2019 年以降に注目すべきセキュリティのトレンド | Google Cloud 公式ブログ
※この投稿は米国時間 2019 年 1 月 4 日に Google Cloud blog に投稿されたものの抄訳です。 ソフトウェアのセキュリティを確保し、組織とユーザーを既知の脅威から守るためには効果的な予防策と不断の努力が必要ですが、それだけでなく、新たなリスクを見つけて対処する積極的な姿勢も必要です。 私たち Google Cloud は両方を実践しています。目に見えないところでお客様の安全を自動的に守るサービスから、お客様の固有のニーズに合わせてセキュリティ体制を強化するのに役立つツールや推奨事項に至るまで、セキュリティ対策を容易にするプロダクトを提供しています（ベスト プラクティスの一部については “taking charge of your security/data” シリーズの投稿をご覧ください）。また、新しく現れる脅威にいつも目を光らせ、対策方法を探しています。2018
次世代Webカンファレンス 2019：HTTPSセッションが面白かった - ろば電子が詰まつてゐる
以前から気になっていた「次世代 Web カンファレンス 2019」を、ようやく聴きに行くことができました。 たくさんのトークがありましたが、ここではHTTPS (hashtag: #nwc_https)をメモしておきます。なお、このセッションが間違いなく一番アツく、一番面白かったです! 当日の動画 https://www.youtube.com/watch?v=_8dCa8wj8QY togetter https://togetter.com/li/1268794 以下、当日参加した、もしくは動画を見たという前提でのメモなので、見てない人はぜひ見ましょう。 PKI 「低レイヤから行きましょう」ということで、はじめはPKI絡み。Symantecのdistrustと、日本のGPKIの話でした。 トーク中に何度か出てきましたが、認証局(厳密にはCAとRAを分けて書くべきですが、どうせみんな一緒な
コインハイブ事件 高木浩光氏が公判で証言「刑法犯で処罰されるものではない」 - 弁護士ドットコム
自身のウェブサイト上に他人のパソコンのCPU（処理装置）を使って仮想通貨をマイニングする「Coinhive（コインハイブ）」を保管したなどとして、不正指令電磁的記録保管の罪に問われたウェブデザイナーの男性（31）の第2回公判が1月15日、横浜地裁（本間敏広裁判長）であり、セキュリティ専門家の高木浩光氏への証人尋問が行われた。 ●「ソフトウェアの作成や流通に萎縮効果」 弁護側の主尋問で、高木氏はいわゆる「サイバー刑法」（情報処理の高度化等に対処するための刑法等の一部を改正する法律）が成立した際の附帯決議に「構成要件の意義を周知徹底すること」、「捜査は適切な運用に努める」と付記されていることを説明。構成要件が曖昧なまま処罰されてしまう弊害について、「ソフトウェアの作成や流通に萎縮効果が出てしまう」と述べた。 また、JavaScriptは、閲覧者側のPC内のファイルに触れられない機能になっており
パスワードレス認証WebAuthnの勘所と対応状況 | gihyo.jp
はじめに 先日発表された、ヤフー株式会社の指紋認証でのログインや、Microsoft Accountのセキュリティキーでのログインが可能にといったニュースにWeb Authentication API（以下WebAuthn）界隈は盛り上がりを見せています。 パスワードを使わない世界を目指したFIDO Allianceと、W3Cの取り組みは大きく前進したといえるでしょう。2018年に、FIDO関連技術がここまで盛り上がった理由は、間違いなくブラウザーの対応が進んだことにあると思います。 私はYubiKeyの販売・サポート業務をきっかけにFIDOやWebAuthnといった技術領域に興味をもち、仕事・プライベートともに調査を行ってきました。もともと認証についての知識がゼロだった私には、大きな壁がいくつも立ちはだかりました。 本稿では、これからWebAuthnを学習しようとしている方に、認証初心者
ゼロワンオンカジチャンネル
