GitHubユーザーのSSH鍵6万個を調べてみた - hnwの日記
（2015/1/30 追記）時期は不明ですが、現時点のgithub.comはEd25519鍵にも対応しています。 （2016/5/31 追記）「GitHubにバグ報告して賞金$500を頂いた話」で紹介した通り、既に弱い鍵はGitHubから削除され、新規登録もできなくなっています。 GitHub APIを利用して、GitHubの31661アカウントに登録されているSSH公開鍵64404個を取得してみました。抽出方法*1が適当すぎて偏りがあるような気もしますが、面白い結果が得られたと思うのでまとめてみます。 SSH鍵の種類 鍵の種類 個数 割合 RSA鍵 61749 (95.88%) DSA鍵 2647 (4.11%) ECDSA鍵 8 (0.01%) 約6万個の鍵のうち、8個だけECDSA（楕円DSA）鍵が見つかりました！常用しているのか試しに登録してみただけなのかはわかりませんが、何にせよ
継続的WEBセキュリティ診断サービス VAddy
ウェブアプリケーションの開発において、CI(Continuous Integration)のサイクルに、クロスサイトスクリプティングやSQLインジェクション等を早期に発見するための脆弱性診断も組み込まれるべきでは？というコンセプトで、新しいウェブサービスを開発しました。現在、アルファ版の詰めに入っている段階です。アルファ版を使ってくれるユーザさん（もちろんアルファ版の段階では無料）を探しています。 VAddy http://vaddy.net/ Jenkins等のCIサーバ上でcommit毎にビルドやユニットテストが実行されるという文化は定着しつつあり、誰もがその良さを実感していると思います。 同じように、セキュリティ面でのテストもCIサーバが自動的に実行してくれれば便利ではないでしょうか。 VAddyはSaaS型のウェブアプリケーション脆弱性診断サービスです。基本的な使い方として、ユーザ
LINEは2048ビットRSA採用 「暗号化が弱いためデータ流出の可能性」は「誤解」と技術ブログで説明
LINEは6月26日、LINEの通信の暗号化について説明する記事を、技術ブログ「LINE Engineers' Blog」で公開した。「LINEの通信の暗号化が弱く、情報が流出する可能性がある」などの声は「誤解」と断じ、すべての通信方式でデータを暗号化していること、暗号化方式に2048ビットRSAを採用していることなどを明かしている。 ブログでは、「LINEで一般的に誤解されている情報」として、（1）暗号化方式が弱いため外部に情報が流出する可能性がある、（2）Wi-Fi通信ではデータが暗号化されているがモバイルネットワーク（3G、LTE）では暗号化されていない――の2点があると指摘。 モバイルネットワークでも暗号化していることを示すため、スマートフォンからLTEで「Test message send」と送信し、そのパケットをキャプチャしたとするファイル（pcapファイル）を開いた画像を公開
これなら合格！ 正しいリダイレクターの作り方
これなら合格！ 正しいリダイレクターの作り方：HTML5時代の「新しいセキュリティ・エチケット」（4）（1/3 ページ） えっ、まだmeta refreshとか301使ってるの？ リダイレクターの作り方も時代とともに移り変わります。記事を読んだらすぐに使えるセキュリティ・エチケットを紹介しましょう。 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。今回は、「オープンリダイレクター」という脆弱性について説明します。 オープンリダイレクターとは？ オープンリダイレクターとは、あるURLを開くと自動的に他のページにジャンプするリダイレクト機能が、攻撃者によって任意の外部ページへのリダイレクターとして利用可能になっている問題です。 「http://example.jp」上で提供されるWebアプリケーションにて、例えば「http://example.jp/go?url=/nex
WordPressサイトの管理者向けセキュリティ対策方法チェックリスト | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
皆様はじめまして、モリイです。本業ではWordPress専用のセキュリティ診断サービスを運営しています。 さて、ご存知の方も多いとは思いますが、WordPressは攻撃者によく狙われます。 その理由の1つは高い導入率です。LIGブログでも以前こちらの記事「みんなは知ってる？WordPressの特徴と人気の理由を分析してみた」で紹介されていたように、世界で一番人気のCMSです。WordPressで作成されたサイトは世界中に9000万以上あると言われており、悪意を持っている人物にとっては格好のターゲットです。 また、WordPressだけではなく、CMS一般、例えば、Drupal、EC-CUBEなどにも言ることですが、構造がパターン化されており、そのCMSを利用しているということが一目でわかる、ということも攻撃される理由に挙げられます。 そこで、サイト管理者は攻撃者からサイトを守らなければいけ
