アップルの「セキュリティ」について、う〜ん、となってしまうこと 2013年02月27日22:22 ツイート sean_sullivan ヘルシンキ発  by：ショーン・サリバン ティム・クック様 最近「antivirus」という用語を検索したことはありますか？ — 検索していないのではないかと存じます。 以下は、現在Googleインスタント検索が提示している内容です。 ふむ、「antivirus for mac」 — 非常に興味深い。 ご存知でしょうが、おそらくアップルの「セキュリティ文化」を改めるときがきたのではないでしょうか？ 別の検索をしてみましょう。apple.comで「security updates」を検索すると、以下の結果が得られます。 マーケティング資料ですね。一般的な。あ、サポート情報は右側にあるんですね。了解です。これで結構です。セキュリティはサポートの問題です。 続い

アップルに関連したハッキングのタイムライン 2013年02月20日21:20 ツイート sean_sullivan ヘルシンキ発  by：ショーン・サリバン Apple関連のハッキングには、たくさんの複雑な話が含まれる。タイムラインでおさらいしよう。 2月1日：Twitterの情報セキュリティ部門のディレクターBob Lord氏が、Twitterのブログに「Keeping our users secure」という記事を投稿。金曜日のことである。NFLのスーパーボウルがあった週末だ。Lord氏は同社がハッキングされ、結果的に25万個のアカウントのパスワードをリセットすることになったと説明した。同氏はブラウザのJavaのプラグインを無効にするようにアドバイスした。 2月1日：アメリカ国土安全保障省のUS-CERT（United States Computer Emergency Readine

標的型攻撃が私生活を狙うとき 2012年07月31日23:38 ツイート gohsuke_takama オフィシャルコメント  by：高間 剛典 現在のところ標的型サイバー攻撃は企業や政府機関に対するものが多数ニュースになっています。しかし、もし私生活も狙われるとしたらどうなるでしょうか? 企業や政府ならば内部ネットワークにそれなりのセキュリティ対策が施されていたとしても、自宅ネット接続ではインターネットルーターのファイアーウォールとマシンに入れたウィルス対策ソフトくらいしか防御手段がないのではないでしょうか。そして最近話題の出口対策はほとんど初めから考慮されていません。企業や政府の中でターゲットにされた個人の私生活から収集した情報を基にして、さらに組織への標的型攻撃を仕掛ける事は十分ありうるでしょう。 標的型攻撃の初期段階でFacebookやLinkedInなどのソーシャルネットワークで

進化系ムーミン （ムーミンの世界にどっぷり その1） 2010年12月10日16:55 ツイート risa_ozaki つぶやき  by：尾崎 リサ フィンランド生まれのセキュリティといえば、エフセキュア！フィンランド生まれのキャラクターといえば、ムーミンですよね。 大昔、といっても4、5世代前ですが、「エフセキュア インターネット セキュリティ」の2006年度版と2007年度版には、ムーミンが起用されていました。 2006年度版 エフセキュア インターネットセキュリティのムーミン 優待パッケージ （2007年度版は通常のGUIとムーミンGUIを選べたそうです） ムーミンが登場したのはその2年間に渡って発売された「エフセキュア インターネット セキュリティ」のみで、その翌年の2008年度版からは残念ながらムーミンは姿を消してしまい、今に至ります。 今でも、ムーミンの復活を願うご要望を様々な

Mac OS X スパイウェア 2010年06月03日23:29 ツイート sean_sullivan ヘルシンキ発  by：ショーン・サリバン 火曜日、Mac向けセキュリティソフト会社のIntegoが、「OSX/OpinionSpy」と名付けたMacベースのスパイウェアを発見したとブログに掲載した。 Integoの言葉を引用すれば：「OSX/OpinionSpyは、MacUpdateやVersionTracker、Softpediaといったサイトで配布されているアプリケーションやスクリーンセイバーによりインストールされる。」 我々が3月に言ったことだが、Macは概して安全であるが、よりセキュアであるという意味ではない：「家が比較的安全な地域にあるからと言って、理論的に、強盗に対してよりセキュアであるとは言えない。今日のMacは大部分が、たまたま比較的安全なオンライン環境の中に存在しており

ブランク・プラスチック 2010年03月19日00:42 ツイート mikko_hypponen ヘルシンキ発  by：ミッコ・ヒッポネン 我々はしじゅう、犯罪者たちがキーロガーやスキマー、あるいはオンライン・ハッキングを通じてクレジット・カード番号にアクセスしたケースについて耳にしている。 クレジット・カード番号を入手すると、彼らがそれらを現金にかえる方法は、基本的に3種類ある： カード番号を売るそのカード番号で不正な買い物をするそのカード番号で本物のクレジットカードを作る 本物のカードを作るためには、まず始めにブランク・カードが必要だ。これらは地下組織では「ブランク・プラスチック」として知られている。 そしてブランク・プラスチックを販売するオンライン・ストアが存在する。以下はそうした店の一つの写真だ： 上：「ブランク」なVisaおよびMaster Cardのカード。 上：ゴールドのエン

