知らずのうちにやっていそうな危ないSSH,SFTPの使い方を平易にお知らせします。本稿は、システム設計・保守者へのセキュリティ注意喚起です。SFTP、SSH、SCPというキーワードにピンときた方は読んでみてください。 この記事は、Cyber-sec+ Advent Calendar 2024 の 9 日目の記事です。 はじめに サイバーディフェンス研究所の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。 制御システム業界も徐々にセキュリティ意識が高まっており、ftpやtelnet等の平文のプロトコルは減り、代替として、SFTPやSSH等の暗号化したプロトコルへの移行が進んでいる気がします。 良いことだと思いますが、暗号化したから安心と思っていませんか？ 今回は、「正しい使い方をできていなければ、逆にセキュリティを弱くしている可能性すらある。」

PCのWebカメラが作動中かどうかは、Webカメラの横にあるLEDが点灯しているかどうかで判断できる。だが、ユーザーに分からないようにWebカメラを乗っ取る方法があるらしい。 Web会議が浸透したことでWebカメラを狙うサイバー攻撃が増えた。実際、Webカメラの乗っ取り被害が多数報告されていて、セキュリティ企業や専門家は警鐘を鳴らしている。 「最近のWebカメラは作動中の時はLEDが点灯してるから分かるでしょ」と思う人も多いだろう。だが、LEDを点灯させずユーザーに気付かれずにWebカメラをハッキングできる技術が公開され、セキュリティ業界で話題になった。これからはLEDの点灯だけでは、乗っ取られたかどうかを判断できないかもしれない。 拙い日本語で「あなたのWebカメラをマルウェアで乗っ取りました。あなたが動画を視聴しているシーンを撮影しました。流されたくなければビットコインを」といったメー

社会人生活の半分をフリーランス、半分をIIJで過ごすエンジニア。元々はアプリケーション屋だったはずが、クラウドと出会ったばかりに半身をインフラ屋に売り渡す羽目に。現在はコンテナ技術に傾倒中だが語りだすと長いので割愛。タグをつけるならコンテナ、クラウド、ロードバイク、うどん。 【IIJ 2024 TECHアドベントカレンダー 12/6の記事です】 今年のIIJアドベントカレンダーは「運用」がテーマということなので、運用に欠かせない必携ツール筆頭であるSSHを取り上げ、SSHの秘密鍵を安全に管理する方法について考えたいと思います。 たとえSSH秘密鍵が漏洩しても、安全を確保する方法 踏み台サーバにSSH秘密鍵を置かずに利用する方法 SSH秘密鍵の安全な置き場所を考える SSH秘密鍵は一般的に ~/.sshにファイルとして管理されていると思いますが、不安に感じることはありませんか？ ノートPCに

米アップルが従業員の個人的なデバイスや同社のストレージサービス「ｉＣｌｏｕｄ（アイクラウド）」のアカウントにある個人情報を違法に監視したり、給与や労働条件について話すことを禁じたりしているとして、同社でデジタル広告を担当するアマール・バクタ氏が１２月１日、米西部カリフォルニア州の地裁に提訴した。２０１８年８月、ニューヨークのアップルストアで撮影（２０２４年　ロイター/Lucas Jackson） ［２日　ロイター］ - 米アップル(AAPL.O), opens new tabが従業員の個人的なデバイスや同社のストレージサービス「ｉＣｌｏｕｄ（アイクラウド）」のアカウントにある個人情報を違法に監視したり、給与や労働条件について話すことを禁じたりしているとして、同社でデジタル広告を担当するアマール・バクタ氏が１日、米西部カリフォルニア州の地裁に提訴した。 訴状によると、アップルは従業員が業務に

「設定するパスワードには、大文字・小文字・数字・記号の全てを使ってください」「前回設定してから6カ月が経過したので、パスワードを変更してください」――。Webサービスの多くが要求するこれらのことは、一見セキュリティーの強化に役立つように思える。 だが実は、セキュリティーの強度を下げる恐れがある要求なのだ。パスワードの常識はここ数年で大きく変わっている。Webサービスや認証サービスなどを提供する事業者はもちろん、利用者も改めて確認しておきたい。 米政府機関向けガイドラインの新ドラフトが公開 パスワードに関するガイドラインは、世界中の組織や企業が公表している。その中で最も参照されているものの1つが、米国立標準技術研究所（NIST）の認証に関するガイドライン「NIST SP 800-63」である。 同ガイドラインは米連邦政府機関のシステムを対象としているものの、多くの国・地域及び企業が公開するガ

