パラノイアのプログラマと第６感 - megamouthの葬列
今だから白状すると、昔、運営していたサービスの一般ユーザーのパスワードをハッシュ化（暗号化）せずに平文でDBに保存していたことがある。 言いわけは、幾つかある。 一つは、今では当たり前のようについているパスワードリマインダーの仕組みが当時は一般的ではなかったこと。 ユーザーがパスワードを忘れた、と問い合わせしてきた時に、最も自然な方法はまさに当人が設定した「パスワード」を一言一句違わず登録メールアドレスに送信することだった。あなたのパスワードは○○○です。ああそうそう、そうだったね。こういう感じだ。 当時のユーザーはそれを不審がらなかった。 またサポートコストの問題があった、パスワードの再発行を、そのためのトークンを含んだ長いURLを、大半のユーザーが嫌がっていた。 サポート部門はOutlookExpressに表示された長すぎるURLのリンクが途中で切れててクリックできない、という苦情にい
指定されたページが見つかりません。｜Infoseekニュース
404 NOT FOUND 指定されたページが見つかりません。 お手数ですが、次のいずれかの方法でページをお探しください。 ブラウザの再読み込みを行う 入力したURL（ページアドレス）にタイプミスがないか確認する ブラウザの「戻る」ボタンを押して前画面からやり直す
NISTによる「ゼロトラストにおける7つの基本原則」と従来の境界型防御との関係
NISTによる「ゼロトラストにおける7つの基本原則」と従来の境界型防御との関係：働き方改革時代の「ゼロトラスト」セキュリティ（6） デジタルトラストを実現するための新たな情報セキュリティの在り方についてお届けする連載。今回は、NISTによる「ゼロトラストにおける7つの基本原則」について。 デジタルトラストを実現するための新たな情報セキュリティの在り方についてお届けする連載『働き方改革時代の「ゼロトラスト」セキュリティ』。前回は、NIST（National Institute of Standards and Technology：米国立標準技術研究所）が発行したレポートである「SP 800-207 Zero Trust Architecture（2nd Draft）」に書かれた内容を基に、今後ゼロトラストを論じる上で軸となり得る、米国政府が考えるゼロトラストの定義と実践の姿について考えまし
リバースブルートフォース攻撃とは？仕組みや危険性、対策について徹底解説
特定のIDに対して、あらゆる文字列の組み合わせをパスワードとして総当たりで攻撃する手法である「ブルートフォース攻撃」が知られています。これはパスワード認証が求められるシステムに対する攻撃手法としては歴史が古く、現在ではシステムの防御側で様々な方法で対策が取られています。 しかしこのブルートフォース攻撃を応用した「リバースブルートフォース攻撃」による不正なログインが確認される事例が増えてきています。今回はリバースブルートフォース攻撃に概要やブルートフォース攻撃との違い、そして具体的な対策方法について徹底解説します。 リバースブルートフォース攻撃とは、特定のパスワードと、IDに使用されている文字列の組み合わせを使って、総当たり的にログインを試みる攻撃のことです。 攻撃者は何らかのプログラムを使用して、システムに対して不正なログインを試みようとします。その際、パスワードの文字列を固定にして、ID
ドコモ口座を悪用した不正送金についてまとめてみた - piyolog
NTTドコモのドコモ口座を悪用し、不正に盗み出した口座番号、キャッシュカード暗証番号等の情報を使用した口座の不正利用が発生したと報じられました。ここでは関連する情報をまとめます。 勝手に作成したドコモ口座に送金 不正送金の手口 犯人が何らかの方法で口座番号、名義、キャッシュカード暗証番号等を入手。 銀行預金者の名義でドコモ口座を開設。 入手した銀行の口座番号、キャッシュカードの暗証番号を使って「Web口振受付サービス」を利用 サービスを通じて口座預金をドコモ口座にチャージ。 Web口振受付サービスは銀行提携先のWebサイトを通じて口座振替の申し込み手続きができるサービス。 ドコモ口座不正利用の発表相次ぐ 当初被害報告が上がった銀行は七十七銀行だが、その後も複数の地銀で不正利用に関する案内が相次ぎ公開された。 ドコモ口座登録等の受付停止を行った銀行 35行、全ての銀行 不正利用(疑い含む)発
続々連携がストップしているドコモ口座とWeb口振受付の問題について - novtanの日常
