新MacBook Pro（M3）でも機密情報が漏えい 2020年以降のApple製品全てに脆弱性 米国チームが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米ジョージア工科大学などに所属する研究者らが発表した論文「iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices」は、Mac、iPad、iPhoneなどのApple製品に搭載のSafariを標的としたサイドチャネル攻撃に関する研究報告である。 この攻撃は、最近発売されたM3チップを搭載した新型MacBook Proでも成功し、ソフトウェアの更新状況に関わらず、Apple製品にとって依然として脅威であることを示した。 「iLeakage」
macOSに備わる複数のセキュリティ層を突破してすべてのファイルを読み取ることができる脆弱性が発見される
Appleが開発するmacOSに用意されている複数のセキュリティレイヤーを突破し、Macに存在するすべてのファイルを読み取ったりウェブカメラを制御したりできる脆弱性を、オランダに拠点を置くサイバーセキュリティ企業・Computestの研究部門であるSector 7の研究者が発見しました。 Process injection: breaking all macOS security layers with a single vulnerability · Sector 7 https://sector7.computest.nl/post/2022-08-process-injection-breaking-all-macos-security-layers-with-a-single-vulnerability/ A Single Flaw Broke Every Layer of Sec
ほとんどのCPUからリモートで暗号化キーを奪取できる攻撃手法「Hertzbleed Attack」が発表される
アメリカの複数大学からなる研究チームが全てのIntel製CPUおよび複数のAMD製CPUを対象にしたサイドチャネル攻撃の新手法「Hertzbleed Attack」を公表しました。研究チームはHertzbleed Attackを用いることで攻撃対象CPUの暗号化を突破できると主張しており、IntelとAMDは対策方法をアナウンスしています。 Hertzbleed Attack https://www.hertzbleed.com/ ◆Hertzbleed Attackはどんな攻撃なのか Hertzbleed AttackはCPUが計算処理を行う際の消費電力を分析することで暗号化キーを奪取する攻撃手法です。消費電力の分析によって機密情報を盗み出す手法(単純電力解析)は古くから研究されていましたが、単純電力解析では攻撃対象の消費電力を高い精度で測定する必要がありました。しかし、今回発表されたH
macOS 13 VenturaやiOS 16ではCAPTCHAの代わりにPrivate Access Tokenを利用した証明が可能に。
macOS 13 VenturaやiOS 16ではCAPTCHAsの代わりにPrivate Access Tokensを利用した証明が可能になるそうです。詳細は以下から。 現在、ログインを必要とする多くのサイトで、ログインユーザーがボットではなく本当の人間かを判断するため、人間しか判定できない文字を表示して入力させたり、画像中から車や動植物、道路標識などの特定のオブジェクトを含むエリアを選択させる「CAPTCHA* (私はロボットではありません)」テストが利用されていますが、 *Completely Automated Public Turing test to tell Computers and Humans Apart (完全に自動化された、コンピューターと人間を区別する公開チューリングテスト) WWDC22の「Replace CAPTCHAs with Private Access
プライベートアクセストークン：オープンスタンダードでiPhoneやMacのCAPTCHAを排除する
本日、当社はプライベートアクセストークンを発表しました。これは、本物のユーザーがお客様のサイトを訪れていることを検証する、完全に不可視でプライベートな方法です。macOSまたはiOSの次期バージョンなど、これらのトークンをサポートするオペレーティングシステムを使用している訪問者は、CAPTCHAを完了したり個人データを提供することなく、自分が人間であることを証明できるようになりました。これにより、これらのユーザーに提供されるCAPTCHAのほぼ100%が排除されます。 これはどういうことなのでしょうか？ インターネットユーザーの場合： 当社は、お客様のモバイルWeb体験をより快適にすると同時に、他のネットワークよりもさらにプライベートなものにします。サポートされているiOSまたはMacデバイス(その他のデバイスは近日公開予定！)がCloudflareネットワークにアクセスする際にCAPTC
パスワードマネージャのLastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表。パスワードレスの時代にパスワードマネージャの存在意義はどうなるのか？
パスワードマネージャのLastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表。パスワードレスの時代にパスワードマネージャの存在意義はどうなるのか？ LastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表しました。 Passwordless is possible. Introducing Passwordless login by LastPass. The first password manager committed to a FIDO-supported #Passwordless future. Learn more: https://t.co/8UKhZPrkcZ pic.twitter.com/Nzk3F7payK — LastPass (@LastPass) June 6, 2022 We’ve joined
GitHub の OAuth 実装の仕様違反とセキュリティ上の考慮事項 - Qiita
本稿は GitHub Docs の "Authorizing OAuth Apps" ページに書かれている情報に基づいています。英語版はこちら → "Spec Violations in GitHub OAuth Implementation and Security Considerations" 仕様違反箇所 認可リクエストの response_type リクエストパラメーターがない。当パラメーターは必須である。RFC 6749 (The OAuth 2.0 Authorization Framework) Section 4.1.1 (Authorization Request) 参照。 トークンレスポンスのデフォルトフォーマットが application/x-www-form-urlencoded のようである。フォーマットは常に application/json でなければならな
HerokuのOAuthトークン流出で、やっておくといいことリスト（コメント大歓迎）
2022年4月16日(日本時間)にアナウンスがあった、Heroku/Travis-CIのOAuthトークンの流出および悪用を受けて、ユーザーとしてやっておくといいことをまとめました。 GitHubのOrganizationのオーナー向けと個人向けで分けてあります。 追記: 複数の補足のコメントを頂き、記事にも取り込んでいます。ありがとうございます！ 注意 執筆者はGitHub, Heroku, Travis-CIの専門家ではありません。この記事は誤っている可能性があります。 この記事は現在調査中の問題について書かれています。最新情報は必ず公式サイトをご確認ください。 GitHub Heroku Travis CI インシデントの概要 GitHubがHerokuとTravis-CIのOAuthアプリケーションに発行したトークンが流出・悪用したことで、それらの連携が有効だった多くのOrgani
RSAに対するフェルマー攻撃 - Qiita
はじめに（Introduction） RSAの鍵ペアの生成方法にミスがあり脆弱性となってしまった実装例があったようです。 元の文献を機械翻訳（ちょっと修正）してみます。 原文のデモをやってみたところ、案外動いたので先にデモを記します。 デモ（Demo） まずは、素数$p$と$q$を生成して$N$を求めるところです。 ※：鍵長が2048bitなので多少時間がかかります。 問題となったライブラリがこのようなロジックであったかは不明ですが、翻訳した資料を参考に作成しています。 import random as rnd import sympy key_length = 2048 distance = 10000 p = 0 q = 0 # 乱数Xを生成する。 X = rnd.randrange(2, pow(2, key_length)) for i in range(distance): #
脆弱性情報共有フレームワーク - MyJVN バージョンチェッカ
MyJVN にようこそ MyJVN は JVN iPediaの情報を、利用者が効率的に活用して頂けるように、 脆弱性対策情報を効率的に収集したり、利用者のPC上にインストールされたソフトウェア 製品のバージョンを容易にチェックする等の機能を提供する仕組み（フレームワーク）です。
スラッシュドット ジャパン | 正しいCSRF対策、してますか？
あるAnonymous Coward曰く、"最近WebアプリのCSRF脆弱性への対策が注目されていますが、30日に金床氏が「開発者のための正しいCSRF対策」という秀逸なテキストを発表してくれました。 Googleで「CSRF 対策」で検索すると高木浩光氏の「クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法」がトップに出てきますが、金床氏によると、この方法は誤った対策であり「CSSXSS脆弱性が知られている現在では、絶対に実施すべきでないもの」とのことです。この対策は、IPAの「情報セキュリティ白書2006年版」や「用語「CSRF」@鳩丸ぐろっさり (用語集)」ほか書籍などにも書かれており、金床氏は「記事の内容を訂正していただきたい」としています。スラドの開発者のみなさんはきちんと正しいCSRF対策をしていますか？"
