PyPIが二要素認証を義務付け OSSのリポジトリへの攻撃が相次ぐ
Python Package Index（PyPI）は、2023年末から全てのアカウントに対して二要素認証を義務付ける予定だ。近年、オープンソースソフトウェアのリポジトリを標的としたサイバー攻撃が目立っており、今回の対処はアカウントを乗っ取る攻撃を防ぐ意図がある。 プログラミング言語「Python」のサードパーティーソフトウェアリポジトリである「Python Package Index」（以下、PyPI）は2023年5月25日（注1）、同年末からWebサイト上でプロジェクトまたは組織を管理する全てのアカウントに二要素認証を義務付けると発表した。 Pythonは広く使われているプログラミング言語の一つだ。この義務化は、過去にPyPIユーザーを危険にさらしたアカウント乗っ取りを防ぐ目的がある。 2023年末にかけて、PyPIは二要素認証の使用に基づいて特定のWebサイト機能へのアクセスを制限す
Microsoft open sources its software bill of materials (SBOM) generation tool - Engineering@Microsoft
Microsoft open sources its software bill of materials (SBOM) generation tool We are excited and proud to open source our software bill of materials (SBOM) generation tool. A key requirement of the Executive Order on Improving the Nation’s Cybersecurity, SBOMs are lists of ingredients that make up software components, providing software transparency so organizations have insight into their supply c
経済産業省が「OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集」を公開
トヨタ自動車やソニー、オリンパスなどの事例を紹介 経済産業省は、2019年9月に「産業サイバーセキュリティ研究会ワーキンググループ1分野横断サブワーキンググループ」の下に設置した「ソフトウェア管理手法等検討タスクフォース」で、適切なソフトウェアの管理手法や脆弱（ぜいじゃく）性対応、ライセンス対応などについて検討している。その中で、オープンソースソフトウェア（OSS）について企業が多くの課題を抱えていることから、産業界での知見を共有する必要があるとして、OSSの管理手法などについて参考になる企業の取り組みをまとめ、「OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集」として公開している。 経済産業省は同事例集の目的を「OSSの適切な利用を促進すること」としている。OSSを利用する際に留意すべき点を整理し、トヨタ自動車やソニー、オリンパスなど、参考になる取り組みを実施している
バグの修正にかかる時間は年々短くなっている、一番修正が迅速なのはどこ？
Googleの脆弱性(ぜいじゃくせい)発見チーム「Project Zero」が2022年2月10日に、2019年から2021年の間に発見されたバグとその修正の実態についてのレポートを発表しました。これにより、脆弱性が発見されてからパッチがリリースされるまでの期間が大きく短縮されたことや、IT大手各社の中でもバグ修正にかかる時間に開きがあることなどが分かりました。 Project Zero: A walk through Project Zero metrics https://googleprojectzero.blogspot.com/2022/02/a-walk-through-project-zero-metrics.html 以下は、Project Zeroが2019年から2021年の間に発見したバグとその修正期間をまとめた表で、タイトル行の項目は左から「ベンダー」「バグの総数」「
Linuxの脆弱性修正はどのベンダーよりも早かった--グーグルのProject Zeroが発表
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2022-02-21 11:48 GoogleのセキュリティチームであるProject Zeroが発表したレポートで、Linuxの開発者が、Googleを含む他のどのベンダーも早くセキュリティバグを修正していたことが分かった。 レポートでは、2019年1月から2021年12月の間に報告された修正済みのバグについての数字を取り上げている。Project Zeroによれば、Linuxの脆弱性はわずか平均25日で修正されていた。それに加え、Linuxの開発者は、セキュリティホールの修正にかかる時間も大幅に短縮しており、2019年には平均32日かかっていたのに対して、2021年には15日にまで改善された。 この結果は、競合する他のベンダーよりもはるかに優れたものだ。例えば、Appl
