EU一般データ保護規則(GDPR)への対応に向けたやるべき事まとめ – 週休７日で働きたい
EUの個人情報保護に関する新しい法律(General Data Protection Regulation)が2018年5月25日から施行される。EUの居住者に対してサービスを提供していて個人情報を取り扱っている業者は、たとえ個人であろうとも遵守義務が課せられる。 最近多くのサービスがプライバシーポリシーの改定を行っているのはそのためである。個人で作っている自分のサービスにもEUのユーザが沢山いるので、そろそろ対応しなければならない(遅い)。 今回はEUの法律によるものだが、内容は至極真っ当な、客観的に見れば当たり前のルールだ。将来的には事実上のデファクトとなり、アメリカや日本もこの法律に倣うのは時間の問題だろう。だから「日本人向けのサービスだから大丈夫」とほったらかしにしている業者は後々痛い目に遭うだろう。 Twitter社がパスワードをログに記録していた件は記憶に新しいが、今これが公に
ゼロ幅文字にエンコードした隠し情報で、文書をリークしたメンバーを特定 | 秋元@サイボウズラボ・プログラマー・ブログ
とある会員制掲示板からの文書の流出に困った運営者が、ユニコードの見えない文字「ゼロ幅文字(Zero-Width characters)」を使って流出させたユーザーを特定した、という話が出ていました。 数年前の話、Tom さんが所属していた競技ビデオゲームのチームでは、ログインが必要なプライベートの掲示板を使って連絡していました。その掲示板に書かれた秘密情報や戦術に関する重大アナウンスなどがしばしば掲示板外のウェブにコピペされ、チームにとって大きな問題となっていたそうです。 外部ユーザーの攻撃で中身が漏れたというよりは、メンバーの誰かがコピーしているのでは、と考えた Tom さんは、当時気になっていたユニコードのゼロ幅文字を使ったトリックを仕掛けたそうです。 ユーザーを特定する情報を、見えない文字に変換して埋め込む ログイン中のログインユーザーのユーザーIDを、一定のルールによってゼロ幅文字
スマホアプリと米国輸出規制に関するメモの続き : DSAS開発者の部屋
前回の記事の続きです。今回は、前回の記事において米国商務省によるフローチャートで輸出規制への該非判定を行った iOS アプリ「stone for iOS」を App Store へ登録申請し、それが一度のリジェクトを経て公開されるまでの経緯を紹介します。 ※記事へ引用の原文および参考訳は 2014年4月7日時点のものです ※引用文中の赤字・強調表示は筆者によるものです。「：」は引用の中略を示します 許可例外「TSU」とは？ さて、暗号を使用するオープンソースの iOS アプリ「stone for iOS」は、ソースコードが「一般に入手可能（publicly available）」であることから 米国輸出管理規則上の許可例外のひとつである「TSU」の適用が可能で、その措置により商務省の輸出許可を得ることなく米国内の App Store からの輸出が可能であることがわかりました。 一連の許可例
スマホアプリと米国輸出規制に関するメモ : DSAS開発者の部屋
記事の概要 スマートフォンの普及に伴いそれをターゲットとするソフトウェアベンダや開発者が増えています。スマートフォン向けのアプリケーションを公開する際には通常 Google Play や App Store 等のアプリケーションストアを使用しますが、これらのストアの拠点は米国にあるためそこでアプリを配布することは米国からの輸出に該当し 同国の輸出法の適用対象となることに注意が必要です。 米国の輸出規制の内容は EAR (Export Administration Regulations 輸出管理規則) に定められており、規制に該当するか否かは「何」を「どこへ」輸出しそれを「誰」が「何のため」に使用するかによって決まります。規制対象にあたる輸出を行う際には米国商務省へ申請を行い有効期限を伴う 輸出許可（Export License）を得なければならないケースもありますが、EAR にはある品目
日本では知られていない海賊版の新潮流 | p2ptk[.]org
日本のオンライン海賊版の歴史をふり返ると、時代時代にさまざまなトレンドがあった。Warezに始まりNapster、WinMX、Winny、Share、BitTorrentなどのP2Pファイル共有、YouTubeやニコニコ動画などのストリーミングプラットフォーム、そしてMegauploadやRapidshare、Rapidgator、Uploadedなどのサイバーロッカーへ。 日本でも昨年10月にリンクサイト「はるか夢の址」の運営者や投稿者が摘発され、サイバーロッカーへの注目（というか圧力）が高まっている。ただ、海賊版の世界を観察していると、サイバーロッカー型の海賊版はすでに過去のものになりつつある。たとえば、サイバーロッカー自体の人気は2012年のMegauploadの閉鎖前後にピークアウトし、根強い人気のBitTorrentですら下降の一途を辿っている。 Rapidshare、Megau
