2014年に発生した不正ログインインシデントをまとめてみた。 - piyolog
2014年内に発生(発表)した不正ログインの事例をまとめます。リスト型攻撃、ブルートフォースによる攻撃を原因とするものを取り上げています。2014年のWebクリップの寄せ集めなので漏れあれば教えて頂けると助かります。 2014年に発生した不正ログイン事例 発表日 被害企業/サービス名 期間 不正ログイン 成功件数 不正ログイン 試行件数(成功率) 発端 被害 対策 1月8日 グレテックジャパン GOM Player 13年12月20日〜1月8日午前 不明 不明 不明 無し (1)(2)(3)(4) 1月21日 NTTコムオンライン・マーケティング・ソリューション Potora 1月19日〜1月21日 323件 不明 自社 (1) (3)(4)(6) 1月22日 スタイライフ Stylife 13年9月1日〜1月14日 最大24,158件 不明 外部 (1)(3) (3)(9)(10)(11
SELinuxの無効化方法 設定方法 使い方について
SELinuxは強制アクセス制御(MAC:Mandatory access control)とよばれる管理者による権限管理機能を提供する仕組みのひとつです。FISC(金融情報システムセンター)やNISC(内閣官房情報セキュリティセンター)などのガイドラインには強制アクセス制御に関する規定が存在し、もともとは政府の規定を満たすために作成されたのがSELinuxらしいです。 以上の説明やアットマークITのような経営者向けサイトを見ると、SELinuxは、いかにもコンサルタント様が導入を検討しそうな素晴らしい機能ですが、運用を行うのは至難の業です。 以下、私がSELinuxハンズオン – hbstudy #28に参加した時のメモを記します。何となく読んで頂きSELinuxの運用が如何に難しいかを悟って頂けると幸いです。なお、実務でのお役立ち度は期待しないでください。私がSELinuxを勉強して役
OpenAMのOpenID Connectへの対応
連載目次 OpenAMが提供するフェデレーションサービス 第4回はOpenAMのOpenID Connectへの対応について紹介します。その前に、まずはOpenAMがこれまでに対応してきたフェデレーション（注1）プロトコルについて簡単に解説し、今後主流になると思われるOpenID Connectの概要とOpenAMの対応内容について説明します。 注1 フェデレーション（Federation）：異なるサービス間の連携をすること。一般的には、SAMLなどの標準的なプロトコルを使用して複数のクラウドサービスへSSOできるようにすることを意味します。 OpenAMが対応するフェデレーションプロトコル OpenAMは、あらゆるサービスへのSSOを実現できるように、これまで多くのフェデレーションプロトコルに対応してきました。SAML 1.0の実装から始まり、WS-Federation 1.1やID-F
ブルース・シュナイアーさんの安全なパスワード文字列の作り方
前回は、サービスごとにユニークなパスワードを作る方法を提案しました。 今日一緒にランチを食べていた、元同僚からこんなことを教わりました。 「似たことを、ブルース・シュナイアーが言ってたよ」 ブルース・シュナイアー（Bruce Schneier、1963年1月15日 – ）は、アメリカ合衆国の暗号研究者、コンピュータのセキュリティ専門家、作家。BT Counterpaneのコンピュータセキュリティと暗号に関する著作があり、Counterpaneインターネットセキュリティ社[1]の創設者であり、最高技術責任者（CTO）でもある それはこちらのエントリでした。 興味深かったのでざっくりサマって見ます。 私の英語力は非常に残念なので、ミスがあったらぜひ教えて下さい。 Passwords / paul.orear はじめに 一番良いパスワードは、それが壊れた言葉であることです。 と言うのは攻撃者はた
パスワードに頼るパスワード代替技術
「もうパスワードの時代は終わった。これからは、パスワードに代わる新しい技術の時代だ」――。こうしたかけ声とともに、次のような技術がマスメディアに登場しています。 （1）ID連携：SSO（Single Sign On：シングルサインオン）やパスワード管理ツール （2）いわゆるワンタイム・パスワード （3）2要素認証 （4）PKI（公開鍵暗号基盤） （5）生体認証（バイオメトリクス） しかし、いずれの技術も、どのように考えてもパスワードの補完ないし拡大利用方法とは呼べてもパスワードの代替策とは呼べません。なぜなら、それぞれがパスワードに依存しているからです。 具体的には、ID連携はマスターパスワードと呼ばれる1つのパスワードに全面的に依存します。いわゆるワンタイム・パスワードは本人の認証には関与しません。2要素認証では、1つの要素は常にパスワードですし、PKIも必ずパスワードと一緒に運用されて
