Windows 10 22H2、最終バージョンとして全エディション2025年10月14日までサポート | スラド セキュリティ
Microsoft は 4 月 27 日、Windows クライアントのロードマップ更新を発表した (Windows IT Pro Blog の記事、 The Verge の記事、 Neowin の記事、 Ars Technica の記事)。 Windows 10 のサポート終了日は 2025 年 10 月 14 日のまま変更されないが、現在最新のバージョン 22H2 が全エディションで最終バージョンとなる。これに伴い、バージョン 22H2 のサポート期間が変更された。一般提供チャネルでのリリースとなったバージョン 21H2 以降の Windows 10 では Home / Pro / Pro Education / Pro for Workstation の各エディションで 18 か月間、Enterprise / Education / IoT Enterprise の各エディションで
note、Internet Archiveで保存できなくなる、古いドメインはブロック | スラド セキュリティ
Internet Archiveからnote関連のキャッシュがまるごと消えてしまったそうだ（5ちゃんねるの書き込み）。新たな登録もできないという。noteの以前のドメインであるnote.muに関しても完全にブロックされているとのこと。 5ちゃんねるのInternet Archive総合スレの書き込みによると、8月上旬まではnote.comドメインのキャッシュが共有されていたという。8月に発生したnoteのIPアドレス流出事故の後に対処されたのではないかとしている。実際にnote.comのrobots.txtを見るとInternet Archiveとウェブ魚拓のクロールを拒否する記述がされている。 あるAnonymous Coward 曰く、
英国家サイバーセキュリティセンター、用語「whitelist」「blacklist」を使用中止へ | スラド セキュリティ
英政府通信本部(GCHQ)の国家サイバーセキュリティセンター(NCSC)は4月30日、サイバーセキュリティ用語としてこれまで使用してきた「whitelist」「blacklist」の使用をやめ、「allow list」「deny list」へ置き換えることをブログで発表した(NCSCのブログ記事、 The Registerの記事)。 現在、サイバーセキュリティの現場では「許可」「不許可」を示す用語として「whitelisting」「blacklisting」が普通に使われている。しかし、これは「white」を良い、「black」を悪いと結び付けた場合にのみ意味を成す表現であり、「allow list (許可リスト)」「deny list (不許可リスト)」と表現する方が明確だ。用語の置き換えはサイバーセキュリティから人種差別を取り除くのにも役立つという。 このような用語置き換えをする計画は
Microsoft、TLS 1.0/1.1のデフォルト無効化を延期 | スラド セキュリティ
Microsoftは3月31日、同社製WebブラウザーのTLS 1.0/1.1デフォルト無効化を延期すると発表した(Microsoft Edge Blogの記事、 Ghacksの記事、 Neowinの記事、 On MSFTの記事)。 Apple/Google/Microsoft/Mozillaのメジャーブラウザー4社はTLS 1.0/1.1無効化計画を2018年10月に発表しており、Microsoftは2020年上半期にその時点でサポートされているバージョンのMicrosoft EdgeとInternet Explorer 11のデフォルトで無効化する計画を示していた。 しかし、現在の世界を取り巻く状況(COVID-19パンデミック)を考慮して、上半期中にはデフォルト無効にしないことを決めたそうだ。そのため、Chromiumベースの新Microsoft Edgeでは7月にリリース予定のバー
Mozilla、2021年初めにFirefoxのFTPサポートを削除する計画 | スラド セキュリティ
Mozillaは6月に安定版をリリース予定のFirefox 77でFTPサポートをデフォルト無効にし、2021年初めには完全に削除することを計画しているそうだ(Ghacksの記事、 Neowinの記事、 ZDNetの記事、Bug 1574475)。 Firefoxでは2018年のFirefox 60で「高度な設定 (about:config)」に「network.ftp.enabled」が追加されており、これを「false」にすることでFTPを無効にできるが、デフォルトでは有効のままになっている。Firefox 77ではこのプリファレンスを使用した無効化が行われるため、ユーザーが「true」に設定しなおせばFTPは利用できる。また、Firefox ESR 78のデフォルトはFTP有効になるようだ。2021年初めに予定されている変更ではFTP関連のコードがすべて削除されるため、再度有効化する
Microsoft Security Essentialsも1月14日で終了へ | スラド セキュリティ
Microsoftが11月末に更新したWindows 7の拡張セキュリティ更新プログラム(ESU)に関するFAQで、Microsoft Security Essentials(MSE)のサポートが2020年1月14日で終了することを明記している(FAQ日本語版、 Softpediaの記事、 Computerworldの記事)。 現在、MSEがサポートするのはWindows 7のみとなっており、Windows 7と同じ製品ライフサイクルが設定されている。これによりESUを利用しているかどうかにかかわらず、Windows 7の延長サポートが終了する2020年1月14日以降はMSEもWindows 7を保護しなくなるという。 一方、System Center Endpoint Protection(SCEP)についてはESUを利用しているかどうかにかかわらず、各バージョンの製品ライフサイクルに従
