技術系メディアの日経クロステック (xTECH) が 4 日に公開した「偽サイトもアドレス欄に鍵マーク、証明書を確認してフィッシング詐欺を見抜こう」という記事が問題になっているので共有したい (はてなブックマーク)。 問題になっているのは、現代では SSL の有無だけで本物かどうか判断できないため証明書の種類を見るべきだとする以下のような記述。 このうち詐欺で悪用されるのがDV証明書。「Let's Encrypt」という認証局では無料で発行しており、フィッシング対策協議会によれば、一部の例外を除いて大半のフィッシングサイトでこの証明書が利用されているという。大手企業が利用するケースは考えにくい。ブラウザーの証明書ビューアーで、発行者が「Let's Encrypt」ならまず詐欺なので用心しよう。

問:下記のどちらが強力なパスワードですか?　という問題が出たようだ（しんやさんツイート、Togetter）。 1.「w6!j38?pa7J」 2.「CanYouCelebrate?」

Yahoo! JAPANはセキュリティ向上のため、「秘密の質問と答え」を2021年6月に廃止することを発表した(Yahoo! JAPAN IDガイド)。携帯電話番号もメールアドレスも登録していないアカウントはパスワードを忘れるとログインできなくなるため、登録を促している。 「秘密の質問」はかねてからスラドでは不評であったが、とくにYahoo! JAPANの「秘密の質問」は変更が不可能という致命的な問題を抱えていた。スラドの諸氏は「秘密の質問」を導入しているサイトをいくつ利用しているだろうか。

小説投稿サイト・小説家になろうで作品を公開していたポンポコ秋氏本人のtweetによると、知人の悪戯でアカウントが勝手に削除され、全ての作品が閲覧できなくなってしまったそうだ。経緯は、 1.飲み屋で知人と話すうち自分の小説の話になった 2.知人が読んでみたいという事になり、端末を渡した 3.知人が悪戯でアカウントを削除した ということらしい。 胸の悪くなるような話だが、皆さんはこういった事に対して何か対策はとっているだろうか。

ストーリー by hylom 2020年05月08日 19時06分 単なるツールの回答としては正しいがコンサルタントとしては…… 部門より 今年1月、三菱電機に対しサイバー攻撃が行われ情報が漏洩する事件が発生した（過去記事）。この事件についてはトレンドマイクロのセキュリティソフトの脆弱性が悪用されていたことも報じられているが、三菱電機のサイバー攻撃対策チームが攻撃を受けた際に見つかった不審なファイルをトレンドマイクロに送付して解析を依頼したところ、「異常なし」という回答を受けていたという話が報じられている（朝日新聞）。三菱電機の対策チームはこの回答を受け、独自に調査を行なった結果サイバー攻撃の痕跡を見つけ、情報漏洩が明らかになったそうだ。 問題の不審なファイルの正体はWindowsのコンポーネントの1つである「powershell.exe」だったとのことで、特に改変などもされていなかったこ

セキュリティ研究家のブルース・シュナイアー氏によると、ここ1、2年で「インターネットの根幹を担う企業の攻撃耐性を探るような動き」が活発化しているという（シュナイアー氏のブログ）。 最近の攻撃の特徴は、これまでの典型的なDDoS攻撃よりも強力かつ長時間であるとともに、徐々に攻撃を強めていって、どこまで耐えられるか調査しているかのような挙動を見せる点だという。その帯域の太さと精密さから、背後には大きな国家がいるのではないかと想像されている。 攻撃方法も、同時に複数の箇所に攻撃を行い、それらへの対応速度が計測されているように見えるという。VeriSignのDDoS傾向レポートも、「2016年の第二四半期は攻撃がより頻繁かつ長期的かつ複雑になっている」と報告している。こうした規模と、特に攻撃時間の持続性を考えると、個人や企業・団体というよりは軍隊を想起させるとシュナイアーは述べている。冷戦時代に米

