ナンバープレートから自動車のエンジンを始動できる脆弱性、発見
Malwarebytesは9月27日(米国時間)、「Millions of Kia vehicles were vulnerable to remote attacks with just a license plate number｜Malwarebytes」において、起亜(KIA)が2013年以降に製造したほぼすべての自動車に脆弱性が存在したと報じた。この脆弱性を悪用されると、自動車の主要な機能を遠隔操作される可能性がある。 Millions of Kia vehicles were vulnerable to remote attacks with just a license plate number｜Malwarebytes 脆弱性の概要 この脆弱性はセキュリティ研究者のSam Curry氏によって発見された。脆弱性の詳細はSam Curry氏のWebページ「Hacking Ki
LINE公式アカウントにおけるアカウント乗っ取りに関するお知らせとお願い｜LINEヤフー株式会社
このたび、LINE公式アカウントなどの利用に必要なLINEビジネスIDの一部において、第三者（以下、攻撃者）の不正ログインによるアカウントの乗っ取りが発生いたしました。その結果、被害にあったLINEビジネスIDに紐づくLINE公式アカウントを友だち追加しているユーザーにおいて、攻撃者から当該のLINE公式アカウントとのやり取りの一部が閲覧されたり、不審なメッセージが送付されたりしたことを確認いたしました。 本件の概要とアカウントの乗っ取りへの対応策について、下記のとおりご報告いたします。 なお、現時点で判明している不正ログインの被害にあったLINEビジネスIDにつきましては、ログインセッションの無効化（強制的なログアウト措置）およびパスワードの初期化を実施しております。 また、アカウントの乗っ取りによる影響のあったユーザーの皆さま、および不正ログインの被害にあったLINEビジネスID・LI
Android 14 (Credential Manager) におけるパスキー対応が面倒すぎる
Life with Web Browser Engine (Gecko, WebKit and etc), Mobile and etc. DroidKaigiにココらへんの話をしようと思って、CfP書いたけど落ちたので、自分用の覚書。 Firefox (GeckoView) AndroidでCredentail Managerの対応を入れたのが、GeckoViewとしてはバイナリサイズを大きくしたくないため、JetPackを一切使わずにCredential Manager経由でWebAuthn対応を行うコードをJavaでスクラッチで書いた。おそらくJavaでスクラッチで書いたのはChromeとGeckoViewだけだし、おそらくこの2つの製品以外でスクラッチ実装がされることは今後もないと思う。 しかもGeckoViewはWebブラウザエンジンなわけだから、いろんなWebサイトで実行可能な
docomoやNTTと関わることは人生の無駄である
NTTドコモ「dアカウント」一から作り直した方がいいのでは docomoやNTT系列のこの手のアカウント周りの仕様や管理画面の使いづらさは異常なので，可能な限りNTT系列のサービス，docomo系列のサービスと契約をしないことが人生の時間を浪費しないためのベストプラクティスである。 ただ，どうしても契約しなければならないパターンもある。例えば，フレッツ光しかマンションに引き込んでいないだとか，dアニメストアのような囲い込みの激しいOTTサービスと契約しないとアニメが見られないとか，やむにやまれぬ事情でこれらを使う必要が出てくる場合もある。 その場合，NTT側，docomo側に一切の要求をしないように気をつけなければならない。彼らに何一つ期待してはならない。 何しろ，彼らは基本的に自分は悪くないという言い訳のために仕事をしている。それが最大のモチベーションである。彼らは公務員のように上役から
毎日新聞 富山県内での配送を9月末で休止へ 全国初 | NHK
毎日新聞社は印刷費と輸送費の増大や富山県内での発行部数の減少により、富山県内での新聞の配送をことし9月末で休止すると発表しました。配送を休止するのは富山県が全国で初めてだということです。 これは毎日新聞社が17日の朝刊の北陸版で発表したもので、ことし9月末で富山県内での配送を休止するとしています。 毎日新聞社によりますと、全国の都道府県で配送を休止するのは富山県が初めてだということです。 富山県内では大阪の工場で印刷した新聞を輸送してきて、販売店を通じ、各家庭や店頭などに配送していますが、印刷費や輸送費の負担が増していることに加え、県内での発行部数が減少傾向にあることから休止を決めたとしています。 これにより富山県内では毎日新聞は販売されなくなりますが、申し込めば郵送で翌日以降に購読することが可能だということです。 一方、富山県内での取材体制は維持するとしていて、毎日新聞社は「これからも富
