日経XTECH曰く「SSL証明書の発行者がLet's Encryptならまず詐欺」 | スラド セキュリティ
技術系メディアの日経クロステック (xTECH) が 4 日に公開した「偽サイトもアドレス欄に鍵マーク、証明書を確認してフィッシング詐欺を見抜こう」という記事が問題になっているので共有したい (はてなブックマーク)。 問題になっているのは、現代では SSL の有無だけで本物かどうか判断できないため証明書の種類を見るべきだとする以下のような記述。 このうち詐欺で悪用されるのがDV証明書。「Let's Encrypt」という認証局では無料で発行しており、フィッシング対策協議会によれば、一部の例外を除いて大半のフィッシングサイトでこの証明書が利用されているという。大手企業が利用するケースは考えにくい。ブラウザーの証明書ビューアーで、発行者が「Let's Encrypt」ならまず詐欺なので用心しよう。
IDとPWのみでのGoogleアカウントへのログインが5月30日に終了。サードパーティ製アプリなどに影響 | スラド セキュリティ
もとの告知がいつ行われたのかはハッキリしないのだが、Googleは5月30日にユーザー名とパスワードのみでGoogle アカウントにログインする「安全性の低い」アプリとデバイスに関するサポートを終了するそうだ（安全性の低いアプリと Google アカウント）。これだけだと分かりにくいが過去記事に書かれたコメントによれば、同日以降はアプリ側でOAuth 2.0への対応が必須になるという意味だそうだ。OAuth 2.0非対応のメーラーなどを利用している場合は対策が必要になる。昨年話題となった秀丸メールでの対策事例が参考になると思われる（窓の杜）。 なお、Googleの告知ではAppleデバイスに関する注意も記載されている。Google側の説明によると、Appleデバイス上でユーザー名とパスワードのみを使用しているユーザーが最近ログインしていない場合、2月28日以降はGoogleアカウントの種類
スマートフォンの指紋認証、快適に利用できてる？ | スラド セキュリティ
Google Pixel 6 / 6 Pro はディスプレイに指紋センサーを内蔵しているが、さまざまな問題が報告されているようだ。 指紋認証の遅さについて Google は強化されたセキュリティアルゴリズムにより時間がかかると説明する一方、Reddit では他の人の指紋で認証されたとの報告もみられる。また、バッテリー切れで電源が落ちた後に再起動すると指紋センサーが機能しなくなり、端末を初期化するしか復旧の方法がないとの報告も出ている。 個人的には1か月ほど前に塩素系漂白剤を素手で触ってしまって以来、主に使用しているシャープとソニーの端末で指紋認証がごくまれにしか通らない状況が続いている。スラドの皆さんはスマートフォンの指紋認証を快適に使用しているだろうか。
Broadcom社がSymantecエンタープライズ製品販売の制度・価格変更を通知。大幅な値上げへ | スラド セキュリティ
ストーリー by nagazou 2020年11月05日 15時05分 3倍値上げでもうまくいくと思ったのだろうか 部門より 職場でEndpointセキュリティ製品として「Symantec Endpoint Protection」を使用している。2021年度の予算検討で販売代理店からSymantec Endpoint Protectionの見積もりをとろうとしたところ、販売代理店を通じ、2019年8月にSymantec社を買収したBroadcom(以降、ブロードコム)社から以下のような通知があった（Microsoft）。 「製品販売の制度ならびに提供価格の変更」(抜粋) 1.価格表やルールの刷新 2.追加契約や更新契約の廃止。全て新規買い直しへ変更 3.これまでの継続的な特別価格提供の廃止 ※上記の変更に伴い、ブロードコム社による個別の販売店さまおよびお客さまとの交渉の実施、ならびに特別価
note、Internet Archiveで保存できなくなる、古いドメインはブロック | スラド セキュリティ
Internet Archiveからnote関連のキャッシュがまるごと消えてしまったそうだ（5ちゃんねるの書き込み）。新たな登録もできないという。noteの以前のドメインであるnote.muに関しても完全にブロックされているとのこと。 5ちゃんねるのInternet Archive総合スレの書き込みによると、8月上旬まではnote.comドメインのキャッシュが共有されていたという。8月に発生したnoteのIPアドレス流出事故の後に対処されたのではないかとしている。実際にnote.comのrobots.txtを見るとInternet Archiveとウェブ魚拓のクロールを拒否する記述がされている。 あるAnonymous Coward 曰く、
不正疑惑の出ていたトレンドマイクロのドライバ、Windows 10 May 2020 Updateでブロック対象に指定される | スラド セキュリティ
先日、トレンドマイクロ製品のドライバでWindowsの「ドライバーの検証ツール」実行の有無をチェックするコードが見つかるという話題があったが、これを受けてMicrosoftはWindows 10においてこのドライバの実行をブロックする対応を行ったとのこと（Register、ITPro）。 報道によると、問題のドライバである「tmcomm.sys」が、Windows 10 20H1（May 2020 Update）にてブロック対象のドライバリストに入れられており、これによってこのドライバやこれを利用するトレンドマイクロの「Rootkit Buster」ソフトウェアは動作しなくなるとのこと。 MicrosoftはWindows向けソフトウェアやハードウェアに対し、適切に動作していることを検証する「WHQL」という認定プログラムを提供している。トレンドマイクロの問題のドライバは、そのための要件と
