「パスワード付き添付ファイル」が無意味どころか社会の害になる理由
早稲田大学理工学部を卒業後、日本DECに就職。営業サポート、ソフトウェア開発、研究開発に従事し、1997年からはMicrosoftでWindows製品の開発に携わる。2006年以降は、GoogleにてWeb検索のプロダクトマネジメントやChromeのエンジニアリングマネジメントなどを行う。2015年11月、技術情報共有サービス『Qiita』などを運営するIncrementsに転職。17年6月より独立し、プロダクト戦略やエンジニアリングマネジメントなどの領域で企業の支援を行う。17年9月、ヘッドハンティング・人材紹介を展開するクライス＆カンパニーの顧問に就任。2019年1月、テクノロジーにより企業や社会の変革を支援するTably株式会社を設立。「プロダクトマネージャーのキャリア戦略」 及川卓也のプロダクト視点 アマゾン、アップルといった米国企業や中国企業からの遅れが目立ち始めた日本企業。かつ
J-STAGEがFirefoxでのアクセスを遮断、日本の電子ジャーナルが世界から不可視となった日｜Guest｜note
科学技術振興機構（以下JST）の運営する「J-STAGE」は、国立情報学研究所が運営する「CiNii」と双璧を成す、日本の電子ジャーナルプラットフォームである。それが2018年12月12日、Firefoxからのアクセスが不可能となった。 試しにFirefox 64でアクセスしてみたところ、確かにページ読み込みエラーとなり、コンテンツを表示することができなかった。サーバ証明書のエラーではないため例外を許可して続行することもできない。完全にFirefoxでのアクセスが遮断された格好だ。 翌日13日になってTwitterで原因の考察が始まり、J-STAGEの対応する暗号スイートに問題があることが判明する。 原因はJ-STAGEのTLS仕様違反J-STAGEはセキュリティ強化のため、2018年12月12日にTLS 1.2への切替とTLS 1.0/1.1の無効化を行うことを予告していた。これが影響し
「HTMLメール=スパム」という判定が成立しなくなった昨今 | まるおかディジタル株式会社
【これは約 9 分の記事です】 私は以前、「冒頭の挨拶が『はじめまして』メールはスパム判定されやすい」という記事を書きました。 何故そうなるかは、ブログを参照 マナーとしてメールの挨拶文は「はじめまして」ではなく「お世話になっております」を使おう、という考え方 http://www.maruoka-digital.jp/blogcontent/3608113245/ その時、私は「HTMLメールもおそらくスパム判定されやすいだろう」と思っていました。 ところが、自分に届いたメールで、スパム判定されたメールとそうでないメールとを単純に数比較すると あれ？意外とスパム判定されたメールの、HTMLである比率、通常メールよりも少ないぞ？ となりました。 以前は「HTMLメール=スパム」だった HTMLメールはセキュリティ上の問題を多く含んでいて、システム管理者やネットワーク技術に多少詳しい方からは
「悪魔のように賢い」とGoogleのエンジニアが舌を巻く「悪意あるハードウェア」が登場
by Bruce Guenter セキュリティ問題では「マルウェア(Malicious＋Software：悪意あるソフトウェア)」という語がよく出てきますが、ミシガン大学の研究チームによって「悪意あるハードウェア」の存在が指摘されています。 A2: Analog Malicious Hardware (PDFファイル)http://www.impedimenttoprogress.com/storage/publications/A2_SP_2016.pdf This ‘Demonically Clever’ Backdoor Hides In a Tiny Slice of a Computer Chip | WIRED https://www.wired.com/2016/06/demonically-clever-backdoor-hides-inside-computer-chip
できる人に任せ過ぎ？ 堺市68万個人情報流出事件、最大の問題
