Chrome 85、AndroidでもSecure DNSが順次利用可能に | スラド セキュリティ
Googleは2日、Chrome 85でSecure DNSをAndroid版Chromeでも利用可能にする計画を示した(Chromium Blogの記事、 Ghacksの記事、 Android Policeの記事)。 Secure DNSはDNS-over-HTTPS(DoH)プロトコルを利用するもので、デスクトップ版ではChrome 83から順次導入されている。Android版でも同様に順次導入されていき、デフォルトでは現在使用しているDNSプロバイダーがDoHをサポートしていれば自動で切り替えられる。自動モードの場合は状況に応じて通常のDNSにフォールバックし、定期的にDoHでの接続を試みるという。フォールバックなしでSecure DNSを使用するには、DNSプロバイダーをマニュアル設定するオプションを選択すればいい。Secure DNS自体をオフにすることも可能だ。
プライベートを月20万で買うことを募集した企業、複数の応募者のメールアドレスをCCに入れて落選連絡メールを送信し漏洩させる | スラド セキュリティ
manmos曰く、 先日「自宅にカメラを設置して1ヶ月間私生活を撮影される対価として13万2,930円が支給されるという実験、被験者募集中」という話題があったが、この実験を主催する企業が応募者にメールで連絡を行う際、誤って複数のメールアドレスをCCに入れて送信、受信者が他の応募者のメールアドレスを知ることができる状態になってしまったそうだ（プレスリリース）。 ま、お金出せば納得するでしょうが。むしろ当選した人が、この後、戦々恐々かもしれない。
自動更新によって突如マルウェア化する人気Chrome拡張 | スラド セキュリティ
ユーザー数5万人、平均レビュー評価が星4つの人気Chrome拡張「HTTP Headers」が、最近のアップデートで突然マルウェア化し、ビットコインを盗まれそうになったという興味深い話が出ている（「clock-up-blog」ブログ）。 「HTTP headers」はその名の通りHTTPヘッダーを閲覧する開発者向けのChrome拡張で、ユーザー数や評価も高く、レビューも10月26日の最新アップデートまでは特に何事もないごく普通のアプリだったようである。が、記事によると、29日に取引所からセッションハイジャックに起因するとみられるビットコイン不正送金の連絡があり、それから数日後に不審な通信を行っているChrome拡張があることを発見。調査の結果、画像ファイルに埋め込まれている謎のコードを実行しているという限りなく黒と思われる状況証拠に辿り着いたとのこと。 現状では状況証拠しか残っておらず、こ
Apex Legendsのチート対策、チーター同士を戦わせる | スラド セキュリティ
headless曰く、 バトルロイヤルゲーム「Apex Legends」ではチート対策の一つとして、検出したチーターやスパマー同士をマッチメイキングしているそうだ（Redditのスレッド、The Next Web、PC Gamer）。 このチート対策は、開発元Respawn Entertainmentのコミュニティーマネージャー、Jay Frechette氏（jayfresh_Respawn）がRedditで更新情報とともに明らかにしたものだ。このほかのチート対策としては、機械学習によりチーターを検出・自動ブロックする行動モデルの開発、特定の地域でリスクの高いアカウントに対する二要素認証の必須化、新しいスパムアカウントを使われる前に特定・ブロックする機能の強化、新しいチートへの対応、パーティーがどのように組まれているかの調査（チーターとパーティーを組んだ場合はチートしていなくてもチーターと
違法コピーに悩まされる美少女ゲームメーカー、「世界最高レベル」のコピープロテクト実装へ | スラド セキュリティ
美少女ゲームメーカーあかべぇそふとつぅが、強力なコピープロテクトを同社製ゲームに導入することが話題になっている（おたぽる）。 同社ゲームに限らず、PC向け美少女ゲーム分野では違法コピーが蔓延しており、同社が1月29日に発売したゲームは同社社長が「今度実装するプロテクトは、割られないと思います」と述べていたにも関わらず、その2日後には違法コピーがされていたという。そこで、現在最高レベルというコピープロテクト技術「Denuvo」を導入することに決めたそうだ。Denuvoは2014年に発売された「Dragon Age: Inquisition」というゲームに採用され、ハッカー集団がこのプロテクトを解除するのに1か月間を費やしたことが話題になった（AUTOMATON）。さらに、2015年11月末に発売されたDenuvo採用タイトル「Just Cause 3」の場合、プロテクトを解除したというハッカ
楽天がアプリストアを開設するも、「提供元不明のアプリ」を常に許可する設定の危険性が指摘される | スラド セキュリティ
