GoogleはAndroidの更新に関する問題をいつまで放置し続けるのか | スラド セキュリティ
提供開始からほぼ半年となるAndroid 5.0(Lollipop)だが、Android Developers Webサイトで公表されているプラットフォームバージョンごとのデータによればシェアがまだ10%に届いていないようだ。これについてTom's Hardwareの記事では、GoogleがAndroidの更新に関する問題をこれ以上無視することはできなくなるだろうとの見方を示している(Tom's Hardwareの記事、 本家/.)。 このデータは最新の「Playストア」アプリが4月28日～5月4日に収集したもので、Android 5.0のシェアは9%。マイナーアップデートのAndroid 5.1(0.7%)を加えても9.7%にとどまる。一方、Android 4.4(KitKat)のシェアは39.8%となっており、プラットフォームバージョン別では最も多い。Android 4.1.x～4.3
ほぼすべてのパーツを3Dプリンターで出力した拳銃が完成 | スラド セキュリティ
テキサス大学の学生が率いる3Dプリンターによる銃器製造プロジェクト「Defense Distributed」が、ほぼすべてのパーツを3Dプリンターで出力した拳銃を完成させたそうだ(Forbesの記事、 Motherboardの記事、 TechCrunch Japanの記事、 本家/.)。 3月に/.J記事でも話題になったが、Defense Distributedは、AR-15と組み合わせて利用可能な下部レシーバーを3Dプリンターで作成している。今回作成された拳銃は「Liberator」と名付けられ、プロトタイプでは撃針部分を除く16個のパーツが3Dプリンターから出力されたABS樹脂製となっている。ただし、「プラスチック銃法」としても知られる、米国の「検知されない銃器法(Undetectable Firearms Act)」に違反しないため、約170グラムの鉄の塊が組み込まれているとのこと。
パスワード失念時の「秘密の質問」に答えて3200以上のアカウントを不正入手した男 | スラド セキュリティ
米国在住の23歳、George Bronkは3200以上ものメールアカウントをクラックし、私的な写真をそのアカウントの持ち主のFacebookアカウントにアップした罪で訴えられているそうだ（IT WORLD、本家/.）。 容疑者の手口は定番とも言える、GmailやYahooメールなどのWebメールアカウントの「秘密の質問」に答えるというもの。Facebookのアカウントをチェックすれば簡単に答えが分かるものも多く、次々と成功したとのこと。一旦ログインに成功したあとはパスワードを変更して本人をロックアウトし、ユーザーの「きわどい写真」を探しだして本人のFacebookのアカウントにアップしていったそうだ。 容疑者は172のアカウントにおいてユーザのセミヌードの写真を見つけたそうで、うち1件に関しては、より際どい写真を送るよう脅迫していたことも分かっている。裁判では児童ポルノや個人情報の盗難、
複数単語のパスワードがあれば、ネットは本当に安全なの？ | スラド セキュリティ
ストーリー by hylom 2012年03月16日 13時02分 覚えやすいパスワードは結局アウト？ 部門より 普段から複数のインターネットサービスを巡回し利用していると、そのサービス利用のためにはたくさんのパスワードが必要となる。このパスワードの生成には一般的には「とにかく長くてわけが分からない」ものか、ランダムに選ばれた複数のキーワードを並べた「マルチワードパスフレーズ」が有効だと言われている。マルチワードパスフレーズは覚えやすいというメリットもあり、わりとよく知られているパスワードの生成方法だ（gizmag、本家/.、強力なパスワードおよびパスフレーズの作成に関するヒント）。 しかし、ケンブリッジ大学の研究によればは、この「マルチワードパスフレーズ」の安全性には確固とした根拠がないという（Light Blue Touchpaper）。彼らの実験によれば、マルチワードパスフレーズは辞
捨印を言われるがままに押していませんか? | スラド セキュリティ