セキュリティソフトウェアの多くが当面はWindows 7をサポート | スラド セキュリティ
MicrosoftはWindows 7の延長サポート終了後もMicrosoft Security Essentialsにウイルス定義ファイルの更新を提供すると発表しているが、AV-TESTのまとめによるとサードパーティー製セキュリティソフトウェアの多くが当面はWindows 7のサポートを継続するそうだ(AV-TESTのニュース記事、 BetaNewsの記事、 On MSFTの記事、 Ghacksの記事)。 ベンダーの多くはWindows 7の具体的なサポート終了時期を発表しておらず、TotalAVが少なくとも1年間、F-Secure/McAfeeが少なくとも2021年12月まで、AhnLab/AVG & Avast/Bitdefender/BullGuard/Carbon Black/ESET/FireEye/G Data/Ikarus/K7 Computing/Kaspersky/Mi
パスワード付きZIPファイルとパスワードを別のメールで送るやり方、PPAP方式と揶揄される | スラド セキュリティ
PPAP方式の意味はセキュリティの為じゃない。使ってみて以下の意味があることがわかった。 ・誤送信対策 添付送付した後、パスワード送る段階で誤送信だと気づいたことがある。 添付ファイルは届いてしまったが、間違った送付先に添付ファイルを開かれることはなかった。 もちろん両方のメールを誤送信したらまったく意味はないが。 ・対外へのポーズ PPAP方式はおれも全く意味はないと思っていたが、それに慣れ過ぎたのかパスワードなしで 添付ファイル送付してくる会社は「大丈夫かな？」と思ってしまう。 セキュリティしっかりやってますよ！の対外へのポーズとして必要な気もしている。 よくやり取りする会社であれば最初に共通のパスワードさえ決めてしまえば、そんなに手間ではないし 最近は肯定派になっている。何よりも誤送信で重大事故にならなかったことが決め手(始末書は書かされたが…)。
財務省理財局には「データが短期間で自動的に削除される」システムが導入されている？ | スラド セキュリティ
財務省の佐川理財局長が、行政文書の電子データに関する国会答弁で、同局ではPC上のデータについて「短期間で自動的に消去されて復元できないようなシステム」が導入されているために残っていないと答弁したという（日刊ゲンダイ）。 なかなか稀有なシステムが国民の血税で導入されているようだけど、市販ソフトウェアで一定期間が経過したら「消す」、しかも、復旧できないように「消す」ことやってくれるのってあるっけ？ どこぞの国のデータ盗聴系とかなソフトウェア会社とかの製品なんですかね。 パソコン廃棄するときに所定の回数、HDDに書き込みしてデータ潰してくれるソフトはフリーとかオマケとかであるようだけど。HDDの当該セクタをゴシゴシとワイプしてくれるソフトウェアは官庁系には需要ありそうだから、サンデープログラミングでいっちょ作ってみたりなんかしてみるといいのかな。 日刊ゲンダイでは関係者や有識者に対する取材も行っ
セブン-イレブンアプリに外部IDで不正ログインできる脆弱性が存在するとの報道 | スラド セキュリティ
日経新聞が、スマートフォン向けのセブン-イレブンアプリに脆弱性があると報じている。この脆弱性は第三者がFacebookやLINEなどの外部IDで不正にログインできるというものだという。 日経新聞の報道後、セブン＆アイ・ホールディングスは外部IDでのログインをできないようにしたことを発表した（共同通信）。発表では脆弱性があったかどうかには触れられておらず、「セキュリティ強化に向けた総点検の一環」とのみ書かれている。 なお、セブン-イレブンアプリでのトラブルを受けて、「セブン-イレブンアプリ」やそれを想起させる呼称を使って氏名や生年月日などを不正に入手しようとする不審な電話も報告されているという（セブン＆アイ・ホールディングスの発表）。
フリー開発者に登録フォームを作成させたところ半分以上がパスワードをハッシュ化しなかったという研究結果 | スラド セキュリティ
43人のフリーランス開発者を対象にWeb登録フォームを作らせるという調査を行ったところ、そのうち26人がパスワードを平文保存していたという論文が発表された（柴田淳氏のTweet）。 この論文では、開発者を次の4グループに分けて依頼を行った。その結果、22歳から68歳の43人の開発者がこの「業務」を請け負ったという。 報酬100ユーロ、「パスワードを安全に保存するように」との指示あり報酬200ユーロ、「パスワードを安全に保存するように」との指示あり報酬100ユーロ、「パスワードを安全に保存するように」との指示なし報酬200ユーロ、「パスワードを安全に保存するように」との指示なし その結果、ハッシュ関数を使って不可逆な形でパスワードを保存したのは17人の開発者のみで、残りの26人は可逆的な暗号化もしくは単純なBase64エンコーディングでパスワードを変換して保存していたという。また、可逆的な暗
