ランダムな文字列っぽい「ji32k7au4a83」というパスワードが大量のユーザーに使われていた理由とは？
by www.shopcatalog.com ユーザー認証などに使用するパスワードは外部から推測しにくいものが推奨されており、意味の通らない英字や数字の組み合わせはほかの人とパスワードがかぶりにくく、セキュリティが高いと思われがちです。しかし、エンジニアのRobert Ou氏は「ji32k7au4a83」という一見意味の通らないパスワードが多くの人に使われていることを発見し、「なぜこのようなランダムに見える文字列がたくさんの人に使われているのか？」という謎についてTwitterで発信しました。 Fun thing I learned today regarding secure passwords: the password "ji32k7au4a83" looks like it'd be decently secure, right? But if you check e.g. HIB
スマートキーの盲点突いた自動車窃盗「リレーアタック」 大阪でも被害（ABCテレビ） - Yahoo!ニュース
車のスマートキーの弱点を突いた自動車窃盗の新たな手口「リレーアタック」とみられる被害が、関西で初めて確認されていたことがわかりました。 リュックサックを前に抱えた人物。両手で電気コードのようなものを広げると、奥にある車のヘッドライトが点滅し、ドアのロックが解除されました。東大阪市で9月、男性（37）が自宅の前に車を止めていたところ、何者かに盗まれそうになり、警察に通報しました。捜査関係者によりますと、犯行グループは特殊な装置を使って、自宅の中に置いてあったスマートキーが発信する電波を家の外まで中継し、車のドアのロックを解除したとみられます。これは、ヨーロッパを中心に被害が広がっている「リレーアタック」と呼ばれる手口で、関西で、その手口を使ったとみられる盗難事件が確認されたのは初めてです。被害を受けた人は「ただただ、びっくりですよね。なんで開いたんや。なんで開けられたんやって」と話します。「
イープラス「チケット購入アクセスの9割がbotだった」――アカマイの検知システムで判明
アカマイ・テクノロジーズは8月23日、同社のbot検知システムをチケット販売サイト運営会社のイープラスに導入した結果、悪質なbotによるアクセスのブロックに成功し、チケット買い占め問題を改善できたと発表した。チケット購入のアクセスのうち9割超がbotだったという。 チケット販売サイト「e+」（イープラス）を運営するイープラスは、以前からチケットの転売目的と疑われるWebサイトへのアクセスに悩まされていた。これまで、難読文字や図形問題をユーザーに解かせる方法などを検討してきたが、難読文字は自動解析で突破されるためほぼ効果がなく、図形問題を提供する外部サービスも止まることがあったりと、期待する効果は得られなかった。 そこで、同社はキー入力やマウスの動きなどの振る舞いを機械学習してbotを検知・制御できるアカマイの「Bot Manager Premier」（BMP）を導入。BMPで、ある先行販売
セキュリティ人材で大切な資質とは--育成ブームに「苦言」
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます サイバーセキュリティの重要性が増す中で世界的にセキュリティ人材の不足が叫ばれ、人材育成がブームの様相を見せる。こうした状況に専門家がセキュリティ人材に求められる資質を説くとともに、育成ブームに苦言も呈している。 セキュリティテストなどのオープンソースコミュニティー「Institute for Security and Open Methodologies（ISECOM）」の共同創設者でマネージングディレクターを務めるPete Herzog氏は、7月に米Cylanceが運営するブログに投稿したエントリで、「本当に動物が好きでなければ、動物を管理する仕事をすべきではない。これはサイバーセキュリティにも当てはまる」と言及している。 同氏は、以
ダークウェブ界の大物、痛恨のミス 見えてきた“正体”
連載：知られざるダークウェブの世界 ダークウェブを調査・監視するホワイトハッカーのSh1ttyKids（してぃーきっず）さんが、知られざる「ネットの裏側」をレポートする。 著者：Sh1ttyKids（してぃーきっず） ダークウェブ上のサイトについて、調査・監視活動を行うホワイトハッカー。大麻販売サイトが秘匿するIPアドレスを探し当て、法執行機関へ提供するなどの実績を持つ。 過去の連載記事一覧 ダークウェブマーケットとは、接続経路匿名化ソフト「Tor」の機能である「Hidden Service」（秘匿サービス）を用いて構築された闇市場です。違法薬物や偽造パスポート、運転免許証、ハッキングのチュートリアルなどの商品が多数取引されており、その匿名性の高さが捜査を困難にしています。 一方で、米FBIやユーロポール、オランダ警察、英国家犯罪対策庁といった法執行機関はダークウェブ上の犯罪捜査で大きな成
