カスペルスキーがWEBサイトに不審なスクリプトを埋め込んでいた件 - wp.bmemo.pw
タイトルが不穏ですが調査やサポートに連絡した結果「通常使用は問題ない」との結論になりましたので先に言っておきます。じゃあなぜ記事にしたかというと「WEBサイト作るときに超困る」からです。 追記：以下の検証等は（2015年11月バージョンの）カスペルスキー2016 Windows版です。 一体何が起きているのか カスペルスキー 2016および2015の話です。2016はつい最近パッケージ版が発売されましたね。このカスペルスキー2016 Windows版 をインストールすると、アクセスする（ほぼ全ての）WEBサイトに**「カスペルスキー謹製 javascriptコード」**が挿入されます。 これはカスペルスキーと全く関係ないMicrosoftのWEBサイト(https://www.microsoft.com/ja-jp)を表示した時のhtmlソースです。 見辛くてすいません。microsoft
第28回 「続けてパスワード送付」欧米でまったく使われないワケ
「添付ファイルがパスワードロックされたメール」とそれに続けてやって来る「パスワードだけ書かれたメール」。 多くの日本企業で当たり前のように採用されているメールセキュリティのガイドラインですが、前回取り上げた通り、これらは完全に日本だけのガラパゴスなルール／システムです。 なぜ日本だけの独自文化なのか、また欧米はどのように対応しているのかを確認しましょう。 日本独自のガラパゴスルールが広がったワケ まずは、日本でこのようなガラパゴスルールが当たり前になってしまった背景から。実際に情シス担当者の方に導入理由を聞くと、おおむね次のような答えが返ってきます。 「情報漏えい事件の防止や、起きてしまった場合のリスクヘッジである」 まず挙がるのがこちらです。この手のシステムの検討にあたり、稟議書の最初に書かれるであろう理由でもあります。 未然に防げれば何よりですし、「万一、誤送信してしまっても、暗号化さ
日本年金機構からの事故調査報告書発表に思うこと | セキュリティ対策のラック
標的型攻撃の被害組織自らが体験したことを赤裸々に書いた報告書は徹底的に活用したい。 本日、日本年金機構より「不正アクセスによる情報流出事案に関する調査結果報告について」が発表されました。標的型攻撃において、被害を受けた組織が調査して公開した「初めての具体的な報告書」だと認識しています。そのため、あらゆる組織において対策に有益で貴重な情報だと思います。 まずこの種の報告は、一般的に原因分析や再発防止策などに関し、全てを公開できないことを理解しなければなりません。内部向けの資料は、さらに詳細なものが作成されているものと推測します。つまり、記載されていることが全てであるような判断は禁物です。公開された情報からできるだけ本質をつかみ、自分たちの対策に生かしていくようにしたいものです。 総括としては、報告書からは、しっかりとした対策や対応と反省点がしっかり読み取れます。正直、ここまでの対策ができてい
よくぞ出した、NISCの調査報告！ | セキュリティ対策のラック
日本年金機構の調査結果報告が公開された8月20日にひっそりと政府のサイバーセキュリティ戦略本部から機構における調査結果が公表された。注目すべき内容に関して記録しておきたい。 8月20日、日本年金機構（以降、機構）より「不正アクセスによる情報流出事案に関する調査結果報告」が発表されましたが、同日サイバーセキュリティ戦略本部（以降、CS本部）からNISC（内閣サイバーセキュリティセンター）が行った調査を下に「日本年金機構における個人情報流出事案に関わる原因究明調査結果」も公開されました。 翌日となる8月21日には、機構の監督官庁である厚生労働省の第三者による情報流出事件検証委員会より検証報告書が公開されました。以前のブログでも紹介したように機構自身の内部調査報告書は赤裸々で貴重な情報が多く含まれていましたが、厚労省第三者委員会からの報告書は、事務局取りまとめをレビューしただけではないかと思われ
ブルース・シュナイアーさんの安全なパスワード文字列の作り方