Charlie MillerとのPwn2Ownインタビュー 2010年03月02日12:42 ツイート fsecure_corporation クアラルンプール発  by：サラ・ジャマルディン 2年続けてPwn2Ownコンテスト(管理人註：ハッキングを競う形式で脆弱性を探し、システムやOSの安全性向上をはかるのために開催されているコンテスト)の勝者となったCharlie Millerが、インターネット・セキュリティについての見解を語っている。何と、Mac OSはMicrosoft Windowsに劣らず脆弱なのだ。 Windows 7あるいはSnow Leopardという2つの商用OSは、ハックがより難しいでしょうが、それは何故ですか？ Windows 7の方がやや難しいですが、それは完全なASLR（Address Space Layout Randomization：アドレス空間レイアウ

ITパスポートで得られたこと （ITパスポート受験日記 その6） 2009年10月19日15:29 ツイート risa_ozaki つぶやき  by：尾崎 リサ 昨日、10月18日、平成21年度ITパスポート秋期を受験致しましたので、ここにご報告させて頂きます。先ずは僭越ではございますが、個人的な試験の体験談について。 平成21年度ITパスポート春季試験結果に もあるように、前回の合格率は72.9％という驚異的な数字であったためか、今期は前期と比べ、若干難易度が増しているのではないかということ、また会場 それぞれではあるものの、私が受験した東京地区は、女子率が非常に高かったのが印象的でした。試験自体は、ストラテジ部門約35％、マネジメント部門約 25％、テクノロジ部門約40％、中問題から構成されるたった100問なのであっという間に終わってしまいますが、何しろ出題範囲が広い為、社会人であれば

いまだに理解を示さないTwitter 2009年10月09日19:11 ツイート mikko_hypponen ヘルシンキ発  by：ミッコ・ヒッポネン 昨日報告したように、Twitterが突然、何の説明もなく私のアカウントを削除した。 現在では私のアカウントの一時停止を解除しており、ここからアクセスできる。 私は昨夜、Twitterから以下の説明も受け取った： あなたのアカウントの停止を解除しました。 停止された理由は、あなたがDMでマルウェアのURL「rnyspeceDOTcom」を使用したためです。 ご注意下さい！ 我々はマルウェアに関してあらゆる事をチェックしています。 彼らは私が8月に送信した以下のつぶやきに言及している： I guess somebody will fall for it...a desperate Myspace phishing site at www. r

Apache.orgがハック 2009年08月28日21:44 ツイート mikko_hypponen ヘルシンキ発  by：ミッコ・ヒッポネン 本日、Apache Software Foundation（Apacheウェブ・サーバの）が、数時間オフラインとなった。 同サイトがオンラインに復帰した際、一時的に以下のようなメッセージが掲載された: 同サイトは現在、通常通りのようだ。 何故この件が重要なのか？　それはApacheウェブ・サーバ・ソフトウェアがapache.orgで配布されており、全世界のウェブ・サーバのおよそ半分は、Apache上で動作しているからだ！ 同サイトのコードが変更されたのかどうかに関する情報は入手していない。 追記：現在、詳細が「blogs.apache.org」に掲載されている。 ＞＞原文へのリンク 「ヘルシンキ発」カテゴリの最新記事 「by：ミッコ・ヒッポネン」

さらにBlack Hat USA方面の話題 2009年07月31日23:18 ツイート gohsuke_takama オフィシャルコメント  by：高間 剛典 さてBlack Hat USA2009の二日目、Twitterのタイムラインを見ていたところ、 iPhoneにSMSリモート・コード実行の脆弱性 についてチャーリー・ミラーとコリン・マリナーによるプレゼンテーションが行われた後あたりから、「iPhoneのSMS機能を停止する方法」やら「iPhoneのSMSを使えなくしたから他の方法で連絡するように」といったメッセージがたくさんアップされはじめました。 さらにF-Secureのミッコも、このような↓ポストを投げていました。 これが面白いのは、問題のiPhoneのリモート・コード実行SMS脆弱性を利用した攻撃テキストメッセージには「四角が含まれる」特徴があるからです。 もっと広範囲のSM

