SSL通信の根本を揺るがす「SuperFish」問題をどう見るべきか
SSL通信の根本を揺るがす「SuperFish」問題をどう見るべきか：セキュリティクラスター まとめのまとめ 2015年2月版（1/3 ページ） PCにプリインストールされたソフトが通信に割り込み、その内容を全て見ていたかもしれない――2015年2月、レノボの「SuperFish」問題は大きな爪痕を残しました。 連載目次 2月と言えば情報セキュリティ月間改め「サイバーセキュリティ月間」です。脆弱性による大きなインシデントは発生せず、ほっとしていたのもつかの間、レノボのPCにSSL通信を書き換えるアドウエアが、レノボ自身の手によって仕込まれていることが明らかとなり、大きな騒ぎとなりました。 さらに、セキュリティクラスターの風物詩的なものとして長く見守られていたいわゆる「バリデーション論争」がついに終わりを迎えることとなります。 レノボのPCに「SuperFish」の凶悪なアドウエアが仕込まれ
極めて高度なスパイ型マルウェア「Regin」出現、国家が関与か？
米Symantecは11月23日、極めて高度な機能を搭載したスパイツールの「Regin」が、政府や個人などに対するスパイ活動に使われているのを発見したと伝えた。 同社によると、Reginはバックドア機能を備えたトロイの木馬で、標的に応じて幅広くカスタマイズできる機能をもつ。「これほどのマルウェアを開発するには相当な時間やリソースを要するはずだ」と同社は分析し、「高度な機能やリソースのレベルから判断すると、国家によって使われている主要サイバースパイツールの1つであることがうかがわる」との見方を示す。 攻撃は5段階で仕掛けられ、各段階に検出を免れるための高度なステルス機能や暗号化機能が実装されている。モジュール式のアプローチはマルウェア「Flamer」が使っていた手口で、多段階攻撃の手法は国家の関与が指摘された「Duqu」や「Stuxnet」に似ているという。 Reginは少なくとも2008年
記者は「ShellShock」に触れてみた、そして震え上がった
LinuxなどUNIXベースのOSで広く使われているシェル（コマンド実行環境）「GNU Bash」で2014年9月24日に見つかった非常に危険な脆弱性、いわゆる「ShellShock」の件で、IT業界が大騒ぎになっている（関連記事：「Bash」に重大な脆弱性、Heartbleed以上に危険との見方も）。 記者は先週末、取材でほとんど外に出ていたが、取材先を訪問するたびに必ずこの話題が出ていたほど。もちろん、ITproはじめIT系ニュースサイトもShellShock関連のニュースを盛んに取り上げている。既にこの脆弱性を悪用する攻撃も始まっており、ボットネットも出現している。この先どんな被害が出るのか、想像するのも困難な状況だ。 記者は、記者としてこの手のセキュリティ記事を書く立場だが、対策をとるべきインターネットサイトの運用者としての立場も持っている。自宅で固定IPアドレス（IPv4）を契約
香港の民主派活動にサイバー攻撃？ iOSの高度なマルウェア出現
この攻撃には国家が関与しているとセキュリティ企業のLacoonは推定する。国境を越えて個人や外国企業、政府機関が狙われる可能性もあるとした。 香港で続く民主派の抗議デモに関連して、デモ参加者のiOS端末から情報を盗み出すことを狙った高度なマルウェアが見つかった。セキュリティ企業のLacoonが9月30日のブログで明らかにした。 Lacoonによると、iOSを標的としたマルウェアの「Xsser mRAT」は、デモを支援すると見せかけて、香港のWhatsappのユーザー向けに匿名メールで9月25日に送信された。感染できるのは脱獄（Jailbreak）版のiOS端末。感染すると、SMSや電子メール、位置情報、ユーザー名とパスワード、通話記録、連絡先など、iOS端末上のあらゆる情報が流出する恐れがある。 香港ではこれに先立ち、同じような手口でユーザーをだましてマルウェアに感染させようとするWhat
Google、Apple最新動向に共通する「セキュリティ」重視の意味
関連キーワード Apple | Google Chrome | IBM（アイ・ビー・エム） | Google 大きな影響力を持つテクノロジー企業が2014年7月中旬に相次いで大きな発表を行った。米Googleはインターネットで人気のあるソフトウェアをターゲットにした脅威を除去するセキュリティチームを結成した。米IBMと米Appleは両社の力を集結し、近代的なエンタープライズビジネスアプリケーションを作成するための業務提携を結んだ。これらのニュースを逃した人のために要約をまとめて紹介する。 関連記事 究極のβ版ブラウザ「Google Chrome Canary」に見るWebセキュリティの未来 米NSAの“最強ハッカー集団”「TAO」の背筋が凍る手口 市販製品を利用？ 米国政府のネット情報収集手法が判明 何が起きたのか「韓国大規模サイバー攻撃」 Googleがセキュリティ計画「Project
