マイクロソフト、Linux用のマルウェア対策ソフト「Microsoft Defender ATP for Linux」正式版リリース
マイクロソフト、Linux用のマルウェア対策ソフト「Microsoft Defender ATP for Linux」正式版リリース マイクロソフトはLinux用のマルウェア対策ソフト「Microsoft Defender ATP for Linux」の正式版リリースを発表しました。 Today we're also excited to announce general availability of Microsoft Defender ATP for #Linux! Customers now get a truly unified security experience for the full spectrum of mobile, desktop, and server platforms. https://t.co/JUeXVgrIO0 #mdatp #linuxsecuri
Dropbox Businessは非常に危険です | 江口某の不如意研究室
（この記事は、Dropbox社に対してフェアじゃないものになっています。続きの「Dropbox Businessは馬鹿が使うと非常に危険なことを検証しました」も読んでください） 最近、非常に重大な事故を起こしてしまったので報告します。実際の被害は、最高が7だとすると3か4ぐらい、しかし潜在的な危険度からいうと7段階で7、ってくらい重大。Dropboxでファイルを大量に失なってしまったばかりか、個人情報流出の危険をおかしてしまいました。（実際には流出といえるものはありませんでしたが） Dropbox Businessチームに招待され参加して「アカウントを統合」すると、自分では抜けられない状態になる それだけでなく、それまで自分がもっていたファイルもすべてチームのものになる 個人用の契約が勝手に解除されてしまう 私のアカウントを削除すると、管理者は私のファイルを自分のものにすることができる 管
求む！TLS1.3の再接続を完全に理解した方(Challenge CVE-2020-13777) - ぼちぼち日記
1. GnuTLSの深刻な脆弱性(CVE-2020-13777) 先日、GnuTLSで深刻な脆弱性が見つかりました。 GNUTLS-SA-2020-06-03: CVE-2020-13777 It was found that GnuTLS 3.6.4 introduced a regression in the TLS protocol implementation. This caused the TLS server to not securely construct a session ticket encryption key considering the application supplied secret, allowing a MitM attacker to bypass authentication in TLS 1.3 and recover previous c
PHPの脆弱性CVE-2018-17082はApacheの脆弱性CVE-2015-3183を修正したら発現するようになったというお話
最近自宅引きこもりで時間ができたので、YouTube動画を投稿するようになりました。みんな見てねー。 徳丸浩のウェブセキュリティ講座 そんなことで、次の動画は、お気に入りのPHPの脆弱性 CVE-2018-17082 を取り上げようと思ったんですよ。表向きXSSで出ているけど、金床さんのツッコミにもあるように、実はHTTP Request Smuggling(HRS)だというやつです。でね、下準備であらためて調べていると、なんかよく分からない挙動がワラワラと出てくる。なんじゃ、こりゃ。CVE-2018-17082 全然分からない。僕は気分で CVE-2018-17082 を扱っている… で、雑に整理すると、以下のような感じなんです。 古い環境だとCVE-2018-17082は発現しない（2015年以前） 少し古い環境だとCVE-2018-17082は発現する 新しい環境だとCVE-2018
Let's EncryptがはまったGolangの落とし穴 - ぼちぼち日記
