高木浩光＠自宅の日記 - 朝日新聞の記事を真っ当な内容に書き直してみた

■ 朝日新聞の記事を真っ当な内容に書き直してみた 朝日新聞の 強力ウイルス、ネット銀行標的 「感染なら防御策なし」, 朝日新聞, 2008年3月3日 という記事のことが、スラッシュドットジャパンで「意味不明だ」と話題になっていた。 朝日新聞の「感染なら防御策なしの強力ウイルス登場」報道を理解できますか？ , スラッシュドットジャパン, 2008年3月5日 まあ、朝日新聞のIT記事にしては良い出来ではないか。肝心の要点である以下の部分はきちんとおさえられていたから、私には何の話か理解できた。 ユーザーが振り込みをしようとすると、気付かないうちに振込先がウイルス作成者の口座に書き換えられ、振込金をかすめ取られるなどの被害を受けることになる。 しかし、この点がなぜ重要なのか、それが伝わらない記事だったのだろう。 このマルウェアが危険視される理由は、銀行側がこれまでにとってきた「二要素認証」の導入

[webmarksjp]

*security

[takunama]

"二要素認証がフィッシングやマルウェアによる攻撃を防止し切れないことは、技術系のセキュリティ屋からすればわかりきったことだった。" なるほど。考えたことがなかったけど、たしかにそうだ。

[okgwa]

「自宅研究員」には気づかなかった……。テキストの方はそうなってなかったので。画像の方もちゃんと読んだ人へのサービスなんだろか。

[ume-y]

この「俺俺新聞」、全部見てみたいなぁ。

[yoshihiroueda]

bogusnewsに使われそうだ。

[itochan]

ログインしている際に送金先を捻じ曲げるマルウェア。　「自宅研究員」に笑った　　追伸：CSRFって似てる？

[w2allen]

引用：しかし、二要素認証がフィッシングやマルウェアによる攻撃を防止し切れないことは、技術系のセキュリティ屋からすればわかりきったことだった。

[yosh0419]

とても分かりやすかった

[k12u]

たぶん本筋と関係ないけど「怪しいファイル」ではないな

[ardarim]

当時のZDNetの記事も、ターゲットにされた銀行数を強調するばかりのひどい内容だった。問題の本質を理解してないやつが多すぎる。http://japan.zdnet.com/sp/feature/07zeroday/story/0,3800083088,20364763,00.htm

[taitoku]

それにしてもこの高木先生ノリノリである

[ockeghem]

『せっかくなので新聞風にレイアウトしてみた』<うわっ、これはすごい。高木先生、ノリノリ/id:PoohKid 『やっぱHTTPSでもダメなのか』<暗号化の前に書き換えるのでSSLでは防御できないようで

[PoohKid]

「サイレント・バンカー」は「ユーザーと銀行の通信を乗っ取る」ことで「振込先をウイルス作成者の口座に書き換える」、これにより「二要素認証」が全く役に立たなくなる／やっぱHTTPSでもダメなのか？ id:ockeghem thx！

[RPM]

素晴らしい。新聞の記事は専門の人が書くわけじゃないから、知ってる人から見ると訳がわからないことが多いんですよね。間違ったことがそのまま書かれることもあるし。(そして訂正はなし。)

[cubed-l]

「二要素認証が回避されてしまうことがこの話の肝である。朝日新聞はそのことを書いていない。」この文章、もう少し前の方に書いた方が分かりやすくないかな

[TAKESAKO]

【これまで文系のセキュリティ屋がお経のように唱えてきた『パスワードを定期的に変更せよ』とかいう対策は何の防御策にもならない】

[poolmmjp]

これはいい

[NAT]

結局、安全は他人(記事の場合は銀行)任せでは不十分ということかな

[ukidousan]

笑い事じゃないけど俺俺新聞ﾜﾛﾀ

[nakag0711]

最後がケッサク

[onk]

これは非常に分かりやすい説明。朝日の記事はコレで良かったとホントに思うｗ / 「"銀行側で"できる対抗策がない」という書き方が重要なんじゃないかと思った。

[Untouchable]

朝刊太郎使ったのかな？と思ったらやっぱりそうだった。

[K-Ono]

おれがデスクだったら少なくとも「文系のセキュリティ屋がお経のように唱えてきた」は確実にトルツメですな。

[FTTH]

普通に良記事なんだけど、有識者コメントの醸し出す味が更に極上ｗ

[shodai]

　非常にわかりやすい記事をありがとうございます

[niceniko]

面白くて分かりやすい。これをそのまま朝日の記事にした方がいい。

[denken]

「Bruce Schneier氏も2005年の3月の時点で「銀行らは二要素認証で億単位の金をドブに捨てている」という批判をしていた。」

[takhasegawa]

「安全なファイルの開き方を学校教育で教えるべきだ」 まったくですｗ

[koma-tak]

訂正記事のがおもしろわかりやすい

[comzo]

口座番号の仕組みそのものがセキュリティホール。ユーザーの意図しない動作をするプログラムが実行可能な事がセキュリティホール。