SSL/TLS暗号化に重大な脆弱性、cookiesを復号するPoCも - うさぎ文学日記
TLS1.0以前のSSL技術で保護されているWebサイトで、ユーザーとサーバー間を通るデータの効率的な復号を可能にする重大な脆弱性が発見されたとのこと。新しくかつ高速なブロック単位での選択平文攻撃によって、SSLプロトコルの機密性に対して攻撃を仕掛けるようです。 詳細は今週アルゼンチンのブエノスアイレスで開催されるekoparty Security Conference 2011でThai Duong氏と Juliano Rizzo氏が発表します。 発表では”BEAST”と呼ばれるPoC（概念実証コード）を使って、PayPalアカウントを対象にHTTPSで暗号化された通信の中からcookiesを復号するようです。ちなみに”BEAST”は”Browser Exploit Against SSL/TLS”の略だそうです。 Hackers break SSL encryption used by
GPSトラッキングソフトのお陰でPCを盗んだ犯人が捕まる - うさぎ文学日記
ノートパソコンを盗まれたEmma Partingtonさんは、GPSトラッキングソフトをインストールしていたお陰で警察の協力を得て犯人を捕まえることができたそうです。 盗まれた後に、GPSトラッキングソフトの機能を使ってWi-Fiのアドレスから位置を割り出したり、犯人の写真を撮ったりして、それを警察に渡したとのこと。 最近たまにGPSトラッキングソフトで犯人を捕まえたという話を見かけますね。使ってる人が割といるんでしょうか。 GPS software tracks down student's stolen computer | UK news | The Guardian 入れていたのは”prey”というソフトみたい。無償で使えます。GPSやWi-Fiによる位置情報取得機能や使っている人の写真撮影機能、Wi-Fiホットスポットの自動接続機能などなど多機能です。 当初のカレログと違って、自
"Find my car"機能で他人の車の位置を探せる - うさぎ文学日記
アメリカのショッピングモール「Westfield Malls」のiPhoneアプリ「Westfield Malls（App Store）」には「Find my car」という機能がありました。 これはショッピングモールの駐車場に備え付けられた監視カメラを使って、映った車のナンバーを把握し、駐車場のどこに停めたかという位置を表示する機能を持ったアプリです。要は、広い駐車場だと自分の車を見失うこともしばしばありますが、それをサポートするためのショッピングモール側のサービスでした。 ところがこのサービスは、ナンバーを入れれば誰の車でも検索ができたようです。しかも、iPhoneアプリ経由しなくても適切にHTTPリクエストさえ送れば、インターネットからでも利用ができたとのこと。現在ではサービスは停止中。 Troy Hunt: Find my car, find your car, find ever
kernel.orgへのハッキング、17日間rootkitが潜伏? - うさぎ文学日記
Linuxカーネルを管理するkernel.orgがハッキングされました。複数のサーバーのroot権限が取られ、システムが改ざんされました。rootkitは遅くとも8月12日から仕込まれていたようで、17日間検出されずに潜伏していたとのことです。 Kernel.org Linux repository rooted in hack attack • The Register kernel.org では下記のようなことが起きたと発表されています。 侵入者はHeraサーバーへのroot権限を得た。方法は不明。 OpenSSHのサーバーとクライアントが変更された。 トロイの木馬を起動するファイルがシステムに追加されていた。 ユーザー操作のログが記録されていただけでなく、Exploitコードも仕込まれた。 トロイの木馬はXnest /dev/memのエラーメッセージが原因で発見した。 今後は調査を行
パキスタンでは暗号化通信が国家安全保障のため禁止に - うさぎ文学日記
Pakistan Telecommunication Authority (PTA)からプロバイダに通達された内容によると、ネットワーク上のすべての暗号化トラフィックをブロックするようにと指示があったようです。 2010年に制定された回線利用に関する条例に従って、リアルタイムに音声とデータトラフィックを監視するために必要な措置とのことです。 Pakistan bans online encryption for the good of state security - Security パキスタンは過去にFacebookやYouTubeもブロックしているようですね。今回はそれだけでなくVPNなどの暗号化通信が禁止されるようです。たぶんHTTPSも同様かと。
