技術と法律を高いレベルで理解した役人が文化庁にいて、経産省にいなかったのが公衆送信権の一件ですね もう最近のいろんな動向から鑑みるに、技術と法律を両方高度なレベルで理解し、さらにブルドーザーのような馬力も兼ね備えた量産型高木浩光を一個大隊ほど配備するべきなのではないだろうか。そうでもしないかぎりこの戦線は維持しきれない。

セキュリティクラスタ まとめのまとめ 一覧 ソフトバンクの障害、証明書の期限切れが原因だった 2018年12月6日、ソフトバンクの携帯電話に大きな通信障害が発生して、地域にもよりましたが、日中ほぼ接続できませんでした。ソフトバンクだけでなくMVNOでソフトバンク回線を使用している事業者の携帯電話もつながりませんでした。さらに日本だけでなく、英国のO2やベトナムのMobiFoneなど海外の携帯電話企業でも同様の接続障害が発生しました。 業務でソフトバンク回線を使用している企業には二次的な被害も発生しました。情報のやりとりができず、セールスドライバーの配達ができなかったり、二要素認証でSMSメッセージを受け取れなかったり、QRコードの読み取りができなかったりしたようです。携帯電話回線がつながらないことで業務に直接支障が出ることに気付いた方も多かったのではないでしょうか。

テックビューロ（大阪市）が運営する仮想通貨取引所「Zaif」は9月20日、ハッキング被害を受け、同社が管理する仮想通貨の一部を流出したと発表した。被害額は約67億円相当と見られ、現在確認を急いでいる。金融庁と捜査当局に報告し、調査や顧客資産の財源確保に努めているという。 同社によれば、9月14日ごろから仮想通貨の入出金サービスなどに不具合が発生。17日にサーバ異常を検知し、18日にハッキング被害を確認した。 ハッキングを受けたのは入出金用のホットウォレット（※）を管理するサーバ。14日午後5時ごろ～午後7時ごろまでの間に外部から不正アクセスを受け、このサーバで管理していた仮想通貨「ビットコイン」「モナコイン」「ビットコインキャッシュ」が不正に外部へ送金された。ハッキングの手法については、捜査中であることや同種犯行の予防のため「差し控える」としている。 （※ホットウォレット：インターネットに

JWTを使うことは難しい？ こんにちは、かとじゅん(@j5ik2o)です。最近、JWTに関する以下のブログが話題です*1。 どうしてリスクアセスメントせずに JWT をセッションに使っちゃうわけ？ - co3k.org このブログで言及されているのは、JWTをセッションの保存先に選ぶことで「何が問題なの？」に書かれているリスクがあるよ、という話*2。確かにいくつか検討することがありますね。 auth0.hatenablog.com auth0の中の人？よくわからないけど、反論的なブログエントリが公開されています。この記事では、指摘の問題が起こらないように設計するのはあたり前では？という意見みたいです。まぁごもっともではないでしょうか。 私も技術そのものというより、要件に合わせて技術を組み合わせる設計の問題だと思っています。加えて、JWTを利用することはそんなに難しいことかという疑問があった

OWASP Kansai DAY 2017 in Osaka 〜初心者でもわかるサイバーセキュリティ〜でご発表いただいた 朝日新聞社 須藤 龍也さんの資料です

ここまでガバガバなサービスも珍しいですね… 【2018/02/01 20:47 追記】Osushi公式アカウントからメンテナンス・改修に関する公式なツイートがなされたため追加しました。 【2018/03/07 16:36 追記】Osushiがリニューアルされてサービスを再開しました。このまとめで指摘されているような問題点がほぼ全て修正されており、法的に問題がなければ期待できそうです。

（18/1/27追記） coincheckのハック事件を受けて、「マルチシグ」という単語に注目が集まり、こちらの記事へのアクセスも増えていますが、勘違いが広がる前に何点か加筆。 今回の事件はマルチシグを利用していたかどうか、より、いわゆる多額のXEMをホットウォレットで管理していたことが問題です。 ホットウォレットとは運用/業務の効率性を上げるためにサーバー上で秘密鍵を管理している状態で、それゆえハックなどの被害にあいやすいというリスクもあります。 通常は資産の大部分は、ハックなどされないようにオフラインの「コールドウォレット」に保管するのがベストプラクティスですが、今回はそれが出来てなかったのが問題です。 マルチシグは上手く利用すれば、通常のシングルシグネチャ方式よりセキュリティを強化したり、内部犯行を含む資金の持ち逃げを難しくしたりなどのメリットがありますが、こちらも鍵の生成や管理方法