筆者は堺市で発覚した個人情報流出事件について継続的に取材している（写真1）。2015年12月までに、全有権者約68万人分の住所・氏名・生年月日などがインターネット上に流出したことが判明した。国内の地方自治体で起きた同種の事件では、京都府宇治市で約22万人分の住民情報が漏洩した事件などを上回り、過去最大級だとみられる。 筆者が最初にこの事件について知ったのは2015年9月上旬だった。堺市の職員が、外郭団体の短時間勤務職員約1000人分の個人情報をインターネット上に流出させていたことが判明した（関連記事：堺市職員がレンタルサーバーで個人情報1000人分“公開”、開発スキルが裏目に）。 筆者がこの事件に関心を持ったのは、情報流出の規模が大きいからというだけではない。当該職員が高度な開発スキルを持ち、データ流出の原因になったシステムを自作していたという点が引っ掛かったからだ。これについては後で詳述
ウィルス感染でWebサービスが20日間ダウン。本当にごめんなさい - Qiita
障害が起きたWebサービスは個人で運営しているサービスです。 2016年2月、障害から20日後にサービス再開しましたがアクティブユーザは以前の18%です。未だ回復の目処は立っていません。冗長化していないサーバがウイルス感染し、その後の対応も後手後手に回ってしまいました。 2016年1月末に起こるべくして起こった障害について記事にしてみました。ご迷惑をお掛けしてしまい本当に申し訳ありません。 ■ ユーザは、もう戻ってこない どんなウイルスに感染したのか SYNフラッド攻撃（SYN Flood Attack）を他のWebサイトに行うウイルスに感染して、確認していませんが他のサービスをSYNフラッド攻撃していたと思います。またウイルス感染時にサーバのsshdを書き換えられsshで接続できなくなりました。感染後にコンソールログインして書き換えられた醜い authorized_keys を見た時ゾッ
「glibc」ライブラリに脆弱性、Linuxの大部分に深刻な影響
ほとんどのLinuxアプリケーションに使われているGNU Cライブラリの「glibc」に深刻な脆弱性が見つかり、米GoogleとRed Hatの研究者が開発したパッチが2月16日に公開された。 脆弱性は2008年5月にリリースされたglibc 2.9以降のバージョンに存在する。Googleによると、glibcで「getaddrinfo()」ライブラリ機能が使われた際に、スタックベースのバッファオーバーフローの脆弱性が誘発されることが判明。この機能を使っているソフトウェアは、攻撃者が制御するドメイン名やDNSサーバ、あるいは中間者攻撃を通じて脆弱性を悪用される恐れがあるという。 Googleの研究者は、先にこの問題を発見していたRed Hatの研究者と共同で調査を進め、脆弱性を突くコードの開発に成功したとしている。パッチの公開に合わせて、攻撃には利用できないコンセプト実証コードも公開した。こ
マルウェア博物館サイトが開設、MS-DOS時代の悪夢を追体験できる？
昔流行したマルウェアに感染する経験を追体験できるサイト、「Malware Museum」（マルウェア博物館）がオープンした。 最近のマルウェアによる攻撃は、たいていの場合ウェブサイトのリンクをクリックすることで感染し、ネットバンクのパスワードを盗まれるか、ファイルを暗号化されて、Bitcoinでの身代金支払いを要求されるという結果で終わることが多い。 しかし、マルウェアの作者は昔から金銭的な見返りを求めていたわけではない。Internet Archiveに新たに開設されたMalware Museumを見れば分かるとおり、1980年代から1990年代にかけての、マルウェアがフロッピーディスク経由で感染していた時代には、マルウェア作者は創造性のひらめきを破壊という形で発揮していた。 このアーカイブは、F-Secureの最高調査研究責任者であるMikko Hypponen氏と、Internet
Linuxカーネルに脆弱性 PCやサーバ、Androidの大多数に影響
Linuxカーネルに2012年から存在していた脆弱性をセキュリティ企業が発見。Linux搭載のPCやサーバ数千万台と、Androidデバイスの66％が影響を受けるという。 イスラエルのセキュリティ企業Perception Pointは、Linuxカーネルに2012年から存在していた深刻な脆弱性を発見したと発表した。Linux搭載のPCやサーバ数千万台と、Androidデバイスの66％が影響を受けるとしている。 Perception Pointのブログによると、脆弱性はセキュリティデータや認証鍵、暗号鍵といったデータの保持やキャッシュに使われる「キーリング」において、現行セッションのキーリングを置き換えるプロセスに存在する。 悪用された場合、ローカルユーザーにroot特権を取得されたり、コードを実行されたりする恐れがある。 この脆弱性はLinuxカーネル3.8以降のバージョンに存在していると
