GitHubユーザーのSSH鍵6万個を調べてみた - hnwの日記
（2015/1/30 追記）時期は不明ですが、現時点のgithub.comはEd25519鍵にも対応しています。 （2016/5/31 追記）「GitHubにバグ報告して賞金$500を頂いた話」で紹介した通り、既に弱い鍵はGitHubから削除され、新規登録もできなくなっています。 GitHub APIを利用して、GitHubの31661アカウントに登録されているSSH公開鍵64404個を取得してみました。抽出方法*1が適当すぎて偏りがあるような気もしますが、面白い結果が得られたと思うのでまとめてみます。 SSH鍵の種類 鍵の種類 個数 割合 RSA鍵 61749 (95.88%) DSA鍵 2647 (4.11%) ECDSA鍵 8 (0.01%) 約6万個の鍵のうち、8個だけECDSA（楕円DSA）鍵が見つかりました！常用しているのか試しに登録してみただけなのかはわかりませんが、何にせよ
必見！ サイバー攻撃がリアルタイムで進行していることがよくわかる「Norse」社の「IPViking Live」が凄い
TOP Security 必見！ サイバー攻撃がリアルタイムで進行していることがよくわかる「Norse」社の「IPViking Live」が凄い ここのところ、「Feedly」や「Evernote」、「Facebook」、「ファンタシースターオンライン2」といったサイトが立て続けにDDoS攻撃（分散型サービス妨害攻撃）を受けるなど、サイバー攻撃に関するニュースをよく目にします。 FeedlyがDDoS攻撃を受けダウン 攻撃中止の見返りに金銭要求！ 負けるなFeedly！ #FeedlyFight : I believe in technology RSSリーダーサービス「Feedly」が2014年6月11日19時現在、DDoS攻撃によりサービスダウンしています。 このような攻撃は何も最近始まったわけではありません。また、ニュースで報じられなくなったからといって、収束しているわけでもありませ
継続的WEBセキュリティ診断サービス VAddy
ウェブアプリケーションの開発において、CI(Continuous Integration)のサイクルに、クロスサイトスクリプティングやSQLインジェクション等を早期に発見するための脆弱性診断も組み込まれるべきでは？というコンセプトで、新しいウェブサービスを開発しました。現在、アルファ版の詰めに入っている段階です。アルファ版を使ってくれるユーザさん（もちろんアルファ版の段階では無料）を探しています。 VAddy http://vaddy.net/ Jenkins等のCIサーバ上でcommit毎にビルドやユニットテストが実行されるという文化は定着しつつあり、誰もがその良さを実感していると思います。 同じように、セキュリティ面でのテストもCIサーバが自動的に実行してくれれば便利ではないでしょうか。 VAddyはSaaS型のウェブアプリケーション脆弱性診断サービスです。基本的な使い方として、ユーザ
LINEは2048ビットRSA採用 「暗号化が弱いためデータ流出の可能性」は「誤解」と技術ブログで説明
LINEは6月26日、LINEの通信の暗号化について説明する記事を、技術ブログ「LINE Engineers' Blog」で公開した。「LINEの通信の暗号化が弱く、情報が流出する可能性がある」などの声は「誤解」と断じ、すべての通信方式でデータを暗号化していること、暗号化方式に2048ビットRSAを採用していることなどを明かしている。 ブログでは、「LINEで一般的に誤解されている情報」として、（1）暗号化方式が弱いため外部に情報が流出する可能性がある、（2）Wi-Fi通信ではデータが暗号化されているがモバイルネットワーク（3G、LTE）では暗号化されていない――の2点があると指摘。 モバイルネットワークでも暗号化していることを示すため、スマートフォンからLTEで「Test message send」と送信し、そのパケットをキャプチャしたとするファイル（pcapファイル）を開いた画像を公開
これなら合格！ 正しいリダイレクターの作り方
これなら合格！ 正しいリダイレクターの作り方：HTML5時代の「新しいセキュリティ・エチケット」（4）（1/3 ページ） えっ、まだmeta refreshとか301使ってるの？ リダイレクターの作り方も時代とともに移り変わります。記事を読んだらすぐに使えるセキュリティ・エチケットを紹介しましょう。 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。今回は、「オープンリダイレクター」という脆弱性について説明します。 オープンリダイレクターとは？ オープンリダイレクターとは、あるURLを開くと自動的に他のページにジャンプするリダイレクト機能が、攻撃者によって任意の外部ページへのリダイレクターとして利用可能になっている問題です。 「http://example.jp」上で提供されるWebアプリケーションにて、例えば「http://example.jp/go?url=/nex
WordPressサイトの管理者向けセキュリティ対策方法チェックリスト | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
