カーネギーメロン大学の客員研究員として明日から赴任するるくすくんと、コンピュータのセキュリティや、システムズ系のコンピュータサイエンスの論文などについて話をしました。
Turing Complete FM
カーネギーメロン大学の客員研究員として明日から赴任するるくすくんと、コンピュータのセキュリティや、システムズ系のコンピュータサイエンスの論文などについて話をしました。
Satoshiが注意深く設定した世界の境界線
2度のインシデントが示す安全なシステムへの理解不足勤勉な国民性を持ち、システムの運用を行わせれば確実に仕事をこなすことで世界的にも知られている日本において、Mt. Gox事件に続く、2回目の取引所における大きなインシデントが発生した。筆者は、以前より、日経IT Proの連載「ブロックチェーンは本当に世界を変えるのか」（大幅加筆をして書籍『ブロックチェーン技術の未解決問題』として出版）において、ブロックチェーンを用いたシステムにおけるセキュリティ確保の難しさを解説し、スタンフォード大学で行われたブロックチェーンのセキュリティに関するトップの会議であるBlockchain Protocol Analysis and Security Engineering 2017 (BPASE 2017)、IEEE Security & Pricvacy on the Blockhcain(IEEE S&B
クラウドを支えるこれからの暗号技術
『クラウドを支えるこれからの暗号技術』 本書は公開鍵暗号に続く、新しい暗号技術を紹介します。 対象読者 『暗号技術入門』（結城浩）を読んで最先端暗号理論はどうなってるのだろうと興味を持った方 「入門書に載っているRSA暗号は安全ではないので使ってはいけない」ということを知らない方 Hash(secret key||message)で認証してはいけない理由（SHA-2とSHA-3の違い）を知りたい方 楕円曲線暗号の楕円曲線を直感的に把握したい方 最近ちょいちょい聞く「準同型暗号」って何だろうと思っている方 楕円曲線といえばy2 = x3 + ax + bという式が唐突に出てくるけど何故なのと疑問に思った方 EdDSAって何? ECDSAの書き間違い?と思ったらEdwards曲線が出てきて、それ何だろうと思った方 暗号で使われる数学の話をきちんと理解したい方 などなど。 購入 秀和システム 正
踏み台サーバ経由のSSHセッションを記録する方法 | DevelopersIO
こんにちは。大阪の市田です。 今回は、下記のブログの内容を元に、踏み台サーバ経由のSSHセッションを記録する方法をご紹介します。 How to Record SSH Sessions Established Through a Bastion Host | AWS Security Blog 尚、踏み台サーバはAmazon Linuxを想定しています。 ポイント この記事のポイントは下記です。 OpenSSHの設定の修正 scriptコマンドの利用 踏み台サーバユーザの権限制限 ログファイルのS3保管 S3による踏み台サーバユーザの自動管理 SSHのエージェントフォワード利用 CloudFormationで環境構築 それでは順に説明していきたいと思います。 構成 想定の構成は下記の通りです。 ログファイルのディレクトリ作成 まずは、踏み台サーバにログの保存ディレクトリを作成し、アクセス制限
GoogleのSHA-1のはなし
5. • その暗号技術がどのぐらい安全かを表す大雑把な指標 • nビットセキュリティは2 𝑛 回攻撃が必要 • 1回あたりの攻撃コストはあまり気にしない • 𝑂 2 𝑛 という表記 セキュリティビット 𝑛 直線 :𝑂(𝑛) 3次関数 : 𝑂(𝑛3 ) 指数関数 : 𝑂(2 𝑛) 𝑂(log 𝑛) 5 / 21 6. • 第二原像計算困難性（弱衝突耐性） • 𝑚1に対して𝐻 𝑚2 = 𝐻 𝑚1 となる𝑚2 ≠ 𝑚1が分からない • 同じじゃなくてもいいから何か一つ見つけるのが困難 • 𝑂(2 𝑛 )回トライ ; nビットセキュリティ • 衝突困難性（強衝突耐性） • 𝐻 𝑚1 = 𝐻(𝑚2)となる𝑚1 ≠ 𝑚2を見つけるのが困難 • 𝑂(2 𝑛/2 )回トライ ; 𝑛/2ビットセキュリティ • 第二原像を見つけるのは単なる衝突より2
Linux の標準機能「LXC」を用いた 仮想化 -入門編-