ドワンゴが「niconico」不正ログイン攻撃の被害状況を公表、お手本のような詳しい情報公開 [インターネットコム]
ドワンゴとニワンゴは、「ニコニコ動画（ニコ動）」や「ニコニコ生放送（ニコ生）」を含むコンテンツ配信サービス「niconico」が不正ログイン攻撃を受けた件に関し、攻撃規模や被害状況などの詳細情報を公表した。それによると、21万9,926件のアカウントが不正ログインされ、19アカウントで「ニコニコポイント」が不正使用されたという。不正使用による被害総額は17万3,610円に上った。 niconico がユーザーからの問い合わせを受けて調査を開始したのは6月9日。この時点の問い合わせ状況は、6月1日に2件、6月9日に1件あっただけだった。翌10日には第三者による不正ログイン試行を検出し、同一 IP アドレスからの大規模な不正ログインが2014年5月27日から6月4日にかけて行われていたことを確認した。さらに、ニコニコポイントが不正に使われたことも確認できたそうだ。 この時点で、不正ログイン攻撃
![ドワンゴが「niconico」不正ログイン攻撃の被害状況を公表、お手本のような詳しい情報公開 [インターネットコム]](https://cdn-ak-scissors.b.st-hatena.com/image/square/1ec300faf8de677f5db8a81c8550a088c52fbddc/height=288;version=1;width=512/https%3A%2F%2Fimage.internetcom.jp%2Fimg%2F20140613%2F1402643767.jpg)
（緊急）BIND 9.10.xの脆弱性（DNSサービスの停止）について（2014年6月12日公開）
--------------------------------------------------------------------- ■（緊急）BIND 9.10.xの脆弱性（DNSサービスの停止）について（2014年6月12日公開） - キャッシュ／権威DNSサーバーの双方が対象、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2014/06/12（Thu） --------------------------------------------------------------------- ▼概要 BIND 9.10.xにおける実装上の不具合により、namedに対する外部からのサー ビス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されまし た。本脆弱性により、提供者が意図しないサービスの停止が発生する可能性 があります。
乗っ取られる「Apple ID」 個人情報を守るためには？ | トレンドマイクロ セキュリティブログ
2014年6月2日（米国時間）から開催された Apple による開発者向けイベント「2014 Worldwide Developers Conference（WWDC）」で、多くの発表があり、Apple の開発者や熱狂的なファンを喜ばせました。しかし、喜んだのは彼らだけではありません。不純な動機を持った人々もこれらの発表を歓迎しました。つまり、サイバー犯罪者たちです。 2014年5月下旬、一部のサイバー犯罪者が実際に Apple ID のアカウントを狙っているという具体的な事例が確認されました。Apple サポートコミュニティの投稿には、ユーザの端末がロックされ、「Oleg Pliss」という人物から、端末のロックを解除するために 100米ドル（2014年6月6日時点、約1万円）を支払うよう要求するメッセージを受け取ったという多くのユーザの訴えが寄せられています。本物の Oleg Plis
匿名化の崩壊
パーソナルデータのデータベースは、「個人ＩＤ＋多数の属性値」というレコードの多数集まったものです。 属性値には購買した品物、特定の場所の滞在履歴や移動履歴、評価した商品（映画など）があります。 個人ＩＤを消して匿名化していても、少数の属性値が攻撃者に知られるだけで、個人識別ができてしまいます。稀(rare)な属性値が知られると非常に危険です。 こういった直感をモデル化して数量的に評価した話です。
「iOS 8」ではMACアドレスをつかったユーザー識別が不可能に - WirelessWire News（ワイヤレスワイヤーニュース）
