Netflixが頭を悩ませる『パスワード共有』問題のソリューションをAdobeが提供開始 | p2ptk[.]org
Netflixが頭を悩ませる『パスワード共有』問題のソリューションをAdobeが提供開始投稿者: heatwave_p2p 投稿日: 2022/9/202022/9/20 TorrentFreak Netflixをはじめとするストリーミングサービスが利益の最大化を迫られていることを考えれば、「パスワード・パイラシー」の問題は今後数か月、数年にわたって繰り返し報道されることになるのだろう。そこに商機を見出したAdobeが新たなソリューションを提案している。このツールには飴と鞭があり、その戦略は顧客行動の徹底的な監視に支えられている。 オンラインファイル共有がメインストリームだったころ、エンターテイメント企業の経営陣は悔しさのあまり髪をかきむしっていた。 彼らは自社プロダクトを熟知し、手堅いビジネスを展開し、それぞれの市場の複雑さを可能な限り理解していた。彼らは「無料」に勝負を挑むのは不可能だ
![Netflixが頭を悩ませる『パスワード共有』問題のソリューションをAdobeが提供開始 | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/e0259b148880521afdba908b9417b5f5d8de1a73/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2022%2F09%2Fhelena-lopes-PGnqT0rXWLs-unsplash_e.jpg)
Microsoft Teams stores auth tokens as cleartext in Windows, Linux, Macs
HomeNewsSecurityMicrosoft Teams stores auth tokens as cleartext in Windows, Linux, Macs Microsoft Teams stores auth tokens as cleartext in Windows, Linux, Macs Security analysts have found a severe security vulnerability in the desktop app for Microsoft Teams that gives threat actors access to authentication tokens and accounts with multi-factor authentication (MFA) turned on. Microsoft Teams is a
Resecurity | EvilProxy Phishing-as-a-Service with MFA Bypass Emerged in Dark Web
Back EvilProxy Phishing-as-a-Service with MFA Bypass Emerged in Dark Web Cybercrime Intelligence 5 Sep 2022 MFA, Dark Web, Phishing, PhaaS, ATO, BEC, PyPi, supply chain Following the recent Twilio hack leading to the leakage of 2FA (OTP) codes, cybercriminals continue to upgrade their attack arsenal to orchestrate advanced phishing campaigns targeting users worldwide. Resecurity has recently ident
Basic Authentication Deprecation in Exchange Online – September 2022 Update
One month from today, we’re going to start to turn off basic auth for specific protocols in Exchange Online for customers who use them. Since our first announcement nearly three years ago, we’ve seen millions of users move away from basic auth, and we’ve disabled it in millions of tenants to proactively protect them. We’re not done yet though, and unfortunately usage isn’t yet at zero. Despite tha
旧型「iPhone」「iPad」向けにセキュリティ更新、悪用されている脆弱性を修正
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Appleは米国時間8月31日、「iPhone 5s」と「iPhone 6」「iPhone 6 Plus」「iPad Air」「iPad mini 2」「iPad mini 3」、そして「iPod touch」（第6世代）向けに「iOS 12.5.6」をリリースした。これは、「iOS 12」に存在する脆弱性に対処する重要なセキュリティアップデートだ。 iOS 12.5.6で対処されるのは、同社が8月中旬に「iOS 15.6.1」向けのアップデートで対処した2件の脆弱性のうちの1件であり、リモートコード実行（RCE）につながるものとなっている。 「iOS 12」に対するアップデートはかなり久しぶりだ。上記のモデル向けのアップデートが最後に
npm Best Practices for the Supply-Chain – Open Source Security Foundation
By Myles Borins (GitHub), Jordan Harband (No affiliation), Jeff Mendoza (Google), Erez Rokah (CloudQuery), Laurent Simon (Google), Liran Tal (Snyk), Randall T. Vasquez (Gentoo) We are excited to announce the v1 release of the “npm Best Practices,” a new guide focused on dependency management and supply chain security for npm. This release is the result of the OpenSSF Best Practices Working Group.
