ﾟдﾟ) お前らまさか2ちゃんとか見てないよな？マジでやめとけ : 暇人＼(^o^)／速報
職場のパソコンは“監視”されているm9( ﾟдﾟ) お前らまさか2ちゃんとか見てないよな？マジでやめとけ Tweet 1：名無しさん＠涙目です。(広島県)：2011/09/05(月) 20:40:11.25 ID:skRyWtD9P ゲーム使用、アダルトサイト閲覧が丸わかり。業務用パソコンは会社に“監視”されている ８月３１日、大阪市は勤務時間中に業務用パソコンでゲームなどをしたとして３２人を処分したと発表した。 市は昨年１２月に業務用パソコンの不正監視システムを導入、さっそく４人がゲームをしていたことが発覚し、 同年４月から１２月までの８ヶ月間についても調査したところ、最高で１１９時間ゲームをしていた職員もいたという。 もっとも重い処分を受けた課長代理（４８歳）は、ゲーム７８時間（８ヶ月間）に加え、０９年にも芸能人のサイトを見ていたという前科があった。処分は停職１０日間。これを聞いて、
2011年の「最悪なパスワード」トップ25発表、1位は「password」、米SplashData | ニコニコニュース
2011年の「最悪なパスワード」トップ25発表、1位は「password」、米SplashData @niftyビジネス ある種の分野では「最も人気がある」ことが、必ずしも望ましいわけではない。例えばインターネットサービスにログインするためのパスワードは、多くの人が使いたがるようなものほど見破られやすく危険だ。パスワード管理アプリケーションを開発する米SplashDataは、2011年の最もありふれた「最悪」なパスワード25種類をまとめている。ネット上で最もありふれたパスワードは「password」。さらにこれを1文字入れ替えた「passw0rd」も18位に入っている。単純な数字の羅列も人気で、例えば「123456」（2位）、「12345678」（3位）といった具合だ。キーボードの配列に基づく「QWERTY」（4位）や「qazwsx」（23位）もありがち。多少は謎めかせたつもりの「monk
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
Togetter - 「巫女テスター（17歳）、システムの致命的な欠陥を発見しサーバーごとシステムをシャットダウンした一部始終」
コミュニケーションが生まれるツイートまとめツール
Google、2ステップ認証でサインイン・セキュリティを強化 | ネット | マイコミジャーナル
米Googleは2月10日(現地時間)、Googleアカウントのサインイン・プロセスにオプションとして2ステップ認証を用意することを明らかにした。有効にすると、これまでのユーザーネーム(メールアドレス)とパスワードに加えて、ユーザーの固定電話または携帯電話にGoogleから送られてくる認証コードの入力が求められる。 利用するには、まずアカウント設定ページの「Security」下の「Using 2-step verification」から登録する。必要なのは電話番号2つ。1つは認証コード受取用、もう1つは電話の紛失や故障によってアカウントにアクセスできなくなるのを防ぐためのバックアップ用になる。完了するとGoogleアカウントのサインインにおいて、パスワード認証後に認証コード入力画面が表示されるようになる。2ステップ認証においても、認証を30日間保持するオプションの選択が可能だ。 ユーザーネ
Webコンテンツ作成関連端末ではソフトの“穴”を確実にふさごう
猛威をふるうGumblar系ウイルスに対して、多くのウイルス対策ベンダーではヒューリスティックな振る舞い検知によるウイルス検知や、WebアクセスのIPアドレス/ドメイン/URLによるレピュテーションなどの手法で対抗しようとしている。だが、現実にはまだまだ防御しきれていないのが現状だ。ウイルス対策ソフトだけでGumblarを防げるようになるには、少なくとも2～3年はかかると筆者は予想している。 結局のところ、Gumblarへの対策としては、ウイルス対策ソフトだけに頼らず、総合的にGumblar系ウイルスに対する攻撃の芽を、リスクが発現するポイントを見極めて一つ一つつぶしていくしかない。 Gumblarのリスクが発現するポイントで考えた場合、大別すると以下の4つのポイントでの対策が必要となる。 （1）Webコンテンツ作成関連端末の対策 （2）Webコンテンツ管理の対策 （3）Webサーバーでの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Androidのセキュリティが色々やばそうな件で(山本一郎) - 個人 - Yahoo!ニュース
人気サイトは“Heartbleed”パッチ済み、ただし以前に漏れた可能性も 
BLOGOS サービス終了のお知らせ
md5decrypt.org
IIS Windows Server