Apple Pay のセキュリティについて詳しく調べてみた | はったりエンジニアの備忘録
4 月に Apple Watch Series 2 を購入してから、ほぼ毎日のように Apple Pay を利用しています。もともと現金をほとんど使わない生活をしていましたが、最近は財布から電子マネーやクレジットカードを出すことすらなくなってきました。 すっかり普段の生活に溶け込んでいる Apple Pay ですが、セキュリティについては漠然と安全なんだろうという程度の知識しかありませんでした。今回は Apple が公開している情報をもとに Apple Pay のセキュリティについて詳しく調べてみました。 参考にしたのはこの 2 つです。 日本の Apple Pay のセキュリティとプライバシーの概要 - Apple サポート iOS のセキュリティ: iOS 10 より詳しく知りたい方はリンク先のドキュメントを参照してください。以下は自分が気になったポイントです。 デバイスアカウント番号
[ANNOUNCE] Emacs 25.3 released
Hi! Version 25.3 of the Emacs text editor is now available. For more information on Emacs, see: http://www.gnu.org/software/emacs You can retrieve the source from your nearest GNU mirror by using one of the following links: http://ftpmirror.gnu.org/emacs/emacs-25.3.tar.xz http://ftpmirror.gnu.org/emacs/emacs-25.3.tar.gz You can get the PGP signatures at http://ftp.gnu.org/gnu/emacs/emacs-25.3.tar.
シマンテックのCA事業売却に伴ってChromeでのシマンテック証明書の無効化スケジュールをGoogleが発表
Symantec(シマンテック)傘下の認証局(CA)が発行する証明書に信頼性の低いものが含まれているとして、GoogleはブラウザChromeでシマンテックの認証局が発行する証明書を段階的に失効させる計画を明らかにしています。そのシマンテックがCA事業を売却することになったのに伴って、Googleがあらためてシマンテック証明書の取り扱いをSecurity Blogでまとめています。 Google Online Security Blog: Chrome’s Plan to Distrust Symantec Certificates https://security.googleblog.com/2017/09/chromes-plan-to-distrust-symantec.html GoogleやMozillaなどのブラウザ開発企業は、「シマンテックのPKI事業では業界標準であるCA
マイクロソフト、不正が指摘されていた中国CAの証明書を無効に
Microsoftは、中国の認証局（CA）であるWoSignと傘下のStartComのセキュリティの低さに辟易したようだ。「Windows 10」で両社の新しいセキュリティ証明書を無効にするという。 CAとは、インターネット上のデジタルエンティティの身元を証明するX.509デジタル証明書を発行する信頼された機関だ。証明書には、所有者の公開鍵と名前、証明書の有効期限、暗号化方法など、その公開鍵所有者に関する情報が含まれる。一般的には、SSL/TLS（Secure Sockets Layer/Transport Layer Security）によってインターネット通信を暗号化するhttpsプロトコルを利用する安全なウェブサイトや、仮想プライベートネットワーク（VPN）によって使用される。不正な証明書では、何の保護もされていない状態にほぼ等しい。不正な証明書を利用して、ウェブサイトや「プライベー
Dropboxは5つ星！ Amazonは2つ星！ ｢米国政府によるプライバシー侵害に立ち向かう企業｣の成績表が公開
Dropboxは5つ星！ Amazonは2つ星！ ｢米国政府によるプライバシー侵害に立ち向かう企業｣の成績表が公開2017.07.14 19:005,832 塚本 紺 プライバシー問題、｢政府への対応｣が焦点に。 デジタル時代の人権を守るために1999年から活動を続ける非営利団体Electronic Frontier Foundation（EFF）はここ7年間、毎年ユーザーのプライバシー保護への取り組みという観点で大手テック企業を五つ星で評価をし、その成績を公開しています。 と、ユーザーのプライバシー保護というと｢ああ、データを暗号化しているかとかそういうのね、そりゃしてるでしょ｣と簡単に片付けてしまいそうですが、違うんです。アメリカでのプライバシー保護の最前線は｢政府機関の個人情報取得からどれだけ守ってくれるか｣にシフトしているんです。今回発表されたレポートには次のように書かれています。