「楽天アプリ市場」の野良APKファイル（rapps.apk）を http（暗号化無し）でダウンロードさせている時点で、セキュリティのことを何も考えていないのがバレバレです。 暗号化無しで配信されていることの確認方法は、下記の通り。 楽天アプリ市場 [rakuten.co.jp] にアクセスする。ブラウザの幅を小さくする（ブラウザ幅で「パソコン」か「スマホ」かを判定するレスポンシブデザインのため）。「アプリをダウンロードする」というボタンが表示されるので、右クリックして、リンクアドレスをコピーする。リンク先が「http://apps.rakuten.co.jp/download/rapps.apk」と「https://」ではなく「http://」で始まっていることが分かる。（なお、手動で「http://」の部分を「https://」に書き換えれば、https通信でダウンロード可能なようですが
ITR 改正文書、日米欧をはじめとする 55 ヶ国が署名拒否 | スラド セキュリティ
総務省は 15 日、国際電気通信規則 (ITR) の改正文書への署名を見送ったと発表した (総務省の報道資料、INTERNET Watch の記事より) 。 ロシアやアラブ諸国など世界 89 ヶ国がこの文書に署名した一方、日米欧の各国をはじめとする 55 ヶ国が署名を拒否したとのこと。改正部分の主なところは「セキュリティ対策、スパム対策に関する規定の追加」「携帯電話の国際ローミング料金に関する規定の追加」「ITU (国際電気通信連合) のインターネットに対する取り組みの強化」の 3 点。 署名拒否の理由セキュリティ対策の規定についてで、セキュリティの解釈があいまいであり、国家によるネットワークの検閲・切断の根拠となってしまう可能性が懸念されるためとしている。日本は「物理的な障害の回避を目的としたものに限定すべき」と主張。当初案より規制色は薄められることとなったが、コンテンツ規制や検閲・遮断
Adobeのセキュリティチーム、誤ってPGP秘密鍵をブログで公開 | スラド セキュリティ
AdobeのProduct Security Incident Response Team(PSIRT)がPGP公開鍵とともに、誤ってPGP秘密鍵をブログへ投稿するトラブルが発生していたそうだ(Juho Nurminen氏のツイート、 Ars Technicaの記事、 The Registerの記事)。 PGP鍵はブラウザー拡張機能「Mailvelope」を使用してPSIRTのWebメールアカウントからエクスポートしたものとみられる。Mailvelopeのエクスポート画面では「Public」「Private」「All」という選択肢があり、ここで「All」を選択してしまったようだ。発見者のJuho Nurminen氏は、このPGP鍵がPSIRTの電子メールアドレスに関連付けられていたことも確認している。 なお、その後ブログ記事は更新され、現在はGPGToolsから直接出力した新しいPGP公開
シマンテック曰く、「ウイルス対策ソフトウェアはもう死んでいる」 | スラド セキュリティ
シマンテック曰く「ウイルス対策ソフトウェアはもう死んでいる」とのこと（TechWeek、slashdot）。 現在のウイルス対策ソフトウェアでは攻撃の55%程度しか防げないのが現状であり、これからのセキュリティ戦略は侵入された場合でもデータが失われるのを防いだり情報の漏洩や流出を防ぐことが中心となっていくという。シマンテックは収益の4割をウイルス対策ソフトウェアから得る世界最大のセキュリティ企業であるが、今後ウイルス対策ソフトウェアから多大な利益が生まれることはなく、「防御」よりも「検知し対応する」策へと成長の軸はシフトするという。 ただ、単純な攻撃や小さな攻撃などに対する一つの防御壁としてウイルス対策ソフトウェアが存続し続けると見る専門家もいるとのことだ。
SafeDiscやSecuROMといったDRM、Vista～8.1でもデフォルトでは動作しなくなっていた | スラド セキュリティ
Windows 10ではSafeDiscやSecuROMといったDRM技術が採用されたゲームタイトルが動作しないことが以前話題となったが、これらはWindows Vista/7/8/8.1でも動作しなくなっているようだ（MicrosoftのKB3086255、Neowin）。 SafeDiscやSecuROMが使用するのはMacrovisionの「secdrv.sys」というセキュリティードライバーで、Windowsに標準で収録されている。しかし、Microsoftのグラフィックスコンポーネントで発見された脆弱性（MS15-097）の修正にともない、secdrvドライバーのサービスを無効化するセキュリティ更新プログラム「KB3086255」が9月の月例更新で配布されたため、SafeDiscやSecuROMを使用するゲームタイトルが動作しなくなっているとのこと。 KB3086255がインスト
