こんなことを想像してみてください。 あなたは大企業で働いています。仕事はかなり退屈です。端的に言えば、あなたの顔も見たくないという経理担当の3人しか使わないようなアプリケーションのために定型的なコードを書いて、才能を無駄にしているという状況です。 あなたが本当に情熱を注げるのはセキュリティです。毎日、 r/netsec を読み、仕事の後にはバグ報奨金プログラムに参加しています。ここ3カ月間は手の込んだ株式取引ゲームをプレイし、報奨金を得ています。ヒープベースのバッファオーバーフローを発見し、優良株を選ぶ手助けとなるAVRシェルコードをいくつか書いたからです。 あなたが取り組んできたビデオゲームが、実は巧妙な偽装のリクルートツールであったと判明し、全てが変わります。世界最高のセキュリティコンサルタント会社、Mont Piperが人材を募集していて、あなたは面接に行くことになったのです！ 飛行

はじめに みなさんこんにちは、セキュアスカイ・テクノロジーのはせがわようすけと申します。 周知のとおり、ここ数年のブラウザの機能強化は目覚ましいものがあり、CSS3やSVGを含むHTML5ブーム以降のブラウザ内での表現力の向上や、JavaScriptエンジンの最適化による実行速度の向上は、数年前では考えられないような目を見張るものがあります。また、HTML5の仕様策定後の現在でも、WHATWGやW3Cではさまざまな議論が継続的に行われており、これまでブラウザ上に存在しなかったような多様なAPIの仕様が生み出され、各ブラウザに日々実装されています。 利用者視点だけでなく、以下のような開発者視点での需要に応えるフロントエンド開発環境の改善も、ここ数年でかつてないほど大きく進んでいます。 CoffeeScriptやTypeScriptに代表されるaltJSと呼ばれる言語処理系の登場 ES2015

Mozillaは6月9日、オープンソースソフトウェアプロジェクトのセキュリティ対策を支援するプログラム「Secure Open Source（SOS）」を発表した。初期投資として50万ドルを投じてオープンソースプロジェクトのセキュリティ監査などを行う。同時に、オープンソースを利用する企業や政府に財務支援も呼びかけている。 Secure Open Source（SOS）は、Mozillaが2015年秋に開始したオープンソース支援プログラム「Mozilla Open Source Support（MOSS）」の一部として展開する。Mozillaはこの背景について、OpenSSLの脆弱性「Heartbleed」やBashの「ShellShock」といった大きなセキュリティ問題があったにも関わらず、オープンソースソフトウェアを安全にするための適切なサポートがないため、としている。 本プログラムでは

Rubyコミュニティは4月13日(協定世界時)、「CVE-2015-1855: Ruby OpenSSL Hostname Verification」において、RubyのOpenSSLエクステンションに複数のセキュリティ脆弱性が存在すると伝えた。これはホスト名のマッチング処理を過度に実施してしまうというもので、該当するバージョンを使用している場合は修正されたバージョンへアップグレードすることが強く推奨されている。 脆弱性が存在するバージョンは次のとおり。 Ruby 2.2.2よりも前のすべてのRuby 2.2系バージョン Ruby 2.1.6よりも前のすべてのRuby 2.1系バージョン Ruby 2.0.0 patchlevel 645よりも前のすべてのRuby 2.0系バージョン 修正されたバージョンでは、ワイルドカードの扱いなどが変わっているため注意が必要。特にOpenSSL::SS

Windows用の人気圧縮解凍ソフト「Lhaplus」に脆弱性が発見され、最新版へのアップデートが推奨されています(JVN#02527990 Lhaplus におけるディレクトリトラバーサルの脆弱性、JVN#12329472 Lhaplus において任意のコードを実行される脆弱性マイナビニュース)。 ディレクトリトラバーサルの脆弱性では「名前を細工されたファイルを展開することで、任意のファイルを作成されたり既存のファイルを上書きされたりする可能性」が、任意のコードを実行される脆弱性では「細工されたファイルを展開することで、任意のコードを実行される可能性」が指摘されています。 Lhaplus公式サイトでは、これら脆弱性に対応した最新版「Lhaplus Version 1.72」(2015/04/08更新)が提供されていますので、Lhaplusユーザーは速やかに最新版に更新したほうが良いでしょ

