エフセキュアブログ : 間違いだらけのGumblar対策
間違いだらけのGumblar対策 2010年01月12日11:50 ツイート daiki_fukumori オフィシャルコメント by：福森 大喜 Gumblarが大流行し、大手メディアでも取り上げられるようになりましたが、情報が錯綜しているようです。そこで、実際に検体を解析しましたので、よくある間違いをQ&A形式にてお伝えします。 Q. OSだけでなくすべてのソフトウェアを最新版にアップデートしておけば大丈夫ですか？ A. 違います。最新版でも攻撃を受ける可能性があります。未パッチのAdobe Reader/Acrobatの脆弱性を攻撃するものも出回りましたので、対策としてはAdobe Reader/AcrobatのJavaScriptを無効にする必要があります。 修正版ソフトウェアは2010年1月12日(日本時間だと13日)に出る予定です。ただし、今後も同種の脆弱性が発見され、修正版
高木浩光＠自宅の日記 - 対策にならないフィッシング対策がまたもや無批判に宣伝されている, 追記（26日）
■ 対策にならないフィッシング対策がまたもや無批判に宣伝されている 「PCからオンライン取引、ケータイで認証」−ソフトバンクBBの新発想・認証サービス, Enterprise Watch, 2007年9月20日 「同サービスはまったく新しい認証の手段だ。暗号化技術にも依存しないので、クラッカーとのいたちごっこにもならず、これまでの認証の問題を一挙に解決することが可能。本当の意味でIT革命が起こせると期待できるサービスだ」と意気込みをあらわにしながら説明を行った。（略） 「PCを標的にしたハッキングやDoS攻撃を受ける可能性がゼロになる」（中島氏）。また、偽サイトとはシンクロしないため、フィッシング詐欺を100％防止することも可能だ。 ソフトバンクBB、携帯活用認証システムでWebサイトログイン対応に, ケータイWatch, 2007年9月20日 今回の新機能は、安全・簡便・低コストで、そう
産総研 RCIS: 安全なWebサイト利用の鉄則
お知らせ: 情報セキュリティ研究センターは、2012年4月1日にセキュアシステム研究部門 (2015-03-31 終了) に改組されました。 2015年4月1日現在、一部の研究は情報技術研究部門に継承されています。 この解説について 目的： フィッシング被害を防止するWebサイト利用手順の確認 著名なブランド名や会社名を騙った偽のWebサイトを作り、人をそこに誘い込んでパスワードや個人情報を入力させてかすめ取る、「フィッシング」 (phishing)と呼ばれる行為がインターネットの安全を脅かしつつあります。フィッシングの被害を防止するには、利用者ひとりひとりが本物サイトを正しく見分けることが肝心です。 しかしながら、どうやってWebサイトを安全に利用するか、その手順のことはあまり広く知られていないようです。技術者達の間では暗黙の了解となっていることですが、市販のパソコンの取扱説明書には書か
sshguard――OpenSSHを保護するツール | OSDN Magazine
もし辞書を使って力ずくで攻撃されたら――SSHに対するこの種の攻撃は珍しくないため、そう心配する人は多いだろう。しかし、こうした攻撃からSSHを守ってくれる新しいツールsshguardが登場した。まだベータ段階だが、十分に使えそうだ。 TelnetやFTPなどといった第1世代のネットワーク・プロトコルでは、ログイン手順は平文で処理される。したがって、そのセキュア版としてOpenSSHが登場したのは当然だろう。だが、Telnetの代わりにSSHを使っているからといって十分とはいえず、慎重に用いるべき点は同じだ。SSHに使うパスワードが弱いと、辞書を利用した力ずくの攻撃で、パスワードを平文で送ったのと同じくらいやすやすと解読されてしまうからだ。 そのポート22を力ずくの攻撃から保護しようと考え出されたのがsshguardだ。このツールはSSHへのログイン要求を監視し、攻撃があるとそのIPアドレ
3層構造に込められたセキュリティへの願い――ダイヤルバンク印開発秘話
