CRYPTREC: 「CRYPTREC シンポジウム 2009」 に参加しました（後半） - 杜撰な研究者の日記
リーマン予想と暗号化・・・なんて話はしません： 鍵がテーマ (学問・芸術が大好き) GSM の暗号の解読 (Baldanders.info) ケノーベルからリンクのご案内(2009/11/25 08:51) (ケノーベル エージェント) RSAの暗号強度 (最近、話題・流行・旬・最新・注目・面白・奇妙な記事) Panda Challenge (exploit&ac) D.NaccacheのEUROCRYPT2009ランプでの発表について (exploit&ac) メールのセキュリティ？凄いね。帰っていいよ。 (4403 is written) 杜撰さん復帰 (exploit) SCIS2009ナイトセッション (exploit) [misc][暗号] 原理から学ぶネットワーク・セキュリティ? (OpenSSH情報) 当日のプログラムはこちらをご覧下さい。なお、各講演で使用されたスライドはこ
「電子政府推奨暗号」は2つで十分？，シンポジウムで専門家が討論
情報通信研究機構（NICT）と情報処理推進機構（IPA）は2009年2月18日，日本の電子政府や地方公共団体などで利用を推奨する暗号技術を議論する「CRYPTRECシンポジウム2009」を共催（写真1）。同シンポジウムにおいて，2013年度以降に日本の電子政府システムでの利用を推奨する暗号技術を公募する「電子政府推奨暗号リスト改訂のための暗号技術公募要項（2009年度）」案を明らかにした。 CRYPTRECは，電子政府推奨暗号技術の安全性についての評価・監視，および評価基準などの策定を目的とするプロジェクト。総務省と経済産業省が共同で設置する暗号技術検討会と，NICTとIPAが共同開催する暗号技術監視委員会および暗号モジュール委員会で構成される。CRYPTRECは2003年に，29種類の暗号技術「電子政府推奨暗号リスト」を公開。電子政府の調達や民間での評価基準として使われてきた（写真2）。
CRYPTREC: 「CRYPTREC シンポジウム 2009」 に参加しました（前半） - 杜撰な研究者の日記
当日のプログラムはこちらをご覧下さい。なお、各講演で使用されたスライドはこちらで公開されるとのことです。 ●講演１「電子政府推奨暗号リストについて」 今井 秀樹 (中央大学、暗号技術検討会委員長、暗号技術監視委員会委員長) ・(現在の)電子政府推奨暗号リストの選定方針 - 適用対象は電子政府システム - 民間利用も期待 - 10 年程度は安全性が保たれる - 実際に使える技術 - 国際標準 (ISO/IEC, NESSIE, NIST など) との整合性を考慮 ・現在の電子政府推奨暗号リスト [2003年2月公表] - 公開鍵暗号：守秘 ２、署名 ４、鍵共有 ３ - 共通鍵暗号：64ビットブロック暗号 ４、128ビットブロック暗号 ５、ストリーム暗号 ３ - ハッシュ関数 ５ - 疑似乱数生成系 ３ (例示) ・電子政府推奨暗号リストの改訂の必要性 - 暗号技術の安全性の経年劣化 - 当初
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
このドメインは お名前.com から取得されました。 お名前.com は GMOインターネットグループ(株) が運営する国内シェアNo.1のドメイン登録サービスです。 ※表示価格は、全て税込です。 ※サービス品質維持のため、一時的に対象となる料金へ一定割合の「サービス維持調整費」を加算させていただきます。 ※1 「国内シェア」は、ICANN(インターネットのドメイン名などの資源を管理する非営利団体)の公表数値をもとに集計。gTLDが集計の対象。 日本のドメイン登録業者(レジストラ)（「ICANNがレジストラとして認定した企業」一覧（InterNIC提供）内に「Japan」の記載があるもの）を対象。 レジストラ「GMO Internet Group, Inc. d/b/a Onamae.com」のシェア値を集計。 2023年10月時点の調査。
HTTPS証明書エラー→情報窃盗の怖さが分かるBurp proxy | 教えて君.net
