FacebookからOAuthを停止されてわかった今時のセキュリティ - Uzabase for Engineers
NewsPicksの高山です。 この記事はUzabase Advent Calendar 2021の23日目の記事です。昨日は我らが赤澤剛さんによるAWS Organizationの記事でした。 去る2021年10月12日に突然NewsPicksのサービスでFacebookログインやFacebookへの投稿ができなくなりました。この状態は12月13日まで2ヶ月もの間継続していて、ユーザーさんには不便を強いてしまいました。 米Facebook本社とメールでやりとりしていましたが、メール返信に何週間も待たされ、Facebook日本法人に助けてもらってようやく解決に至ることができました。 この苦労話はいくらでもできるのですが、今回はセキュリティの切り口で書いていきます。 Facebookの「データ保護評価」 データセキュリティ項目 「すべてのプラットフォームデータストレージ(すべてのデータベース
[レポート]The Lazarus Group’s Attack Operations Targeting Japan – CODE BLUE 2021 #codeblue_jp | DevelopersIO
こんにちは、臼田です。 今回はCODE BLUE 2021で行われた以下のセッションのレポートです。 The Lazarus Group's Attack Operations Targeting Japan これまでLazarusグループの活動は、日本国内ではフォーカスされることは少なかった。しかし、最近のわれわれのインシデントレスポンス対応において、国内の組織がLazarusグループのターゲットになることが多くなってきた。このプレゼンテーションでは、日本の組織がLazarusグループの標的となった事例について詳細に解説する。 本プレゼンテーションでははじめに、Lazarusグループの攻撃キャンペーンを整理し、われわれの解説する攻撃オペレーションと、他の公開情報を紐づける。そして、2020年に確認したLazarusグループの攻撃キャンペーンの中から、日本で確認された2つにフォーカスして、
![[レポート]The Lazarus Group’s Attack Operations Targeting Japan – CODE BLUE 2021 #codeblue_jp | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/9b2ddc40ff961f748fa95e30fdb668abd1bed898/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2021%2F10%2FCODEBLUE2021_logo.png){kind=logo}
密輸されたNVIDIAのグラボ300枚が漁船から押収される
香港海関局が密輸業者の漁船から大量の密輸品を押収したと発表しました。押収された密輸品には、300枚ものNVIDIA製グラフィックボードが含まれていたと報じられています。 Hong Kong Customs Busts GPU Smugglers, Seizes 300 Nvidia CMP 30HX GPUs | Tom's Hardware https://www.tomshardware.com/news/gpu-smugglers-300-nvidia-cmp-30hx-gpus 報じたのは地元メディアであるTVB NEWSで、密輸品の押収については以下のムービーの29分50秒辺りで触れられています。 無綫7:30一小時新聞｜2021年4月3日｜政府指資審會審查資格難用時間劃分｜本港增兩宗確診 ｜台鐵出軌蔡英文總統慰問傷者及死者家屬 - YouTube TVB NEWSによれば、午前
Apple端末のセキュリティチップ「Secure Enclave」はどのようにして突破されてしまったのか？
Appleデバイスで機密データの暗号化に使用される「Secure Enclave(SEP)」にパッチ不可能な脆弱性が存在すると、中国人ハッカーグループ「Pangu」に所属するwindknown氏がMOSEC 2020にて発表しました。この脆弱性に関する情報をまとめた資料がGitHubで公開されており、仮想メモリ空間の暗号化キーの抜き出しといった脆弱性の詳細を知ることができます。 presentations/Attack_Secure_Boot_of_SEP.pdf at master · windknown/presentations · GitHub https://github.com/windknown/presentations/blob/master/Attack_Secure_Boot_of_SEP.pdf ほぼすべてのApple端末に組み込まれている「Secure Encla
Webアプリや拡張機能（アドオン）で、Web Crypto APIを使ってローカルに保存されるデータを暗号化する - 2019-01-30 - ククログ
株式会社クリアコード > ククログ > Webアプリや拡張機能（アドオン）で、Web Crypto APIを使ってローカルに保存されるデータを暗号化する ※注記：本文末尾の「公開鍵暗号ではなく共通鍵暗号を使う理由」の説明について、2019年1月30日午前0時から21時までの間の初出時に内容の誤りがありました。また、2019年1月30日午前0時から2月5日20時頃までの間において、本文中での AES-CTR による暗号化処理が、 nonce を適切に指定していないために脆弱な状態となっていました。お詫びして訂正致します。初出時の内容のみをご覧になっていた方は、お手数ですが訂正後の説明を改めてご参照下さい。 クリアコードで主にMozilla製品のサポート業務に従事している、結城です。 FirefoxやThunderbirdがSSL/TLSで通信する際は、通信内容は自動的に暗号化されます。その一
クラウドを支えるこれからの暗号技術
