SHA-1衝突攻撃がついに現実に、Google発表 90日後にコード公開
GoogleはSHA-1ハッシュが同じでコンテンツが異なる2つのPDFも公表した。90日後には、こうしたPDFを生成するためのコードを公開するとも予告している。 Webブラウザのセキュリティ対策など幅広い用途に使われてきたハッシュアルゴリズムの「SHA-1」について、米Googleは2月23日、理論上の可能性が指摘されていたSHA-1衝突を初めて成功させたと発表した。これでSHA-256やSHA-3のような、安全な暗号ハッシュへの移行を急ぐ必要性がこれまで以上に高まったと強調している。 SHA-1を巡っては、脆弱性を悪用される危険性が高まったことを受け、主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止を進めている。 Googleはオランダ・アムステルダムのCWI Instituteと2年がかりで共同研究を実施。Googleの技術とクラウドインフラを駆使して大規模な演算処理を行い、S
【Unity】UnityでAES暗号を使うアセット AesEncryptor - テラシュールブログ
何やら暗号化の話でTLが盛り上がってたので、すこしAssetStoreを探した処、面白いアセットが見つかりました。 AES Encryptor 機能は凄い単純で、AvoEx.AesEncryptor.Encryptで暗号化、 AvoEx.AesEncryptor.Decryptで復号化です。 string orgText = "コナン君しめやかに爆発四散"; // 暗号化 string encText = AvoEx.AesEncryptor.Encrypt(orgText); Debug.Log("encText = " + encText); // 復号化 string decText = AvoEx.AesEncryptor.Decrypt(encText); Debug.Log("decText = " + decText); IV（Initial Vector：初期ベクトル）を使
AndroidでLINEのメッセージ内容を盗み取るマルウェアを発見 - Lookout
Lookoutは7月2日、メッセージングアプリ「LINE」からデータを搾取する新たなモバイル脅威を確認したと発表した。 見つかった脅威は「AndroRATIntern」と呼ばれる監視ウェアの一種。国内のAndroid搭載のスマートフォンを標的としており、端末が感染した場合、ユーザーがLINEを起動してメッセージを開いたときに画面上のメッセージのやり取りを盗み取られる。 Androidの仕様では、セキュリティ上などの理由からアプリが他アプリからデータを取り出すことは原則禁止となっている。そのため、実際に取り出そうとすると、Androidアプリケーション・サンドボックスによってブロックされる。 AndroRATInternはOSからのブロックを防ぐために、Androidが搭載するユーザー補助機能を悪用した。ユーザー補助機能は、身体の不自由なユーザーなどが操作しやすいようにサポートするためのもの
パソコンの発する電磁波をAMラジオで受信してRSA秘密鍵などを解析 | スラド セキュリティ
これまでパソコンの電源鳴きや電位の揺らぎを利用してRSA秘密鍵などの解析に成功しているイスラエル・テルアビブ大学の研究チームが、市販のAMラジオを使用したサイドチャネル攻撃でRSA秘密鍵およびElGamal秘密鍵の読み取りに成功していたそうだ(研究チームによる解説記事、 論文: PDF、 The Registerの記事)。 研究チームでは、GnuPGで復号を実行する際、パソコンが発する電磁波の周波数が変動し、1.5～2MHzのFM波として受信可能な点に注目。そこで、USB接続のSDR(ソフトウェア無線)受信機ドングルとループアンテナ、ノートパソコンを組み合わせてターゲットの秘密鍵解析を試みたところ、3072ビットElGamal秘密鍵と4096ビットRSA秘密鍵をそれぞれ数秒で取得できたという。また、SDRドングルとループアンテナ、OSをDebianに変更したAndroid TVドングルを使
公開鍵暗号と電子署名の基礎知識 - Qiita
とくに、英語の decryption を日本語でなんと呼ぶかは人によってまちまちです。 復号 と呼んでいる人もいるのですが、復号は decode の訳語として使いたいので、このエントリでは 平文化 を使います。 公開鍵暗号とは 玄関の鍵は閉めるときも開けるときも同じ鍵を使います。金庫の鍵も普通はそうです。では 金庫に貴重品を詰めて送ってもらう時はどうでしょう? 金庫を閉める鍵と開ける鍵が同じだと、金庫にものを詰めてもらう相手にその鍵を渡す必要があります。その鍵を郵送で送ろうとしたら、途中で誰かに見られて複製を作られてしまうかもしれません。大事なものを送るために鍵をかけようとしているのに、同じ労力をかけて鍵を受け渡さなければいけないとなると本末転倒です。 これは、暗号通信でも同じことが言えます。 そこで、暗号通信において 閉めることしかできない鍵 と 開けることしかできない鍵 のペアを使うこ