招待されずに新はてなハイク(h2)を使う方法 - ぼくはまちちゃん！
深夜に… こんにちはこんにちは！！ 本日ひっそりとベータテストがスタートした 新はてなハイク ( http://h2.hatena.ne.jp/ ) なんだけど これって招待制らしくて、招待状が届かないことには中に入れないらしいんです…！ (アクセスしても http://h2.hatena.ne.jp/x に飛ばされるだけ) 残念… …と、思いきや…！ 招待されなくても中に入る方法が、ちゃんと用意されていたみたいなので、 ここで、わかりやすくお伝えしておきますね！ (もしかしたら朝には仕様変更されているかもしれないから、興味があるなら早めにやっておいた方がいいかも？) http://h2.hatena.ne.jp/(自分のID)/setting.body_type にアクセス 「からだをえらぶ」という画面になるので、適当なものにチェックをつけて「着替える」ボタンを押す あとは「マイページ」
パスワードとの闘い 目次
目次 パスワードとの闘い 現状の認証手法 認証ハードウェアの問題点 生体認証の問題点 パスワードの問題点 増井のWebサービス 増井のWebサービス 理想的な認証 実現要件 エピソード記憶の特徴 エピソード記憶を用いた認証 なぞなぞドア 問題の例 なぞなぞドアの問題点 画像認証 DéjàVu PassFace VisKey 画像選択によるなぞなぞ認証 画像選択方式の利点 画像選択方式の問題点 画像+テキスト選択によるなぞなぞ認証 本棚.orgの例 認証問題画面 認証を解いた後の状態 デモ: 本棚.org 認証問題作成 ユーザが作ったなぞなぞ ユーザが作ったなぞなぞ ユーザが作ったなぞなぞ 画像+テキスト選択の利点 偽答の生成 画像+テキスト選択の問題点 IQAuth.com mixiでの使用例 デモ: IQAuth.com IQAuthの実装 運用実績 その他の画像認証 まとめ End
Firefox Add-ons: Firefox 用の一般的なプラグイン
Why do Java, Silverlight, Adobe Acrobat and other plugins no longer work? Since Firefox version 52 was released March 7, 2017, installed NPAPI plugins have not been supported in Firefox, except for Adobe Flash Player. Some of the plugins that no longer load in Firefox, even though they may be installed on your computer, include Java, Microsoft Silverlight and Adobe Acrobat. End of Flash support: L
htmlspecialcharsのShift_JISチェック漏れによるXSS回避策
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2009年10月9日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり このエントリでは、PHPのhtmlspecialchars関数の文字エンコーディングチェック不備をついたクロスサイト・スクリプティング(XSS)脆弱性について、PHP側のパッチが提供されない状況での回避策について説明します。 何が問題か PHPにおいて、XSS対策にはhtmlspecialcharsによって記号をエスケープすることが行われますしかし、htmlspecialcharsを利用していても、Shift_JISの先行バイトを利用して、XSSが発生する場合があります。 例えば、以下のようなINPUTがあ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Pixelで編集した画像→元画像を復元できることが判明して騒動に。実証ツールも公開【やじうまWatch】
iPhoneから削除しよう！ 人気1位だったPDFアプリにマルウェアが潜んでいた | ライフハッカー・ジャパン
デロイト トーマツ コンサルティング合同会社が当社の秘密情報を漏洩した件（PDF） | イオン株式会社
[PDF]我が国の公的機関や企業等の偽サイトにご注意ください（注意喚起） / 令和4年6月15日 内閣官房内閣サイバーセキュリティセンター
指定した場所に動きがあった時だけ通知してくれる監視カメラアプリ「Vitamin D」 | ライフハッカー・ジャパン