Linuxの標準機能「LXC」を用いた 仮想化 - 入門編 - 株式会社Joe'sウェブホスティング 山本 政秀 2011年7月15日 オープンソースカンファレンス 2011 Kansai@Kyoto 2 株式会社Joe'sウェブホスティング 概要 ● 設立 2002年7月 資本金 1000万円 ● 大阪本社 Joe’s ITサロン 梅田, Joe’sビジネスセンター 梅田 ● 〒530-0001 大阪府大阪市北区梅田1丁目11番4-923号 大阪駅前第4ビル9階 ● 銀座オフィス Joe’s ITサロン 銀座, Joe’sビジネスセンター 銀座 ● 〒104-0061 東京都中央区銀座1-3-3 G1 ビル 7階 ● 南青山オフィス Joe’sビジネスセンター 青山 ● 〒107-0062 東京都港区南青山2-11-13 南青山ビル4階 ● 役員 代表取締役 CEO 鈴木禎子、取締役 C
CTFに使用するツール類まとめ - ソースコード置き場
CTFによく使用するツールやコマンドの、主に自分の備忘録としてのまとめです。 何か思い出したらまた適当に更新します。 基本 Google http://www.google.co.jp/ 困ったときはこれ。 manコマンド コマンドの使い方がわからないときに。コマンドに-hや--helpオプションを付けても見られるものもあります。 fileコマンド ファイルの種類を確認するコマンドです。 stringsコマンド バイナリファイル中の文字列を抽出するコマンドです。-nオプションで最低文字数を指定できます。 istrings バイナリファイルからASCII文字列の他に日本語文字列も抽出することができます。 バイナリ Bz バイナリエディタ。UTF-8も表示できます。 Stirling バイナリエディタ。EBCDICも表示できます。 PEditor PEファイルの情報の閲覧・編集ができます。 P
[PDF]DNS水責め（Water Torture） 攻撃について /2014年9月27日 SECCON 2014 長野大会 DNS Security Challenge 株式会社日本レジストリサービス（JPRS） 森下 泰宏（Yasuhiro Orange Morishita）
Copyright © 2014 株式会社日本レジストリサービス 1 DNS水責め（Water Torture） 攻撃について 2014年9月27日 SECCON 2014 長野大会 DNS Security Challenge 株式会社日本レジストリサービス（JPRS） 森下 泰宏（Yasuhiro Orange Morishita） 最終更新：2014年10月2日 どんな攻撃なのか？ • 2014年1～2月頃から世界的に観測され始めた、 DNSサーバーに対するDDoS攻撃の手法 – 攻撃は現在も続いている模様 • 2014年6～7月にかけて国内の複数のISPで発生 した「DDoS攻撃によるDNS障害」の原因の多く は、この攻撃によるものであったと考えられる – 複数の状況証拠 – 複数のISP関係者からの伝聞 Copyright © 2014 株式会社日本レジストリサービス 2 攻撃の
クレジットカードのICチップセキュリティを突破した驚愕の手法とは？
By frankieleon 現行のほとんどのクレジットカードやキャッシュカードには、従来型の磁気ストライプではなく、より強固なセキュリティを誇る「Chip＆PIN」方式のICチップが採用されています。PINコードを知られない限り破られないと考えられていたChip＆PIN方式ですが、凄腕ハッキング集団によって強行突破され、もはや絶対的に安全とは言えない事態に陥っていることが明らかになっています。 How a criminal ring defeated the secure chip-and-PIN credit cards | Ars Technica http://arstechnica.com/tech-policy/2015/10/how-a-criminal-ring-defeated-the-secure-chip-and-pin-credit-cards/ X-Ray Sca
JSON SQL Injection、PHPならJSONなしでもできるよ
DeNAの奥さんと、はるぷさんがJSON SQL Injectionについて公表されています。 The JSON SQL Injection Vulnerability 不正なJSONデータによるSQL Injectionへの対策について (Json.pm+SQLクエリビルダー) 上記の記事は、主にPerlスクリプトがJSONデータを受け取るシナリオで説明されています。もちろん、この組み合わせに限定したはなしではないわけで、それではPHPではどうだろうと思い調べてみました。 JSON SQL Injectionとは 以下、はるぷさんの「不正なJSONデータによる…」にしたがってJSON SQL Injectionについて説明します。 Perl向けのSQLジェネレータの一つであるSQL::Makerにおいて、以下のスクリプトを想定します。 my ($sql, @bind) = $builde