インターネットに公開するサーバーの基本的なセキュリティ設定 | 774::Blog
定期的にこういう内容を書いて公開している気がする。昔の記事もあるのでそちらを読めばいいのだが、また書く必要性が生じてきたのであらためて書きます。 現代では AWS のようなクラウドや VPS など格安で手軽にインターネット上にサーバーを持てるようになった。しかしインターネットで誰でもアクセスできる環境でサーバーを稼働させるということは、常に人間やロボットの攻撃に晒されるということを同時に意味している。したがって初心者だからだとか、会社の中ではこうやって仕事をしているからといった言い訳は一切通用しない。セキュリティ設定をきちんとしなければ内部への侵入をたやすく許し、思わぬデータの漏洩につながるのである。とはいえセキュリティというのはトレードオフを考慮しなければいくらでも強化できるものでありキリがない。ここでは最低限これだけはやっておこうという現実的な落とし所を提示し、人々への啓蒙をはかるもの
さくらのVPSに来る悪い人を観察する その２
さくらのVPSにアタックしてくる人たちを、ハニーポットなど使いながらその行動を観察した記録です。観察日記。 今回のネタは以下2つです。 ＊SSH honeypot(Kippo)を使った悪い人の行動観察、アンケート ＊/cgi-bin/php (Apache Magica攻撃)の観察 なおこのスライドは、2013年12月7日のSecurity Casual Talks(すみだセキュリティ勉強会)での発表資料です。 http://ozuma.sakura.ne.jp/sumida/ またスライド中、動画は以下のURLで閲覧できます http://youtu.be/gp3SBjZNWHURead less
重要！ まずは「オリジン」を理解しよう
連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。今回から、HTML5やJavaScriptに関連したセキュリティの話題について連載することになりました。よろしくお願いします。 もう読みましたか？ HTML5のWebアプリセキュリティに関する報告書 皆さんすでにご存じかと思いますが、2013年10月30日にJPCERTコーディネーションセンター（以下、JPCERT/CC）から「HTML5 を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」が公開されました。 この報告書の調査の一部は、弊社が行いました。また、JavaScriptのセキュリティ上の問題について次々と鋭い指摘を行っているmalaさんにもさまざまな技術的アドバイスを頂いた上、日常的にWebアプリケーションのセキュリティ検査や構築を実際の業務として行っておられる専門家の方々にも査読をお願いして
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
SSL証明書のインストールチェックはどのサイトを利用すべきか - このブログはURLが変更になりました
先日ツチノコブログでクロスルート証明書の確認にIE6を使ってる話が紹介されてた。 確かに実機で確認するのは大事なのだが、SSL証明書が正しくインストールされているかチェックしてくれるサービスがいくつかある。 それで確認すればいいんじゃね？と思って調べてみたが、実はクロスルート証明書まで調べてくれるサービスは少ない。また各社チェックしてくれる内容が結構違う。 そこでオススメのSSL証明書チェックサイトを3つ厳選してみた。 Qualys SSL Labs SSL Server Test クロスルートを含む複数のチェインを表示してくれるのは試した限りここだけだった。 また、クロスルート以外にも脆弱なプロトコルや暗号アルゴリズムを使用していないか、BEAST、CRIME、Lucky13、BREACHなどの攻撃に対して対策されているかなども調べてくれる。 グレード表記や項目別スコア表示もあり。最低限
世の中に満ち溢れる「パスワードの定期的変更」についてまとめてみた。 - piyolog
いつも盛り上がる「パスワードの定期的な変更」ネタですが、多くの組織でこの対策が推奨されているということをTwitterで知りました。ここではパスワードの定期的変更についてまとめます。 パスワードの定期的変更の考察・関連記事 まずはここを読みましょう。 Bruce Schneier Schneier on Security: Changing Passwords 徳丸さんの記事 パスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記 続パスワードの定期変更は神話なのか - ockeghem(徳丸浩)の日記 「管理者パスワードは何日ごとに変更すればよいか」に関する質疑応答 - ockeghem(徳丸浩)の日記 パスワードを定期的に変更する理由は何ですか? - QA@IT パスワードの定期的変更に関する徳丸の意見まとめ パスワードの定期的変更について徳丸さんに聞いてみた(1
