北朝鮮製のタブレット「Woolim」が持つ情報統制とスパイ発見のためのおそるべきシステムとは？
人の往来が制限され情報統制が厳しい北朝鮮では、外国の情報を入手することは難しい状況です。そんな北朝鮮内で流通しているタブレット端末には、情報統制とスパイ発見のために独自のシステムが組み込まれていることが、Florian Grunow氏らのチームによって明らかにされています。 Grunow氏が北朝鮮製タブレット「Woolim」についてのプレゼンテーションを行ったのは、情報セキュリティ関連の年次カンファレンスChaos Communication Congressの中でした。Grunow氏のプレゼンテーションの様子は以下のムービーで閲覧できます。 C3TV - Woolim – Lifting the Fog on DPRK’s Latest Tablet PC https://media.ccc.de/v/33c3-8143-woolim_lifting_the_fog_on_dprk_s_
100万台以上のAndroid端末に感染したマルウェア「Gooligan」の被害が拡大中、対象アプリ一覧はコレ
By CyberHades Android端末に感染して端末のRoot権限を不正に取得するマルウェア「Gooligan」が仕込まれたアプリが出回り、100万件以上のGoogleアカウントが被害にあっていることがセキュリティ企業「Check Point Software Technologies」の調査により明らかにされています。このマルウェアは端末に感染した後にRoot権限を取得し、認証トークンを盗み出すことでGoogleアカウントに不正アクセスして「Google Play」「Gmail」「Googleフォト」などからデータを盗み出すことを可能にするもので、発覚後も1日に1万3000台のペースで被害にあう端末が増え続けているとのことです。 More Than 1 Million Google Accounts Breached by Gooligan | Check Point Blog
XSS Attack Tips / 今日から始めるXSS - http80
日々の健全なXSSにお役立てください。 ●極力短いコードでXSS 本題に入る前に軽く整理します。オーソドックスなXSSであれば、おなじみの次のようなコードになるでしょう。 "><script>alert(document.cookie)</script> *1 しかしながら、Reflectedするのにもかかわらず、場合によっては文字数制限という問題にぶち当たることもあるかと思われます。その場合、より短いコードでXSSを成功させる必要性があります。どこにReflectedされるかによって書き方は変わりますが、大まかには下記のどれかになるでしょう。 ◆HTML Body(HTML構文内) BAD: <input type="text" value="<?php echo $GET['name']; ?>"> PoC: "><script>alert(1)</script> (28文字) PoC
ロックがかかったiPhone内の全写真や個人情報を簡単にのぞき見されてしまうバイパス法が発見される
iPhoneのロック画面を解除することなく、連絡先の情報を調べたり、端末内のすべての写真をのぞき見したりできるバイパス方法が発見されました。これは次期アップデートのiOS10.2(ベータ3)でもふさがれていない穴なので、Appleによる対策は不可避です。 New Hack: How to Bypass iPhone Passcode to Access Photos and Messages http://thehackernews.com/2016/11/iphone-hacking.html パスコードを入力することなく端末内の連絡先や写真にアクセスするバイパス方法は以下のムービーで解説されています。 How To Unlock ANY iPhone Photos Without Passcode! - YouTube ということで、ムービーの案内通りに試してみました。 まずはロックの
【お知らせ】不正アクセスによるお客様契約情報流出に関するお詫びとご報告 | 新着情報｜ レンタルサーバーのカゴヤ・ジャパン
弊社システムへの不正アクセスに関するFAQ お客様各位 カゴヤ・ジャパン株式会社 代表取締役 北川貞大 不正アクセスによるお客様契約情報流出に関するお詫びとご報告 このたび、弊社がお客様に提供しております契約情報データベースサーバーに対し第三者による 不正アクセスがあったことが発覚し、不正アクセスの全容解明ならびに被害状況の調査を進めてま いりました。 調査の結果、サーバーに保管していたお客様のクレジットカード情報を含む個人情報が不正アクセ スにより外部に流出した可能性があることが判明いたしました（以下、「本件」といいます）。 本件の詳細につきましては、下記のとおりご報告いたしますとともに、 お客様ならびにご関係者の 皆様に、多大なるご不安とご迷惑をお掛けいたしますこと、ここに深くお詫び申し上げます。 記 1.事案概要 (1)流出の対象期間：2015年4月1日～2016年9月21日 ※脆弱
