パスワードに記号は不要、JPCERT方針転換の理由
パスワードを12文字以上にすれば、必ずしも記号を使う必要はない――。インターネットの危険情報を取りまとめるセキュリティ組織であるJPCERTコーディネーションセンター（JPCERT/CC）は、推奨するパスワードの作り方の方針転換をした。これまでは「大小英字、数字、記号といった全文字種を組み合わせて、8文字以上のパスワードにする」を推奨していた。 JPCERT/CCは2018年8月1日から31日まで「STOP！パスワード使い回し！キャンペーン」を実施している。パスワードの使い回しを控えるように呼び掛ける活動で、2014年から毎年実施している。2018年はヤフーや楽天、セブン銀行など26の賛同企業/団体とともにユーザーに呼びかけている。キャンペーンでは、破られにくいパスワードの作り方と管理方法をユーザー向けに紹介している。この内容が2017年までと比べて大きく変化した。 2017年までは「大小
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
マイクロソフト、WebAuthnをEdgeに実装。パスワード不要、生体認証やPINでWebサイトへログイン可能に。2018年秋のWindows 10アップデートで － Publickey
マイクロソフト、WebAuthnをEdgeに実装。パスワード不要、生体認証やPINでWebサイトへログイン可能に。2018年秋のWindows 10アップデートで マイクロソフトは、2018年10月頃に予定されているWindows 10の大型アップデート（RS5）に向けて開発中の最新ビルド、Windows 10 build 17723で、パスワード不要でWebサイトにログインできる標準仕様「WebAuthn」をMicrosoft Edgeに実装したことを明らかにしました。 最新のビルドでEdgeにWebAuthnを実装 これまで、WebブラウザからECサイトでの支払いやネットバンキングの利用などのためにWebサイトへログインする際には、ログイン名とパスワードを入力する必要がありました。 WebAuthnはユーザー名とパスワードを使ってWebサイトへログインする代わりに、Webブラウザで指紋
世界のサイバー脅威をリアルタイムで可視化する地図「Kaspersky Cyberthreat Real-Time Map」日本語を含む10か国語に対応 | ニュース・リリース | カスペルスキー
サイバーマップは、カスペルスキー製品が検知・ブロックしたサイバー脅威をリアルタイムに表示し、Web上でインタラクティブに操作することができる地図です。秒あたりの検知数グラフなどの統計データもグラフで確認でき、あらゆる脅威とその拡散の速度を誰もが簡単にリアルタイムで閲覧することができます。 ～セキュリティ製品で検知した脅威を地域や種別ごとに表示し、インタラクティブな操作が可能～情報セキュリティソリューションを提供する株式会社カスペルスキー（本社：東京都千代田区、代表取締役社長：川合林太郎）は、世界中で発生しているサイバー脅威をWeb上でリアルタイムに可視化する地図「Kaspersky Cyberthreat Real-Time Map（通称：サイバーマップ）」が、日本語を含む10か国語に対応したことを発表します。 サイバーマップは、カスペルスキー製品が検知・ブロックしたサイバー脅威をリアルタ
「ポルノ閲覧の姿をさらす」とユーザー脅迫、パスワード記載で信ぴょう性を高める
脅迫メールは被害者が実際に使っていたパスワードを冒頭に記載して、信ぴょう性を高めようとしているという。 「おまえがポルノサイトを見ている時の姿を、おまえのWebカメラで録画した。家族や友人にばらされたくなければ、24時間以内にビットコインで1400ドルを支払え」――。そんな文言でユーザーをだまそうとする迷惑メールが出回っている。この種のメールは過去に何度も浮上しているが、今回は新手の手口として、被害者が実際に使っていたパスワードを脅迫文に含め、信ぴょう性を高めようとしているのが特徴だという。 米セキュリティ情報サイトのKrebs on Securityによると、問題のメールは冒頭に、被害者が過去に実際に使っていたパスワードを記載して、「私はこれがおまえのパスワードだと知っている」と主張。マルウェアを使って被害者が見ていたポルノサイトの画面と、それを見ている時の被害者の姿を録画し、さらには被
「Spectre」関連の脆弱性、また新たに発覚 IntelやARMのプロセッサに影響
Intelなどのプロセッサに搭載されている投機的実行という機能に関連して、マサチューセッツ工科大学（MIT）などの研究者が新たな脆弱性を報告した。 Intelなどのプロセッサに発覚した「Spectre」と呼ばれる脆弱性に関連して、また新たな脆弱性が報告された。これまでの脆弱性と同様、プロセッサに実装されている投機的実行と呼ばれる機能を突くもので、悪用されれば情報が流出する恐れがある。 今回の脆弱性は、マサチューセッツ工科大学（MIT）などの研究者が、Intelのバウンティプログラムを通じて報告した。 研究者が公開した論文によると、新たに発見された「Spectre1.1」の脆弱性（CVE-2018-3693）は、「ストア上の境界チェックバイパス」と形容され、投機的実行ストアを利用して投機的バッファオーバーフローを誘発させることが可能とされる。 一方、「Spectre1.2」は「読み取り専用の
