お久しぶりでございます。どうしても眠くて眠くてなかなか更新できませんでした。更新できない間に、ああ、これを取り上げればよかったという話題がどんどん通り過ぎていきました。 さて、こんなIT関係の話が話題です。 nlab.itmedia.co.jp NIST（米国国立標準技術研究所）が、デジタル認証のガイドラインとして、「SP800-63B」という名称で、「パスワードの定期変更をするべきではない」「秘密の質問も使用してはならない」という報告書を出した、というお話です。確かに、何日か経つとパスワードの変更を強制的に求められるのって、ちょーめんどうですよね。 うーん、しかしながらこの話、GoogleUSなどで検索をかけてみたんですが、実は日本以外でそれほど話題になっていないんですね*1。この話は、いったいどこまで正確なんでしょうか。検証してみたいと思います*2。 ＊＊＊ 800-63Bとは何か そ

アメリカ人のNullさん、名前のせいでウェブサイトに登録できない事案が発生2016.03.30 16:3527,268 渡邊徹則 だから本名だって言ってるのに！ アメリカはバージニア州に住む、一人の女性。旅行サイトでチケットの予約を試みたところ、何度やってもエラーになってしまうそう。そのエラーは決まって｢お名前は必須項目です｣というものなんです。 でも、毎回きちんと入力しているんですよ。｢Jennifer Null｣と。 Jennifer Nullさんが航空券を予約しようとすると、ほとんどのサイトでエラーとなってしまいます。彼女は仕方なく電話で予約をし、それは何の問題もなく完了したそうです。 そこで彼女は｢なぜ私はサイトが使えないのですか？｣と聞いたところ、｢申し訳ございません。しかし、どうしようもありません｣という回答しかもらえなかったとのこと。 実は｢null｣というのは、コンピュータ

スマートフォンの基本ソフト（ＯＳ）「アンドロイド」端末向けに国内で提供されているアプリに、本来存在しないはずの「バックドア」（裏口）があると指摘されていたことが分かった。 情報セキュリティー会社はスマホを乗っ取られる可能性も指摘しており、アプリ提供会社が利用者に対し、今月中のアプリ削除などを呼び掛ける事態になっている。 このアプリは、中国検索大手の 百度 （ バイドゥ ） が提供するアンドロイド用アプリ「Ｓｉｍｅｊｉプライバシーロック」（ＳＰＬ）。他人に見られたくないスマホの写真やアプリなどに個別に鍵をかけ、非表示にする機能を持つ。国内で約４５００人がダウンロードしたとされる。 情報セキュリティー会社トレンドマイクロ（東京）が昨年秋、百度の提供するアプリ開発キットに、外部からの侵入を許すバックドアを確認した。このキットで作られたアプリにはバックドアが仕込まれる。

(Last Updated On: 2019年2月18日)入力バリデーションはセキュリティ対策として最も重要なセキュリティ対策です。なぜセキュリティ対策であるのか？を理解していない方も見かけますが「ほぼ全てのインジェクション攻撃を無効化／防止する入力バリデーション」の効果と拡張方法を見れば解るのではないでしょうか？ ソフトウェア開発者が知っておくべきセキュリティの定義／標準／ガイドで紹介しているセキュリティガイドラインでは入力バリデーションが最も重要なセキュリティ対策であるとしています。 厳格な入力バリデーションを行うと、開発者が意識しなくても、非常に多くの脆弱性を利用した攻撃を防止できます。今回は比較的緩い入力バリデーション関数でも、ほとんどのインジェクション攻撃を防止できることを紹介します。 重要：セキュア／防御的プログラミングでは入力と出力のセキュリティ対策は”独立”した対策です。ど

出展中の「マンガポスター」をスライドでご覧いただけます。 左右の「＜＞」マークをクリックしてご覧ください。

「今日は金曜〜♪」 2月27日（金）の夕方ごろ浮かれていると・・急にＧＭＯインターネット株式会社人事部からメールが。 選考に落ちました、と。 （↓その時のメールです） ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝ ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝ よく読んでみました。 ■選考結果理由 「総合的に判断」 う〜ん、なんだか、よくわからない謎のメールだけど、こう言われるとショックなものです・・・。 数年前にリクナビなどからエントリーしたことある気がするけど、定かでない・・・ 「最近応募したっけ？」 と考え直してみます。 私は、かなり抜けている性格ですが、そして現職にも不満がないわけではないですが、でも、 「GMOインターネットにここ数年応募してない、うん、絶対。」 「これは、きっと誤送信、間違いだな」 と思い放置も考えたものの、なんとなく 「変なサイトから個人情報が漏れたのでは？」 と、心配性な私は