Chrome 45のセキュリティ改善により、開けないサイトが現れる(更新) | スラド セキュリティ
Chrome 45ではセキュリティ改善のため、クライアントサイドでのTLS 1.0へのフォールバックが廃止されたため、HTTPS経由で繋がらないサイトが現れている(ただしHTTP経由で開けるものは多い)。 これは、バギーなサーバーが、仕様に反してTLS 1.0よりも新しいClientHelloを無視するために起こるもので、Chromeは「SSL サーバーが古い可能性があります。」というエラーメッセージを表示する。 ざっと確認したところ、 ヤマト運輸のクロネコメンバーズ、 ミスタードーナツ、 ダスキン、 出版社共同ネット、 競輪、 J-CASTの東京バーゲンマニア、 神奈川県教育委員会ネットワークシステム、 東京学芸大学、 太平洋フェリー などがHTTPS経由で開けないようだ。 編注: タレこみにあった日本自動車連盟、UCカード、UR都市機構については、他のWebブラウザーでも正常にアクセス
総務省が「パスワードを定期的に変更する」とのセキュリティ対策を推奨したことが議論に | スラド セキュリティ
総務省が12月18日に『リスト型アカウントハッキングによる不正ログインへの対応方策について（サイト管理者などインターネットサービス提供事業者向け対策集）』という資料を公開した。流出したユーザーID/パスワードのリストを使って複数のサイトに対しログインを試みるというタイプの攻撃が最近増えていることから、これに対する対策方法を紹介するというものだが、ここで対策の1つに「パスワードの有効期間設定」が紹介されている点が議論になっている（セキュリティ研究者高木浩光氏のTweet、セキュリティ研究者徳丸浩氏のTweet、Togetterまとめ）。 パスワードの定期的変更がセキュリティの向上にどれだけ意味があるのかについては、たびたび徳丸浩氏がまとめている（パスワードの定期的変更に関する徳丸の意見まとめ、パスワードの定期的変更について徳丸さんに聞いてみた(1)、パスワードの定期的変更について徳丸さんに聞
米政府機関でシスコ製品の偽物が多数発見、FBIが捜査 | スラド セキュリティ
米政府機関(空軍、海兵隊、連邦航空局など)に、中国製と見られるシスコ（CISCO）製品の偽物が多数納品され、ネットワーク障害や火災などの事故が起こっていた。FBIが捜査に乗り出している。 本家でもストーリになっているが、話題の発端は、FBI PowerPoint presentationの記事で、PPTのプレゼンテーションファイルも閲覧できる。この資料中で参照しているUsedCisco.comの記事では偽物と本物を区別する方法が写真入りでまとまっている。CISCO製品の偽物は以前から出回っていて、偽物リストなども存在する。
Evernoteも不正アクセスを受ける | スラド セキュリティ
Evernoteは同社のシステムがサイバー攻撃を受け、侵入者がユーザー情報にアクセスしたことを明らかにした(Evernote日本語版ブログの記事、 CNET Japanの記事、 本家/.)。 侵入者がアクセスしたユーザー情報にはユーザー名、登録したメールアドレス、暗号化されたパスワードなどが含まれる。Evernoteでは強固なパスワード暗号化を使用しているが、万全を期すため全ユーザーのパスワードを再設定することにしたという。なお、ユーザーが保存したコンテンツにアクセスされた形跡はなく、有償ユーザーの決済情報にアクセスされた形跡もないとしている。詳細についてはEvernote日本語版ブログに掲載されているほか、すべてのユーザーに同内容のメールが送信されるとのことだ。
Unlha32.dll等開発停止、LHA書庫の使用中止呼びかけ - Claybird の日記
今日ではほとんどのウイルス対策ソフトが書庫ファイルに対しウイルスチェックを行う機能を備えているが、多くのウイルス対策ソフトで「LZH書庫ファイルのヘッダー部分に細工を施すことでウイルスチェックを回避できる」という脆弱性が存在するとのこと（LZH書庫のヘッダー処理における脆弱性について）。 Micco氏はこれをJVN（Japan Vulnerability Note、JPCERTおよびIPAが共同運営する脆弱性情報集積サイト）に報告したところ、「不受理」となったそうだ。ZIPや7z形式の書庫にも同様の問題があるものの、そちらは「脆弱性」として受理されているとのこと。Micco氏曰く、 「ベンダー， JVN / IPA 等共に『LZH 書庫なんて知らねぇ～よ』という態度から変わることはない」と判断できましたので， UNLHA32.DLL， UNARJ32.DLL， LHMelt の開発を中止す
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「ペニスによる生体認証」を導入したアダルトチャットサービス | スラド セキュリティ