XPももうすぐこうなる？ 無防備のWindows 2000をネットに繋いだら1分で583個のウイルスに感染
4月9日をもってとうとうサポートが終了した「Windows XP」。ところが、ネット上では「相変わらずXPを使い続けている」という人も見かけます。でも、それって実はすごく危険なことだと分かる動画がネット上で話題になっています。 こちらはクリーンインストール状態の無防備な「Windows 2000 SP4」をインターネットに接続したらどうなるかを検証した動画。ウイルス対策はもちろん、Windows Updateによる脆弱性の修正もされていないため極めて危険な状態です。結果はなんと1分少々で583個のファイルがウイルスに感染するという衝撃的なものに。動画は2009年に投稿されたものですが、「XPももうすぐこうなるのか……」と再び話題になっています。 あっという間にウイルスに侵食されていきます すでに修復不可能なレベル OS自体にファイアーウォールがあるXPではここまでひどくはならないと予想され
Amazonのクラウドサービスのセキュリティ対策のまとめ - モスマン
クラウドコンピューティングに乗り出す際の最大のセキュリティ上の懸念は、顧客情報・書きためたポエム・マル秘画像などを誰かに預けるところにある。「財布などの貴重品は肌身離さず、自分の近いところに置いておく」という今までの常識に反する行動を迫られるのである。クラウド恐ろしや。まして預ける相手がAmazonという140億円の追徴課税を命じられような事業者であればなおさらである。 この誰しも感じる不安を払拭するためにAmazon Web Services (AWS) は自社のセキュリティ対策をまとめた文章を公開している。 Amazon Web Services Security ホワイトペーパー (PDF注意) 要は「Amazonはこんなに頑張って皆さんのデータのセキュリティを確保していますよ」という販売促進の一環である。しかしよくまとまっていて、Amazonのサービス利用を検討している人だけでなく
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
SANS - Internet Storm Center - Cooperative Cyber Threat Monitor And Alert System
Published: 2024-01-24 Last Updated: 2024-01-24 14:01:00 UTC by Johannes Ullrich (Version: 1) User interface design is one of those often overlooked aspects in software design in general. A bad user interface can quickly become a vulnerability regarding security. Even though I do not remember actual CVE's assigned to bad user-interface design, there probably should be some. One of the more famous u
XSSの脆弱性突く攻撃の実態、Microsoft研究者らが発表
Microsoft研究者らがBlack Hatで、数百サイトに広がっているクロスサイトスクリプティング（XSS）攻撃の実態と、攻撃を防ぐための新ツールについて発表する。 米ラスベガスで開かれるセキュリティカンファレンス「Black Hat USA」で、米Microsoftの研究者らが、世界の数百サイトが被害に遭っているというクロスサイトスクリプティング（XSS）攻撃の実態と、そうした攻撃を防ぐための新ツールについて発表を予定している。 Black HatのWebサイトに掲載された講演要旨によると、Microsoftの研究員グレッグ・ウルブレフスキ氏と、セキュリティ企業Trustwaveの研究員ライアン・バーネット氏は7月31日に、「Webの脆弱性：戦線におけるXSS防衛」と題した発表を行う。 両氏の研究では、ビッグデータマイニング技術と比較的シンプルな検出方法を組み合わせ、数百のWebサイ
広告を消してくれるブラウザ拡張機能「Adblock Plus」の秘密