Twitterが悪意あるURLのフィルタリングを開始 2009年08月03日19:37 ツイート mikko_hypponen ヘルシンキ発  by：ミッコ・ヒッポネン Twitterの人気がますます高まるにつれ、ワームやスパム、アカウント・ハイジャックの標的にされるケースも増えている。 我々はTwitterに、こうした動きに対抗するため、フィルタリングを開始することを勧めてきた。それは簡単にできることだ。何しろすべてのメッセージはTwitterを通過するのだから。 Twitterはこの件をアナウンスしていないが、我々はがTwitterが、既知のマルウェア・サイトへのリンクを含むメッセージのフィルタリングを開始したことを確認した。 以下は、不正なURLを含むメッセージを送ろうとすると現れる画面だ： 追記：情報筋によれば、TwitterのURLフィルタリングはGoogleのAPIを使用してい

ワン切り詐欺にご用心 2009年08月03日19:27 ツイート fsecure_corporation ヘルシンキ発  by：ジャルノ・ネメラ この手の詐欺は極めて古いものだが、詐欺師たちは現在もまだ使用しており、不用心な人たちを相手に金もうけをしている。そのようなわけで、警告する方が良いだろうと考えた次第だ。 今日、エフセキュアの上級リサーチャーの一人が、見知らぬ国際番号からの電話を受けたが、電話を取るとすぐに切れてしまった。世界中のレポーターから電話連絡を受けることが多かったなら、彼はおそらく当然のこととして、その番号にかけ直していたことだろう。 しかし、彼が実際にしたことは、Googleでのナンバーの検索だ。そしてその結果、その番号から電話連絡を受け、一体何の電話なんだろうと不思議に思った人がたくさんおり、そしてより重要なことには、その番号にかけ直した結果、電話料金に不可解なチャー

サイバーテロってやっぱり恐い！？ 2009年07月09日21:45 ツイート hiroki_iwai オフィシャルコメント  by：岩井 博樹 ３度目の攻撃が始まるなど、韓国と米国サイトへのDDoS攻撃が止まりません。 これぞサイバーテロだ！と云わんばかりの攻撃です。 一部の検体は、Mydoomの亜種が含まれているなどの情報が流れていますが、その詳細は不明です。感染経路さえも推測の域を出ていません。 検体においても、昨日の検体が入手出来たと思ったら、本日には別の検体が登場しています。 当初報告のあったゾンビPCが特定のケーブルテレビ利用者であったことや、攻撃先が限定されているとの報告から、今回の攻撃の計画性の高さが伺えます。 さて、このような攻撃が一度行われると、恐いのは模倣犯です。次のターゲットが日本に向けられた場合、一体どこのウェブサイトが狙われるのかが興味深いところです。官公庁系なの

中国の検閲ソフト搭載が延期に 2009年07月02日22:22 ツイート sean_sullivan ヘルシンキ発  by：ショーン・サリバン 中国政府がGreen Dam Youth Escortフィルタリング・ソフトウェアを、中国で販売されるすべての新しいWindowsコンピュータにインストールさせるという命令を延期したとWall Street Journalが報じている。最終期限は当初、7月1日だった。 PC Worldは、Green Damのインストールは時間の問題にすぎないという見解だ。 我々の見解？ もし中国がアンチ・ポルノ・フィルタリング・ソフトウェアを必要とするならば、それは中国の問題であって、我々の問題ではない。 しかし、中国で販売される「全ての」コンピュータに、同一のソフトウェアを搭載するとしたら？　それはモノカルチャーだ。 そして我々が以前言及したように、効果的な攻撃

OWASP World Tour Tokyo 2017年10月04日09:43 yoshinari_fukumoto オフィシャルコメント  by：福本 佳成 みなさん、こんにちは。Rakuten-CERTの福本です。 先日、東京工業大学 蔵前会館にてOWASP World Tour Tokyoが開催されました。このOWASPの本格的なトレーニングイベントはなんと無償で提供され、有志のボランティアによって運営されました。サテライト会場も含め総勢700名を超える参加者が集まり、これだけのイベントがスポンサー無しで実施できたということが、いまのOWASP Japanのセキュリティコミュニティの強さを示しているのかなと思います。今回のトレーニング内容についてですが、各所での様々なOWASPのプロジェクトの活用例が充実しており、会場からは、このケーススタディを参考にして自社で同じような取り組みをや

パスワードはポストイットに書こう 2009年05月27日01:07 ツイート sean_sullivan ヘルシンキ発  by：ショーン・サリバン Facebookはゆっくりと、だが確実に、活発なスパムに対する自衛を進めている。 専門家の間では考察も行われている。何故Facebookなのか？　Facebookは、個人のパスワードすべて（すなわち銀行やコマースサイトの）を立ち上げ、盗むための要となっているのだろうか？　Facebookに登録すると、メインの電子メールアカウントやそれに伴うすべてを危うくする可能性があるのだろうか？ そうかもしれないが、理由が何であれ、Facebookの人気の高さが同サービスをターゲットにしている。その成長や規模はすさまじいものだ。 フィンランドを例にとってみよう。フィンランドにはたった530万人しか居住していないというのに、100万以上のFacebookアカウ