パスワードを紛失して開けなくなったZIPファイルを30年越しにクラックした方法とは？
CloudflareでCTOを務めるジョン・グラハム＝カミング氏が、30年前のZIPファイルをクラックして解読に成功し、その方法についてブログに記しました。 John Graham-Cumming's blog: Cracking an old ZIP file to help open source the ANC's "Operation Vula" secret crypto code https://blog.jgc.org/2024/09/cracking-old-zip-file-to-help-open.html 南アフリカで反アパルトヘイト活動をしていたティム・ジェンキン氏は、かつてアフリカ民族会議(ANC)の暗号化通信システムを構築しました。その通信システムのソースコードはパスワード付きのZIP形式で保存されていたものの、ジェンキン氏はパスワードを忘れてしまったとのこと。
100億件ものパスワード情報がインターネット上で流出、「史上最大のパスワード漏えい」との指摘も
2024年7月4日、ハッキングフォーラム上に約100億件ものパスワード情報を含むファイルが投稿されました。セキュリティメディアのCybernewsは「史上最大のパスワード漏えい」として、今回のデータ漏えいについて報じています。 RockYou2024: 10 billion passwords leaked in the largest compilation of all time | Cybernews https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/ This is likely the biggest password leak ever: nearly 10 billion credentials exposed | Mashable https://mashable.com
【ルフィ広域強盗事件】「シュガー」渡辺被告のiPhoneロックを解除！ アップルでも解除できないロックをハイテク班はいかにして解いたか（甲斐 竜一朗）
30年を超える記者生活で警察庁・警視庁・大阪府警をはじめ全国の警察に深い人脈を築き、重大事件を追ってきた記者・甲斐竜一朗が明らかにする刑事捜査の最前線。最新著書『刑事捜査の最前線』より一部を連載形式で紹介！ 前編記事＜2023年最大の匿流・「ルフィ広域強盗事件」、3年前から追っていたフィリピンのグループを警視庁はどう追いつめたか＞ 「ここまで来たか」 稲城市の事件から約3ヵ月後の1月19日、前述の狛江市の強盗殺人事件が発生する。90歳の高齢女性を撲殺するという残忍極まりない犯行態様。各地で発生した事件の中で唯一死者が出たこの事件を契機に、広域強盗事件は国民の体感治安を急激に悪化させる。犯行グループの実態解明と壊滅、何より首謀者の摘発は関係する都道府県警の刑事警察にとって最重要の課題となった。 警視庁は調布署に特別捜査本部を設置し、発生翌日の1月20日に最初の捜査会議が開かれる。捜査1課の
パスワード不要の認証技術「パスキー」はパスワードよりもエクスペリエンスが悪いという批判
FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で
IoTデバイスの「admin」や「12345」など推測が容易なデフォルトパスワードをイギリスが世界で初めて禁止
スマートテレビやスマート電球などのIoTデバイスは、家具や家電をインターネットに接続することで日常生活を便利にしてくれますが、同時にセキュリティ上のリスクをもたらす可能性もあります。イギリスでは2024年4月29日(月)に「Product Security and Telecommunications Infrastructure Act(PSTI法：製品セキュリティおよび通信インフラストラクチャー法)」の改正案が施行され、世界で初めて「IoTデバイスの推測しやすい脆弱(ぜいじゃく)なデフォルトパスワード」を禁止しました。 New laws to protect consumers from cyber criminals come into force in the UK - GOV.UK https://www.gov.uk/government/news/new-laws-to-pr
警察へのスマホのパスコード開示は拒否できると州最高裁が判決を下す、パスコードに関する司法の見方が完全に混乱していて連邦最高裁に持ち越されるとの指摘も
警察へのパスコード提供を拒否できるかどうかを問うた裁判で、ユタ州最高裁判所が全会一致で拒否可能との判決を下しました。 Suspects can refuse to provide phone passcodes to police, court rules | Ars Technica https://arstechnica.com/tech-policy/2023/12/suspects-can-refuse-to-provide-phone-passcodes-to-police-court-rules/ この判決は、元恋人を誘拐し暴行を加えた容疑で逮捕されたアルフォンソ・バルデスに関する審理の中で行われたものでした。 この事件を担当した警察官はバルデスのスマートフォンの中身を見るために捜索令状を取りましたが、パスコードを解読できず、ロックを解除するようバルデスに要求しました。しかしバ
