Amazon.co.jpに「ほしい物リスト」という機能がある（3月8日よりウィッシュリストから名称変更）。自分の欲しいAmazon.co.jpの商品を登録し、友人などに知らせることができるというものだが、この機能を利用するにあたっては注意が必要だ。 というのも、ほしい物リストは作成時に非公開設定にしない限りウェブに公開される仕様となっており、さらにAmazon.co.jpのサイト上から名前またはEメールアドレスで検索できるため、不特定多数のインターネットユーザーに自分の欲しい商品が見えてしまうからだ。 「ほしい物リスト」の検索画面（クリックして拡大） 試しに、検索窓に思い当たる人名や会社名などを入力してみると、まったく知らない人や団体のほしい物リストが次々と表示される。表示されている名前をクリックすると、欲しがっている商品までわかってしまう。 「会社」というキーワードで検索した結果 Ama

NTTドコモとKDDI（au）は2月1日から、ソフトバンクは1月中旬から、未成年者が新規契約した端末の携帯サイト閲覧機能に、フィルタリング（アクセス制限）を適用し始めた。大人が一方的に決めたこのルール。子どもたちは「まぢわかんない」「一部の悪い大人のせいで迷惑」などと、携帯サイト上でまざまな声を挙げている。 3キャリアで始まったのは、未成年者が新規契約申し込みする際のフィルタリング。親が「不要」と申し出ない限り、多くのサイトがアクセス不能になる。既存ユーザーも6月から順次、フィルタリングが適用される予定だ。 フィルタリングの対象はキャリアによって異なり、今後も流動的だが現状では、アダルトサイトや出会い系サイトに加え、SNS、ブログ、掲示板などユーザーが情報発信できるサイトが軒並みアクセス不能に。10代に人気のディー・エヌ・エー（DeNA）のゲーム＆SNSサイト「モバゲータウン」もフィルタリ

高等教育機関の情報セキュリティ対策のためのサンプル規程集 大学の教育、研究、運営などの活動における情報化の進展とともに、情報セキュリティが重要になっています。情報セキュリティレベルを確保し向上させていくためには、各大学においてその必要性を十分に認識し、情報セキュリティの基本方針、組織・体制等を規定した情報セキュリティポリシーを策定することが必要になります。 この取り組みを支援するために、国立情報学研究所では、平成18年度から、高等教育機関を対象とした情報セキュリティ対策のためのサンプル規程集を公開しています。この規程集は、「国立情報学研究所ネットワーク運営・連携本部 国立大学法人等における情報セキュリティポリシー策定作業部会」と「電子情報通信学会ネットワーク運用ガイドライン検討ワーキンググループ」による検討をもとに策定されました。現在は「国立情報学研究所学術情報ネットワーク運営・連携本部　

今回は、ブログサービスを提供する場合のセキュリティを考えてみます。ブログには前回説明したWikiと似ている部分がありますので、共通点と相違点という観点から見ていきたいと思います。 Wikiとブログの共通点 両者の共通点はユーザ参加型、つまりユーザにHTMLを編集させるという点です。そのため、ブログにおける懸念事項やそれに対するセキュリティ要件もWikiと似ています。 Wikiで使われるWiki記法は、セキュリティを確保する一方で表現の自由度が落ちるという欠点がありました。ブログの場合は、より幅の広い表現ができたほうがユーザの満足度も高くなり、多くのブログユーザを獲得できるため、表現の自由度を落としたくはありません。そのためHTMLを直接編集する機能も備えておきたいというケースもあると思います。さらにスクリプトも許可したいケースもあると思います。しかしどんなHTMLやスクリプトでも許可するわ

○:実行される ×:実行されない (バージョンは執筆時点での最新版, OSはWindows XP) ご覧のとおり、ブラウザによって異なる結果になっています。HTMLの構文解析はブラウザによって解釈の異なる部分もあるため、解析しきれないというのが現実です。また、今後各ブラウザがいつ仕様変更されるかもわかりません。 次に以下をご覧ください。攻撃者は以下のようなHTMLを挿入してくることが考えられます。 <H2/onmouseover=alert('xss')>見出し</H2> <H2 onmouseover=alert('xss')>見出し</H2> <H2 style="{javascript:expression(alert('xss'))}">見出し</H2> <H2 style="{a:expression(alert('xss'))}">見出し</H2> <H2 style="{ja

米GoogleのWebメールサービス「Gmail」に、他人のメールを盗み見できてしまう脆弱性が報告された。Googleをめぐっては、このほかにも複数のサービスでゼロデイの脆弱性情報が公開されている。 Gmailの脆弱性情報は、ハッカーサイトの「GNUCITIZEN」などで公開された。同サイトによれば、この問題を悪用するとクロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛け、Gmailアカウントにバックドアをインストールして会話をすべて盗み見することができてしまうという。 ユーザーがGmailにログインした状態で悪質サイトを閲覧すると、バックドアがインストールされ、被害者のフィルタリストに新しいフィルタが作成される。例えば、添付ファイルが付いたメールを自動的に別のメールに転送するフィルタを作成することが可能だという。 この攻撃は非常に悪質であり、ユーザーが被害に気付くことはまずあり得な

Windowsの各種ユーザーアカウントのパスワードを解析して表示することができるオープンソースソフト「Ophcrack」を使ってみました。Windows Vistaにも対応しており、総当たりで解析するのではないため、非常に素早く解析できるのが特徴。数分程度の時間で解析できてしまいます。今回の実験ではジャスト3分でAdministratorのパスワードが表示されてしまいました、ショック。 通常はISOイメージをCDに焼いてCDブートで起動するのですが、今回はUSBメモリから起動してみました。実際に起動してから終了するまでの様子のムービーもあります。 というわけで使い方などの解説は以下から。 ※あくまでも自分のパスワードの弱さをチェックするためのソフトなので、使用する際には自己責任でお願いします Ophcrack http://ophcrack.sourceforge.net/ ダウンロードは

