#faq
Key Reinstallation Attacks Breaking WPA2 by forcing nonce reuse Discovered by Mathy Vanhoef of imec-DistriNet, KU Leuven, 2017 Introduction We discovered serious weaknesses in WPA2, a protocol that secures all modern protected Wi-Fi networks. An attacker within range of a victim can exploit these weaknesses using key reinstallation attacks (KRACKs). Concretely, attackers can use this novel attack
指静脈からブロックチェーンの秘密鍵を生成する技術、日立が開発
生体情報から生成した電子署名をブロックチェーンの取引記録に付与できる技術を日立が開発。セキュアな取引を実現するという。 日立製作所（日立）は10月5日、生体情報から電子署名を生成する同社独自の「公開型生体認証基盤（PBI）」技術をブロックチェーン上の取引で利用できるようにする「PBI-ブロックチェーン連携技術」を開発したと発表した。 ブロックチェーンでは、取引情報に付与される公開鍵暗号技術に基づく電子署名によって取引の信頼性が担保されるが、ユーザーが電子署名を生成するための秘密鍵を紛失、漏えいすると、なりすましによる不正取引などの被害に遭うリスクもある。そのため、秘密鍵をICカードやサーバ上に格納し、IDやパスワード、生体認証などでアクセス可能にするといった、秘密鍵の安全な管理と確実な本人確認が課題となっている。 今回、代表的なブロックチェーン基盤である「Hyperledger Fabri
Make: Japan | Raspberry Piを攻撃から守るための手順
2017.09.15 Raspberry Piを攻撃から守るための手順 Text by Justin Klein Keane and Tom Van de Wiele Translated by kanai Raspberry Piは、あらゆるプロジェクトに使える夢のボードだ。安くて、簡単に使えて、さまざまなOSに幅広く対応していて、プログラム可能なGPIOピンやマルチコアのCPUや複数のUSBポートも備えている。 何かを自動化したり情報を集めたりといったプロジェクトに非常に適しているRaspberry Piだが、気をつけていないと、その可愛いボードを使った簡単な趣味のプロジェクトが、ネットワークへの侵入口になるなどのセキュリティホールになってしまう恐れもある。Raspberry Piには、ARM Trustzoneと違ってセキュアブートの機能がない。SDカードやOSは簡単には暗号化できな
IoTデバイスのセキュリティ強化に向け、開発プラットフォームを採用
米Synopsysは、ビデオ監視システム大手の中国Dahua Technologyが、IoTデバイスとソリューションのセキュリティ強化に向けて、シノプシスの「ソフトウェア・インテグリティ・プラットフォーム」を採用したと発表した。 米Synopsys（シノプシス）は2017年6月15日、ビデオ監視システム大手の中国Dahua Technology（Dahua）が、IoT（モノのインターネット）デバイスとソリューションのセキュリティ強化に向けて、シノプシスの「ソフトウェア・インテグリティ・プラットフォーム」を採用したと発表した。 同プラットフォームは、さまざまな解析／テスト自動化技術を搭載した包括的な開発基盤で、ソフトウェアの質とセキュリティ向上のためのソリューションやサービスを提供する。ソフトウェア開発プロセスにシームレスに組み込むことができ、開発者は、品質に影響する欠陥やセキュリティの脆弱
HPのPCにキーロガー？ セキュリティ企業が指摘
全てのキー入力を記録したログファイルが、ユーザーにも読める状態で、Cドライブのフォルダ内に保存されているという。 スイスのセキュリティ企業modzeroは5月11日、HPのPC向けオーディオドライバに、入力内容を記録するキーロガーを見付けたと伝えた。 modzeroによると、問題のオーディオドライバは、半導体メーカーのConexantが開発したもので、HPのWebサイトでドライバパッケージとして提供されていた キーロガーは2015年の12月ごろからHPのコンピュータに存在していたことが判明。最新バージョンの1.0.0.46では、全てのキー入力を記録したログファイルが、Cドライブの「ユーザー」フォルダ内にある「パブリック」フォルダに「MicTray.log」の名称で保存され、ユーザーが読める状態になっているという。 このファイルはログインするたびに上書きされるが、プロセス実行やフォレンシック