連帯保証人制度 改革フォーラムというサイトにある「捨印の恐ろしい本当の話し」という記事を読んでびっくりした。例えば新規にクレジットカードを作る際など、通常の捺印とは別に欄外にある「捨印」という箇所に押印した経験は皆さんもおありだと思うが、この捨印のお話である。 金融機関相手の金銭消費貸借契約書や保証契約書に捨印があれば、金融機関側が契約書の内容を、契約者に未承諾で書き換えても、その書き換えた内容が有効になるらしい。つまり、実質白紙委任と同様の状態になってしまうようだ。実際にいくつかの判例もあり、最高裁もその有効性を認めている。その法的根拠は民事訴訟法 228 条の 4とのこと。 敗訴事例には、出典付きで実際の事例・判例も紹介されている。「捨印が金融機関に流用され、本人が自覚しないうちに連帯保証人に切り替わっていたケース」(平成 16 年 9 月 10 日日本経済新聞記事) だ。 谷岡さんは
「.svn」「CVS」ディレクトリを狙ってWebサイトの非公開ファイルをゲット | スラド セキュリティ
TechCrunchの記事「初歩的な管理ミスで3300もの有名サイトがソースコードを盗まれる」によると、ロシアのセキュリティグループが、「.svn」や「CVS」といったSubversionやCVSの管理ディレクトリを狙ってWebサイトの非公開ファイルを盗み出す手法により、3300あまりのWebサイトのソースコードを入手することに成功したそうだ。 原理は簡単で、Webサイトでうっかり公開されてしまっている.svnや.cvsといったディレクトリを探し、発見したらその中身のデータを吸い出すだけ。確かに言われてみればうっかり見逃しそうなミスではある。皆様もご注意くださいませ。 （追記@14:50）原文では.cvsとなっているが、コメント#1644247で指摘されているとおり、CVSの管理ディレクトリは「.cvs」ではなく「CVS」である。
SSLで使われる証明書の偽造に成功、200台のPS3でMD5をクラック | スラド セキュリティ
TechCrunch Japaneseで日本語の記事が出ているが、HTTPSで通信を行う際に使われる公開鍵証明書を偽造することに成功したそうだ。 HTTPSでは、接続しようとしているWebサイトが正当なものかどうかを判断するために公開鍵証明書を使用している。この公開鍵証明書は認証局の署名により「正当なものである」ことが担保されるが、今回は証明書のデジタル署名にMD5が使われていることに注目、PS3を200台使ったシステムでこの署名をクラックしてニセ証明書を作成することに成功したとのこと。 現在ではMD5は安全ではない、ということは広く知られているとは思うが、まだMD5を使用して認証を行っている認証局は少なくないようだ。対策としては認証局がMD5ではなくより強固なSHA-1などの暗号化方法を採用することくらいしか無い模様で、ユーザーサイドでは「不審なサイトには重要な情報は送信しない」というこ
Comodo CAがサーバ証明書を関係のない第三者に発行、大問題に | スラド セキュリティ
本家のストーリにもなっているが、認証局として知られる「Comodo」のアウトソース先の証明書販売業者が、mozilla.com用のサーバ証明書を関係のない第三者に発行してしまう事件が発生したようだ（eWeekの記事「SSL Certificate Vendor Sells Mozilla.com Cert to Some Guy」、mozilla.dev.tech.cryptoグループに掲載されている事件の経緯）。 これをやらかしたのは「Certstar」というComodoの再販業者のようだ。StartComのEddy Nigg氏がこの再販業者に対してmozilla.com用のサーバ証明書の取得を試みたところ、何の本人確認手続きもなしに証明書が発行され手に入ってしまったのだそうだ。mozilla.dev.tech.cryptoでは、Comodoの人が出てきて、この再販業者からの発行を停止し
おすすめのウイルス対策ソフトは？ | スラド セキュリティ
今年も各メーカーがウイルス対策ソフトのアップデートを行っています。今までは「ウイルス対策ソフトを導入するとPCが重くなる」などと言われていますが、今年のアップデートではさらなる多機能化を図ったり、メモリの使用量を削減、「動作が軽くなった」といった改良点をウリにしているソフトが増えたように思います。 いっぽう、ユーザーに無断で使用期限の更新を行って更新料を請求する、といった問題も聞かれたり、また実際に使ってみないと使い勝手が分からない、ということもあり、なかなかどの対策ソフトを選べばよいか、判断に困っている人も多いのではないでしょうか。 本家/.でも話題になっていますが、/.Jユーザーがおすすめするウイルス対策ソフトはどれでしょうか？
DNSキャッシュ汚染に関する脆弱性が公表さる | スラド セキュリティ
