AR早くも悪用！ 男性が股間にエアタグ貼られる被害に - bogusnews
IT技術でリアル空間に電子情報を付加する「拡張現実」（AR）が脚光を浴びている。中でも、iPhoneのカメラを通して視た現実世界に“エアタグ”を浮かべる「セカイカメラ」は、先ごろ発表したばかりにもかかわらず早くも10万ダウンロードを達成するヒットとなった。しかし、他のネット技術同様、ARもまた人間を悪の世界に駆り立てるもののようだ。「セカイカメラでひどい嫌がらせに遭った」という被害がすでに出ていることが、6日までの弊紙の取材でわかった。 調べによると、被害に遭ったのは都内在住会社員のAさん（30）。Aさんは今月初旬、知人女性に 「iPhoneの“セカイカメラ”って知ってる？ イケてるんだぜ」 などと声をかけ、セカイカメラをダシに自宅に連れ込んだ。 ガジェットに夢中になったスキを見計らい、いざコトにおよぼうとズボンを下ろしたところ、ちょうどこちらを向いた彼女が突然笑い出した。 「キャハハハ！
2010年 暗号と情報セキュリティシンポジウム開催案内
暗号理論、暗号解析、共通鍵暗号、公開鍵暗号、IDベース暗号、ペアリング、署名、楕円・超楕円曲線暗号、ハッシュ関数、擬似乱数生成、秘密分散、計算手法、数論応用、フォーマルメソッド、鍵共有、暗号プロトコル、鍵管理、PKI、認証、匿名通信、プライバシー保護、実装技術、量子セキュリティ、サイドチャネル攻撃、バイオメトリクス、RFIDセキュリティ、ネットワークセキュリティ、ネットワーク攻撃検知・対策、Webセキュリティ、セキュアOS、電子透かし、コンテンツ保護、ソフトウェア保護、電子投票、電子決済システム、セキュリティモデル、セキュリティポリシー、その他 本シンポジウムは1984年以来毎年開催され，暗号と情報セキュリティ技術に関する最新の研究成果を発表する場と情報交換の場を提供しています．2010年の開催にあたり，一般講演論文を募集します．募集テーマ例を上記に示しますが，これらに限らずセキュリティ技
高木浩光＠自宅の日記 - 「WPA-TKIPが1分で破られる」は誤報
■ 「WPA-TKIPが1分で破られる」は誤報 先月、無線LANのWPA-TKIPが1分以内に破られるという報道があり、話題となった。 無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり, Gigazine, 2009年8月5日 今回の方法は昨年11月に発表された「Tews-Beck攻撃」（略）がQoS制御を利用する機器に限定されるものであり、鍵の導出に15分もの時間が必要であったのに対して、わずか数秒から数十秒で導出してしまうことができるというもの。（略） 今回発表される方法では、TKIPにおける定期的に変更される鍵について、TKIPのプロトコルの新たな脆弱性を利用して極めて短時間（数秒から数十秒）で導出し、その鍵を効率よく利用する方法として新たな中間者攻撃を開発したとのこと。 無線LANセキュリティ「WPA」をわずか1分以内で破る手
現代暗号の60年 - YAMDAS現更新履歴
SLIDESHOW: CIO Blast from the Past - 60 years of cryptography - cryptography, history - CIO Slashdot で知ったのだが、今年はクロード・シャノンが論文「秘匿系での通信理論（Communication Theory of Secrecy Systems）」を発表して60年になる。 CIO.com が挙げるこの60年間での暗号に関するトピックをいくつか挙げておく。 1967年：David Kahn が The Codebreakers（邦訳『暗号戦争―日本暗号はいかに解読されたか』、asin:B000JA48B8）を刊行 1967年：DES が合衆国標準局により標準暗号に選択される 1977年：RSA 暗号の誕生 1984年：最初の量子暗号プロトコル BB84 が誕生 1992年：映画『スニーカー
A Stick Figure Guide to the Advanced Encryption Standard (AES)
(A play in 4 acts. Please feel free to exit along with the stage character that best represents you. Take intermissions as you see fit. Click on the stage if you have a hard time seeing it. If you get bored, you can jump to the code. Most importantly, enjoy the show!) Act 1: Once Upon a Time… Act 2: Crypto Basics Act 3: Details Act 4: Math! Epilogue I created a heavily-commented AES/Rijndael imple
twitter の OAuth で思ったより豪快に認可してしまっている件 - 知らないけどきっとそう。
忘れたころに追記 API で _twitter_sess は発行されているようですが、web の UI にアクセスはできなくなったみたいです（つまり豪快さは解消されてます） OAuth コンシューマが twitter API にアクセスすると、ブラウザでログインしたときと同様のセッションクッキーが発行されている模様です GET https://twitter.com/account/verify_credentials.xml Authorization: OAuth realm="", oauth_consumer_key="***", oauth_nonce="***", oauth_signature="***", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1253358338", oauth_token="***",