Node.js で発生した Hash flooding DoS とその内容について - from scratch
Node.js のセキュリティアップデート 7/11 に Node.js のセキュリティアップデートがリリースされました。 Security updates for all active release lines, July 2017 | Node.js これには複数の脆弱性が報告されており、今回はそのうちの1つの Hash flooding DoS という脆弱性が何なのか、それに対して採用された対策が何なのかについてお話します。 Hash flooding DoS (hashdos) Denial Of Service 、つまりサービス拒否攻撃の一種です。 JavaScript のオブジェクトは内部的にハッシュテーブルとして表現されています。 図はこちらから引用 ハッシュ関数は同じkeyなら同じ値を返しますが、別なkeyなら通常は別な値になります。 ハッシュテーブルのinsert, g
CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして - Mercari Engineering Blog
本日コーポレートサイトでお知らせした通り、Web版のメルカリにおいて一部のお客さまの個人情報が他者から閲覧できる状態になっていたことが判明しました。原因はすでに判明して修正が完了しております。また、個人情報を閲覧された可能性のあるお客さまには、メルカリ事務局より、メルカリ内の個別メッセージにてご連絡させていただきました。 お客さまの大切な個人情報をお預かりしているにも関わらず、このような事態に至り、深くお詫びを申し上げます。 本エントリでは技術的観点から詳細をお伝えさせていただきます。 2017年6月27日 CDNのキャッシュの動作について、CDNプロバイダと仕様について確認し検証を行いました。その結果一部記述に実際と異なる箇所があり、加筆修正いたしました。 概要 メルカリWeb版のコンテンツキャッシュをしているCDNのプロバイダ切り替えを行いました。 その際本来キャッシュされるべきでない
JOSE（JavaScriptオブジェクトへの署名と暗号化）は、絶対に避けるべき悪い標準規格である | POSTD
注： 本稿は元はJSON Web Tokens（JWT）について書いたものですが、JWTはJavascript Object Signing and Encryption（JOSE）のサブセットであるため、以下の批評はどちらかというとJOSE全体に焦点を当てています。 もし既にJavascript Object Signing and Encryption（JOSE）を実装することを決めているなら、それがJSON Web Tokens、JSON Web Encryption（JWE）、JSON Web Signatures（JWS）のいずれであっても、その決断に疑問を持つべきです。間違いを犯そうとしている可能性があります。 この投稿に書いたことはすべて、RFC 7519、RFC 7515、そしてRFC 7516に則っています。将来、新規のRFCでは以下に挙げるような欠陥はなくなっている可能
弊社役員のGyazoアカウントおよびTwitterアカウントへの不正アクセスに関するお詫びとご報告 - Gyazo Blog
平素よりGyazoならびにScrapboxをご利用いただきありがとうございます。この度、弊社CTO増井俊之（以下当人）のTwitterアカウントとGyazoアカウントが不正利用されているとのご指摘をユーザーのみなさまよりいただき、事実関係を調査いたしましたところ、不正利用の事実が判明いたしました。 アクセスログ等の確認ならびに当人への聞き取り調査により、当人がGyazoアカウントに他のWebサービスと同じパスワードを設定しており、このパスワードが漏れたために第三者に不正利用されたものと確認しております（いわゆるパスワードの使い回し）。また、当人がGyazoアカウントにTwitterアカウントのIDとパスワードを含むスクリーンショットを保存しており、その画像を元にTwitterアカウントも不正利用されたことが、アクセスログ等の確認ならびに当人への聞き取り調査により判明しました。現在、当人にパ
Android の不正ボットネット、Chamois の検知と削除
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
SHA1 が初めて衝突
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
1Passwordを買い切り版からライセンス版に移行しました