まさかの誤爆！LINE乗っ取り犯が“台本”を送信、その全文を公開 - 週刊アスキー
嘘のような本当の話。 編集部記者の知人宛てに、LINE乗っ取り犯からやり取りに使用する台本が送られてきたとのこと。本来、購入してほしい商品の写真を説明として相手に送信するつもりが、間違ってやり取りに使用する台本を添付したものだと思われます。 そのファイルの中には日本語と中国語の対応表のような例文が並べられ、「すみません、ちょっといいですか。」からはじまり、コンビニで指定した金券を購入するよう指示した内容になっています。なんと画像にして19枚分！ あらゆるパターンに対応できるよう工夫されているのがわかります。 以下は、今回送られてきた台本の内容すべてになります。このようなメッセージが届いたときは注意しましょう。また、以前にLINEアカウントが乗っ取られたときの対処法を紹介しているので、もし乗っ取られてしまった際は参考にしてみてください。
AWSアカウント作ったらこれだけはやっとけ！IAMユーザーとAuthyを使ったMFAで2段階認証 - Qiita
AWSアカウントを安全に運用したいなら最低限これだけはやっとけというTIPSです。 0.AWSのアカウントの種類 AWSアカウントを作ったときには、AWSのrootアカウントしか存在していません。 このままだと「メールアドレス」「パスワード」で「AWSリソースの操作が何でも」できてしまいます。 そこで管理コンソールへのログインはMFA(Multi-Factor Authentication)を利用したうえで、root以外にIAM Userというアカウントを作成し、限定した権限で利用することが強く推奨されています。 rootアカウント：AWSアカウント作成時に作成される何でもできるユーザー IAMユーザー：権限を限定して設定できるユーザー 1.Authyのセットアップ 2段階認証を導入するためにハードウェア型のMFAデバイスか、ソフトウェア型のVirtual MFAが使用可能です。今回はVi
iOS 8から「1Password」が指紋認証に対応、Twitterなどのログインも簡単に
「iOS 8」から実装される新しいアプリ連携機能の「App Extension」では、サードパーティ製のアプリがTouch ID(指紋認証機能)を使えるようになるなど、さらなるiOSアプリの充実が期待されています。パスワード管理アプリの「1Password for iOS」の提供元であるAgileBitsは、早くもTouch IDによるログインなどが可能になる「1Password Extension」を完成させています。 Introducing the 1Password App Extension for iOS 8 apps | Agile Blog http://blog.agilebits.com/2014/07/30/introducing-the-1password-app-extension-for-ios-8-apps/ 指紋認証を使って1PasswordからID・パスワー
妻に公開鍵暗号を教えてみた - 西尾泰和のはてなダイアリー
何気なく放送大学をつけていたら公開鍵暗号の話をしていた。 妻「この話、何度聞いてもわかんないのよね」 僕「え、どこがわからない？どこまではわかってる？」 妻「平文はわかるけど、鍵を共有するとか秘密にするとか、署名するとかがよくわからない」 僕「あー、鍵に例えているのが逆効果なのか」 「鍵」をNGワードに指定 僕「じゃあ『鍵』という言葉を使わずに説明してみよう。暗号って『平文を暗号文に変換する方法』で伝えたい文章を暗号文に変えて送り、受け取った人はそれに『暗号文を平文に戻す方法』を使って元の文章を得るわけだ。その目的は、途中の通信文が敵に取られたりしても通信の内容がバレないようにするため。」 妻「うん」 僕「昔の暗号化の方法は、片方の方法がわかるともう片方の方法も分かった。例えば『アルファベットを後ろに1個ずつずらすと平文に戻せます』って教えてもらったら、『なるほど、前に1個ずつずらせば暗号
お客さま情報のお取り扱いについて / 2014年7月23日 ニュースリリース｜CCC カルチュア・コンビニエンス・クラブ株式会社
いつもTSUTAYAレンタルやTポイントなど、T会員向けサービスをご利用いただきありがとうございます。 当社は、お客さまよりお預かりした情報を、何よりも大切な情報として厳重に取り扱っております。 そのため、お客さまのお名前やご住所など個人が特定できる情報を、一般企業はもちろんのこと、Tポイントアライアンス企業へも直接、提供することは一切ありません。 また、当社からお送りするダイレクトメールやEメールなどは、当社名義でT会員の皆さまのみにご案内をしておりますので、どうぞご安心ください。 今後とも、お客さまに便利で楽しくご利用いただくためのサービス向上と、お客さまへの安心をお届けしてまいります。 カルチュア・コンビニエンス・クラブ株式会社
GitHubユーザーのSSH鍵6万個を調べてみた - hnwの日記