「HTTPSの証明書エラーが出るサイトで個人情報などを入れては駄目」とネトランでも常日頃書いているが、「なぜ」という疑問を持っている人もいるのではないだろうか。「HTTPSのサイトを利用して個人情報を盗み出す手口」の概要が分かるツール「burp proxy」で、情報窃盗攻撃の仕組みと、HTTPSエラーの怖さを紹介する。 「HTTPSとは」「証明書エラーとは」、という話を長々と書くスペースがないので簡潔にまとめる。 HTTPSのサイトで行われている情報は暗号化されており、ネットワーク盗聴では盗まれない通信相手が本物かどうか判定するために証明書が必要この二点から素直に「証明書エラーサイトでは個人情報を入れないようにしよう」と思える人ならそれで良いのだが、以下のような疑問が出るかもしれない（というか出る人の方がむしろ正しい）。 「偽物」とは例えばいわゆるフィッシングサイトだが、「フィッシングサイ
SSH総当り攻撃(Brute Force Attack)の傾向から利用を避けたいユーザ名 - 元RX-7乗りの適当な日々
某所で運用しているサーバの話なんですが、割と"SSH Brute Force Attack"がヒドく、対策を行わないといけないんですが、その前にせっかくなので、攻撃者がどんなユーザ名でログインを試みているかの統計を取ってみました。 というわけで、ログインに失敗した回数、上位10ユーザ名の一覧を取得するワンライナー。 # cat /var/log/secure* | grep 'Invalid' | awk '{print $8}' | sort | uniq -c | sort -nr | head -n 10結果は、だいたい予想通りですが、↓のような感じです。 1474 admin 1399 test 1059 123456 751 oracle 703 user 570 guest 416 web 380 www 370 info 359 backupというわけで、"admin"とか"
MD5withRSA を用いた証明書の偽造（その１） - 杜撰な研究者の日記
このところ世間を騒がせている、MD5withRSA を用いた証明書の偽造についてまとめてみようと思います。前半のこの記事で概要を、後半のこの記事で偽造原理を説明してみます。誤りや勘違いが含まれていると思うので、その際には、是非、ご指摘下さい。 話の発端は、2008年12月27日～30日に Berlin で開催された 25th Chaos Communication Congress (25C3) において発表された次の講演です。 Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik, Benne de Weger "MD5 considered harmful today: creating a rogue CA certificate" 内容としては、先頭
SSL証明書の件いろいろ - 4403 is written（終了しました）
@自宅（個人の見解に基づいており，所属組織などとは一切関係ありませんし，事実かどうかもわかりません） この世界に希望をもつためには批判し続けることこそが必要だ - Edward W. Said (1935-2003) 現実逃避を兼ねて，4403さんのところを荒らしてきた． （中略） 受理された模様．完全スルーされてた (ﾟдﾟ) DV SSL 証明書 - Doblog - exploit - スルーする．ブログはdomesticなのかどうか・・・．というわけで，exploitさんに現実逃避を兼ねて荒らされたので，むしゃくしゃしてSSL証明書を買った．今は反省している．記事が中途半端な内容だった責任を取って，RapidSSLを買ってみた．身を以て償いたい．などと述べている． 今回RapidSSLを購入するにあたり，利用したリセラはOnlineSSL.jpである．ぶっちゃけ，どこでも良かったん
Security RSSポータル
ディスクリプションFutronic released FS25, a USB Fingerprint Mifare Card Reader and Writer. Together with its previously launched FS82 USB Fingerprint ISO7816 Smart Card Reader and Writer, Futronic is now supporting bo ITシステムの情報漏えい対策では、パスワードによるセキュリティ保護が不可欠。だがパスワードの運用方法を間違うと、大きなセキュリティホールにもなりかねない。USBキーなどと併用する方法もあるが、他人のなりすましまで防ぐことはできない。そこで利用したいのが生体認証だ。中でも最も機能性に優れた指紋認証を紹介する。