Googleの研究者ら曰く、Spectre脆弱性の修正は難しい | スラド セキュリティ
In order to gain access to any information in privileged memory using one of these exploits, a user-level application must be launched on the specific machine to be compromised. This means that presently, an OS/2 executable must be used as the attack vector. As of this writing, we are not aware of any such code which executes on the OS/2 platform. Browser-based attacks (running JavaScript) appear
Intelのマイクロコードアップデート、Microsoft Updateカタログで提供開始 | スラド セキュリティ
Microsoftは1日、IntelプロセッサーのSpectre/Meltdown脆弱性を修正するマイクロコードアップデートをMicrosoft Updateカタログで提供開始した(Windows Experience Blogの記事、 KB4090007、 Neowinの記事、 The Vergeの記事)。 当初は第6世代Coreプロセッサー Skylake H/Sおよび第6世代Core mプロセッサー Skylake U/Y/Skylake U23eが対象で、CVE-2017-5715(Spectre Variant 2)を修正するマイクロコードアップデートが含まれる。IntelからMicrosoftに提供され次第、追加のマイクロコードアップデートを随時提供する予定だという。現在のところ更新プログラムが対応するWindowsバージョンはWindows 10 バージョン1709(Fall
Microsoft、Google Chromeのパッチ提供方針を批判 | スラド セキュリティ
Microsoftが9月に発見したGoogle Chromeの脆弱性を例に、Googleのパッチ提供方針を批判している(Windows Security blogの記事、 The Vergeの記事、 Neowinの記事、 The Registerの記事)。 CVE-2017-5121はChromeのV8 JavaScriptエンジンで境界外メモリーアクセスが可能になるというもの。MicrosoftはGoogleのProject Zeroチームがよく使用するFuzzingという手法で脆弱性を検出し、リモートからのコード実行が可能になることも確認したとのこと。 GoogleはMicrosoftから9月14日に脆弱性の通知を受け、9月21日に安定版をリリースしたChrome 61.0.3163.100で修正している。ただし、この脆弱性に関するバグトラッカーは一般公開されていないが、修正がGitH
Microsoft、Azureユーザー向けのWannaCrypt対策ガイダンスを公開 | スラド セキュリティ
MicrosoftがAzureユーザーに対し、WannaCrypt対策ガイダンスを公開している(Microsoft Azureブログの記事、 The Registerの記事、 On MSFTの記事)。 Microsoftが推奨する対策は以下の8点。WannaCryptの影響を受けていない場合でも、同様の攻撃から保護するために対策の実施が推奨されている。 MS17-010をインストールする すべてのAzureサブスクリプションでSMB関連のポートがインターネットに開いていないか確認し、必要のないポートを閉じる SMBv1を無効化する Windows UpdateでWindowsを最新の状態に保つ Azure Security Centerを使用して脅威を継続的に監視する Network Security Groups(NSG)を使用してネットワークアクセスを制限する マルウェア対策ソフトウェ
「最強のパスワード復元ソフト」がオープンソースに | スラド セキュリティ
DefConのコンペで何回も優勝を果たしたパスワード復元ソフト「Hashcat」とそのGPU版である「oclHashcat」が、このたびオープンソースソフトウェアとなった（Phoronix）。ライセンスはMITライセンス。 oclHashcatには150を越えるハッシュアルゴリズムが実装されており、多種多様な認証やパスワード付きファイルに対応している。攻撃方法としては総当たり攻撃や辞書攻撃だけでなくさまざまな方法を使うことが可能。また、128個のGPUまで同時に利用できるため、その高速さが話題となっていた。 タレコミ主としてはこの手のツールがもっと広まって、パスワードやハッシュ化の強度が見直されれば良いなぁと思います。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
クレジットカード番号とセキュリティコードの生成アルゴリズムを調べ、紙とペンで計算・生成 | スラド セキュリティ
Yahoo! JAPAN、ついに「秘密の質問」を廃止へ | スラド セキュリティ
Amazon・ベゾスCEOの携帯電話を狙った攻撃が行われたとの報道 | スラド セキュリティ
「ペニスによる生体認証」を導入したアダルトチャットサービス | スラド セキュリティ