note、Internet Archiveで保存できなくなる、古いドメインはブロック | スラド セキュリティ
Internet Archiveからnote関連のキャッシュがまるごと消えてしまったそうだ（5ちゃんねるの書き込み）。新たな登録もできないという。noteの以前のドメインであるnote.muに関しても完全にブロックされているとのこと。 5ちゃんねるのInternet Archive総合スレの書き込みによると、8月上旬まではnote.comドメインのキャッシュが共有されていたという。8月に発生したnoteのIPアドレス流出事故の後に対処されたのではないかとしている。実際にnote.comのrobots.txtを見るとInternet Archiveとウェブ魚拓のクロールを拒否する記述がされている。 あるAnonymous Coward 曰く、
パソコンの電源鳴きから4096ビットのRSA秘密鍵が解析される | スラド セキュリティ
イスラエル・テルアビブ大学の研究チームが、GnuPGが暗号文を処理する際に変化するパソコンの「電源鳴き」を取り込んで処理することで、4096ビットのRSA秘密鍵を1時間以内に解析できたそうだ(RSA Key Extraction via Low-Bandwidth Acoustic Cryptanalysis、 論文PDF、 Hack a Dayの記事、 本家/.)。 多くのCPUでは与える命令や結果によって消費電力、発熱、発するノイズなどが変化し、これを観察することで実行中の命令やデータを外部から推測することができる(サイドチャネル攻撃と呼ばれる)。通常この攻撃はスマートカードや小さなセキュリティチップなどに対して行われるが、このチームでは過去に処理するRSAキーによってPCの発する音が変化することを発見していた。 今回の実験では主に高感度マイクを標的PCの排気口に向け、アンプやデータ収
GPGPUによる分散トリップ検索サービス「Meriken's Tripcode Yggdrasil」 | スラド セキュリティ
「トリップ」は2ちゃんねる等の匿名掲示板で、個人情報を保存せずに書き込みの本人証明をするための仕組みです。トリップは「キー」と呼ばれるパスワードのハッシュ値を計算することによって作成されるランダムな文字列ですが、「トリップ検索」を行うことによって、自分の好みの見た目のトリップを作成することができます。 トリップ検索は長い間個人のPCで行われてきましたが、Meriken's Tripcode YggdrasilはBOINCのようにインターネット上の複数のPCのCPUやGPUを利用してトリップ検索を実現しています。参加台数は最大で35台、検索速度は最大で22G hash/s（SHA-1）、もしくは1.0G c/s（DES crypt(3)）と、なかなか面白い結果が出ています。 このサービスでは分散トリップ検索に参加しなくてもトリップ検索を依頼することができます。分散トリップ検索に参加したい方は
お安い GPU で強固なパスワードも用無しに | スラド セキュリティ
大文字小文字に数字をまぶしたパスワードはブルートフォースアタックに対して強固であると言えるだろうか。強固であるとお考えの方はご再考を (ZDNet の記事、本家 /. 記事より) 。 PC Pro Blog の記事にて、GPU を用いたパスワードクラックツール ighashgpu とお安い GPU (1 〜 2 万円で購入できる RADEON HD 5770) の組み合わせで総当たり試行を行った結果が掲載されている。CPU を用いた場合、1 秒間に 980 万パターンの試行が可能であり、5 文字の NTLM ログインパスワードは 24 秒で突破された。一方 GPU では 1 秒間に 33 億パターンほど。パスワードを 6 文字にすると CPU では突破に 90 分ほど要したが、GPU ではたったの 4 秒。7 文字になると CPU では 4 日間かかったが、GPU では 17.5 秒で突破
ソニー・PSN への攻撃には Amazon のクラウドサービスが使われていた ? | スラド セキュリティ
ソニーの PlayStation Network (PSN) への攻撃には Amazon のクラウドサービスが使われていたのこと (Bloomberg の記事より) 。 攻撃者は偽名で Amazon EC2 を利用して PSN への攻撃を行ったと、とある匿名の関係者が述べたそうだ。すでに攻撃に使用されたアカウントは停止されているとのこと。攻撃者は Amazon 上のサーバーを攻撃して乗っ取って PSN の攻撃に用いたというものではなく、企業が利用するように正式な手順で (ただし偽の情報を利用して) サインアップして EC2 を使用したそうだ。 今後はこのようなサイバー犯罪にクラウドサービスが用いられることも増えるのかもしれない。クラウドサービス提供側も、身元確認などのセキュリティ対策強化が必要とされそうだ。
