GnuPG2のフォーク「NeoPG」、開発中 | スラド セキュリティ
PGPやGnuPGには近年いくらかの批判もありますが、開発は情熱的に続いています（過去記事：PGPの32ビット鍵IDが問題に、Linus Torvalds氏などの偽造鍵も確認される、PGPは有害無益？）。 とはいえ、GnuPGは20年以上の開発によって内部構造が複雑になりすぎています。これに伴う種々の問題に取り組むため、NeoPGという新たなプロジェクトが発足しています。 スライドによると、GnuPGは49万行のコードから成り、400近くのコマンドラインオプション、2種類のOpenPGPパーザ、自前のHTTPクライアントやDNSリゾルバ関連コードを持つ、重厚長大なプロジェクトです。NeoPGでは、できるだけレガシーコードを減らし、外部ライブラリを積極的に利用することで、開発を容易にするつもりです。スライドの時点で、すでに行数はほぼ半減し、コマンドラインオプションも120ほど減っているそうで
Let's Encryptの証明書、不正広告攻撃に悪用される | スラド セキュリティ
Trend Microによると、昨年12月下旬に急増した不正広告(malvertising)攻撃で、マルウェアをホストするサーバーへの通信を暗号化するためにLet's Encryptの発行したサーバー証明書が使われていることが確認されたそうだ。Let's Encryptは無料でDV証明書を発行するサービスで、12月3日にパブリックベータへ移行している(TrendLabs Security Intelligence Blogの記事、 The Registerの記事、 InfoWorldの記事)。 攻撃は不正な広告を用いてAngler Exploit Kitをホストするサイトに誘導し、ネットバンキングをターゲットにしたトロイの木馬をインストールさせるというもの。主に日本のユーザーが攻撃の対象となっており、Trend Microでは昨年9月に確認された不正広告攻撃の続きとみている。 攻撃者はdo
パソコンの発する電磁波をAMラジオで受信してRSA秘密鍵などを解析 | スラド セキュリティ
これまでパソコンの電源鳴きや電位の揺らぎを利用してRSA秘密鍵などの解析に成功しているイスラエル・テルアビブ大学の研究チームが、市販のAMラジオを使用したサイドチャネル攻撃でRSA秘密鍵およびElGamal秘密鍵の読み取りに成功していたそうだ(研究チームによる解説記事、 論文: PDF、 The Registerの記事)。 研究チームでは、GnuPGで復号を実行する際、パソコンが発する電磁波の周波数が変動し、1.5～2MHzのFM波として受信可能な点に注目。そこで、USB接続のSDR(ソフトウェア無線)受信機ドングルとループアンテナ、ノートパソコンを組み合わせてターゲットの秘密鍵解析を試みたところ、3072ビットElGamal秘密鍵と4096ビットRSA秘密鍵をそれぞれ数秒で取得できたという。また、SDRドングルとループアンテナ、OSをDebianに変更したAndroid TVドングルを使
統計によるパスワードクラック | スラド セキュリティ
システムに侵入した攻撃者がデータベースダンプからパスワードを取得するには、パスワードハッシュをクラックする必要がある。パスワード解析には長い時間を要することもあるが、統計的な分析を取り入れることで効率を上げる手法があるそうだ(Praetorian Security Blogの記事、 本家/.)。 現在ではユーザーに複雑なパスワードの作成が要求されるようになっており、システム側もより高度なハッシュアルゴリズムを使用するようになってきていることから、効率の良いパスワードクラック手法が必要となる。通常は短時間で完了する辞書の総当たりから始め、単語と数字や記号を組み合わせたハイブリッド方式、マルコフ連鎖によるパスワード生成など、より時間のかかるものを順に試していくことになる。しかし、大文字や数字、記号の位置、同じ文字種の連続といったパスワードの構造について、どれから試していくのかによって所要時間が
サイバーセキュリティ政策に係る年次報告、2013年度は政府機関への攻撃や金銭目的の不正アクセスが急増 | スラド セキュリティ
政府の情報セキュリティ政策会議は10日、2013年度のサイバーセキュリティ政策に係る年次報告をまとめた(サイバーセキュリティ政策に係る年次報告(2013年度): PDF、 Security Nextの記事、 毎日新聞の記事、 INTERNET Watchの記事)。 国内でのサイバーセキュリティ全般の状況としては、不正アクセス認知件数が2012年の約2.4倍、検挙件数も1.8倍に増加。不正アクセスの内容としては、インターネットバンキングの不正送金が2012年の95件から2013年には1,325件に急増するなど、金銭目的にウエイトが変化しているとのこと。不正に入手したIDとパスワードを使用した不正アクセスの検挙件数でみると、「利用者のパスワードの設定・管理の甘さにつけ込んだもの」が大半を占めるようになった。フィッシング報告件数も2014年1月に急増している。 政府機関では脅威の検知件数が201
vsftpdにバックドアが仕込まれる | スラド セキュリティ
多くのLinuxディストリビューションでも採用されているFTPサーバーvsftpdにバックドアが見つかった。The Hによると、公開されているvsftpd 2.3.4のソースコードにバックドアを実装するコードが発見されたそうだ。このバックドアはユーザー名「:)」、ポート番号6200で任意のユーザーの接続を許すというもので、またシェルを実行することもできるという。 このコードは2～3.5日前（記事公開が7月4日なので7月2日前後？）に混入した模様。安全なソースコードはGoogle AppEngine上のvsftpdサイトで公開されている。 最近ではソースからビルドしてインストールしている人は多くないと思うが、思い当たる節のある方はご確認を。また、ソースコードをダウンロードした際はGPG署名を確認するようにとも述べられている。
Office XPに含まれる脆弱性、「訂正不可能」なため放置 | スラド セキュリティ
MicrosoftはOffice XP/2003/2007で発見された、「重要」とされる脆弱性「MS10-036」について、Office XPに対しては修正パッチをリリースしないそうだ。理由は「Office XPの非常に多くの部分を再度設計し直す必要がある」ため、「修正プログラムを開発することは不可能」だからだそうだ（japan.internet.comの記事）。なお、Office XPはまだ延長サポート期間中であるため、これ以外の脆弱性に関する対策パッチについては基本的にはリリースされている。 脆弱性の修正を諦めるということが許されるのだろうか、また似たような例を知っていたら教えていただきたい。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
圧縮・展開ルーチンに脆弱性、bzip2など相次ぎリリース | スラド セキュリティ