最新のmacOS 10.13.3 High SierraにもAPFS暗号化ボリューム作成に使用したパスワードがログに平文のまま保存されるバグが確認される。
最新のmacOS 10.13.3 High SierraにもAPFS暗号化ボリュームに作成したパスワードがログに平文のまま保存されるバグが確認されたそうです。詳細は以下から。 Appleが昨年10月にリリースした「macOS 10.13 High Sierra」にはディスクユーティリティに複数の不具合があり、「APFS暗号化ディスクを作る際に設定したパスワードが、パスワードのヒントして平文のまま表示」が確認され、先週には「ディスクユーティリティが利用している“newfs_apfs“コマンドがパスワードを平分のままログに保存してしまう」不具合が見つかりました。 先週、この不具合を検証した際は「macOS 10.13.2で修正された」と記事にしていましたが、本日、元MacUserマガジンのライターHoward Oakleyさんが検証したところ、現在最新のmacOS 10.13.3 High S
Electronでアプリを書く場合は、気合いと根性でXSSを発生させないようにしなければならない。 - 葉っぱ日記
そのうちもう少しきちんと書きますが、とりあえず時間がないので結論だけ書くと、タイトルが全てでElectronでアプリを書く場合は気合いと根性でXSSを発生させないようにしなければならない。 これまでWebアプリケーション上でXSSが存在したとしても、影響範囲はそのWebアプリケーションの中に留まるので、Webアプリケーションの提供側がそれを許容するのであればXSSの存在に目をつむることもできた。しかし、ElectronアプリでDOM-based XSSが一か所でも発生すると、(おそらく)確実に任意コード実行へとつながり、利用者のPCの(そのユーザー権限での)全機能が攻撃者によって利用できる。 そのため、Electronでアプリケーションを作成する開発者は気合いと根性でXSSを完全につぶさなければならない。 nodeIntegration:falseやContent-Security-Pol
【セキュリティ ニュース】修正直後のFlash脆弱性に早くも攻撃 - アクセスの9割が日本（1ページ目 / 全1ページ）：Security NEXT
3月12日に修正された「Adobe Flash Player」の脆弱性を狙う攻撃が発生している。ウェブサイト経由で悪意あるファイルが配布されており、サイト訪問者の9割が日本国内からだったという。 3月18日以降、複数のセキュリティベンダーが、エクスプロイトキット「Nuclear」による脆弱性「CVE-2015-0336」の悪用を確認しているもの。 「CVE-2015-0336」は、「Adobe Flash Player」において、データの型を取り違える脆弱性。細工したファイルを開くと、コードが実行されるおそれがある。FireEyeでは、「Nuclear」とは別のエクスプロイトキット「Angler」による悪用も確認している。 米Trend Microによれば、「Nuclear」による攻撃では、改ざんされたウェブサイト経由で脆弱性を悪用するファイルが配布されており、そのなかには、日本のアダルト
DDoS攻撃、売ります。PSNとXbox Liveをハックした組織が攻撃を商品化
DDoS攻撃、売ります。PSNとXbox Liveをハックした組織が攻撃を商品化2015.01.03 13:00 福田ミホ ある意味ストレステストとな。 先週、クリスマスに合わせたかのようにLizard Squadなるハッカー集団がPlayStation NetworkとXbox Liveを大規模なDDoS攻撃でダウンさせました。そのLizard Squadが今、DDoS攻撃を商品化して、お金さえ払えば誰でも利用できるようにしました。 先日のハッキング攻撃は、クリスマスに手に入れた新しいゲームをプレイしたいゲーマーたちの楽しみを奪って混乱に陥れました。でもこのタイミングで商品を発表するということは、Lizard Squadは単に騒ぎを起こしたかったわけじゃなくて、注目を集めてDDoS攻撃サービスのプロモーションに利用しようとしていたのかも？と思ってしまいます。 彼らの新サービス｢Lizar
OS X YosemiteのSpotlightがAppleやMicrosoftにデータを送信しているのがよく分かる動画と、それを止めるシステム環境設定とSafariの設定。
OS X YosemiteのSpotlightがAppleやMicrosoft（Bing）へ検索データを送らないようにする方法のまとめです。詳細は以下から。 OS X Yosemiteの新機能にSpotlightで検索したワードをインターネット検索（Bing）やApp Store、iTunes Storeを使用して関連が深いサイトやアプリを候補としてあげる”Spotlight Suggestions”機能が追加されましたが、これを止める方法をセキュリティ研究者のGraham Cluleyさんが掲載しています。 Appleはこの事をシステム環境設定.appの[Spotlight] > [Spotlightの検索候補とプライバシーについて]に記載しており、これが嫌な方は以下の設定で情報送信を止めることができるそうです。 Spotlight を使用すると、実行した検索クエリー、選択した Spot