皆様はじめまして、モリイです。本業ではWordPress専用のセキュリティ診断サービスを運営しています。 さて、ご存知の方も多いとは思いますが、WordPressは攻撃者によく狙われます。 その理由の1つは高い導入率です。LIGブログでも以前こちらの記事「みんなは知ってる？WordPressの特徴と人気の理由を分析してみた」で紹介されていたように、世界で一番人気のCMSです。WordPressで作成されたサイトは世界中に9000万以上あると言われており、悪意を持っている人物にとっては格好のターゲットです。 また、WordPressだけではなく、CMS一般、例えば、Drupal、EC-CUBEなどにも言ることですが、構造がパターン化されており、そのCMSを利用しているということが一目でわかる、ということも攻撃される理由に挙げられます。 そこで、サイト管理者は攻撃者からサイトを守らなければいけ
大阪のNode.js勉強会でNode.jsのセキュリティについての話してきた #npp02 - from scratch
大阪Node学園に行ってきました。 かねてから雰囲気を知りたいと思っていた大阪Node学園に行ってきました。 行く前から今回の勉強会はすごく人数が少ない、という事だったので、役に立つ話(セキュリティの話)とぶっちゃけ話(心の闇)の両方をしようと思って行ってきました。 建前と本音の話 建前と本音というタイトルで話してきました。 建前編はセキュリティに関する話がメインで、そんなにNode.js関係ないんですがProductionで動かすなら知っておいてまぁ損はないです。 本音編は本音というかセキュリティに関するぶっちゃけ話なので言えない事が多く、削除してしまいました。 大阪Node学園の発表内容 「Node を稼働させる」 by @kumatch 資料 : Nodeを稼働させる from kumatch kumatch Node.jsを本番環境で起動させるには、っていうことで、プロセスをデーモ
究極のセキュリティ対策はカーボン紙？ カード情報流出のチェーン店
クレジットカード情報の流出が発覚した飲食店チェーンが、カード表面の文字を手作業でカーボン紙に写し取るインプリンタを導入した。 全米で中華料理店チェーンを展開する米P.F. Changは6月12日、一部のチェーン店で顧客が使ったクレジットカードやデビットカードの情報が盗まれていたことが分かったと発表した。同社は再発防止策としてカードの決済処理方法を切り替え、表面の文字を手作業でカーボン紙に写し取るインプリンタを導入したことを明らかにした。 P.F. ChangのWebサイトに掲載された告知によると、カード情報の流出は米シークレットサービスからの連絡で6月10日に発覚し、外部の専門家の協力を得て調査を開始した。シークレットサービスによれば、同社傘下のチェーン店で使われたカード番号の流出が確認されたという。 流出した原因や規模などの詳細がまだ判明せず、調査が続けられていることから、同社は再発防止
【iOS 8】Wi-Fi利用時のプライバシー保護を強化。MACアドレスをランダムに変更して追跡を回避 | AppBank
iOS 8 では、ネットワーク機能も強化されます。 （画像：9to5Mac） iOS 8 では、Wi-Fi スポット検索時に送信する識別番号がランダム化されます。ここ数年で、この識別番号を収集してマーケティングに活かす動きが出てきたからです。 さらに iPhone・iPad のあいだでデータを直接やり取りする『マルチピア接続』が強化されます。これまでは iOS 限定でしたが、OS X Yosemite にも対応します。 ※ 紹介する機能は開発途上のベータ版 iOS 8 のものなので、一般公開の前に変更・削除される可能性があります。 iOS 8の最新情報まとめはこちら → 【iOS 8まとめ】毎日つかうアプリが新しくなったiOS 8の使い方まとめ! 識別番号をランダムに変更 海外のApple系ニュースサイト『AppleInsider』によれば、iOS 8 では Wi-Fi スポット検索時に送
ドワンゴが「niconico」不正ログイン攻撃の被害状況を公表、お手本のような詳しい情報公開 [インターネットコム]
ドワンゴとニワンゴは、「ニコニコ動画（ニコ動）」や「ニコニコ生放送（ニコ生）」を含むコンテンツ配信サービス「niconico」が不正ログイン攻撃を受けた件に関し、攻撃規模や被害状況などの詳細情報を公表した。それによると、21万9,926件のアカウントが不正ログインされ、19アカウントで「ニコニコポイント」が不正使用されたという。不正使用による被害総額は17万3,610円に上った。 niconico がユーザーからの問い合わせを受けて調査を開始したのは6月9日。この時点の問い合わせ状況は、6月1日に2件、6月9日に1件あっただけだった。翌10日には第三者による不正ログイン試行を検出し、同一 IP アドレスからの大規模な不正ログインが2014年5月27日から6月4日にかけて行われていたことを確認した。さらに、ニコニコポイントが不正に使われたことも確認できたそうだ。 この時点で、不正ログイン攻撃
![ドワンゴが「niconico」不正ログイン攻撃の被害状況を公表、お手本のような詳しい情報公開 [インターネットコム]](https://cdn-ak-scissors.b.st-hatena.com/image/square/1ec300faf8de677f5db8a81c8550a088c52fbddc/height=288;version=1;width=512/https%3A%2F%2Fimage.internetcom.jp%2Fimg%2F20140613%2F1402643767.jpg)
