かつて「ハッカー」とは、「コンピュータに熱心な者」として定義されていた。 「コンピュータのプログラミングを出来る人」であっても、「コンピュータがどのような仕組みで動いているか理解する人」であっても「ハッカー」と呼ばれていたのだ。 しかし、現代における「ハッカー」は、少し意味合いが変わっているように思える。 他人のコンピュータや、企業の管理するサーバーへ不正アクセスを行う「悪者」というイメージが先行してしまっている。 本来の意味である「コンピュータに熟知した人物」が失われてしまっているのだ。 しかし、世間一般の人が思う以上に、「ハッカー」には多くの種類があり、その種類によってハッキングのモチベーションが全く違う。 その中でも、ハッカーの種類を大別すると、以下の5種類と言えると私は思う。 スクリプトキディー ブラックハットハッカー ホワイトハットハッカー グレーハットハッカー ハクティビスト

パスワードなしの公衆無線LANに規制？総務省が苦悩する問題 itpro.nikkeibp.co.jp 2020 年の東京オリンピックに向け、外国人訪日客が利用できる公衆無線 LAN の提供がよりいっそう望まれている 現状、電気通信事業者以外が自身のサービスの延長ないし無償で提供している場合、公衆無線 LAN の提供者は総務省認可を受ける必要がない しかしそういう提供者ほどセキュリティ意識が低い 本人確認を確実にしつつ利便性を損なわない方法の選択肢が限られる 利便性と本人確認の確実性はトレードオフ 唯一の成功例は SIM カードによるモバイルキャリア事業者提供の公衆無線 LAN だが、サービスを受けられる SIM の種類が限られる VPN を使えば安全か? 現実: Android 用 VPN アプリのほとんどがマルウェア 現実的な対策は? 公衆無線 LAN を提供している側へのセキュリティ啓

https://www.group-ib.com/blog/moneytaker ロシア系のハッカー集団が、過去2年の内に金融機関や弁護士事務所に20ものサイバー攻撃を成功させていた事が、Group IBの調査によって明らかになった。 Group IBはハッカー集団をMoney Takerと呼んでいる。 Money Takerによる攻撃の被害に遭ったのはアメリカ、イギリス、ロシアに拠点を持つ金融機関や弁護士事務所のようだ。 Group IBの調査によれば、今後Money Takerは、南アメリカの勘定系システム(STAR®)をターゲットにサイバー攻撃を仕掛ける可能性があるという。 そこで、この記事では”Money Taker”に関してまとめていきたい。 Money Takerが仕掛けた攻撃の数 Money Takerが過去2年の内に攻撃を仕掛けた企業の合計は20と言われている。 その内訳は

www.bleepingcomputer.com こんにちは。Ichi(@0x31_nose)です。 12月8日(金)のニュース「HPのドライバーにキーロガーコードが含まれていた事からドライバーアップデートを提供」についての翻訳&まとめです。 レジストリ内にバグコードが存在 HPは、自社ハードウェアのドライバーにキーロガーを含むバグが存在していた為、ドライバーアップデートをリリース。 キーロガーのコードは、HPラップトップの操作には欠かせない”Synaptics Touchpad”のドライバーの一部である、”SynTP.sys”というファイルに含まれていたようだ。 キーロガーはデフォルトでOFFに設定されていたが、レジストリ値を変更する事でONにする事が出来るようだ。 レジストリキーは以下のもの。 HKLM\Software\Synaptics\%ProductName% HKLM\Sof

www.securityweek.com Paypalは、最近買収したTIOネットワークスのシステムがハッキング被害に遭い、情報漏えいが発生した事を公表。 Paypalによる公表は先週金曜日に行われ、160万件の個人情報が流出した事が明らかになった。 Paypalが2017年7月頃に約2.3億アメリカドルでTIOネットワークスを買収した。 TIOネットワークスの本社はカナダに位置し、主に通信料金や光熱費などの代金の支払いネットワーク網を持つ会社である。 TIOネットワークスのネットワークを使用する支払い請求者の数は10,000を超え、160万人が同社のネットワークを使って通信料金や光熱費を行っている。 PaypalはTIOネットワークスの業務を停止 11月10日、PaypalはTIOネットワークスの支払い業務を停止する事を発表した。 参考リンク(外部URL) TIO Networks Su

