メールアドレスをハッシュ化したものを公開してもよいのか - しまたろさんの掃き溜め
注意 この記事は攻撃の実行を教唆する目的で書かれたものではなく、特定の状況におけるセキュリティ上の問題点を指摘するために公開しているものです。この記事に書かれた内容を実行して発生した結果について、筆者は一切の責任を負いません。 はじめに インターネット上で他人のメールアドレスをmd5で二重ハッシュしたものを公開されている方を見かけたため、解析する実験を行いました。 メールアドレスのユーザー名部分は多くの場合小文字のアルファベットと数字のみ（36文字）のそれほど長くない列で構成されており、ブルートフォース攻撃（総当り攻撃）によって簡単に特定できてしまうと考えられます。 またドメイン部分に関しても、一般の方が使うメールプロバイダが限られていることを考慮すると、サイズの小さい辞書でも十分な確率で当たるものと考えられます。 実験 今回はhashcatという、GPUでハッシュ値を解読するソフトウェア
メールでマルウェア送りつける手法、再現性高すぎてヤバイので図解します｜＼そや／ ペア読書の生みの親
ついさっき、コインチェック社が会見をしていたんですね。NEM流出事件の件で、ハッキングされた経路がメールからのマルウェア感染ですよってところまで明るみにでました。 それでぼくは思ったんですが、これめちゃくちゃ引っかかりやすいヤバイ手法だなぁということです。 メールからのマルウェアなんて古典的な手法だとおもうんですが、こんなインターネットな世の中なので、ますますやりやすくなっていて危ないぞ！ということです。 そしてちゃんと言っておきたいのは、このnoteは注意喚起の目的で書いているということです。絶対真似しちゃダメですよ...。普通に法の裁きがあなたを待っています。法治国家最高。 あと、マルウェアを送りつけて開かせる所までしかあつかいません。その先の可能性はマルウェア次第で無限大ですってことでなにとぞ。 てことでどうぞ！ ということでした。 ぼくはセキュリティの専門家とかではないのですが、こ
Google Chrome62がセキュリティ強化で常時SSLを実装していない場合警告が！？どのような表示になるかチェックしてみた
ここ最近になってブロガー界隈ならびにサイト運営者の間で話題になることが多いSSL。 話題が膨れ上がったのは、2017年8月中旬に「Chrome のセキュリティ警告を "http://ドメイン" に表示します」といった内容のメールがGoogleが届いたタイミングです。 実際に届いたメールの内容 Chrome のセキュリティ警告を http://ドメイン名 に表示します http://ドメイン名 の所有者様 2017 年 10 月より、ユーザーが Chrome（バージョン 62）で HTTP ページのフォームにテキストを入力すると、「保護されていません」という警告が表示されるようになります。また、シークレット モードを使用している場合は、HTTP ページにアクセスするだけで「保護されていません」と表示されます。 貴サイトでは、たとえば以下に示す URL に、Chrome の新しい警告が表示され
ハッシュと暗号は違うぞ！ / Do not confuse hashes and ciphers.
PHP勉強会#110での発表資料です。
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
Nginxセキュリティ設定 - Qiita
概要 Apacheセキュリティ設定と同等程度の設定を目指します。 Apacheとの対比のために、Nginx上設定が不要な項目も設定不要として記載します。 SSLの設定はここでは記載していません。 想定環境 NginxのMainlineの最新版を使います。 現時点(2016/1/27)の最新版は1.9.10なのでそれを使います。 Stableではなく、Mainlineを利用します。 StableとMainlineの違いはnginx開発者コメント：nginx 1.8およびnginx 1.9リリースについてには以下のようにあります。 ステーブルラインとメインラインの重要な違いは、メインラインはインフラストラクチャ操作に影響を与える可能性があり、開発APIの変更がある場合があるため、nginxのサードパーティ製モジュールや拡張機能に影響を及ぼす場合があります。それ以外は、安全にご利用いただけます。
「全社員2300人に会社貸与PCやめます」は成功するのか？
BYODといえば、セキュリティの確保や端末の管理コストが負担となって期待した効果が得られないというケースも多い。ところが「管理面でもコスト面でも身軽になれる」と全社BYODに舵を切った会社がある。 PCがなければ仕事にならないという企業は多い。となれば、業務用PCは会社が用意して社員に貸与することが一般的だ。機種を選べることもあるが、ほとんどの会社は支給されたPCで仕事に励むことになる。 従業員数が少ないITベンチャーなどでは個人所有PCの持ち込みを認めているところもある。しかし、どちらかといえばBYOD（Bring Your Own Device）といえばネガティブなイメージを抱く情シスが多いのではないだろうか？ セキュリティの確保や管理コストの増大など、導入したものの上手くいかないという事例が多いからだ。 ところが、全社員（約2300人）を対象として貸与PCを撤廃、BYODへの全面移行
