セキュリティを「必要悪」にした犯人は業界自身ではないか？ (1/2)
セキュリティ対策と業務効率や生産性はトレードオフの関係にある。これはまぎれもない事実だ。「だからこそ、双方のバランスが取れるアプローチを模索しよう」――本来ならば、そう受け取られるべき提案だったが、そうはならなかった。 2016年10月20～21日、都内で開催されたセキュリティカンファレンス「CODE BLUE 2016」を締めくくる基調講演「How much security is too much?（セキュリティ対策はどこからが過剰なのか？）」で、カルステン・ノール氏は、セキュリティ業界の人間としてのジレンマを吐露した。 イノベーションを阻害しているのはセキュリティ業界かもしれない、と自問 業務効率や生産性とのバランスが取れたセキュリティ対策を実施すべきだ――。セキュリティ業界の人間はよく、そのように訴える。 だが、現実はそうはなっていない。高度なサイバー攻撃や内部犯行による大型のセキ
「Mirai」ソースコード徹底解剖－その仕組みと対策を探る
Miraiボットネットとは Miraiは、2016年9月13日夜、米国のセキュリティジャーナリストBrian Krebs氏のWebサイト「Krebs on Security」に対して行われた大規模なDDoS攻撃に使用されたとして話題になったボットネットです（関連記事）。Miraiは主にWebカメラやルーター、デジタルビデオレコーダーなどのIoTデバイスを踏み台としてDDoS攻撃を仕掛けます。 参考：セキュリティ用語事典：DDoS攻撃 攻撃を受けた後に投稿されたKrebs氏のブログ記事によれば、同サイトを保護していたAkamaiが、ピーク時にはそれまでに経験した最大規模の攻撃の2倍近いトラフィックを観測したそうです。 また、2016年10月21日にTwitterやNetflixなどが利用するDNSサービスへ行われたDDoS攻撃でも、Miraiボットネットが利用されていたのではないかと推定され
WiFiセキュリティユニット『SAKOKU』｜MZK-1200DHP-SK｜PLANEX
ご自宅や職場で、お使いのルーターと連携して鎖国ゾーンを形成し、 本製品に接続されたPCやスマートフォン、タブレット等からのデータ流出を防ぎます。 アプリ不要、スマートフォンやタブレットを接続するだけ、 という簡便さでデータ流出を防げるシステムは世界初（2016年4月当社調べ）。 ルーター機能も持っていますので、メインルーターとしてお使いいただくことで全ての機器を鎖国ゾーンに入れることもできます。 最近、個人情報流出されたケースでは、悪質なアプリからデータ漏えいしましたが、 本製品に接続すれば遮断できます。 遮断ログでは本製品がブロックした送信元情報と送信先情報を見ることができるので、 ネットワークのセキュリティ状況を把握することが可能です。 また、お客様の遮断ログの詳しい解析を行い、統計レポートを提供する有料サービスもございます。 レポート結果に基づいたセキュリティ対策を講じることが可能で
組込機器の診断を紹介 2/2
こんにちは。技術部 手島と申します。 前回に引き続き、組込機器診断の例を紹介します。 前回の記事はこちら： 組込機器の診断を紹介 1/2 http://io.cyberdefense.jp/entries/2016/05/09 今回はこの組込機器へ搭載されたフラッシュメモリの内容を解析し、ファームウェアを改ざんできないか挑戦します。 前回の復習 前回は、基板上の探索から以下の内容ができることを確認しました。 ・デバッグログが出力される ・シリアルコンソールがある ・フラッシュメモリの内容が暗号化されていない そこで、まずはファームウェアを取得できないか確認します。 デバッグ機能を利用してファームウェアを取得 前回の診断ではログインコンソールが見えていましたが、これを突破できた状態とみなしてください。シリアルコンソールが利用でき、好きなコマンドを入力できるようになりました。何か使えそうなコマ
B2B卸の「NETSEA」、約13万件の個人情報を流出
