MIT研究者ら、Torよりも安全なSMSを開発
fossBytesに12月11日(米国時間)に掲載された記事「MIT Develops Secure SMS System Which Is Even More Anonymous Than Tor」が、MITの研究者らによって「Vuvuzela」と呼ばれるSMSシステムが開発されたことを伝えた。この新しいネットワークはTorネットワークにおけるデータトラフィックパターンの解析を実施した後に考案されたもので、Torよりも安全なネットワークとされている。 MITの研究者らはそれぞれのTorノードを通過するパケット・ディレクションのパターン解析を実施し、99%の正確さでその通信が通常のWebブラウジングによるものかイントロダクションポイントによるものかを判別できることを発見したという。この解析結果を受けて設計されたネットワークが「Vuvuzela」であり、よりトレースが困難でTorよりも安全で
Dropboxのバグでユーザーファイルが完全消去されるという事態が発生
クラウド上にデータを保存できるオンラインストレージサービスのDropboxで、サーバに保存したユーザーのファイルが完全に消去されるという事態が発生しました。原因はアプリのバグによるものと判明しています。 Dropbox confirms that a bug within Selective Sync may have caused data loss | Hacker News https://news.ycombinator.com/item?id=8440985 Dropbox bug deletes some users' files permanently - Neowin http://www.neowin.net/news/dropbox-bug-deletes-some-users-files-permanently このバグはDropboxが提供しているデスクトップ版アプ
全てのWEBサービスでチェックすべきセキュリティ項目
WEBサービスにおけるセキュリティ対策の基礎 近年WEBサービスの脆弱性が騒がれておりますが、果たしてあなたが運用しているサイトのセキュリティは大丈夫でしょうか？以下、チェックしておくべきセキュリティ項目をあげました。 SSL証明書の利用 ユーザのプライベートな情報を送信してもらいサーバに保存するようなサービスではSSL認証は必須の機能と言えるでしょう。SSL認証を行っていないと、大切なユーザの情報が外部の悪いユーザに見られてしまう可能性があります。 ※ちなみにGozal-mediaではプライベートな情報のやり取りは行っていないためhttpで通信を行っています。 【確認方法】 ・ユーザ情報を送受信するページのURLが「https」から始まっている事を確認 ・「https」のページにアクセスした際に「セキュリティ証明書が信頼できない」という用な表示が出てこない事を確認 【導入方法】 導入
WindowsのパスワードをUSBポートにさすだけで誰でも簡単にすぐリセットできる「Password Reset Key」
以前使っていた昔のPCのパスワードを思い出せない、中古で買ってきたPCを立ち上げてみたらパスワードを聞いてきた、はたまたウイルスに感染してパスワードを書き換えられてしまったというケースなど、ログインする際のパスワードがわからなくて困った経験が誰でも一度はあるはず。そんな時にUSB端子に挿すだけですぐにパスワードをリセットできてしまうのが「Password Reset Key」です。 Password Reset Key by Jonty Lovell — Kickstarter https://www.kickstarter.com/projects/jontylovell/password-reset-key Password Reset Keyを開発したのは、イギリス在住のジョンティ・ラベルさん。ITエンジニアとして巨大プロジェクトに携わってきた経験の中で、パスワード管理の大変さを体験
「DNSが攻撃されてる！助けて！」→「いえいえ、アナタも攻撃に加担してます」:Geekなぺーじ
DNS Summer Days 2013の初日最後のセッションで面白い話が公表されていました。 JPCERT/CCに対して「うちのDNSが攻撃されています。助けて下さい」という問い合わせが来ることがあるらしいのですが、調べてみるとその大半がDDoSの踏み台として使われているのであって、実際は攻撃に加担してしまっているというものでした。 他者を攻撃するトラフィックを生成することで、自身の回線やサーバに負荷がかかってしまっている状態が凄くよくあるそうです。 「助けて！」と言っている人が、意図せずに誰でも使えるオープンリゾルバとして設定されており、攻撃者の踏み台にされているというものです。 キャッシュDNSサーバの設定を変更し、オープンリゾルバをやめると問題が解決することが多いとのことでした。 今年に入ってから、オープンリゾルバがDDoS攻撃の踏み台にされる話がインターネット通信業界で話題です。
SQLインジェクションゴルフ - なんと3文字で認証回避が可能に