設備のパスワードをデフォルトの「1111」から変更しなかった水道事業者がイランのハッカーにハッキングされてしまう
2023年11月以降、イランのイスラム革命防衛隊(IRGC)傘下にある「CyberAv3ngers」というハッキンググループが、イスラエル製のコンピューター機器を使うアメリカの水道施設などにハッキングを行っています。一部の水道事業者は、設備のパスワードをデフォルト設定の「1111」から変更していなかったため、簡単にハッキングされてしまったと報じられています。 IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including U.S. Water and Wastewater Systems Facilities | CISA https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a Iran-linked cyberattacks t
アレンジした「使い回しパスワード」でも破られる、高確率で推測する手法が出現
言うまでもなくパスワードの使い回しは危険だ。あるWebサービスからパスワードが流出した場合、別のWebサービスに不正にログインされる恐れがある。いわゆるリスト型攻撃だ。 これを避けるには、Webサービスごとに異なるパスワードを設定する必要がある。とはいえ、1人で多数のWebサービスを利用している現状では、全く異なるパスワードを設定するのは難しい。ベースとなるパスワードを1つ決めて、それをアレンジすることで異なるパスワードをつくっている人は多いはずだ。例えば冒頭や末尾に文字列を追加したり、一部の文字列を別の文字列に置き換えたりする。 ところが元のパスワードからアレンジ後のパスワードを推測される恐れがあるという。その推測方法を紹介しよう。 アレンジのプロセスをモデル化 ユーザーはどのようにパスワードをアレンジするのだろうか――。中国の研究者グループはそのプロセスを機械学習のモデルにし、高確率で
パスワードの利用実態調査2023 | トレンドマイクロ
トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長 兼 CEO：エバ・チェン 東証プライム：4704、以下、トレンドマイクロ）は、ID/パスワードでのログインが必要なWebサービスの利用者を対象に、Webサービスおよびパスワードの利用や管理の実態を調べる「パスワードの利用実態調査 2023」を実施しました。本調査の結果は以下の通りです※1。 ※1 調査結果のパーセンテージは、小数点以下第二位を四捨五入した数値です。 ■8割以上の利用者がパスワードを使いまわし Webサービスの利用者（n=1,030）のうち、83.8％（863人）が複数のWebサービスでパスワードを使いまわしていることが分かりました（図1）。2020年の調査でも85.7％が使いまわしをしていることが明らかになっており、微減傾向は見られるものの、未だに多くの利用者がパスワードを使いまわしている状況が分かりました。 パ
Googleがパスワード不要でログインできる「パスキー」に対応したのでiPhoneとAndroidスマホで試してみた
「パスキー」は各種ウェブサイトにパスワード不要でログインできるようにする仕組みで、AppleやGoogle、Microsoftといった大手テクノロジー企業が利用を推進しています。新たにGoogleのログインシステムがパスキーに対応してパスワード不要でログインできるようになったので、実際にAndroidスマートフォンやiPhoneを用いてGoogleにログインする手順を確認してみました。 Passkeys: What they are and how to use them https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/ ・目次 ◆1：パスキーでのログインを有効化する手順 ◆2：Androidスマートフォンを使ってGoogleにログインする手順 ◆3：iPhone
押収のパソコンからのべ数百万人分のIDパスワード 神奈川県警 | NHK
スマートフォンの決済サービスの不正利用事件で、神奈川県警察本部が逮捕した中国人グループのパソコンを詳しく調べたところ、のべ数百万人分にのぼるIDやパスワードなどの情報が保存されていたことが捜査関係者への取材でわかりました。 一部は国内で利用されている決済サービスのものだったということで警察は情報の分析や入手ルートの捜査を進めることにしています。 スマートフォンなどを使った決済サービスが不正利用された事件で、神奈川県警察本部は他人のアカウントに違法にログインし商品を購入したなどとしてこれまでに専門学校生の胡奥博容疑者（30）ら中国人グループを詐欺などの疑いで逮捕しています。 その後の捜査で警察がグループの指示役とみられる胡容疑者の自宅から押収したパソコンを詳しく調べた結果、のべ数百万人分にのぼるIDやパスワードなどの情報が見つかったことが捜査関係者への取材で分かりました。 このうち一部は、国
