山本　この理事の方ですね。 高木　……とまあ、こんなふうに番組に出ていらっしゃいますけど、元フジテレビアナウンサーで、のちに弁護士になられて、今ご活躍で、このマンボウ機構の理事をされている。 鈴木　大宮のロースクールに入ったってニュースになってましたよね。 山本　ああ、そうでしたね。いろいろとご苦労があったのではないかと思いますが。 鈴木　がんばられて、司法試験に合格されて、弁護士になったなあと思っていたら、マンボウ機構の理事にご就任ということで、ご活躍ですよね。 高木　はい。この番組は、顔識別カメラというのが、万引防止のためにどういうふうに効果があるかっていうのがこういうふうに語られています。 動画再生 ナレーター「個人差もあるとのことですが、帽子をかぶっていたり、サングラスをかけていても反応するんだそうです。この、顔認証システムを導入したことで、防犯効果が格段に上がったといいます。」

みなさんマイナンバーカードはもう手元に届きましたか? 私の住む大田区はとても混雑していて申請から5ヶ月かかって今月やっと交付してもらうことができました。 このカードに含まれる公的個人認証機能は以前から住基カードに入っていたものですが、今年から民間利用もできるようになりました。 しかし、この公的個人認証ですが詳細な仕様が公開されていないため、商用利用しようという動きはまだ聞きませんし、既に動いている行政サービスのe-govやe-taxはIE限定で、いまだにJava Appletが使われているなど大変残念な状況です。 カードに入っている電子証明書と2048bitのRSA秘密鍵は様々な用途に活用できる可能性があるのに、せっかく税金を費やして作ったシステムが使われないのはもったいないですね。 民間利用の第一歩として、カードに入っているRSA鍵を利用して自宅サーバーにSSHログインしてみましょう!

ブロックチェーン技術の実証実験への取り組みが複数の会社で進んでいます。銀行や証券取引所のような「FinTech」の文脈で捉えられる取り組みもあります。それだけでなく、ECサイト、サービス提供会社なども実験に参加しています。私たちの身近な所で、ブロックチェーン技術に関する経験の蓄積が猛烈な勢いで進みつつあるのです。 ブロックチェーン活用の3つのパターン 筆者の見解では、現時点で報告されているブロックチェーン技術の応用分野には、大きく次の3通りがあると見ています（なお、ブロックチェーン技術の本来の利用分野と言える仮想通貨や、仮想通貨のテクノロジーを応用した価値移転に関する応用はここでは除外しています）。 ① パブリックブロックチェーンを使い情報の真正性を保証する 情報の真正性を保証する技術として従来から「デジタル署名」がありますが、ブロックチェーン技術はデジタル署名を発展させた技術とみることが

Lenovo製PCには、BIOS起動時にWindowsのシステムファイルを上書きすることで、ユーザー情報をサーバーに送信する機能「Lenovo Service Engine(LSE)」があり、これを悪用することで外部からコードを実行される危険があると指摘されています。 Lenovo used Windows anti-theft feature to install persistent crapware | Ars Technica http://arstechnica.com/information-technology/2015/08/lenovo-used-windows-anti-theft-feature-to-install-persistent-crapware/ ◆Lenovo Service Engineとは？ Windows 8やWindows 10などには、PCのO

CDH 5.4 から導入された、Sensitive Data Redaction (機密データのマスキング) 機能を紹介します。 できること Hadoopクラスタのログファイル、Hive/Impalaクエリに含まれる任意の機密データのマスキングが可能です。 必要なもの CDH 5.4 / Cloudera Manager 5.4 手順 Cloudera Managerにログインし、HDFSサービスを選択します。 2. HDFSの設定画面で、「redaction」で検索します。 3. デフォルトでは「クレジットカード情報」、「社会保障番号」、「ホスト名」、「メールアドレス」のマスキングテンプレートが用意されています。カスタムのマスキングを定義することも可能です。ここではクレジットカード情報をマスキングします。 4. 設定画面内で、マスキングがどのように動作するのか、テストすることができます。

[English] 最終更新日: Mon, 16 Jun 2014 18:21:23 +0900 CCS Injection Vulnerability 概要 OpenSSLのChangeCipherSpecメッセージの処理に欠陥が発見されました。 この脆弱性を悪用された場合、暗号通信の情報が漏えいする可能性があります。 サーバとクライアントの両方に影響があり、迅速な対応が求められます。 攻撃方法には充分な再現性があり、標的型攻撃等に利用される可能性は非常に高いと考えます。 対策 各ベンダから更新がリリースされると思われるので、それをインストールすることで対策できます。 （随時更新） Ubuntu Debian FreeBSD CentOS Red Hat 5 Red Hat 6 Amazon Linux AMI 原因 OpenSSLのChangeCipherSpecメッセージの処理に発見