さまざまな証券会社がある中、PayPay証券はスマホアプリで簡単に投資ができるためおすすめのネット証券会社です。そこで「PayPay証券はどんな特徴があるの？」「登録方法は？」といった疑問を持つ人も多いのではないでしょうか。 本記事ではそんな疑問を解決するためにPayPay証券の特徴や取り扱い銘柄、登録から取引までの流れを解説していきます。 PayPay証券の特徴 PayPay証券は以下のような特徴があるネット証券会社です。 少額から取引できる おいたまま買付サービスがある IPOに1株から申込みできる 漫画コンテンツで株式が学べる 米国株が24時間取引できる 上記の特徴を詳しく解説していきます。 少額から取引できる PayPay証券では最低取引額1,000円から始めることができます。そのため、資金が少ない人や株式投資未経験の人におすすめです。 PayPay証券が少額取引できる理由は、相対
情報提供｜一般財団法人日本サイバー犯罪対策センター
一般財団法人日本サイバー犯罪対策センター（JC3 Japan Cybercrime Control Center）は、マルウェアやフィッシング詐欺、インターネットサービスの悪用といったサイバー犯罪の実態を解明し、背後に存在する犯罪者らの追跡、特定を図るとともにその脅威を軽減、無効化を目指し、インターネット空間の健全化、利用者の安全を守るための対策を産学官連携にて推進する団体です。
PayPay、不正利用の返金は自社で｢全額補償｣と発表 ── 原因はセキュリティーコードの総当たり｢ではなかった｣
PayPay曰くセキュリティーコードも漏れている 今回公開された同社のリリースの中には、不正利用の被害データも一部提示された。 ｢調査の結果、クレジットカード登録時にセキュリティコードを20回以上入力し登録に至った件数はPayPayのサービス開始以来13件であり、クレジットカード情報の入力回数に制限を設けるだけでは根本的な対策にはならないと判断しました。 PayPayにおける不正利用の主な要因は、悪意ある第三者が何らかの方法で、外部で入手したセキュリティコードを含むクレジットカード情報が利用されたことである可能性が高いため、このたび3Dセキュアの対応を決定いたしました。 また、上記13件のうち、PayPayでの利用があった9件について、カード会社と連携しご利用状況を確認したところ、全てご本人による登録と利用であったことが判明しています（2018年12月27日現在）。｣ 今回話題になっている
特定ユーザーを狙った標的型攻撃が登場、Sophosの2019年版脅威レポート
Sophosは2019年版の脅威レポートを発表した。標的型ランサムウェア攻撃が不特定多数ではなく、特定組織を狙った計画的なものに変化しつつあり、身代金として数百万ドルを奪うことがあると指摘。サイバー犯罪者はWindows標準のシステム管理ツールを使用していることなどを明らかにした。 Sophosは、サイバーセキュリティの最新動向を分析した「SophosLabs 2019 Threat Report」の日本語版を発表した。同レポートは、過去12カ月間の脅威に関する傾向から、2019年に予測されるサイバーセキュリティへの影響を分析したもの。 それによると、サイバー攻撃は、計画的で身代金として数百万ドルを奪う標的型ランサムウェア攻撃に移行しつつあるという。こうした攻撃は、2018年に目立った不特定多数を狙う従来のランサムウェア攻撃とは異なる。 被害者を選んで直接攻撃 これまでの標的型攻撃は数百万
ファーウェイ・ジャパンより日本の皆様へ
華為技術（ファーウェイ）は世界市場をリードするICTソリューションプロバイダーとして、サイバーセキュリティの重要性を十分に認識し、各国政府やお客様のセキュリティに関する懸念を理解しております。 ファーウェイは事業を展開するすべての国や地域の法規制や国際電気通信規格を遵守しています。そして、技術開発から事業運営まですべての領域においてセキュリティとプライバシー保護を万全にするための取り組みに、会社の重要方針として注力してきました。 ファーウェイにとってサイバーセキュリティとプライバシー保護への取り組みは最重要事項であり、自社の商業的利益をこれに優先させることは決してありません。私たちは純粋な民間企業であり、これまでにいかなる政府や機関からも当社の技術へのアクセスを要求されたことはありません。 一部の報道において、「製品を分解したところ、ハードウェアに余計なものが見つかった」「マルウェアが見つ
認証にまつわるセキュリティの新常識 - Speaker Deck
2016-2017年でのNIST SP800-63-3改定を通じて、認証を含むデジタルアイデンティティの世界では様々な議論が湧き起こりました。 そんな本ガイドラインの内容を通じて、デジタルアイデンティティフレームワークを考える上での共通言語、特に「認証方法」について記載したNIST SP800-6…
インシデントか？ワイモバイルサイトにアクセスすると、ESXiのログイン画面が表示される