iOS11.4.1、ロック後1時間でUSB経由のデータアクセスを禁止する機能搭載 - iPhone Mania
公開されたばかりのiOS11.4.1では、iPhoneやiPadがロックされて1時間経過すると、USB機器を使った端末内のデータへのアクセスをブロックするモードが、初期状態で有効となっています。 ロック後1時間でLightning端子のデータアクセスを無効に 現地時間7月9日に公開されたiOS11.4.1では、Appleによるリリースノートには記載されていませんが、iPhoneやiPadがロック状態になって1時間経過すると、Lightning端子を経由したアクセスをブロックする「USBアクセサリ」モードが初期状態で適用されています。 ただし、Lightning端子による充電は、ロック後1時間以上経っても可能です。 このモードは、iOS11.3やiOS11.4のベータで発見されていましたが、正式版に搭載されるのはiOS11.4.1が初となります。 また、iOS12でもこのモードが利用可能とな
Let's encryptとSSL/TLSに関する誤謬 - Chienomi
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
Twitter、全3.3億人のユーザーにパスワード変更勧める告知 社内バグ発見で
米Twitterは5月2日（現地時間）、全ユーザーに対し、Twitterへのログインに使っているパスワードを変更するよう求める告知を送ったと発表した。社内システムのバグで、パスワードをプレーンテキストで保存していたことが判明したためとしている。 社内調査の結果、パスワードが外部に流出したり悪用された可能性はないが、念のため全ユーザーに通知したとしている。ジャック・ドーシーCEOは「対策済み」だとツイートした。 パラグ・アグラワルCTO（最高技術責任者）は公式ブログで、同社ではユーザーがパスワードを入力する際、「bcrypt」という強力なアルゴリズムを使ってハッシュ化しているが、今回見つかったバグで、ハッシュ化処理の前にログにプレーンテキストで保存されていたという。 何人分のパスワードがテキストとして保存されていたのか、それがいつ頃からのことなのかについては明らかにしていない。 米Reute
GoogleのChromeウェブストアに偽の広告ブロッカー、約2000万人がダウンロード
偽ブロッカーの作者は検索結果の上位に来るような用語をちりばめて、ユーザーがインストールするよう仕向けていたという。 モバイルやデスクトップ向けの広告ブロッカーを手掛けるAdGuardは、Googleの公式ストア「WebStore」で、Chrome向けの拡張機能として偽の広告ブロッカーが提供され、2000万人以上のユーザーがだまされてインストールしていたことが分かったと伝えた。 AdGuardのブログによると、偽ブロッカーの作者は、人気広告ブロッカーに数行のコードを付け加えただけの「クローン」を作成し、検索結果の上位に来るような用語をちりばめて、ユーザーがインストールするよう仕向けていたという。 そうした偽ブロッカーの1つ、「AdRemover」を詳しく調べた結果、javascriptライブラリのjQueryに隠した悪質なコードを使って、ユーザーが閲覧したWebサイトに関する情報を外部のサー
パスワード「頻繁に変更はNG」 総務省が方針転換 - 日本経済新聞
定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述
安全なWebアプリケーションの作り方改訂のお知らせ
徳丸本こと、「体系的に学ぶ 安全なWebアプリケーションの作り方」は、2011年3月の発売以降大変多くの方に読んでいただきました。ありがとうございます。 ただ、発売から既に7年が経過し、内容が古くなってきた感は否めません。たとえば、クリックジャッキングの説明はほとんどないですし、OWASP Top 10 2017で選入された安全でないデシリアライゼーションやXXEの説明もありません。なにより、Web APIやJavaScriptのセキュリティ等がほとんど書かれていないことが課題となっていました。 そこで、版元のSBクリエイティブと相談して、この度改訂することにいたしました。3月末脱稿、6月頃発売の見込みです。 改訂にあたり、以下を考えています。 Web APIとJavaScriptに関する説明を4章に追加 XHR2対応に向けてCORSの説明を3章に追加 携帯電話の章は丸ごと削除して、別の内
AWSアカウントを取得したら速攻でやっておくべき初期設定まとめ - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? AWSアカウントを作成したら最初にやっておきたいことをまとめてみた。 あわせて読みたい 本記事の内容を含めた最新の手順は、下記の書籍にまとまっている。 クラウド破産を回避するAWS実践ガイド AWSアカウント（ルートアカウント）の保護 AWSアカウントが乗っ取られると詰むので、真っ先にセキュリティを強化する。 AWSアカウントへ二段階認証を導入 AWSアカウントでのログインは、AWSアカウント作成時のメールアドレス・パスワードだけでできてしまう。心許ないにもほどがあるので、まずは二段階認証を設定しよう。 IAMのページを開く https
