E2EE を開発していて思うこと
ここ数ヶ月は自社製品向けの End to End (Media) Encryption の設計と実装をしています。年内での提供を目標として開発を進めてい見ていますが、色々感じることがあったので雑に書いていこうと思います。 前提自分は暗号やセキュリティの専門家ではない自社製品向けの E2EE は Signal や Google Duo が利用している実績のある仕組みを採用しているE2EE や暗号の専門家を招聘し、相談しながら開発している自分の E2EE に対する考え悪意あるサービス管理者からユーザを守るために存在する機能と考えています。 Signal プロトコルはよく考えられすぎているSignal が考えた Curve25519 (x25519/ed25519) を利用した X3DH / Double Ratchet の仕組みは安全すぎると感じるくらいです。 相手からメッセージを受信するたび
企業のお知らせ配信サイト「PR TIMES」で漏えい 発表前の情報258件にダウンロードの痕跡
PR TIMES社（東京都港区）は7月9日、同社が運営する、会員企業の発表を配信するWebサイト「PR TIMES」で当時未発表だった画像ファイルやPDFファイルなどを公開環境に置いた結果、合計258点のファイルが流出したと発表した。流出を確認した期間は5月4日から7月6日まで。インサイダー情報の流出は9日までに確認されていないという。 【訂正履歴：2021年9月21日午後10時5分 記事初出時、未発表だった画像ファイルなどについて「不正取得された」としていましたが、ファイルに誰でもアクセスできる状態だったため誤りでした。お詫びして訂正いたします。】 発表前に取得されたと確認したのは、会員企業13社が公開前に下書き保存していた発表内容230件に添付する画像をまとめたZIPファイル230点と、発表文などの内容が書かれたPDFファイル28点。画像とPDFファイル以外のリリース本文などの情報は流
人間は適切なタイミングで表示されないセキュリティ警告を9割方無視する | スラド セキュリティ
Brigham Young University（BYU）がGoogle Chromeの開発者らと共同で行った研究結果によると、最大9割の人がソフトウェアの表示する警告メッセージを無視しているという（PHYS.ORG、Slashdot、論文要旨）。 論文によると、Webページを閉じるときのポップアップ警告については74％が無視、動画を見ている最中の警告は79％が無視、情報を転送するかどうかの確認については87％もの人が無視していたという。 多くのソフトウェアでは、ユーザーが行っている操作に関係なく強制的に警告メッセージを表示する。しかし、人間の脳はマルチタスクには向いていないため、このようなメッセージは無視される傾向が高いという。 警告の表示タイミングを工夫することによって、この問題を緩和させることは可能だそうだ。具体的には、動画の再生後に表示させたり、ページのロード時間中に表示させたり、
Hiromitsu Takagi on Twitter: "識別符号（アクセス管理者によってその内容をみだりに第三者に知らせてはならないものとされている符号≒パスワード）がないので、不正アクセス禁止法が禁ずる行為には当たらないが、虚偽内容で予約するのは、人の事務処理を誤らせる目的で行えば電… https://t.co/D7EJ5cCksU"
識別符号（アクセス管理者によってその内容をみだりに第三者に知らせてはならないものとされている符号≒パスワード）がないので、不正アクセス禁止法が禁ずる行為には当たらないが、虚偽内容で予約するのは、人の事務処理を誤らせる目的で行えば電… https://t.co/D7EJ5cCksU
Engadget | Technology News & Reviews
Tesla is reportedly getting 'absolutely hard core' about more layoffs, according to Elon Musk
パラノイアのプログラマと第６感 - megamouthの葬列
今だから白状すると、昔、運営していたサービスの一般ユーザーのパスワードをハッシュ化（暗号化）せずに平文でDBに保存していたことがある。 言いわけは、幾つかある。 一つは、今では当たり前のようについているパスワードリマインダーの仕組みが当時は一般的ではなかったこと。 ユーザーがパスワードを忘れた、と問い合わせしてきた時に、最も自然な方法はまさに当人が設定した「パスワード」を一言一句違わず登録メールアドレスに送信することだった。あなたのパスワードは○○○です。ああそうそう、そうだったね。こういう感じだ。 当時のユーザーはそれを不審がらなかった。 またサポートコストの問題があった、パスワードの再発行を、そのためのトークンを含んだ長いURLを、大半のユーザーが嫌がっていた。 サポート部門はOutlookExpressに表示された長すぎるURLのリンクが途中で切れててクリックできない、という苦情にい