日本年金機構の情報漏えいについてまとめてみた - piyolog
2015年6月1日、職員PCがマルウェアに感染したことにより、情報漏えいが発生したことを日本年金機構が発表しました。ここでは関連情報をまとめます。 公式発表 日本年金機構 2015年6月1日 (PDF) 日本年金機構の個人情報流出について 2015年6月3日 (PDF) 個人情報流出のお詫び - 日本年金機構 理事長 水島藤一郎 (平成２７年６月２日) 2015年6月3日 (PDF) 個人情報流出の報道発表を悪用した不審な電話等にご注意ください！ 2015年6月3日 (PDF) 日本年金機構の個人情報が流出したお客様へのお詫びについて 2015年6月6日 (PDF) 日本年金機構ホームページの一時停止について 2015年6月8日 (PDF) 日本年金機構ホームページの暫定対応について 2015年6月22日 (PDF) 日本年金機構の個人情報が流出したお客様へのお詫びについて 2015年6月
レノボPCの人は今すぐチェックを！一部製品にSuperfishの大穴
レノボPCの人は今すぐチェックを！一部製品にSuperfishの大穴2015.02.20 04:1621,191 satomi レノボPCの人は今すぐココ開いてSuperfishの脆弱性にやられてるかどうかチェックしてください！ ｢Good, ～｣って水色の文字で出たらセーフ。｢Yes｣はアウトなので後述の指示に従ってね。 レノボ製の2014年9月～12月製造（lenovo発表）のパソコンに工場出荷の段階で｢セキュアな取引きまで傍受できる｣とんでもないアドウェアがプリインストールされていたことが、同社フォーラムに寄せられた苦情多数で明らかになりました。 ソフトの名前は｢Superfish｣。グーグルの検索結果やサイトを開くとユーザーの許可なしにサードパーティー製の広告を挿入するアドウェアで、少なくともChromeやIEでは動作が確認されています。 広告挿入もひどいけど、問題はそれだけじゃあ
ブログやサイトのパフォーマンス改善やセキュリティ向上のためによく使う.htaccessの設定のまとめ
ブログやWebサイトのパフォーマンスの改善やSEO、セキュリティの向上に役立つ.htaccessの設定を紹介します。 ドメインをwww有り・無しに統一、新ドメインに引っ越した時のリダイレクト、URLをクリーンなものにしたり、共有サーバーでのPHPのバージョンを指定したりなど、すぐに利用できるものばかりです。 .htaccess Snippets -GitHub 元記事には有用な.htaccessのスニペットがPublic Domainでまとめられおり、それら全部に加えて.htaccessファイルの作成と使い方を加えました。 .htaccessファイルの作成と使い方 リライトとリダイレクトの設定 セキュリティの設定 パフォーマンスの設定 その他のいろいろ有用な設定 .htaccessファイルの作成と使い方 「.htaccess」ファイルを作成することは非常に簡単です。 テキストベースのアプリ
首都大のNASが踏み台に、スパム10万通送信 管理パスワード初期値のまま運用
首都大学東京は2月2日、学内のNAS（ネットワーク接続ストレージ）が踏み台に悪用され、学外へ約10万通の迷惑メールを送っていたことが分かったと発表した。NASに格納していた個人情報への不正アクセスの形跡は確認していないが、流出の可能性は否定しきれないという。 同大学は1月19日に、学生や教員らのべ約5万1000人分の個人情報を保存したNASが外部に公開（FTP共有）された状態になっていたことで情報が流出した可能性があると発表したばかり。 同大の報告によると1月27日、南大沢キャンパス（東京都八王子市）内の社会福祉学教室が管理するNASから大量のスパムメールが送信されていることを、学術情報基盤センターが検知。すぐにNASをネットワークから切り離し、被害状況を調べたところ、同日午後3時6分から4時37分の約1時間半の間に約10万通送信されていたという。 NASはFTP共有を無効にしていたが、管
glibc の脆弱性 CVE-2015-0235（通称：GHOST）についてまとめてみた - piyolog
2015年1月27日(現地時間) Qualysはglibc(GNU C Library)に脆弱性を発見し、情報を公開しました。ここでは関連情報をまとめます。(暫定まとめなので精度低め、網羅性無しです。。) (1) 脆弱性関連情報 Qualysが公開した脆弱性情報 The GHOST Vulnerability Qualys Security Advisory CVE-2015-0235 注意喚起 IPA (注意) libc の脆弱性対策について(CVE-2015-0235) 脆弱性の概要 glibcの__nss_hostname_digits_dots() にヒープバッファオーバーフローの脆弱性。 当該関数はglibcのgethostbyname()とgethostbyname2()から呼ばれている。 アプリケーションによっては、DoS、またはリモートから任意のコードが実行可能となる可能性
