サイバーセキュリティ企業のHome Security Heroesが、ニューラルネットワークでパスワード予測を行うAI「PassGAN」を使って実際のパスワードを解析する実験の結果を発表しました。それによると、一般的なパスワードのおよそ半分が1分で、65％が1時間で解析できてしまったとのことです。 2023 Password Cracking: How Fast Can AI Crack Passwords? https://www.homesecurityheroes.com/ai-password-cracking/ 通常、パスワードの解析に使われるパスワード推測はシンプルなデータ駆動型のツールが使われます。つまり、膨大なデータを元にパスワード分析を行うというやり方で、こうした方法は小規模で予測可能なパスワードの場合は効率的に解析可能ですが、サンプルサイズが大きくパターンが複雑になって

Twitter社は2023年2月18日未明、二要素認証（二段階認証）のSMS認証を、Twitter Blue（有料プラン契約者）に限定する方針を打ち出しました。 SMS認証に代わる、TOTP認証を設定する方法について解説します。 そもそも、なぜ移行する必要があるの？ 2023年3月19日までに移行を Twitterにアクセスできなくなることを防ぐため、非契約者のSMS認証は2023年3月19日までに削除することを求めています。 認証アプリやセキュリティキーといった従来方式の二要素認証は利用できるため、TOTP認証に移行しましょう SMS認証よりTOTP認証の方が安全 そもそも、なぜそんなの移行しなきゃいけないの？と疑問に感じるユーザーも居ると思います。 TOTP（Time-base One Time Password）認証とは、30秒や1分程度で切り替わるアプリ上の数字（ワンタイムパスワー

こちらのリンクに移行しました https://media.g-in.dev/

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 中国の浙江大学、香港中文大学、米シカゴ大学による研究チームが発表した「Rolling Colors: Adversarial Laser Exploits against Traffic Light Recognition」は、自動運転車に搭載されるカメラをレーザー光で攻撃し、信号機の認識を錯覚させる方法を実証し、脆弱性を指摘した論文だ。赤信号を青信号に、青信号を赤信号に誤認させ、衝突事故や交通渋滞を引き起こさせる攻撃になるという 歩行者や車両との衝突事故を防ぐため、自動運転車では信号が今何色かを正確に検出しなければならない。自動運転車だけでなく、それ以外の車にも、人が間違えて交差点に進入

こう話すのは、都内に住む20代の女性です。見知らぬ男にSNSのアカウントを特定された経験があるといいます。 女性は去年9月、電車の中で見知らぬ男に突然、スマートフォンのカメラを向けられました。 恐怖を感じ、そのまま電車を降りて自宅へ向かいましたが、男も同じ駅で降り、無言で後をつけてきたといいます。 このままでは自宅を特定されてしまうと考えた女性は、再び駅まで走って戻り、電車で別の駅へ。男の姿は見えなくなったということです。 ところがその後、インスタグラムとツイッターのアカウントに身に覚えのないダイレクトメールが届きました。 内容は、いずれも女性をホテルに誘うもの。驚いて相手のアカウントを確認すると、そこには後をつけてきた、あの男の顔写真があったということです。 なぜアカウントを特定されてしまったのか。 身に覚えのない女性は、恐怖でしばらく自宅から出られなくなったといいます。 こうした経験か

by Tony Webster 多数のユーザーが利用しているアンチウイルスソフト「ノートン 360」が、アップデートにより、仮想通貨マイニング用の新機能「ノートン クリプト」も自動的にインストールされる仕様となったことに対して批判が集まっています。 Norton 360 Now Comes With a Cryptominer – Krebs on Security https://krebsonsecurity.com/2022/01/norton-360-now-comes-with-a-cryptominer/ Once Opted Into Norton Crypto, You Can't Easily Uninstall | Digital Trends https://www.digitaltrends.com/computing/no-easy-way-to-uninstal

長山です。最近 Twitter 凍結屋の話が盛り上がっていますね。自分は Twitter でデータ・サイエンティストとしてスパム対策チーム (Twitter Health Engineering) に在籍していたことがあるので、少しこの件に関連して、スパム対策の苦労について書いておきたいと思います。 ここでしている話は基本的に「プラットフォームのスパム対策における一般論」であって、Twitter 的に Confidential な話はしていません。自分は Google Search、Google Play のスパム対策チームにも在籍したことがあるので、大規模プラットフォームにおけるスパム対策という観点で書いておきたいと思います。 今北産業 スパム対策は結構難しく、報われない仕事。 陰謀論的に語られることが多いが、単に難しい仕事に能力が追いついていないだけ。 一般ユーザーは、被害に遭ったら積