Microsoft、アプリケーションを安全に実行できるWindows Sandboxを発表 | スラド セキュリティ
Microsoftは18日、信頼できない実行ファイルを安全に実行できるというWindows Sandboxを発表した(Windows Kernel Internalsの記事、 The Vergeの記事、 BetaNewsの記事、 Neowinの記事)。 Windows Sandboxは軽量のバーチャルマシンがベースになっており、ディスクイメージを動的に生成するため、専用のVHDをダウンロードする必要はない。起動すると仮想デスクトップ画面が表示され、ホストからコピーした実行ファイルをテストできる。テスト終了後にWindows Sandboxを閉じれば、インストール・実行したプログラムファイルおよび関連データはすべて削除される。 Windows Sandboxは19日にファーストリング向けの提供が始まったWindows 10 Insider Preview ビルド18305(19H1)のPro
JRA、ICカード「UMACA」を使ったキャッシュレス/ペーパーレス馬券購入システムを導入へ | スラド セキュリティ
日本中央競馬会（JRA）が、富士通などが開発したキャッシュレス馬券発売機を競馬場に導入する。手のひらの静脈画像情報を登録してICカード「JRA-UMACA」と紐付けることで、発売機にUMACAをタッチして手のひらをかざすだけで馬券の購入や払戻ができるという（富士通の発表）。 今までは紙に印刷された馬券を購入し、馬券が当たった場合は窓口や払戻機にそれを持ち込むことで払戻を受けるという流れだったが、このシステムでは購入した馬券の情報がUMACAに記録されるため紙の馬券が不要になる。 まずは東京競馬場で9月22日より運用が開始される。年内には福島競馬場や中京競馬場、阪神競馬場にも導入され、その後それ以外の競馬場にも導入する予定とのこと。
英イングランドの都市自治体、4分の1がサポートの終了したサーバーソフトウェアを使用 | スラド セキュリティ
英国・イングランドのロンドン自治区と都市自治区では、4分の1でMicrosoftがサポートを終了したサーバーソフトウェアを使用しているそうだ(Comparex UKのプレスリリース、 The Registerの記事)。 この数字はComparex UKによる各議会への情報公開(FOI)請求により明らかになったもので、首都ロンドンでは32自治体のうち10自治体でWindows Server 2003およびMicrosoft SQL Server 2005の少なくともどちらか1本を使用しているという。ロンドン以外の都市自治区では36自治体のうち7自治体が同様の状況で、さらにロザラムとサンドウェル、シェフィールドではWindows Server 2000も使用しているそうだ。情報公開請求は27の州議会にも行われており、全体では95自治体のうち46%がWindows Server 2000/200
九州大学、セキュリティ対策ソフトの不具合により約500件のトラブル発生 | スラド セキュリティ
九州大学では学生や教職員向けにセキュリティ対策ソフトを提供しているそうだが、これが原因で多数のトラブルが発生しているという（西日本新聞）。 Windows 10の更新にセキュリティ対策ソフトが対応できておらず、更新後にPCが正常に動作しなくなるというトラブルが約500件確認されているという。なお、同大学は職員や学生向けにトレンドマイクロの「ウイルスバスター」製品を提供しているようだ（九州大学情報統括本部）。 なお、筑波大学でも学生向けにウイルスバスターを提供しているそうだが、こちらでも似たようなトラブルが発生しているという（筑波大学情報環境機構学術情報メディアセンターによる障害情報）。 ちなみに、ウイルスバスターは現在でも一部の製品がWindows 10 April 2018 Updateに未対応となっている（トレンドマイクロの「Windows 10 Update対応予定」ページ）。トレン
SoftBankのPepper、セキュリティ上の問題が複数指摘される | スラド セキュリティ
SoftBankのロボット「Pepper」で、認証なしにリモートからのPepperの操作を可能にし、人に危害を加えるなどの攻撃も行えるという脆弱性が見つかっているそうだ。スウェーデンとデンマークの研究チームによる調査結果は5月10日にarXiv.orgで公開されている（Register、 論文）。 研究チームはポートスキャンや脆弱性スキャナーの実行結果をもとに、各サービスへの攻撃が可能かどうかを評価している。リモートからの操作は9559番ポートからアクセス可能なNAOqiのサービスによるもの。このポートにTCPメッセージを送信するとPepperはそれに従って動作する。Pepperの体の動きを指定できるだけでなく、カメラやマイクを含むすべてのセンサーへのアクセスが可能なAPIが提供されているという。特に認証は行われず、APIの仕様に従っている限り、誰が送信したものであっても受け入れられるとの
ウイルス対策ソフトウェア、Windowsの更新プログラムへの対応状況は？ | スラド セキュリティ
