武田圭史 » 国政選挙における電子投票の脆弱性
１０月３１日に奈良県で開催された情報処理学会コンピュータセキュリティシンポジウム（CSS2007）にておいて、現在の電子投票において悪意を持つ関係者が容易に選挙結果を操作できる可能性があることを指摘した。 この内容については日経IT Proが以下のように報じている。 ■高リスクの脅威が3つ–どうする日本の電子投票（日経IT Pro, 11/13） http://itpro.nikkeibp.co.jp/article/OPINION/20071113/286974/?ST=govtech その後、12月7日に開催された衆議院の特別委員会で、国政選挙への電子投票の適用をめぐり民主党逢坂誠二委員が我々の論文を引用して問題提起をしているが、実効性のある具体的な対策は示されぬまま、11日には衆議院本会議を通過した模様だ。 ■第168回国会 政治倫理の確立及び公職選挙法改正に関する特別委員会 第2号
進化するバイオメトリクス――（３）静脈認証 / SAFETY JAPAN [製品ナビ] / 日経BP社
静脈認証が一般に知られるようになったのは2004年10月、東京三菱銀行（現三菱東京UFJ銀行）が非接触型手のひら静脈認証システムをATM（現金自動預け払い機）に採用して以降であろう。それから3年が過ぎた現在、静脈認証はPCログインシステム、入退室管理システム、勤怠管理システムをはじめ、多方面で利用されるようになった。最近ではマウスや自動車のハンドルにまで搭載され、より身近な生体認証システムへと進化しつつある。ただし、世界的にみると生体認証全体に占める静脈認証の割合はまだ少ない。それは伝統的に指紋認証が採用されてきたからだが、このところ海外でも静脈認証を採用するケースが増えつつある。静脈認証の有効性を世界が認め始めたのだ。 文／日高 俊明 2007年12月05日 （１）はこちら >> （２）はこちら >> （４）はこちら >> （５）はこちら >> 世界が認め始めた静脈認証
進化するバイオメトリクス――（２）指紋認証 / SAFETY JAPAN [製品ナビ] / 日経BP社
指紋認証は「バイオメトリクス」（生体認証）の中で最も普及しており、日本でも世界でも全体の6割前後を占める。それだけに技術革新も盛んで、最新のものでは誤認率が1000万回に1回以下という極めて高精度の照合技術を実現している。こうした技術進化を背景に利用分野も拡大しており、警察や司法関連での捜査、ハイセキュリティを要求されるエリアでの入退室管理、電子決済承認、管理端末の利用制限などから、サービス業などでの本人確認システムや勤怠管理システムなどまで多種多様だ。従来、指紋認証は水に弱い、あるいは、偽造指への対応が不十分といった指摘もなされてきたが、それらへの防御を実現したとする技術も登場するなど、進化を続けている。 文／日高 俊明 2007年11月28日 （１）はこちら >> （３）はこちら >> （４）はこちら >> （５）はこちら >> 指紋は「万人不同」で「終生不変」 な
進化するバイオメトリクス――（１）総論 / SAFETY JAPAN [製品ナビ] / 日経BP社
身体的特徴などを用いて本人認証を行う「バイオメトリクス」（生体認証）を採用する企業が増えている。生体認証はこれまで、官公庁や自治体、大手企業の工場や研究所など、ハイセキュリティを要求される限られた組織や部署で採用されてきた。だが最近は中堅中小企業、カラオケチェーンや居酒屋チェーン、エステサロンなどでも採用されるようになった。適用分野も入退室管理システムに代表される物理セキュリティ（アクセスコントロール）のみならず、PCログインシステムを初めとする情報セキュリティから、勤怠管理システム、電子決済システムなどへと拡がっている。生体認証は新たな進化の時を迎えつつある。そこで今回から5回連載で生体認証の技術や市場の動向を探る。第1回目の今回は、生体認証の技術と市場を概観する。 文／日高 俊明 2007年11月21日 （２）はこちら >> （３）はこちら >> （４）はこちら >>
セキュリティ担当者必見か：C'est la vie：オルタナティブ・ブログ
ハリウッド映画らしいスリリングな泥棒のテクニック、あれらは本当に可能なのかを検証する話（ネタバレがあるので番組で見たい人は読まないでください）。 前も紹介したテレビ番組を再び登場させて恐縮だが、なかなか面白かったので紹介してしまおう。ディスカバリーチャンネルの「Mythbusters（邦題：怪しい伝説）」の最新エピソードで「映画の中の盗みの技１」があった。 通気口やビル、垂直に立つ壁を磁石や吸盤で上れるか？。これがやってみると「音」という別問題が浮上してしまう。目立たない場所を通ろうとしても、音で気付かれてしまいかねないということが分かった。現実の世界で響きわたる轟音は映画の泥棒が活躍するシーンのかっこよさが叩き壊されてしまうほどだ。まさしく音を立てて。 あと宝物がある部屋にレーザーを張り巡らせるセキュリティシステム。実際には可視光のレーザーでそんなことをするシステムはないそうだ。そこでレ
