A File Format to Aid in Security Vulnerability Disclosure - 正しくつながる第一歩 - JPCERT/CC Eyes
Top > “標準・ガイド”の一覧 > A File Format to Aid in Security Vulnerability Disclosure - 正しくつながる第一歩 早期警戒グループの戸塚です。早期警戒グループでは、注意喚起や早期警戒情報といったセキュリティ情報や、JVNアドバイザリの発信を行っています。私は、脆弱性コーディネーターとして、セキュリティ研究者などの脆弱性発見者からJPCERT/CCに報告された脆弱性関連情報に基づいて、対象製品の開発者と対策策定などの調整をし、JVNアドバイザリの公表に至る一連のコーディネーション業務を担当しています。この記事では、脆弱性コーディネーターの視点から、脆弱性調整を行う機関や脆弱性発見者が開発者との連携をしやすくするために、開発者組織が実施可能な対策の一つとして、今年、2022年4月に正式公開された「RFC 9116：A File
日経電子版がRFC 9116(security.txt)に対応した話 — HACK The Nikkei
Hack The Nikkei アドベントカレンダー2022の 14 日目はセキュリティチームがお届けします。セキュリティエンジニアの藤田です。 普段はクラウドセキュリティやウェブセキュリティに関するチーム横断的な企画や、プラス・セキュリティ人材に関する施策を実践しています。 本日は、2022 年 4 月に公開された技術仕様RFC 9116 - A File Format to Aid in Security Vulnerability Disclosure(以下、RFC9116)に日経電子版が対応した話をご紹介します。 こちらの記事では日経電子版が RFC9116 に対応したきっかけや、実際に公開するにあたって考慮したことを取り上げています。 まだ実際に対応された事例が少ないと感じましたので、新たに対応を検討される方の参考になれば幸いです。 対象読者 RFC9116(security.t
2段階認証アプリAuthyの3300万ユーザー分の電話番号がサイバー犯罪者に盗まれる
メッセージングサービスのTwilioが、同社が所有する2段階認証アプリ「Authy」のユーザーの携帯電話番号がサイバー犯罪者によって盗まれたと発表しました。この発表は、サイバー犯罪者が3300万件の電話番号を盗んだと主張した1週間後に行われました。 Security Alert: Update to the Authy Android (v25.1.0) and iOS App (v26.1.0) | Twilio https://www.twilio.com/en-us/changelog/Security_Alert_Authy_App_Android_iOS Twilio says hackers identified cell phone numbers of two-factor app Authy users | TechCrunch https://techcrunch.co
社内用GitHub Actionsのセキュリティガイドラインを公開します | メルカリエンジニアリング
この記事は、Merpay Tech Openness Month 2023 の4日目の記事です。 こんにちは。メルコインのバックエンドエンジニアの@goroです。 はじめに このGitHub Actionsのセキュリティガイドラインは、社内でGithub Actionsの利用に先駆け、社内有志によって検討されました。「GitHub Actionsを使うにあたりどういった点に留意すれば最低限の安全性を確保できるか学習してもらいたい」「定期的に本ドキュメントを見返してもらい自分たちのリポジトリーが安全な状態になっているか点検する際に役立ててもらいたい」という思いに基づいて作成されています。 今回はそんなガイドラインの一部を、社外の方々にも役立つと思い公開することにしました。 ガイドラインにおける目標 このガイドラインは事前に2段階の目標を設定して作成されています。まず第1に「常に達成したいこと
多要素認証を私物スマホでやっていいのか問題
Hello,World! gonowayです。 弊社がご支援するお客様とお話するなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログインから守るために多要素認証が必須になってきている。 多要素認証の実現のため、会社モバイル端末であれ私物モバイル端末であれ認証アプリはインストールしてほしい。 私物モバイル端末にインストールしてもらう場合、エンドユーザーへの説明を行うことが必要。また、ガラケーしか持っていないような例外措置への対処を考えることも必要。 前提 認証要素について 認証要素は下記の3種類です。NIST SP800-63を参考にしています。 記憶によるもの：記憶(Something you know
XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
はてなへのログインがパスキーと多要素認証に対応し、よりセキュアになりました - はてなの告知
2024/3/25 17:37 追記 Firefox と1Password の組み合わせを利用していた場合、パスキーの生成が失敗する不具合が発生しておりました。現在は修正済みです。ご不便おかけし申し訳ございませんでした。 本文 平素よりはてなをご利用いただきありがとうございます。 はてなIDが「パスキー」「多要素認証」を利用した認証に対応しましたことをお知らせいたします。 また、本対応に合わせてアカウント関連の画面デザインをリニューアルいたしました。 パスキーとは パスキーとはお持ちのスマートフォン・PC・タブレット端末等に搭載されているロック機能を使用してウェブサイトやアプリにログインできる仕組みです。パスキーをご利用いただくことにより、パスワード認証時における第三者からの不正ログインやフィッシングなどのリスクの低減が期待できます。 パスキーの設定方法はこちらをご参照ください パスキーの
フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるか - Qiita