昨日のエントリ「SQLインジェクションゴルフ - 認証回避の攻撃文字列はどこまで短くできるか?」にて、認証回避の攻撃文字列が5文字にできる（「'OR'1」）ことを示しましたが、@masa141421356さんと、やまざきさん（お二人とも拙著のレビュアーです）から、idとpwdにまたがった攻撃例を示していただきました。やまざきさんの例は、MySQL限定ながら、なんと3文字です。これはすごい。 @masa141421356さんの攻撃例 @masa141421356さんのツイートを引用します。 @ockeghem 大抵のDBでid=''OR' AND pwd='>' ' が通ると思います（id側に「'OR」, pwd側に「>' 」で6文字）。長さ0の文字列がNULL扱いされないDBなら最後のスペースを消して5文字です。 — masa141421356 (@masa141421356) June
きっかけは不正侵入――私がセキュリティ業界に足を踏み入れたワケ
きっかけは不正侵入――私がセキュリティ業界に足を踏み入れたワケ：川口洋のセキュリティ・プライベート・アイズ（46）（2/2 ページ） セキュリティ情報の収集方法～私の場合 2002年にラックに入社してから、はや11年が経過しました。企業や官公庁では情報セキュリティの重要性が理解されるようになり（まだ不十分なところもありますが）、大学や専門学校の中には情報セキュリティの学科が設けられるところも生まれ、日本語の情報も多く流れるようになりました。 「どういうところで情報収集をしていますか？」という質問もよくいただくので、私が参照するサイトをご紹介します。 まずは個人のサイトからです。 セキュリティホールmemo http://www.st.ryukoku.ac.jp/~kjm/security/memo/ ここはもはや鉄板ですね。「個人で追いかけてみるテストです」と説明書きがありますが、もはやテ
ECサイトのセキュリティの原則 - 最近の情報漏洩に対して - EC-CUBEのカスタマイズ、ネットショップ制作メモ
どうもお久しぶりです。 今日は、最近多発しているECサイトの情報漏洩についてです。 最近、いくつかのWebサイトでおきた情報漏洩のニュースを良く聞きます。 特に、ECサイトでの通常考えられない様な漏洩もあったりするので、発注者側、開発者側の人に対して強く言いたい事があります。 漏れたら危険な情報は持たない こう言ってしまうと余計な危機感をあおりそうで嫌ですが、基本的に全てのWebサーバは侵入可能です。 どれくらい難しいかという話で、時間や労力を考えなければインターネットに繋がっている全てのサーバは侵入可能なのです。 Webサイトのセキュリティは、それを踏まえた上で、「侵入されても最悪の事態を防ぐ」「侵入させにくくする」という視点で対策を施す必要があります。 なんだか原発と似てますね。 「事故が起きない事を前提に考えてはいけない」という事です。 その為には、基本的なログインIDやパスワードの
何が起きたのか「韓国大規模サイバー攻撃」
2013年3月20日に韓国で発生した大規模サイバー攻撃、通称「320サイバーテロ」。金融機関や放送局のコンピュータの一斉ダウンを引き起こした320サイバーテロは、どういった経緯で発生したのか。企業が学び取れる教訓と対策とは。韓国政府のタスクフォースメンバーとして320サイバーテロを解析した、セキュアソフト CERT所長のソン・ドンシク氏の話から明らかにする。本稿は、2013年5月にセキュアソフトとラックが共催した「SecureSoft SECURITY FAIR 2013」でドンシク氏が講演した内容をまとめた。 関連記事 米国政府も「Stuxnet」で参戦、サイバー戦争で生き残る策とは？ イランの核施設を狙い撃ちにした「Stuxnet」とは何者か 米国防総省委員会、「サイバー攻撃への軍事作戦力を高めよ」 Officeのパスワードを数秒で解析――専門家が語るサイバー攻撃の現状 攻撃の被害：金
暗号化のお話 (1)
最終目的は SSL/TLS ここから暗号化に関する話が始まります。 最終目標は「SSL/TLS プログラミングができるようになること」なのですが、 プログラミングのやり方だけを説明するのは嫌なので、 暗号の基礎についても解説してみました。 本を買って勉強してみたところ、これが非常におもしろい。 ついついいろんなことを書いてしまいました。 共通鍵 データを安全にやりとりするにはどうすればいいでしょうか。 そう、暗号化すればいいのです。 古来から伝わる暗号化の方式としてシーザー暗号というのものがあります。 仕組みはとても簡単で、下の表のように文字列をアルファベット順に 数個ずらすだけです。この例では A〜Z を F〜Z・A〜E と、5つずらしています。
パスワードがわからなくてもWindowsにログインする方法（と対策） | ライフハッカー・ジャパン
パスワードを知らなくてもWindowsマシンにログインできるのをご存じですか？ ログインする方法はいくつかあり、それぞれ強みと弱みがあります。ここでは3つの代表的な方法とその対策をご紹介します（ちなみに、Macでも方法はあります）。■ 「Linux Live CD」を使う OS自体にはアクセスせずに、ハードディスクドライブからファイルを移すだけなら極めて簡単です。「Linux Live CD」を使ってマシンを起動、お目当てのファイルをUSBフラッシュドライブへドラッグ＆ドロップするだけです。 方法：どのバージョンでもいいので「Linux Live CD」のISOファイルをダウンロードしてCDに焼きます（Ubuntuが人気ですね）。ログインしたいWindowsマシンにCDを挿入、そこから起動します。最初のメニューで「Try Ubuntu」を選択。デスクトップ環境が表示されたら、メニューバーの
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
連載記事 「習うより慣れろ！ iptablesテンプレート集」