再定義できない世界になりつつあるネットの新秩序 - 雑種路線でいこう
個人でEV SSL証明書が欲しい話 - Speaker Deckを読んで驚いたんだけど、いつの間にかFirefoxにはEVSSL証明書のルート認証局がハードコーディングされて、それを書き換えるにはブラウザをビルドし直す必要があるらしい。（というかリビルドしても追加した証明書でアドレスバーが緑色にならなかったみたい。何が足りないのかな？）ルート証明書そのものは後から足せるのだが敢えてハードコードした理由は想像できる。ルート証明書なんて後から侵入者なりマルウェアが簡単に足すことができるし、現にそういった攻撃はこれまで行われてきたからだ。 ついでにFirefoxが近々DHCPで降ってくるDNSを信用するのを止めて、DNS over HTTPSでCloudflareに問い合わせるという。これもまたDNS履歴を監視する国だとか、日本も含めてWeb検閲のためにDNSをいじってる国があって、そういった影
「Firebaseの脆弱性で1億件超漏洩」の真相とは？ #Firebase #FJUG - Qiita
tl;dr 開発者の責任 ただし，もう少しFirebase自身でも対策の余地があるのは確か 発端：某メディア記事 合計1億件以上の個人情報がFirebaseの脆弱性によって公開状態に https://gigazine.net/news/20180625-firebase-vulnerability-data-loss/ このような記事が見受けられた． 一体どのような脆弱性だろうと当該記事を見てみると，このような表現が目につく； データを適切に保護できないという脆弱性 Firebaseデータベースの認証が適切に行われていないときに顕在化 アプリ開発者によるデータ格納の保護が不完全なときに情報が露出 しかしこれらからは，サービス側の問題なのかアプリ開発者側の問題なのかが不明瞭である． 原文プレスリリース そこで原文プレスリリースを確認してみると，このように記載されている； https://ww
高木浩光＠自宅の日記 - 魔女狩り商法に翻弄された田舎警察 Coinhive事件 大本営報道はまさに現代の魔女狩りだ
■ 魔女狩り商法に翻弄された田舎警察 Coinhive事件 大本営報道はまさに現代の魔女狩りだ 前回の日記（6月11日23時46分公開）の件はその後、以下のように展開した。 6月12日 他人PCで仮想通貨獲得 了解得ず「採掘」初立件 神奈川県警など,*1 毎日新聞, 6月12日朝刊 仮想通貨マイニング（Coinhive）で家宅捜索を受けた話, モロ@ドークツ, 6月12日9時43分 Coinhive設置で家宅捜索受けたデザイナー、経緯をブログ公開 「他の人に同じ経験して欲しくない」, ITmedia, 6月12日12時17分 仮想通貨「無断採掘」疑い サイト運営者を書類送検,*2 共同通信, 6月12日20時45分 Police to press charges over cryptocurrency 'mining' of computers without consent, The M
フォントの形を変えて情報を隠ぺいする技術「FontCode」--文字は文字に隠せ
コロンビア大学の研究チームは、テキスト情報を密かに保存する手段として、情報隠ぺい技術（ステガノグラフィ）「FontCode」を開発した。何らかの物を人目につかなくしたい場合、“木は森に隠せ”などと言われるが、同チームの考案した技術は“文字を文字に隠す”手法である。 FontCodeは、任意の文章を利用し、その文章を構成するフォントの形状を微妙に変えることで別の情報を文章内に埋め込む技術。フォントの形状変化はわずかで、元文章の内容は改変されないため、見ただけでは情報が隠されていることなど分からないという。 隠したい情報は、ASCIIまたはUnicodeでビット列に変換し、さらに整数情報へと変換する。そして、この整数値を利用してフォントの形を変えることで、情報を埋め込む。隠ぺいした情報は、変形済みの文章をスキャナやスマートフォンのカメラで画像として取得し、フォント本来の形状と比較すれば取り出せ
覆された常識、CSVファイルでウイルス感染