ワイモバイルの店舗について調べようとして、Google検索の結果から飛んでみたところ404エラーが返ってきました。 おかしいなと思い、URLを編集してトップ画面に移ろうかと思ったところ、SSL証明書の検証エラーが表示されました。 なんだ更新し忘れか、と一瞬思い事実を確認しようとエラーを無視してアクセスしたところ・・・ なんとESXiのログイン画面が表示されました・・・ 不正なログインは実施しないように何にせよこの状態は非常にまずく、セキュリティインシデント扱いとなるのではないでしょうか・・・ すでにGoogleにインデックス登録されてしまっていますが、絶対に不正ログインは実施しないようにしてください。 今回の件で、ESXiの管理リスクについて再認識させられました（もちろん外部に何て普通公開しませんが、時々VPN経由ではなく、一般回線からアクセスしたい、という無茶な要望を頂くので、今回のケー
PayPayに関連するインシデントについてまとめてみた - piyolog
2018年10月5日より提供が開始された決済サービス「PayPay」に関連するインシデントについてまとめます。 インシデントを含む最近の出来事 日時 出来事 2018年7月3日 QRコードを用いた決済サービス「PayPay」の提供を開始するとアナウンス*1 2018年10月5日 PayPayのサービス提供開始。*2 2018年11月22日 PayPay支払い時に還元する「100億円あげちゃうキャンペーン」を発表。*3 2018年12月4日 100億円あげちゃうキャンペーンを開始。 同日 ビックカメラグループ、ファミリーマートでPayPay支払いの利用開始。 同日 PayPay支払いで多重課金される不具合が発生。 2018年12月13日 還元上限額に到達したとして100億円あげちゃうキャンペーンが終了。*4 2018年12月17日 PayPay支払いによるクレジットカードの不正利用が多発して
標的型攻撃と多層防御にAWS Security Hub + DeepSecurity はどうして嬉しいのか。 - freee Developers Blog
この記事はfreee Developers Advent Calendar 2018 15日目の記事です。 adventar.org freee CSIRT専属エンジニアのEiji Sugiuraです。 早いもので、freeeにjoinしてから1年が経過しました。 前職では、UTM*1を使ったMSSP*2を作って運用していたので、SaaS*3はどちらかというとブラックボックスとして扱っていました。 それが、何の因果かSaaSのなかにどっぷり浸かっています。人生って何が起きるかわからないもんです。 自分から「セキュリティエンジニアです。」なんて名乗るのは眉唾ものだと思っています。他人からセキュリティエンジニアと呼ばれれば本物ですね。 自分は果たしてどうなんだ? という点はさておき、この1年間、どんなことを考えてセキュリティを無理なく無駄なく担保しようしてきたかを、まとめておきます。 ざっくり
安全なWebアプリケーションの作り方2018 - slideshare
2. アジェンダ • 最近のウェブセキュリティを取り巻く話題 • OWASP Top 10 – 2017を巡る話題 – XXEとSSRF – 安全でないデシリアライゼーション • 割賦販売法改正・施行 • 安全なWebアプリケーションの作り方 改訂 – PDFのFormCalcによるコンテンツハイジャック 2 3. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社(現社名:EGセキュアソリューショ ンズ株式会社)設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画
Yahoo! JAPANでの生体認証の取り組み（FIDO2サーバーの仕組みについて）
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog 目次 はじめに Yahoo! JAPANが対応したWebAuthnとは WebAuthnとFIDO認証について WebAuthnの処理について 登録と認証の流れ 削除機能 ブラウザーでの実装 navigator.credentials.create()について navigator.credentials.get()について サーバーでの実装 登録（公開鍵の登録） /attestation/optionsの処理 リクエストパラメーター navigator.credentials.create()の引数に必要な値 /attestation/resultの処理 CBORについて attestationObjectについて 公開鍵を作成す
