はじめに TLS/SSLをはじめとして、様々な場面で公開鍵暗号が重要な役割を果たしているのは良く知られていることと思います。 ここで公開鍵暗号が何かというと、「かたやデータを公開鍵で暗号化して、かたや秘密鍵で復号する。他人にはデータの内容が漏れない」という説明が一般的です。 そうすると大抵の人は「TLS/SSL、公開鍵で暗号化して秘密鍵で復号するのね」と2つの情報を組み合わせ、それで納得してしまうわけですが、実は今日これは大体において誤り1です。 この誤りはいまやどうしようもなく広く流布していています。これは、適切な入門書がないことや、そもそも情報の検証を行う人が少ない ( そこまでする動機がない ) という理由によるわけですが、公開鍵暗号という言葉が2通りの意味で流通しているという面も大きいように思われます。 ということで、この2つの意味の違いに着目しつつ、基礎の整理を行いたいと思います

みなさんマイナンバーカードはもう手元に届きましたか? 私の住む大田区はとても混雑していて申請から5ヶ月かかって今月やっと交付してもらうことができました。 このカードに含まれる公的個人認証機能は以前から住基カードに入っていたものですが、今年から民間利用もできるようになりました。 しかし、この公的個人認証ですが詳細な仕様が公開されていないため、商用利用しようという動きはまだ聞きませんし、既に動いている行政サービスのe-govやe-taxはIE限定で、いまだにJava Appletが使われているなど大変残念な状況です。 カードに入っている電子証明書と2048bitのRSA秘密鍵は様々な用途に活用できる可能性があるのに、せっかく税金を費やして作ったシステムが使われないのはもったいないですね。 民間利用の第一歩として、カードに入っているRSA鍵を利用して自宅サーバーにSSHログインしてみましょう!

国内でも昨年末に話題になったランサムウェア「TeslaCrypt」通称「vvv」ウイルス。 本ブログでも実際に感染してみるというエントリーを掲載しました。 このマルウェアに感染すると特定の拡張子を持つファイルが暗号化され金銭を要求されるのですが そちらの復号方法について海外サイトで言及されていましたので 本ブログでも手順を参考にしならが復号の可否を検証しました。 一部、一次情報のサイトとは手順が異なる部分があります。 今回用いる復号スクリプトは「TeslaCrack」というものでこちらで公開されています。 【環境の構築】 まず、復号するために必要な情報を収集するための環境を整えます。 まずは、復号処理を行うスクリプトがPythonで記述されているため現時点での最新版である「2.7.11」をインストールしました。 インストールが完了したら次に「easy_install」をダウンロードし以下の

0. 簡単なSLOTH攻撃のまとめ 最初に簡単なまとめを書いておきます。長文になりそうなので、読むのが大変な方はここだけ見ておいてください。 MD5ハッシュは既に安全ではなく、証明書の署名方式での利用は停止されていたが、後方互換のためハンドシェイクデータの署名方式にRSA-MD5が今でも利用できるTLS実装が幾つか存在していた(Firefox NSS, Java等)。 先週、INRIAグループからハッシュ衝突を利用して実際にTLSを破る攻撃(SLOTH)が公開された。それを受け、いくつかの実装でRSA-MD5を完全に利用不能にする修正が行われた(CVE-2015-7575)。 SLOTHでは、SHA1やTLS、IKE、SSHに対する攻撃についても評価を行い、幾つかは全く現実的に不可能なレベルではないことが示された。MD5とSHA-1でTLSハンドシェイクの完全性を担保しているTLS1.0/

ねとけん Advent Calendar 2015 の 24日の記事です．一応ガジェットネタです． 2021/10/02 古い記事ですが見てくれる人がいるようなので少し追記しました． プロローグ(※フィクションです) コンビニ帰り，マンションのエントランスで家の鍵を持っていないことに気付きます．鍵は家の中＝部屋の鍵は開いている，ということなのですが，マンションのエントランスにあるこいつが帰宅を阻みます． こいつです．拡大します． アイ○ンです．色々なところで見かけます． こんなとき，フィクションの世界なら，仲間の凄腕のハッカーが怪しいカードをスリットに挿しこみ，接続された端末に謎の文字列がしばらく流れたあと，めでたくドアが開くのですが，残念ながら都合よくそんなハッカーの連れがいないし，そもそもカードを挿すスリットもありません．また，多くの場合，管理会社や不動産会社が使う番号が設定されていた

テロリストがゲーム機(PS4)のゲーム内チャット機能を使ってるかも、っていう報道が出ている。 この件でPS4を叩いても仕方が無い。というのはPS4に限らずゲーム内のチャットはテロリストが会話を行うのに適した理由がこんなにも多いからだ ① 膨大なチャネル会話経路がゲームの数だけ、星の数ほどある。NW的にはPSNを利用していても、プロトコルや暗号化方法はゲーム毎に異なるのでPSNの根っこで監視をしても結局各ゲーム毎に解析方法を作らなければならない。『釣天使』とかかわり合いたいと思うほど諜報機関は暇では無いだろう。 そして、ゲームの数はアーキテクチャの数であり、それぞれ異なる方式で情報が伝達されている。あるゲームではメッセージサーバ集中管理でも、また別のゲームではP2P通信だったりする。それらを複合的に扱っている場合もあるだろう。テロリストとは無関係な第三者のゲーム機をホストとして会話が行われ、