2017年11月30日、”Luc1F3R”を名乗るマルウェアの開発者が、Halloareというランサムウェアを$40で販売し始めた。 （※ちなみに”Luc1F3R”の読み方だが、1を”i”、3を”E”に置き換えて、”Lucifer”となる。したがって「ルシファー」と脳内変換していただきたい。） 現在”Luc1F3R”は、ダークウェブ上のポータルサイトとYoutubeビデオを使ってHallowareの販売を行っている。 (ダークウェブ上のHalloware販売サイト。BleepingComputerより引用。) Hallowareの販売が行われているサイトをみると、Hallowareは$40で買い切り型のライセンスとなっているようだ。 この”$40”という価格から、以下の3つの可能性が予想できる。 非常にお得なオファー 中身のない詐欺マルウェア 完成度が低い ”Luc1F3R”のサイトを追跡

今回の記事では、Androidの脆弱性”Dirty Cow”に関して説明していく。 Dirty Cowの概要 LinuxのCopy on Write機能（COW）を使って、Read-Onlyのメモリマッピング情報を書き換えてしまう脆弱性(CVE-2016-5195)。 マルウェアのコードネームは、ZNIU。 Googleは2016年11月にパッチをリリースし、Androidの定期アップデートによってパッチされた脆弱性ではあったが、2017年9月になっても、Dirty Cowの被害に遭うユーザーが急増していた。 被害状況 先月(2017年8月)の段階で、ZNIUの被害は40カ国で確認されており、主に中国とインドのユーザーが被害にあっているという。 更に、アメリカ、日本等の国でもマルウェアの感染が確認されている。 対象のデバイス エクスプロイトが機能するのは、ARM/X86 64-bitアーキ

バージョンを変えながら、10年以上進化してきたバンキングトロイの”Ursnif”が、最近になって感染が確認されている。 Ursnifについて このセクションではUrsnifについて簡単に説明する。 Ursnifのバンキングトロイとしての歴史は長く、最初に発見されたのは2007年。 当時は特定のサイバー攻撃集団によって使用されていたマルウェアだったが、2010年にコードが流出した事で数種類の亜種が生み出された。 それらUrsnifのコードをベースにした亜種の例を挙げると、 Gozi Vawtrak Neverquest GozNym である。 これらUrsnifの亜種のなかで、最も頻繁に攻撃への利用が確認されたのはUrsnif v2（又の名をGozi v2）である。 特に過去2年間の内、Ursnif v2は活発に見受けられ、北米、ヨーロッパ、日本を拠点におく金融セクターの感染が見受けられてい

Notice of Data Breach | The Imgur Blog Imgurがハッキング被害に イメージ共有サイトで知られるImgurが、ハッキング被害に遭った。 オーストラリアのセキュリティ研究者、Troy Hunt氏の報告によって、Imgurは自社のサーバーがハッキング被害に遭ったことを知った。 Imgurは、世界最大規模のウェブサイトで、月間1億5千万アクティブユーザーを抱える巨大なWebサービスである。 2014年にも情報漏えいが発生したが、その時も1億3千万程の月間ユーザーのメールアドレスとパスワードが漏洩した事が明らかになっている。 迅速な対応と情報公開 Imgurは直ちにしかるべき行動を取り、プレスリリースにまで踏み切った。 今回のインシデントをImgurに報告したTroy Hunt氏は、Imgurの行動の早さについて、以下のようにコメントしている。 I want

ここ１ヶ月ぐらいは、海外のメンバーと仕事をしているが、Serverless Hackfest というイベントと、Serverless Conf やワークショップに関わっているので仕事量が増えていった。日本にいることだし、久々に「日本流」のハードワークをしてしまったのだが、一つ気づいたことがあった。それは、ここしばらくの謎だった、日本人のIT エンジニアはなぜイノベーティブな感じがしないのか？ということに対する問いだった。 Microsoft Hack week 日本人はイノベーティブ Rochelle Kopp さんとの仕事で知ったことで、一つとても意外だったことは、アメリカ人から見ると日本人は相当にイノベーティブに感じるらしい。 自分的には、少なくともIT 分野に関しては、向こうの真似ばかりしていて、後追いのイメージがある。私たちも向こうで生まれたツールやサービスばかり使っていて、全然日

概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: A Deep Dive into CSRF Protection in Rails 公開日: 2017/07/31 著者: Alex Taylor サイト: Ruby Inside 2017/10/23: 初版公開 2021/11/26: 更新 現在Railsを使っていればCSRF保護を使うことがあるでしょう。この機能はRailsのほぼ初期から存在し、即座に導入して開発を楽にできるRailsの機能のひとつです。 CSRF（Cross-Site Request Forgery）を簡単に説明すると、悪意のあるユーザーがサーバーへのリクエストを捏造して正当なものに見せかけ、認証済みユーザーを装うという攻撃手法です。Railsでは、一意のトークンを生成して送信のたびに真正性を確認することでこの種の攻撃から保護します。 最近私がUnboun