0. 短いまとめ 300万以上の証明書の失効を迫られたLet's Encryptのインシデントは「Golangでよくある間違い」と書かれているようなバグが原因でした。 1. はじめに、 Let's Encryptは、無料でサーバ証明書を自動化して発行するサービスを行う非営利団体として2014年に設立されました。 2015年にサービス開始されると証明書の発行数はぐんぐん伸び、先月末のプレスリリースでは累計10億枚のサーバ証明書を発行したことがアナウンスされました「Let's Encrypt Has Issued a Billion Certificates」。CTLogの調査から、2020年2月末の時点では有効な全証明書の38.4%がLet's Encryptの証明書であるとみられています「Certificate Validity Dates」。 無料の証明書を提供してもらえるのは非常に嬉し
Twitterも影響を受けたSSL VPN製品の脆弱性についてまとめてみた - piyolog
2019年7月以降、セキュリティ企業DEVCORE社の研究者により複数のSSL VPN製品に深刻な脆弱性が報告されました。2019年8月下旬から脆弱性を探査する動きが確認されており、既に脆弱性を悪用する攻撃も発生しているとしてJPCERT/CCやVOLEXITYにより注意喚起が行われています。ここでは関連する情報をまとめます。 深刻な脆弱性が確認されたSSL VPN製品 3社のSSL VPN製品を対象に脆弱性が確認された。 ベンダ（アドバイザリ） 修正日・情報公開日 影響を受ける製品／バージョン Paloalto Networks （PAN-SA-2019-0020） 2019年7月18日情報公開 ・PAN-OS 7.1.18以前 ・PAN-OS 8.0.11以前 ・PAN-OS 8.1.2以前 （PAN-OS 9.0は対象外） Fortinet （FG-IR-18-384） 2018年1
7payの不正利用についてまとめてみた - piyolog
セブンイレブンで開始されたスマートフォン決済サービス「7pay」で、セブン＆アイホールディングスは2019年7月3日頃より不正利用が発覚したと発表しました。ここでは関連する情報をまとめます。 公式発表 セブン＆アイHD／セブン・ペイ 2019年7月1日 [PDF] セブン＆アイのバーコード決済「7pay（セブンペイ）」本日サービススタート！ 2019年7月3日 【ご注意ください】ID・パスワードの管理について（削除済み） 7payに関する重要なお知らせ [PDF] 7pay に関する重要なお知らせ 2019年7月4日 チャージ機能の一時停止に関するお知らせ [PDF] 「7pay（セブンペイ）」一部アカウントへの不正アクセス発生によるチャージ機能の一時停止について 2019年7月5日 「7pay（セブンペイ）」に対する不正アクセスの件（第3報）セキュリティ対策の強化を目的とした新組織発足の
脅威ベースペネトレーションテストについて | 技術者ブログ | 三井物産セキュアディレクション株式会社
『諸外国の脅威ベースのペネトレーションテスト(TLPT)に関する報告書公表について』や『「脅威ベースのペネトレーションテスト」及び「サードパーティのサイバーリスクマネジメント」に関するG7の基礎的要素の公表について』が公開され、脅威ベースのペネトレーションテスト(TLPT)に関して最近、話題に上がることが増えてきたので、ご紹介したいと思います。 TLPTはThreat-Led Penetration Testの略で脅威ベースのペネトレーションテストです。まず、ペネトレーションテストという言葉ですが、多くの方からご相談をいただいており、認知度は高まっているのではないかと感じていますが、脆弱性診断(Webアプリケーション診断やNW診断など)と混同されているケースも散見されます。以下の通り、脆弱性診断とペネトレーションテストはそれぞれ目的が異なるため、目的に合わせてそれぞれのサービスを利用してい
（緊急）米国国土安全保障省によるDNS設定の改ざんに関する緊急指令の公開について
--------------------------------------------------------------------- ■（緊急）米国国土安全保障省によるDNS設定の改ざんに関する緊急指令の公開について 株式会社日本レジストリサービス（JPRS） 初版作成 2019/01/28（Mon） --------------------------------------------------------------------- ▼概要 2019年1月22日、米国国土安全保障省（DHS）のサイバーセキュリティ・イン フラストラクチャセキュリティ庁（CISA）が「Mitigate DNS Infrastructure Tampering（参考訳：DNSインフラストラクチャ改ざんの軽減）」という緊急 指令（Emergency Directive 19-01）を公開しました。 本