学術雑誌の「乗っ取り」（記事紹介）
米Science誌の2015年11月19日付けのニュース記事で、”How to hijack a journal”と題し、学術雑誌のウェブサイトが悪意の他者に乗っ取られるケースがあることや、その方法が報じられています。 同記事によれば、ウェブサイトの乗っ取りは以前から存在しましたが、近年では学術雑誌ウェブサイトがそのターゲットになる例が出てきているとのことです。乗っ取られていることに気付かずログインした利用者が、パスワード情報や購読料やAPC等の費用を盗み取られる場合があると記事では指摘しています。 また、公式ドメインによく似たドメインを取得し、利用者をだます方法のほかに、利用料金を払い忘れたドメインの料金を代わりに支払うことで公式ドメイン自体を乗っ取る手法があることも記事では紹介されています。この場合、利用者に乗っ取られていることを判断することは困難になります。 記事では学術雑誌のウェブ
ユーザーにアカウントを作らせるときのルール6個
by Wade Morgen ウェブサービスを使い始める際にユーザー登録を求められることがありますが、いくつものウェブサービスでそれぞれに異なったIDとパスワードの組み合わせを持つことは煩わしく感じられます。しかし、サイト運営側にとってはできるだけアカウント登録を行ってもらいたいもので、新規アカウント登録を増やすためのコツが公開されています。 Your Website is not Special, Don't Make Visitors Make Accounts https://www.benburwell.com/posts/your-website-is-not-special-dont-make-visitors-make-accounts/ ソフトウェアエンジニアのBen Burwell氏によれば、一般的にユーザーはサイト運営側よりもウェブサービスを使い続けるべきかどうかの判断
日本年金機構が調査結果発表、「流出防げた、断腸の思い」
日本年金機構は2015年8月20日、標的型攻撃で125万件の年金情報が漏えいした問題について、調査結果を発表した。同日開かれた会見に臨んだ、日本年金機構の水島藤一郎理事長は「組織としての情報管理体制に問題があった。現場に対してルールを徹底できていなかった」と総括し、謝罪した（写真）。 調査結果は、機構内に設けた調査委員会が文書でまとめたもので、35ページにわたる。調査方法は「フォレンジック調査」と呼ばれる方法で、ウイルスが感染したとされる端末やサーバーについて、不正アクセスのログ解析などを実施した。対象となったのは、端末31台、認証サーバー1台、共有ファイルサーバー1台だ。 調査結果によれば、個人情報の流出は5月21日～23日に起きた。標的型攻撃を狙って機構に送付された不審メールは、合計で124通だった。そのうち、メールの添付ファイルなどを開封した職員は、合計5人。年金加入者・受給者の個人
動作検証用サーバへの不正アクセスについて - 国立情報学研究所 / National Institute of Informatics
国立情報学研究所において、動作検証用サーバへの不正アクセスによりDoS攻撃の踏み台にされていたことが6月2日（火）12時15分頃に判明したため、当該サーバをネットワークから遮断しました。個人情報や機密情報の流出は確認されていません。 原因 ・動作検証作業のため、5月29日（金）に当該サーバ（民間の提供するクラウドサービスを利用）のアクセス制限を一時的に緩め、かつパスワードを簡便なものに変更しましたが、その設定を元に戻さなかったことにより脆弱性が生じたためです。 現在の状況 ・当該サーバはネットワークから遮断しています。 このような事態になりましたことについて深くお詫び申し上げるとともに、この度の事案を重く受け止め、事実関係の調査で得られた結果を踏まえ、適切なセキュリティ設定、作業手順の見直しと徹底など、再発防止のための対策を講じ、更なるセキュリティ強化に取り組んでまいります。 2015年6
SSLの深刻な脆弱性「FREAK」が明らかに--ウェブサイトの3分の1に影響か