独特のダイヤル構造に加え、ステンレス製の本体から醸す高級感などが読者の興味を引いたのかもしれない。はてなブックマークに寄せられたコメントを読むと、「すばらしいアイディア」「模様が変わるのは面白い」「アイデア賞ですね」など、商品のコンセプトが評価されたようだ。 受注生産ということもあり、本格的に市場に出回るのはこれから。2万1000円と印鑑としては高価な商品のため、近所の文房具店では注文すら受け付けていないケースもあるだろう。そこで、編集部では三菱鉛筆本社に乗り込み、いち早くダイヤルバンク印を触ってきた。 ダイヤルバンク印は、印鑑本体に8桁の数字のダイヤルを2列並べ、数字の組み合わせで印影を変える3層構造の印鑑。ダイヤルを操作で、姓の印面の向きとその外周の模様が変化し、64通りもの印影を選択できるのだ。サイズは直径が18ミリ、長さが45ミリ。重さは76グラム。 持ってみると、ひんやりとしたス
高木浩光＠自宅の日記 - サーバ証明書の期限切れ事故を防止するには？
■ サーバ証明書の期限切れ事故を防止するには？ JPNIC認証局なるものが実験運用されているようだ。利用対象者は「IPアドレス管理指定事業者」に限定されているため、物理的に配布されている「JPNIC認証局証明書の入手と確認の手順」に従うことになっているらしい。「誤った認証局証明書の組み込みは、Webサーバのなりすましの原因になります」との警告もされている。 それでもなお、fingerprintがWebにも掲示されている*1。ただし、https://serv.nic.ad.jp/capub/fingerprint.html という https のページに。そして、そのサーバのサーバ証明書は VeriSign発行のものになっている。そこまではよい。 だが、その証明書が7月20日で期限切れだ。 こうした事故はしばしば見かけるが、どうやって防止するのがよいのだろう？ 担当者が年がら年中、気にかける
秋元@サイボウズ研究所プログラマーBlog Sysinfo.org - Windowsのスタートアップにある不審なプログラムを調べるためのサイト
Sysinfo.orgというサイトで、Windows のレジストリ関係のデータベースが構築され、公開されている。 今のところ、BHO(Browser Helper Object, ブラウザから起動されるツールバーなどのプ […] Sysinfo.orgというサイトで、Windows のレジストリ関係のデータベースが構築され、公開されている。 今のところ、BHO(Browser Helper Object, ブラウザから起動されるツールバーなどのプログラム。スパイウェアや○ウェアマルウェアも含む)と、スタートアップに登録されるアプリケーション(こちらも悪意のあるアプリケーションを含む)のデータベースが公開されている。 スタートアップアプリケーションの情報一覧では、システムに必要なもの、不要なもの、ユーザが必要なら入れるもの、害のあるもの、といった分類がされ、すでに1万2千件を越える情報が入っ
武田圭史 » 個人情報の暗号化通信は漏洩にあたるか？
情報セキュリティ人材育成プログラム・応用コース座学編の最終講義を担当、「情報セキュリティインシデントと対策技術の動向」について話をした。 講義中のディスカッションで、「企業等が暗号化した個人情報を紛失・漏洩した場合にその事実を公表・謝罪すべきか？」という話になり、経済産業省のガイドラインでは「(個人情報については、)暗号化されているかどうかを問わない。」とあるので、暗号化されていたとしても平文の個人情報と同じく公表・謝罪が必要と認識され（それが本来あるべき姿かどうかは別として）実際に多くの企業が、暗号化した個人情報の紛失について事実の公表と謝罪を行っているという話をした。この背景には、暗号化されているとはいえ情報自体が組織の安全管理の及ばない状態にある場合にはすでにそのリスクをコントロールできない状態にあるという見方をされるためではないかということもコメントとして追加した。 さらに「個人情
振り込め詐欺のテクニック（音声ファイル） ：警視庁
再生方法 音声ファイルをダウンロードした後、再生してください。 音声ファイルは 「WMA形式」 と 「MP3形式」 を用意しています。 容量が大きい(最大約4MB)ため、再生又は保存に時間がかかる場合があります。 離れている息子から 「携帯買い替えて番号が変わったんだ…新しい電話番号を控えといてよ」 との連絡。 その番号から数日後、再度の電話。 「アルバイトで浄水器の販売をしてたんだけど、失敗の穴埋めするために会社の金を使いこんじゃって…。 会社の上司が立て替えてくれたんだけど、早く返さないと会社をクビになっちゃうから９８万円（96〜100万円のこともある）振り込んで！」 息子の携帯からかかってきたと信じている父親は…