「各社員の PC の Windows の管理者パスワードは 16 文字くらいの複雑なものにしているので、たとえ 1 台の PC の HDD から NTLM ハッシュ (MD4 ハッシュ) が盗まれてもブルートフォース攻撃で元のパスワードは導出できず、安全だ。」と考えて、多数の各社員の PC に同一の管理者パスワードを設定している企業のシステム管理者は多い。しかし実際にはいずれか 1 台の PC から管理者パスワードの MD4 ハッシュが攻撃者に読み出された時点でアウトである。攻撃者にとって不正ログインに必要なのは MD4 ハッシュのみであり、平文パスワードを逆算する必要はない。MD4 ハッシュの入手に成功した攻撃者は、企業内で同一の管理者パスワードが設定されてある他の PC すべてに管理者権限で侵入することができるようになる。現状、企業の情報システム部門は、多数の社員用の Windows

「パスワードで保護してるから、誰かに勝手にログインされることはない」 そう思っている人も少なくないかと思いますが、実は割と簡単にパスワードで保護されたアカウントにログインする方法があります。 Windowsの場合は、Ophcrackというパスワード解析ツールを使えば、XPならすぐにでも、Vista以降でもパスワードの文字数や内容によっては簡単に各ユーザーのパスワードを解析することができます。 Macの場合はさらに簡単です。cmd+Sを押しながら起動して、コマンドラインから以下のコードを実行することで各ユーザーのパスワードを勝手に再設定できます。Mountain Lionの場合、最後にエラーが表示されますが、パスワードの再設定は実行されています。 $ /sbin/fsck -fy $ /sbin/mount -uw / （Lion以降のOS Xの場合）$ launchctl load /Sy

こんばんは、ritouです。 Twitterの問題が発覚した際、こんなgistも書きました。 gist:5053810 · GitHub 今朝、こんなTweetしました。 https://twitter.com/ritou/status/317429458657222657:twitter:detail:left gistに書いた通り、私の考える今回の問題の本質はoauth_callbackの管理、その一言に尽きます。他に2legged OAuthが入るとごちゃごちゃするので、OAuth 1.0の実装のポイントについてまとめてみました。 なんとなくOAuth怖いって思ってるやつちょっと来い from Ryo Ito もちろんこれだけではわけがわからないと思うので、説明が聞きたければどこかで話してもいいです。ぜひ声をかけてください。 普段は秋田にいますが、唯一この勉強会にはよく参加しているの

while(1);[['u',[['smsSentFlag','false'],['hideInvitations','false'],['remindOnRespondedEventsOnly','true'],['hideInvitations_remindOnRespondedEventsOnly','false_true'],['Calendar ID stripped for privacy','false'],['smsVerifiedFlag','true']]]] これ以外にもGoogleのサービスでは &&&START&&& とか while(1); &&&START&&& てのが先頭に入ってたりするんだけど、これは一体何？ 解答 これはクロスサイト・リクエスト・フォージェリ対策。 例えばGoogleが gmail.com/json?action=inbox というURL

2. もくじ ► おさらい ► クライアント(ssh/scp)の話 ポート転送の話 多段ssh その他の転送の話・他のオプション ► サーバ(sshd)の話 ► ちょっとした疑問 ► セキュリティの話 ► まとめ 2 / 62 5. RFC RFC 4250 The Secure Shell (SSH) Protocol Assigned Numbers RFC 4251 The Secure Shell (SSH) Protocol Architecture RFC 4252 The Secure Shell (SSH) Authentication Protocol RFC 4253 The Secure Shell (SSH) Transport Layer Protocol RFC 4254 The Secure Shell (SSH) Connection Protocol RF

Googleは2010年11月からGoogleのウェブアプリケーションのセキュリティ脆弱性を報告した人に報酬を支払う制度をスタートしました。僕も早速いくつか報告し、以前TwitterでGoogleから$7337頂いたよとつぶやきましたが、あれから新たに$6337の入金があり、今のところこの制度で$13174($1337 × 2 + $1000 × 2 + $500 × 17)を頂いています！ありがとう！ 追記 7337+6337=13674なので入金があったのは$13674($1337 × 2 + $1000 × 2 + $500 × 18)でした。合計を間違えてました。足し算難しい！＞＜+$500！ 修正されたものは情報を公開してもいいとのことなので、報告した中から多少変わったタイプの脆弱性を3つ紹介しようと思います。 <script>タグのsrcを細工することによるXSS こんなページ

しばしば「パスワードは○日ごとに変更しましょう」といわれるけれど、それで本当にクラックの危険性は減るの？ ペネトレーションテストの現場から検証します（編集部） ※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、アンチウイルスソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。また、本記事を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 今回は久しぶりに、ペネトレーションテストの現場の話から始めよう。 ペネトレーショ