IE 6～11に未解決のゼロデイ脆弱性、Microsoftがアドバイザリ公開
米MicrosoftのInternet Explorer（IE）6～11に未解決の脆弱性が見つかった。Microsoftは4月26日（現地時間）、この脆弱性に関するアドバイザリーを公開し、注意を呼び掛けている。 対象となるのはほぼすべてのWindows OS（Windows 8.1、Windows Server 2012 R2などを含む）上のIE。なお、MicrosoftはWindows XPのサポートを終了している。 米セキュリティ企業のFireEyeは、この脆弱性を利用した攻撃を確認した。同社が「Operation Clandestine Fox」と名付けたこの攻撃の対象はIE 9～11という。 脆弱性は、削除されたメモリや適切に割り当てられていないメモリ内のオブジェクトにIEがアクセスする方法に存在する。悪用された場合、多数のユーザーが利用する正規のWebサイトを改ざんしたり、ユーザ
強烈なDNSキャッシュポイズニング手法が公開される:Geekなぺーじ
本日、JPRSが緊急の注意喚起を公表しました。 緊急）キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認について（2014年4月15日公開）- 問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨 それに対して、2月中旬に脆弱性を発見してJPRSへと報告していた鈴木氏(脆弱性は前野氏との共同発見)が、JPRSの注意喚起では「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」として、以下の情報を公開しています。 開いたパンドラの箱 - 長年放置されてきたDNSの恐るべき欠陥が明らかに キャッシュポイズニングの開いたパンドラの箱 キャッシュポイズニングの開いたパンドラの箱 - 2 - 本来であれば、より上位からの正規の回答が優先されなければならないはずなのに、下位側が優先される仕様になっているので、偽装されたデータが優先されてしまう
ハートブリード、原因は開発者のミス―「OpenSSL」は少数のボランティアに依存
This copy is for your personal, non-commercial use only. Distribution and use of this material are governed by our Subscriber Agreement and by copyright law. For non-personal use or to order multiple copies, please contact Dow Jones Reprints at 1-800-843-0008 or visit www.djreprints.com. http://jp.wsj.com/article/SB10001424052702303433504579501080000871574.html
WiresharkでSSL通信の中身を覗いてみる - ろば電子が詰まつてゐる
OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。 Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。 というわけで今回のテーマとして、手元にサーバの秘密鍵と、SSL通信をパケットキャプチャしたpcapファイルがあるときに、Wiresharkでどんな感じでSSL通信を「ほどく」のか……という具体的な手順を、ハマり所を含めてまとめておこうかと思います。 というか、私自身がハマったので自分用メモですな。なおこの文書では"SSL"とだけ記述し、TLSは無視しています。 前提条件 とりあえず以下のような感じの検証環境で試しました。 IPアドレス 説明 ホストO
OpenSSLの脆弱性で想定されるリスク - めもおきば
JVNやJPCERT/CCの記事があまりにもさらっと書かれていて、具体的なリスクが想像しづらいと思うので説明します。 今北産業 (今ニュース見て来たから三行で教えて欲しいという人向けのまとめ) インターネット上の「暗号化」に使われているOpenSSLというソフトウェアが2年間壊れていました。 このソフトウェアは便利なので、FacebookだとかYouTubeだとか、あちこちのウェブサイトで使っていました。 他の人の入力したIDとかパスワードとかクレカ番号とかを、悪い人が見ることができてしまいます。(実際に漏れてる例) 他にも色々漏れてますが、とりあえずエンジニア以外の人が覚えておくべきはここまででOKです。もう少し分かりやすい情報が以下にあります。 OpenSSL の脆弱性に対する、ウェブサイト利用者（一般ユーザ）の対応について まだ直っていないウェブサイトもあれば、元々壊れていないウェブ