ゴールデンウィークのはじめ（4月29日）に投稿された以下のツイートですが、5月7日20時において、1,938.8万件の表示ということで、非常に注目されていることが分かります。 我が名はアシタカ！スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた。どうすればよい！ pic.twitter.com/e26L1Bj32Z — スタバでMacを開くエンジニア (@MacopeninSUTABA) April 29, 2023 これに対して、私は以下のようにツイートしましたが、 これ入社試験の問題にしようかな。『スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた』と言う事象に至る現実的にありえる脅威を説明せよ。結構難しいと思いますよ。 https://t.co/LH21zphCTV — 徳丸 浩 (@ockeghem) April
すべてのパブリックリポジトリに対してSecret scanningアラートの一般提供（GA）を開始
2022年12月に、すべてのパブリックリポジトリに対して、Secret scanningアラートのパブリックベータ版の提供開始をお知らせしました。リリース以降、7万ものパブリックリポジトリでSecret scanningアラートが有効化され、漏洩したシークレットのトリアージにとても大きく貢献しています。 GitHubは、すべてのパブリックリポジトリを対象に、無料で利用できるSecret scanningアラートの提供を開始しました。お使いのすべてのリポジトリに対してSecret scanningアラートを有効化し、コード、Issue、説明文、コメントなどリポジトリの履歴全体にわたりシークレットの漏洩について通知を受け取ることができます。 GitHubのSecret scanningは、GitHubパートナープログラムに参加している100社以上のサービスプロバイダーと連携しています。シークレ
パスキーとは何か、そしてその課題
パスキーはフィッシングに強く、テクノロジーに詳しくないユーザーでも使いやすい新しい認証方式で、いずれパスワードを置き換えると言われています。この記事では、パスキーの基本と、これからのウェブにとってパスキーがどういう意味を持つのかについてまとめてみます。 パスキーとは何か # 2022 年 12 月 9 日に Google が Android 版 Chrome でパスキーがサポートされたとのアナウンスが出ました。Apple もすでに最新版の macOS Ventura、iOS / iPadOS 16 で Safari がパスキーに対応しています。 パスキーは Apple、Google、Microsoft が協調して使う FIDO クレデンシャルの名前です。エンドユーザーのみなさんがパスワードの代わりとして認識し、直感的にログインできるよう「パスキー」というブランドとアイコンが決まりました。ウ
従業員を標的にした認証サービスに対するスミッシングについてまとめてみた - piyolog
2022年8月7日、米国のクラウドコミュニケーションプラットフォームサービスを提供するTwilioは従業員がスミッシングによるアカウント侵害を受け、その後に同社サービスの顧客関連情報へ不正アクセスが発生したことを公表しました。また、Cloudflareも類似の攻撃に受けていたことを公表しました。ここでは関連する情報をまとめます。 米国2社が相次ぎ公表 TwilioとCloudflareは、従業員に対し、何者かがIT管理者からの通知になりすましたSMSを送り、記載されたURLからフィッシングサイトへ誘導される事例が発生したことを報告。 2022年8月7日 Twilio Incident Report: Employee and Customer Account Compromise 2022年8月10日 Cloudflare The mechanics of a sophisticated
東映アニメーションへの不正アクセスについてまとめてみた - piyolog
2022年4月28日、東映アニメーションは3月7日に公表していた不正アクセスによるシステム障害について調査結果を公表しました。ここでは関連する情報をまとめます。 不正アクセスの影響を受け作品制作が遅延 東映アニメーションは不正アクセスを受けたことに起因して、通常業務だけでなく同社が関係する作品制作の一部に遅れが生じた。具体的に影響が公表された作品は以下の5点。また関連商品の販売時期やキャンペーンが作品放送とタイミングが合わず、延期をしたり、放送前に登場キャラクターの商品が販売されてしまったり、告知が行われてしまうことがあった。 作品名 遅延が生じた期間等 ドラゴンクエスト ダイの大冒険 3月19日～4月9日までは再放送4回を実施。4月16日より再開(第73話)。*1 *2 デリシャスパーティ♡プリキュア 3月13日～4月10日までは過去のプリキュア映画作品の分割放送（3回）と再放送2回を実
HerokuのOAuthトークン流出で、やっておくといいことリスト（コメント大歓迎）
2022年4月16日(日本時間)にアナウンスがあった、Heroku/Travis-CIのOAuthトークンの流出および悪用を受けて、ユーザーとしてやっておくといいことをまとめました。 GitHubのOrganizationのオーナー向けと個人向けで分けてあります。 追記: 複数の補足のコメントを頂き、記事にも取り込んでいます。ありがとうございます！ 注意 執筆者はGitHub, Heroku, Travis-CIの専門家ではありません。この記事は誤っている可能性があります。 この記事は現在調査中の問題について書かれています。最新情報は必ず公式サイトをご確認ください。 GitHub Heroku Travis CI インシデントの概要 GitHubがHerokuとTravis-CIのOAuthアプリケーションに発行したトークンが流出・悪用したことで、それらの連携が有効だった多くのOrgani
【2024年】マルウェアの種類─確実に身を守る術を学ぶ