KADOKAWA系のネット高校「R高」が25年に開校へ、記者会見に夏野社長は登壇せず
記者会見には角川ドワンゴ学園の理事を務める川上量生氏も参加。サイバー攻撃の影響について「KADOKAWAグループのネットワークと学園のネットワークは別物であり、（サイバー攻撃による）直接の影響は基本的にない」（川上氏）と説明した。 ただし、ドワンゴが提供する学習サービス「N予備校」はログイン時に「ニコニコID」で認証する仕組みだったため、一時的に利用できなくなった。現在はニコニコIDに関する処理を切り離し、N高グループの生徒は学籍番号を使ったログインが可能となっている。学籍番号を持たないユーザーはニコニコID以外のログイン手段がなく、利用できない状況が続いているという。 R高は「N高等学校」「S高等学校」に次ぐN高グループ3校目として、2025年4月に群馬県桐生市で開校予定。今回のサイバー攻撃がR高のシステム設計へもたらす影響はないという。山中理事長は「サイバー攻撃に抵抗力のあるシステムを
楽天モバイルで「身に覚えのないeSIM再発行」の危険性 緩すぎる2つのプロセスは改善すべき
楽天モバイルで「身に覚えのないeSIM再発行」の危険性 緩すぎる2つのプロセスは改善すべき：石野純也のMobile Eye（1/3 ページ） 楽天モバイルは、4月23日にあるお知らせをWebサイトに掲載した。タイトルは、「【重要】身に覚えのないeSIMの再発行にご注意ください」。ユーザー自身が気付かない間に、eSIMを再発行され、楽天モバイルの回線を乗っ取られてしまった事例があり、それに対する注意喚起を行った格好だ。悪意のある第三者がSIMカードやeSIMの情報を盗み取る犯罪は「SIMスワップ」や「SIMハイジャック」などと呼ばれることがあり、世界各国で問題視されている。 こうした事例に対し、楽天モバイルはユーザーにIDのメールアドレスからの変更や、他のサービスとのパスワードの使い回しをやめるよう案内している。ただ、これで本当に十分な対応といえるのだろうか。モバイル回線は単に電話やデータ通
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
LINEヤフーが情報管理｢不祥事｣を繰り返す真因
コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕
xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 | gihyo.jp
Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ
XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
基本から理解するJWTとJWT認証の仕組み | 豆蔵デベロッパーサイト
これは、豆蔵デベロッパーサイトアドベントカレンダー2022第8日目の記事です。 JSON Web Token(JWT)の単語を目にすることがよくあると思いますが、それと一緒に認証と認可や、RSAの署名や暗号化、そしてOpenIDConnectやOAuth2.0までと難しそうな用語とセットで説明されることも多いため、JWTって難しいなぁと思われがちです。しかし、JWT自体はシンプルで分かりやすいものです。そこで今回は素のJWTの説明からJWS、そしてJWT(JWS)を使った認証を段階的に説明していきます。 おな、この記事はJWT全体の仕組みや使い方の理解を目的としているため、以下の説明は行いません。 RSAやHMACなど暗号化やアルゴリズムの細かい説明 JWTを暗号化するJWEとJSONの暗号鍵表現のJWKについて OpenIDConnectとOAuth2.0について 記事は上記のような内容
中国当局が、ゲームライセンス承認を一気に進める。ゲーム規制強化表明により中国系ゲーム企業株価が急落したことを懸念か - AUTOMATON
中国のメディアやゲーム産業を管轄する国家新聞出版署は12月25日、新たに105の国内ゲームライセンスを認可したことを発表した。中国メディア新華社通信などが報じている。中国においては、ゲームを正式発売あるいはマネタイズするためには、中国政府からゲームライセンス（版号）を受けなければならない。実質的なゲーム発売許可システムである。この政府によるゲームライセンス承認は急に止まることもあれば、全然進まないことももっぱら。一方で、最近になりゲームライセンス承認がいきなり進んだようだ。 発端となったのは、中国政府が掲げたゲーム規制だ。国家新聞出版署は12月22日、「网络游戏管理办法（オンラインゲーム管理弁法）」の草案を公表し、1月22日まで一般の意見を募るとした（関連記事）。このオンラインゲーム管理弁法は、中国国内で展開されているオンラインゲームに対して、さまざまな観点より管理をおこない、ユーザーの心
