SHA-1衝突攻撃がついに現実に、Google発表 90日後にコード公開
GoogleはSHA-1ハッシュが同じでコンテンツが異なる2つのPDFも公表した。90日後には、こうしたPDFを生成するためのコードを公開するとも予告している。 Webブラウザのセキュリティ対策など幅広い用途に使われてきたハッシュアルゴリズムの「SHA-1」について、米Googleは2月23日、理論上の可能性が指摘されていたSHA-1衝突を初めて成功させたと発表した。これでSHA-256やSHA-3のような、安全な暗号ハッシュへの移行を急ぐ必要性がこれまで以上に高まったと強調している。 SHA-1を巡っては、脆弱性を悪用される危険性が高まったことを受け、主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止を進めている。 Googleはオランダ・アムステルダムのCWI Instituteと2年がかりで共同研究を実施。Googleの技術とクラウドインフラを駆使して大規模な演算処理を行い、S
5分で分かる、「SHA-1衝突攻撃」が騒がれているわけ
個人的に、とても感慨深いニュースが飛び込んできました。それは、「グーグルが『SHA-1』の衝突を実際に成功させた」というもの。ITmedia エンタープライズのニュースでも報じられ、大きな注目を集めています。 これは一体、どういう話なのでしょうか？ 実は読者の皆さんにとっても、意外と身近な話かもしれません。 「正しいファイル」であることをデジタル的に証明するには まず、この「SHA-1」とは何かを簡単に解説しましょう。ひとまず、ここでは、「何かを入れるとルールに従って何かが出てくるハコ」と考えてみてください。実際には、この「SHA-1というハコ」は、デジタルデータを入れると、「160ビットの文字列が出てくる」ブラックボックスです。入れるデジタルデータは、1文字だろうが1万文字だろうが、出てくるのは160ビットという長さになります。 これが一体、何の役に立つのでしょうか。実はこのハコ、「デー
curlでSSLでつないだときのSSLのヘッダを読みたいのですが、どのような方法があるでしょうか
curlでSSLでつないだときのSSLのヘッダを読みたいのですが、どのような方法があるでしょうか
主要Linuxディストリビューションに深刻な脆弱性--Enterキーを押し続けるだけで悪用可能
主要なLinuxディストリビューションの「Linux Unified Key Setup-on-disk-format」（LUKS）に、セキュリティホールが存在することが明らかになった。LUKSはLinuxで使われているハードディスク暗号化のための標準的な仕組みだ。LUKSは多くの場合、「cryptsetup」というユーティリティを使用してセットアップされている。この脆弱性はcryptsetupに存在するもので、かなり深刻度が高く、影響を受けるLinuxディストリビューションには、「Debian」、「Ubuntu」、「Fedora」、「Red Hat Enterpise Linux」（RHEL）、「SUSE Linux Enterprise Server」（SLES）が含まれる。 セキュリティレポートCVE-2016-4484には、このセキュリティホールを利用すると、攻撃者は「対象システム
Dirty COW (CVE-2016-5195)
Dirty COW (CVE-2016-5195) is a privilege escalation vulnerability in the Linux Kernel View Exploit Details What is the CVE-2016-5195? CVE-2016-5195 is the official reference to this bug. CVE (Common Vulnerabilities and Exposures) is the Standard for Information Security Vulnerability Names maintained by MITRE. Why is it called the Dirty COW bug? "A race condition was found in the way the Linux ker
95から10までの全Windowsに影響、「BadTunnel」脆弱性とは何か
20年以上も前から使われてきた、Microsoft Windowsの標準プロトコル。8月4日、米国ラスベガスで開催されたセキュリティカンファレンス「Black Hat USA 2016」では、そんな“いにしえの技術”の一部に脆弱性が存在することが発表された。 この脆弱性はWindows 95からWindows 10までの全OS、さらにInternet ExplorerやMicrosoft Officeの全バージョンに影響を与えるもので、悪用すれば、Windowsのあらゆるネットワーク通信を乗っ取ることも可能だという。 NetBIOSに起因する「BadTunnel」脆弱性はなぜ生じたのか 「BadTunnel」と命名されたこの脆弱性は、NetBIOSの名前解決サービス「NBNS（NetBIOS Name Service）」の仕様に起因する。NBNSは、Windowsネットワーク内の名前解決（
Vulnerability Spotlight: Apple Remote Code Execution With Image Files