詳細不明なところもありますのでなんとも言えないんだけど、外部から見える範囲でわかる問題点について解説してみます。詳細を調べたら問題なかったり、中の人だけが知っている仕様によってクリアされている問題もあるかもしれません。 事実誤認があれば訂正しますのでよろしく。 そもそもドコモ口座って？ ドコモユーザーならおなじみ、それ以外でも使えるアカウントサービスである「dアカウント」に紐づけてキャッシュレス決済などで使用できる電子マネー（だよね）のことです。 dアカウントは元々はドコモ契約者向けのアカウントサービスだったんですが、スマホを起点としたサービスを提供するに当たり、汎用的なアカウントサービス（ID提供サービスとも言えます）にするためにドコモの回線契約とのつながりを限定的にしたものです。GoogleアカウントやFacebookアカウントでのログインと同様、dアカウントでのログインができるように
「ゼロトラスト」時代のネットワークセキュリティの思わぬ落とし穴に注意せよ
クラウドやモバイルデバイスのビジネス活用が急速に普及した現在、社内外のネットワークの境界が曖昧になりつつある。その結果、ネットワークセキュリティの概念も様変わりを見せている。これまで主流であった、ネットワークの内部と外部の間にファイアウォールなどの境界を設けて攻撃を遮断する「境界型セキュリティモデル」だけでは自社のIT環境を必ずしも守ることができなくなった。 そこで注目されているのが「ゼロトラストネットワーク」である。従来の境界型ネットワーク対策に代わるものとして、企業での導入が広がりつつある。しかし、このコンセプトを現場で適用する場合、思わぬ落とし穴が存在することはあまり知られていない。 以下の資料では、ゼロトラストネットワークを実装する際に気をつけなければならない課題を解説。その解決策を提示している。セキュリティ担当者は一読することをお勧めする。
テレワークのネットワーク渋滞を解消する鍵は「脱・VPN」(2) 企業の新たなセキュリティ境界線「SASE」とは？
企業の内側と外側の間に境界を引くことを前提としたアーキテクチャは、クラウドをはじめとするIT環境の変化に伴って陳腐化した。それに代わって今、SASEと呼ばれる新たなアプローチが注目され始めている。 境界に多層防御を重ねるというアプローチは時代遅れ 前回は、長年企業のリモートアクセス環境を支えてきたVPNが、IT環境の変化、テレワークの大規模化にともなって限界を露呈させたことを紹介した。 オンプレミスやデータセンターでの1点集中型の構成は、従業員がそのシステム内にいて、アクセスする先もオンプレミス環境という前提ではうまくいっていた。セキュリティ対策もその前提に沿って、境界に多層防御を重ねるというアプローチで実装され、VPNはその「内側の世界」に、外部の端末からアクセスする仕組みとして活用されてきた。 だが、IT環境が大きく変化した今、このアプローチは現状に追随できなくなっている。 まずは、利
グーグル流ゼロトラスト「BeyondCorp」を読み解く
米Google（グーグル）はゼロトラストネットワークを実践するに当たって、どのようなアーキテクチャーを採用し、どのように実装を進めていったかを自ら解説している。ここでは、その論文「BeyondCorp」を基に、同社がどのようにしてゼロトラストネットワークを実践したかを見てみよう。 BeyondCorpに関して、グーグルは2014年から2018年にかけて6本の論文を公開した。2011年の時点で境界防御モデルの限界に気づき、ゼロトラストモデルの導入が必要と判断したという。 BeyondCorpでも情報収集、アクセスレベルの決定、アクセス制御という3つの要素を満たす構造は同じだ。情報収集の結果に応じてアクセスレベルを決定し、アクセス制御を実施する。 このうちBeyondCorpにおいて注目したいのは、（1）デバイスインベントリーサービス、（2）信頼度推論エンジン、（3）アクセスプロキシーだ。デバ
企業のテレワーク拡大で懸念されるランサムウェア犯罪の被害
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 新型コロナウイルス感染症の拡大に伴い企業でテレワーク利用が広がる中、リモートアクセスツールの脆弱性を突くサイバー攻撃の危険性が指摘された。他方でランサムウェアによるサイバー犯罪は、攻撃者が機密データを暗号化して金銭を要求する従来の手口だけでなく、「インターネットに公開する」とも脅迫して強硬に金銭を窃取する新たな動きが注目されている。テレワークのセキュリティリスクとランサムウェア犯罪が懸念される。 米ZDNetは8月4日、サイバー攻撃者が913件のPulse SecureのVPNサーバーに関するIPアドレスとID、パスワードのリストが攻撃者のフォーラムサイトで公開されたと報じた。セキュリティ企業のKELAによる調査協力で、フォーラムサイト