この記事を読んだ。 申し訳ないがどうもしっくりこない。 俺はこのブログで何度も書いてきたが家電量販店で10年ほどの勤務経験がある。 その間に数限りなく免許証等の身分証明書をコピーしてきた側の人間だ。 当時は今ほど個人情報の取扱にうるさくはなかったにしろ、免許証のコピーは当然ながら悪用できるわけだから厳重に管理されていた。 一枚ずつファイリングされ、他の重要書類と同じ金庫に保管されていた。 その金庫は店長と、金庫を管理する担当二人が揃わないと、物理的に開け閉めできないようになっていた。（2種類の鍵をそれぞれが持っている。予備の鍵は社長が保管していた） それ以外にも開け閉めや、書類の出し入れも管理帳にその度記入していた。 すくなくても俺の知っている範囲ではこうやってかなり厳重に管理されていた。 携帯電話の契約の際に当たり前のように免許証のコピーをもらっていた。 数えきれないくらいの契約をしたが

クレジットカードやキャッシュカード等の暗証番号を、簡単にしかも気付かれずに盗みとれる方法が紹介され、海外で話題となっているようです。 その方法は、YouTuberのMark Rober氏によって動画(上)で公開され、わずか3日ほどで再生回数が200万回を超えるほど注目されています。 Rober氏はまず、実際に暗証番号を盗む「デモ」を行っています。 下のシーンは、よくあるドラッグストアのレジで、被害者役の女性(中央)がカードを使い、暗証番号を入力して支払いを済ませているところ。 犯罪者役のRober氏は、少し離れた場所でレジの順番を待っています。 支払を済ませた女性が立ち去ったあとのシーン。 Rober氏はiPhoneを片手に音楽を聴きながら自分の会計を済ませます。 一見すると何も怪しい様子はありませんが、この時点で既に、先ほどの女性の暗証番号を入手することに成功しています。 では、一体どう

[追記] PINコード機能を公開しましたので、開始日時の記載を修正しました〔2014年7月17日(木) 18:30〕 最近増加しているLINEへの不正ログイン（乗っ取り）対策強化の１つとして、スマートフォン版LINEアプリのセキュリティを強化いたします。 7月17日（木）15:00（予定）より、LINEのアプリでLINEユーザーログインをする際には、今までの認証手順に加えて、新たにLINE専用の「PINコード」という4桁の暗証番号が必要になります。 ※2014年7月17日16:00に本機能を公開しました。

韓国国情院がLINE傍受 仮想空間はとうに戦場。国家の「傭兵ハッカー」たちが盗み、奪い、妨害し、破壊する無法地帯で、日本も巻き込まれた。 2014年7月号 BUSINESS ［サイバー戦争の「臨界」］ 5月下旬、官邸内に衝撃が広がった。韓国の国家情報院（旧KCIA）が、無料通話・メールアプリ「LINE」を傍受し、収拾したデータを欧州に保管、分析していることが明らかになったからだ。韓国政府のサイバーセキュリティ関係者が、日本の内閣情報セキュリティセンター（NISC）との協議の場であっさり認めた。システムに直接侵入するのではなく、通信回線とサーバーの間でワイヤタッピング（傍受）するから、「通信の秘密」を守る法律がない韓国側は悪びれない。だが、LINEの登録ユーザー4億人余のうち日本人は5千万人。その通話データなどが韓国にすべて送られ、丸裸にされているのだ。 「指名手配」隣国ハッカーの脅威 それ

Le Comité consultatif actuel doit fixer un calendrier précis pour la réouverture de tous les secteurs fermés en Belgique à partir d’avril ou mai, selon Paul Magnette, chef du parti socialiste francophone PS. Prioriser par secteurs La priorité des assouplissements … Depuis le début de la pandémie, les appels des dirigeants politiques du monde entier demandant aux entreprises technologiques de s’att