高齢者から多額の現金をだまし取ったとして、警視庁は１２日、東京都新宿区西新宿、アルバイト大森智尋容疑者（３４）ら男４人を詐欺容疑で逮捕したと発表した。 この詐欺グループは、携帯電話からだましの電話をかけていたが、被害者宅の電話機には「０３」の市外局番から始まる番号が表示されるようにしていたという。同庁は、発信元の特定を防ぐ狙いがあったとみて、同様の手口への警戒を強めている。 同庁は同日午前、事件に使われた携帯電話をグループに貸していた渋谷区の携帯電話レンタル会社を同容疑で捜索。今後、携帯電話が貸し出された経緯などについて調べを進める。 発表によると、４人は今年１～２月、詐欺の被害金の返還手続きを行う業者を装い、約７年前に振り込め詐欺の被害にあっていた高松市の女性（７５）に電話し、「被害金の返還手続きには手付金が必要だ」などと偽り、４回にわたり計７１０万円を振り込ませるなどしてだまし取った疑

システム設計者向けに、標準化された51個の暗号プロトコルと7個の主要プロトコルについてのセキュリティ評価結果を公表している。 情報通信研究機構（NICT）は10月20日、暗号プロトコルのセキュリティ評価結果を公表した。システム設計者が目的に応じた暗号プロトコルを適切に利用できるよう支援する。 公表されたのは、標準化された51個の暗号プロトコルとその他7個の主要プロトコルの計58個。自動検証ツールで評価するとともに、全対象プロトコルの評価結果を精査して問題点を指摘し、国際標準「ISO/IEC29128」に照らした評価レベルも示している。

(2015/8/29追記) 最初に代案だけ書いておくと、(メールで送る程度の秘匿性のものは)「Proself」みたいな別プロトコルを使う、です。 メールパスワードでは、パスワードに規約をつけることもできません。 また、この話は企業等においてのルール化の話です。 ファイルをZIPで暗号化し、まずZIPをメールで送り、しばらくして別メールで8文字程度の乱数パスワードを送るという謎のプロトコルが日本企業で流行っているが、ZIPのパスワードは総当たりでかなり高速に解析できるし、そもそもパスワードをメールで送っているので効果が疑問。— Daiyuu Nobori (@dnobori) June 17, 2013 もう何年前のネタなんだろうという感じでもあるのですが、2015年現在もこの慣習はなくなっていないように感じます。 実際社会人になってからも、残念なことに一度言われたことがありますし(受け売り

Windows 7の起動画面で使っているパスワードを忘れてしまい、ログインできないという非常事態に出くわしたときに、管理者権限を取得した状態でコマンドプロンプトを立ち上げられる裏技を知っておけば、コマンド入力であっという間にパスワードを設定し直してログインすることが可能です。ということで、実際にうまくいくのか、管理者権限を強制的に取得する裏技を試してみました。なお、この裏技は手順を間違えるとPCが正常に起動しなくなる危険がある点には注意が必要です。 A tutorial on how to get into an admin account on ANY computer. - Imgur http://imgur.com/gallery/H8obU 電源ボタンを押してPCを起動させ、「Windowsを起動しています」と表示されている間に、PCの電源ボタンを長押しして強制的にPCをシャット

すべての Microsoft 製品 Global Microsoft 365 Teams Copilot Windows Surface Xbox セール 法人向け サポート ソフトウェア Windows アプリ AI OneDrive Outlook Skype OneNote Microsoft Teams PC とデバイス Xbox を購入する アクセサリ VR & 複合現実 エンタメ Xbox Game Pass Ultimate Xbox Live Gold Xbox とゲーム PC ゲーム Windows ゲーム 映画とテレビ番組 法人向け Microsoft Cloud Microsoft Security Azure Dynamics 365 一般法人向け Microsoft 365 Microsoft Industry Microsoft Power Platform W

内部告発して生き残る方法 2014年11月06日08:00 ツイート fsecure_blog ヘルシンキ発 内部告発者によって世界は変わってきており、一般の人が本来知るべき秘密が依然として数多く隠されていることがわかってきました。スノーデン、マニング、アサンジ各氏のような注目を集めた情報漏洩者は世界的にその名が知られるようになり、勇気と引き換えに大きな代償を払っています。しかし公に情報をリークするほどまでに勇敢な人はほんのわずかで、内部告発者のほとんどは普通の生活を送り、匿名のままでいることを望んでいます。スノーデン氏が他の内部告発者に道筋を示したことは間違いありません。すでに何人もの人が名前は明かしていませんが、同氏に続いて情報のリークを試みています。内部告発は簡単ではなく、非常に大きなリスクを負います。このことは、FBIが1人の情報漏洩者を発見したという最近のニュースを見ても明らかで

Hiromitsu Takagi @HiromitsuTakagi 8月に述べていた togetter.com/li/706471 ように、CCCは良い方向へ舵を切るよう努力をしているとみえ、この pic.twitter.com/bU9Szl5nol レシートの改善も見られる。方向性はよいものの、ちゃんとできていると言えるだろうか。 2014-11-01 22:38:12

自動的に移動しない場合はをクリックしてください。

PCの接続端子として不動の地位を確立したUSBに設計上の致命的な脆弱性が見つかり、この脆弱性を突くハッキング手法「BadUSB」が2014年8月に開催された開発者会議Black Hat 2014 USAで発表されていました。BadUSBについて公表した技術者は有効な対策のない脆弱性の危険性を勘案してコードを公開しませんでしたが、DerbyCon 4.0の講演でBadUSBのコードが別の技術者によって公開されてしまいました。 SRLabs-BadUSB-BlackHat-v1.pdf (PDFファイル)https://srlabs.de/blog/wp-content/uploads/2014/07/SRLabs-BadUSB-BlackHat-v1.pdf The Unpatchable Malware That Infects USBs Is Now on the Loose | WIR