Anonymousが使う DDoS tool「#RefRef」 - うさぎ文学日記
Anonymous向けのDDoSツールとして「#RefRef」というのが公開されています。効果はPastebin.comを攻撃して実証済みなんだそうです。 動作させるためには、まずSQLインジェクション可能なところを探す必要があります。そしてそこに対してSQLインジェクションで、やたら負荷の高い benchmark()を打ち込み続けるというもののようです。 #RefRef Perl、Python、JavaScript版があるようですが、Perl版しか見当たらなかった。 ツールを使いこなすには、まずSQLインジェクションを見つけるスキルが必要そうですね。でも、それもツールで見つけるのか。SQLインジェクションを理解しているなら、そもそもこのDDoSツールがやってる攻撃ぐらい自分で書けそうな…。
赤外線カメラで入力痕を見てATMの暗証番号を盗む - うさぎ文学日記
赤外線サーモグラフィカメラを使って、ATMの暗証番号の入力の痕跡を可視化して、暗証番号を盗むことができるという発表がありました。入力の10秒後なら約80%の成功率、45秒後なら60％で取得できるそうです。 10秒はともかく、45秒もあれば実現できる可能性はありそうですね。ATMの場合にはカードも必要だと思いますが、ドアの暗証番号とかにも応用が利きそうです。 Stealing ATM PINs with thermal cameras | Naked Security これは試してみたいと思って、赤外線カメラがいくらぐらいするか確かめたら軒並み30万とかもっと高かったり。レンタルでも1日5万円とか。 サーモグラフィカメラ - Google 検索
特集はハッカー情勢、AppGoat、Hacker Japan 2011年7月号 - うさぎ文学日記
今号の特集は世界ハッカー情勢2011、「今そこにあるサイバー危機」ではサイバーディフェンス研究所の名和さんがサイバー攻撃の実情などを語っています。6ページに渡り、写真4枚で登場していますよ。名和さんの話はセキュリティ業界のセミナーなどでも大人気ですね。 他にもエル・ケンタロウさんがPSNはなぜハックされたのか？やVladさんが現在のアングラ事情などを語っています。いつもの技術寄りの特集とはまた違っていいですね。 もう1つの特集は「脆弱性学習ツール AppGoatの使い方」です。AppGoatはIPAが出した脆弱性体験学習ツールで、OWASPのWebGoat的なものです。 AppGoatは日本語で提供されているのはいいのですが、問題の設定が若干難しいので初心者はちょっと…。といったことを解決する、AppGoatの解説記事です。私も執筆しています。 情報処理推進機構：脆弱性体験学習ツール Ap
9割がパスワード使い回し、漏えいしたソニーのパスワードから分析 - うさぎ文学日記
連日のソニーグループを狙ったハッキング事件だけで100万件以上のパスワードが漏えいしているので、そのハッシュ化されてたり、されてなかったりするパスワードの分析や解析などを誰かやるだろうなァと思っていたら公開されていました。 Troy Hunt: A brief Sony password analysis 以下の観点について分析がなされています。 長さ 文字空間（文字の種類） 乱数 一意性 この中で興味深かったのは、パスワード再利用（Password reuse）についてでした。 ソニーグループの異なるデータベースで、同じメールアドレスの場合、同一アカウントと見なして、その2000アカウントでパスワードが異なるかどうかを調べた物です。 その結果、92％がパスワードを使い回しているという結果が出ています。私の想像よりも多いですね。 ソニーとGawkerで比較した場合でも67%が使い回しだと判
あの強力マルウェア”ZeuS/Zbot”の完全なソースコードが流出中 - うさぎ文学日記
世界中でもっとも広まっていると言われているトロイの木馬型マルウェアの”ZeuS/Zbot”のソースコードが流出中のようです。以前からアンダーグラウンドでは販売されていたようですが、どこかがソースコードを流したのかな？ Complete ZeuS source code has been leaked ! ~ THN : The Hackers News セキュリティ研究者にとっては、将来登場しそうなマルウェアの研究に使えますが、犯罪者側も新しいマルウェアの開発促進に使いそうですね。これをベースにした新たなマルウェアも登場しそうです…。 「犯罪組織が合併、Zeusの機能を得たトロイの木馬SpyEye--RSAレポート（RSAセキュリティ）｜ScanNetSecurity」というニュースも今年の2月頃にありましたが、いつごろのZeuSのソースコードなんでしょうね？ ”ZeuS/Zbot”の強力