※ iCloudやDropboxでのデータ共有はライセンス版ではできないですがそもそもする必要がなくなるということなので問題ない 値段の違い 買い切り版(OSX版): 約7,000円 ライセンス版: 約300円/月 ライセンス版(Familys): 約400円/月 ライセンス版のプランの比較は以下を参照(個人なら無印ライセンスで充分)。 Pricing - 1Password ライセンス版にした理由 1番大きな理由は、1Passwordのデータの同期方法でDropbpxやiCloudを使いたく無くなったからです。 DropboxやiCloudをデータの保存先にすると、1Passwordが他のサービスに依存してしまいます。 依存させると、1Passwordのポータビリティが下がります。 たとえばiCloudを使ったデータ同期では当然ながら同じApple IDでないとダメなので、会社用のApp
お客様の個人情報の利用について | 楽天グループ株式会社
お客様が「楽天市場」のショップでお買い物をしたり、「楽天トラベル」でホテルを予約した場合、私たちは、そのお取り引きを実行するために必要な範囲内で、氏名、住所、電話番号などの個人情報をご利用のショップやホテルに提供いたします。 提供された個人情報は、商品の配送や予約に関するご連絡など、お取り引きを実行するために必要な範囲内で、ショップやホテルによって利用されます。 ページのトップへ戻る 例として、楽天カード株式会社の「楽天カード」を申し込まれたお客様に、楽天が「楽天ポイント」を付与するとき、楽天カード株式会社と楽天との間で、お客様の情報をやりとりし、ポイント付与や、関連するお問い合わせ対応のために利用します。 この時やりとりされるお客様の情報には、氏名などの個人情報が紐づいた状態でのサービス利用履歴、お問い合わせ内容などの情報が含まれる場合があります。 ページのトップへ戻る
Facebook、新たなパスワードリカバリー手段「Delegated Recovery」を発表
米Facebookは現地時間2017年1月30日、パスワードリカバリーの新たな認証手法「Delegated Recovery」を発表した。ソースコード共有サービス「GitHub」と協力し、1月31日よりGitHubユーザーを対象に限定提供する。 パスワードを忘れてしまった場合、アクセス復旧の一般的な手段として、秘密の質問への回答、パスワードリセット要求の電子メール送信やSMS送信などが使われる。しかしいずれもセキュリティが十分とは言えないと、FacebookのBrad Hillセキュリティエンジニアは述べている。 Delegated Recoveryを用いたパスワードリカバリーでは、あらかじめFacebookアカウントでリカバリートークンを登録する。GitHubアカウントへのアクセスを復旧しなければならない状況に陥った場合に、Facebookにログインして同トークンをGitHubに送信する
「Elasticsearch」狙うランサム攻撃増加、研究者ら報告--「MongoDB」攻撃と同様の手法
オープンソースのマルチテナント対応全文検索エンジン「Elasticsearch」に対するランサムウェア攻撃がこのところ急増しており、数百ものインスタンスがデータ消去の憂き目に遭っているという。その手法は、2017年に入って「MongoDB」データベースを襲った攻撃と同様に、貧弱な設定につけ込むというもののようだ。 攻撃者はElasticsearchが稼働しているサーバにアクセスし、データを削除したうえで、データ返却の条件として身代金を要求する。識者らは、こうした攻撃から身を守れるよう、Elasticsearchが稼働しているサーバをウェブ上から隠ぺいするよう警告している。 The Registerが最初に報じたところによると、被害に遭ったElasticsearchインスタンスは360にのぼるという。また、MongoDBに対する攻撃を追跡したセキュリティ研究者のNiall Merrigan氏
Googleは巨大なインフラをどうやってセキュアに保っているか。独自のセキュリティチップ利用やDoS対策、安全なソフトウェア開発など、全体像を解説したホワイトペーパーを公開
Googleのクラウドは間違いなく世界最大規模のコンピュータシステムです。膨大なハードウェアとソフトウェアから構成されるこの巨大なシステムを、同社はどうやってセキュアに保っているのか。そのことを解説したホワイトペーパー「Google Infrastructure Security Design Overview」が公開されました。 ホワイトペーパーには、Googleのデータセンターを構成するデバイスの1つ1つにまで独自のセキュリティチップを組み込んで正規のデバイスかどうかを相互に認証するという物理レベルのセキュリティから、何層のものロードバランサーからの情報を集約してDos攻撃を検知すると、その通信を破棄するといったDoS対策。 そしてマシンも従業員もサービスも包括するグローバルな名前空間など、きわめて広範かつ綿密なセキュリティ施策が説明されています。 クラウドがいかに高度なセキュリティで
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
netskope
TechCrunch
Information Requests - Twitter Transparency Center
Announcing the first SHA1 collision