自分の行っているセキュリティ関連の情報収集 - ドキュメントを見たほうが早い
聞いてるポッドキャストでセキュリティ情報収集どうしているのかといった話題があった*1ので、いい機会だから自分の行っているセキュリティ関連の情報収集をまとめてみた。 前提 どんな人 セキュリティに興味あるWebアプリケーションエンジニア*2 興味の範囲 Webアプリケーションにまつわるセキュリティ全般 サービス開発・運用まわりに関するセキュリティ 知りたい情報 関係ありそうな脆弱性情報 興味範囲の最近の話題やトレンド その他セキュリティ関係で話題になっていそうなこと 話題やトレンドはキーワードを拾い後から調べられるように脳にインデックスを作っておくのが目的で、網羅や詳細に知ることはあまり意識していない。 情報ソース 前提に書いた知りたい情報を、各種サイト・ブログ、Twitter、Podcast から収集している。 Twitter は脆弱性情報などスピードが重要なものからトレンドまで幅広く知れ
Go Secure Coding Practice の日本語翻訳を公開します - Techtouch Developers Blog
はじめに Go Secure Coding Practice とは コンテンツ一覧 良かったところ 注意すべきところ 最後に はじめに こんにちは。SRE の izzii です。 テックタッチのエンジニア規模もそれなりに拡大し、若手の採用も進んできたため、セキュアコーディングを徹底していきたいという思いがあり、まずは意識改革ということで勉強会を実施しました。セキュアコーディングを目的とした場合には教育だけでなく Static application security testing (SAST) の導入といった方法もあるのですが、まずは自分を含めた開発メンバーにノウハウをインストールすることにしました。セキュアコーディングへの意識が高まれば、いづれ SAST の導入の際に抵抗感も少ないだろうと考えています。いきなり SAST を導入しても、誤検知が煩くて浸透しないリスクもありうると考えてい
FIDO認証できるユーザーをスキャンさせない設計を考える
ritouです。 背景 これまで数年に渡り、「新規登録/ログイン時に登録状態がわかるレスポンスを返してくれるな。」というお話をしてきました。 SMSやEmailを入力して認証コードなどを送るタイプのログイン方法でも同様の実装は可能であり、表向きは「認証コードを送信したよ。受け取った値を入れてくれよな。」としつつ実際は既に登録済みだからログインからこい、未登録だから新規登録から来い見たいな内容を送りつつ、画面では正規のユーザーと同様のトークンなりを送り検証が絶対通らん！ みたいなのを実装したりしています。 ではこれをWebAuthnなりネイティブ機能で提供されるFIDO認証でこれを実現したいとなった時にどうしたら良いか、細かく考えたらやっぱりめんどいなって話をします。 想定する環境 パスワード認証と組み合わせる2FA用途ではなく、FIDO認証のみでログインさせる 最初にユーザー識別を行うかど
従業員を標的にした認証サービスに対するスミッシングについてまとめてみた - piyolog
2022年8月7日、米国のクラウドコミュニケーションプラットフォームサービスを提供するTwilioは従業員がスミッシングによるアカウント侵害を受け、その後に同社サービスの顧客関連情報へ不正アクセスが発生したことを公表しました。また、Cloudflareも類似の攻撃に受けていたことを公表しました。ここでは関連する情報をまとめます。 米国2社が相次ぎ公表 TwilioとCloudflareは、従業員に対し、何者かがIT管理者からの通知になりすましたSMSを送り、記載されたURLからフィッシングサイトへ誘導される事例が発生したことを報告。 2022年8月7日 Twilio Incident Report: Employee and Customer Account Compromise 2022年8月10日 Cloudflare The mechanics of a sophisticated
【重要】個人情報漏洩に関するお詫びとお知らせについて - 重要なお知らせ一覧 - 出光カード
【重要なお知らせ／続報】個人情報漏洩に関するお詫びとお知らせについて 2022年10月26日 2022年8月4日に公開した「【重要】個人情報漏洩に関するお詫びとお知らせについて」にて公表いたしました、弊社の会員サイト「ウェブステーション」での情報漏洩の可能性につきまして、漏洩の原因となりました画面表示を最適化するサービスを提供していた企業（株式会社ショーケース）の詳細な調査結果により、情報の一部が漏洩した可能性がある期間が、公表当時にお伝えした期間とは異なることが判明いたしました。 会員様をはじめ、関係者の皆様に多大なるご迷惑、およびご心配をおかけする事態となりましたこと、深くお詫び申しあげます。 なお、判明した期間により、新たに情報が漏洩した可能性のある会員様には、本日Eメールにてお詫びとお知らせを個別に送らせていただいております。 会員様をはじめ関係者の皆様には重ねてお詫び申しあげます
【PoC編】XSSへの耐性においてブラウザのメモリ空間方式はLocal Storage方式より安全か？ - Flatt Security Blog