Original article:https://dev.to/dotnetsafer/rip-copy-and-paste-from-stackoverflow-trojan-source-solution-4p8f その昔コピペできない文章というものがありました。 実際は単にフォントを変えているだけというものですが、人間の目に見える文字と実際の文字が異なることを利用した攻撃の一種と見ることもできます。 さて、最近になって似たような攻撃に関する論文が公開されました。 人間には見えない文字を織り交ぜることによって、一見問題ないコードが実は脆弱になってしまうというものです。 ただ論文は堅苦しいうえに長くて読むのがつらいので、具体的に何がどうなのかよくわかりません。 平易に解説している記事があったので紹介してみます。 以下はDotnetsafer( Twitter / GitHub / Web

Products & ServicesSecurity OperationsThreat ResearchAI ResearchNaked SecuritySophos Life The critical vulnerability in Apache’s  Log4j Java-based logging utility (CVE-2021-44228) has been called the “most critical vulnerability of the last decade.”  Also known as Log4Shell, the flaw  has forced the developers of many software products to push out updates or mitigations to customers. And Log4j’s m

Webセキュリティ製品などを手掛ける米LunaSecの報告によると、Minecraftの他、ゲームプラットフォームのSteamやAppleの「iCloud」もこの脆弱性を持つことが分かっており、影響は広範囲に及ぶと考えられるという。 この脆弱性の影響があるのは、Log4jのバージョン2.0から2.14.1までと当初みられていたが、Log4jのGitHub上の議論では、1.x系も同様の脆弱性を抱えていることが報告されている。対策には、修正済みのバージョンである2.15.0-rc2へのアップデートが推奨されている。 セキュリティニュースサイト「Cyber Kendra」によれば、この脆弱性に対して付与されるCVE番号は「CVE-2021-44228」という。 脆弱性の報告を受け、Twitter上ではITエンジニアたちが続々反応。「やばすぎる」「思っていたよりずっとひどいバグだった」「なぜこんな

プリンターから、突如、大量の紙が出てきた。止まらない。 紙には「あなたの会社のデータは盗まれ、暗号化された」という脅迫のメッセージ。 ことし８月、日本国内の企業で実際に発生した、身代金要求型のサイバー攻撃だ。 これ以上、被害を増やさないためにと、その企業が取材に応じてくれた。 いま何が起きているのか。

コロナ禍で売り上げが伸びているインターネット通販。 その影で、クレジットカードの不正決済が急増し、被害が広がっている。 そして、そうした不正に利用されるカード番号やパスワードなどの日本人の個人情報が、中国のＳＮＳ上のブラックマーケットで大規模にやりとりされていることがわかった。そこではマイナンバーカードの情報も売られていた。 クレジットカードの不正決済の闇を追った。 浅草にある貴金属店。 地域のお年寄りに愛され営業を続けてきたが、コロナ禍で客が減り、客層を広げようと、簡単にネットショップを作れるというアプリで、販売を拡大した。 ことし８月のこと、店主の篠田拓也さんのもとに、アプリの運営会社から、「商品の購入で使われたクレジットカードの持ち主が、身に覚えがないと言っている」という知らせが届いた。 その３か月前の５月に販売した金のネックレスの購入で不正決済が行われた可能性を示すものだった。 売

メールの中身を暗号化した状態で送受信可能なプライバシー重視メールサービス「ProtonMail」が、スイス警察の要請に従ってユーザーのIPアドレスを提供していたことが明らかになりました。ProtonMailは公式サイトでIPアドレスを保存しないことをアピールしており、誇大広告によってユーザーを危険にさらしていると非難されています。 France/Suisse/Sécurité IT : Protonmail a communiqué à la police l’adresse IP de militant·es anti-gentrification https://secoursrouge.org/france-suisse-securite-it-protonmail-a-communique-a-la-police-ladresse-ip-de-militant%c2%b7es-an