『クラウドを支えるこれからの暗号技術』 本書は公開鍵暗号に続く、新しい暗号技術を紹介します。 対象読者 『暗号技術入門』（結城浩）を読んで最先端暗号理論はどうなってるのだろうと興味を持った方 「入門書に載っているRSA暗号は安全ではないので使ってはいけない」ということを知らない方 Hash(secret key||message)で認証してはいけない理由（SHA-2とSHA-3の違い）を知りたい方 楕円曲線暗号の楕円曲線を直感的に把握したい方 最近ちょいちょい聞く「準同型暗号」って何だろうと思っている方 楕円曲線といえばy2 = x3 + ax + bという式が唐突に出てくるけど何故なのと疑問に思った方 EdDSAって何? ECDSAの書き間違い?と思ったらEdwards曲線が出てきて、それ何だろうと思った方 暗号で使われる数学の話をきちんと理解したい方 などなど。 購入 秀和システム 正
RPCに特化したGoogleのセキュリティ通信ALTSとは何か - ぼちぼち日記
はじめに 昨年、Googleから Google Cloud Platform に関するWhitePaperがいくつか公開されました。その中でGoogleのサービス内部で使われている新しいALTSというプロトコルを説明した文書「Application Layer Transport Security」は、読んでみると非常に面白く、セキュアなサービス間通信には本当に何が必要なのか、といったことを改めて深く考えさせられるものでした。物理的なマシンからサービス運用まで、ALTSがカバーする範囲は幅広い領域に渡り、あの巨大なGoogleのサービスをよくここまでまとめ上げたものだとホント感心させられます。 以前から、Googleはデータセンタ内のサービス通信までも暗号化を進めていると言われていました。それは、2013年にエドワード・スノーデンが暴露した資料が、Googleのデータセンタ内部の通信データ
暗号技術入門
The document summarizes cryptography techniques such as hashing functions, MAC, digital signatures, and FIDO authentication. It discusses SHA-2 and SHA-3 hashing standards, how MAC provides data integrity while signatures provide non-repudiation. ECDSA is introduced as an elliptic curve digital signature algorithm. FIDO aims to standardize multi-factor authentication using authentication devices a
暗号文のままで計算しよう - 準同型暗号入門 -
IBIS 2021 https://ibisml.org/ibis2021/ における最適輸送についてのチュートリアルスライドです。 『最適輸送の理論とアルゴリズム』好評発売中！ https://www.amazon.co.jp/dp/4065305144 Speakerdeck にもアップロードしました: https://speakerdeck.com/joisino/zui-shi-shu-song-ru-men zk-SNARKs are zero-knowledge succinct non-interactive arguments of knowledge that allow a prover to convince a verifier of a statement without revealing details. They work by converting a f
重要なデータを守るため、もう一度暗号化技術をおさらいしよう
重要なデータを守るため、もう一度暗号化技術をおさらいしよう：クラウド時代の暗号化技術論（1）（1/2 ページ） エンジニアならば、情報の重要性を誰よりも理解しているはずです。そこで、クラウド時代にエンジニアが知っておくべき「暗号」論を、もう一度おさらいしてみてはいかがでしょうか。デブサミにて反響が大きかった「クラウドを支えるこれからの暗号技術」を執筆した筆者による新連載です。 連載目次 暗号化技術知識をアップデートしよう インターネットの普及と発展により、ネットワーク上で秘密にすべき情報がたくさんやりとりされています。最近ではクラウドサービスの普及により、サーバーに重要な情報を置く機会も増えたことで、個人情報流出の危険性も常につきまとっています。実際、情報漏えいの事故や事件がしばしば報道されていますし、これを受けて、「情報漏えいが怖いからクラウドサービスは使わない」という人も少なくありませ
LINE DEVELOPER DAY 2016 開催のお知らせ « LINE Engineers' Blog
LINE株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。 LINEヤフー Tech Blog saegusa2017-04-16Yoshihiro was a network engineer at LINE, responsible for all levels of LINE's infrastructure. Since being named Infra Platform Department manager, he is finding ways to apply LINE's technology and business goals to the platform. こんにちは。LINEでネットワークやデータセンターを担当している三枝です。2017年1月にJANOG39で登壇する機会を頂きましたので、今回
バックエンドエンジニア（Gehirn Web Services） | ゲヒルン株式会社