Spectre/Meltdown脆弱性緩和策を含むWindowsの更新プログラムでは一部のウイルス対策ソフトウェアで互換性の問題が発生しており、Microsoftはベンダーに対して対応済みであることを示すレジストリ値のセットを要求している。これについて、セキュリティ専門家のKevin Beaumont氏が各製品の対応状況をまとめている(DoublePulsarの記事、 対応状況一覧、 The Registerの記事)。 リストアップされている製品では既に大半が互換性の問題を解決しており、未対応なのは11日時点で360 Total SecurityおよびCounterTack Sentinelのみとなっている。一方、対応済みであってもレジストリ値のセットをユーザー任せにしている製品も多い。そのため、ユーザーが自分でレジストリ値をセットしなければ今回の更新プログラムだけでなく、今後のセキュリテ
本来アクセスできないメモリ領域のデータを読み出せる可能性がある脆弱性が見つかる、多くのCPUに影響 | スラド セキュリティ
どうも報道規制があるようでよく分からないのだが、少なくとも現行のIntel製CPUに脆弱性があり、カーネルメモリをユーザプロセスやWebページに組み込まれたJavaScriptなど様々なユーザ空間プロセスから読み出せる可能性があるようだ（4chan.org、TechCrunch）。対策としてLinuxカーネルやWindows NT系OSにおいてカーネルメモリ空間へASLRの導入がひっそりと進んでおり、Amazon、Google、Microsoftなどクラウドサービス事業各社は大規模なアップグレードを早いところでは来週にも計画している。 影響される利用形態はVPSにとどまらずデスクトップも含まれるが、対象のハードウェアがIntel Coreシリーズプロセッサやその一部で収まるのか、Core 2 Duoやそれ以前、またVIA Technologiesなど他社へ拡張されるかは不明だ。AMDは自社
一部のモバイルWiFiルーター、USB接続するとPCにグローバルIPアドレスが割り当てられる仕様に | スラド セキュリティ
一部のモバイルWiFiルーターは、PCにUSB経由で接続して利用した際にPCに直接グローバルIPアドレスを割り当てるという挙動をするそうだ。一部のマルウェアはこれを利用してPCを狙った攻撃を行っているという（徳丸浩のTweet、INTERNET Watch）。 PCに直接グローバルIPアドレスが割り当てられることで、PCの設定によってはインターネットから直接PCの全ポートへのアクセスが可能になるおそれがある。これを利用し、PCにインストールされているソフトウェアの脆弱性を攻撃してマルウェアに感染させるという攻撃が実際に発生しているそうだ。具体的には、IT資産管理ソフト「SKYSEA Client View」の脆弱性が狙われたとの報告があるという。
Google、ChromeでのSymantecが発行した証明書の無効化スケジュールを発表 | スラド セキュリティ
GoogleがSymantecによって発行された証明書を無効化する計画を発表した（Google Security Blog、GIGAZINE、DigiCert、Slashdot）。この問題は、Symantecやその傘下の認証局が適切でないプロセスによって大量にSSL証明書を発行していたというもの（過去記事）。 まず、2018年4月17日前後に安定版がリリースされる予定のChrome 66以降では2016年6月1日以前にSymantecによって発行された証明書が無効化され、2018年10月23日前後に安定版がリリースされる予定のChrome 70では、Symantecが発行したすべての証明書は信頼できないものとして取り扱われる。 また、今年8月、Symantecは認証関連の事業をDigiCertに売却することを発表しているが（過去記事）、DigiCertのシステムに移管される2017年12月
自宅に設置したネットワークカメラがサイバー攻撃されて乗っ取られるトラブルが発生？ | スラド セキュリティ
ネットワーク接続監視カメラがサイバー攻撃を受けて乗っ取られるというトラブルは以前より多数発生しているが（過去記事1、過去記事2）、過去記事3）、恵安製のネットワークカメラを導入したところ、カメラが勝手に動いてそこから不審な「鼻歌」が聞こえてきたという話が話題になっている。 実際にこのカメラの脆弱性を検証した結果も公開されているが、脆弱性のあるファームウェアが使われており外部からの攻撃を受ける可能性があるという。また、このファームウェアはほかの製品でも使われており、ほかメーカーの製品でも同様の攻撃を受ける可能性もあるようだ。
スウェーデンで大規模な情報漏えい事故、IBMの下請けがデータを漏らす | スラド セキュリティ
スウェーデン政府の情報システムに記録されていた同国民の個人情報が大量に流出する事故が発生していたとのこと（AFP、Independent、Financial Times）。 この情報漏洩事故は2015年に発生していたが、発覚したのは先週だという。流出したのはスウェーデン政府および警察のデータベースで、運転免許に関するデータに加え、軍人の個人情報、有事の際の対応計画なども含まれていた可能性があるという。影響はほぼすべての国民におよぶとされている。 このシステムはIBMスウェーデンが落札し、同社がチェコやルーマニアの企業に業務を外注していたという。その際の設定に不備があり、これらデータに誰もがほぼ無制限にアクセスできる状況になっていたという。システムを迅速に構築するため、いくつかの法律や内部手続きが省略されていたことが流出事故の引き金になった可能性もあるようだ。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ZIPのパスワードを直後のメールで送る不思議 | スラド セキュリティ
特定の企業や個人を狙ったマルウェアが増加 | スラド セキュリティ
TLS 1.0を無効化したIBMのクラウド、問題が発生して再び有効化 | スラド セキュリティ