前回は、サービスごとにユニークなパスワードを作る方法を提案しました。 今日一緒にランチを食べていた、元同僚からこんなことを教わりました。 「似たことを、ブルース・シュナイアーが言ってたよ」 ブルース・シュナイアー（Bruce Schneier、1963年1月15日 – ）は、アメリカ合衆国の暗号研究者、コンピュータのセキュリティ専門家、作家。BT Counterpaneのコンピュータセキュリティと暗号に関する著作があり、Counterpaneインターネットセキュリティ社[1]の創設者であり、最高技術責任者（CTO）でもある それはこちらのエントリでした。 興味深かったのでざっくりサマって見ます。 私の英語力は非常に残念なので、ミスがあったらぜひ教えて下さい。 Passwords / paul.orear はじめに 一番良いパスワードは、それが壊れた言葉であることです。 と言うのは攻撃者はた
なぜhao123に汚染されるのか - ex
PC初心者が有名なマルウェアであるhao123を入れてしまうメカニズムがちょっと分かったので書き留めておく。 サンプルはセットアップしたばかりのWindows7パソコン。CPUはCore i5だがそれでもIEは重い。ブラウザをGoogle Chromeに入れ替えようとしてスタートページのMSN（検索エンジンはbing）から「chrome」を検索。 すると広告のトップに出てくるのは「www.download786.com」。いかにもなサイトだ。 ダウンロードのリンクは fastdownloadsoftw.areserver18.s3-eu-west-1.amazonaws.com/softwares/binary/504405/810823cbb5f742196e7fa1a65d5853b4d2580195/google-chrome_setup.exe 一応chromeのセットアップexe
ヤフーの広告でスパムが表示される！と話題なので「Google Chrome」と検索してみたら面白い事になった件 | Web論
先日から問題になっている「広告問題」なんですが、ちょっと今回目についたのが「Yahoo!の広告が現状ちょっと危険」って言う僕ちゃんの勝手な思いでございます。 ではなんでそう思ったのか、ささっと調べた事について書いておきたいと思います。 まず事の発端を説明しなくてはいけませんが、2月19日に京都銀行の「個人向けインターネットバンキング」の取引画面を装った偽サイトがYahoo!の広告商品「スポンサードサーチ」の利用により検索ページの上部に表示されていたそうで、これについては公式サイトが明らかにしています。こっち読んでもらった方がわかりやすいと思うんで、こっちをまずお読み下さい。 Source:http://advertisingblog.yahoo.co.jp/2014/02/post_32.html スポンサーリンク んでこれについて当然ですがYahoo!さんは「今後は金融関連の広告審査に
備忘録 - 仏の秘密も百度まで : 404 Blog Not Found
2013年12月27日13:30 カテゴリTipsiTech 備忘録 - 仏の秘密も百度まで ちょw また百度（baidu）が日本語入力ソフトの件でやってくれたようです(山本 一郎) - 個人 - Yahoo!ニュース これには我らがダニーもお怒りです 私自身は、Baidu IME も Simeji も使っていないので怒る権利自体があるかどうかも疑問なのだけど、いい機会なのでちょっとまとめておきますか。 ネットエージェントはどうやってSSL通信を解析したか? もし何の設定もなされていない端末とサーバーの間のSSL通信が傍受できたのだとしたら、IMEがキーロガーになっていた以上の大ニュースで、日本どころか世界中が大騒ぎのはずですが、この件は安心してOK。 なぜなら、この解析はSSL通信の傍受をわざと解析可能に設定した端末を用いているからです。 詳細:Counter SSL Proxy｜ネット
RSAとNSAとの秘密契約疑惑で揺らぐ暗号システム評価 - 雑種路線でいこう