オープンリゾルバー確認サイト
JPCERT/CCでは、オープンリゾルバー(外部の不特定のIPアドレスからの再帰的な問い合わせを許可しているDNSサーバー)となっているDNSサーバーが日本国内に多く存在していることを確認しています。 オープンリゾルバーは国内外に多数存在し、大規模なDDoS攻撃の踏み台として悪用されているとの報告があります。 また、DNSサーバーとして運用しているホストだけではなく、ブロードバンドルーターなどのネットワーク機器が意図せずオープンリゾルバーになっている事例があることを確認しています。 本確認サイトでは、お使いのPCに設定されているDNSサーバーと、本確認サイトへの接続元となっているブロードバンドルーターなどのネットワーク機器がオープンリゾルバーとなっていないかを確認することが可能です。 本サイトの詳細についてはこちらをご参照ください。 ただいま処理中です。しばらくお待ちください。 ※判定処理
アメリカでは4割が被害に。クレジットカード明細に不明な請求を見つけた時の対処法 | ライフハッカー・ジャパン
ウンザリさん それは大変でしたね。残念なことにここアメリカでは、カード所有者の10人に4人が、あなたと同じ経験をしています。このところスマートで能力の高いハッカーが増えているため、ID盗難やクレジットカード詐欺の被害も拡大しているのだそう。でも、すべての希望が失われたわけではありません。時間と忍耐強さ、そして正確な知識さえあれば、あなたの口座と信用情報を守ることができるのです。以下を参考に、心の平穏を取り戻しましょう。 ステップ1：カード会社に電話する まずはここから。早めの行動が肝心です。場合によっては、ニセの請求に対するあなたの法的責任が、銀行への報告時期によって変わってくることも。早めに通知することで、銀行がすぐに調査を開始できるというメリットもあります。 調査結果が出るまでの間、カード会社は通常、該当する請求を取り消してくれます（あなたは見ず知らずの人が浪費した5000ドルを払わな
2014年エイプリルフール跡地
► 2024 (1) ► 4月 (1) ► 2023 (2) ► 4月 (1) ► 3月 (1) ► 2022 (6) ► 12月 (1) ► 9月 (1) ► 7月 (1) ► 5月 (1) ► 3月 (1) ► 1月 (1) ► 2021 (1) ► 12月 (1) ► 2020 (4) ► 12月 (1) ► 11月 (1) ► 5月 (1) ► 3月 (1) ► 2019 (11) ► 12月 (2) ► 7月 (2) ► 5月 (2) ► 4月 (2) ► 3月 (1) ► 2月 (1) ► 1月 (1) ► 2018 (15) ► 12月 (3) ► 11月 (6) ► 10月 (2) ► 9月 (2) ► 3月 (1) ► 1月 (1) ► 2017 (17) ► 12月 (2) ► 11月 (1) ► 10月 (1) ► 9月 (2) ► 8月 (2) ► 7月 (1) ►
使ってわかったLINE電話のカラクリ - 週刊アスキー
鳴り物入りでサービスが始まった『LINE電話』。実際に使ってみて、その仕組みが見えてきた。 LINE電話とは、LINEのプラットフォーム上で携帯電話や固定電話といった、電話番号に発信ができるサービスのこと。インターネット回線を用いており、仕組み的にはIP電話に近いが、電話番号を持たずLINE電話への着信はできない。代わりに、電話を発信した相手には、LINEに登録した携帯電話番号が表示される。 『30日プラン』を使用した場合、携帯電話への発信は1分6.5円と格安だ。では、この料金をなぜ実現できているのだろうか。 サービス発表時にLINEは「複数の大手回線事業者のプレミアム回線を採用」したとのリリースを出していたが、LINE電話から発信された電話番号の表示を見るとその謎の一端がわかる。 ↑LINE電話の料金。プレスリリースに掲載された比較にもあるように、通話料は他社より割安だ。 LINE電話に
よくわかるPHPの教科書 PHP5.5対応版のクロスサイト・スクリプティング
たにぐちまことさんの よくわかるPHPの教科書がこのたび改版されて、よくわかるPHPの教科書 【PHP5.5対応版】として出版されました。旧版はmysql関数を使ってSQL呼び出ししていましたが、mysql関数がPHP5.5にて非推奨となったための緊急対処的な内容となっているようです。つまり、従来mysql関数を呼び出していた箇所をmysqliの呼び出しに変更したというのが、主な変更点のようで、これ以外はあまり変更点は見あたりません。 既に、Amazonでは、熱烈な読者の方からの詳細のレビューが届いています。 神本御降臨！ 言わずと知れたPHPプログラミング書籍のロングセラー。 2010年9月に発売された前作の改訂版。 PHPのバージョンも最新の5.5に対応、内容は前作と殆ど同じ。 少し前に前作を購入した方も本書を購入した方がいいでしょう。 【中略】 それにしても、帯の「３万人に読まれた定