全自動食器洗い機のHTTPサーバーにディレクトリトラバーサルの脆弱性 | スラド セキュリティ
ドイツの家電メーカーMiele（ミーレ）の業務用全自動食器洗い機のWebサーバー機能に、ディレクトリトラバーサルの脆弱性が発見された（Register、Seclist.org）。 問題が発見された製品はMiele Professional PG 8528という製品。大型の業務用製品で、ネットワーク接続機能や遠隔操作機能も搭載している。 脆弱性は昨年11月に発見され、Miele側に問い合わせが行われたものの、対応を行うかどうかの反応がなかったため3月23日付けで脆弱性が公開されたようだ。これによってハッシュ化されたパスワードが記録されたファイル（/etc/shadow）を外部から取得できるといった問題があるとのこと。 さすがに食器洗い機には機密情報は記録していないだろうし、外部から不特定多数がアクセスできるような環境にある食器洗い機も少ないとは思われるが、第三者によって食器洗い機が乗っ取られ
Windows 10／Windows Server 2016が最新のサイバー攻撃を防げるワケ
「旧車にはシートベルトとエアバッグが付いていませんが、それは“アーキテクチャの欠陥”ではありません」 日本マイクロソフトの蔵本雄一氏（マイクロソフトテクノロジーセンター セキュリティアーキテクト）は、よくこの例えを出すという。最新のOSは、最新のセキュリティリスクに備えた設計がなされており、防御力を向上する仕組みはもちろん、サイバー攻撃の被害を軽減するための仕組みも実装されている。 実際、マイクロソフトのWindows／Windows Serverも、古いバージョンは必ずしも最近のセキュリティリスクに耐えられるわけではないという。サイバー攻撃の手法は年々進化しているのだから、何年も前のOSで太刀打ちできないのは当たり前ということである。 一例を挙げれば、「Pass-the-Hash（PtH）」攻撃に対する耐性の問題がある。 PtHは、パスワードのハッシュ値を何らかの方法で盗み出し、悪用する
パスワードリセット・リンクが漏れていませんか？ | POSTD
セルフサービス・パスワードリセットは、多くのWebアプリケーションで共通部分になっています。通例、パスワードリセット・リンクはユーザにEメールで送られ、そこには、何らかの方法でユーザを識別する一意のトークンが含まれています。ユーザがリンクをクリックすることによって、そのユーザがそのアカウントに関連するEメールをアクセスできることが証明され、次にユーザは二段階認証を行います。この時点で、ユーザは新しいパスワードを入力するよう求められます。 もしも、ある攻撃者がそのパスワードリセット・リンクにアクセスできたなら、その攻撃者は、そのユーザとして認証を受けて新しいパスワードを入力することができるので、そのユーザのアカウントに自由にアクセスできるようになります。多くの場合、攻撃者はユーザのEメールへのアクセスを手に入れることによってこれを行いますが、最近私は 多くのアプリケーションがうかつにもパスワ
「Mirai」ソースコード徹底解剖－その仕組みと対策を探る
Miraiボットネットとは Miraiは、2016年9月13日夜、米国のセキュリティジャーナリストBrian Krebs氏のWebサイト「Krebs on Security」に対して行われた大規模なDDoS攻撃に使用されたとして話題になったボットネットです（関連記事）。Miraiは主にWebカメラやルーター、デジタルビデオレコーダーなどのIoTデバイスを踏み台としてDDoS攻撃を仕掛けます。 参考：セキュリティ用語事典：DDoS攻撃 攻撃を受けた後に投稿されたKrebs氏のブログ記事によれば、同サイトを保護していたAkamaiが、ピーク時にはそれまでに経験した最大規模の攻撃の2倍近いトラフィックを観測したそうです。 また、2016年10月21日にTwitterやNetflixなどが利用するDNSサービスへ行われたDDoS攻撃でも、Miraiボットネットが利用されていたのではないかと推定され
IIC、産業用IoTのセキュリティフレームワークを発表
Intelらが設立したIIC（Industrial Internet Consortium）が、産業向けIoT（IIoT）の開発に関するセキュリティフレームワークを発表した。IIoTは民生用IoTとはセキュリティ要件が異なるので、IIoTにフォーカスしたセキュリティフレームワークを作る必要があったと、専門家は述べる。 IIC（Industrial Internet Consortium）が、産業向けIoT（IIoT）の開発に関するセキュリティフレームワークの初期バージョンを発表した。このフレームワークは、IICが2015年に発表した「IIoT Reference Architecture（レファレンスアーキテクチャ）」への追加事項となる。今後、IIoTシステムの安全性の確立方法について、幅広い業界の合意を得られるような手順の開発に着手していくという。 最終的には、ただ単にセキュリティを追加