6月21日にページ中に表示される広告を非表示にする「Adblock Plus」のInternet Explorer対応版がリリースされ、主要ブラウザであればどれでも「Adblock Plus」が使えるようになりました。 ブラウジングの際に広告バナーをブロックしてくれるということで重宝している人も多いと思いますが、その裏で、Adblock Plus製作者の背後には“戦略的パートナー”の存在があり、製作者の関連企業やお金を出した企業の広告はブロックせずに配信しているということが明らかになっています。 Adblock Plus Undercover – Einblicke in ein mafioeses Werbenetzwerk | Mobilegeeks.de | Allgemein http://www.mobilegeeks.de/adblock-plus-undercover-ein
NSAは中国の携帯電話会社をハックして何百万通ものSMSを盗み見ていた
by Paul Kretek アメリカの政府機関が「PRISM」と呼ばれる極秘システムを用いて世界中でサーバーなどに対するスパイ行為を行っていた問題で、この問題を暴露したCIA元職員エドワード・スノーデン氏はさらに、中国や香港でも同様のスパイ行為と、NSA(国家安全保障局)によるサイバー攻撃があったことを明かしています。 EXCLUSIVE: US spies on Chinese mobile phone companies, steals SMS data: Edward Snowden | South China Morning Post http://www.scmp.com/news/china/article/1266821/us-hacks-chinese-mobile-phone-companies-steals-sms-data-edward-snowden EXCLUS
ほこたて 「どんなパソコンにも侵入する世界最強ハッカーVS絶対に情報を守るネットワークセキュリティー」防御側の裏話
よくわからない人のための事前知識 イメージ的にはこんなかんじです。 ・銀行（パソコン）にお金（画像）が保管してあります ・これを盗まれる（ハッキング）のを防ぐのが目的です ・ところが番組側が用意した銀行の建物はボロボロ（バージョンが古い）です ・そんな建物なので侵入経路（脆弱性・セキュリティホール）だらけです ・セキュリティ的には補修工事（パッチをあてる）をしたかったものの、番組が面白くなくなるので不可 ・そこで、銀行自体に侵入されるのは諦めて、お金を保存する金庫を頑丈にしました(TrueCryptで暗号化) ・そして勝負開始、思ったより銀行に侵入するだけでも結構時間がかかっていたようです ・とはいえ、そこは脆弱性を残したままのシステムであり、案の定銀行には侵入されてしまいました ・金庫も見つかってしまいました ・ところが金庫を破るのが非常に難しかったため、時間制限もありギブアップ …とい
何が起きたのか「韓国大規模サイバー攻撃」
2013年3月20日に韓国で発生した大規模サイバー攻撃、通称「320サイバーテロ」。金融機関や放送局のコンピュータの一斉ダウンを引き起こした320サイバーテロは、どういった経緯で発生したのか。企業が学び取れる教訓と対策とは。韓国政府のタスクフォースメンバーとして320サイバーテロを解析した、セキュアソフト CERT所長のソン・ドンシク氏の話から明らかにする。本稿は、2013年5月にセキュアソフトとラックが共催した「SecureSoft SECURITY FAIR 2013」でドンシク氏が講演した内容をまとめた。 関連記事 米国政府も「Stuxnet」で参戦、サイバー戦争で生き残る策とは？ イランの核施設を狙い撃ちにした「Stuxnet」とは何者か 米国防総省委員会、「サイバー攻撃への軍事作戦力を高めよ」 Officeのパスワードを数秒で解析――専門家が語るサイバー攻撃の現状 攻撃の被害：金
マイナンバーの落とし穴
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 本連載「松岡功の『今週の明言』」では毎週、ICT業界のキーパーソンたちが記者会見やイベントなどで明言した言葉をいくつか取り上げ、その意味や背景などを解説している。 今週は、国立情報学研究所の佐藤一郎教授と日本ユニシスの黒川茂代表取締役社長の発言を紹介する。 「共通番号（マイナンバー）の基盤技術としてIDが使われているが、IDだけでは無理がある」 （国立情報学研究所 佐藤一郎 教授） 国民全員に番号を割り振る共通番号制度関連法案、いわゆる「マイナンバー法案」が5月24日、参議院本会議で自民、公明両党および民主党などの賛成多数で可決し、成立した。このマイナンバー法にかかわる技術に関連して、国立情報学研究所（NII）が5月16日、ID（識別番
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
日経BP
[PDF]日本国内のオープン・リゾルバを踏み台とした DDoS 攻撃発生 に起因すると考えられるパケットの増加について
PC
いとも簡単に妨害できるGPS、待たれる代替技術 - 日本経済新聞