あらゆるものが密につながった今日、サイバー犯罪は急増の一途を辿ります。マルウェアは、その中でも、最も多く見られる脅威の一つです。 マルウェアには様々な種類があり、脅威のレベルもそれぞれです。ハッカーはマルウェアを使って、デバイスの傍受、データ漏洩、企業全体の破壊、深刻な金銭的損害などを引き起こします。 では、マルウェアとは一体何なのか、そしてマルウェアとどのように戦えばいいのでしょうか。 今回の記事では、マルウェアについて、その種類、検出と除去の方法、悪質なマルウェアの攻撃から身を守る方法など、あらゆる側面を解説します。 それでは参りましょう。 動画でもマルウェアについての解説をご用意していますのでご確認ください。 マルウェアとは マルウェアとは、英語で「malicious＝悪意のある」＋「software＝ソフトウェア」の略です。他のユーザーのデバイス、ウェブサイト、ネットワークに損害を
FBIの「LINEから入手可能な個人情報リスト」がリークされる、一体どんな情報にアクセス可能なのか？
FBIが内部で使用していた「各メッセージアプリに要求できるデータのリスト」がインターネット上に公開されました。公開されたリストの対象アプリには日本で広く利用されているLINEも含まれており、FBIがLINEから入手できる個人情報の内容が分かる内容となっています。 Document Detail - Property of the People https://propertyofthepeople.org/document-detail/?doc-id=21114562 FBI Document Says the Feds Can Get Your WhatsApp Data -- in Real Time - Rolling Stone https://www.rollingstone.com/politics/politics-features/whatsapp-imessage-fa
WindowsでiCloudキーチェーンのパスワード管理が可能＆EdgeでiCloudが使えるようになったので実際に導入してみた
Appleが2021年8月17日に、クラウドストレージサービス「iCloud」のWindows向けクライアント「iCloud for Windows 12.5」をMicrosoft Storeでリリースしました。このiCloud for Windows 12.5でWindowsでiCloudキーチェーンを管理することが可能になっただけでなく、これまでGoogle Chromeで配信されていた拡張機能に加え、Microsoft Edgeでも拡張機能でiCloudを利用できるようになったとのことで、実際にiCloudパスワードを導入してみました。 iCloud を入手 - Microsoft Store ja-JP https://www.microsoft.com/ja-jp/p/icloud/9pktq5699m62#activetab=pivot:overviewtab Windows
サービスの統制を保証する「SOC2」の概要をざっくりまとめてみた | DevelopersIO
オペレーション部の江口です。7月1日に入社してはや半月余りが経ちました。ようやく会社の雰囲気にも慣れ、少し落ち着いてきた感があります。 さて、今日はクラスメソッドの認証の取り組みについて少しご紹介です。 当社ではお客様に安心してお付き合いいただけるよう、様々な認証を取得しています。 クラスメソッド 各認証ポリシー その一環として、昨年より当社サービス「クラスメソッドメンバーズ」に対して SOC2の評価を受け、保証報告書を受領しています。 クラスメソッド、内部統制を評価したSOC2 Type1 保証報告書を受領〜AWS支援サービス「クラスメソッドメンバーズ」のサービス体制を強化〜 ところでこのSOC2というのは、いったいどのようなものでしょうか。 上記のリンクでも"「セキュリティ」「可用性」にかかる内部統制のデザインを外部監査人が評価したもの" と簡単に解説は書いてありますが、自分の勉強がて
Googleアカウントの2段階認証、まもなく自動で有効化へ
Googleは米国時間5月6日、より多くのGoogleアカウントユーザーに2段階認証（2要素認証）の有効化を促す計画を明らかにした。2段階認証とは、フィッシング詐欺やデータ漏えいによる流出から認証情報を保護するための、さらなるセキュリティ階層だ。 5月の第1木曜日（今回は6日）は「世界パスワードの日」で、オンラインアカウントの保護においてパスワードに依存しすぎないように啓発することを主な目的とする日だ。 Googleは同日、適切に設定されているGoogleアカウントのユーザーについて、まもなく2段階認証を自動的に有効化することを明らかにした。 2段階認証における第2の要素は、セキュリティキーであれスマートフォンであれ、ユーザー名とパスワードを所有していても、そのユーザーの端末に物理的にアクセスできなければアカウントにログインできないようにする効果がある。 現在、2段階認証を有効にしているユ
Introducing 1Password Secrets Automation | 1Password
Secure, orchestrate, and manage your company’s infrastructure secrets with 1Password Secrets Automation. Today is a big day at 1Password. Today, we’re launching 1Password Secrets Automation, a new way to secure, orchestrate, and manage your company’s infrastructure secrets. With the addition of Secrets Automation, 1Password can now protect all of your company’s secrets in one place. Passwords and
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AMD製プロセッサーに複数の脆弱性 ～Athlon、Ryzen、Threadripperなどに影響／マザーボードベンダーからBIOSのアップデートが提供され次第適用を