2016年8月末より発生している国内サイト・サービスの接続障害についてまとめてみた - piyolog
2016年8月22日頃から、日本の複数サイトで接続し難い、あるいは出来ないといった事象が確認されています。ここでは関連情報をまとめます。 サーバー(Webサイト)への接続等で障害発生しているサービス、サイト 各サイトのTwitter等での発表をまとめると次の通り。 障害発生元 発生原因(運営元発表抜粋) さくらインターネット DoS攻撃、あるいは攻撃と思われる 技術評論社 サーバへのDoS攻撃が検知されたことを受け，サービスが提供できない状態 スラド DDoS攻撃の影響 はてな さくらインターネットDNSサーバー障害に起因 したらば掲示板 ネットワーク障害 ふたば★ちゃんねる サーバ会社よりDoS攻撃との報告 小説家になろう 上位回線の管理会社よりDos攻撃を受けているとの連絡 OSDN DDoS 攻撃の影響 Feeder 全サーバがDDoS攻撃を受けており、サービスをご提供できない状態
不審者情報の裏にあるもの - Hagex-day info
なるほど。 ・今までにあった修羅場を語れ【18】 632 ：名無しさん＠おーぷん：2016/08/04(木)01:12:43 ID：TrT 長文でごめんさない ネットでたまに見る不審者情報（事案）のニューズで 女に道をきいたとか、挨拶したとかだけで不審者とされた事案に 「そんなんで通報かよｗ男は何にもできないな」 みたいな意見を見る度に思い出す修羅場 高校の頃、塾の帰り道、「××山（地元で有名なデートスポット）へはどうやっていけばいいの？」 と、四十代くらいの知らないおっさんに道をきかれた その地点から徒歩で行ける距離ではなかったから電車を使うといいと思って、最寄駅への道を説明した すると「うーんわかんないから一緒に来てくれる？」と言い出す 何言ってんだこのおっさんと思いながら「すいません、急ぎますから…」と歩き出す私 するとおっさん何とこっちに付いてくる まるで恋人みたいに私の横に並んで
「パスワードの定期変更はすべきでない」 米研究機関がセキュリティ対策関連の文書で明言
アメリカの科学研究機関NIST（米国国立標準技術研究所）のコンピューターセキュリティ担当部門、CSD（Computer Security Division）が発行した文書「800-63B」が注目を集めています。デジタル認証のガイドラインとして書かれたもので、パスワードに関する項目に、「パスワードの定期変更はすべきでない」と明記。セキュリティの常識を変える可能性があります。 CSDの文書 焦点となった文言は、「5.1.1.2. Memorized Secret Verifiers」に記載。「ユーザーが攻撃を受けたとの証拠の下に変更を要求した場合を除き、認証側は定期的にパスワードの変更を求めるべきではない」と述べられています。パスワードの定期変更を促すWebサービスは多いですが、ユーザーが前のパスワードに数字を加えるなど、予測しやすい変更を行ってしまいがちなのも事実。そういった観点からの記述と
Let’s EncryptとNginx : セキュアなWebデプロイメントの現状 | POSTD
最近まで、SSL暗号化通信は「あると好ましい機能」という程度にしか考えられていませんでした。そのため、安全なのはアプリのログインページだけというサービスが数多く存在していました。 しかし、状況は良い方向へと変化しています。現在では暗号化は必須と考えられ、ほとんどの開発者が導入を義務付けています。また、巨大検索エンジンGoogleでは、SSLの導入が検索結果の順位を決定する要因にさえなっています。 しかし、SSLが広範に普及しているにも関わらず、セキュアなWebサービスを構築することは、未だに面倒で、時間がかかり、エラーの原因になりやすいと考えられています。 最近この分野では、 Let’s Encrypt が、SSL証明書をより広く普及させ、Webサイトのセキュリティ維持に係るワークフローを大幅に簡略化しようと取り組んでいます。 強力なWebサーバNginxや、他のハードニング方法と組み合わ
SSLは無料と有料で何が違うの！？今さら聞けないSSLの仕組みと導入のメリット
（この記事は2022年9月29日に更新されました） 「SSLっていう言葉、よく聞くけど、どんな意味なんだろう？」 「自分のWebサイトをSSL化する必要ってあるの？」 「無料のSSLと有料のSSLって、何が違うの？」 こんにちは。 京都のWebプランニング会社「ウェブライダー」の松尾です。 某社のレンタルサーバーからCPIのサーバーに乗り換えたことがきっかけで、このコラムを書かせていただく機会を得ました。 現在、ウェブライダーでは、CPIの専用サーバーと共用サーバーのふたつを借り、さまざまなWebサイトを運営しています。 さて前回、Webセキュリティに関する記事を書きました。 Webセキュリティを語る上では、「SSL（Secure Sockets Layer）」についての話は外せません。 SSLとは、インターネット上の通信を暗号化する技術のこと。 この技術はネット上のさまざまな場面で使われ