Vulnerability Spotlight: Apple Remote Code Execution With Image Files Vulnerabilities discovered by Tyler Bohan of Cisco Talos. Many of the wide variety of file formats are designed for specialized uses within specific industries. Apple offers APIs as interfaces to provide a definitive way to access image data for multiple image formats on the Apple OS X platform. Talos is disclosing the presence
Macユーザの皆さん、現在お使いのMac OS Xのバージョンはいくつでしょうか？
先日、OS X Yosemite（10.10）の後継バージョンとして、OS X El Capitan（10.11）がリリースされていますが、ソフトウェアのサポート待ち、あるいは様子見ということでアップグレードをためらっている方も多いのではないでしょうか。 執筆時点でのMac OS Xの最新バージョンは「10.11.1」になっています。ご利用のバージョンがOS X Yosemiteの最新バージョン「10.10.5」であったとしても、セキュリティ上の問題がかなりの件数が未解決ですので、「10.11.1」へのアップデートをご検討ください！ このアップデート「OS X El Capitan v10.11.1 およびセキュリティアップデート 2015-007」の説明を見ると、「スクリプトエディタの脆弱性（CVE-2015-7007）」というセキュリティ上の問題が修正されたことを示す一文が記載されてい
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
ゼロワンオンカジチャンネル
カジノエックスは、オンラインカジノの中でも特に人気の高いライブカジノを提供するサイトです。このレビューでは、カジノエックスのライブカジノについて詳しく説明します。 カジノエックスでプレイできるライブカジノ カジノエックスでは、多数のライブカジノゲームを提供しています。ブラックジャック、バカラ、ルーレットなどのトラディショナルなゲームから、ポーカー、バンカーなどのより高度なゲームまで、様々なタイプのゲームを楽しむことができます。 カジノエックスでは、様々なタイプのライブカジノゲームを提供しています。以下にいくつかのゲームを紹介します。 カジノエックスのライブカジノゲーム ブラックジャック ブラックジャックは、カジノゲームの中でも最も人気の高いゲームの一つです。プレイヤーは、ディーラーとの勝負を行います。目標は、21を超えない数字で、できるだけ近い数字を作ることです。 バカラ バカラは、カード
国際サイバー犯罪集団が相次ぎ日本進出、その理由は
欧米を主な標的としていた大手サイバー犯罪集団が相次ぎ日本に上陸している。「日本にとっての猶予期間は終わった」とIBMは断言する。 オンラインバンキングを狙うサイバー攻撃が日本で拡大している問題で、米IBM傘下のX-Forceは2月1日、マルウェア「URLZone」を操るサイバー犯罪集団が日本の大手14行を標的にしていると伝えた。 こうした攻撃は従来、欧米など英語圏の国が主な標的とされていた。しかしIBMによれば、2015年8月に日本の金融機関を狙う極めて高度なマルウェア「Shifu」（泥棒を意味する「Thief」の日本語的発音に由来）が出回ったのに続き、12月には別の集団が操るマルウェア「Rovnix」が出現。今回、日本の金融機関が大手サイバー犯罪集団の標的にされたのは3度目だという。 日本が狙われ始めた理由として「サイバー犯罪集団は攻撃の成功率が高いとみて、欧米に比べてサイバー犯罪に遭っ
Nexus 7(Android 4.2.2)で、JavascriptInterfaceが動かない | UB Lab.
WebView で JavaScript から Java のコードを呼び出すのは、簡単に実現できる。WebView を継承したクラスで、addJavaScriptInterface() メソッドを呼び出すだけだ。 addJavascriptInterface(new HogeJSObj(context, this), "hogeJSObj"); 上記の例では、HogeJSObj クラスの public メソッドを JavaScript から呼び出せるようになる。HogeJSObj クラスに show() メソッドが用意されているのであれば、WebView で読み込んだ HTML/JavaScript から以下のように Java のメソッドを呼び出せる。 <a href="javascript:void(0);" onclick="javascript:hogeJSObj.show();">
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenSSLでキーペアやCSRを作成する手順 - Qiita
Security Updates
are websockets secure or not?
CVE - CVE-2015-7007
CVE-2015-7007、CVE-2015-5889 - 脆弱性調査レポート | SBテクノロジー (SBT)
/blog/2015/11/faq-sha-1-sha-2/
日本の若者を“自宅CSIRT”要員に、政府が防災ハンドブックのサイバー版を配布 
CVE-2015-7547: glibc getaddrinfo stack-based buffer overflow