更新情報/2014年/03月/09日/改善:メンテナンス・障害情報: 【お詫び】ユーザ情報流出に関するお知らせ - アットウィキ(@WIKI)ご利用ガイド
いつも@wikiをご利用頂きありがとうございます。 この度、ユーザ用の管理情報およびデータの流出が確認されました。 ご迷惑をおかけし、誠に申し訳ございません。 緊急的措置として全ユーザのパスワードを強制的にリセットさせて 頂いております。お手数ですが、パスワードの変更をお願いいたします。 パスワード変更の方法につきましては、以下の通りお願いいたします。 １，パスワード再発行フォーム よりパスワード再発行ください。 ２，管理画面より再度ご自身でパスワード変更いただけますよう お願いいたします。 なお、流出した個人情報およびセキュリティ上重大と考える範囲内は以下のとおりです。 ※流出内容 ユーザID パスワード（暗号化されています） メールアドレス 登録時のIP ※影響範囲 現在登録中のユーザ全員 パスワードは単一方向の暗号方式を用いておりますが、 暗号化されたパスワードから元のパスワードを推
本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録
otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr
Shodan
Search Engine for the Internet of Everything Shodan is the world's first search engine for Internet-connected devices. Discover how Internet intelligence can help you make better decisions. Sign Up Now Beyondthe Web Websites are just one part of the Internet. Use Shodan to discover everything from power plants, mobile phones, refrigerators and Minecraft servers. MonitorNetwork Exposure Keep track
たった一行のミスが・・・
《Update：SSL バグについて知っておくべきこと》 ［iOS 7 のバグ修正：image］ アップルの iOS 7 バグ修正がセキュリティ専門家の注目を浴びている・・・ Wired.com: “Behind iPhone’s Critical Security Bug, a Single Bad ‘Goto’” by Kevin Poulsen: 22 February 2014 ＊ ＊ ＊ アップルのバグ修正 昨日アップルは、SSL［注：Secure Sockets Layer、インターネット上で情報を暗号化して送受信するプロトコル］暗号化の実装に関するバグを修正する iOS 7.0.6 を公開した。SSL 暗号化は盗聴やウェブハイジャッキングを防止するインターネットの標準的防御メカニズムだ。このバグは基本的にはユーザーがパブリック Wi-Fi や NSA［Nati
2014-02-24
不正ログイン防止のため、パスワードと登録情報のご確認をお願いします 弊社自身の調査により、はてなのサービスに対して外部から不正なログインが行われた可能性があることが判明しました。 ただし、弊社サーバーへの侵入によるアカウント情報の流出や、パスワードを機械的に推測してログインを試行するといった不審な行動は確認されておらず、他社サービスから流出または不正取得されたアカウント情報（IDとパスワードの組み合わせ）を流用された可能性が高いと考えています。 そこで、他社サービスと同一のID（メールアドレスまたはユーザー名）およびパスワードを使用しているユーザー様は、安全のため登録メールアドレスがご自身のものであるかを確認の上、早急にパスワードを変更してください。 それ以外のユーザー様も、下記にあるように登録情報等をご確認の上、より安全なパスワードと、正しく有効なメールアドレスを設定いただけるようお願い
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「LINE電話」の仕組みに関するご説明 | LINE公式ブログ
LINE電話は画期的な一方、番号偽装ができてしまいそうな問題はどう処置するんですかね(山本一郎) - 個人 - Yahoo!ニュース
巧妙なので注意、Google ドライブで作られた偽のGoogle Docsログインページ 
BLOGOS サービス終了のお知らせ
TechCrunch | Startup and Technology News