漏えいデータから分析、業界別“ガバガバパスワード”集 海外セキュリティ企業が公開
リトアニアのセキュリティ企業Nord Securityは3月30日、情報漏えいしたことがある企業のデータを基に、世界31カ国の大企業で働くビジネスマンが、仕事でよく使うパスワードのランキングを発表した。米国や日本、中国、インド、英国などからデータを集めたという。 「テクノロジー・IT」「航空・宇宙」など20業界でランキングを公開。例えばテクノロジー・IT業界の1位は「123456」だった。2位は「password」で、3位は「aaron431」。TOP10には「research」（4位）、「linkedin」（7位）、「社名や部署名（もしくはそれを一部変更したもの）」（12位）などもあった。 航空・宇宙業界も1位は「password」。2位は「社用メールアドレスのドメイン」、3位は「社名や部署名（もしくはそれを一部変更したもの）」だったという。TOP20には「opnesesame」（6位）
Nortonアカウントへのリスト型攻撃についてまとめてみた - piyolog
2023年1月13日、Gen Digitalよりリスト型攻撃によりアカウントが不正ログインされた可能性を知らせるアナウンスが利用者へ行われているとBleeping Computerが報じました。同社のパスワードマネージャーを利用している場合は影響を受ける恐れがあるとして注意が呼び掛けられています。ここでは関連する情報をまとめます。 侵害開始10日超で事態把握 既に外部へ流出している認証情報を使用するリスト型攻撃を行うことでNortonアカウントへの不正ログインが行われた。Bleeping Computerによれば、Gen Digitalは攻撃の標的となった可能性のある925,000件のNortonアカウント（非アクティブなものを含む）に対してパスワードリセットや追加的なセキュリティの対策といった保護措置を講じたとしている。*1 顧客宛に通知された内容によれば、Gen Digitalが攻撃に
Security Incident December 2022 Update - LastPass - The LastPass Blog
Please refer to the latest article for updated information. Update as of Thursday, December 22, 2022 To Our LastPass Community, We recently notified you that an unauthorized party gained access to a third-party cloud-based storage service, which LastPass uses to store archived backups of our production data. In keeping with our commitment to transparency, we want to provide you with an update rega
複数人で使ってそうな共通パスワードリストを正規表現を使ったルールで生成してみる
はじめに 12月ももう後半。 そろそろ大掃除の時期ですね。 私も大掃除がてら自分の個人リポジトリ整理をしていたところ、過去に作ったリポジトリがいくつか発掘されました。 そんな発掘リポジトリの中に組織で共通利用されてそうなパスワード(以下、メンバー間共通パスワード)を、正規表現を使ったテンプレートでリストを生成するという少し面白そうな内容のものがあったので、供養がてら公開してみたいと思います。 https://github.com/CyberDefenseInstitute/gen_commonpw 当時のことを思い出すと、だいたい↓の２つが動機で作った…んじゃないかなぁ…(自信がない)。 sre_yieldという正規表現を展開してくれるライブラリを見かけたのでなんか作ってみようと思った ちょうど同じ時期にメンバー間共通パスワードというものに興味があった メンバー間共通パスワードとはなにか？
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「過去に用いた2つ以上のパスワードから、変更後のパスワードを推測する手法」が発表され話題に【やじうまWatch】
GitHub - ohmybahgosh/RockYou2021.txt: RockYou2021.txt is a MASSIVE WORDLIST compiled of various other wordlists. RockYou2021.txt DOES NOT CONTAIN USER:PASS logins!
2023 Password Cracking: How Fast Can AI Crack Passwords?
AIによるパスワードの解析時間をセキュリティ会社が公開。8桁なら7時間以内に解析完了
個人情報保護委員会が公開の研修資料、「パスワードの定期的な見直し」にツッコミ相次ぐ【やじうまWatch】