無線LAN禁止、VPN禁止、FTP禁止……は管理者の怠慢か：システム管理の“ここがヘンだよ”（1/3 ページ） 社内ネットワークは危険がいっぱい。しかし、実は禁止事項が多いオフィスほど、しっかりとセキュリティ対策を講じていない証拠だと言われる。あなたの会社は大丈夫ですか？ 社内ITの保全は、情報システム部門に課せられた最大のミッションである。しかも、その要求水準は年々高まるばかりだ。情報漏えいや持ち込みPCからのウイルス／ワーム感染、共用サーバへの不正アクセスといった数々のリスクは、どのような企業にも存在している。 だが現実は厳しい。予算が足りない、人手も足りない。しかも、管理部門のスキルも十分ではない――など、企業によってさまざまな事情がある。そこで陥りがちなのが、「とりあえず危なそうなものはすべて禁止する」という安直な禁止政策だ。だが、本当にそのような政策を進めていいのだろうか？　今後

脆弱性だらけの情報工学科 X大学は、文科系から理工系まで10学部を擁する総合大学である。同大学の情報工学科では、インターネットの黎明期からさまざまな研究が行われていたが、学内ネットワークからインターネットへのアクセスはほぼフリーの状態。事実上、管理されていないも同然だった。 このように脆弱なネットワークをクラッカーが見逃すわけがない。クラッキング系の裏サイトには、入門レベルのネットワークとしてリストアップされていたほどだった。 しかし、さすがにこの状況を放っておくわけにはいかない。大学の情報工学科は、インターネットやネットワークを活用できる人材だけでなく、セキュリティの専門家も育てる責務がある。教育の現場がこの状態では、優秀な人材を世に送り出すことなどできるはずがない。 そこでX大学では、学内ネットワークの再構築を行った。これまでは、各研究室の実験環境や権限を尊重していたために、ネットワー

企業でのWebサービスの実現が具体的になるにつれ、パスワード／IDマネジメントが重視されるようになり、「シングル・サインオン」がますます注目を集めている。この連載では、シングル・サインオンの実践ステップなど具体的な考え方を紹介する。また、メタディレクトリやLDAPなど「ディレクトリ統合」をキーワードとしてシングル・サインオンを実現するための技術を分かりやすく解説する。（編集部） シングル・サインオンとは何か 現在、多くの企業の情報システムは、多種多様なプラットフォームを組み合わせて利用しています。そして、それらのプラットフォーム上では多種多様なアプリケーションが動作しています。 通常、ユーザーはクライアントPC上のOSや各アプリケーションに対して、ログインの手続きを行ったうえでそれらを使用します。ユーザーは自分自身を識別するための情報（例えばユーザーIDとパスワードの組み合わせ）を提示し、

会社のメールアドレス宛てに、スパムが毎日大量に送られてくるという人は少なくないだろう。削除するだけでも手間な上、性的な画像や文章が含まれている場合は従業員が不快な思いをする。 スパムをサーバ段階で止めるにはコストがかかる上、対策をしたところで売り上げが上がったりするわけでもない、と「普通の経営者」なら考える。だがGoogleのような先進企業ならそうは考えないのではないかと（あくまで想像ながら）思いたいが、残念ながらGoogleではない普通の会社であれば、リターンが見込めないものは「単なるコスト」という扱いになり、従って対処も後回しになりがちだ。 だが、こうした性的なスパムを放置し続けるとセクシャルハラスメント（セクハラ）と認定され、会社が行政指導の対象となったり、訴訟に直面することもありうるのだ──。 性的スパムは「環境型セクハラ」 ユーザーからの意見や苦情などを受け付けるため、専用メール

HOME ホットラインセンターについて 運用ガイドライン 統計情報 検挙事例 お知らせ よくある質問(FAQ) 参考サイト お問い合わせ プライバシーポリシー サイトマップ インターネット・ホットラインセンターは、皆様からインターネット上の違法情報を通報していただき、ガイドラインに照らして判断した上で警察に情報提供するとともに、サイト管理者等に送信防止措置を依頼します。 通報の前にお読みください。 ・殺人・爆破予告、自殺予告等の人命に関わる事案は警察に通報（緊急を要するものは１１０番）してください。 ・本窓口は相談機関ではありませんので、ご相談いただいてもお応えできません。事案の内容に合わせてこちらの機関にご相談ください。 ・通報目的とはいえ、違法情報のスクショやアーカイブをとってネット上で誰もが閲覧可能な状態にすると、それ自体が違法情報になる可能性があるためお控えください。 通報結果を見

米IM企業FaceTime Communicationsのセキュリティ研究者が、急速に人気を集めているソーシャルネットワーキングサービス（SNS）「Twitter」のセキュリティについて警告を発した。 TwitterはSMS（携帯メール）やIM、電子メールなどで140文字以内の短い文章を送信することで更新できる。自分が「今何をしているのか」を手軽に友人と共有できることで人気を博している。 送信した文章はユーザーのプロファイルページに掲載され、またあらかじめ登録したほかのユーザーにもTwitterのサイト、SMS、RSSなどを介して送られる。 FaceTimeの研究者ウェイン・ポーター氏は、Twitterはクールだとしつつも、同サービスのセキュリティ上の問題を指摘している。 同氏はまず、認証が不十分な点を挙げている。他人の名前をかたることが容易であり、実際に偽の有名人がたくさんいるという。