ISUCON7 予選、出題者チームにてインフラ担当をしている KLab 横川です。 まず、ISUCON7 予選にご参加していただいた多くの皆様、ありがとうございました。 大事な予選にて 1 日目、2 日目ともに開始時刻の遅延という重大なトラブルを発生させてしまったことをお詫び申し上げます。特に予選1 日目の方は告知していた開始時間から 3 時間も遅れてしまい大変申し訳ありませんでした。 このエントリでは、今回の開始時間の遅延原因についてお伝えいたします。 予選のサーバー、ネットワーク構成まず、問題の概要に入る前に予選のサーバー、ネットワーク構成について紹介します。 予選に参加された方はすでに御存知の通りだと思いますが、今回の予選での構成は 1コア、1GBメモリ、20GBディスクで構成されたサーバーが 3台からなっており、それぞれ別々にグローバルIPを持ってインターネットに接続されながら、内

問題のRSAライブラリは、セキュリティチップのTrusted Platform Module（TPM）やスマートカードなど幅広い製品に採用されている（出典：Centre for Research on Cryptography and Security） GoogleやMicrosoftなど主要メーカーの製品に使われているInfineon Technologies製のセキュリティチップに、RSA秘密鍵を取得されてしまう脆弱性が報告された。米セキュリティ機関CERT/CCは10月16日付でセキュリティ情報を公開し、メーカー各社はファームウェア更新などの対応を行っている。 CERT/CCによると、Infineon RSAライブラリのバージョン1.02.013に、RSA鍵のペアが適切に生成されない脆弱性が存在する。攻撃者はこのライブラリで生成されたRSA公開鍵にアクセスするだけで、RSA秘密鍵を

ミスティーノは、仮想通貨でも遊べるオンラインカジノです。仮想通貨での入金には、Bitcoin、Ethereum、Litecoin、Bitcoin Cashなどが使用できます。また、出金も仮想通貨で行うことができます。 また、ミスティーノでは、スロットやテーブルゲーム、ライブカジノ、ポーカー、ビデオポーカー、バカラ、サイコロなど、様々なオンラインカジノゲームが楽しめます。さらに、スマートフォンやタブレットでのプレイも可能ですので、いつでもどこでもカジノゲームを楽しむことができます。 実際にミスティーノで遊んでみた感想 ミスティーノでは、新規登録や入金などに応じて、さまざまなボーナスが提供されています。 新規登録ボーナスとしては、入金不要で手に入る「フリースピン」があります。また、入金ボーナスとしては、入金額に応じた「マッチボーナス」が提供されることがあります。さらに、プレイヤーのレベルが上が

タイトルの通りなんですが、ドワンゴが運営する「N予備校」がやっている 【2017年度】プログラミング入門Webアプリ というコースがすばらしくてびびりました。前に書いた社員が自分ではじめていて、いいというのでぼくも試してみた。そしたら、あまりにもよかったので書いておく。 たとえば「第2章　準備しよう」の冒頭はこんな感じ。 いちばん上の「LinuxというOS」では、手元のPCに仮想環境をつくって、Linuxをインストールして、sshで使えるようにするセッティングを行う。 その後、基本的なLinuxの使い方から、TCP/IPのパケットを覗いてみたり、簡易チャットをつくったり、かんたんなbotをつくったり、Githubをつかったり、DBにさわったり、node.jsをつかったりする。ネットワーク時代のプログラミング入門として、非常によくできている。 いちおう、毎回2時間の動画をみながら学ぶ形式なん

仕事でコード書いてた頃の話。 机上に「本」というメディアは無かった。プログラミングといえばお手本のコピペ＆手直しで仕上げてた。だから、せいぜい入門書やリファレンスといった辞書的なやつだけで、3年もすれば「古い」と引き出しの中へ。 だから、いつまでたっても上手なのは「お作法」だけ。あたりまえだ。仕様を実装したコードに「似た」コードやパターンを探し出す→コピペがプログラマの仕事だと思ってたから。ネットの情報が「全て」であって、「考える」とは、「いかにお手本に合わせるか」だったから。 プログラマというよりも、むしろ「コーダー」。その辺は「プログラマになれなかったわたし」[参照]に書いた。 ここでは、「コンピュータの名著・古典100冊」の既読リストで恥さらし。いかにちゃんとした本を読んでいないかがよっく分かる、なさけない。 本書はプログラミングに限らず、ソフトウェアエンジニアとしての libera