FBIとNSA、インターネット企業にSSLのマスター暗号化キーを要求 | スラド セキュリティ
FBIやNSAはインターネット企業から、ユーザーのプライベートWeb通信を保護するために使用されているHTTPSに使用されているSSLのマスター暗号化キーを取得しようと試みていたらしい。IPS関係者は匿名を条件に「政府からSSLキーを要求されたことがある」とCNETに証言。加えて「インターネット関連の大企業に関しては、こうした要求に対して抵抗したという話が出ているが、中小のインターネット企業の場合、それに抵抗できるかは疑問だ」とコメントしている（CNETの記事、本家/.）。 MicrosoftとGoogleは政府からの要求があったかどうかについては回答しなかったが、要求があってもマスター暗号化キーを渡すことはないと回答したという。一方、Facebookでは政府からの要求を受けていないとした上で、そういった要求に対しては強く抵抗すると述べたそうだ。Apple、Yahoo、AOL、Verizo
Amazon EC2 の新メニュー「クラスタ GPU インスタンス」でパスワードクラック | スラド セキュリティ
Amazon が提供しているクラウド型の計算リソース提供サービス Amazon EC2 のメニューに、新しく「クラスタ GPU インスタンス」が追加となった。この強力な計算リソースを、早速パスワードクラックに使ってみた人が出たようだ (stacksmashing.net の記事、本家 /. 記事より) 。 Amazon EC2 の新メニュー「クラスタ GPU インスタンス」では、1 インスタンスあたり CPU: Xeon X5570 x2、メモリ: 22 GB、ストレージ: 1.69 TB に加え、NVIDIA Tesla M2050 x2 が割り当てられ、1 時間 2 ドル 10 セント (EC2 とのデータ転送料金等は別途) で利用することができる (Internet Watch の記事) 。この計算リソースを利用して今回試みられたのは、14 個の SHA1 ハッシュの値 (リスト)
ソフトバンク携帯電話に脆弱性、「かんたんログイン」でのなりすましが可能に | スラド セキュリティ
セキュリティコンサルティング会社のHASHコンサルティングが、ソフトバンク携帯電話のブラウザ機能の脆弱性について発表している（『Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題』）。 この脆弱性は「DNS Rebinding」と呼ばれる手法を用いるもので、認証に「かんたんログイン」を使用しているサイトがターゲットとなる。攻撃の仕組みは上記のサイトなどを参照していただきたいが、TTLを短く設定したDNSを用い、悪意のあるWebサイトのドメインに対応するIPアドレスを短期的に攻撃対象のWebサイトのものに書き換えることで、ドメインが異なるWebサイトの情報をAjaxで取得するというもの。これにより、ターゲットのサイト上で閲覧に認証が必要な情報を盗み取ることができる。 一般的なWebブラウザではセッション管理をCookieで行っているため、悪意のあるWebサイトのドメイン
最も危険なプログラミングエラーTop 25、2010年版 | スラド セキュリティ
昨年も取りまとめられていた「最も危険なプログラミングエラーTop 25」の2010年版が発表された（本家/.記事）。 2010年版で一番のエラーとされたのは、クロススクリプティングを引き起こし得る「ウェブサイトの設計不備」。その後にSQLインジェクションの原因となる「SQLクエリの保護不備」、バッファオーバーフローの原因となる「メモリバッファ境界チェックの不備」と続く。このTop 25のエラーは、最近中国で起きたGoogleへの大規模サイバー攻撃や、その他軍用システムから一般ユーザまでを対象とした大小様々なサイバー攻撃の多くで悪用されているとのこと。 今回のレポートでは、製品のセキュリティに対して開発者らが責任を負うよう消費者が声を挙げるべきであると推奨している。「開発チームのメンバー全員がセキュアプログラミング技術のトレーニングを適切に受けていることを確証する責任を負う」ようベンダーに求
英ISPのVAserv、zero-day攻撃を受ける。脆弱性を突かれたソフトウェアの会社社長は自殺 | スラド セキュリティ
英国を拠点とするISP、VAservのバーチャルサーバインフラがzero-day攻撃を受け、10万ものウェブサイトのデータが削除されたそうだ（本家/.、The Register、Computerworldより）。 VAservの顧客の半数程は、同社が提供していたバックアップ無しの安価なプランに申し込んでいたとのこと。同社は安価なホスティングサービスに人気というHyperVMというバーチャライゼーションソリューションを導入していたが、今回の攻撃はこのHyperVMの脆弱性を突いたものであった。ハッカーらはデータを削除しただけでなく顧客のクレジットカードデータやその他のサーバ上の情報を入手した可能性が高いという。 この事件はその後更なる展開をみせ、HyperVMを開発・販売していたインドのLxLabs社の社長、KT Ligesh氏が8日、バンガロールの自宅で死んでいるのが見つかったとのこと。自
Comodo CAがサーバ証明書を関係のない第三者に発行、大問題に | スラド セキュリティ
本家のストーリにもなっているが、認証局として知られる「Comodo」のアウトソース先の証明書販売業者が、mozilla.com用のサーバ証明書を関係のない第三者に発行してしまう事件が発生したようだ（eWeekの記事「SSL Certificate Vendor Sells Mozilla.com Cert to Some Guy」、mozilla.dev.tech.cryptoグループに掲載されている事件の経緯）。 これをやらかしたのは「Certstar」というComodoの再販業者のようだ。StartComのEddy Nigg氏がこの再販業者に対してmozilla.com用のサーバ証明書の取得を試みたところ、何の本人確認手続きもなしに証明書が発行され手に入ってしまったのだそうだ。mozilla.dev.tech.cryptoでは、Comodoの人が出てきて、この再販業者からの発行を停止し
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