（緊急）BIND 9.10.xの脆弱性（DNSサービスの停止）について（2014年6月12日公開）
--------------------------------------------------------------------- ■（緊急）BIND 9.10.xの脆弱性（DNSサービスの停止）について（2014年6月12日公開） - キャッシュ／権威DNSサーバーの双方が対象、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2014/06/12（Thu） --------------------------------------------------------------------- ▼概要 BIND 9.10.xにおける実装上の不具合により、namedに対する外部からのサー ビス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されまし た。本脆弱性により、提供者が意図しないサービスの停止が発生する可能性 があります。
セキュリティ業務の内製とチームメンバー育成
1. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. セキュリティ業務の内製 とチームメンバー育成 － 0 から作るセキュリティチー ム－ Jun 11, 2014 Toshiharu Sugiyama Security Dept. Security Engineering Group DeNA Co., Ltd. 2. Copyright (C) DeNA Co.,Ltd. All Rights Reserved. 自己紹介 会社 ⁃ 株式会社ディー・エヌ・エー • システム本部 セキュリティ部 セキュリティ技術グループ 名前 ⁃ 杉山 俊春 ( はるぷ , @harupuxa) 属性 ⁃ セキュリティ ⁃ プログラマー ⁃ イラストレーター ⁃ ラテアート ⁃ 猫 2 3. Copyright (C) DeNA Co.,Lt
匿名化の崩壊
2. あらまし の あらまし • パーソナルデータのデータベースは 個人ＩＤ＋多数の属性値 というレコードからなります。 • 属性値には購買した品物、特定の場所の滞在履歴や移動履歴、評 価した商品（映画など）があります。 • 個人ＩＤを消して匿名化していても、少数の属性値が攻撃 者に知られるだけで、個人識別ができてしまいます。 • 稀(rare)な属性値が知られると非常に危険です。 • こういった直感をモデル化して数量的に評価した話です。 3. • Netflixの映画評価データベースを使った公開タスク事件： Narayanan, A., Shmatikov, V. (2008) Robust De-anonymization of Large Sparse Datasets, Proc. of the 2008 IEEE Symposium on Security and Priva
サイバー攻撃、抜き打ち訓練で職員に喝 広島県庁 - 日本経済新聞
ウイルス付きメールなどで企業や官公庁・自治体に侵入し、機密情報を盗み出す「標的型サイバー攻撃」。専門家は「組織の9割は標的型のウイルスに感染している」と語り、人ごとではない大きな問題で、手口は悪質化する一方だ。2012年、攻撃を受けた広島県庁は、知恵を絞って技術と人の両面から防壁を再構築していった。標的型サイバー攻撃との闘いの軌跡を追った。出口対策を加え多層化「ウイルスが侵入しています！」。
ネットに安全地帯なし 「標的型攻撃」、日本にも - 日本経済新聞
サイバー攻撃の脅威が増している。機密情報を盗む「標的型攻撃」を受ける企業や団体は全体の9割にのぼり、ネット銀行の口座情報を狙う攻撃も日増しに悪質さを増している。これまでになかった高度な技術や手口を駆使するケースも増えている。世界のサイバー攻撃事情は想像を超え、異次元に突入した。2011年ごろから表面化し始めた標的型攻撃は、被害に遭った企業の経営を揺るがすほどのリスクになっている。米小売大手ター
OpenBSDプロジェクト、OpenSSLプロジェクトの対応に苦言
The OpenBSD project produces a FREE, multi-platform 4.4BSD-based UNIX-like operating system. OpenBSDプロジェクトは6月5日(オランダ時間)、「OpenSSL Releases Bugfixes, Advance Notice To Some Vendors But Not OpenBSD」においてOpenSSLプロジェクトが発表したOpenSSLのセキュリティ脆弱性に関するやり取りに関して苦言を呈した。 OpenSSLセキュリティ脆弱性の発表にあわせてセキュリティパッチの提供を開始したベンダやプロジェクトが存在するが、これは事前にOpenSSLプロジェクトとやり取りがあったためだと指摘。OpenBSDプロジェクトやLibreSSLプロジェクトはOpenSSLプロジェクトから連絡を受けていない
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Expired
agilecatcloud.com
【やじうまWatch】SNSの公開情報をもとに知らない人から個人情報を聞き出すドッキリ動画
わずか3時間半で個人特定 「匿名性」の落とし穴 ソーシャル新人類の不夜城（7） - 日本経済新聞