（2015/1/30 追記）時期は不明ですが、現時点のgithub.comはEd25519鍵にも対応しています。 （2016/5/31 追記）「GitHubにバグ報告して賞金$500を頂いた話」で紹介した通り、既に弱い鍵はGitHubから削除され、新規登録もできなくなっています。 GitHub APIを利用して、GitHubの31661アカウントに登録されているSSH公開鍵64404個を取得してみました。抽出方法*1が適当すぎて偏りがあるような気もしますが、面白い結果が得られたと思うのでまとめてみます。 SSH鍵の種類 鍵の種類 個数 割合 RSA鍵 61749 (95.88%) DSA鍵 2647 (4.11%) ECDSA鍵 8 (0.01%) 約6万個の鍵のうち、8個だけECDSA（楕円DSA）鍵が見つかりました！常用しているのか試しに登録してみただけなのかはわかりませんが、何にせよ
FacebookがOpenIDを殺すか : ねこの足跡 Revenge
自社サービスをfacebookログインへ対応する流れが徐々に増えています。 なぜならみんなfacebook使っているから。facebookにログインしてさえいれば、他のサイトへのログインも簡単にできちゃう。しかもIDとパスワードは一つだけ覚えればOK。 サイト側もユーザーの個人情報やfacebook上での様々な操作権限も得ることができる。これまでみたいに自分のところで個人情報を管理する必要はなくなるし、OpenIDでたくさんの認証局に対応するための苦労もなくなる。 うは、良いことづくめじゃないですか！ そんなわけで今後数年をかけてOpenIDは死に絶え、facebookによるログイン認証へと統一されるのではないかというお話です。 OpenIDに至るまでの話し ～ OpenID/Zero ※知ってる人,結論を知りたい人は次の項まで読み飛ばしてOKです。 Webサイト(アプリ)を開発していて常
パスワードが漏洩しないウェブアプリの作り方 〜 ソルトつきハッシュで満足する前に考えるべきこと
■■序論 徳丸さんのスライド「いまさら聞けないパスワードの取り扱い方」に見られるように、昨今、ウェブアプリケーションの設計要件として、サーバ内に侵入された場合でもユーザーのパスワードをできるだけ保護すべきという論調が見受けられるようになってきました。 上掲のスライドでは、その手法としてソルトつきハッシュ化を勧めています。しかしながらスライドに書かれているとおり、ソルトつきハッシュには、複雑なパスワードの解読は困難になるものの、単純なパスワードを設定してしまっているユーザーのパスワードについては十分な保護を提供できないという問題があります。そして、多くのユーザーは適切なパスワード運用ができない、というのが悲しい現実です。 ソルトつきハッシュを使った手法でこのような問題が残るのは、ウェブアプリケーションサーバに侵入した攻撃者がユーザーの認証情報をダウンロードして、認証情報をオフライン攻撃するこ
ウイルス情報 ：警視庁
以下は、遠隔操作ウイルス「iesys.exe」が、「livedoorしたらば掲示板」を介して犯人から受け取るコマンドやその関数名等、ウイルスに関するデータの一部です。 これらウイルスに関する情報を詳細に公開することが、有力な情報提供の促進に資すると考えられることから、この度、以下の情報を公開します。 以上のような、ウイルスの特徴等を参考に、 ・このような特徴を持つウイルスを過去に作成した人や団体を知っている。 ・このウイルスを作成した者を知っている。 など、どんな些細（ささい）なことでも結構ですので メール： goudousousa@keishicho.jp 電 話： 03-5472-4229 まで情報をお寄せください。 備考：上記の情報は、合同捜査本部において、特定の手法により分析した結果ですので、別の手法を用いた場合には、細かい点について異なる場合があります。
全国共有電話帳事件鳥取ループ第二回尋問
ChaMiu @Chamiu_IT Sophosから全国共有電話帳について、次のように返信あり。 The sample file is detected as Andr/PonSer-A. 2013-01-20 18:13:58 鳥取ループ@示現舎 @tottoriloop @WhitehackerZ1 では、答えましょうか？ 全国共有電話帳は、日本の個人情報保護制度や、機密管理、ソフトウェア規制の枠組みのバカバカしさを如実に表現したものです。 2013-01-20 18:45:02 鳥取ループ@示現舎 @tottoriloop @WhitehackerZ1 電話帳の７６万件のデータが、ネットエージェント等に不正アクセスされて抜かれてしまいましたが、あれでいくら損害が出たでしょうか。 一方、高木浩光氏みたいな規制派は、社会に負担を強いています。確実に。 2013-01-20 18:46:5
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Node.js のセキュリティの話
れいさの本当に目が覚めるPHP - Togetterまとめ
Androidの深刻な脆弱性が発表されましたが、実はそれが見つかったのは1年以上前だったという話(山本一郎) - 個人 - Yahoo!ニュース
sakedrink.info
全国共有電話帳事件鳥取ループ第一回尋問