stuartschechter.org 米国立標準技術研究所（NIST）の認証に関するガイドライン「NIST SP 800-63」が改訂され、「パスワードは「複雑」より「長い」が重要、定期的な変更を義務付けてはならない」というのがようやく周知された。 しかし、「複雑なパスワード」と「定期的なパスワードの変更」が長年推奨されてきたのか。この文章は、その原因を偉大な科学者たちが過ちを犯したことに理由を求めている。 その科学者とはロバート・モリスとケン・トンプソンの二人である。ケン・トンプソンについては説明は不要だろうが Unix の開発者ですね。ロバート・モリスは暗号学者で、Y Combinator の共同創業者であり「モリスワーム」の作者として知られるロバート・タッパン・モリスの父親である。 この二人が1979年に実際のユーザパスワードを調査して発表した Password Security:

サイバーセキュリティの専門家が一堂に会する、株式会社網屋の「Security BLAZE 2024」。現代の企業運営には、ランサムウェアに代表されるサイバー攻撃や内部不正など、さまざまなセキュリティリスクが伴います。本セッションでは、サイバーセキュリティの専門家が、脅威アクターの攻撃手法や対応策を解説しました。後編は、中国や北朝鮮、ロシアなどの脅威アクターが使用する攻撃手段や、海外でサイバー攻撃者の人材育成が推奨されている背景をひもときながら、日本企業への打ち手についてアドバイスを贈ります。 スパイ活動や身代金目的で狙われる企業寺岡篤志氏（以下、寺岡）：次は大佐さんから、いくつか事例を紹介していただければと思います。まず、「APT41」からですね。 大佐氏（以下、大佐）：わかりました。「APT」の略自体、知っている人と知らない人がいると思うので、簡単にご説明します。「Advanced Pe

クレジットカード事業者など800社超が加盟する信用情報機関のシー・アイ・シー（東京都新宿区）は11月28日、個人が自身の信用情報を数値化したスコアを確認できるサービス「クレジット・ガイダンス」を開始した。ネットや郵送で申請すれば、スコアやその算出理由を有料で確認できる。個人の信用状態の維持・回復を促す施策という。 加盟企業が情報を確認した記録などが閲覧できる既存の情報開示申請と併せて、スコア開示の申し込みが可能に。スコアは、信用情報のうち年齢、性別、勤務先、居住地などに関する項目を除外し、支払い状況や残高を基に算出した数値を開示する（最低200、最大800）。さらに「未入金がなくプラスの影響があった」など、スコア算出に影響を与えた要素も最大4つまで記載する。 情報開示はネットの場合500円、郵送の場合は1500円で申し込める。スコアを開示する場合でも、追加の手数料はかからない。なお28日午

セキュリティー投資で一番難しいのが投資額の設定だ。どれだけ投資しても、リスクを確実に防げるという保証はない。日本サイバーセキュリティ・イノベーション委員会（JCIC）の上杉謙二主任研究員は「防衛費を1兆円増やしてもリスクがどのくらい減るかは誰も算出できないのと同じ」とした上で、「攻撃者の意図（悪意）を数値化できなければ、必要な投資額も数値化できない」とその難しさを語る。 一方で上杉主任研究員は、「サイバー攻撃の被害に遭った場合でも、業界水準の対策をきちんと講じてきたと示せる投資額の目安は必要だ」と強調する。 1000億円企業なら5億円の投資を そこでJCICはセキュリティー投資額の目安として「連結売上高の0.5％以上」というシンプルなアプローチを推奨する。例えば連結売上高が1000億円の企業であれば、セキュリティー投資額の目安は年間5億円になる。 この投資額には人件費やアウトソース費用、セ

関連キーワード アクセス管理 | セキュリティ | セキュリティ対策 認証関連の業界団体FIDO Allianceは2024年10月、パスワードを使わない認証方法「パスキー」（Passkey）の安全性を高めるための2つの新しい仕様を発表した。FIDO AllianceにはGoogleやMicrosoft、Appleなどが参加し、パスキーの普及に取り組んでいる。新しい仕様は以下の2つだ。 「Credential Exchange Format」（CXF） 「Credential Exchange Protocol」（CXP） これらの仕様により、何がどう良くなるのか。注意点は何か。 CXF、CXPのメリットとリスクとは 併せて読みたいお薦め記事 「FIDO2」とは何か Apple、Google、Microsoftが推すパスワードレス認証「FIDO2」とは？ パスワードレス認証「FIDO2」を