下記のメールに気付いたのは、今日の昼ころで、BBCの大井真理子記者のツイートで、そういうメールが来ているとのことで、もしやと思い迷惑メールボックスを見たところ入っていました。私や大井記者以外に23名、合計25名に送られていて、アドレスを見ると、ほとんどがマスコミ関係者です。前に真犯人から送られたメールの宛先と、ほぼ重複しているのではないかと思います。 差出人名は小保方銃蔵で、ヤフーメールのアドレスが使われていました。件名は、かなりえげつなくて、まずそうなところを（省略）としつつ紹介すると、 皇居にロケット砲を撃ち込んで(省略）を始末する地下鉄霞が関駅でサリン散布する（省略）裁判官と（省略）弁護士と（省略）検事​を上九一色村製AK47で射殺する（省略）病院爆破する（省略）小学校で小女子喰う（省略）を去勢して天皇制断絶（省略）の閉経マンkにVXガス注射してポアする（省略）店に牛五十頭突っ込ます

教師のパソコンから新年度のクラス編成案や入試成績が抜き取られ、一部がスマホを介して生徒たちに流された。“犯人”の男子生徒は「軽い気持ちでやった」といい、学校での情報管理やモラル指導のあり方が問われる事態に 新年度のクラス表が春休み中に生徒たちの間に出回っていた－。滋賀県内にある県立高校の男子生徒が今年３月、教諭のパソコンのユーザーＩＤとパスワードを盗み見して学校のサーバーに不正アクセスし、クラス編成案や休み明けのテスト問題、入試や定期試験など生徒９８０人分の成績を入手。このうち、クラス編成案は無料通信アプリ「ＬＩＮＥ（ライン）」で同級生ら３５人に送信した結果、情報があっという間に３００人以上の手元へ拡散した。学校現場にパソコンが普及する中、個人情報に対する学校の管理体制や生徒たちの「情報モラル」が問われる事態になった。（桑波田仰太）付箋に書かれた教諭のパスワード　卒業式を前日に控えた２月２

Apache Struts2の脆弱性についてIPAが注意喚起を4月17日に掲載しました。 Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) Apache Struts 2 Documentation S2-020 ニュース - Apache Struts 2の脆弱性対策が急務、攻撃プログラムが出回る：ITpro Apache Struts2に脆弱性攻撃の恐れ、IPAが緊急勧告 - ITmedia エンタープライズ 検証コードが既にインターネット上で公開されていること、そして悪用が比較的容易であることから、ここではS2-020のClassLoaderが操作されてしまう脆弱性CVE-2014-0094について調べた結果をまとめます。 １．検証環境の準備 検証にあたり、Apache Struts2の環境のメモです。Struts2を動かすだけであれば

ウェブサイトを作成するために官公庁や銀行、企業などが広く利用しているソフト「ストラッツ1」にセキュリティー上の欠陥（脆弱性）があることが24日分かった。個人情報や機密情報を盗まれたりサイトが改ざんされたりするサイバー攻撃の恐れがある。同ソフトはサポートが終了しており、現在のところ修正プログラム（パッチ）は無い。すでに攻撃方法がインターネット上で公開されており、早急に対応が必要だ。ストラッツ1は

ひろしまさん (廣島さん) は、これまでたった 1 文字の Twitter アカウント @N を持っていました。 何故「持っていました」と、過去形なのかというと、どうやら先日、巧妙な罠に、本人ではなく 2 社の有名 IT 関連企業がハメられたことによって、ひろしまさんの稀少なそのアカウントが第三者によって盗まれてしまったそうなのです。 2014/02/26 追記: 記事掲載時点では「持っていました」と過去形で表現していますが、ひろしまさん本人によるツイートで、2014/02/25 の昼過ぎ (日本時間 2014/02/26 の早朝) に、この事件によって盗まれてしまったアカウント @N がようやく取り戻されたことがわかりました。 Order has been restored. — Naoki Hiroshima (@N) February 25, 2014 解決まで一ヶ月以上という相当な