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2015-03-04 16:45 1990年代の初めには名案のように感じられたのかもしれない。Secure-Socket Layer（SSL）という暗号化技術が産声を上げた当時、米国家安全保障局（NSA）は外国でやり取りされる「セキュア」なウェブトラフィックの内容を確実に傍受したいと考えていた。このためNSAは「Netscape Navigator」のインターナショナル版には40ビット暗号を使用し、より安全な128ビット暗号は米国版でのみ使用するようNetscapeを説き伏せた。その後、2000年1月に暗号輸出管理規則が改正され、どのようなブラウザでもよりセキュアなSSLを使用できるようになった。しかし、旧来のセキュアでないコードは、15年が経過した今でも使用されており、わ
Linuxに深刻なセキュリティホール「GHOST」、今すぐパッチが必要
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2015-01-28 10:04 クラウドセキュリティ企業Qualysの研究者が、Linux GNU Cライブラリ（glibc）に深刻なセキュリティホールである「GHOST」（CVE-2015-0235）を発見した。この脆弱性を利用すると、ハッカーはIDやパスワードを知らなくてもシステムをリモートから乗っ取ることができる。 Qualysはただちにこのセキュリティホールについて主なLinuxの配布元に警告を送り、多くの配布元がすでにパッチを公開している。 このセキュリティホールは、glibc-2.2（2000年11月10日にリリース）を使用してビルドされたすべてのLinuxシステムに存在する。Qualysによれば、このバグは実際には、2013年5月21日にリリースされた、gl
首都大学東京、学生ら5万1000人分の個人情報が流出した可能性 NASが外部に公開状態
首都大学東京は1月19日、学生や教員らのべ約5万1000人分の個人情報が流出した可能性があると発表した。データを保存していた学内のNAS（ネットワーク接続ストレージ）が4カ月以上外部に公開された状態になっており、データには閲覧制限をかけていなかったという。 同大によると、流出した可能性があるのは（1）「英語クラス編成試験」に関する氏名・TOEICスコア約1万5000人分、（2）入学手続き予定者の氏名・住所・電話番号・生年月日約1万人分（うち学外1500人）、教員（非常勤含む）の氏名・住所・メールアドレス約9000人分──など。 学外から1月1日に情報提供があり、5日に確認したところ、外部からアクセス可能な状態（FTP共有が有効）になっているNASが見つかったため、FTP共有を無効にした。 NASは同大南大沢キャンパス（東京都八王子市）の教務課事務室内に置かれており、FTP共有が有効の状態で
みずほ銀行のセキュリティ対策が酷すぎるのでまとめてみた - Windows 2000 Blog
目的のページにアクセスするには、アドレスバーの「https://www.mizuhobank.co.jp/〜」を「http://www.mizuhobank.co.jp/〜」に修正し（httpsの”s”を削除）、エンターキーを押してください。 https://www.mizuhobank.co.jp/〜は2014年11月27日よりご利用いただけなくなりました。 https://www.mizuhobank.co.jp/〜でブックマーク（お気に入り）に登録されているお客さまは、http://www.mizuhobank.co.jp/〜に登録先の変更をお願いします（httpsの”s”を削除してください）。 Firefox 18 で、SSL (https) ページ上で非 SSL (http) サイトのコンテンツ読み込みをブロックする設定が追加されました。ユーザのセキュリティを高めるため、これらの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Measuring Library Vendor Cyber Security: Seven Easy Questions Every Librarian Can Ask
米国、すべての連邦政府Webサイト・Webサービスに”HTTPS-Only Standard”に従うことを義務化
国会＆国会議員向けのサイバーセキュリティ調査報告書、国会図書館がウェブで全文公開 