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに 今回はIPA（情報処理推進機構）が無料で公開しているエンジニア向け資料をまとめました。エンジニアやIT担当者におすすめの資料を厳選しています。 今回紹介する資料の結論 安全なWebサイトの作り方 要件定義ガイド DXスキル標準 情報セキュリティ白書2024 DX白書 情報セキュリティ10大脅威 2024 簡易説明資料 情報漏えい対策のしおり AI社会実装推進調査報告書 安全なWebサイトの作り方 安全なWebサイトの作り方では、Webアプリやサイトを作る上で知っておくべきセキュリティ知識を基礎から網羅的に学ぶことができます。

2024年11月11日、国民民主党の玉木雄一郎代表について、写真週刊誌で「高松観光大使」を務める元グラビアアイドルとの不倫デートが報じられた。 報道を受け、玉木氏による「性的行動をチェックする国民民主党の修正案」に関する過去の投稿がにわかに注目を集めている。 「性的行動をチェックする国民民主党の修正案を取り入れてもらいたい」 玉木氏をめぐっては、FLASHが11日に「【独占スクープ】玉木雄一郎氏『高松観光大使』元グラドルと隠密不倫デート＆地元ホテルで逢瀬...取材には『家族との話し合いが終わっていない』」とのスキャンダルをウェブサイトで報じた。 玉木氏は同日、記者会見を行い報道内容について「おおむね事実」と認め、謝罪した。 こうした報道を受け、注目を集めているのは玉木氏が4月に投稿した元防衛副大臣の宮澤博行氏をめぐる"アドバイス"だ。宮澤氏は「パパ活不倫」が報じられ、議員を辞職している。

イスラエル軍の攻撃で被害を受けた建物のそばに集まる人たち＝レバノンの首都ベイルート郊外で2024年11月9日、ロイター レバノンのイスラム教シーア派組織ヒズボラの戦闘員らが所有するポケベルが9月中旬に一斉に爆発して計3000人以上が死傷した事件で、イスラエルのネタニヤフ首相は10日、自身がこの作戦にゴーサインを出したことを認めた。AFP通信がネタニヤフ氏の報道官の話として伝えた。ポケベルの一斉爆発は当時からイスラエルによる工作が疑われていたが、公式に認めたのは初めて。 一方、台湾の捜査当局は11日、調査の結果、爆発したポケベルは台湾で製造されたものではなかったと発表した。実際に製造したのは、イスラエルのフロント企業だったとされ、少なくとも数年がかりで準備していたとみられている。 ヒズボラは昨年10月にパレスチナ自治区ガザ地区のイスラム組織ハマスとイスラエル軍の戦闘が始まってから、イスラエル

近年クレジットカードの不正利用に関する犯罪が増えているが、その利用スタイルの変化や対策手段の登場にともない、以前とは違う形での不正利用が増加している現状がある。 以前までであればスキミングや番号の盗み見などの手段で入手したカード番号を元に偽造カードを作成する手法が多かったと思われるが、ICチップ利用の必須化により偽造カード作成は困難になり、盗んだカード番号をオンライン取引で利用するケースが一般化してきている。 まずユーザーにフィッシングメールを送信してカード情報の入力を促したり、あるいは決済サービスを提供する企業のサイトをハッキングしておき、そこに入力された情報をかすめ取るといった手法だ。 このようにして盗んだカード番号をオンラインの決済で利用して換金性の高い商品を購入し、売却することで利益を得るのが犯人の狙いだが、もともとオンラインでの取引は、人と人が店頭で行う対面取引に比べても不正利用

安全性を高めるため証明書の最大有効期間は年を追って徐々に短くなってきた。2011 年以前は最長で約 8 年だったものが、2020 年には約 13 ヶ月になった。Apple の提案が受け入れられれば、証明書の最大有効期間は 2025 年 9 月から 200 日に短縮され、その 1 年後には 100 日に、そして 2027 年 4 月以降は 45 日まで短くされる。この提案には、ドメイン認証（DCV）の有効期間を段階的に短縮し、2027 年 9 月以降は 10 日にすることも含まれている。

出前館は10月29日、10月26日から丸3日間サービスが利用できなくなった大規模システム障害の原因について「暗号資産マイニングマルウェア『RedTail』への感染」だと発表した。 発表によると、最初の障害は10月25日20時頃に発生した。サーバーが高負荷となったことからサービスを停止し、当該サーバーを切り離してサービスを再開した。 その後、翌10月26日14時30分ごろに、前日とは異なるサーバーが高負荷となり再度サービスを停止。のちに暗号資産マイニングマルウェアである通称「RedTail」に感染したことを発見し、マルウェアの削除を実施したという。 サービスの再開にあたっては、万全を期すために作業を慎重に実施したため、サービスの再開が想定より遅れたという。なお、現時点では個人情報の流出の恐れはないとしている。