高木浩光＠自宅の日記 - 一太郎plug-inをIEとFirefoxで無効に 〜 ジャストシステムは本当の脅威を教えてくれない
■ 一太郎plug-inをIEとFirefoxで無効に 〜 ジャストシステムは本当の脅威を教えてくれない 目次 ワープロソフトの「脆弱性」とは？ ゼロデイ攻撃に見舞われ続ける一太郎 「危険度：低」って正気で言ってるの？ パソコン初心者並みの認識のソフト会社 「攻撃成立に必要なユーザの関与」は「積極的」か「消極的」か 知られざる一太郎ビューアplug-inの存在 受動的攻撃がもはや最大級の脅威 ジャストシステムは回答を拒否 製品ベンダーが発表しなければ危険性を周知できない 発見者の指摘があっても無視 メディアはJVN情報を伝えるときどうして発見者に取材しないの？ plug-inを無効にする方法 ワープロソフトの「脆弱性」とは？ 先週、新たな一太郎の脆弱性と修正パッチが公開された。「一太郎の脆弱性」と聞いて、どんなときに危険のある話だと理解されるだろうか。ジャストシステム社の告知文には次のよう
高木浩光＠自宅の日記 - ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない
■ ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない これが「脆弱性」として合意されるかどうかわからなかったが、脅威と対策をまとめてIPAに届け出てみたところ、受理され、当該サイト（複数）は修正された。以下、この問題がどういうもので、どうするべきなのか、はてなのケースを例に書いておく。 4月にこんな話が盛り上がりを見せていた。*1 ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口, ホームページを作る人のネタ帳, 2007年4月6日 Ｂボタンフィッシングとは何？ 記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。（略）『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
非接触ICクレジットカード、情報盗難は容易
米国を含む全世界で普及しつつある、非接触ICクレジットカード。しかしマサチューセッツ大学の研究者らが同カードの第1世代の安全性を実験したところ、認可されていないリーダーを使っても、カード所有者の氏名、カード番号、期限を簡単に読み取れることが分かった。 SANS Internet Storm Centerからリンクが張られた同大学の論文（10月22日付）によると、研究者らは150ドル程度で製作した機器を使い、偽非接触ICカードを作ることにも成功した。また実験から、非接触ICカードの決済時に送受信される情報が偽情報の場合、ほかの支払いシステムにまで影響を及ぼすこと、非接触ICカードはスキミングなどの攻撃に脆弱であることも判明した。 研究者らは今回の実験に当たり、2社2種類のカードリーダー、2005年に米国内の銀行および金融機関から発行された非接触ICクレジットカード約20枚を使用した。 Vis
ITmedia News：mixiでまたチェーン日記 善意が混乱招く
「ロスで行方不明になった写真家の情報を提供してほしい」――mixiでこんな内容の日記が急増している。写真家のmixi日記には、情報を持たない人から応援コメントが殺到。公開制限を余儀なくされ、情報収集はむしろ困難になっているようだ。 SNS（ソーシャルネットワーキングサービス）「mixi」で、「mixiユーザーの日本人写真家が、ロサンゼルスで行方不明。情報を提供してほしい」という内容の日記が大量に投稿されている。写真家の個人名で日記検索すると、9月28日午前11時30分現在で、1万4000件以上がヒット。多いときは1分に2～3件のペースで増え続けている。 一部のユーザーは、情報の拡散が写真家の家族などに迷惑をかけているとし、「日記を不用意に広めないで」「日記から写真家の個人情報を削除して」などと呼びかけているが、情報拡散は止まりそうにない。 行方不明のニュースは、9月15日から16日にかけ、
高木浩光＠自宅の日記 - 刑法18章の2「支払用カード電磁的記録に関する罪」は何のためにある？