【レポート】WPAを破った森井教授からの提言- 無線LAN暗号化の脆弱性〜暗号化の意味と真の問題点〜 (1) 無線LANの暗号「WEP」と「WPA」の安全性を検証 | エンタープライズ | マイコミジャーナ»
当初から脆弱性を指摘されていたWEPだが…… 1997年に規定されたIEEE 802.11をはじめとして最新のIEEE 802.11nでも、無線LANの性質上、空間を伝搬している信号を誰にも気づかせることなく盗聴することが可能である。特に伝搬範囲を正確に制限することが難しく、利用を想定している範囲外(室外)に信号が伝搬することからその対策が必須となる。 信号電力を制御することや電波を遮蔽することは事実上不可能であることから、物理的ではなく、いわゆる論理的に信号を処理する必要がある。すなわち暗号化を行って、利用を制限する必要がある。当初このため、提案された暗号化の規格が「WEP(Wired Equivalent Privacy)」あった。 WEPではRC4というストリーム暗号が用いられ、104ビットの鍵と24ビットのIV(Initial Value)が設定されている。通信相手間だけで104ビ
第35回 覗き見対策 | WIRED VISION
第35回 覗き見対策 2009年9月15日 （これまでの増井俊之の「界面潮流」はこちら） パスワードを使って計算機やWebサービスにログインするとき、パスワードは「****」のように伏字で表示されるのが普通です。秘密のパスワードが表示されて他人に見られると大変ですから、このような方法で入力文字を隠すのは当然と考えられていますし、他人がパスワードを入力しているときはキー操作が見えないように別の方を向くのが常識的なマナーだと思われています。 ところがユーザビリティの専門家であるJacob Nielsen氏が6月23日に突然、自分のブログで「パスワード入力の伏字は有害である」と言いだしました。 伏字が有害だとNielsen氏が言った理由は以下のようなものです。 ユーザの操作に対しては常にフィードバックが返るべきである 本当にパスワードを盗もうとする奴はキーボードを見るから伏字にしてもあまり意味が
セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?
(Last Updated On: 2018年8月13日)一見徳丸さんのブログは分かりやすいように思えますが、それは単純な実験により分かりやすいように見えるだけで複数の間違いがあります。 その間違いとは 意図の取り違い – 誤読 言語の仕様と実装の理解不足 HTTPやPHP仕様の理解不足 セキュリティ対策をすべき場所の理解不足 です。(※0) 徳丸さんは非常勤とは言え、国の出先機関の研究員であるし、その出先機関は職務放棄とも言える文書（「例えば、PHPを使用しない」と勧める文書）を公開している(いた?)のでしっかり反論しておく必用がありますね。IPAのあの文書は職務放棄と言える文書だと思っています。これについても後で意見を述べます。 意図の取り違い – 誤読 最初の間違いは私のブログのエントリ「何故かあたり前にならない文字エンコーディングバリデーション」に対する理解です。特にPHPユーザに
UTF-8の冗長なエンコードとは何で、なんでそれがセキュリティ的に危ないのか？を文字コード知識レヴェル3くらいの凡プログラマが考えてみる - tohokuaikiのチラシの裏
何故かあたり前にならない文字エンコーディングバリデーション | yohgaki's blog ってあるように、いまいち文字コードの不正な判定による危険性ってのが分かってない。 SJISの問題は、（2/3）SQLインジェクションを根絶！セキュア開発の極意 - 第5回■注目される文字コードのセキュリティ問題：ITproの記事がわかりやすかった。 というか、やっぱりPHP使ってると誰でも一度は「なんじゃこの『￥』は？」って思うもんなんで。 なるほど、確かに↓の図のように「あるバイト」が2つの意味を持つっていう文字コード形態はやばいんだなと。 EUC-JPはそんなことはしないで、1つのバイトには1つの意味しか取らせない。 だけど、これでも文字化けが起こることがある。経験的には、「マルチバイトをXX文字で切り落としたい」とかやった場合。ちゃんと文字コードを判定してくれるPHPでいえばmb_subst
Snort + BASE インストールメモ — (n)
life is penetration. geeks cheer. geeks be ambitious.life is penetration. geeks cheer. geeks be ambitious. 以前のblogでは基本的にソースからのインストールでしたが 今回は、個人的にアツいOS Ubuntuでのインストールなので 手間も時間も比較的少なくできるのでは？と思います。 インストール環境などのバージョンは以下の通りです。 Ubuntu ： 9.04 Snort ： 2.8.41 BASE ： 1.4.3.1 まずは、rootユーザへと昇格し、apt-getのでDBを更新。 sudo su - apt-get update 次に必要なパッケージを一気にインストール apt-get install libpcap0.8-dev \ libmysqlcli
IND-CCA2の定義 - 186 @ hatenablog