US-CERTは、DNSプロトコルおよび一般的なDNS実装における機能欠如により、DNSキャッシュ中毒攻撃(DNS cache poisoning attacks)を助長する脆弱性の存在を公表した(US-CERT Technical Cyber Security Alert TA08-190B, US-CERT Vulnerability Note VU#800113, CNET記事)。 US-CERT TA08-1908によると、影響するのは次の2点である。 キャッシングDNSリゾルバ DNSスタブリゾルバ の 2つである。この脆弱性を利用した効果的攻撃法も示される状態にある。解決する最善の方法としてはベンダのパッチを適用することだが、暫定的な回避方法として5点挙げられている。 アクセスの制限 ネットワーク境界点におけるトラフィックのフィルタリング ローカルでDNSキャッシュを行う 再帰
GmailのCAPTCHAが破られている | スラド セキュリティ
ストーリー by nabeshin 2008年02月29日 11時59分 hotmailやYahoo同様にGmailもデフォルト拒否のサービスが増えてしまうか 部門より 本家ストーリーより。WebsenseによるとGmailのCAPTCHAが破られ、成功率2割でボットがアカウントを作っているとのこと。Websenseのレポートに詳細が載っているが、それによるとボットネット内の2つのコンピュータを組み合わせて処理が行われている模様。第二のホストの役割は、第一のホストが失敗した場合のバックアップか、もしくは何らかの精度チェックをしている可能性があるとのこと。さらに、ボットはCAPTCHAを解読している間ヘルプを読むふりをしてタイムアウトを防いでいるという。
CAPTCHA破りサービス登場？ | スラド セキュリティ
ストーリー by nabeshin 2008年02月08日 16時11分 毛をちらばせるだけでなく、もっとぐにょぐにょに 部門より ITmediaの記事によると、「Live Mailのキャプチャを破るボットが登場、不正アカウントを大量取得」とのこと。「スパマーが開発したボットがCAPTCHAを解読している」と書かれているが、読み進むと「(ボットは)CAPTCHAの変形文字を入力するところまで来ると、CAPTCHA破りサービスに画像を送って読み取らせ、テキストを受け取る仕組みになっている。」とあるので、ボットが直接解読しているわけではないようだ。 タレコミ人としては、この「CAPTCHA破りサービス」がどのようなものか気になるが、OCRソフトのような物でノイズを消去しているのだろうか。3回に1回程度の成功率ということである。
スラッシュドット ジャパン | 会社が個人PCを調査することに同意しますか?
情報漏洩問題を受けて、勤め先の会社が、個人が所有しているパソコンを第三者の立会いで調査することになりました。詳細は伏せますが、大体の経緯は次の通りです。 情報漏洩が発生(ニュースにもなりました)。原因は、業務ファイルを持ち帰ってウィルス感染した自宅PC上で仕事したため。流出させた方は懲戒免職。第二の情報漏洩を起こさないため、社員の自宅PCを第三者の立会いで調査するとの指示。調査内容は、業務ファイルが無いことと、会社で禁止しているソフトが使われていないかを確認するとのことでした。 会社からはたしかに個人PCで業務を行わないよう指示を受けていましたが、同意もなしに私物を調査されるのは納得できません。 皆さんは会社が行う個人PCの調査についてどのように思われますか？
Google Desktop に XSS 脆弱性 | スラド セキュリティ
Google Desktop に XSS 脆弱性が発見された (発見した Watchfire の説明 [PDF] とデモ、ITmediaの日本語記事)。ローカルの検索範囲を指定する under クエリーに埋め込まれたスクリプトの実行を許してしまうものだが、これによりユーザー固有のシグネチャを取得し、第二段階で Google Desktop にマルウェアを実行さることが可能になる。現在はこの脆弱性は修正されていて、Google Desktop ユーザーは自動的にアップデートが行われる。 Watchfire は、アンチ・ウイルス・ソフトやファイヤーウォールをかいくぐるれることと、Google Desktop が Google web サービスと統合されていることがローカルへの攻撃の窓口になったことに注目し、web ブラウザーと web アプリケーションが強力になったことで、JavaScript
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