国際テロ対策に絡む公安資料100点以上がウィニーに流出 | スラド セキュリティ
既に旧聞に属するかもしれないが、警視庁公安部の内部資料等114点がウィニーに流出した（読売新聞の記事、朝日新聞の記事、産經新聞の記事など）。内容的には「国際テロ」に絡んだ極秘文書で、警視庁公安部外事３課が動向を探っている外国人のリストの他、「協力者に育成するまでの心得」、在日米軍の爆発物処理研修や、関東地方の国際テロ担当者を集めた会議の内容なども含まれる。大半はどうやら今年５月2日から4日の夜間や未明にPDFに変換されており、ルクセンブルグのサーバを介して、10月28日夜から29日夜にかけて放出されていた。ウイルスや、私的な文書が含まれていない事も、意図的な文書収集と意図的な放流を裏付ける。公安部から情報が流出した事は、信用失墜も甚だしく、外国情報機関からの情報提供にも影響を与える。なお、警視庁は文書が本物であるかどうかは明言しない方針のようだ。
陳情内容を晒した都議会議員のウェブサイトが炎上 | スラド セキュリティ
東京都の青少年健全育成条例の改正に絡んで漫画家の陳情を受けた都議会議員が、陳情内容を晒したことで炎上している。 炎上しているのは自民党都議・三原將嗣氏のサイトで、条例改正が成立した15日に「陳列規制は当然」というタイトルで活動レポートを更新しているのだが・・・ たくさんの「条例改正反対」の意見が私に寄せられたが、目玉は次の方である。 竹下登元首相の孫と称される女性の方だったが、自らも漫画を書くので、「規制強化はしないでほしい」とのことだった。私は最後に「おじいちゃん（竹下元首相）に、過激な漫画をみせたらなんと言うだろうね。おじいちゃんに怒られないかどうか、自己判断して書いてよ」と申し上げておいた。 竹下登元首相の孫娘の漫画家といえば、影木栄貴のコトだと解る人も少なくなかろう。個人の陳情内容を、その個人が特定できる形で、しかも「目玉」呼ばわりして晒したことで、氏のサイトのコメント欄は直後から
ビックカメラ.com、ユーザーのパスワードをリセットしてサービス再開。しかしパスワードの変更は不可 | スラド セキュリティ
不正アクセスによりユーザー情報が流出、そのためサイトを一時閉鎖していた通販サイトビックカメラ.comが、サービスを再開した。しかし、アカウントを登録していたユーザーに対しては安全性確保のためパスワードのリセットが行われ、新パスワードがメールで送られてきたのだが、そのパスワードでログインした後にパスワードの変更が行えないという、常識では考えられない運用になっている。 会員メニューによると、 下記の個人情報表示に制限を設けています。 段階的に、制限の解除を行っていく予定になっております。（現時点では未定です） ご不便をおかけしますが、ご了承くださいませ。 万一、情報の変更が必要の場合、当社サポートセンターにご相談をよろしくお願いします。 [制限事項] 「登録内容の変更」：ご利用いただけません。 「パスワードの変更」：ご利用いただけません。 「住所録」：ニックネームのみの表示／変更・削除不可（追
生パスワードを平文メールで送ってくる企業 | スラド セキュリティ
はてなの AnonymousDiary で「平文メールにパスワードを書いて送ってくる糞企業一覧」というエントリーが話題になっている。 曰く、リクナビで JR 東海にエントリーしたところ、「○○様 ID: 12345678 パスワード: mypassword こんにちは ! JR 東海人事部です。」というメールが到着したのだそうだ。しかも、定期的にパスワードがメールで送られてきたとのこと。 同様のサイトは他にもあって、いくつもの大企業の名前が挙っている。こういうのはどうにか無くせないものだろうか。
Android、複数の人気アプリケーションで無断情報送信を確認 | スラド セキュリティ
人気のAndroidアプリケーション30個のうち半分がGPSデータやユーザ情報を広告主やリモートサーバなどに提供していることが分かったそうだ（Fast Company、本家/.）。 この調査研究を行ったのは、TaintDroidというアプリケーションを開発したペンシルバニア州立大学を中心とした複数の大学からなる研究チーム。TaintDroidは端末上の他のアプリケーションが送信しているデータをトラックすることが出来るアプリケーションである。 研究（PDF）によるとAndroidのアクセスコントロールは粗く、慎重に扱うべきデータがサードパーティから十分に保護されてないとのこと。調査対象となった30のアプリケーションのうち50%はGPSデータを広告のリモートサーバに送っていたという。7つのアプリケーションはユニークなIDを振っており、端末を特定できる可能性もあったとのこと。また権利を侵害するよ