PGPに何が起こったのか？　 画像元: @bcrypt 先週木曜日（2014年8月7日）、YahooはGoogleのChrome拡張機能「End-to-End」を利用したエンドツーエンドの電子メール暗号化をサポートする意 […]PGPに何が起こったのか？　 画像元: @bcrypt 先週木曜日（2014年8月7日）、YahooはGoogleのChrome拡張機能「End-to-End」を利用したエンドツーエンドの電子メール暗号化をサポートする意向であることを発表しました。これは一大事です。GoogleやYahooのようなプロバイダの参戦で、電子メール暗号化はスゴイことになります。これはまさしく電子メールが必要としていたものです。 GoogleとYahooによる偉業があまりにも素晴らしいので、このあとの不満がひどく残念なものに聞こえるでしょう。私はそれを分かっていますし、最悪の気持ちです。

はてなIDのログイン履歴が確認できるページを新設しました 本日、はてなIDのログイン履歴を確認できる「ログイン履歴」ページを新設しました。ログインに成功した、最近50件分の履歴をご確認いただけます。 ログイン履歴ページは以下のURLです。Myはてなの画面右上のリンクからアクセスできます。 https://www.hatena.ne.jp/login/history ログイン履歴ページには、現在アクセスしている環境以外のログイン状態を無効にするボタンも設置しました。不審な履歴を見つけた際、強制的にログアウトさせることが可能です。 この機会に、ご自身のはてなIDでログインして、ログイン履歴ページをご確認ください。 心当たりのないログイン履歴を見つけた場合 もし心当たりのないログイン履歴を見つけた場合は、第三者が不正にあなたのアカウントにログインしている可能性があります。その場合は、お手数ですが

「もうパスワードの時代は終わった。これからは、パスワードに代わる新しい技術の時代だ」――。こうしたかけ声とともに、次のような技術がマスメディアに登場しています。 （1）ID連携：SSO（Single Sign On：シングルサインオン）やパスワード管理ツール （2）いわゆるワンタイム・パスワード （3）2要素認証 （4）PKI（公開鍵暗号基盤） （5）生体認証（バイオメトリクス） しかし、いずれの技術も、どのように考えてもパスワードの補完ないし拡大利用方法とは呼べてもパスワードの代替策とは呼べません。なぜなら、それぞれがパスワードに依存しているからです。 具体的には、ID連携はマスターパスワードと呼ばれる1つのパスワードに全面的に依存します。いわゆるワンタイム・パスワードは本人の認証には関与しません。2要素認証では、1つの要素は常にパスワードですし、PKIも必ずパスワードと一緒に運用されて

Welcome back to TechCrunch’s Week in Review — TechCrunch’s newsletter recapping the week’s biggest news. Want it in your inbox every Saturday? Sign up here. Over the past eight years,…

はてなは2月24日、はてなのサービスに対して外部から不正なログインが行われた可能性があることを公表した。被害期間や規模については現在調査中。また、京都府警にも連絡済みとのこと。 他の写真を見る 　同社スタッフの公式ブログ「はてなの日記」によると、自社の調査により判明した。他社サービスのIDとパスワードを流用することで、不正侵入が行われたとのこと。 これにより、個人情報のうち、氏名、郵便番号、生年月日、メールアドレスが閲覧・変更された可能性があるという。また、はてなポイントが、第三者によってAmazonギフト券に交換された可能性、クレジットカード情報を登録している場合は、クレジットカード番号の下4桁を閲覧された可能性があるとしている。 侵入によるアカウント情報の流出や、パスワードを機械的に推測してログインを試行するといった不審な行動は確認されていない。 同社では、不正アクセスされたアカ

詳報：正規のアップデートを装いマルウェア配布する手口、ラックが注意喚起：不正サイトに誘導し、「GOM Player」アップデートを装いマルウェア送信 ラックは2014年1月23日、動画再生ソフトウェア「GOM Player」のアップデートプログラムを装ってウイルスに感染させ、標的型攻撃に悪用する手口が確認されたとして、注意を呼び掛けた。 ラックは2014年1月23日、動画再生ソフトウェア「GOM Player」のアップデートプログラムを装ってウイルスに感染させ、標的型攻撃に悪用する手口が確認されたとして、注意を呼び掛けた。この注意喚起を受け、GOM Playerの開発元であるGRETECHは、GOM Playerを含む全てのGOM製品のアップデートサービスを一時中止させたと説明している。 直接の関係は明らかにされていないが、これに先立つ2014年1月6日には日本原子力研究開発機構（JAEA