■ 刑法18章の2「支払用カード電磁的記録に関する罪」は何のためにある？ ETC車載器付け替え、料金詐欺で運転手を逮捕, 読売新聞, 2006年9月17日 埼玉県警は１７日、（略）を電子計算機使用詐欺の疑いで逮捕した。 というニュースを見て、けったいな刑法学者さまの7月のエントリを思い出した。 平成13年の刑法改正により、支払用カード電磁的記録に関する罪（163条の2ないし163条の5）が新設されました。これにより「支払用カード」の不正作出、供用、譲渡，貸し渡し、輸入、所持、不正作出の準備等が処罰されることになりました。 （略）SuicaやEdyも、電磁的記録を構成部分とする支払用カードです。 では、モバイルSuicaやおサイフケータイは、本罪の対象となるのでしょうか。 携帯電話は「カード」か？, 続・けったいな刑法学者のメモ, 2006年7月21日 けったいな法学者さまはこの続きで、刑法
高木浩光＠自宅の日記 - 三井住友銀行、「雨やどり」「お風呂あがり」で検索のテレビ広告で便乗フィッシングの危機（被害防止用エントリ）
■ 三井住友銀行、「雨やどり」「お風呂あがり」で検索のテレビ広告で便乗フィッシングの危機（被害防止用エントリ） 三井住友銀行のテレビCMで、「雨やどり」「お風呂あがり」で検索させるシーンが放映されているらしいが、現時点で、検索結果の上位に登場するサイトは「雨やどり」「お風呂あがり」のどちらも三井住友銀行の本物サイトではない。「雨宿り」「あまやどり」「お風呂上り」「おふろあがり」も同様だ。 Googleで「雨やどり」で検索した1番目は、現在のところ、露骨な性描写を含む二次元児童性愛倒錯ゲーム*1のサイトになっている。2番目以下もマイナーなページばかりだ。ちょっとしたドメインのページに三井住友銀行を装った偽サイトを作成されると、それが上位に出てきかねない。そのような偽サイトによる詐欺の危険性を低減するため、この日記が先に読まれることを期待し、次のとおり書いておく。 初めて訪れたサイトが、どこか
「自分」を定量的に評価する -- [鏡] しっぽのさきっちょ 2006年08月 -- Spiegel's Trunk
今の職場には Websense によるレーティング（コンテンツ・フィルタ）がかかっているのだが， 見れないページやサイトがやたら多くてこまりもの。 「J-RCOM」は前々から見れないのだが（軍事関係のページと見なされているらしい）， ついに 「 P2P today ダブルスラッシュ」 も見れなくなった。 ファイル交換ソフト関連のページはダメらしい。 実は私が管理しているサイトもひとつ見れないのがある。 有用なあるいは面白いページが紹介されていて行ってみたら「ここはアダルト・ページだ」とか言われて遮断されちゃうのはしょっちゅう。 翻訳サイトも Web ページ翻訳は遮断されてしまう（抜け穴と見なされているらしい）。 あと， ただの CGI ページを「マリシャス・ページ」として遮断してたのもあったな。 基準が分からん。 権威による恐怖支配。 まぁ職場だから諦めもつくけど（それよりも Web 閲覧
「Web 2.0」導入が進む中、後回しにされるセキュリティ - CNET Japan
「Web 2.0」は、ウェブサイトで実現できることの限界を拡張する新技術として、導入が急速に進んでいる。しかし、機能を追加しようと急ぐあまり、セキュリティが後回しにされていると、専門家は指摘する。 Web 2.0の流行には、高額な参加費のカンファレンス、大量に生まれる新興企業、革新的な企業（「MySpace」を保有していたIntermix Mediaや「Writely」を開発したUpstartleなど）の巨額買収といった特徴から、1990年のインターネットブームを思い起こさせるところがある。そして、また別の面でこうした既視感をいっそう強く抱いている専門家たちもいる。デスクトップソフトウェアが登場して間もない頃と同じように、開発の推進力となっているのはすべて機能に関することで、セキュリティの確保はおろそかにされていると、専門家たちは話す。 ウェブセキュリティ企業のSPI Dynamicsでリ
複数のWikiクローン製品にセキュリティ・ホール，DoS攻撃を受ける恐れ
今回のセキュリティ・ホールの概要（<a href="http://www.ipa.go.jp/security/vuln/documents/2006/JVN_98836916_wiki.html" target=_blank>IPAの発表資料</a>から引用） 情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は7月3日，複数のWikiクローン製品にセキュリティ・ホールが見つかったことを明らかにした。特定のリクエストを送信されると，Wikiクローン製品が稼働するサーバーのリソースを過剰に消費し，サービスを提供できなくなる。つまり，DoS（サービス妨害）攻撃を受ける恐れがある。対策は，アップグレードや修正パッチの適用。 Wikiクローンとは，Wikiと呼ばれる機能を持つソフトウエアの総称。Wikiとは，WebブラウザからWebページの作成や編集などを容