2021年の初夏に、Cloudflareに対して毎秒1720万リクエストのDDos攻撃が行われていたことがわかりました。Cloudflareによれば、これは過去に受けたあらゆる攻撃と比べて3倍と大規模なもので、同時期の正当なHTTPトラフィック量と比較して68％もの分量に及ぶものだったとのことです。 Cloudflare thwarts 17.2M rps DDoS attack — the largest ever reported Cloudflareによれば、攻撃は自律型エッジDDoS保護システムによって自動的に検出され、軽減されたとのこと。Cloudflareでは、2021年第2四半期に平均して毎秒2500万を超える正当なHTTPリクエストを処理しており、今回の攻撃の毎秒1720万リクエストは、その68％に達するものです。 攻撃を行ったのは、2016年の1Tbps(毎秒1テラビット

PayPal使ってる人多いと思うので書いておきます。 【PayPalの問題点】 ①一度クレームを取り下げる(または審査が終わる)と同じケースは二度と審査してもらえない。 ②PayPalへの支払いはカードではなく銀行口座から。 下に続きます。

いまトレンドマイクロを名乗る人から電話されてて、あなたのパソコンやられた、過去あなたがウイルスバスター購入したから弊社の責任、いまからなおします、と言ってリモート操作ソフトをインストールする支持を出してくる

代表的な公開鍵暗号の1つであるRSA暗号は、「桁数が大きい合成数の素因数分解が困難である」ということを安全性の根拠とした暗号方式です。そのため、「膨大な桁数の素因数分解を可能にするアルゴリズム」が開発されてしまえば、その安全性は揺るぎます。もし、「膨大な桁数の素因数分解を可能にするアルゴリズム」を開発した場合に何が起きるのかについて、実名制Q＆AサイトのQuoraでさまざまな人々が独自の見解を発表しています。 If I solve integer factorization, will I get killed because I would have broken cryptography? - Quora https://www.quora.com/If-I-solve-integer-factorization-will-I-get-killed-because-I-would-ha

河野太郎行政・規制改革担当相が、6月末までに省庁などでFAXの使用廃止の方針を示したのは、6月15日の会見でのことだった。 ところが先日、1カ月も経たずして、政府はその撤廃方針を断念したことが明らかになった。北海道新聞の報道によれば、「河野氏はファクスをテレワークを阻害する要因の一つとみて6月末で原則利用をやめ、電子メールに切り替えるよう求めていた」が、「内閣官房行政改革推進本部事務局によると、各省庁から400件程度の反論が寄せられた」という。そして断念することになった。 要するに、FAX廃止について各方面の事情を十分に調査・分析しておらず、「見切り発車」だったということだろう。 各省庁から出た苦情には、例えば警察などから「機密性の高い情報」を扱うためにFAXは不可欠だという声もあったという。実は、日本では、いくら大臣が廃止を大声で叫んでも、仕事によってはFAXを止めることが難しい業種も存

こんにちは。 SCOUTERフロントエンドエンジニア、現在Laravel勉強中の匠平@show60です。 弊社のプロダクトはフロントエンドをVue.js 、サーバーサイドをLaravelで実装しています。 私が携わっている新規事業のback checkでは、LaravelでAPIを実装し、フロントエンドからリクエストを送ることでアプリケーションを動作させています。 APIを実装する際に必要になるのがセキュアな認証。そこで広く使われるJWT認証について学んだことを今回お話したいと思います。 なぜ必要なのか、どのように使っているのかを焦点にやさしくお話しします。 ユーザー認証とは ユーザー認証とは、アクセスしてきたユーザーが正当なユーザーかどうかをチェックすることです。 チェックに使用される要素としては以下のようなものがあります。 知る要素 パスワード 持つ要素 鍵 トークン 備える要素 指紋

デバイスの状態を監視して問題を検知してくれるDellのSupportAssistに内在するサポート用ソリューション「BIOSConnect」に脆弱性が見つかりました。この脆弱性を突くとBIOS/UEFIレベルで任意コード実行が可能で、共通脆弱性評価システム(CVSS)スコアは「8.3」と算定されています。 Eclypsium Discovers Multiple Vulnerabilities in Dell BIOSConnect https://eclypsium.com/2021/06/24/biosdisconnect/#mitigations Dell SupportAssist bugs put over 30 million PCs at risk https://www.bleepingcomputer.com/news/security/dell-supportassis