わずか5カ月で総額27億円をゆすり取ったランサムウェア「NetWalker」の被害が拡大
2019年8月に初めて検出されたランサムウェア「NetWalker」が2020年3月に入ってから急増し、2020年3月から2020年8月までのわずか5カ月間で被害総額がおよそ2500万ドル(約27億円)に達したとIT系セキュリティ企業McAfeeが報告しました。 Take a "NetWalk" on the Wild Side | McAfee Blogs https://www.mcafee.com/blogs/other-blogs/mcafee-labs/take-a-netwalk-on-the-wild-side NetWalker ransomware gang has made $25 million since March 2020 | ZDNet https://www.zdnet.com/article/netwalker-ransomware-gang-has-ma
サイバー犯罪者が「攻撃する気がなくなる」セキュリティの条件とは？
関連キーワード クラウドサービス | セキュリティリスク | セキュリティ対策 セキュリティ対策を考える上では、システムが稼働するインフラがクラウドサービスか、オンプレミスかといったことではなく「変化のさなかにあるかどうか」が重要だということは、本連載のこれまでの記事でお伝えしてきた通りだ。「システムの変化時に生じやすい脆弱（ぜいじゃく）性を狙う」という攻撃者の行動原則が変化しない限り、インフラの構成要素がいくら変わろうとも、セキュリティ対策の基本的な考え方は変わらない。 併せて読みたいお薦め記事 技術変革とセキュリティ 「クラウドの設定ミスで情報漏えい」はなぜ起こるのか？ 取るべき対策は 「キャッシュレス」「5G」「AI」のセキュリティリスクとは？ 対策を整理 「ゼロトラストセキュリティ」とは？ クラウドが求めたセキュリティモデル 攻撃者の意図を探る 企業が「ホワイトハットハッカー」を採
ディズニーや任天堂、Microsoftなど50社以上の企業のソースコードがリークされる
by Swedg ディズニーや任天堂、Microsoftなどを含む50社以上の企業から大量のソースコードがリークされました。 Source code from dozens of companies leaked online https://www.bleepingcomputer.com/news/security/source-code-from-dozens-of-companies-leaked-online/ Disney, Microsoft, Nintendo and 50 more hit by massive source code leak | Tom's Guide https://www.tomsguide.com/news/companies-source-code-leak Source code of over 50 high profile organiz
日本がサイバー攻撃の餌食にされ続ける理由 被害を隠すだけでは攻撃相手をつけ上がらせるだけ | JBpress (ジェイビープレス)
今年6月19日、オーストラリアのモリソン首相は、政府と企業を標的にしたサイバー攻撃の被害を明らかにした。相手は攻撃の規模や性質から、国家ベースのものだという。報道では、コロナの発生源を巡って同国と対立していた中国による犯行との見方も出ているが、中国は否定している（写真：AAP Image/アフロ） イギリスの国家サイバーセキュリティセンター（NSCS）は7月16日、新型コロナウイルスのワクチンなどを狙ったロシアからのサイバー攻撃が頻発しているとして、ロシア諜報機関などを非難する声明を発表した。この警告は、アメリカとカナダと連名で出されている。 またアメリカの司法省は7月20日、中国政府系のハッカー2人を起訴したと発表した。起訴状によると、中国在住の2人は、中国のスパイ機関である国家安全部（MSS）などのために世界各地でサイバー攻撃を行い、日本を始め世界12カ国で45の政府機関や民間企業への
30分でOpenID Connect完全に理解したと言えるようになる勉強会