Rails SQL Injection Examples
Overview The Ruby on Rails web framework provides a library called ActiveRecord which provides an abstraction for accessing databases. This page lists many query methods and options in ActiveRecord which do not sanitize raw SQL arguments and are not intended to be called with unsafe user input. Careless use of these methods can open up code to SQL Injection exploits. The examples here do not inclu
DOM APIとinnerHTMLは等価ではない
最近、徳丸本をじわじわ読んでいるのですが、DOM based XSSの話が書いてあったので、少し言及しておこうと思います。 徳丸本から引用 DOM based XSSと呼ばれるXSSがあります。これは、JavaScriptによりクライアント側で表示処理する箇所があり、そこに脆弱性がある場合のXSSです。 サンプル書いてみました。 <script> document.write(unescape(location.href)); </script> こいつを適当なファイル名で保存して、domxss.html#<script>alert("hello")<script>などのURLでアクセスするとalertが表示されるはずです。任意のスクリプトが実行可能な状態ってことですね。任意のスクリプトが実行可能ってことは、セッションクッキー盗み放題で、他人に成り済まして買い物できちゃったりするレベルです
「携帯電話番号は個人情報に当たらない」、新経連に真意を聞いた
「なぜ、単なる十数ケタの数字の羅列が、個人情報として保護の対象になるのか、そこがさっぱり分からないんですよ。企業ごとの自主的な規制ではダメなんでしょうか…」 2015年3月10日に閣議決定した個人情報保護法の改正案（ITpro関連記事：個人情報保護法改正案を閣議決定、個人情報の定義は骨子案を踏襲）を巡り、企業や経済団体の担当者から、取材の場でこうした疑問をぶつけられた。 担当者を困惑させているのが、個人情報の定義を明確化するという名目で新たに導入される「個人識別符号」という概念だ。個人の氏名だけでなく、政府や民間企業が個人に割り当てた符号（数字や文字）を含む情報も、個人情報として保護の対象になる。 企業や経済団体は、個人情報保護法改正案のどこに、違和感を覚えているのか。経済団体への取材を基に、改めて「符号を法的保護の対象にする」ことの意味について考えてみたい。 国会審議で明らかになった個人
エフセキュアブログ : 最も安全なOSとは？覚えておくべき4つのポイント
最も安全なOSとは？覚えておくべき4つのポイント 2015年03月05日08:00 ツイート fsecure_blog ヘルシンキ発 もしあなたがこの問いの答えを予想しても、まず正解は出ないでしょう。最近の調査によると、アップル製品は脆弱性の数が最も多い、つまり、セキュリティ面が最も弱いことがわかっています。脆弱性の数を数えるだけというのは、セキュリティの強度を測る上であまり科学的な方法とは言えませんし、数字の解釈に関する議論も起こっています。しかし、いずれにせよ、古い思い込みを否定するのに役立つ、歓迎すべき発見といえます。 アップルは長い間セキュリティの問題を頑なに否定してきましたし、セキュリティのイメージを構築するマーケティングにも成功しました。一方、Windowsは最もマルウェアの標的にされるシステムでした。マイクロソフトはウイルスや脆弱性の問題に本腰を入れ、最前線で取り組んできまし
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IoTのさらなる実現に向けたプロトコル／セキュリティ【IETFトピックス2016-17】
Latest blog insights from the NTT Family | NTT
ゼロから始める自作 CPU 入門
クラウドはセキュリティ的に危ないのか
SSSSLIDE