Bellare, Hofheinz, and Kiltz “Subtleties in the Definition of IND-CCA: When and How Should Challenge-Decryption be Disarrowed?” (ePrint 2009/418) 暗号のIND-CCA2安全性も定義によって強さが変わるという話. 敵がメッセージを2つ出す前に行った復号クエリの集合をS1, チャレンジをもらった後の復号クエリの集合をS2とします. IND-CCA2-SP b=b'かつチャレンジがS2に入っていなかったら勝ち IND-CCA2-BP b=b'かつチャレンジがS1とS2に入っていなければ勝ち IND-CCA2-SE 後の方の復号クエリでチャレンジを投げない敵のみを考える. b=b'なら敵の勝ち. IND-CCA2-BE 前でも後でも復号クエリでチャレンジ
高木浩光＠自宅の日記 - ダウンロード違法化反対家の知られるべき実像
■ ダウンロード違法化反対家の知られるべき実像 あるきっかけで、あるダウンロード違法化反対家の人の、自宅のものと思われるIPアドレスを知ってしまった。知ることができたのは、2007年と2008年のいくつかのある日におけるIPアドレスである。そのIPアドレスを手元のWinnyノード観測システムの接続ログと突き合わせてみたところ、5回の日時において、WinnyノードのIPアドレスとして観測されていたのを見つけた。 それらのIPアドレスがソースとなっていたキーを抽出し、16日の日記の方法で視覚化したところ、図1のとおりとなった。 他の区間でどうだったかを調べたいところだが、2007年の部分と2008年の部分では、ISPが異なっており、ポート番号も「4857」と「3857」という具合*1に違っていた。 一般的に個人宅に割り当てられるIPアドレスは時々変化しており、それを追跡することは通常、簡単でな
DDoS、SPAM送信、トロイの木馬ソフトの値段:Geekなぺーじ
迷惑メール送信やDDoS攻撃がビジネス化しているという話は良く聞きますが、実際の値段がどれぐらいなのかに関しては見た事がありませんでした。 色々見ていたら、PandaLabs Blogで様々なネット犯罪が行われる「価格」が公開されていました。 2007年4月(2年前)の記事なので、今とは価格が変わっているかも知れませんが、思ったよりもずっと安価でびっくりしました。 様々な価格が公開されているのが、以下の2つの記事です。 発売元としてはロシアとウクライナが多いみたいですね。 Cybercrime... for sale (I) Cybercrime... for sale (II) 以下、掲載されていた値段の一部を抜粋してみました。 詳細は元記事をご覧下さい。 DDoS攻撃 DDoS攻撃は時間単位で課金されるようです。 最初に10分間の無料評価時間があるので、有効性を評価してからサービスを購
MWS2009スタッフブログ
本家サイトにて「写真で振り返るMWS2009」が公開されました。各発表の様子がアブストラクト付で載っていて、予稿PDFも公開されているので、振り返るには丁度良い感じでしょうか。MWS2010では、今回の研究成果を踏まえてさらに発展した発表となることを期待しています。 顕著な傾向でした。 日付, 閲覧数(PV), 訪問者数(IP) 2009.11.03(火), 59, 39 2009.11.02(月), 84, 54 2009.11.01(日), 86, 55 2009.10.31(土), 107, 57 2009.10.30(金), 146, 62 2009.10.29(木), 284, 111 2009.10.28(水), 399, 123 ★MWS2009 3日目 2009.10.27(火), 350, 103 ★MWS2009 2日目 2009.10.26(月), 164, 56 ★
高木浩光＠自宅の日記 - エコポイント申請画面が共用SSLサイト上にある件
■ エコポイント申請画面が共用SSLサイト上にある件 「エコポイント」の情報システムがわずか３週間で完成した理由, 有賀貞一, NIKKEI NET, 2009年8月26日 こうした問題を解決するために、エコポイント事務局と関係省庁が選択したのが、米セールスフォース・ドットコムの基盤サービス「Force.com」だった。セールスフォースはこのForce.comを「クラウドコンピューティングプラットフォーム」と表現している。利用者はサーバーなどのインフラを持つことなく、この基盤上で独自のシステムを構築できる。 という記事を読んで、「エコポイント」のサイトを初めて訪れたのだが、これはまずい。 「エコポイント」公式サイトの運営者は、「グリーン家電エコポイント事務局」となっていて、プライバシーポリシーでも個人情報取扱責任者が「グリーン家電エコポイント事務局」として書かれている。しかし、国民の視点か
PHPの設定をセキュリティの観点から改善·PHP Security Consortium MOONGIFT
PHPは広く数多のWebサーバでインストールされ、使われている。設定ファイルは殆どそのままで使われていることが多いのではないだろうか。だが4.2より前のバージョンではregister_globalsのデフォルトがOnになっていたなど、利便性とセキュアであることとの関係で潜在的な問題はあるかも知れない。 php.iniのセキュリティチェックに 見直すのはPHPの設定ファイルであるphp.iniだが、多数の設定があるのでぱっと見では設定の善し悪しが分かりづらいかも知れない。そこで使うのがPHP Security Consortiumだ。 今回紹介するオープンソース・ソフトウェアはPHP Security Consortium、PHPのセキュリティ設定を見直すソフトウェアだ。 PHP Security ConsortiumはPHPで作られたソフトウェアで、phpinfo()から得られる情報を使っ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Windows Autorun」更新プログラムでUSBワームへの対策を 
IDEA * IDEA
HugeDomains.com