よく使われる危険なパスワードトップ500
セキュリティを強化するために使用されるパスワードですが、面倒くさいからとか覚えられないからといって安易なものを使ってしまうとあまり意味がありません。多くの人が思い浮かべる使われやすいパスワード500個が紹介されているので、自分の使っているものと同じものがないかチェックしてみてください。 詳細は以下から。 What’s My Pass? >> The Top 500 Worst Passwords of All Time よく使われるパスワードトップ500。 50人に1人はトップ20のうちのどれかのパスワードを使用しているそうです。「1234」といった簡単な数字の羅列や「qwerty」などのキーボードを横に順番に押しただけのもの、「password」といったそのままの単純なものが上位に多くありますが、「porsche」や「ferrari」といった自動車の名前や「starwars」「matri
Linuxでファイヤーウォールの設定がGUIで可能な便利ツール「Firestarter」 - 元RX-7乗りの適当な日々
Linuxでファイヤーウォールの設定、というと"iptables"が有名ですかね。 インターネットに接続(直結)するマシンなら、サーバマシンはもちろんのこと、デスクトップマシンでも直結するなら、様々な脅威を防ぐためにもファイヤーウォールの設定は施すべきです。 で、私もよく「iptablesってどう記述するんですか？」と質問されるのですが、正直"iptables"コマンドで設定する方法は結構敷居が高いと思います。 そこで、GUIで簡単にファイヤーウォールの設定を可能にしてくれる「Firestarter」という便利なツールがあります。 というわけで、導入・設定方法を紹介します。 インストール 今回は、Ubuntu(Hardy: 8.04)に導入してみました。導入方法は超簡単。まず、、、 [システム] ⇒ [システム管理] ⇒ [Synaptic パッケージ・マネージャ] で、「Synaptic
レゴで作られたセキュリティー万全な金庫
レゴを使用して作られたセキュリティー性の高い金庫があるようです。一見すぐに壊せそうで、簡単に中身を取り出せそうに見えますが、丈夫で持ち運びが難しいだけでなく、さまざまな点でセキュリティー面を考慮した作りになっており、中身を取り出すにはかなり苦労しそうです。 遊びで作った割には本格的なものになっており、作成するのにかなり時間と労力を使ったことがよく分かります。 詳細は以下より。 LEGO Safe - Hacked Gadgets - DIY Tech Blog このレゴ金庫の寸法は「38cm×38cm×38cm（縦×幅×高さ）」で重量は6.5キログラム。壁の厚みも7cmあり頑丈にできているようです。 鍵は電子コードでロックされており、前面にある2つのつまみで解除コードを入力して鍵を開ける仕組みになっているようです。 2ケタのコードを5つ組み合わせることによりコードを解除することができるそう
OpenSSLの暗号、復号化 [二回目] - 黒い猫の開発日記
今日は暗号を・・・。 前回のRSA鍵を使用したRSA暗号をします。 まずはRSA公開鍵の取得 RSA *PEM_read_RSA_PUBKEY(FIEL *fp, RSA **rsa, pem_password_cb *cb, void *u);fpは鍵ファイルのファイルポインタ rsaはなんのためにあるんだろ？？ cbはPEM_write_RSA_PUBKEYのcbだと思う。 uはなんだろ？ ちなみに秘密鍵の取得はこっち RSA *PEM_read_RSAPrivateKey(FIEL *fp, RSA **rsa, pem_password_cb *cb, void *u);基本は公開鍵と一緒だね。 で公開鍵暗号（RSA-OAEP）の方法↓ int RSA_public_encrypt(int flen, const unsigned char *from, unsigned char
![OpenSSLの暗号、復号化 [二回目] - 黒い猫の開発日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/ba8336bf86b3bab0dbd6d50b61cf006ce0248b22/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F17680117127143941075%2F17680117127143944447%2F1558191035)