【謝罪】２週間に渡ってみなさんのPCで勝手に仮想通貨をマイニングしていました。 | めしがくいたい
この度は、昨日より遡ること２週間の間、 閲覧者の皆様の端末で勝手に仮想通貨をマイニングし、 その収益をポッケナイナイしており大変申し訳ありませんでした。 深く謝罪申し上げます。 再発防止に努めて参る所存でございます。 というのも、今回私が私の管理するサイト「めしがくいたい」（以下、本サイト）上にこっそり仕込んでおりましたのは、Coinhiveというサービスのスクリプトでございます。 当該サービスを簡単に説明差し上げますと、 管理するWebサイト上に、特定のJavascriptを埋め込むことによって、 閲覧者様のマシンパワーを多少お借りし、スクリプト設置者のために仮想通貨（Coinhiveの場合、Moneroという通貨）をマイニングするというものであります。 もう少し詳細に説明致します。 Coinhiveとは https://coinhive.com こちらより登録いただけます。 Coinh
これまで以上に前途多難？ 「Windows 7サポート終了」認知徹底の難しさ
これまで以上に前途多難？ 「Windows 7サポート終了」認知徹底の難しさ：Microsoft Focus（1/2 ページ） 2020年1月14日の「Windows 7」の延長サポート終了を前に、日本マイクロソフトは「Windows 10」への移行に向けた活動を加速。その真意と、移行を控えたわれわれが留意すべきこととは？ 日本マイクロソフトが、早くも「Windows 7」の延長サポート終了に向けた対策に乗り出す。 同社は、2017年7月からスタートした新年度に、2020年1月14日に延長サポートが終了するWindows 7から「Windows 10」への移行に向け、認知度向上の取り組みを本格的に開始することを明らかにした。 これは全世界の動きに比べて早いという。サポート終了までに、まだ2年半というタイミングにもかかわらず、なぜ、日本マイクロソフトは、こうした取り組みを開始したのか。
機械学習と情報セキュリティ2016 - ももいろテクノロジー
この記事は「情報セキュリティ系論文紹介 Advent Calendar 2016」14日目の記事です。 近年、ディープラーニングと呼ばれる機械学習手法の進展もあいまって、ディープラーニングではない機械学習もそこそこの注目を集めている。 ここでは、2016年に公表された機械学習系の情報セキュリティ論文について、気になったものをまとめてみる。 discovRE: Efficient Cross-Architecture Identification of Bugs in Binary Code (NDSS 2016) Paper 命令数等の複数の数値指標を用いてk-Nearest Neighborによるフィルタリングを行った後、Maximum common subgraph（MCS）によるControl Flow Graphの類似度比較を行うことで、バイナリ（ファームウェア）から既知の脆弱性を
CTFとの向き合い方 ～CTFで消耗しているすべての人へ～ - 生きたい
この記事はCTF Advent Calendar 2016の25日目の記事になる予定だったのですが、タイムリーな議論が起きているため早い内に公開したいという気持ちと、3日目担当のBo Wangさんが記事を書かれていないように思えるので、3日目兼25日目の記事として足して2で割って14日目に公開したいと思います。この文章は1年以上僕の恨みつらみを込められて作成された文章です。 序文 近年、CTFがある程度人権を得て情報系の競技としてポピュラーになった気がしています。しかし、それにともなってCTFで消耗してる人が多くなった気がしましたので、僕も昔から消耗してきた身として、個人的なCTFとの向き合い方をポエムしようかなと思いこの記事を作成しました。 お前誰 最近はCTFを現役でやるだけの体力がなくなってきていて、もしかすると最近始めた皆さんは僕や僕のチームのことを存じ上げないかもしれないので、一
Ctfを始めてから1か月が経った - うさぎ小屋
ので書きました。 pwnにはまりました。 何故始めたのか、何が面白いのか a るくす さんから、 高専プロコン に参加した際等にセキュリティやctfに関する話を聞いて、面白いと思ったのが大きい。 具体的には、 stackには関数の戻りアドレスが積まれているが、これを適切に書き換え連鎖させることで、継続渡しのように攻撃コードを構成する技法(return-oriented programming)がある。 asciiの表示可能な文字の範囲内のみしか送れない等の制約を満たして攻撃コードを送るため、命令に縛りのあるコーディングがなされることがある。 データにメタデータを紐付けながらエミュレートしてデータの流れを解析する技法(taint解析)があるが、これを回避する手法としてbrainfuckにおける加算に酷似した手法がある。 形式証明が脆弱性の発見のために用いられている。 (例: OpenSSL)
