インターネットバンキングの口座から預金を不正送金する2019年の被害が前年比4.4倍の20億3200万円（暫定値）に急増したことが6日、警察庁のまとめで分かった。「ワンタイムパスワード」を破る手口が横行し、被害額は4年ぶりに増加した。金融機関は不正送金を防ぐため、顔や指紋で本人確認する生体認証の普及を急いでいる。ワンタイムパスワードはネットバンキング利用時に、ユーザーが元来設定している固定パス

世界が震撼の｢WannaCry｣、支払われた身代金は意外と少なめ2017.05.16 12:196,311 福田ミホ 騒動のわりに、ってことですけど。 先週末、ランサムウェア｢WannaCry｣とその仲間たちが世界中に広がり、あちこちの会社や病院、大学などなどをパニックに陥れました。これはWindowsの脆弱性を突いたマルウェアだったため、マイクロソフトがサポートを終了したはずのWindows XPにまで緊急パッチを配布する事態になりました。 ・世界パニックのランサムウェア｢WannaCry｣被害&対処まとめ ｢WannaCry｣はランサムウェア、つまり感染したコンピュータのユーザーに身代金支払いを要求するマルウェアです。それがここまで広がったんだから、犯人は数日で大もうけ…と思いきや、現在のところ集めた金額は意外と多くないみたいです。 セキュリティ専門家Brian Krebs氏の調査によ

情報処理推進機構（IPA）は2017年4月から、新しいセキュリティ国家資格「情報処理安全確保支援士」を開始する。新資格は「講習受講による知識のアップデートが義務付けられる」という、今までの情報処理技術者試験にはない特徴を持つ。「その手間を掛けるメリットがあるのか」「講習受講料（3年間で15万円）を支払う価値はあるのか」と話題になっている。 資格の開始は2017年4月としているが、実際には既に運用が始まっている。やや制度が複雑なので簡単に説明しておこう。情報処理安全確保支援士はペーパーテストに合格するだけでは取得できない。試験合格者がIPAに登録を申請し、資格保持者の一覧表「登録簿」に登録されてはじめて資格取得となる。初回の登録が2017年4月1日なわけだ。 現在は経過措置として、既存の「情報セキュリティスペシャリスト試験」と「テクニカルエンジニア（情報セキュリティ）試験」の合格者を登録対象

はじめに 整数型の取り扱い (表現可能な値の範囲を超える "整数オーバーフロー" を防ぐなど) は、セキュリティ上の問題を避けるために、そうでなくとも予期しないバグを避けるために (頻繁に!) 注意しなければならないことだと言えるでしょう。 整数オーバーフローは、特に C/C++ においては深刻な脆弱性の原因になりがちです。昨年界隈を騒がせた Android の Stagefright としてくくられている複数の脆弱性のうち大部分は、この整数オーバーフローが原因となっています。 ただ、C++ における整数型は、実に奇妙です。その奇妙さの結果、C++ において整数オーバーフローを防ぐことは非常に難しいことが……あまり知られていません。というわけで、数回に分けて C++ における整数型 (特に符号付き整数型) の仕様とその奇妙なところ、何故整数オーバーフローチェックが難しいのか、それでもどうや

「個人番号カードの公的個人認証サービスを使える民間サービスの業態に、制限はありません。オンラインバンキングからネットゲームまで、ほぼ『なんでもあり』です」。総務省自治行政局住民制度課 企画官の上仮屋尚氏はこう強調する。 マイナンバー制度が始まる2016年1月から、希望者に無償で配布される「個人番号カード」（図）。その最大の目玉は、カード内のICチップに埋め込まれた電子証明書を使って個人を認証する公的個人認証サービスが、総務大臣の認定を前提に、民間企業にも開放されることだ。 公的個人認証サービスは、元々は住民基本台帳カード（住基カード）に組み込まれる形で、2004年1月から始まった。とはいえ、用途が行政サービスに限られていたこともあり、用途の開拓はあまり進まなかった。個人向け用途では、国税電子申告・納税システム（e-Tax） の確定申告用に使われるのがせいぜい。発行された電子証明書は、201

セキュリティ・キャンプ全国大会2015の講義で使用された資料のまとめ。公開されていない講義が多いので、すべての講義資料があるわけではありません。随時追加。 高レイヤートラック Webプラットフォームのセキュリティ JavaScript難読化読経 HTTP/2, QUIC入門 SSL/TLSの基礎と最新動向 フレームワークに見る Web セキュリティ対策(これからのWebセキュリティ) これからのWebセキュリティ フロントエンド編 クラウドセキュリティ基礎 バグハンティング入門 解析トラック 仮想化技術を用いたマルウェア解析 講義内容 TOMOYO / AKARI / CaitSith ハンズオン（アクセス解析初級・中級） セキュリティ・キャンプ全国大会2015でのマルウエア分析講義(2015-09-10) チューター発表 「脆弱性をみつける」から「脆弱性をなくす」へ カーネル空間からのセ