B2Bの卸プラットフォームを展開するNETSEAが2016年4月27日、第三者による不正アクセスで個人情報を流出させたことが分かった。流出した情報は13万1464件で、うちクレジットカード情報は7386件に上る。オープンソースの暗号化ライブラリ「OpenSSL」の脆弱性「Heartbleed（ハートブリード）」を攻撃されたもようだ。 流出した可能性のある個人情報は氏名、住所、電話番号、メールアドレス、ログイン会員IDおよびパスワード、クレジットカード情報。2015年1月1日～2016年4月15日までの間にNETSEAで会員情報を登録したユーザー、および2016年1月1日～2016年4月15日までの間にクレジットカードを登録したユーザーが対象だ。 情報流出が発覚したのは2016年4月4日。決済代行会社からNETSEAで決済されたクレジットカードの情報を用いた不正利用された疑いがあると第一報が
IPAテクニカルウォッチ 知らぬ間にプライバシー情報の非公開設定を公開設定に変更されてしまうなどの『クリックジャッキング』に関するレポート：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、知らぬ間にプライバシー情報の非公開設定を公開設定に変更されてしまうなどの恐れのある「クリックジャッキング」攻撃への対策状況に関する調査を行いました。その結果、ほとんどのウェブサイトで対策が行われていなかったため、「クリックジャッキング」の仕組みやその対策のポイントをまとめた技術レポート（IPAテクニカルウォッチ 第17回）を作成、公開しました。 「クリックジャッキング」は2008年にその脅威が周知された攻撃で、ユーザを視覚的にだまして正常に見えるウェブページ上のコンテンツを示し、実際は別のウェブページのコンテンツをクリックさせる攻撃のことです。操作した自覚がないにもかかわらず、SNSサイトなどウェブサイト上で非公開としていたプライバシー情報が公開設定に変更されてしまうなど、情報漏えいの原因の一つとなっています。既に主要なブラウザ
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
OSベンダーだけじゃない、一般企業や政府も始めた「バグ発見報奨金制度」
2016年2月から3月にかけて話題になった「iPhone」のアンロックを巡るFBIと米Appleの対立の中で、脆弱性発見者へ報奨金を支払う「Bug Bounty Program（バグ発見報奨金制度）」が改めて注目を集めた。 これは、自社のソフトウエアに存在するセキュリティ脆弱性の発見をハッカーに呼びかけるプログラムで、脆弱性を報告してくれたハッカーに報奨金を支払うというもの。「Bounty（報奨金）」は西部劇でよく出てくる言葉で、ならず者を捕まえたカウボーイが褒美の金をガッポリもらうといったイメージがある。西部劇の時代と同じように、ハッカーの世界でも賞金稼ぎができるというわけだ。日本語では、「バグ発見報奨金制度」とか「脆弱性発見報奨金制度」などと呼ばれている。 FBI対Appleの問題でバグ発見報奨金制度が話題になったのはなぜか。FBIは死亡した銃乱射事件の容疑者が持っていたiPhoneに
サイバーセキュリティ月間をあざ笑うAnonymous
サイバーセキュリティ月間をあざ笑うAnonymous：セキュリティクラスタ まとめのまとめ 2016年2月版（1/3 ページ） 2016年2月は「サイバーセキュリティ月間」中ということもあってか、各所でセキュリティ関連イベントが開催されました。しかしその一方でアノニマス（Anonymous）のDDoS攻撃はやむ気配を見せず、さらに愛知県岡崎市「Librahack事件」を思い出させる図書館攻撃も……。 連載目次 2016年2月1日～3月18日は「サイバーセキュリティ月間」です。それに関連してか、各所でさまざまなセキュリティ関係のイベントが開催され、参加者からもたくさんのツイートが行われました。一方、2016年1月から再燃しているアノニマス（Anonymous）の日本に向けたDDoS攻撃も、相変わらず続いています。 そして2月半ばには約1年ぶりに「GNU Cライブラリ（glibc）」にバッファ
Facebook、アカウントにアクセスされる脆弱性を修正--発見者に1万5000ドル