![日本では知られていない海賊版の新潮流 | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/919af180a771ba2db3ad22d8866e081e9511bdac/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2018%2F01%2FMarooned_close_up_t.jpg)
Googleは巨大なインフラをどうやってセキュアに保っているか。独自のセキュリティチップ利用やDoS対策、安全なソフトウェア開発など、全体像を解説したホワイトペーパーを公開
Googleのクラウドは間違いなく世界最大規模のコンピュータシステムです。膨大なハードウェアとソフトウェアから構成されるこの巨大なシステムを、同社はどうやってセキュアに保っているのか。そのことを解説したホワイトペーパー「Google Infrastructure Security Design Overview」が公開されました。 ホワイトペーパーには、Googleのデータセンターを構成するデバイスの1つ1つにまで独自のセキュリティチップを組み込んで正規のデバイスかどうかを相互に認証するという物理レベルのセキュリティから、何層のものロードバランサーからの情報を集約してDos攻撃を検知すると、その通信を破棄するといったDoS対策。 そしてマシンも従業員もサービスも包括するグローバルな名前空間など、きわめて広範かつ綿密なセキュリティ施策が説明されています。 クラウドがいかに高度なセキュリティで
Cryptographic Protocol Verification Portal
The AKE Protocol List The AKE Protocol List は、安全な通信インフラに不可欠な認証および鍵交換（AKE, Authentication and/or Key Exchange）の主要な暗号プロトコルの現時点の安全性が一目で分かる画期的なポータルサイトです。このサイトは、産官学全ての組織のみならず個人まで広く使っていただけます。 凡例 評価の厳密さを★の数の多さ（1〜4）で表し、利用の可能性を色で区別しています。表の見方の詳細は本ページの最後をご覧下さい。 現状安心して利用できる（現時点において攻撃が発見されていない） 現状安心して利用できる（攻撃が発見されているが現時点では非現実的な脅威） 対策を施せば安心して利用できる（攻撃が発見されているが回避策がある） もはや安心して利用できない（現実的な脅威のある攻撃が発見されている） 国際標準 プロトコル
1万台ものルーターを何者かが勝手にハックしてセキュリティを高めていたことが発覚
by Peter Dahlgren ユーザーのネットワークに侵入したマルウェアは、侵入した後にさらなる攻撃を仕掛けるためにユーザーのルーターを利用することが多々あります。しかし、Symantecが発見したLinux.Wifatchというマルウェアは、Linuxを搭載する1万台ものルーターに感染しておきながら、悪用ではなくむしろ「デバイスのセキュリティを高める動き」をしていたことがわかりました。 Is there an Internet-of-Things vigilante out there? | Communauté Symantec Connect http://www.symantec.com/connect/blogs/there-internet-things-vigilante-out-there Someone Has Hacked 10,000 Home Routers
Android端末の94%に影響する脆弱性「Stagefright」、MMS以外でも攻撃可能 | トレンドマイクロ セキュリティブログ
ホーム » モバイル » Android端末の94%に影響する脆弱性「Stagefright」、MMS以外でも攻撃可能 セキュリティ企業「Zimperium zLabs」は、2015年7月下旬、Android端末に存在する脆弱性を確認しました。「Stagefright」として知られるこの脆弱性を利用することにより、攻撃者は「マルチメディア・メッセージング・サービス（Multimedia Messaging Service、MMS）」を介して不正プログラムを携帯端末にインストールすることが可能です。この脆弱性を利用した攻撃は実行可能性が高いため、大きな注目を集めました。 この脆弱性の影響を受けるのは、Android のバージョン 4.0.1 から5.1.1 です。これは現在使用されている全Android端末の 94.1% に相当します。 トレンドマイクロも、独自にこの脆弱性を
OS X/iOSでほかのアプリが保存したパスワードなどを取得できるという未修正脆弱性が見つかる | スラド アップル