Baiduの提供するIME、Windows向けの「Baidu IME」とAndroid OS向けの「Simeji」を通じて端末に入力した情報が同社のサーバーへ送信されていると報じられました。ここではBaidu社の日本語入力ソフトの情報送信問題についてまとめます。 まず読んでおきたい この件についてまず読んでおくべき情報(記事)を列挙します。 今回騒ぎとなる発端はIIJ-SECTのオンライン機能を利用するIMEについて注意喚起する投稿から。 IMEのオンライン機能利用における注意について,IIJ-SECT,2013/12/26アクセス Baidu社のアプリを解析しその結果を公開したNetAgent社の記事。 入力情報を送信するＩＭＥ,NetAgent,2013/12/26アクセス 報道を受け公式見解を発表したBaidu社のプレスリリース。 一部の報道に対する弊社の見解,Baidu,2013/

入力内容がそのまま外部に？ オンラインIMEの利用にIIJ-SECTが注意喚起：「外部に送信されること」を認識した上で適切な利用を IIJ-SECT（IIJ group Security Coordination Team）は2013年12月17日、クラウド側で辞書の同期や変換を行う機能を備えた日本語入力システムが、意図せず一種の「キーロガー」として動作してしまう可能性について、ブログで注意を呼び掛けた。 インターネットイニシアティブ（IIJ）のセキュリティ対応チームであるIIJ-SECT（IIJ group Security Coordination Team）は2013年12月17日、クラウド側で辞書の同期や変換を行う機能を備えた日本語入力システム（IME：Input Method Editor）が、意図せず一種の「キーロガー」として動作してしまう可能性について、ブログで注意を呼び掛け

「Microsoftアカウント」に新機能、サインイン履歴の確認などが可能に：身に覚えのない履歴をチェックし不審なログインに備え 米マイクロソフトは2013年12月9日、Windows PCなどの端末やOutlook.comなどのサービスに使われるMicrosoftアカウントの新しいセキュリティ機能を発表した。 米マイクロソフトは2013年12月9日、Windows PCなどの端末やOutlook.comなどのサービスに使われるMicrosoftアカウントの新しいセキュリティ機能を発表した。ユーザーが自分のアカウントの使用状況を把握してコントロールを強化できるようにする狙いで、向こう数日のうちに導入するとしている。 新機能はユーザーからのフィードバックに応えたもので、まずMicrosoftアカウントの管理画面に「Recent activity」（最近の活動）の項目が追加され、サインインした時

サイトにアクセスすると「このサイトは危険にさらされている可能性があります」とか「このサイトはコンピュータに損害を与える可能性があります」といった警告メッセージが表示される事態はやっかいなものだ。ウェブサイトの運営者や所有者の多くは、この状況にどう対処したら良いか途方に暮れることだろう。 こうした理由から、Googleはこのほど「Webmasters help for hacked sites」（サイトをハッキングされたウェブマスター向け支援）と題する情報ガイドを開設した。このガイドでは、ハッキングからサイトを守る取り組みを支援する10本ほどの記事を掲載し、動画を交えて解説している。また、乗っ取られたサイトの管理権を取り戻す方法も紹介している。 Googleは、この新しい取り組みのために公開した専用サイトの中で次のように述べている。「毎日、サイバー犯罪者によって、多数のウェブサイトが被害に遭

FacebookやApple、MSまで……Javaの脆弱性を狙う攻撃の手口：川口洋のセキュリティ・プライベート・アイズ（44）（1/2 ページ） 2月になって、FacebookやApple、Microsoftがハッキング被害に遭うという事件が発生しました。共通しているのは、Javaの脆弱性を狙われたこと。そこで今回のコラムでは、Javaの脆弱性を狙った攻撃がどのようなプロセスで行われたのかを解説します。

脆弱性は認証システムの迂回、任意のSQL挿入、任意のコード挿入と実行、Railsアプリケーションに対するサービス妨害（DoS）攻撃などに利用される恐れがある。 オープンソースのWebアプリケーション開発フレームワーク「Ruby on Rails」のセキュリティアップデートが公開され、極めて深刻な脆弱性が修正された。全ユーザーに対し、直ちにアップデートまたは回避策を適用するよう呼びかけている。 Ruby on Railsや米セキュリティ機関US-CERTが1月8日に公開したセキュリティ情報によると、Ruby on Railsのパラメータ解析コードに複数の脆弱性が存在する。認証システムの迂回、任意のSQL挿入、任意のコード挿入と実行、Railsアプリケーションに対するサービス妨害（DoS）攻撃などに利用される恐れがある。 この脆弱性はRuby on Railsの全バージョンが影響を受け、危険度