フェイスブックの位置情報追跡の薄気味悪さを実証したハーバード大生がインターン内定取消しに2015.08.14 10:205,121 satomi フェイスブックで働きたかったら、悪いことは言わないから、本家の痛いところは突かないことです…ぶるぶる…。 同社にインターン内定が決まっていたハーバード大生が、位置情報共有設定の不備を指摘したら、感謝されるどころか内定が取消しになってしまったようですよ？ 学生の名前はAran Khanna君。Khanna君はインターン開始まで待ってられなくなって、同社がAndroid版Messengerでユーザーの位置情報を集めていることを実証するChrome拡張機能を作ってみました。 フェイスブックはデフォルトの設定のまま使うと、MessengerのAndroidアプリで同じスレにいる全員に自分の詳しい位置情報が知れてしまうんです。フェイスブックで友達じゃない人

政府が今国会の成立をめざす個人情報保護法改正案の審議が８日、衆議院で始まった。政府は何が個人情報として保護されるべきかの考えを具体例を挙げながら説明。スマートフォンなどを識別する「端末ＩＤ」は、個人情報には含めないとの方針を明らかにした。 山口俊一・ＩＴ担当相は８日の衆院内閣委員会で、「端末ＩＤは端末を識別するための情報で、機器に付番されるだけ。個人情報には該当しないと思っている」と語った。法改正後も、個人情報にあたらないとの認識を明確にした。法案では新設される第三者機関「個人情報保護委員会」が個々の事例を判断するとしているが、政府が先がけて一部の方向性を示した。 ただ、端末ＩＤは、事業者が個々のスマホやパソコンを識別し、位置情報や利用者のホームページ閲覧、買い物などの履歴を集めて活用するために使われることもある。端末ＩＤだけでは所有者がだれかを知るのは難しいが、正確な位置情報や行動履歴な

情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は2015年4月9日、ファイル圧縮・展開ソフト「Lhaplus（ラプラス）」に新たな脆弱性が2件見つかったことを明らかにした。細工が施されたファイルを読み込むだけで、悪質なプログラム（ウイルスなど）を実行される危険性などがある。対策は、最新版「Lhaplus 1.72」へのアップグレード（画面）。 今回明らかにされた脆弱性は2件。1件は、圧縮ファイルの処理に関する脆弱性。細工が施された圧縮ファイルを展開するとバッファオーバーフローが発生し、中に仕込まれた任意のプログラムを実行される恐れがある。 もう1件は、展開するファイル名の処理に起因するディレクトリトラバーサルの脆弱性。名前を細工されたファイルを展開すると、任意のファイルを作成されたり、既存のファイルを上書きされたりする危険性がある。 対策は、最新版

Copyright © 2024 Information-technology Promotion Agency, Japan（IPA）　法人番号 5010005007126

森田 朗 国立社会保障・人口問題研究所所長 行政学者。東京大学大学院法学政治学研究科教授、東京大学公共政策大学院教授、同大学院院長、総長特任補佐、東京大学政策ビジョン研究センター長、学習院大学法学部教授などを歴任。 この著者の記事を見る

時折セキュリティクラスタを賑わす「パスワードの定期的変更」ネタ。きっかけは2008年頃の高木先生のはてブだったと記憶。その頃わしはISMSなんぞに手を染めてた頃だったので、セキュリティ標準書とかどうなってるんだと思って、BS (British Standard), DoD, NIST関連文書を2008年3月に少々調べて某SNSに書いて放置していた。 その後こんなしょーもないものを書いたものの、もっと調べてまとめて一般公開したいなぁと思ってきたままずるずると今に至っている訳だが、いつまでも抱えてるのもあれなので、2008年に書いたものをベースに公開することにした。 ツッコミどころは多いだろうが、気になる人は自分で調べて発表してちょ。てゆうかそろそろ技術史研究者が乗り出してほしいとも思う。 ISO/IEC27000シリーズと英BS7799 ISMSの認証基準であるISO/IEC27001"In

各位 <<< オープンリゾルバ確認サイト公開のお知らせ >>> JPCERT/CC 2013-10-31 I. 概要 JPCERT/CCは、お手元の PC からオープンリゾルバの確認ができるサイトを公開いたしました。 オープンリゾルバ確認サイト http://www.openresolver.jp/ オープンリゾルバとは、外部の不特定の IP アドレスからの再帰的な問い合わせを許可している DNS サーバのことです。オープンリゾルバは国内外に多数存在し、大規模な DDoS 攻撃の踏み台として悪用されているとの報告があります。 JPCERT/CC Alert 2013-04-18 JPCERT-AT-2013-0022 DNS の再帰的な問い合わせを使った DDoS 攻撃に関する注意喚起 https://www.jpcert.or.jp/at/2013/at130022.html また、DN

The digital arms tradeThe market for software that helps hackers penetrate computer systems IT IS a type of software sometimes described as “absolute power” or “God”. Small wonder its sales are growing. Packets of computer code, known as “exploits”, allow hackers to infiltrate or even control computers running software in which a design flaw, called a “vulnerability”, has been discovered. Criminal