Windows の全バージョンに危険な脆弱性が見つかる | スラド セキュリティ
USB メモリを差し込んだり、ブラウザ経由で WebDAV を表示したり、Microsoft Office などの埋め込みショートカットに対応したファイルを表示するだけで感染してしまう可能性のある危険な脆弱性が見つかった (CVE-2010-2568、RBB TODAY の記事、エフセキュアブログの記事) 。この脆弱性は Windows ショートカット (*.lnk) に存在するため、AutoRun/AutoPlay を切るだけでは回避できない。Windows の全バージョンで影響を受ける。 この脆弱性を利用したワームの「Stuxnet」が既にイランやインドネシア、インドを中心として広がっている (security-jounral の記事)。このワームは公共インフラにも使われる SCADA (産業制御システム) をターゲットとしており、このワームに含まれるルートキットは適切にデジタル署名さ
Unlha32.dll等開発停止、LHA書庫の使用中止呼びかけ - Claybird の日記
今日ではほとんどのウイルス対策ソフトが書庫ファイルに対しウイルスチェックを行う機能を備えているが、多くのウイルス対策ソフトで「LZH書庫ファイルのヘッダー部分に細工を施すことでウイルスチェックを回避できる」という脆弱性が存在するとのこと（LZH書庫のヘッダー処理における脆弱性について）。 Micco氏はこれをJVN（Japan Vulnerability Note、JPCERTおよびIPAが共同運営する脆弱性情報集積サイト）に報告したところ、「不受理」となったそうだ。ZIPや7z形式の書庫にも同様の問題があるものの、そちらは「脆弱性」として受理されているとのこと。Micco氏曰く、 「ベンダー， JVN / IPA 等共に『LZH 書庫なんて知らねぇ～よ』という態度から変わることはない」と判断できましたので， UNLHA32.DLL， UNARJ32.DLL， LHMelt の開発を中止す
オバマ大統領の Twitter アカウント、ハックされる | スラド セキュリティ
オバマ大統領の Twitter アカウントをハックしたとして、フランス人男性が逮捕されたそうだ (AFPBB News の記事、Wall Street Journal の記事、本家 /. 記事より) 。 仏警察と FBI との合同捜査によって逮捕されたのは「Hacker Croll (ハッカークロール)」というハンドルネームを使う、自宅で両親と同居している 24 歳のフランス人男性。この男性、パスワード再発行のための「秘密の質問」の回答をサイトに掲載されている情報から推測し、パスワードを突きとめていたそうだ。男性がターゲットにしていたのは Twitter だけでなく Facebook などの SNS や Gmail アカウントなども含まれているとのこと。 Twitter のオバマ大統領のアカウントを使った「なりすまし投稿」などは行われておらず、自身のサイトに証拠としてスクリーンショットを掲
どこかでみたような「アメーバなう」、即CSRFの餌食に | スラド セキュリティ
「アメーバブログ」や「スラドでも話題になった男の子牧場」など、ある意味話題の企業、サイバーエージェントはどこかで見たようなサービスである「アメーバなうをリリース」した。 しかし、セキュリティ対策の不備によりmixiでもおなじみのはまちや２氏によるCSRF(Cross Site Request Forgeries)の餌食になった模様だ。現在は脆弱性は解消されているとのこと。 この手のWebアプリケーションでのテストソリューションをサイバーエージェントで持って/行っていなかったのか気になるところ。なおデスブログでおなじみ ひがしはらさんもこのサービスを早速使用されている模様だ。
「Flash cookie」によるトラッキングが密かに行われている | スラド セキュリティ
ストーリー by hayakawa 2009年08月16日 11時02分 Silverlightとかはどうなんでしょう？ 部門より IT mediaの記事によると、「Flash cookie」を使ってネット上のユーザーの行動を追跡し続けるサイトが増えているという。米カリフォルニア大学バークリー校などの研究チームが発表した論文によると、QuantCastによるランキングでトップ100にあるサイトを調査対象とし、このうち54のサイトで「Flash cookie」による情報の保存がなされていたらしい。 この「Flash cookie」はローカル共有オブジェクトと呼ばれているもので、通常のcookieとは異なりブラウザのセキュリティ設定ではコントロールできない。これについて設定するには、Flash Player設定マネージャを使用する必要がある。研究チームが大手サイトに対し「Flash cooki