「私はロボットではありません」選ぶ必要なし 新「reCAPTCHA」Googleが公開、ユーザーは何もしなくてOK
「私はロボットではありません」選ぶ必要なし 新「reCAPTCHA」Googleが公開、ユーザーは何もしなくてOK 米Googleは10月29日、人間とbotを識別するための新API「reCAPTCHA v3」を公開したと発表した。従来のreCAPTCHAは、ゆがんだ文字を読み取ったり、チェックボックスにチェックを入れるなどユーザーによる操作が必要だったが、v3は操作が不要。リスク分析エンジンでユーザーのアクティビティを分析し、どれぐらい不審かをスコア化して示すことで、Webサイトオーナーが対策を講じられるようにした。 reCAPTCHA v1では、アクセスした全ユーザーに対して、ゆがんだ文字を読み取って入力するよう要求していた。reCAPTCHA v2では、「I'm not a robot」（私はロボットではありません）というチェックボックスにチェックを入れる方法がメインとなり、リスク分
JavaScript実行時、「閲覧者の了解をいちいち得る」ページ登場 「Coinhiveより嫌」「悪夢」と話題
JavaScript実行時、「閲覧者の了解をいちいち得る」ページ登場 「Coinhiveより嫌」「悪夢」と話題 サイト閲覧者に仮想通貨をマイニングしてもらうことで収益を得られるツール「Coinhive」を、明示することなくサイトに設置した複数のユーザーが、不正指令電磁的記録（ウイルス）取得・保管などの容疑で警察に摘発され、物議をかもしている。 Coinhiveは、サイトに専用のJavaScriptコードを埋め込むと、閲覧者のCPUパワーを使って仮想通貨を採掘する。今回摘発された1人・デザイナーの「モロ」（@moro_is）さんは警察に、「事前に許可（もしくは予感させること）なく他人のPCを動作させたらアウト」であり、明示なくCoinhiveを設置すれば違法との説明を受けたという。 だがCoinhiveに限らず、現代的なWebサイトにはほぼすべて、何らかのJavaScriptが使われている。
AWSクラスタに捧ぐウェブを衛っていく方法論と死なない程度の修羅場の価値
プロダクトマネジャー、CISO （Manager） アーキテクト、開発者 （Builder） 品質担当者、脆弱性診断⼠ （Breaker） 運⽤保守担当者、管理者 （Defender） 実施すべきセキュリティ対策例 ・開発⽅針・体制整備 ・セキュリティ要件の決定 活⽤可能な資料・ツール例 ・ASVS ・セキュリティ要件書 実施すべきセキュリティ対策例 ・構成管理 ・脆弱性への対応 活⽤可能な資料・ツール例 ・ModSecurity Core Rule Set ・Dependency Check 実施すべきセキュリティ対策例 ・脆弱性を作りこまない設計・実装 ・セキュアコーディング 活⽤可能な資料・ツール例 ・Proactive Controls ・Cheat Sheet Series 実施すべきセキュリティ対策例 ・単体、結合、総合テスト ・ペネトレーションテスト 活⽤可能な資料・ツール例
「OS X Yosemite」の深刻な脆弱性「Rootpipe」--パスワード入力なしに特権昇格が可能に
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Appleの「OS X Yosemite」に存在する「Rootpipe」という深刻な脆弱性の姿がおぼろげながら明らかになりつつある。この脆弱性を悪用すれば、スーパーユーザー（root）への権限昇格が可能になる。 権限昇格を可能にするこの脆弱性は、スウェーデンのハッカーであるEmil Kvarnhammar氏によって発見された。同氏はAppleからその詳細を2015年1月まで明らかにしないよう要請されている。Appleは、パッチの準備ができるまで脆弱性の詳細が明らかにならないようにするはずだという点を考えると、ユーザーがパッチを入手できるのはその頃になる可能性が高い。 Kvarnhammar氏は「Rootpipeは管理者からスーパーユーザ