RSAといえば代表的な公開鍵暗号アルゴリズムで、作者が暗号を商用化するために設立した会社の社名でもある。その老舗がNSAから1000万ドルを受け取って、同社の暗号ツールキットBSafeで、NSAが開発したバックドアを含む擬似乱数生成器Dual Elliptic Curveを標準設定にしたとロイターが報じた。事実であればRSAやBSafeのブランドだけでなく、Dual_EC_DRBGをSP 800-90Aとして標準化したNISTへの信頼も揺らぐ。 あるNSAメモは、大胆にもその進捗状況についてこう書いている。「暗号解読機能がオンラインで使えるようになった。これでこれまで捨てられていた大量の暗号化インターネットデータを活用できる」 (略) ReuterがNSAはRSAに1000万ドル払って欠陥アルゴリズムを使わせたと暴露したことによって話は変わってきた。NSAがある種の邪悪な黒幕で、人気のセキ
高木浩光＠自宅の日記 - 企業秘密を含み得るメールの件名がNAVERへ送信されている
■ 企業秘密を含み得るメールの件名がNAVERへ送信されている 前回の日記の件、あのようなサービス形態（サービス内容の説明の構造を含む）が偶然に誕生したとは考えにくい*1ことから、現場で早まって安易な(b)の選択をする*2のでなく、元々本来の設計は「モニタ登録」した場合だけ送信するはずのものでなかったのか*3、今一度ちゃんと経営の判断も含めて検討されるよう促せないかと思い、（サポートデスクへの伝言では心許ないので）前回の日記を書いたのであった。 しかし、結局、翌日のサポートデスクからの電話回答は、利用規約の文言を変更するというもの、つまり(b)が選択されたものであった。以下のように、28日の午後*4に「必ずご確認ください」という注意書きが加えられていた。 この対応について、Twitterでは、当該事業者（NHN Japan）の本件当事者と、永久不滅プラス利用者の反応が、それぞれ以下のように
高木浩光による怒濤の講演「ゲーム業界におけるプライバシー保護」がすごいことに
「高木浩光＠自宅の日記 - Tポイント曰く「あらかじめご了承ください」」というエントリーによってTポイントツールバーは「騙す気満々の誘導」であると指摘、その2日後にTポイントツールバーのダウンロードが一旦停止されたり、ほかにも「ダウンロード刑罰化で夢の選り取り見取り検挙が可能に」「ローソンと付き合うには友達を捨てる覚悟が必要」「武雄市長、会見で怒り露に「なんでこれが個人情報なんだ！」と吐き捨て」「やはり欠陥だった武雄市の個人情報保護条例」というように、次々とセキュリティに関して絶大な影響を与え続けてきた独立行政法人産業技術総合研究所の高木浩光(通称：ひろみちゅ)氏によるCEDEC2012の講演が、非常に秀逸な内容となっており、ゲームに限らず、スマートフォンまでも含めてそもそも「個人情報」とは一体何か？ということから、個人情報の現在の扱い、プライバシーに関して今後あるべき方向に至るまで、縦横
iCloudハック事件の手口がガード不能すぎてヤバイ | fladdict
GizmodeのライターがiCloudのアカウントを乗っ取られ、iCloud消滅、iPad, iPhone, Macのデータワイプ、Gmail, Twitterの乗っ取りを食らった件について、ハッキングを本人が語ってらっしゃる。 手口としては典型的なソーシャルエンジニアリングによる、複数サイトから得た情報のギャザリングを用いたハック。 だがこのハッキングのプロセスが鮮やかすぎてヤバイ。ツールを一切つかわず電話だけでハッキングしてる。 Twitterアカウントに目をつける 元々クラッカーは、Gizライターの持っていた「３文字のTwitterアカウント」が欲しくてアタックをかけたらしい。 Twitterプロフィールから、本人のウェブサイトへ 本人のウェブサイトからGmailのアドレスを発見 Gmailで「パスワードがわからない」から再発行 再発行メール用のアドレスが画面に表示される。この m*
はてなブックマークボタンのトラッキング問題で高木浩光先生が決別ツイートをするに至った経緯まとめ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Askの本日の質問が危ない - Togetterまとめ
就活生のみなさんへ ～文系？理系？～ « サーバーワークス社長ブログ
YOMIURI ONLINEに掲載された「iPhoneで人の情報丸見え」記事について、当事者から。