［PostgreSQLウォッチ］第27回 SQLインジェクション脆弱性を修正，日本語ユーザーに大きな影響
［PostgreSQLウォッチ］第27回 SQLインジェクション脆弱性を修正，日本語ユーザーに大きな影響 SQLインジェクションに関する脆弱性の修正などを行ったPostgreSQL 8.1.4,8.0.8，7.4.13，7.3.15の各バージョンが，5月23日一斉にリリースされた（関連記事）。いずれも同じメジャーバージョン系列であれば，dump/restoreによるデータ移行なしでアップグレードできる(ただし，8.1，8.1.1から8.1.4への移行については注意が必要。詳細は付属のリリースノートを参照されたい)。 修正が提供されないPostgreSQL 7.2以前のバージョン 今回対策された脆弱性はPostgreSQL 7.2以前にも存在するが，開発者のポリシーにより，7.2以前はサポートの対象になっていない。いまだに7.2 以前のバージョンを使っているユーザーは，7.3以降にアップグレ
「PostgreSQL」にセキュリティ・ホール，SQLインジェクション攻撃を許す
PostgreSQL Global Development Groupは5月22日，オープンソースのデータベース管理システム（DBMS）「PostgreSQL 7.x／8.x」にセキュリティ・ホールが見つかったことを明らかにされた。不正なSQL文を送り込まれる「SQLインジェクション」攻撃を許して，データベース内の情報を操作される恐れなどがある。対策は，同日リリースされたバージョン 8.1.4／8.0.8／7.4.13／7.3.15にアップグレードすること。 今回見つかったセキュリティ・ホールは2種類。いずれもSQLインジェクション攻撃を許す恐れがあるもの。1つは，入力情報のチェックに関するセキュリティ・ホール。不適切にエンコードされた多バイト文字を含むパラメータを適切に処理できない場合があるという。このため攻撃者は，入力情報のチェック機構を回避して，不正なSQL文を送り込める可能性がある
mod_securityでWebサーバを守る(第1回)
一体、Webサイトを持たない組織は今どれくらいあるでしょうか。 Webサーバを自前で持つ、ホスティングサービスを利用する、など運用形態はさまざまですが、Webサイトを持たない組織はほとんどないと思える程に Webは普及しています。 ファイアウォールはほとんどの組織で導入済みであり、多くのWebサーバはファイアウォールの中で運用されているのが一般的です。 しかしながら、最も普及しているファイアウォールはIPアドレス、ポートレベルでのフィルタリングです。この方法でのフィルタリングでは、許可していないサービスが持つ脆弱性を狙った攻撃を阻止できるため有用ではありますが、HTTPを許可している場合Web自体への攻撃に対して無力です。一方で、HTTPを不許可にした場合にはWebサイトへアクセスできなくなってしまうため本来の目的を達成できません。しかもここ数年、Webサイトを狙ったワームや不正アクセスは
Winnyの通信解読に挑戦！
Winnyの通信を特定する方法には，「流れるパケットのパターン（トラフィック・パターン）を調べる方法」と，「パケットの中身を調べてWinnyのパケットであることを確認する方法」の2通りがある。前者は，直接中身のデータをのぞいているわけではないため，通信の秘密を守るという大前提があるプロバイダがWinnyを規制する際に使っている。しかし，Winnyの通信を確実に特定するなら，後者の方法がベストである。実際にWinnyの通信を解読できるのか，Winny作者の金子勇氏の著書『Winnyの技術』やインターネットで得られた情報などを参考に挑戦してみた。 Winny（ウイニー）同士の通信はすべて暗号化されている。このため，流れるパケットをのぞいても，内容がどんなものなのかだけでなく，Winnyの通信なのかどうかも，ひと目ではわからない。Winnyが採用している暗号アルゴリズムRC4は，Webアクセスや