応募条件 Python または Go 言語または Erlang を用いたプログラミングができる RFC などで定義される仕様 (英語) を十分に理解でき、それを上記の言語のいずれかを用いて実装できる 実例: SMTP, OAuth2, OpenID Connect, crypt(3), Diffie Hellman など ユニットテストを書く習慣がある 業務内容 利用する技術の検証を含む選定 Gehirn Web Services で提供するサービスの設計 Gehirn Web Services で提供するサービスのバックエンドアプリケーションの実装 歓迎するスキル・経験 Ansible や Chef などの構成ツールを用いたサーバーやネットワークの構築ができる 利用するソフトウェアのバグを調査し、適切なパッチを書く能力 スケールアウトを考慮したアプリケーションの設計能力 各種待遇
HashiCorp社が出したVaultとはどういうものなのか - 理系学生日記
HashiCorp 社から、新たなソフトウェアである Vault by HashiCorp がリリースされました。 - HashiCorp Blog: Vault この Vault について、Getting Started を一通り実施した後に Docs の一部を確認してみたので、簡単にその内容をまとめてみます。 Vault とは何なのか Vault を一言で言うと、機密情報(Secret) を管理するツールです。 これだけ IT が広がっている現在、機密情報の範囲も広がり続けており、データベースにアクセスするためのユーザ/パスワードや、連携するシステムの API キー等、多岐に渡ります。こういった情報、おまえのところのシステムではどう管理してた？XML に生で書いてる、あるよねそういうの。jdbc.properties に直書き、うんうんわかるわかる。ちょっとがんばったら crypt で
クラウドを支えるこれからの暗号技術 - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズ・ラボの光成です。 私は先月のDevelopers Summit 2015で、「クラウドを支えるこれからの暗号技術」という講演をいたしました。そのとき、近いうちに詳細なテキストを公開する予定と申し上げました。その準備ができましたので報告いたします。 講演と同じタイトル『クラウドを支えるこれからの暗号技術』のpdfはgithubから取得できます。 2015/6/21追記。このテキストが秀和システムから出版されました。 表題の講演は、主に2000年に入ってから登場した新しい暗号技術の紹介がメインです。そのときのプレゼン資料は3月の時点で4万5千ビューを超えていて、デブサミ資料の中でもかなり上位に入る閲覧数のようです。技術者の暗号に関する関心が高いことを伺わせます。 しかし一般向けの暗号のテキストは、公開鍵暗号の一つであるRSA暗号やElGamal暗号ぐらいしか詳しい原理が記されていな
クラウドを支えるこれからの暗号技術
zk-SNARKs are zero-knowledge succinct non-interactive arguments of knowledge that allow a prover to convince a verifier of a statement without revealing details. They work by converting a function and its inputs/outputs into a quadratic arithmetic program (QAP) represented as polynomials. This allows a verifier to efficiently check a proof generated by the prover using techniques like Lagrange int
/etc/shadow のパスワードフィールド - JULY’s diary
question:1299688445 を切っ掛けに、/etc/shadow ファイルのパスワードフィールドを調べてみたら、思いの外、複雑な処理をしているのが分かったので、実際にこの処理を追いかけてみました。 近頃の UNIX 系 OS の /etc/shadow のパスワードフィールドは、実際にはいくつかのハッシュ関数を選べる事になっています。 Crypt (Unix) - Wikipedia UNIX 系 OS には、crypt という C 言語用の関数が用意されていて、伝統的には DES を使った処理でパスワードフィールド用の文字列を生成していたのですが、この関数自体を拡張することで、MD5 や SHA-256、512 といったハッシュ関数を使う処理も出来るようになっています。どの方式を使っているかは、パスワードフィールドの文字列の先頭にある「$1$」といった部分で判断します。 先頭
VOYAGE GROUP エンジニアブログ : androidとiOSで共通で使える暗号方式
2012年04月26日09:42 カテゴリprogrammingスマートフォン androidとiOSで共通で使える暗号方式 こんにちは、VOYAGE GROUPのしんばし(@shinbashi）です。 昨今何につけてもスマートフォンですよね。 かくいう僕もPDAからのW-ZERO3という王道を通って来ました。 さて、最近は特にスマートフォン対応とか、アプリ化する機会が増えてきたと思います。 android版を作ればiOS版も出すよ！みたいな話になりますよね。 「android版だけでいい」 なんて言葉を信じて設計すると、後で痛い目を見るのは火を見るより明らかです。 前フリが長くなりました。 android版だけだと信じて僕が痛い目を見たのは暗号化・復号処理の部分です。 Javaはともかく、Objective-Cをよく知らなかったのでライブラリに頼るわけですが、 Objective-Cの暗
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