「新世紀エヴァンゲリオン」の使徒がネルフ本部に仕掛けた“ハッキングの手口” (1/2) - ITmedia NEWS
この記事は認証セキュリティ情報サイト「せぐなべ」に掲載された「架空世界 認証セキュリティセミナー 第5回『架空世界のパスワードハッキング』」（2017年9月14日掲載）を、ITmedia NEWS編集部で一部編集し、転載したものです。当時未発売だった製品やサービスの記述などは、本記事掲載時の状況に合わせて編集しています。 架空世界でもある「推測されやすいパスワード」 ……それでは講義を始める。 まずは前回のおさらいからだ。現実ではまだ実現していない認証として、「新世紀エヴァンゲリオン」の「精神感応認証」、「勇者ライディーン」の「血筋認証」を紹介し、「アーサー王伝説」の剣を抜いた力はどのような認証だったのか考察を行った。 さて、第4回までは認証の手法と実現例を紹介してきたが、架空世界でもパスワードを見破られ、認証を突破されたりするような事例はなかったのだろうか。いわば「認証システムのパスワー
「新世紀エヴァンゲリオン」で初号機はシンジをどう“認証”しているのか (1/3) - ITmedia NEWS
この記事は認証セキュリティ情報サイト「せぐなべ」に掲載された「架空世界 認証セキュリティセミナー 第4回『架空世界の血筋認証』」（2017年8月24日掲載）を、ITmedia NEWS編集部で一部編集し、転載したものです。当時未発売だった製品やサービスの記述などは、本記事掲載時の状況に合わせて編集しています。 現実では未だ実現していない認証たち ……それでは講義を始める。 まずは前回のおさらいからだ。「生体認証」として「東のエデン」「フェイス／オフ」「天使と悪魔」、そして「メタルギアソリッド」シリーズを紹介した。いずれも身体の特徴を鍵として認証するものだった。 さて、今回は想像の翼を広げて、現在の技術では実現していない、あるいは伝説的な認証について紹介していこう。 現在の技術で実現していない認証といってもいろいろあるだろう。例えば「精神感応」や「血筋」、あるいは「魂の形」を認証する……。ど
徳丸浩の日記: SSRF(Server Side Request Forgery)徹底入門
SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254について SSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例 SSRFを利用したメール送信ドメインの乗っ取り 「CODE BLUE 2018」参加レポート（岩間編） この「空前のSSRFブーム」に便乗して、SSRFという攻撃手法および脆弱性について説明します。 SSRF攻撃とは SSRF攻撃とは、攻撃者から直接到達できないサーバーに対する攻撃手法の一種です。下図にSSRF攻撃の様子を示します。 攻撃者からは、公開サーバー（203.0.113.2）にはアクセスできますが、内部のサーバー（192.168.0.5）はファイアウォールで隔離されているため外部から直接
Microsoft Account FIDO2 対応キーでログイン可能に - enjoy struggling
Microsoft Account FIDO2 対応キーでログイン可能にwatahani3 MinutesNovember 21, 2018 Password-less Login with the YubiKey 5 Comes to Microsoft Accounts | Yubico 来たか！ ということで、MSA(Microsoft Account) で FIDO2/WebAuthn 対応の YubiKey 5 or Security Key by Yubico でログイン可能になったらしいので早速試してみた。 MSA って何やねんって思ったけど、要はAzure ADじゃない、個人アカウントってことらしい。タブンネ。 アカウントページにアクセスまずはお手元に Windows10 versions1809 と Edge 、YubiKey 5 シリーズか Security Key b
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://jp.techcrunch.com/2018/12/28/2018-12-26-cyber-breaches-abound-in-2019/
