話題作「なめらかな社会とその敵」に掲載されていて驚いたエピソード。 スパム防止「CAPTHA」のすごい話 「CAPTHA」ってありますよね。人間じゃないと読めない文字を入力させることで、スパムを防止させるアレです。みなさんも何度も入力したことがあるはず。 かずあるCAPTHAサービスの中のひとつ、Googleが無償で提供している「reCAPTHA」には、驚くような裏話が隠されています。 なんでも、これ、紙の本のデジタル化プロジェクトの一環だそうです。 古い本などをスキャンしてデジタル化するプロジェクトにおいては、一般的に「OCR」が使われます。が、OCRは機械で読みとるので、やっぱりミスが出てきてしまいます。 そんなときにreCAPTHAが役立ちます。reCAPTHAは、ミスされがちな文字を抜き出し、ユーザーに判別させる技術です。 OCRでエラーが出てしまう文字を抜き出し、 こうしてCAP

会社で最優秀と見なされていたソフトウェア開発担当者が、実は自分の仕事を中国企業に丸投げしていたことが、VPNのログ調査で発覚した──。米通信大手のVerizonが1月14日（現地時間）、2012年のケーススタディのこぼれ話としてこんなエピソードを紹介した。同社は企業向けにITコミュニケーションサービスを提供している。 米国のある重要インフラ企業に勤めていたこの開発者──Verizonは仮にボブとしている──は長年にわたって、自分の仕事を中国瀋陽市にあるコンサルティング企業に低価格でアウトソーシングし、自分は毎日会社に出勤して動画閲覧やFacebookで時間をつぶしていた。皮肉なことに、ボブの人事評価は非常に高く、この会社の最優秀開発者として10万ドル以上の年俸を得ていた。 ボブの所業は、Verizonの顧客であるこの企業が、VPNのログに不審な点があるとして調査を依頼してきたことから発覚し

アプリ内XSSの影響と問題点 筆者はSkypeの事例が報道される前にも、いくつかアプリ内XSSを見つけて報告したり、著名なアプリに同様の問題があったことを把握しています。しかし、単にサンドボックス内でJavaScriptコードが実行されるだけだろう、アプリケーションをクラッシュさせたりすることは当然可能だろうが、さほど悪いことはできないだろう、と考えていました。 中には、そのアプリケーションの設定ファイルを読み込むことが可能であり、設定ファイル内にサービスのログインに必要なメールアドレスやパスワードが含まれているケース、あるいはSQLiteデータベースのファイルの中に外部サービスのIDとパスワードが含まれているケースなども見てきました。いずれも影響範囲が大きいものですが、「⁠そのアプリケーション」の保存しているデータであり、OSの持っているデータは読み取り不可能だろう、それ以外はOS側のサ

今回はネイティブアプリケーション[1]⁠ 内のXSS（Cross-Site Scripting、クロスサイトスクリプティング）脆弱性の傾向と対策について解説します。 ネイティブアプリの現状 内部にHTMLやJavaScriptを使って構築されるスマートフォン向け、デスクトップ向けのアプリケーションが増えています。その結果、今までWebサイト上で起きていたような問題が、ネイティブアプリケーション内でも起こるようになっています。アプリケーション内におけるJavaScriptコードのインジェクションは、クロス「サイト」ではないのでXSSと呼ぶのは適切ではありませんが、脆弱性の原因と対策方法はまさにWebサイトにおけるXSS脆弱性と同じです。 今回は、個人的に問題を発見・報告したことのある事例を挙げながら、「⁠脆弱性をどのように発見するか」「⁠どう修正すればよいのか」「⁠どうすれば未然に防げるのか

Ruby on Rails(3.2.9, 3.1.8, 3.0.17以前)のfind_by_*メソッドにSQLインジェクション脆弱性が見つかりました(CVE-2012-5664)。このエントリではその概要と対策について説明します。 概要 Ruby on Railsのfind_by_*メソッドの引数としてハッシュを指定することで、任意のSELECT文を実行できる脆弱性があります。 検証 Ruby on Rails3.2.9の環境を用意して、以下の2つのモデルを用意しました。 $ rails g scaffold user name:string email:string $ rails g scaffold book author:string title:string モデルUserは個人情報を保持しており、自分自身の情報のみが閲覧できるという想定です。モデルBookは書誌データベースであ

今回は、この3つのパスワードを一元管理するために「LDAPサーバ」を利用します。つまり、ユーザーアカウントおよびパスワードをLDAPに格納し、すべてのサービスが同じデータを参照するようにします。 ただし、ここで1つ考慮すべき点があります。パスワードは、元のデータを割り出せないような仕組みで暗号化するのが普通です。パスワードが正しいかどうかを確認するには、同じ方法で暗号化したデータ同士を比較する必要があります。しかし、LinuxとWindowsではパスワードの暗号方法が異なるため、入力したパスワードが同じでも暗号化されたパスワードデータを後で比較することは不可能です。そのため、複数のパスワードデータをLDAPサーバの1人のユーザーの属性としてまとめたとしても、一方のパスワード（例えばWindows）に対して変更があった場合には、他方のパスワード（例えばLinux）も変更されるような仕組みが必