首都大学東京の情報流出の件で公開質問状送った - 職質アンチパターン
[2015/01/21 12:58 追記] 質問は受領された様子． 首都大学東京の情報流出の件で公開質問状送ったら返ってきた - 職質アンチパターン [追記ここまで] [2015/02/2 21:26 追記] 回答が来た． 首都大学東京の情報流出の件で公開質問状送ったら *ちゃんとしたのが* 返ってきた - 職質アンチパターン [追記ここまで] 首都大学東京、学生ら5万1000人分の個人情報が流出した可能性 NASが外部に公開状態 - ITmedia ニュース まあこれの件なんだけど．うやむやにされても腹立つので公開質問状送った． 学内のメールアドレスから送ってるので，これ無視されたら相当だと思う． 以下公開質問状>>> 報道等でも公にされていますが，この度の情報流出の件に関しまして質問させて頂きます．ご回答の方よろしくお願いします． 質問は以下のとおりです． 1. 外部から FTP でア
ブラウザのプライバシーモードを無視してしまう「スーパークッキー」とは？
ウェブサイトを閲覧するにはInternet ExplorerやGoogle Chrome、Firefox、Safariなどのウェブブラウザを使用する必要があり、これらのウェブブラウザにはプライバシー情報を保護するためにブラウジング時の履歴やCookie(クッキー)、一時ファイルなどを残さないプライバシーモードが存在します。しかし、プライバシーモードを使用してもこれらの機能を無視してユーザーの行動をトラッキングしてしまう「スーパークッキー」という手法が新たに生み出されました。 Browsing in privacy mode? Super Cookies can track you anyway | Ars Technica http://arstechnica.com/security/2015/01/browsing-in-privacy-mode-super-cookies-can-t
Linuxをクラッシュさせられるバグが権限昇格のバグに進化した件 - ブログ - ワルブリックス株式会社
今月の初めに公表されていた、一般ユーザーが Linuxシステムをクラッシュさせてしまえるバグ CVE-2014-9090 が実は root権限の奪取にも使えることがわかり CVE-2014-9322 に進化しています。 CVE-2014-9090の日本語情報はこちら。 Linux Kernel の arch/x86/kernel/traps.c 内の do_double_fault 関数におけるサービス運用妨害 (DoS) の脆弱性 要するに、64bit版の Linuxでは管理者権限を持たない一般ユーザーが「わざと」システムをクラッシュさせてしまうことができるということです。対象となるのは x86_64用 Linuxカーネルの 今までの全てのバージョンです。 いま動いてるLinuxが 32bitか64bitかよくわからない場合は uname -m と入力して i686と出れば 32bit、
ASCII.jp：データ消失！あのとき、ファーストサーバになにが起こったか？ (1/2)｜データ消失事故から2年！ファーストサーバ、再生への第一歩
今から2年前の2012年の6月20日、レンタルサーバー会社のファーストサーバは、大規模な顧客データの消失事故を引き起こした。あのときなにが起こったか？ ファーストサーバのさまざまな部門の担当に、当時の状態を振り返ってもらった。 ファーストサーバは今も変わらずビジネスを展開している ファーストサーバの顧客データ消失事故に関するドキュメンタリーを書きたいと思った。事故の原因究明や責任の所在を明らかにするのではなく、当事者の話を積み上げていくような記事が書きたいと思った。 そして、今回ファーストサーバの全面的な協力により、事故当時から現場を統率してきた現代表取締役社長の村竹昌人氏をはじめ、営業、開発、運用、マーケティング、広報、サポート、管理など各部門の担当者に話を聞くことができた（以下、敬称略・役職は現職）。 事故から2年間の間、ファーストサーバはひたすら事故の影響を受けたユーザーへの対応と再
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
めんどうくさいゲームセキュリティ
SIOS Tech. Lab - エンジニアのためになる技術トピックス
OpenSSL、深刻度「最高」レベルの欠陥を修正するアップデートをリリース
OpenSSLにまた重度の欠陥、修正アップデートは3月19日にリリース