Aterm製品におけるセキュリティ向上のための対処方法について［2016年7月21日更新］｜サポート技術情報｜目的別で探す｜Aterm（エーターム） サポートデスク
このたび、Aterm製品の一部で、悪意のある第三者が制作したサイトにアクセスした場合に、対象製品の設定を変更されたり、製品を再起動されたり、お客様の意図しない動作を引き起こされる可能性がある事がわかりました。 Atermの対象製品をお使いの方は、以下に示す手順に従ってご対応をお願いいたします。 ご利用いただいているお客様にはご不便とご迷惑をお掛けいたしましてまことに申し訳ございません。 今回新しく判明した問題以外に、過去公開済みの製品も含め記載しております。 ご使用中の製品をご確認の上、ご対応をお願いいたします。
まだまだ使える？ Windows XP SP4が非正規にアップデート提供 | ギズモード・ジャパン
まだまだ使える？ Windows XP SP4が非正規にアップデート提供2016.02.17 14:0041,929 湯木進悟 マイクロソフトは一切サポートしてませんが…。 Windows XPは、2014年4月に正式サポートが打ち切られました。その後もWindows XPを使い続けているユーザーは、セキュリティ上の重大な危険にさらされていることを意味しているでしょう。でも、いまだに世界ではWindows XPユーザーが増え続けていたりもするみたいなんですよね。 このサービスパックは、マイクロソフトによって提供されたものではないことを、初めにお伝えしておきたいと思います。もし現在もWindows XPを使い続けておられるなら、最新のオペレーティングシステム（OS）へのアップグレードを、絶対に検討すべきです。 こんな但し書きまでありますが、実は有志による｢Windows XP Service
Electronのwebview要素ではallowpopups属性をつけてはいけない - 葉っぱ日記
Electronを使ってブラウザのようなアプリケーションを作る場合には webviewタグが使用される。例えば、アプリケーション内にexample.jpのサイトを表示するには以下のようにHTMLに記述する。 <webview src="http://example.jp/"></webview> ここで、webviewタグにallowpopups属性を付与すると、example.jpサイト内のコードからwindow.open等を使って新たにウィンドウを開くことができるようになる。このとき、example.jpに悪意があり以下のようなコードが含まれているとする。 if( typeof require === "undefined" ) window.open( 'http://example.jp/', '', 'nodeIntegration=1'); else require( "chi
Web開発者が恐らく知らない、SSLについて知っておくべきこと | POSTD
2015年、Web開発者は以前よりもSSLに関する理解を深めています。そうしたWeb開発者たちがHacker Newsを読むなら知っておくべきことを以下に挙げてみます。 ドメイン認証（DV）証明書は Let’s Encrypt から無料で取得することが可能。 拡張認証（EV）証明書 は CertSimple かいくつかのチェックののちの支払いで取得することが可能。これが我々のやり方。 Mozilla SSL Config Generator を使用すれば、サポートしたいブラウザに対して、サーバを可能な限り安全に設定することが可能。 完了後に SSL Labs を使って全てをチェックし、A評価獲得を確認しましょう。そうでなければ人に小言を言われます。 その他はどうでしょうか。我々の顧客から寄せられる最も多い質問について、回答を紹介していきましょう。 1. Chromeで”古い暗号スイート”を
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSHへの不正アクセス対処はログイン制限で十分なのでしょうか？
脆弱性は誰のせい? �PHP、MySQL、Joomla! の責任やいかに
実は危ない、パスワードの定期変更 - 日本経済新聞
Expired
国内初の“POSマルウェア”被害確認か、ホテルチェーンのハイアット、東京・箱根など国内4ホテルで感染の疑い、クレジットカード情報が漏えい 
.vvvでお馴染みのランサムウェアの動きを調べてたら無力化できたっぽい