高木浩光＠自宅の日記 - 米国の複数のRFIDクレジットカードに欠陥：暗号処理なしにカード情報が読み取られ、傍受されるほか、リプレイ攻撃も可能
■ 米国の複数のRFIDクレジットカードに欠陥：暗号処理なしにカード情報が読み取られ、傍受されるほか、リプレイ攻撃も可能 Vulnerabilities in First-Generation RFID-Enabled Credit Cards, RFID-CUSP, October 23, 2006 Video demonstration QuickTime, YouTube Thomas S. Heydt-Benjamin, Daniel V. Bailey, Kevin Fu, Ari Juels, and Tom O'Hare, Vulnerabilities in First-Generation RFID-enabled Credit Cards Privacy Pitfalls in No-Swipe Credit Cards, Slashdot, October 23, 2
IE7 によるファイルアップロード時のフルパスの送信 - 葉っぱ日記
Internet Explorer 6 では、<input type="file"> を使用してファイルのアップロードを行うときに、ファイル名をフルパスで送信するため、マイドキュメントなどに置かれてるファイルをアップロードすると、ログインユーザ名がサーバ側に漏洩するという問題がありました*1。 例えば、マイドキュメントに置かれているファイルを送信した場合、IEから送られるリクエストは以下のようになります(抜粋)。 POST /upload.cgi HTTP/1.1 Content-Type: multipart/form-data; boundary=---------------------------7d611f24420292 User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.432
Wordの「変更履歴」機能を使用して、政府関連資料の秘密を暴く方法:ブラインドスポット - CNET Japan
Wordの「変更履歴」機能を使用して、政府関連資料の秘密を暴く方法 公開日時： 2006/07/30 11:13 著者： voluntas オライリーが最近出版した「インターネットフォレンジック」にメタデータについての記述がある。 中でも興味深かったのは、Wordの「変更履歴」についての個所。イギリス政府のイラク戦争に関する資料をはじめとして、政府がWordの変更履歴を削除せずに公開した例がいくつかあるという。 そこで、googleで政府関連のWordファイルを検索して、変更履歴が残っているファイルを探してみた。クエリは、 site:go.jp filetype:doc 北朝鮮 すると、検索結果の中から下記のファイルが見つかった。 大量破壊兵器の不拡散のための今後の安全保障 ファイルを開くと、パスワードがかかっているので、「読み取り専用」で開く。 一見すると、普通のdocファイル
オルタナティブな暗号開発 - 半可思惟
検索の方では国産の次世代検索・解析技術の開発が必要であるとして「情報大航海プロジェクト・コンソーシアム」が設立されたりしていますが、同じような論点が暗号にも起きえます。日本は独自に暗号開発はすべきでしょうか？*1 米国政府標準暗号は無償で利用できます。しかもそれは世界中で使われているので、相互接続性の観点からも経済的観点からも日本独自の暗号開発または標準化努力はやめて米国の技術を使えば良いのではないかというという意見も散見されます。 この意見に対する私の考えを簡潔に言いますと、世界標準化努力はしなくても良いけれど日本独自の暗号開発は継続するべきということになります。その理由は２つ考えられます。 まず第一の理由は、合衆国政府標準暗号に合衆国政府用の「裏口」が開いているかもしれないという危惧です。仮にそうだとすると日本としての利益を損なう恐れがあります。 この理由は一見、陰謀説に基づいているよ
[鏡] しっぽのさきっちょ 2006年06月 -- Spiegel's Trunk: ☆ 知らぬは国許ばかりなり？
del.icio.us の便利な使い方 ありゃ， 私のところもチェックされているのか。 確かに私のブックマークは（見る人によっては）かなりノイズが多いからな。 私のところで比較的マメにブックマークしているのは spiegel/Astronomy spiegel/Security くらいか。 暗号関係に興味のある方は spiegel/Cryptography あたりがいいかもしれない。 （spiegel/Security とダブルことが多いんだけどね） 知財関係もブックマークしてるけど， それほどマメではない。 タグでいうなら spiegel/Intellectual_Property あたりかな。 「そんなくそ真面目な記事はいらんねん。 もっと面白おかしいのはないんか」 という方は spiegel/Fun あたりをどうぞ。 ついでに私の場合だが， 方針としてはノイズを多めにしてでもなるべく