北朝鮮の国営平壌放送が、6月24日の未明に「2桁か3桁のページ数」と「1桁か2桁の番号」を次々と読み上げるラジオ放送を3分半にわたり行ったという。また、7月15日にも同様の放送を12分にわたって行ったそうだ（NHK）。 放送された数字は何らかの情報を暗号化したものと推測されており、「暗号放送」「乱数放送」と呼ばれている。工作員はこの数字を乱数表を使って解読することで、その内容を知ることができるという。しかし、近年北朝鮮はインターネットを使って工作員とやり取りしていると言われており、今回の暗号放送は単なる「心理戦」の一環だとの指摘もある。

米国の中華料理店チェーンP.F.Changが、一部店舗で顧客のクレジットカード/デビットカード情報が盗まれたことを受け、再発防止策としてカード表面の文字をカーボン紙で写し取る「インプリンタ」の導入を行ったという（ITmedia）。 クレジットカードの表面はカード番号がエンボス加工されており、これをカーボン紙で写し取る員プリンタは10～20年前にはよく見られていたが、最近は電子式のデバイスに取って代わられほとんど見かけない。セキュリティ対策として昔のデバイスに戻ったというのはなかなか興味深い。

先日、コミュニケーションアプリ「LINE」の通信内容は韓国に傍受されていた？という話題があったが、これに対しこの旨を主張するFACTA誌が「ＬＩＮＥ森川亮社長の抗議について」というブログ記事を出している。記事では システム内でもシステム外でも安全なのは、「国際基準を満たした最高レベルの暗号技術を使っている」からだそうですが、それが破られているというのが本誌の認識です。 とのことだそうだ。 FACTA側は傍受の手口について「通信回線とサーバーの間でワイヤタッピング（傍受）する」としている。もしこの暗号化に使われているのはSSLだった場合、SSLもしくはそこで使われている暗号化技術が破られていることになり、問題はLINEだけの話に留まらず、インターネット上におけるセキュリティを根本から覆す大問題となる。LINEどころか、GoogleもMicrosoftも、果ては各国政府までがこの問題の影響を受

Open Source Vulnerability Database(OSVDB)では、ボランティアモデルによる運営が十分に機能していないため、非商用の個人に限ってデータを無償で提供しており、それ以外はライセンス契約が必要となっている。しかし、ライセンス契約を結んでいない組織によるデータの取得が増加しており、先日はMcAfeeによる2,000件以上の無断データ取得も確認されたそうだ(OSVDBのブログ記事、 The Registerの記事、 本家/.)。 McAfeeは昨年、商用利用に関する問い合わせをOSVDBにしていたが、処理が完全には自動化されていない点に難色を示したそうだ。OSVDBでは30日間のトライアル期間を提案したが、McAfeeが受け入れることはなく、話はそれで終わりになったという。しかし、5月4日になってMcAfeeのIPアドレスからリクエストが送信され始めたとのこと。リ

大手Bitcoin取引所であるMt.Goxがサイバー攻撃を受けて閉鎖したことはたびたび話題になっているが、サイバー攻撃によって盗まれたとされるBitcoinは実は盗まれておらず、それらはそっくりMt.Goxのオーナーらの手に渡っている、という話が出ている（slashdot）。 元ネタは海外Tech系サイトThe Verge。また、WIREDでも記事になっているが、Mt.GoxのCEOであるMark Karpeles氏の個人ブログが攻撃され、アカウントを乗っ取られた上に、氏は盗まれたとされるBitcoinを『所有』しているとのメッセージが投稿された。また、取引記録を含むスプレッドシートのデータや氏の個人情報などもアップロードされているという。 さらに、アップロードされたものに含まれていた「18の通貨との交換履歴を含むログ」を見ると、そこには「951,116Bitcoin」の痕跡があったという

Android 4.3では個人情報などへのアクセス許可をアプリごとに設定できる「App Ops」という隠し機能が追加されていたが、先日リリースされたAndroid 4.4.2で取り除かれてしまったそうだ(Electronic Frontier Foundationの記事、 The Vergeの記事、 本家/.)。 Androidアプリには、システムリソースや個人情報などへのアクセスを要求するパーミッション設定がある。アプリの中には無断で個人情報を外部送信するものも多いが、各項目へのアクセス許可をユーザーが指定することはできず、インストール時に確認してアプリを使うかどうかを選択することしかできなかった。Android 4.3ではApp Opsを使用することで、アプリが要求するアクセス許可の項目をリストアップし、望ましくない項目を無効化できるようになっていた。しかし、Android 4.4.2

