Dual_EC_DRBGのバックドアの仕組み - Develop with pleasure!
japan.zdnet.com こんなニュースもあり、バックドアと言えばエドワード・スノーデンの告発でも話題になったNSA（米国家安全保障局）のバックドアを思い出した。当時は仕組みについて調べてなかったけど、どんな仕組みのバックドアだったのか今になって気になったので調べてみた。 Dual_EC_DRBG バックドアが仕込まれていたのは、NSAの推奨により一度は標準として採用された擬似乱数生成器のアルゴリズムDual Elliptic Curve Deterministic Random Bit Generator（Dual_EC_DRBG）。で、2006年にNIST SP800-90Aに組み込まれ、2013年に利用すべきではないと勧告されている。 Dual_EC_DRBGの仕様 Dual_EC_DRBGは、生成したシード値から、2つの楕円曲線上の点を使って、多数の乱数を生成する擬似乱数生成
#faq
Key Reinstallation Attacks Breaking WPA2 by forcing nonce reuse Discovered by Mathy Vanhoef of imec-DistriNet, KU Leuven, 2017 Introduction We discovered serious weaknesses in WPA2, a protocol that secures all modern protected Wi-Fi networks. An attacker within range of a victim can exploit these weaknesses using key reinstallation attacks (KRACKs). Concretely, attackers can use this novel attack
Windows10の重い遅い対策 - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? #はじめに パワーのあるPCにとってはさほど関係のない話なのですが、セカンドマシンやポータブルマシンとして、薄型低スペックのマシンを持ち歩いている人も多いと思います。 これは、モバイル機を快適に使うためのTipsみたいなものです。 重い、遅い モバイル機に多く使われているeMMCというストレージですが、こちら読み込みは高速なものの書き込みが遅いため、MSが標準搭載しているWindows Defenderやバックグラウンドで動作するWindowsアップデートが走ってしまうと、まともに操作できない状態に陥ることがあります。 そこで、この、重
MSC07-J. シングルトンオブジェクトのインスタンスを複数作らない
シングルトンデザインパターンの目的について、Gamma その他による著作では、以下のように簡潔に説明されている[Gamma 1995]。 あるクラスに対してインスタンスが1つしか存在しないことを保証し、それにアクセスするためのグローバルな方法を提供する。 シングルトンクラスはひとつしか存在しないので、「シングルトンのインスタンスフィールドは、static フィールドと同様、ひとつのクラスに一回だけ生成される。シングルトンは、データベース接続やソケットなどのようなリソースへのアクセスを管理するためによく使われる」[Fox 2001]。他の使用例としては、性能統計データの管理、システムの監視と記録、プリンタスプーラの実装、オーディオファイルが複数同時に再生されないようにする、などがある。static メソッドのみを含むクラスはシングルトンパターンの有力な候補である。 典型的なシングルトンパター
バッファオーバーフローを起こして、バッファオーバーランさせようとしたけど駄目だった話 - dorivenの日記
どうも、今週はセキュリティ関連の講座に出ており、朝から晩までずっと教室に缶詰の状態でした。 本来参加しようとすると非常に高額な参加費が取られるのですが、学生枠ということで無料で参加させて頂きました。 講義の内容などを記事にはしたいと思うのですが、内容は喋ってはいけないという約束なので話せないです。 とりあえず、自分のセキュリティの勉強として「バッファオーバーラン」くらい起こしてみようと思って試行錯誤してみましたが、ちょっと知識不足でした。 来週までには任意のコードが入力を通してOS側にぶち込めるように出来たらいいな、と思うが出来なかったら考える。 プログラムの基本的な動作 基本的なプログラムを実行するデータ構造は以下のようになっている。 IPA/ISEC から引用 この画像の様に、プログラムの実行コード自体はコンパイル時に計算され、実行時には仮想メモリ領域の先頭に配置される。 その後、ne
Firefox のプライバシーに関する通知
Mozilla は、プライバシーが健全なインターネットの基盤であると信じています。 そのため Mozilla では、あなたがオンライン上で共有する情報および Mozilla と共有する情報をより広範囲に制御できるよう、Firefox をはじめとするすべての製品を設計しています。Mozilla は、すべてのユーザーのために Firefox を改善することを目的として、必要な情報だけを収集するよう努力しています。 本プライバシーに関する通知では、Firefox が共有するデータについて説明するとともに、共有するデータの量がより少なくなるような設定を紹介しています。また Mozilla では、Firefox から収集した情報をどのように受信、処理、および共有するかに関し、Mozilla の プライバシーポリシー に記載されている慣行に従っています。 Mozilla は、以下の目的で Firefo