はじめに こんにちは。 セキュリティエンジニアの@okazu-dm です。 この記事は、Auth0のアクセストークンの保存方法について解説した前回の記事の補足となる記事です。前回の記事の要旨をざっくりまとめると以下のようなものでした。 Auth0はデフォルトではアクセストークンをブラウザのメモリ空間上にのみ保存するin-memory方式であり、XSSへの耐性のなさ等の理由でlocalStorageで保存することを推奨していない しかし、XSSでアクセストークンを奪取できるのはin-memory方式でも同じのはず(検証は行いませんでした)。localStorage方式を過度に忌避する必要はないのではないか なお、Flatt Securityの提供するセキュリティ診断はAuth0に限らずFirebase AuthenticationやAmazon CognitoなどのIDaaSのセキュアな利用
シスコがサイバー攻撃受け不正侵入、きっかけは従業員の個人Googleアカウント悪用
Cisco Talos Intelligence Groupは8月10日(米国時間)、「Cisco Talos Intelligence Group - Comprehensive Threat Intelligence: Cisco Talos shares insights related to recent cyber attack on Cisco」において、2022年5月24日に同社がサイバー攻撃を受けたと伝えた。調査の結果、従業員の個人的なGoogleアカウントがサイバー犯罪者に悪用されたことから、攻撃が始まったことがわかったと報告している。 Cisco Talos Intelligence Group - Comprehensive Threat Intelligence: Cisco Talos shares insights related to recent cyber
Incident Report: Employee and Customer Account Compromise
Products Communications Messaging Send and receive multichannel text and media messages in 180+ countries
Introducing the new npm Dependency Selector Syntax
August 3, 2022 npm query is a new top-level command as of npm v8.16.0 which accepts a Dependency Selector (as defined in the Dependency Selector Syntax Specification) & returns a filtered JSON Array/NodeList of dependencies from your project. We believe this capability has been a missing piece of the package management ecosystem; With its introduction we hope to unlock the potential for developers
サイボウズ青野氏とさくら田中氏対談 禁断の「チェックシート問題」について
さくらインターネットの田中氏は「クラウドサービスの利用が業務委託やアウトソーシングの延長として考えられていることも問題です。アウトソーシングサービスなど外注先に何かを委託する時に使われていたチェックシートを、クラウドサービスの利用でも使われていることにも疑問を感じます」と指摘する。 加えて、サービス事業者側のコスト問題もある。田中氏は「システム開発を外注する場合は1人月で数十万レベルの単価になりますが、クラウドサービスは1ユーザー当たり月額数百円、高くても数千円程度でしょう。チェックシートの個別対応コストを考えると、サービス事業者としては複雑なところです」ともコメントする。 田中氏のコメントに対して、青野氏は次のように意見する。 「結局、ユーザー企業からバラバラのフォーマットで届くセキュリティチェックシートの対応コストを誰が支払っているかというと、最終的には利用者が払うわけです。ユーザー企
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Outcomes from Open Source Software Security Summit in Japan – Open Source Security Foundation
package-manager-best-practices/published/npm.md at main · ossf/package-manager-best-practices
NIST SP 800-215 (ドラフト) 安全なエンタープライズ・ネットワーク環境のためのガイド - まるちゃんの情報セキュリティ気まぐれ日記
「ニンテンドーWi-Fi USBコネクタ」および「ニンテンドーWi-Fiネットワークアダプタ」使用中止のお願い｜サポート情報｜Nintendo