米運輸保安庁(TSA)は、小型ナイフやゴルフクラブといった物品について旅客機内への持ち込み制限を緩和する計画を発表していたが、この計画は中止になったとのこと(BBC Newsの記事、 持ち込み制限物品リスト、 本家/.)。 この計画は3月にTSAがブログで発表したもので、刃渡り6センチ以下の折り畳み式ナイフのほか、ゴルフクラブ、スキーのストックといったスポーツ用品などの機内持ち込みが4月25日から可能になるというもの(/.J記事)。しかし、実施日直前の4月23日になって延期が発表されており、最終的に機内への持ち込みが制限される物品のリストはこれまで通りということになったそうだ。

Firefox 22ではサードパーティーのCookieをブロックする設定がデフォルトで有効になるそうだ(Ars Technicaの記事、 Bugzillaの該当ページ、 Web Policyブログの記事、 本家/.)。 現在でもFirefoxでは設定によりサードパーティーのCookieをブロックできるが、Firefox 22以降はデフォルトで実際に訪れたWebサイトが発行するCookieのみを受け入れるようになる。しかし、Webサイトに表示される広告の多くが情報収集のためにサードパーティーのCookieを使用しており、広告業界からは否定的な反応も出ている。Interactive Advertising BureauのMike Zaneis氏は、広告業界に対する初めての核攻撃だなどとツイートしているが、すでにSafariはデフォルトでサードパーティーのCookieをブロックする設定になってお

MicrosoftはWindows 8のデスクトップ画面からAeroを廃止し、Metroと統一したデザインに変更することを明らかにしているが、実際にAeroの削除されたデスクトップのリーク画像が WinUnleaked.info で公開された( Softpediaの記事、 PC Tech Talkの記事、 本家/.)。 Windows 8 Release Previewはウィンドウやボタンが丸みのないMetro風デザインに変更されたものの、Aero自体は残されており、デフォルトで有効になっていた。リークした画像では画面の色を設定する画面から透明感を有効にするオプションが削除され、色選択ボタンも丸みのないデザインとなっている。また、ボタンの立体感やウィンドウの影もなくなり、平面的な画面に変わっている。

Androidアプリにはネットワーク接続や個人情報データの読み取り、ストレージへの書き込みなどの処理に対するパーミッション設定があり、パーミッション要求の設定されていないアプリでは該当するリソースへのアクセスができないようになっている。しかし、パーミッション要求を一切しないアプリであっても、状況によって個人データを読み取ってサーバーに送信できる可能性があることをLeviathan Security Groupが指摘している(Leviathan Security Groupのブログ記事、 CNN.comの記事)。 たとえば、SDカードにはさまざまなデータが保存されるのにも関わらず、読み取りについてはパーミッション設定が存在しない。そのため、暗号化されていない情報は任意のアプリで読み取れる。本体メモリーにデータを保存する場合も、アプリが適切なアクセス許可を設定していなければ、他のアプリから読み

9月30日、Microsoftのセキュリティ製品「Microsoft Security Essentials」および「Forefront Client Security」がGoogle Chromeをマルウェア「PWS:W32/Zbot」として誤検出し、指示に従って操作した場合はGoogle Chromeが削除される状態になっていたとのこと(Microsoft Malware Protection Centerのマルウェア情報、 本家/.)。 PWS:W32/Zbotはトロイの木馬に分類されるマルウェアで、特定のWebサイトへのアクセスを監視してパスワードを盗みとろうとするものだという。Microsoftは同日中に修正済みのウイルス定義ファイルを公開しており、バージョン1.113.672.0以降では同様の問題は発生しない。影響を受けたユーザーはウイルス定義ファイルを更新した後で、Googl