RSA で暗号化してみよう (1)
ライブラリで RSA を実現 OpenSSL は SSL/TLS だけのライブラリではありません。 SSL/TLS を実装する上で必要な RSA や素数を扱うための機能もライブラリ化されています。 これを利用して、RSA による暗号化・復号化を行いましょう。 なお、本ページを書くにあたり、以下のページを参考にしました。 特に「はやわかり RSA」から、拡張ユークリッドの互除法」の数式を拝借させていただきました。 作者の方々に感謝します。 はやわかり RSA RSA暗号体験入門 プログラム概要 このプログラム rsa-1.c は、 RSA 鍵を生成 平文を秘密鍵を用いて暗号化し、暗号文を生成 暗号文を公開鍵で復号化し、平文に戻す もともとの平文と、復号化した平文を比較し、一致することを確認 という機能を持ちます。 コンパイル方法と実行例を以下に示します。 % cc -o rsa-1 rsa-
第六回迷惑メール対策カンファレンス - あどけない話
第六回迷惑メール対策カンファレンスでチュートリアルの講師を務めました。参加者のみなさん、ありがとうございました。関係者のみなさん、お疲れさまでした。 主催者側の手前味噌の評価で申し訳ありませんが、たくさん質問が出て盛り上がったと思います。イベントでは、通常なかなか質問が出ませんが、今回成功したのは、以下の理由からではないかと推測します。 迷惑メール対策の中でも法改正に焦点を絞った そのおかげで客層のバラツキがなくなった チュートリアルは技術も入れるという案を退けて、法律のおさらいを強く押してよかったです。言い出しっぺの法則で、僕が講師をやることになった訳ですけど。。。 チュートリアルでは、法律の初心者を突き放さないよう考慮した 「あ、私でも質問していいんだ」という雰囲気作りができたと思う マイクの前に立つのをためらう人のために、紙で質問できるようにした 結果、80枚ぐらい提出して頂いた 量
セキュリティ
情報の秘匿 データの内容を意図した相手にしか読めないようにすること。通信データの盗聴はカード番号や個人情報の盗難、企業情報の漏洩などを引き起こし、後になりすましなどの不正行為の手がかりとなります。情報の秘匿は暗号化技術により実現されます。 情報の完全性 データの内容が意図的な改ざん、あるいは偶発的な破損を受けたときに検知できること。表示されている情報が正しいことを保障できないインフラでは契約や取引などに使用できません。電子署名を使用することで署名が行われてから情報が変更されていないことが保障されます。 身元情報の証明 相手の身元情報が信頼できること。第三者による成りすましを阻止できなければいけません。認証局 (CA) によって発行された証明書を使用して相手の身元情報を客観的に証明することができます。ただし、その身元情報を認識して意図した相手かどうかを確認する (認証) 責任はユーザにありま
Windows98のセキュリティシステムをバイパスして突破する方法
手元にWindows98がないのでわからないのですが、Windows98のログインIDもパスワードもわからない状態で、セキュリティシステムを突破してしまう方法があるそうです。それをGIFアニメーションで解説しており、見てみるといかにもそれっぽく感じられます。 というわけで、真偽不明ではあるもののなんだか信憑性が高いようにも思えるWindows98のセキュリティシステムをバイパスして突破する方法を解説した画像は以下から。 以下がそのGIFアニメーション画像（ミラー） http://i33.tinypic.com/20ksw89.gif まずキャンセルをクリック 「OK」をクリック 「？」をクリック キャンセルボタンをクリック 何かヘルプが表示される 印刷を選ぶ 印刷のダイアログが出現、プロパティをクリックする ヘルプをクリックする ヘルプの目次を表示させる 検索タブを表示させる カスタムペー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft Corporation
駄文ろぐ » TrueCryptのめも
PHPでのセキュリティ対策についてのメモ - Liner Note