元・Java専門記者がLog4j 2脆弱性に見た「複雑性と魔神のかけら」 Javaの歴史とバザールの矛盾
元・Java専門記者がLog4j 2脆弱性に見た「複雑性と魔神のかけら」 Javaの歴史とバザールの矛盾（1/6 ページ） Javaのライブラリ「Apache Log4j 2」に深刻な脆弱性が発見されたことは記憶に新しい。1カ月以上経過した現在も、注意喚起や新たな情報提供が続いている。問題は完全に収束したとはいえない。 今回の記事の主題は脆弱性対策ではない。「Javaの歴史的経緯と、今回騒ぎになっている脆弱性の話を、うまく1本の記事にしてください」という編集部のオファーに応じて書いたものだ。記事の半分は「元・Java専門記者のナイショ話」である。現実の情報システムへの対処が必要な方は、まず下記ページから最新情報をチェックしていただきたい。 IPA Apache Log4j の脆弱性対策について(CVE-2021-44228) Apache Log4j 2公式ページ Log4j 2で今回問題
日立、脆弱性検索エンジンを「MIRACLE Vul Hammer」に提供--OSSのセキュリティ対策強化
日立製作所（日立）は、高まるサイバー攻撃の脅威に対応するため、同社独自の「脆弱性検索エンジン」をサイバートラストの脆弱性管理ソリューション「MIRACLE Vul Hammer」に組み込む。これにより管理対象システムのオープンソースソフトウェア（OSS）利用情報と脆弱性情報を高い精度で照合し、脆弱性の有無を自動的に可視化・通知する機能を実現できる。 「MIRACLE Vul Hammer」は、大規模なシステムを管理・運用する企業向けに提供する、OSSやその他のソフトウェアの脆弱性管理を効率化するためのソリューション。サイバートラストは、日立の脆弱性検索エンジンを組み込んだMIRACLE Vul Hammerを販売開始している。 日立の脆弱性検索エンジンでは、脆弱性情報の標準的なフォーマットを学習させた最適化アルゴリズムを搭載することで、表記揺れを吸収するあいまい検索を可能とし、高い精度の照
グーグル、OSSの脆弱性を記述するための共通フォーマットを公開
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2021-06-28 12:41 業務改善の専門家であり、多くの著書を持つH. James Harrington氏は、「測定できないものを理解することはできず、理解できないものを制御することはできず、制御できないものを改善することはできない」と述べている。Googleはこの助言に従って、異なるオープンソースエコシステム間で脆弱性情報を交換するための統一的な脆弱性記述方式を導入することで、オープンソースのセキュリティを強化しようとしている。 これはとても重要な問題だ。基本的な問題として、現状では、脆弱性データベースが数多く存在しているにもかかわらず、脆弱性に関する情報を記述するための標準的な共通フォーマットが存在していない。このため、複数のデータベースの情報を集約しようとすれ
Googleがオープンソース脆弱性のデータベースをPythonやGoにまで拡大
オープンソースプロジェクトにまつわる脆弱性の問題を解決するため、Googleは脆弱性データベース「Open Source Vulnerabilities(OSV)」を構築しています。2021年6月24日付けの発表で、OSVが扱うオープンソースプロジェクトの範囲がPython、Rust、Go、DWFにまで拡大することが明らかになりました。 Google Online Security Blog: Announcing a unified vulnerability schema for open source https://security.googleblog.com/2021/06/announcing-unified-vulnerability-schema.html GitHub - google/oss-fuzz: OSS-Fuzz - continuous fuzzing fo
OSSを介したサプライチェーン攻撃、どうすれば防げるのか