脆弱性関連情報取扱い：脆弱性関連情報の調査結果：IPA 独立行政法人 情報処理推進機構
本資料は、JVNで公表した「JVN#74294680：『Winny』におけるバッファオーバーフローの脆弱性」について解説するものです。 「Winny(ウィニー)」はインターネットを利用して、不特定多数のユーザ間でファイルを交換できるソフトウェアです。不特定多数の個人間で、サーバを介さずに、直接データのやり取りを行います。 「Winny」には通信処理にバッファオーバーフローの脆弱性があります。遠隔の第三者によるソフトウェアの動作停止の可能性があるのみならず、一般的に、バッファオーバーフローの脆弱性は、任意の命令を実行される可能性があります。 開発者による修正方法は公表されていませんので、回避方法は「Winny利用の中止」となります。 最新情報は、JVN#74294680 を参照してください。
高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由
水色の四角は画面を表し、白抜き実線枠の四角はボタンを表す。 これを、Webアプリという実装手法を選択する場合に特化すると、図2のような遷移図が描ける。 実線矢印はブラウザが送信するHTTPのrequest（ヘッダおよび、POSTの場合はボディを含む）を表し、黄色の丸がサーバ側での1アクセスの処理を表し、点線がその処理結果を返すHTTPのresponse（ヘッダおよび、HTML）を表す。responseの上の文はHTMLの内容を説明するものである。黄色の丸の中の文は処理内容の説明であり、ここから複数のresponse矢印が出ている場合、処理の結果によって遷移先の画面が異なる場合であることを表し、破線の白抜き四角がその分岐の条件を概説している。 この図で例に用いているのは、ECサイトやblogサービスなどに見られる典型的な「登録個人情報変更」の機能である。「メインメニュー」画面の「登録情報変更
2006-04-09
ガンバは今年もやはり攻撃的でおもしろいですねえ。しかもサイドアタックの切れ味は去年よりも増してる感じですね。家長と加地が揃うと、これはかなり凄いことになってますよねー。あとは前線の破壊力がさらに出てくれば、もしかしたら去年以上におもしろくなるかも。去年は中央の大黒、アラウージョ、フェルナンジーニョのトライアングルが強力だったので、それにばかり目を奪われてましたが、マグノアウベスがさらに力を発揮すると、もっといけそうですよねー。 鹿島も若い力の勢いとかを感じるんだけど、攻め手はイマイチかなあ。こちらもサイドアタックは強力なんだけど、中央が今ひとつっすよね。ってかここに柳沢が居れば、という気はしますね。柳沢が居ればアレックス・ミネイロ（今日は存在感いまいちだったなあ）ももう少し力を発揮できるだろうし、本山や小笠原ももっと絡めると思うんだけどなあ。野沢をフォワードに入れて、本山はトップ下、小笠原
SQL Injection攻撃の脅威と対策について
平成18年３月30日 警 察 庁 SQL Injection攻撃の脅威と対策について １ はじめに 平成17年3月、旅行会社のサーバコンピュータに約19万回にわたりSQL Injectionによ る攻撃を繰り返し、同社が管理する会員の氏名、住所、会員ID、パスワード等の個人情 報 約 16万 件 を 不 正 に 入 手し た 者 が 、 同 年 6月 、 不 正 ア ク セ ス 禁 止法 違 反 で 検 挙 され た 。 最 近 、 こ の事 件 をは じ めと し て、 SQL Injectionの攻 撃 によ る 被害 事 案の 報 道が 盛 ん に行われるようになり、多くのセキュリティベンダや団体が注意喚起を実施し、セキュ リ テ ィ 対 策 を啓 発 し て い る。 そ れに も かか わ らず 、 SQL Injectionに よ る攻 撃 の被 害 が 今も多く発生し、問
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PC
ソースネクスト
http://www.mainichi-msn.co.jp/shakai/wadai/news/20060407k0000e040057000c.html