Chrome のバグをレポートして報奨金を獲得しましょう
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
OpenID 2.0 における Covert Redirect と RP Discovery - OAuth.jp
さて、OAuth 2.0 & OpenID Connect における Covert Redirect の問題 についてはまとめたので、次は OpenID 2.0 についてです。 いいですか、OpenID Connect ではなく、OpenID 2.0 ですよ。古い方です。懐かしいですね、OpenID Authentication 2.0 – Final。 そういえば、OpenID Foundation Japan の翻訳 WG を立ち上げて、一番最初に翻訳したのが OpenID Authentication 2.0 の 日本語訳でしたね…(遠い目 と、昔話はそれくらいにして、本題に入りましょう。 まずは Covert Redirect 発生条件について OpenID 2.0 では、レスポンスパラメータは query に引っ付いてきます。fragment は使いません。 なので、open r
Implicit Flow では Covert Redirect で Token 漏れるね - OAuth.jp
この記事は、先ほど書いたこちらの記事の訂正版です。 記事に入る前に、まずは全シンガポールにお詫び申し上げますm m さて、Covert Redirect についての説明は…超絶取り消し線はいりまくってる前の記事を読んでください、でいいでしょうか？ で、訂正分だけ以下に。 Fragment Handling in Redirect 宮川さんが記事にしてますね。 英語だけど。 で、まぁ要するに、(Modern Browser は) 30x リダイレクト時にリダイレクト元に付いてた URL fragment をリダイレクト先にも引っ付ける、と。 fragment は server-side には送られないけど、クライアントサイドではリダイレクト先に引き継がれる、と。 試しに http://www.idcon.org/#foobar にアクセスすると、http://idcon.org/#fooba
OAuth 2.0 の脆弱性 (!?) "Covert Redirect" とは - OAuth.jp
訂正 リダイレクト時の fragment の扱いを勘違いしていたため、本記事全体訂正します。 細かく訂正いれてると分けわかんなくなってきたんで、新しい記事書きました。 ゴールデンウィークまっただなかに Twitter で海外の ID 厨から袋だたきにあってたので、もうこの問題は片付いただろうとすっかり油断してた「Covert Redirect」の件ですが、日本でもゴールデンウィーク明けてバズりだしたので、一旦問題を整理した方がよさそうですね。 事の発端 Wang Jing さんていうシンガポールの大学院生が、こんなサイトを公開すると共に CNet はじめ各種メディアが取り上げたのが、バズりだした発端のようです。 前提知識 OAuth 2.0 や OpenID Connect だけでなく、OAuth 1.0 や OpenID 1.0/2.0 や SAML なんかでも、2つのサービスの間でリダ
数字6桁パスワードのハッシュ値の総当たり、PHPなら約0.25秒で終わるよ
JALの6桁数字パスワード問題から派生して、JALのサイトがパスワードリマインダとして「現在のパスワード」を教えてくれることから、JALサイトではパスワードを平文保存しているのではないかという疑惑が持ち上がっています。それに対して、「いやいや、従来の主流と思われるソルト付きMD5ハッシュでの保存しても、実用的な速度でハッシュ値から元パスワードを『解読』できるよ」と、JALを擁護（?）するエントリが現れました。 パスワード問合せシステムを作る (clojureのreducers) この記事では、最初Clojureによる単純な総当たりで36秒、Clojureのreducersによる並列化で11秒でハッシュ値から元パスワードが求められるよ、と説明されています。まことに痛快な記事ですので、未読の方には一読をお勧めします。 とはいうものの、100万件のMD5の総当たりが、逐次実行で36秒、並列化して
iBeaconのセキュリティとAndroid - あみゅーの奮闘記2
2014-01-12 iBeaconのセキュリティとAndroid iBeacon Android 3日連続エントリとか大学の課題もそんぐらい真面目にやりたいものです。 今回は2本立てで行きます。 前回の続きと、Android受信する際の注意点をツラツラと… 前回の続き！ 少しここでネタばらしというか、前回の記事の裏話を少し。 実はちゃんと開発者のKazuyuki Eguchiさんから許可を取ってUUIDなどを公開しました。 双方合意の上だったということを理解していただけると… そう、仕組まれた記事だったんです！！！！ 【Beacon Rally】の隠れたセキュリティ このアプリ面白いセキュリティを施しています。 それは… ある特定の時間外からはBeaconRallyを行えない仕様になっています。 多分ですが土曜日の「アキバ大好き！祭り 2014WINTER」終了時間である
iBeaconのセキュリティについて ~秋葉原でクラックしてきた~ - あみゅーの奮闘記2