Mac版Photoshopの海賊版にトロイの木馬が仕込まれる | スラド セキュリティ
ストーリー by hylom 2009年01月29日 15時50分 もちろん海賊版はもってのほかですが、 部門より トロイの木馬が仕込まれたMac版Photoshopの海賊版が、BitTorrentや海賊版配布サイトなどで配布されているようだ。詳細はInternet Watchなどにまとめられているが、インストール時にトロイの木馬を/var/tmp以下にインストールするとのこと。 また、似たようなトロイの木馬が仕込まれたiWork '09の海賊版も配布されているとのこと。 Macといえば以前「セキュリティに強い」という印象を与えるようなCMが話題にもなったが、Macユーザーは決して「Macだから大丈夫」と過信せず、不審なアプリケーションは実行しないなど気を付けて欲しい。
日本初、被害者宅に直接侵入して PC ウイルスを仕掛ける | スラド セキュリティ
ストーリー by reo 2009年01月28日 10時30分 social-crack-cyber-robbing 部門より 容疑者が被害者宅に直接侵入してパソコンにウイルスを仕掛け、銀行のネット口座から約 900 万円を詐取した疑いのある事件が明らかとなった。個人情報を盗むのにネットカフェの PC にキーロガーを仕込んだりフィッシングサイトを用いた手法はこれまでもあったが、自宅用 PC に直接ウイルスを仕掛けた手口は初めてとのこと (産経ニュースの記事, asahi.com の記事より) 。 被害者は郵便受けに鍵を隠していて、容疑者はこれを使って室内に侵入したらしい。仕掛けられたウイルスはバグベアと呼ばれるもので、ウイルス活動としてはシステム改変、セキュリティソフトのプロセス終了、 バックドアの作成などが挙げられている。
写真から家の鍵を複製するシステム | スラド セキュリティ
ストーリー by hylom 2008年10月31日 21時27分 Google Earthが超高解像度化したら危険に！ 部門より 実物なしに、写真から家の鍵を複製するシステムが米カリフォルニア大学サンディエゴ大校の研究チームによって開発された（ニュースリリース・本家記事）。一部の専門家は高解像度の写真から鍵を複製する技術を持っているそうだが、今回開発されたシステムでは携帯電話で撮影した写真や、200m離れた場所から望遠レンズを使って撮影した写真などからも複製を作ることができる。 米国の住居でよく使われているタイプの鍵は等間隔に５～６個の切り込みが入っていることが多く、このシステムではどのような角度から撮影された写真でも、ほぼ全てのケースで鍵の切り込みの深さを割り出すことができ、切り込みの深さと鍵のメーカーの基本情報を組み合わせることで複製を作るという仕組みだ。 とりあえず鍵はポケットにし
おすすめのウイルス対策ソフトは？ | スラド セキュリティ
今年も各メーカーがウイルス対策ソフトのアップデートを行っています。今までは「ウイルス対策ソフトを導入するとPCが重くなる」などと言われていますが、今年のアップデートではさらなる多機能化を図ったり、メモリの使用量を削減、「動作が軽くなった」といった改良点をウリにしているソフトが増えたように思います。 いっぽう、ユーザーに無断で使用期限の更新を行って更新料を請求する、といった問題も聞かれたり、また実際に使ってみないと使い勝手が分からない、ということもあり、なかなかどの対策ソフトを選べばよいか、判断に困っている人も多いのではないでしょうか。 本家/.でも話題になっていますが、/.Jユーザーがおすすめするウイルス対策ソフトはどれでしょうか？
一般的な環境で10秒でWEPを解読できる手法が登場 | スラド セキュリティ
CSS2008(コンピュータセキュリティシンポジウム2008)において、無線LANの暗号化方式であるWEPを瞬時にして解読するアルゴリズムが神戸大学の森井昌克教授から発表された。諸般の事情によって解読プログラムの公開はひかえているものの、近々公開予定とのこと。 以前からWEPを解読できる手段は存在していたが、普通の環境では解読が難しかった。ところが、今回は特殊な環境も要らないようだ。 森井教授のWebサイトで公開されている発表資料によると、以前/.でも話題になった「104ビットWEPを1分少々で破る」方法はARPリインジェクションという攻撃を組み合わせることで高速化を行っており、攻撃を検知してブロックすることが可能であった。 今回森井教授らが提案した手法では、既存の複数の暗号推測アルゴリズムを組み合わせることで高速化を図っており、任意のIPパケットから鍵の導出が可能。検証用のプログラムはC
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