オープンソースソフトウェアを介したサプライチェーン攻撃には十分な危険性がある。ソフトウェア開発者向けにどのような対策があるのか、WhiteSourceが解説した。 オープンソースセキュリティとライセンスコンプライアンス管理プラットフォームを手掛けるWhiteSourceは2021年6月10日（ポーランド時間）、オープンソースソフトウェア（OSS）を介したサプライチェーン攻撃の危険性に警鐘を鳴らし、ソフトウェア開発者がこうした攻撃を防ぐための9個の対策を紹介した。これがDevSecOpsの第一歩となるのだという。 ソフトウェア開発者がオープンソースソフトウェアを使用する際に特に注意しなければならない点がある。「npm」「PyPI」「RubyGems」といったパッケージ管理システムやソフトウェアリポジトリを用いてパッケージやライブラリをインストールしようとすると、それだけで悪意あるコードが仕込
「コミュニティーから放置されたオープンソース」を利用した商用ソフトウェアが多数 Synopsysが調査レポートを公表
Synopsysは2021年5月21日、2021年版「オープンソース・セキュリティ＆リスク分析レポート」（Open Source Security and Risk Analysis。以下、OSSRA）を公表した。それによると、セキュリティやライセンスといったオープンソースにまつわる問題がまん延しているという。 OSSRAは、SynopsysのBlack Duck監査サービス部門が1500以上の商用ソフトウェアのソースコードを調査し、同社のセキュリティ調査チーム「Cybersecurity Research Center」（CyRC）が分析した所見をまとめたもの。 Synopsysは「2021年版は、オープンソースソフトウェアがあらゆる業界にわたって使われている大多数のアプリケーションの根幹を担っていることを確認した。これらのソフトウェアには、オープンソースにまつわるリスクが潜んでいること
Google、OSSパッケージの依存関係を可視化した実験的サービスを発表
Googleが開発し、同名のWebサイトでホストするこのサービスは、開発者がオープンソースプロジェクトの構造や構成、セキュリティをよりよく理解できるよう支援することを目的としている。 新サービスを開発した背景についてGoogleは、「ソフトウェア開発プラクティスが近年進化し、分散機能開発によるコラボレーション開発やオープンソースパッケージ、サードパーティーパッケージの利用、ソフトウェアライブラリの公開メンテナンスが一般化している。その一因は、オープンソースソフトウェア（OSS）の広範な普及だ。だが、OSSは明確なメリットを提供する一方、問題もある」と述べている。 OSSの問題としてGoogleは、「変更のペースが速く、ついていくのが難しい場合がある」「大きなプロジェクトが依存するソフトウェアパッケージが頻繁にアップデートされ、明確な現状把握ができない場合がある」「こうしたパッケージの依存関
サイバーセキュリティ強化へ--Linuxとオープンソースコミュニティは大統領令をいかに支えるか
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 村上雅章 野崎裕子 2021-06-01 06:30 コンピューターセキュリティの問題など別世界の出来事で、日々の生活とは無縁のものだと考えていた人は、Colonial Pipelineに対する最近のランサムウェア攻撃によって米国南東部におけるガスや石油の流通が停止したという事件で目を覚まさせられたはずだ。サイバー攻撃に対する備えの不備は、SolarWindsソフトウェアのサプライチェーンに対する攻撃で既に大きな問題になっていたこともあり、米連邦捜査局（FBI）は脆弱性を抱えた「Microsoft Exchange」サーバーの修正に介入しなければならなくなった。そして米国時間5月12日、Joe Biden米大統領は連邦政府のサイバー防御能力をさらに強化するとともに、テクノロジーのセ
オープンソースソフトウェアの採用率は98％に拡大、脆弱性含む割合も増加の一途
オープンソースソフトウェアの採用率は98％に拡大、脆弱性含む割合も増加の一途：IoTセキュリティ（1/2 ページ） 日本シノプシスは、商用ソフトウェアにおけるOSS（オープンソースソフトウェア）の利用状況を調査した「2021年オープンソース・セキュリティ＆リスク分析（Open Source Security and Risk Analysis：OSSRA）レポート」の結果について説明した。 日本シノプシスは2021年5月21日、オンラインで会見を開き、商用ソフトウェアにおけるOSS（オープンソースソフトウェア）の利用状況を調査した「2021年オープンソース・セキュリティ＆リスク分析（Open Source Security and Risk Analysis：OSSRA）レポート」の結果について説明した。 同レポートは、企業買収時のソフトウェアの査定などを行っているBlack Duckの監
マイクロソフト、セキュリティ環境の検証ツールをオープンソースで公開