英国政府、暗号キーの開示を強制する法律の発効に向け準備--専門家からは反発の声も
英国政府は、企業や個人に暗号キーを強制的に開示させる権限を同国の警察に与える準備を進めているが、一部のセキュリティや人権の専門家はその動きに強く反発している。 問題となっているのは、捜査権限規制法（Regulation of Investigatory Powers Act：RIPA）第3章に規定されている内容だ。RIPAは2000年に導入されたが、英国政府は第3章の発効を留保していた。しかし、同法の施行後5年が経過した今、英内務省は第3章が定める権力を行使したいと考えている。 一部のセキュリティ専門家からは、RIPA第3章が施行されれば、無実の人々が犯罪者扱いされたり、企業の英国離れを加速させるといった事態を招きかねないとの懸念の声が上がっている。しかし、協議プロセスに着手したばかりの内務省は、最近は犯罪者、小児愛者、テロリストによる暗号化技術の使用が増えており、その対策を講じるために第
Kazuho@Cybozu Labs: 秘密鍵を後置している MAC の危険性
« Hash ≠ MAC | メイン | はてな認証 API への攻撃シナリオ » 2006年05月08日 秘密鍵を後置している MAC の危険性 先のエントリについて、結城さんが『「Hash ≠ MAC」の意味』に、まとめてくださっています。ありがとうございます。 16:37 追記: すいません。注1 の仮定が現実的でないように思います。よって、以下は成り立たないの攻撃は現時点では難しいかと。バイナリデータなら、TLV の L を、コリジョンデータの値が異なるところに着地させる可能なのかも。 ついでに、秘密鍵が後置されている場合のリスクについても考えていたのですが、 ハッシュ関数の衝突例が知られている 毎回選択平文攻撃が可能 ゴミデータの挿入が可能 (これは前置型と同等の条件) の３条件がすべて満たされている場合は、危険なんじゃないでしょうか。 というのは、同じハッシュ値をもつ "[ゴミ
2006-05-07
あなたが10の理由を示すべき10の理由。 「7の理由」ではパターン化しすぎているから。 9では少なすぎ、11では切りが悪いから。 体系的に広い視野で考えているように見てもらえるから。 なんだかんだいって10個くらいの理由は思いつくから。 10個も示せば一つくらいは「なるほど」と言ってもらえるから。 10個も示せば一度には読みにくいためブックマークしてもらえるから。 10個も示せば時間経過とともにランキング変動も調査できるから。 10位から発表していけば「1位は何だろう」と盛り上げられるから。 タイトルで「10の理由」と書いておいても、実際に10個も示す必要なんてないから。 ※流行ものらしいので、書いてみました。 はてな認証APIに関連して、kazuhoさんが以下のエントリを書いておられます。(via まちゅダイアリー) Re: はてな認証 API Hash ≠ MAC これは「秘密鍵をメッ
norah'# : 脆弱性と悪意ある拡張機能を一緒にするな!!
norah'# - "You do your job. If you get results and people thank you for it, so much the better" norahmodel.exblog.jp トップ | ログイン Mozilla Party JP 7.0 で「悪意ある拡張機能を作ってみた」というセッションがあるらしい。ただこのセッションのスピーカーは悪意ある拡張機能と拡張機能の脆弱性を混同している節がある。これはまったく別物だし TBE を世に出しておいて今更「悪意ある拡張機能を作ってみた」は無いだろ。もちろん TBE は単体で使えば素晴らしい拡張機能だよ。 つまりこう考えていただきたい。悪意ある拡張機能と言うのはその拡張機能を作った人間の意図やメンタリティーの問題であって、脆弱性のような技術的な問題ではない。どんな OS にしてもプログラミン
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
増大する電子マネーへの情報セキュリティー脅威【コラム】 ビジネス-最新ニュース:IT-PLUS
lucanian.net
http://www.iwsec.org/program.html
Cryptology ePrint Archive 2006/187 - J. Kim, A. Biryukov, B. Preneel, S. Hong "On the Security of HMAC and NMAC Based on HAVAL, MD4, MD5, SHA-0 and SHA-1."
Firefox拡張のセキュリティモデルを考える - 森小路の雑把日記
IACR Online Proceedings