2014-01-11 iBeaconのセキュリティについて ~秋葉原でクラックしてきた~ iBeacon Android どうも、明後日成人式です。 と、どうでもいいので本題を… 実際にBeaconを使ってるところに行ってみた。 「アキバ大好き！祭り 2014WINTER」というイベントをご存知ですか? 私はよく知らないです。 ただ、Beaconを使ったスタンプラリーみたいな「Beacon Rally」を行うということで、どんなもんかと思い参加してみました。 ま、正しい参加方法はしなかったんですけど。 とりあえず、UUIDとか抜いてきた ま、公開しても問題ないでしょう。 公に飛んでるんだし、簡単に取れるということを目的としたエントリですから！ UUID:00000000-464C-1001-B000-001C4D3FDAF8 Major:0000 ~ 0001 Minor:0
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Googleが自分の名前と写真を広告に流用する新機能の詳細と拒否する手順
最近、Googleのページ上部に青いバーとともに「新しい使用規約：広告やコンテンツでのユーザー情報の表示について更新しました」と記載されているのを目にした人も多いと思いますが、これは同社が進める新しい広告戦略を開始するための告知であり、個人ユーザーの名前や写真がGoogleの検索結果に表示されてしまう可能性があることがわかりました。これは「共有おすすめ情報」と呼ばれる機能で、ユーザーがGoogle+でおこなった「+1」やコメント、フォローなどの行動を企業の広告の一部として使用するというものです。過去を含む個人のコメントや行動を分析して広告の材料にしてしまうという機能の詳細と、公開を希望しない場合に自分のアカウントをその一部として使用させない方法は以下から。 利用規約の更新情報 – ポリシーと原則 – Google https://www.google.co.jp/intl/ja/polic
Androidアプリセキュリティ〜WebViewの注意点(1)〜 | Remote TestKit
WebViewとその脆弱性とは WebViewとはWebページを表示するための画面部品です。簡単にアプリケーション内にWebページを表示できるため多くのアプリケーションで使用されていますが、外部とのインタフェースを持つ機能であることや使用頻度が多いことに起因してか報告されている脆弱性の数も多くなっています。 実際に報告された脆弱性を見てみましょう。これまで発表されたWebViewに関する脆弱性の実例についてJVN iPedia(※1)を見てみると、以下のような脆弱性が確認できます。 Sleipnir Mobile for Android における WebView クラスに関する脆弱性 Yahoo!ブラウザーにおける WebView クラスに関する脆弱性 Dolphin Browser における WebView クラスに関する脆弱性 iLunascape for Android における W
「ほこ×たて」対決の功罪、ロシア人ホワイトハッカーに裏側を聞いた
なぜ、こうなった――フジテレビの人気番組「ほこ×たて」で2013年6月9日、ハッカーとセキュリティ技術者が攻撃、防御の腕を競う珍しい企画があった。「どんなパソコンにも侵入する世界最強ハッカーVS絶対に情報を守るネットワークセキュリティー」という触れ込みである。 IT記者として、これを見ないという選択肢はない。何より、難解なハッキングの世界を、テレビというメディアがどのように料理し、分かりやすく紹介するのか、興味があったのだ。 結論からいうと、番組を視聴した後、何ともいえない違和感が残ってしまった。「『ほこ×たて』といえど、やはりハッキング勝負の映像化は難しかったのか…」と考え込んでしまった。 今回の「ほこ×たて」の事態は、日々セキュリティ関連の記事を書いている筆者にとっても、無縁ではいられない。防御側であるネットエージェントの説明、攻撃側である楽天所属のヴィシェゴロデツェフ・マラット氏への
Yahoo!のパスワード流出、実は「他サイトが危険」？ : サイバー護身術 : セキュリティー : ネット＆デジタル : YOMIURI ONLINE（読売新聞）
Yahoo! JAPANで大規模な情報流出が発生した。パスワード（ハッシュ値：後述）と秘密の質問が、流出した可能性がある。Yahoo! JAPANと専門家に話を聞いた。 「パスワード」と「秘密の質問と答」が流出 Yahoo! JAPANでの情報流出の可能性があるユーザーに表示された警告画面。5月17日に表示されたもので、パスワードの変更を求めている（24日のパスワードリセットより前のもの） ユーザーに大きな影響を与える大規模な情報流出が発生した。Yahoo! JAPANへの不正アクセスによる流出だ。16日夜に起きた外部からの不正アクセスによって、Yahoo! JAPANの以下の情報が流出した可能性がある（24日11時時点）。 ・パスワード（約148万6000件）：すぐには解読できないハッシュ化されたデータでの流出。ただし、後述するように解読される可能性がある ・秘密の質問と答（約148万
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
ggsoku.com
ファイル検索に関するヒント