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftは、セキュリティチームが既知の攻撃シナリオを再現し、Microsoftの主なセキュリティ製品がどれだけ対応できるかをテストするためのオープンソースプロジェクト「SimuLand」を公開した。 SimuLandは、セキュリティ研究者がMicrosoft製品の守りをテストするための実験環境だ。研究者がこのフレームワークを使用すれば、「Microsoft 365 Defender」「Azure Defender」「Azure Sentinel」の攻撃検知能力をテストし、検証することができる。 Microsoftは、このプロジェクトの目的は、セキュリティチームが攻撃の手口を構成している行動や技術を理解し、攻撃者が取る行動の前提
AppleやMicrosoftも狙われる？ OSS「偽ソースコード」による侵入の手口
関連キーワード OSS | JavaScript | オープンソース | 脆弱性対策 | アプリケーション開発 | セキュリティホール オープンソースソフトウェア（OSS）を悪用した攻撃は、想像以上に簡単に成功する可能性がある。セキュリティ研究者のアレックス・ビルサン氏は、オンラインメディア「Medium」への2021年2月10日（現地時間）の投稿で、新しい攻撃手法を発見したことを発表した。 併せて読みたいお薦め記事 OSS活用のヒント いまさら聞けない「OSS」はなぜ魅力的で、なぜ手を出しにくいのか？ アプリ開発に適したOSSローコードプラットフォーム3選 OSSベースのオブジェクト、ファイル、ブロックストレージを一挙に紹介 システム開発におけるセキュリティ問題 最も脆弱性が多い言語は？ OSSの脆弱性は増大傾向 サイバー犯罪者のトレンドはJavaScriptを悪用したスキミング 気にな
Linuxカーネルへの意図的な脆弱性混入、ミネソタ大が証明してしまったリスク
Linuxカーネルの開発コミュニティーで、故意に悪意ある変更が提出されていたことが明らかになった。 Linuxカーネル開発者であり、Linux Foundationでフェローを務めるGreg Kroah-Hartman氏は2021年4月21日（協定世界時）、開発コミュニティーのメーリングリストへの投稿で、「ミネソタ大学の研究者らが悪意あることが分かっている変更をLinuxカーネルのソースコードにコミットしていたことが明らかになった」と伝えた。カーネル開発コミュニティーが悪意あることが分かっている変更を審査する能力があるかどうかを試すために、大学の研究者らが意図的に実行したものとされている。 Linuxカーネル開発コミュニティーは、安全を優先し、同グループから提出された変更は全て差し戻して確認し、有効な変更のみを再度コミットすると説明している。
Linuxカーネルに意図的にバグを混入したとして大学にコミュニティ出禁措置
オープンソースソフトウェアの脆弱(ぜいじゃく)性に関する論文の執筆のため、Linuxカーネルに既知のバグを含むパッチを送信したことを理由に、ミネソタ大学に対して「Linuxカーネル開発への貢献の禁止」、つまり出禁措置が行われました。 Linux bans University of Minnesota for sending buggy patches in the name of research [Update] - Neowin https://www.neowin.net/news/linux-bans-university-of-minnesota-for-sending-buggy-patches-in-the-name-of-research/ 問題となった論文は「On the Feasibility of Stealthily Introducing Vulnerabili
LinuxコミュニティからBANされたミネソタ大学が「信頼を取り戻すため努力する」とおわびの公開書簡を発表
「偽善者によるコミットでオープンソースソフトウェアに脆弱性が密かに導入される可能性について」という論文をめぐり、ミネソタ大学の研究グループがLinuxカーネルに脆弱性を含むパッチを送信していたことがわかり、LinuxコミュニティからBANされる事態となっています。 これについて研究グループからおわびの公開書簡が送られました。 An open letter to the Linux community - Kangjie Lu https://lore.kernel.org/lkml/CAK8KejpUVLxmqp026JY7x5GzHU2YJLPU8SzTZUNXU2OXC70ZQQ@mail.gmail.com/ 書簡は2021年4月24日付けで、「偽善者のコミット」に関する論文で用いた方法が不適切であったことを謝罪する内容です。 書簡では、研究はあくまでLinuxのセキュリティを向上さ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OSSのセキュリティリスクにはどう向き合う？ 「Log4Shell」脆弱性から学ぶ取り組み【海外セキュリティ】