あなたは監視対象？車に付けられたGPSトラッカーの見つけ方 - うさぎ文学日記
アメリカの方じゃFBIが監視対象の人の車に勝手にGPSを付けるんだとか。（Battle Brews Over FBI’s Warrantless GPS Tracking | Threat Level | Wired.com）日本ではやってないと思いますけど、実際はどうだか知りません。 そんな身辺が気になる人のための、車に付けられたGPSトラッカーの見つけ方です。 パッシブトラッカー（Passive Trackers） もっとも簡単なトラッカーがパッシブトラッカーで、内蔵ドライブやバッテリー、そしてアンテナがついているそうです。たぶん、この画像のやつかな。 車両の裏側やバンパーの裏なんかの割とわかりやすい位置にくっつけていることが多いそうです。もし見つけたら、無造作にひっぺがしちゃって下さいとのこと。 でも、映画でよく見るプラスチック爆弾っぽい見た目な気もするので、引っぺがすのは勇気がいり
SSDプチフリ対策に効果がある？Petite Freeze Buster β版を導入してみた - うさぎ文学日記
半年ほど前に、比較的低価格なSSDを導入し、プチフリと戦い、ひとまず日常使用に問題がないぐらいにまで仕上げたのですが、ここ数週間ぐらいでまたプチフリが頻発するようになってきました。 流行りモンなので試しにSSDを導入してみた 〜 プチフリとの戦い - うさぎ文学日記（2009年2月16日） 今のメインPCはOS（Windows XP）をインストールしてから3年ぐらい経っているので、いわゆるゴミが溜まって遅くなっているのかもしれません。もしかすると、Vista辺りのOSを再インストールして、環境を再構築した方が改善効果があるかもと思いつつ、数ヶ月先のWindows7に思いを馳せながら、場当たり的な対応で雨露をしのぐのでした。 Petite Freeze Buster β版 Petite Freeze Busterは、SSDに書き込むデータを、いったんメモリ上のバッファ領域に保存して、そこから
Linux Kernel Watch LIVE! - うさぎ文学日記
6月3日（水）に＠IT主催で開催された 『Linux Kernel Watch LIVE!』という勉強会に参加してきました。 @IT主催だけど今回は取材じゃないのでだらだらとレポート。 内容は以下の3本立て Linux Kernelの作られ方（小崎資広氏） TOMOYO Linuxマージに至る道（原田季栄氏＆半田哲夫氏） 日本のセキュリティコミュニティ活動の現状（海外浩平氏） どのお方もどこかで名前を目にしたことがある有名人という方々ですが、 参加するまでは彼らの活動の内容まではあまり知りませんでした。 会議室の都合から、定員はわずか15名で3日ほどで埋まったようです。 私はワッサーで情報を仕入れて即申込でした。 ＠IT編集部より、勉強会「Linux Kernel Watch LIVE!」開催のお知らせ - ＠ITクラブ Cafe @ITさんが主催ですが、手弁当といった感じの勉強会でいい雰
意外と知らない？NICを冗長化するボンディング（bonding） - うさぎ文学日記
割と長い間ネットワークに携わってる人と話していて、その人がボンディングの存在を知らなかったので、もしかして知られていないのではないかと思ったので紹介してみます。 Linuxでは、ボンディング（bonding）を使うことでNICの冗長化、負荷分散ができます。ケーブルが断線したり、間違えて抜いてしまったなんてことがあったとしても大丈夫です。 このボンディングはNICを複数束ねて使うことで、1個のチャンネルにすることができます。異なるベンダーのNICとかでも大丈夫ですよ。（bondingは機能の名称で、束ねることはteamingとも言うらしい） 異なるスイッチ（更に、その上に異なるルーターとか）なんかにつなぐと、更に冗長化ですよ。 当たり前ですが、NICは2個以上消費します。 /etc/sysconfig/network-scripts/ifcfg-bond0 を作成 DEVICE=bond0
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
旅行中にお金を取られた。助けて下さい！ - うさぎ文学日記
新しいKindle買ったよ - うさぎ文学日記
THC-IPV6 - attacking the IPV6 protocol suite - うさぎ文学日記
LulzSecの次のターゲットは任天堂？httpd.confが晒されてる - うさぎ文学日記
ソニーをハッキングしたLulzSecがP2P型仮想通貨のBitCoinで寄付受付中 - うさぎ文学日記
Skypeプロトコルをリバースエンジニアリングしたソースが公開中 - うさぎ文学日記