HDD（ハードディスク）の物理的破壊の現実的な方法 - セッピーナの趣味の天文計算
セッピーナの趣味の天文計算 Excelでできる天文計算とデジカメと小型望遠鏡による天体観測のブログです。 記事内容に関する変更履歴や正誤表は 「このブログの変更履歴・正誤表など」 http://seppina.cocolog-nifty.com/blog/version.html にありますのでExcelファイルを使われる方は必ずごらんください。 このブログにあるコンテンツは文章、画像、グラフ、Excelファイル、プログラムソース等すべて自由に引用あるいは再利用していただいてかまいません。 ただしお互いのオリジナリティーはたいせつにしていただきますようお願いします。 なおプロフィールにある画像は駒田京伽さん（https://pychanxx.wixsite.com/mysitexx1234）が提供されているものです。 使わなくなったHDDを手放すとき、みなさん中のデータが心配なようで（人に
エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
既存スイッチをフル活用する「分散型セキュリティ」というやり方
ブースは常に人だかり、注目集まるキャリアグレードの“セキュリティ” 2016年6月8〜10日、幕張メッセにて「Interop Tokyo 2016」が開催された。その中で、通信事業者やデータセンター事業者向けの100ギガビットイーサネット（GbE）対応のスイッチ「Apresia26004」の展示を行っていたのが日立金属だ。Interop初日、開場直後にブースに立ち寄ったところ、既に多くの来場者が熱心に説明に聞き入っていた。そのお目当ては、キャリアグレードのこのL2スイッチ上で「セキュリティ」を提供するというソリューションだ。 「DDoS攻撃」「内部からの攻撃」――通信キャリアを取りまく脅威の現状 インターネット上の脅威は減ることがない。2015〜2016年、日本国内でも相次いで金融機関や公共組織に対する「DDoS攻撃（Distributed Denial of Service Attack
PCの冷却ファンのノイズを利用してエアギャップ環境からデータを盗み出す「Fansmitter」 | スラド セキュリティ
イスラエル・ベングリオン大学のCyber Security Research Centerでは、PCの冷却ファンが発するノイズを利用してネットワークから物理的に隔離されたエアギャップ環境のPCからデータを盗み出す「Fansmitter」を実証を行っている(論文アブストラクト、 Softpediaの記事、 Hackadayの記事)。 エアギャップ環境のPCからデータを盗むサイドチャネル攻撃の技術としては、電磁波を使用するものが最も古くから研究されており、光や熱、音声を使用する方法も研究されている。音声を使用する方法は可聴域外の音に変調をかけてデータを乗せ、近くに置いた携帯電話などで収音・復調して攻撃者のサーバーに転送するといったものだ。そのため、エアギャップ環境ではオーディオハードウェアを無効化したり、スピーカーを取り外して使用することもある。ソフトウェアでコントロール可能な冷却ファンを利用
Flash Playerのバージョンを調べる
対象OS／ソフトウエア：Windows 7／Windows 8／Windows 8.1／Windows 10、Flash Player、Internet Explorer／Microsoft Edge／Google Chrome／Mozilla Firefox 解説 アドビシステムズのFlash Playerには、しばしば深刻な脆弱（ぜいじゃく）性が見つかる。もしインストール済みのFlash Playerに脆弱性が含まれていたら、それを解消した更新版にアップデートしなければならない。 そこで重要なのがFlash Playerのバージョン番号である。ある脆弱性が含まれるかどうか、そしてそれが解消されているかどうかは、以下のようにFlash Playerのバージョン情報で示されるからだ。 Flash Playerの脆弱（ぜいじゃく）性について報告しているWebページの例 これはJPCERTコー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NISC作成の初心者向け情報セキュリティ小冊子、各電子書籍ストアで無料配信がスタート【やじうまWatch】
端末初期化でも消せないAndroid向けマルウェア「Chrysaor」 〜Googleが注意を喚起
「2016年の10大セキュリティ事件」、マカフィーが公開
Unit 3: Cryptography
Hyper-V Access Denied