Oktaで大量の顧客情報漏洩、カスタマーサポート管理システムへの不正アクセス
米Okta（オクタ）は2023年11月28日（米国時間）、同社のカスタマーサポート管理システムが9月から10月に受けた不正アクセスについて情報を更新した。当初は全体の1％未満のユーザー企業の情報が漏洩したとしていたが、今回、一部を除くほとんどのユーザー企業の情報が漏洩したことを確認したと発表した。 攻撃者は、オクタのIDaaS（アイデンティティー・アズ・ア・サービス）製品である「Workforce Identity Cloud」と「Customer Identity Solution」においてユーザー企業向けに提供しているカスタマーサポート管理システム「Okta Help Center」に不正アクセスした。Okta Help Centerは、主にユーザー企業のシステム管理者が使用するものだ。 攻撃者はシステムが備えるリポート機能を使って、オクタの顧客データを盗み出した。盗み出されたデータに
多要素認証を私物スマホでやっていいのか問題
Hello,World! gonowayです。 弊社がご支援するお客様とお話するなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログインから守るために多要素認証が必須になってきている。 多要素認証の実現のため、会社モバイル端末であれ私物モバイル端末であれ認証アプリはインストールしてほしい。 私物モバイル端末にインストールしてもらう場合、エンドユーザーへの説明を行うことが必要。また、ガラケーしか持っていないような例外措置への対処を考えることも必要。 前提 認証要素について 認証要素は下記の3種類です。NIST SP800-63を参考にしています。 記憶によるもの：記憶(Something you know
Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature / Mediumの独自ドメインプランを使って訪問者のメールアドレスが窃取できる脆弱性の開示
0_medium_vuln_en.md Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature Author: mala Introduction This article describes a vulnerability in a web service called Medium that allows you to steal visitors' e-mail addresses by using custom domain plan of Medium. This is done as my personal activity and is not related to my organization.
なぜ普及？懸念の声は？“インド版マイナンバー”とは | NHK | ビジネス特集
14億を超える人たちが暮らすインド。その国民の9割以上が登録しているのが、12桁の個人識別番号システムです。いわば“インド版マイナンバー”とも呼べるこの制度の普及を受けて、インドではさまざまなITサービスが広がったと言われています。ほかの新興国も参考にし始めているというこのシステム。どのような制度なのか？懸念の声は出なかったのか？現地で取材しました。（アジア総局 チーフプロデューサー 内田敢/記者 影圭太） 客はスマートフォンをかざして自分の銀行口座から直接、店側に支払う仕組みで、この数年で普及が急速に進んだと言います。 こうした決済サービスの土台になっているのが、すべての国民が個人IDを持つことができる「アーダール」というシステムです。 “インド版マイナンバー”とも呼べるこの制度、一人ひとりに12桁の番号が割りふられ、名前や住所、生年月日、性別が登録されます。 また、顔写真や、指紋、目の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「X Pro」（TweetDeck）を使うとアカウントがロック ～エレコム公式アカウントも被害【18:35追記】／投稿、いいね、リポスト（リツイート）などの操作で発生する模様
Netflixが狙う「放送から配信」第2章【西田宗千佳のイマトミライ】
システム開発・運用「韓国依存」、ＬＩＮＥの情報漏洩…元親会社に委託