サンドボックス内で実行されているOS X/iOSアプリから、ほかのアプリが保存したパスワードなどの情報にアクセスできてしまうという未修正の脆弱性が公表された（論文、9to5Mac、The Register、Hacker News）。 ほかのアプリのリソースに対する承認されていないアクセス（unauthorized cross-app resource access: 「XARA」と研究者は呼んでいる）についての脆弱性が、OS XのKeychainやOS X/iOSのURLスキームなどに存在する。これらを悪用することでiCloudや電子メール、ネットバンキングなどのパスワードや、アプリのセキュリティートークンなどを取得可能だという。 研究チームは昨年10月に脆弱性の存在をAppleに通知しており、Apple側は公表までに6か月間の猶予を求めている。さらにAppleは2月に公表前のリポートを送
[iOS] アカウント情報をアプリ間で安全に共有する方法 | 踊る犬.net
はじめに Google Drive, Docs, SheetsのiOS版では、アプリ間でGoogleアカウント情報を共有しています。 いずれかのアプリで一度認証すれば、他のアプリでは面倒な認証手順が不要になります。 これはどういう仕組みで行われているのでしょう？ アプリはどのようにして、ユーザの入力無しにユーザを識別しているのでしょう。 Keychain：安全に機密情報を取り扱う仕組み 実は、先に述べたGoogleのアプリ達は、KeychainというOSの仕組みを使っています。 Keychainは、もしあなたがMac OSXユーザであればなじみ深いと思います。実はiOSにも備わっています。 これは、パスワードや秘密鍵、証明書などの機密情報を安全に管理するための仕組みです。 Keychainで保管されるデータは暗号化されます。 アカウント情報の取り扱いに最適 Keychainと同
![[iOS] アカウント情報をアプリ間で安全に共有する方法 | 踊る犬.net](https://cdn-ak-scissors.b.st-hatena.com/image/square/d051e882aa0abdb6ed573140b6886f2ba3a9e1f4/height=288;version=1;width=512/http%3A%2F%2Fodoruinu.net%2Fblog%2Fwp-content%2Fuploads%2Fkeychain500x500.png)
Cocoaの日々: [iOS] Keychain Services とは
他アプリケーションが格納した Keychain Services 内の情報へのアクセス Mac OS X の場合はユーザが許可を与えれば他のアプリケーションの情報へアクセスすることができる。一方、iOS の場合、アプリケーションは自身が保存した情報のみアクセスが行える。他のアプリケーションの情報へは基本的にアクセスすることができない。ただし同じプロビジョニングプロファイルを使ってビルドされたアプリは設定により情報を共有することができる（後述）。 iOS での特記事項 iOS には単一のキーチェーンのみ存在する（Mac OS X は複数）。 iOS の場合、PC接続時にストレージの内容は暗号化されたままバックアップされる。これを復号化するパスワード(keychain password)はバックアップされない（iOSデバイスの中から外に持ち出されない）。 Keychain Service はプ
![Cocoaの日々: [iOS] Keychain Services とは](https://cdn-ak-scissors.b.st-hatena.com/image/square/ca3ea0cd0fc9e0c5ad79feedebd8d2b280eccf38/height=288;version=1;width=512/http%3A%2F%2F2.bp.blogspot.com%2F_ZoUhefzk0CI%2FTUuVeYYblPI%2FAAAAAAAAGE4%2FsJHma9WmQ-o%2Fs1600%2F110204-0004.png)
セキュリティアナリストのつぶやき
2022.03.09 Azure AD導入環境に対するペネトレーションテストの資格「Certified Az Red Te...
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【笠原一輝のユビキタス情報局】 バックアップにブロックチェーンやAIなど最新技術を取り入れ、事業領域も拡大するAcronis ～ベロウゾフCEOにその狙いを訊く
公開鍵証明書なしに相互認証できる認証方式が国際標準化 ～産総研開発、匿名認証も実現
IPA、「IoT開発におけるセキュリティ設計の手引き」を公開 
Engadget | Technology News & Reviews
【海外セキュリティ】英国の諜報機関がパスワードのガイドライン／最も怪しいトップレベルドメイン ほか 
agilecatcloud.com
Boffins reveal password-killer 0days for iOS and OS X | Hacker News