アップル（Apple）から今秋リリース予定の最新モバイルOS「iOS 8」では、端末のMAC（Media Access Control）アドレスを利用してユーザーを識別する従来のやり方が使えなくなるという。ユーザーのプライバシー保護強化につながるいっぽう、一部のマーケティング企業などには従来のやり方を改める必要が生じるなどと複数の媒体が報じている。 この変更は、フレデリック・ジェイコブズ（Frederic Jacobs）氏というプログラマーが発見してTwitter上で報告したもの。同氏によれば、「iOS 8」では、端末がWi-Fiネットワークに接続しようとする際に使われるMACアドレスが、ハードウェアに紐付いた固有のものから、毎回ランダムに生成されるソフトウェアベースのものに変更されるという。 iOS 8 randomises the MAC address while scanning
サイバー攻撃、抜き打ち訓練で職員に喝 広島県庁 - 日本経済新聞
ウイルス付きメールなどで企業や官公庁・自治体に侵入し、機密情報を盗み出す「標的型サイバー攻撃」。専門家は「組織の9割は標的型のウイルスに感染している」と語り、人ごとではない大きな問題で、手口は悪質化する一方だ。2012年、攻撃を受けた広島県庁は、知恵を絞って技術と人の両面から防壁を再構築していった。標的型サイバー攻撃との闘いの軌跡を追った。出口対策を加え多層化「ウイルスが侵入しています！」。
遠隔操作ウイルス事件、コードプロファイリングから浮かぶ「気持ち悪さ」
IT関係者の関心も集めた遠隔操作ウイルス事件の意外な幕切れについて、クレイジーワークス 代表取締役 総裁の村上福之氏が緊急寄稿した。 トロイの木馬「iesys.exe」に感染させた他人のPCを踏み台にしてインターネット掲示板に犯行予告などの書き込みを行い、4人が誤認逮捕された「PC遠隔操作ウイルス事件」。その真犯人として2013年2月、元IT会社員の片山祐輔被告が逮捕・起訴された。 その後片山被告は一貫して容疑を否認してきたが、2014年5月、事態が大きく動いた。弁護士やマスメディアに「真犯人」を名乗る人物からのメールが届いたのだ。捜査上の問題点なども指摘されていたことから、一時は別に真犯人がいるのではないかという意見も浮上したが、事件は意外な形で幕を閉じた。保釈中の片山被告が、メールを送信したスマートフォンを河川敷に埋める様子が捜査関係者に見つかり、これまで無罪を訴えてきた同被告は、「言
OpenSSLの脆弱性（CVE-2014-0224）への対応方法（AWSサービス/OSごと） ※随時更新中 - サーバーワークスエンジニアブログ
大阪オフィスの桶谷です。こんにちは。 今週から大阪オフィスにも1人メンバーが増えました。祝ぼっち脱出。 さて、先日のHeartbleedに続いて、またしてもOpenSSLの脆弱性が発見されました。今回はCCS Injectionです。 ということで対応方法をまとめてみました。 ※最終更新 2014/06/11 1:00 CCS Injection脆弱性(CVE-2014-0224)の概要・対策・発見経緯について 株式会社レピダム さんの脆弱性発見ニュース http://lepidum.co.jp/news/2014-06-05/news-CCS-Injection/株式会社レピダム さんの脆弱性の概要説明 http://ccsinjection.lepidum.co.jp/ja.htmlOpenssl.org https://www.openssl.org/news/secadv_2014
「OpenSSL」における Change Cipher Spec メッセージ処理の脆弱性対策について(JVN#61247051)：IPA 独立行政法人 情報処理推進機構
対象 サーバ側およびクライアント側で使用している「OpenSSL」のバージョンが以下の組み合わせの場合に、本脆弱性の影響を受けることが確認されています。 サーバ側: OpenSSL 1.0.1 系列のうち 1.0.1g およびそれ以前 クライアント側: OpenSSL 1.0.1 系列のうち 1.0.1g およびそれ以前 OpenSSL 1.0.0 系列のうち 1.0.0l およびそれ以前 OpenSSL 0.9.8 系列のうち 0.9.8y およびそれ以前 開発者が提供する情報をもとに最新版へアップデートしてください。 Q&A 通信経路上の攻撃者とは？ 本脆弱性を悪用するためには、クライアントとサーバの間に入って通信を中継する必要があります。このようなシナリオでの攻撃を一般に中間者攻撃といい、このときの攻撃者を本稿では通信経路上の攻撃者と呼んでいます。一般に、通信経路上の攻撃者となること
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
agilecatcloud.com
セキュリティ業務の内製とチームメンバー育成
わずか3時間半で個人特定 「匿名性」の落とし穴 ソーシャル新人類の不夜城（7） - 日本経済新聞