■ iTunesストアの不正アクセス被害で問題にすべきポイントは何か iTunesストアで不正アクセス行為が横行しており、身に覚えのない高額な請求をされて困ったという話は、昨年の秋くらいからチラホラとブログ界隈に出ていた。たとえば以下の報告では、中国語の商品等が不正に購入された被害を示している。 iTunesのアカウント不正利用に関する一例, 2009年10月31日〜11月4日 お問い合わせいただいたアカウントロック解除のお願いについてご案内します。 アカウント名　xxxxxxxxxxx　は、お客さまの事前承諾なしに商品が購入されたというお問い合わせをいただきました。不正使用で、アカウント名　xxxxxxxxxxx　は、変更されていますので、○○様のアカウントを有効かする事はできません。 アカウントロック解除はできませんご了承下さい。 ○○様のもう一つのアカウント名　 yyyyyyyyyy

2010年2月17日、ブロードバンド推進協議会の主催により、OGC(オンラインゲーム＆コミュニティサービスカンファレンス)2010が開催された。オンラインゲームとオンラインコミュニティの業界関係者や研究者による多数のセッションから、ゲーマーにとっても見逃せない内容をより抜きでリポートする。 “ある日突然やってきた、DDoS攻撃への対応実例”と題した講演を行ったのは、オンライン麻雀ゲーム『Maru-Jan』を運営する、シグナルトークの栢孝文代表取締役社長。自社に対して実際に行われた脅迫事件への対処について生々しく語った。タイトルになっている“DDoS攻撃”とは、“Distributed Denial of Service Attack”と呼ばれるサーバーへの攻撃手法のこと。大量のPCから一斉にサーバーへと処理能力を超えたアクセスを行い、サービス不能にしてしまうというものだ。 オンラインサービ

これは本当にわからないんで、識者に教えて戴きたいところなんだけど、とりあえず自分の主張と共に疑問を書いてみる。 疑問は大きく2つあって、 パスワードは伏せ字でなければならないか 「確認画面」は必要か ってこと。このどちらもが「常識」として使われているのだけど、どうもうっとおしい気がしてならない。 パスワードをtype=”password”にしたり、そういったラベルをつけたりすると、パスワード覚えてくれていたり、日本語入力システムが一時的にOFFになったりと便利なのはわかる。また、パスワードを「後ろから見る」攻撃から避けるには、伏せ字にしておくのが有効だというのもわかる。 とは言え、パスワード覚えてくれたりとか、日本語入力システムを一時的にOFFにするとかってのは、言うなれば「オマケ」であって、本質は「伏せ字」ってことだろう。この伏せ字、「後ろから見る攻撃」には有効なのだけど、 打ち間違いに

■ 旧はてなブックマークで社内情報が漏洩していた可能性 昨年11月上旬に、はてなブックマークでプライベートアドレスが登録されていることが話題になっていた。 はてなブックマーク - はてなブックマーク - http://192.168. たとえば次などがそれだ。 http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.1/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.2/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.3/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.4/ http://b.

ストーリー by hylom 2008年10月01日 13時29分 さすがGoogle！ 俺たちにできないことを平然とやってのけるッ！ 部門より メールアドレスなどを含む楽天メールマガジンの設定変更画面がGoogleによってクロールされ、そこから個人情報が漏洩する、という事件が起きている（セキュリティホール memo）。 この件については「水無月ばけらのえび日記」が詳しいが、 「site:emagazine.rakuten.co.jp」というキーワードでGoogle検索を行うと、ユーザーごとのメールマガジン設定変更画面が検索結果として一覧表示されてしまう。設定画面自体は検索結果をクリックするだけでは確認できないが、Googleのキャッシュ機能を使ってその内容が見えてしまうものもある。 また、GoogleだけでなくWindows Live Searchでも同様のものがヒットするということで、

日本初の本格的ゲーテッドタウン「グローリオ蘆花公園」の完成模型。周囲をセンサー付きの塀で守る＝東京都世田谷区 安全・安心な住まいを求める声が高まる中で「ゲーテッド（閉鎖型＝要塞（ようさい）の）コミュニティ」「ゲーテッドタウン」と呼ばれる大規模開発が増えてきた。敷地内には居住者と招待者以外は入れない。「子供を安心して遊ばせられる」という肯定意見の一方、周辺住民からは「地域が分断される」などの不満の声も上がっている。（村島有紀）　セキュリティーを重視し、ゲートを設けて敷地（区画）内の出入りを制限する地域づくりは、治安が悪化した欧米で１９８０年代ごろから増え始めた。住宅地の周囲をぐるりと高さ２メートル以上の壁や柵で囲い、入り口を数カ所に限定し、出入りを制限するのが特徴だ。　閑静な住宅街が多い東京都世田谷区。青山学院大学の跡地（約４万９０００平方メートル）に建設された積水ハウスなどの大規模マンショ

記事によると、「エンジンキー差し込み口付近の５ケタの数字を打ち込むと、キーの形状が画面に表示される」というトヨタ車専用のキー作製ソフトを使って合鍵を作り、車を盗んでロシアなど海外に流していたそうだ（読売新聞の記事）。 キーの作成に必要な情報をキーの外に表示するというのはまさにセキュリティーホールだと思うのだが、これを解析されるとは思わなかったのだろうか。