Dockerでホストを乗っ取られた - Qiita
注意 本件記事ですが、私の不適切な行動（拾ったスクリプトを検証なく走らせる）が原因です。「dockerは（特に何もしなくとも）危険」との誤解を皆様に与えた点、ご迷惑をおかけいたしました。申し訳ございません。 拡散されている記事を削除するのはさらなる誤解を招きかねないと思いましたので、冒頭に注意を付記しております。以下の記事は、「自分が何してるかをきちんと検証できないとセキュリティホールを生み出す」という意味で参考にして頂ければ幸いです。 追記 Twitterやはてブで言及いただきました皆様、ありがとうございます。 本件はpullしてきたイメージが悪意ある開発者によるものかどうかにかぎらず、不適切な設定をしていると起こり得ます。 ※コメント欄に質問への回答という形で、私がそのときに走らせていたイメージの一覧を挙げておりますが、どのイメージも評判あるものだと思います。 皆様におかれましては「あ
発信元隠す匿名通信システム「Ｔｏｒ（トーア）」悪用した児童ポルノ法違反 京都府警ら全国初摘発 - 産経WEST
発信元の特定を困難にする匿名通信システム「Ｔｏｒ（トーア）」の専用サイトに未成年者のわいせつな画像などを投稿したとして、京都、新潟、沖縄３府県警は２９日、児童買春・ポルノ禁止法違反などの疑いで、名古屋市中川区春田のパート従業員、福岡裕之容疑者（４７）ら５人を逮捕した。 京都府警によると、トーアを利用しないと投稿できない専用の児童ポルノ投稿サイトの利用者を摘発したのは全国初。府警が逮捕した３人は「トーアを使えばばれないと思った」などと供述しているという。 逮捕容疑は、平成２５年１２月～今年７月までの間、会員制サイト「まじかる☆おにおん」を利用し、女児の裸体が写った児童ポルノ画像などを投稿し、不特定多数のサイト会員に閲覧できる状態にしたなどとしている。 府警によると、サイトは投稿すれば、会員専用のポイントが加算される仕組み。所有するポイントに応じて、別の動画などをダウンロードできるほか、インタ
五島夕夏がセキュリティのプロ 徳丸浩先生に一日密着！今すぐ使えるテクニックを盗んできました | NO MORE 情報漏えい
こんにちは、五島夕夏です！ 普段はフリーランスとしてイラストレーターやモデルのお仕事をしている私ですが、今日はNO MORE 情報漏えいプロジェクトの一員として、一日インタビュアーに挑戦します！ 突然ですが皆さんは、毎日の生活の中で「セキュリティ」についてどれくらい気をつけていることがありますか？ 私もTwitterやFacebookをよく利用しますし、お仕事もメールで受けています。PCを使う機会も多いので情報の管理には気をつけなきゃと思っているのですが、「具体的に何をどう気をつければいいのかわからない！」という人は私だけではないはずです。 ということで今回は、セキュリティのプロフェッショナルと呼ばれる徳丸 浩（とくまる ひろし）先生に密着取材！ プロがどんなところに気をつけているのか、私たちの生活にも活かせそうなテクニックを盗んできたいと思います！ 徳丸 浩（とくまる ひろし）先生 HA
色んなXSS – nootropic.me
2015/4/16(木)：ページの一番下に追記を記述しました。 その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。 でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。 そこで今回はそういった何かしょーもないものを捨てるべく、溜め込んだ色んなXSSのPoCを少し書き出してまとめました。 今まで自分で見つけたものや海外のSecurity Researcher達から収集したものもあります。 さて、今回リストアップしたPoCの見方ですがいくつかの項目があります。 一番上の「手法」はタイトルみたいなものだと思って下さい。 二番目の「PoC」はスクリプトを実行する為のコードです。殆どがアラートが出るだけのスクリプトの為危険なコードは無いつもりですがご自分のブラウザで実行する際は自己責任でお願いします。リンクをクリッ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
差分プライバシーとは何か？ （定義 & 解釈編）
脆弱性報奨金制度で認定されづらいテキストインジェクション
死にゆくアンチウイルスへの祈り
introduce "Stealing Machine Learning Models via Prediction APIs"
TLS徹底演習