1分でわかるPGP - 村川猛彦
PGPとは PGP (Pretty Good Privacy, 「たいへんよいプライバシー」)は，Philip Zimmermannが開発した暗号ソフトウェアです． 主な用途は，ファイルやメールの暗号化です．また，署名やその検証も行えます．一方，SSL/TLSやSSHと異なり，通信の暗号化はしません． 公開鍵暗号を使用しますが，その鍵の管理のために，認証局を設置せず，各利用者の責任で鍵を管理し，取得した公開鍵をチェックします．そして，ハイブリッド暗号で暗号化されます．メッセージまたはファイルは，セッション鍵と呼ばれる乱数の値を鍵として，対称暗号により暗号化され，そのセッション鍵は，受信者の公開鍵で暗号化されます． PGPの別実装として，GnuPG (GNU Privacy Guard)があります．こちらはGPL (GNU General Public License)に基づき無料で利用でき
glibcのGHOST脆弱性の内容と検出
Last Updated on: 2018年8月4日glibcのgethostbynameのバッファーオーバーフローバグであるGHOSTがどのようなバグだったのか気になったので調べてみました。Twitterで「GHOSTは4バイトだけオーバーフローする」といったツイートを見かけたことが調べはじめた切っ掛けです。 追記だらけになって解りづらいので別エントリでまとめています。 http://blog.ohgaki.net/glibc-ghost-revisited 参考：より新しいglibcのgetaddrinfoの問題はこちら バグの内容 これだけ話題になっていると既に調べている方が直ぐに見つかりました。 glibcで見つかった致命的な脆弱性「GHOST」は具体的になにが問題なのか これによると1.1.1.1などIPアドレス形式の場合に必要なバッファ計算に誤りがあり、そのバッファの最後に任意
サービス終了のお知らせ
平素より「PHPプロ！」をご愛顧いただき、誠にありがとうございます。 2006年より運営してまいりました「PHPプロ！」ですが、サービスの利用状況を鑑みまして、2018年9月25日（火曜日）をもちましてサービスを終了させていただくことになりました。 サービス終了に伴いまして、2018年8月28日（火曜日）を持ちまして、新規会員登録ならびにQ&A掲示板への新たな質問、回答の投稿を停止させていただきます。 なお、ご登録いただいた皆様の個人情報につきましては、サービス終了後、弊社が責任をもって消去いたします。 これまで多くの皆様にご利用をいただきまして、誠にありがとうございました。 サービス終了に伴い、皆様にはご不便をおかけいたしますこと、心よりお詫び申し上げます。 本件に関するお問い合わせはこちらよりお願いいたします。
セキュリティホール memo
Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。 ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。 このページの情報を利用される前に、注意書きをお読みください。
ssh にてパスワードを使用しないでログインする方法
ssh(Secure Shell)を導入しているホスト間でパスワードを入力せずにログインすること を可能にする方法を解説します。 【概要】 ssh は、接続先によって使用する protocol version が決定されます。 バージョンにより、設定方法が異なりますので、ご注意ください。 Turbolinux Server 6.5 より、version 2 が優先的に利用されています。 ssh の protocol version 1 は、ログイン時にRSA認証を行います。 そのために、事前に ssh-keygen を実行し、RSA キーの組を作成しておきます。 ssh-keygen を実行すると、プライベートキーは~/.ssh/identity に、 公開キーは ~/.ssh/identity.pub に作成されます。 この identity.pub を、リモートマシンの ~/.ssh/
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
掲載終了のお知らせ
Maintaining Windows 10 security tops list of enterprise challenges - Help Net Security
Getting Started with GNU Privacy Guard
Ghost Linux vulnerability can be exploited through WordPress, other PHP apps
https://www.qualys.com/2015/01/27/cve-2015-0235/GHOST-CVE-2015-0235.txt
CVE-2014-0160 | Ubuntu
(Archived) Data Protection in a post PRISM world....
アクセス解析にも影響を与える、恐るべき米国の機密通信監視計画「PRISM」: 岩崎純一のウェブサイト ＞ 第三ブログ（ICT、IT、コンピュータ技術、サイト制作関連）
Setting up a firewall on Your Raspberry Pi