アダルトサイトのDMから分かった顧客情報の漏えい原因
「ヘンなアダルトサイトのDMが来る」とレンタルショップ会社にクレームが来た。顧客情報の漏えいが判明し、調査に乗り出してみると、意外な部分が原因だと分かった。それは……。 九州のX県にあるレンタルDVDショップ運営のA社は、Y市に大きな本社ビルを構えて営業していた。X県だけで20店舗以上あり、近隣の県を含めた九州全体を商圏として計35店舗を展開していた。インターネット上でも活発に営業し、現在ではその売上が全店舗の売上の4割以上に匹敵するほどの成長をみせている。 そのA社で突如、情報漏えいが発生した。それは、L興業が運営する某アダルトサイトのダイレクトメール（DM）から発覚したのである。L興行は電子メールでも盛んに営業していたが、売上を伸ばすために今では珍しくDMを利用した。そのDMのあて名ラベルの左下に、小さくA社の顧客管理番号が印刷されていたのである。さて、今回はどういう状況だったのだろう
2段階認証ノススメ (まとめ) - セキュリティは楽しいかね？ Part 2
(2013-08-07 更新あり) 主要なサービスで 2段階認証に対応する動きが拡がってきたので、ちょっとまとめておきます。金融系のサービスやマイナーなものはいれてません*1。こうやって並べて比べてみると、細かいところで違いがあっておもしろいですね。なお現時点で Appleと Twitterは日本ではまだ正式対応されていません。 (注: Twitterは 8/7にアプリを利用した認証方式に対応し、日本でも利用できるようになりました。) サービス 名称 認証アプリ SMS/メール/音声 アプリ用パスワード 信頼できる端末 復旧用コード Apple 2段階認証 (two-step verification) ◯ (*1) SMS (*4) - ◯ ◯ Dropbox 2段階認証 (two-step verification) ◯ (TOTP) SMS - ◯ ◯ Evernote 2段階認証
パスワード攻撃に対抗するWebサイト側セキュリティ強化策
Webサイトのパスワード認証を狙った攻撃が大きな脅威になっています。 Tサイト（プレスリリース） goo（プレスリリース） フレッツ光メンバーズクラブ（プレスリリース） eBook Japan（プレスリリース） My JR-EAST（プレスリリース） これらの事例のうちいくつか（あるいは全て）は、別のサイトで漏洩したIDとパスワードの一覧表を用いた「パスワードリスト攻撃（後述）」であると考えられています。パスワードリスト攻撃を含めて、パスワードを狙った攻撃が成立してしまう原因は、利用者のパスワード管理に問題がある場合が多く、攻撃を受けたWebサイト側には、直接の責任はないケースが多いと考えられます。 しかしながら、 大半の利用者はパスワード管理に興味がない パスワード認証を採用している理由は、コスト上の理由、すなわちサイト側の経済的な事情 インターネットが「とても危険なもの」となるとネット
ログアウト機能の目的と実現方法
このエントリでは、Webアプリケーションにおけるログアウト機能に関連して、その目的と実現方法について説明します。 議論の前提 このエントリでは、認証方式として、いわゆるフォーム認証を前提としています。フォーム認証は俗な言い方かもしれませんが、HTMLフォームでIDとパスワードの入力フォームを作成し、その入力値をアプリケーション側で検証する認証方式のことです。IDとパスワードの入力は最初の1回ですませたいため、通常はCookieを用いて認証状態を保持します。ログアウト機能とは、保持された認証状態を破棄して、認証していない状態に戻すことです。 Cookieを用いた認証状態保持 前述のように、認証状態の保持にはCookieを用いることが一般的ですが、Cookieに auth=1 とか、userid=tokumaru などのように、ログイン状態を「そのまま」Cookieに保持すると脆弱性になります
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JNSA Bitcoin 勉強会 佐藤 20140602
Bitcoinを技術的に理解する
「個人を特定する情報が個人情報である」と信じているすべての方へ―第1回プライバシーフリーク・カフェ（前編）
Two Factor Auth | BrainStation®
新しい暗号技術