社内向け勉強会で発表した内容です。 30分でと書いてありますが、実際には50分かかりました。 また時間の関係で結構省いたりしている箇所があります。 2020/07/19追記 ご指摘をいただいた箇所を多々修正いたしました。 特にOIDCとSPAの章が初版とは大幅に変更されていますのでご注意く…
NTT Comへの不正アクセス、BYOD端末からの経路も判明
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます NTTコミュニケーションズは7月2日、5月28日に公表した同社設備への不正侵入と一部情報の外部流出の可能性について、新たにBYOD端末からのリモートアクセスを通じた経路での侵入も判明したと発表した。情報の外部流出の可能性についても83社分が新たに判明したとしている。 同社によると、調査で新たにVDIサーバーを経由して一部の社内ファイルサーバーへの不正アクセスが確認され、社内ファイルが閲覧された可能性があることが5月26日に判明した。リモートアクセスを利用したBYOD端末からの不正アクセスが判明し、全てのBYOD端末とシンクライアント専用端末のリモートアクセス環境を即時に停止し、同時に、全社員のパスワードも変更したという。 不正侵入では窃
CentOS7のfirewalldで設定しても、dockerで開いた無許可のポートに外部からアクセスできてしまう。
CentOSサーバ上でnginxを80と443ポートで受け付けています。 それとは別に同サーバ上でdockerコンテナを1234ポート(仮)で建てたのですが、このポートはホストOS→コンテナアクセス専用なため、外部に公開したくありません。 ところが、特に許可していないはずの1234ポートに外部回線のブラウザから普通にアクセスできてしまいました・・。 ・nginx 80ポート → 許可 ・nginx 443ポート → 許可 ・docker 1234ポート → 拒否（したいができない・・） firewalldの設定は以下の様になっており、 services: dhcpv6-client http https sshとなっているため1234ポートなんて適当なポートにアクセスできるワケないのですが、ブラウザからアクセスすると、レスポンスが帰ってきてしまいます。。 firewalld再起動、OS再起
BeyondCorp Zero Trust Enterprise Security
BeyondCorp is Google's implementation of the zero trust model. It builds upon a decade of experience at Google, combined with ideas and best practices from the community. By shifting access controls from the network perimeter to individual users, BeyondCorp enables secure work from virtually any location without the need for a traditional VPN. BeyondCorp began as an internal Google initiative to e
グーグル、オープンソースのセキュリティキープラットフォーム「OpenSK」
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleは米国時間1月30日、新プロジェクト「OpenSK」をオープンソース化したと発表した。ハードウェアベンダーや愛用者が独自のセキュリティキーを容易に作成できるようになる。 GitHubで公開されているこのプロジェクトにはRustベースのファームウェアが含まれており、ユーザーはこれをNordic Semiconductor製のチップドングルにインストールすることで、そのドングルは実質的に「FIDO U2F」および「FIDO2」に準拠したセキュリティキーとなる。 またGoogleは、ユーザーがキーを保護し、持ち運べるよう、3Dプリンターで出力できる物理的なカスタムのケースも提供している。 Googleはまた、セキュリティキー製品の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
クラウド上の契約に法的リスク 20年前施行の法が壁に - 日本経済新聞