target="_blank"を使った脆弱性Tabnabbingとその対策
About rel=noopenerの記事を見て、フィッシング詐欺の手法Tabnabbing(タブナビング)について、 以前にそれっぽい記事読んだけど、すっかり忘れていた。 改めて見直してみて、その内容と対策がまとまっていたのでおさらい。 Tabnabbing(タブナビング)の仕組みTabnabbing の仕組みは以下となる。 まず、新規のタブを開くようなアンカータグ
プロセッサの脆弱性「Meltdown」と「Spectre」についてまとめてみた | DevelopersIO
森永です。 新年早々大変な脆弱性が出てきてセキュリティクラスタがざわついてます。 内容によって2つの脆弱性に分かれていて、「Meltdown」と「Spectre」と名前がつけられています。 現在使用されているほぼ全てのCPUにおいて対象となりうるという相当影響範囲が広い脆弱性です。 まだ詳細が公開されていない部分もありますが、パッチで対処できる脆弱性ですので落ち着いて対応し、続報を待ちましょう。 現在分かっている範囲の情報をまとめます。 Meltdown and Spectre 概要 今回の脆弱性は大きく3つに分けられます。 Variant 1: bounds check bypass (CVE-2017-5753) Variant 2: branch target injection (CVE-2017-5715) Variant 3: rogue data cache load (CV
SiteGuard WP Plugin | WordPressセキュリティプラグイン
特長 SiteGuard WP Pluginは、WordPressにインストールするだけで、セキュリティを向上させることができるセキュリティプラグインです。 管理ページとログインページの保護を中心とした日本語対応のシンプル・簡単プラグインで、以下の攻撃を防ぐことができます。 不正ログイン 管理ページ（/wp-admin/）への不正アクセス コメントスパム 重要なお知らせ このプラグインは、インストールして有効化すると、自動的にログインページのURLを変更します。 （WordPressのログインページ（wp-login.php）を「login_<5桁の乱数>」に変更します。） 管理画面の「SiteGuard」＞「ログインページ変更」をクリックして、新しいログインページを確認してブックマークしてください。 また、新しいログインページのURLを管理者宛のメール（サブジェクト「WordPress:
ja-JP - WordPress Security Checklist
WordPress で稼働しているウェブサイトがハッキングされる原因は WordPress にあるわけではなく、そのほとんどが開発中に回避できるいくつかの設定ミスによるものです。 あなたのウェブサイトのセキュリティを高めるために取るべき行動のチェックリストであること、それがこのプロジェクトの考えです。 ログイン画面 繰り返しログインに失敗したらログイン画面にロックをかける (Login Lockdown , iThemes Security ) 2段階認証を有効にする (Google Authenticator) ユーザー名の代わりにメールアドレスをログインに使う (Force Login With Email) ログイン画面の URL を変更する (iThemes Security または .htaccess に直接記述) テーマからログイン画面へのリンクを削除する (もし入っていれば)
無線LAN（Wi-Fi）暗号化における脆弱性への対応について | 一般社団法人 無線LANビジネス推進連絡会【WiBiz（ワイビズ）】 - お知らせ - 新着情報一般社団法人 無線LANビジネス推進連絡会【WiBiz（ワイビズ）】
10月16日、Wi-Fiの暗号化規格であるWPA/WPA2の脆弱性が公開され、各メディアで報道されています。 また、ベンダ各社も対応が必要となる機器や装置において、既に対策を始めており、対処方法等が各社のホームページで公開されています。 今回の事象は、その危険性を正確に認識し、正しく対処することで問題を回避することが可能です。 その一助となる資料（別紙）を当連絡会HPへ掲載していくこととします。 当連絡会では今後も、会員企業各社の対策や顧客対応が円滑に行われるよう、業界内の情報交換の支援、および利用者の皆様への情報発信をWi-Bizホームページの「お知らせ」等で引き続き行って参ります。 別紙 対応状況と対策について 【Wi-Fiサービス】 2017.10.20現在
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AV-TEST、2018年4~5月期でのmacOS 10.13 High Sierra対応ウィルス対策アプリの検出率とパフォーマンス比較データを公開。
「他のセキュリティ対策ソフトはもういらない」とアピールするWindows Defenderの現状