Facebookのパスワードに関する脆弱性が報告された。攻撃者に悪用されると、アカウントに容易にアクセスされてしまうおそれがある。これを報告した研究者のAnand Prakash氏は、同社のバグ発見報奨金プログラムを通して1万5000ドルを受け取った。 この脆弱性は単純なもので、同氏はそれを突いて、「一切のユーザー操作なしに」さまざまなFacebookアカウントにアクセスした。 同氏はメッセージや写真、動画、Facebookの決済セクションに保存された決済情報など、アカウント内に保存された全情報にアクセスすることができた。 Prakash氏は米国時間3月7日のブログ記事で、一部バージョンのFacebookではセキュリティプロトコルが欠落しているため、攻撃者は正当なアカウント所有者に知られることなくアカウントパスワードをリセットできてしまうと説明した。 アカウントパスワードを忘れてしまったと
Mapping OpenSSL Cipher Suite Names to Official Names and RFCs
Mapping OpenSSL Cipher Suite Names to Official Names and RFCs OpenSSL, and a lot of software that uses it (httpd, nginx etc) have their own cipher suite names. To map from the OpenSSL cipher suite name, such as: ECDHE-ECDSA-AES256-SHA384 1) Look up the ID Use the OpenSSL ciphers(1) tool to look up the cryptographic suite selector code (2 hex values used to represent that cipher suite on the wire)
「glibc ライブラリの脆弱性 (CVE-2015-7547) に関する注意喚起」について｜PLANEX
平素は弊社製品をご愛用いただきまして、誠にありがとうございます。 Linuxアプリケーションにおいて広く使われているGNU Cライブラリ「glibc」に バッファオーバーフローの脆弱性が存在することがわかり注意喚起されております。 この脆弱性を利用された場合、遠隔の攻撃者によって任意のコードを実行されたり、サービスの運用妨害を受ける可能性があります。 弊社製品ではメモリの使用量の観点から「glibc」を使用しておりませんが Googleから公開されているコンセプト実証コードを用いて主要ルータ、カメラの脆弱性の確認を行っております。 上記コードの検証でも、特に問題ございませんので、安心してご使用ください。 また、継続して安全性の確認を行っておりますので、不具合が確認できた際には、弊社ホームページで公開いたします。
iPhoneの「バックドア」問題について - セキュリティは楽しいかね？ Part 2
今週の 2月16日、カリフォルニア州の連邦裁判所から Apple社に対してある命令が出された。内容は昨年12月に起きたサンバーナーディーノ銃乱射事件の犯人の1人が所持していた iPhoneを FBIが調査するのを手助けするようにというもの。それだけなら特別なことはないのだが、要求している方法がやや特殊だった。iPhoneをロックしているパスコードを FBIが解読できるようにするために、Appleに対して解読の妨げとなるセキュリティ機能を無効にした特別なソフトウェアを開発し、これを対象の iPhoneにロードせよ、というのだ。これに対して Appleの CEOである Tim Cookは顧客への Open Letterという形で声明を発表し、命令を受け入れることはできないと拒否する姿勢を示した。 ここ数日米国を中心に大きな話題となっているこの事件について、現時点でわかっていること、さまざまなニ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
米国における暗号技術をめぐる動向
【イニシャルB】見えなかったものが見えるようになることの意味 プラネックスのWiFiセキュリティユニット「SAKOKU」 
【やじうまWatch】「パスワードの定期変更をユーザーに求めるべきではない」……NISTの文書でついに明示へ
セキュリティ認証とコンプライアンスセンター
無線LANルーター「Aterm」シリーズの複数機種にCSRFの脆弱性 
BinDiff now available for free
iOS のセキュリティ iOS 9.0 以降