テキストファイルは開いても安全――。情報セキュリティの常識だ。ところが、その常識が覆された。テキストファイルの一種であるCSVファイルを使った標的型攻撃が国内で確認されたのだ。CSVファイルを開いただけでウイルス（マルウエア）に感染する恐れがある。CSVファイルも危ないファイル形式の一つだと認識すべきだ。 CSVファイルとは、表の要素などをカンマや改行を使って記述したテキストファイルのこと。CSVはComma Separeted Valueの略である。ファイルの拡張子はcsv。CSVファイルの中にはテキストの情報しかない。 だが、拡張子がtxtなどのテキストファイルとは大きく異なる点がある。初期設定（デフォルト）でExcelと関連付けられている点である。Excelをインストールすると、ユーザーが設定変更しなければ、CSVファイルが関連付けられる。つまり、CSVファイルをダブルクリックするな
セキュリティの話題に丸腰で踏み込んでくる人を見た - hnwの日記
Qiita上で「ゲームでよくされるチート手法とその対策 〜アプリケーションハッキング編〜」という記事がいいね数を集めているようですが、全セクションにツッコミどころがあるような印象です。私はセキュリティ本職というわけではありませんが、素人の私から見てもひどいと思ったところだけ個別にツッコミを入れてみます。 念のため補足しておくと、誰であろうと情報発信すること自体は大変良いことです。ただ、誤りを含んだ文章がウッカリ注目されてしまうとそれを信じてしまう人も出てくるので、大人げないと思いつつツッコミを入れる次第です。 デコンパイル(逆コンパイル) 2.の詳しい解説として、C/C++で記述されたコードをコンパイルすると機械語に変換されます。これを逆コンパイルしても、逆アセンブラまでにしかなりません。そのため、この状態ではソースコードの中身を解析するのは(人間では)非常に困難なため、ネイティブコードで
ゲームでよくされるチート手法とその対策 〜アプリケーションハッキング編〜 - Qiita
ゲーム、特にソシャゲ、ネトゲにおいて様々なハッキング(チート)が実際に行われます。 大きく分類すると、アプリケーションハッキング(クライアントサイドでのハッキング)とネットーワークハッキング(サーバーへのハッキング)とその他のハッキングがあります。 多くはエンジニアがよくやらかすバグであったり、知識(経験)不足を狙ってくるものです。 今回は内容のボリュームの関係上、アプリケーションハッキングについてのみ、実際によく行われるチート行為やその方法、対策などについて中心に挙げていきたいと思います。 ボタン連打 何が起こる? コスト(課金石など)を払うことなく無限にアイテムが増殖する。 やり方 上記のような「ボタン」を連打する。 データベースの排他制御(トランザクション + ロック)を行う。 連打ができないように一度ボタンを押したら処理が完了するまで押せないようにする。 具体例・解説 1.について
AMD製CPUに「重大な」欠陥 悪用でPC乗っ取りも
中国・上海で開かれた見本市で米半導体大手AMDのカウンターに立つ訪問客。IMAGINECHINA提供（2013年7月25日撮影、資料写真）。(c)WENG LEI / IMAGINECHINA 【3月14日 AFP】イスラエルの情報セキュリティー企業CTSラボ（CTS Labs）は13日、米半導体大手アドバンスト・マイクロ・デバイス（AMD）の最新CPUやチップセットに、コンピューターやネットワークの乗っ取りに利用される恐れがある欠陥が見つかったと明らかにした。 今年初めには、米インテル（Intel）製のCPUにも「スペクター（Spectre）」や「メルトダウン（Meltdown）」と呼ばれる同様の脆弱（ぜいじゃく）性が見つかり、コンピューターセキュリティーをめぐる懸念が広まっていた。 CTSが公表した20ページの報告書によれば、今回見つかった欠陥は13件で、問題の製品は一般消費者向けの製
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性報奨金制度で認定されづらいテキストインジェクション
バグだらけのWebアプリケーションをDjango 2（Python 3）で実装してみました - Qiita
「パスワード不要」な未来が、もうすぐやってくる
「Emotet」の大規模感染を阻止した人工知能のしくみ – 日本のセキュリティチーム - マイクロソフト
Engadget | Technology News & Reviews
[PDF]WEB予約サービス不正アクセスに関する調査報告書（解析編） | 2018年3月28日 九州商船株式会社
高梨陣平's tweet - "テスラのAWSが乗っ取られ件、k8sがPWで保護されていなかった。k8sのpodからS3のアクセスキーが取得可能だった。また犯人はマルウェアの取得をCloudFlareを介することでIPを隠し、マイニングには通常と異なるポートを利用し、mining poolもpublicなものを利用せずCPU使用率も絞り隠蔽に努めた。 " - Trendsmap