OpenOfficeに危険度「高」の脆弱性
仏セキュリティ機関FrSIRTは6月29日、オープンソースのオフィススイート「OpenOffice」の複数の脆弱性を発見したと報告した。危険度は最も高い「Critical」としている。 1つ目の脆弱性は、特定のマクロがひそかに実行されてしまうというもの。攻撃者はこれを悪用して、ユーザーに不正なマクロを含むファイルを開かせることで脆弱なシステムを完全に掌握できる。 2つ目は、特殊な細工がされたJavaアプレットを処理する際にエラーが生じることが原因。攻撃者はこれを悪用して、不正な文書を介して脆弱なシステム上で任意のファイルを読んだり作成したりできる。 3つ目は、不正な形式のXML文書を処理する際にバッファオーバーフローのエラーが生じることが原因。攻撃者はこれを悪用して、ユーザーに特殊な細工をした文書を開かせることで任意のコマンドを実行できる。 これらの問題の影響を受けるのは、OpenOffi
携帯メールでボットネット拡大を狙う攻撃が出現
携帯電話のテキストメッセージを悪用し、悪意あるウェブサイトに人々を誘導する攻撃が米国で出現している、とセキュリティ企業が警告している。 この攻撃では、人々を欺いてサイトにおびきよせるために、ソーシャルエンジニアリングの手法が利用されると、セキュリティベンダーWebsenseは勧告で述べている。手口としては、まず、（架空の）出会い系サービスに申し込みをしたことについての礼状が、ショートメッセージサービス（SMS）のテキストメッセージとして、標的となる携帯電話に送信される。同メッセージには、オンラインで申し込みをキャンセルしない場合、電話料金に上乗せする形で1日2ドルが自動的に課金されると記されている。 同様のメッセージが、多数の掲示板のコメント欄にも繰り返し送信されているという。攻撃は米国時間6月22日にアメリカで始まり、Websenseによると、最初に攻撃を発見したのはセキュリティベンダー
CNET Japan
アップルの音楽サブスクリプションサービス参入の可能性--業界の現状を検証 アップルが音楽サブスクリプションに参入するとかねてから噂されているが、これまでの他社の動向、専門家の見解を見る限り、可能性はあまりなさそうだ。 2008/09/25 07:15 ［スペシャルレポート］ 「パソコンなくてもLISMOが使える」--au、セットトップボックスを月額315円で提供 KDDIは11月1日より、携帯電話とテレビをつなぐセットトップボックス「au BOX」を提供する。家庭で録画した映像を携帯電話に転送できるほか、ブロードバンド回線につないで音楽や映画をダウンロードし、テレビと携帯電話の両方で視聴できる。 2008/09/25 14:41 ［モバイル］ ライフログサービス「Life-X」始動--最速レビュー ソニーマーケティングが10月中旬からスタートするライフログサービス「Life-X
スカイプ、最新版VoIPソフトの脆弱性に対応--機密情報漏えいにつながる恐れ
Skype Technologiesは、人気の無料インターネット電話ソフト「Skype」のアップデートを行い、機密情報の漏えいを招く恐れのあるセキュリティ脆弱性を修正した。 同社が現地時間5月19日に発表したセキュリティ警告によると、攻撃者が作成したSkypeのハイパーリンクをユーザーがクリックすると、その人のコンピュータに保存されているファイルが別のSkypeユーザーに送信されてしまうという。 セキュリティ監視会社Secuniaはこの脆弱性の危険度について、同社の評価システムで5段階中3番目の「moderately critical（やや深刻）」と評価している。同社は、「（攻撃者はこの脆弱性を利用して）特定のセキュリティ制限を回避し、一部の機密情報を暴露する可能性がある」と警告する。 17日にリリースされたアップデート版「Skype 2.5.0.82」ではこの問題が修正されている。 Sk
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「一太郎」の新たな脆弱性、ジャストシステムが対応モジュール公開
「Vector」がソフトのダウンロード一時停止、ウイルス感染の有無を調査中
NameBright - Coming Soon
＜脅迫＞戸籍情報持ち出し会社脅かす…２容疑者逮捕 警視庁
「一太郎」の脆弱性を悪用するウイルスメール、中央省庁に送信
パスワード管理の甘さにつけ込む不正アクセスが増加～6月のIPA報告
http://serennz.cool.ne.jp/sblog/log/eid221.html