Togetter - 「巫女テスター（17歳）、システムの致命的な欠陥を発見しサーバーごとシステムをシャットダウンした一部始終」
コミュニケーションが生まれるツイートまとめツール
モバゲーが退会しても個人情報を削除してくれない 3 - babie, you're my home
「モバゲーが退会しても個人情報を削除してくれない 2」の続きでございます。 はじめにお断りしておきますが、進展なしでございます。私のアクションのみです。 前回、なぜ削除の要請に応えられないか理由を聞いてみましたが、返事が2週間きませんでした。元から答えてもらえるとは思ってなかったんですが、id:nihen / @nihen さんが「個人情報の保護に関する法律」の第二十八条（後述）を指摘してくれましたので、再度メールを出してみました。 なお、nihen さんは、別に私の活動を応援しているわけでなく、逆に私の主張は通らないだろうという考えでありながら、中立的な観点から指摘してくれただけですので、私の主張に異を唱える方も nihen さんを攻撃しないようお願いします。 私からモバゲー事務局への返信： 件名: Re: お問い合わせについて[スマートフォン] 差出人: <xxx@example.jp
第16回 まっちゃ445勉強会 まとめ
まっちゃ445勉強会 @matcha445 今回はつぶやき自由です！でも、会場にネットワークはないので、自前で調達をお願いします。電源もタップを持参＆共有して頂けると助かります。ということを事前にお伝えします♪ #matcha445 2011-04-22 02:00:40 まっちゃ445勉強会 @matcha445 明日は雨らしいです。気温差も激しく体調を崩す方も多いと思いますが、体調を崩した時は、無理せずに欠席して休養を優先して下さい。その際に出来れば欠席連絡をメールなどでお願いします。 逆に目覚ましSPに参加すると繰り上がる可能性が大きいということでもあります。 #matcha445 2011-04-22 19:48:57
2011年3月版 震災に揺れたタイムライン － ＠IT
山本洋介山 bogus.jp 2011/4/4 3月11日、東日本大震災が起こりました。地震や津波により亡くなられた方々に深い哀悼の意を捧げますととともに、被災地域のいち早い復興を祈念しております。 都内では寒さもようやく和らぎ、桜もちらほら咲き始めました。新生活を迎える方や、新入社員や新入生が入ってきた会社、学校もあるでしょうが、変わらずつぶやき続けていただきたいものです。 「行けない」「帰れない」……切実なつぶやき 首都圏で仕事をしている人が多いセキュリティクラスタでは、職場が揺れて物が落ちたりするだけでなく、自宅に帰れなかったり、電車が動かず、何時間もかけて歩いて深夜遅くに帰宅したり、仕方なく会社で寝たりと、それぞれに大変な1日を過ごしたことが如実に伝わってきました。 そして震災から数日間というもの、セキュリティクラスタのTLは、以下のようなほぼ情報セキュリティとは関係ない流れで占め
国内データセンターに強制捜査が入るリスクの現実度は？
米国ではFBIが令状によりデータセンターを押収したことがある、ということをPublickeyで以前に記事「FBIが令状によりデータセンターを押収、巻き添えの顧客は大損害」で紹介しました。 この記事は米国における捜査機関のリスクを示す例として多くのところで引用されています。では、日本のデータセンターに対する警察などによる強制捜査のリスクはどのくらいあるのでしょうか？ ある大手データセンター事業者の責任者および法務関係者が、「社名を明らかにしない」という条件でインタビューに応じてくれました。以下はその内容をまとめたものです。 データセンター差し押さえの可能性はあるが、がい然性は低い ─── データセンター事業者には、アクセスログの提出など警察からの依頼や捜査が入ることと思います。それらは具体的にどのような手順で行われているのでしょうか？ 1つは「捜査関係事項照会書」による依頼があります。これは
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
日本の警察庁、匿名化ツール「Tor」のブロックをサイト管理者に促す « WIRED.jp
TwitterやFB、Webメール禁止の会社はそのうち滅びる？(@tnatsuさん）への反響