調査・診断・コンサルティング お客様のニーズに合った様々なタイプのセキュリティ診断、対策提案やコンサルティングの要望にもお応えします。 詳しく見る

このほか、今回の事件では攻撃者に乗っ取られたPCの所有者の何人かが誤認逮捕されるという問題も起きている。「IPアドレスアドレスの追跡だけに頼った捜査手法に問題」とした報道も散見される。 この点について西本氏は、サイバー攻撃では刑事事件に至らなければ警察による対応が難しいこと、事件に関与したコンピュータを事件時の状態を保全して分析する「デジタルフォレンジック」の難しさを指摘する。 「自動車事故に例えると、IPアドレスの特定は事故を起こした車の所有者を割り出すようなもので、実際には誰がどのような運転をしていたかを調べるように、サイバー攻撃でも警察は詳しい調査を慎重に進めている」 また、デジタルフォレンジックでは1台のコンピュータを調べるだけでも数日を要するといい、わずかな痕跡を見つけて証拠とするまでにも、担当者には高度な技術力や判断能力が要求される。「日々膨大な数のサイバー攻撃が発生している現

セキュリティ関連の企業や組織で構成する「日本ネットワークセキュリティ協会（JNSA）」は10月17日、記者会見を開いて「遠隔操作ウイルス」事件に対する見解を表明した。JNSA理事の西本逸郎氏は、「不審なソフトやアプリに手を出さない、ウイルス対策ソフトを最新にするなどのセキュリティの基本的な対策行動がまだまだ浸透していない」と指摘した。 手口に目新しい点は「無い」 会見ではJNSAに参加するウイルス対策ソフトベンダーやセキュリティサービス企業などの担当者が、今回の攻撃手法やサイバー犯罪の特徴、警察によるサイバー事件捜査、社会全体からみたセキュリティ対策などの点で意見を述べた。 まず、手口では2ちゃんねるの掲示板に「無料の便利ツール」と称した実行形式のファイルをダウンロードさせるリンクが書き込まれ、これをダウンロードしたユーザーのPCに不正プログラム（IEsys.exe）が送り込まれた。ユーザ

記者という仕事がら、取材先や寄稿者と、記事の素材データやプレゼン資料をやり取りすることが多い。もちろん、メールを使ってである。ただ最近になって、受け取ったメールに添付されていたファイルが暗号化されていることがとみに増えてきた。ファイルを復号化しようとするとパスワードの入力を求められる。パスワードは後から別のメールで送られてくるという方式だ。 情報漏洩を懸念してのことだ。外部とやり取りする際はファイルをパスワード付きで暗号化してからメールするよう、情報システム部門や法務部門がルールを設けているのだろう。この7月から8月にかけて、企業十数社に外部との機密情報のやり取りをどのように行っているかを取材する機会があった。実際にこのようなルール順守を業務部門に設けている企業が多かった。標準的な手法になりつつあるように思う。 しかしこの方式を採用する企業が増えることに、筆者は懸念を感じる。セキュリティ対

行政機関や企業に対するサイバー攻撃が世界中で深刻な問題になっています。攻撃者の脅威に対抗するための最も有効な手段はペネトレーションテストです。本書では、ペネトレーションテストのやり方を、Metasploitを主軸に説明しています。そうすることで、ペネトレーションテストの流れとともに、Metasploitを構成する個々の機能やその使い方を理解し、Metasploitの基本的な作法を身につけます。さらに本書では、クライアントに対する攻撃や無線LAN経由の攻撃、ソーシャルエンジニアリング攻撃といった、ペネトレーションテストで使う高度なテクニックを学びます。日本語版ではシェルコードの内部構造について加筆しました。 本書のサポートページ。 サンプルPDF ●「推薦の言葉」「監訳者まえがき」「序文」「まえがき」「目次」（1.4MB） ●「1章 ペネトレーションテストの基本」（1.3MB） ●「2章 M

This guide describes common security problems in web applications and how to avoid them with Rails. After reading this guide, you will know: How to use the built-in authentication generator. All countermeasures that are highlighted. The concept of sessions in Rails, what to put in there and popular attack methods. How just visiting a site can be a security problem (with CSRF). What you have to pay

About this Add-on Using interactive visualizations, Lightbeam enables you to see the first and third party sites you interact with on the Web. As you browse, Lightbeam reveals the full depth of the Web today, including parts that are not transparent to the average user. Using two distinct interactive graphic representations — Graph and List — Lightbeam enables you to examine individual third parti