補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2007年11月26日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 本稿ではSQLインジェクション対策として、SQLのエスケープ処理の方法について検討する。 最近SQLインジェクション攻撃が猛威を振るっていることもあり、SQLインジェクションに対する解説記事が増えてきたようだが、対策方法については十分に書かれていないように感じる。非常に稀なケースの対応が不十分だと言っているのではない。ごく基本的なことが十分書かれていないと思うのだ。 SQLインジェクション対策には二通りある。バインド機構を使うものと、SQLのエスケープによるものだ。このうち、SQLのエスケープについて、十分

またキャッチーなタイトルなんだけど、これが「あること」を見て最初に思ったこと。そして、次の瞬間にこれはピザ屋に限ったことではないことにも気がついた。 知人のマンションに行った。そこは1Fで誰でも敷地内に入れるようになっている構造。ここの部屋の郵便受け(もちろん別に集合の郵便受けもある)に、ピザ屋のチラシがひらひらしていたのだ。知人宅だけではない、ほとんどの部屋にだ。 勘のいい人はこれだけでわかると思うのだけど、蛇足。 泥棒はその部屋が不在かどうかを知るのに、郵便受けの新聞を見るそうだ。何日も取り込んでない新聞があれば、その部屋は長期不在だということ。つまり、泥棒的にはカモだ。そのことはあちこちで注意喚起されていて、「長期不在の時には新聞を休止しましょう」という話がある。そうしておけば、長期不在が知れることがない。 ところが、ピザ屋が配達のついでに入れるチラシ、あるいはチラシ配りが配るチラシ

2008年8月15日(金) ■ 霞が関のセキュリティ _ 世間にならって盆休みに休んだところで、どこの交通機関も混むし、どこ行ってもクソ暑いし、ぐったりするだけ。それがイヤならせっかくの休みをうちでぼーっとオリンピック見てるだけ。まったく無益な過ごし方だ。それならば、ふだんどおり会社でぐったりしてた方が給料貰えるぶん有意義だよね。休むならもっと涼しくなってからだよ。 _ ……のはずなのだが、なぜかスーツを着て外に出ろだって。鬼ですか。いじめですか。エアコンの効いたオフィスでぐったりしたかったから盆休みを取らなかったんだよ。クソ暑い外に出てたどりついた先がエアコンの効いてない官公庁ってなんだよ。ほんとにぐったりしちゃうじゃないか。役所も盆は休めよ。なんで仕事してるんだよ。 _ まぁそんなわけで霞が関のお役所に行ってきたわけだが、ひどいな。エアコンの設定温度がひどいのは前からわかってたことだけ

■ MacユーザはIPv6を切るかnet.inet6.ip6.use_tempaddr=1の設定を Mac OS Xの初期設定の危険性 私の周囲に物理的に近づくことのできる人は、私が使っているノート型コンピュータの無線LANインターフェイスのMACアドレス*1を知ることができる。たとえば、セミナー等で私が講演している会場に来れば、講演中に私が無線LANのスイッチを切り忘れていたなら、無線LANのパケットを傍受することで私のMACアドレスを知るだろう*2。それだけでは他の人のアドレスと混じって区別できないだろうが、別の場所で再び同じことをすれば、両方に存在したものが私のMACアドレスだ。 これはもう隠しようがないので、先に自ら暴露してしまおう。「00:1f:5b:d1:ec:bd」は私のMACアドレスだ（図1）。 これを暴露するのはリスクのある行為であり、お薦め出来ない。また、仮に他人のMA

……なんと「そのままアクセスする」とか「一時的に受け入れる」とかいう選択肢がありません。そのかわり「例外として扱うこともできます」という謎のリンクがあります。クリックすると、「例外を追加」というボタンが現れます。 「インターネット接続環境を完全には信頼できない場合や、これまでこのサーバではこの警告が表示されなかった場合は、このサイトを例外として追加しないでください。」という注意書きが。そして例外に追加しようとすると、だめ押しの一撃。 「本物の銀行、ショップ、その他公共サイトがこの操作を求めることはありません。」太字で断言ですよ。これは気持ち良い! ここまでされると、本物サイトをオレオレ証明書で運用するのもかなり抵抗が出てくるでしょう。 ※興味本位で一時的にアクセスしてみたりするのがやりにくくなりますが……。まあ、一般の人はそんなことをする必要がありませんしね。 「Firefox3のオレオレ

なお、iLogScannerでSQLインジェクション攻撃が検出された場合や、特に攻撃が成功した可能性が検出された場合は、ウェブサイトの開発者やセキュリティベンダーに相談されることを推奨します。 iLogScannerは簡易ツールであり、ウェブサイトの脆弱性を狙った攻撃のアクセスログが無ければ脆弱性を検出しません。また、実際の攻撃による脆弱性検査は行っていません。攻撃が検出されない場合でも安心せずに、ウェブサイトの脆弱性検査を行うことを推奨します。 IPAとしては、ウェブサイト運営者が、この脆弱性検出ツールを利用することにより、自組織のウェブサイトに潜む脆弱性を確認するとともに、ウェブサイト管理者や経営者に対して警告を発し、セキュリティ監査サービスを受けるなど、脆弱性対策を講じるきっかけとなることを期待しています。 また、ウェブサイトの開発者やセキュリティベンダーが、本ツールを取引先等に紹介