冬の寒い時期に、室外でスマホを操作したくなることもあります。 しかし、普通の手袋をしていると、スマホを操作できないので、外さなといけません。 さらに、最近では、指先の部分が特殊な作りになっていて、スマホを操作できる手袋も登場していますが、 それも、操作する前の指紋認証が、手袋をつけたままではできないので、結局手袋を外すことになります。 そんな中、開発されたのが、指紋のようなものがつけられた手袋。 この手袋には、目には見えない特殊な塗料で指紋に似た模様を指先に付けています。 これを使って指紋認証のロックを解除することができます。 まず、この手袋の模様を、iPhoneに登録します。 すると、スマホのロックを解除できました。 指紋のパターンは３万通りあり、同じものが被ることはまずないそうです。 指先には導電素材を使用していて、フリックなどの操作もできます。 この手袋を開発したのは埼玉の会社、エー

ゲームなどを作っているとランダムさが必要になることがあるけど、コンピュータは基本的に毎回全く同じように動くので、乱数を作り出すのはそう簡単なことではない。Wi-FiやHTTPSなどの暗号は乱数のランダムさに本質的に依存しているので、高品質な乱数生成は世の中的にも重要な話題である。ここでは乱数生成について話をしてみよう。 ゲームではイベントがプレイヤーに予測不可能であればよいだけなので、真の乱数列ではなく擬似乱数列というものを使うことが多い。擬似乱数列は人間にはランダムにみえるけど、実際は何らかの数式によって順番に生成されているだけの数の列で、初期値を毎回違うものにしておくと、人間には毎回違う数列が生成されるようにみえる。初期値には現在時刻を使うことが多い。現在時刻は普通の用途では毎回違うからだ。 昔のゲーム機は現在時刻の設定がなかったので、ファミコンなどでは、起動してからの経過時間を疑似乱

粕淵 卓＝NTT西日本 ビジネス営業本部 クラウドソリューション部、近藤 玲児、長澤 洋路＝NTT西日本 ビジネス営業本部 クラウドソリューション部ソリューション担当ネットワークソリューション 無料Wi-Fiサービスなどの公衆無線LANでは、WPAやWPA2▼などの暗号化方式を採用している。WEP▼だと盗聴される危険性が高いが、WPAやWPA2なら安心だと思っている人は少なくないだろう。ただ、SSIDやパスフレーズが公開された無料Wi-Fiサービスでも、安全だろうか。検証してみた。 パスフレーズが公開されている WPAやWPA2には、アクセスするときに入力する文字列（キー）がユーザーごとに異なる「IEEE 802.1X方式」と、すべてのユーザーで同じ文字列（パスフレーズ）を使う「事前共有鍵（PSK▼）方式」がある。どちらの方式でも、キーやパスフレーズがわからなければ、解読するのはまず不可能

Apple社員の娘がYouTubeで｢iPhone X｣の実機使用レポート！…が、その後動画は削除に2017.10.25 11:187,499 Doga お父さん大丈夫なのでしょうか…？ 11月3日（金）にいよいよ発売を控えている｢iPhone X｣。Apple（アップル）の発表会でメディア関係者は触ることができたものの、まだ我々一般ユーザーの手元には届いておりません。もちろん、まだレビュー動画なんてのも登場していません。そんな最中、Brooke Amelia Petersonというごく普通の女の子が、誰よりも先にこのチャンスを手に入れたようです。彼女が投稿したYouTube動画に、Appleで働く父親が所有するiPhone Xの実機が登場していました。なお、今回の動画は記事執筆直後に削除されてしまったため、Brooke Amelia Petersonさんのアカウントでは見ることができなく

by Alex-501 スマホと連動する女性用大人のおもちゃが密かに使用データを収集していたとして2016年に集団訴訟へと発展しましたが、今度は、「非常に私的なものであるはずの大人のおもちゃが第三者によって自在にコントロールされてしまう」という可能性が報告されました。 Hack a BT Low Energy (BLE) butt plug – Scubarda https://scubarda.wordpress.com/2017/10/17/hacking-a-bt-low-energy-ble-butt-plug/ Security Researchers Hacked a Bluetooth-Enabled Butt Plug - Motherboard https://motherboard.vice.com/en_us/article/ne788b/hackable-bluet

2017年10月16日、WPA2のプロトコルに欠陥が確認され盗聴や改ざんの恐れがあるとして脆弱性情報が公開されました。発見者によりこの脆弱性は「KRACKs」と呼称されています。ここでは脆弱性の関連情報をまとめます。 脆弱性タイムライン 日時 出来事 2017年5月19日 Vanhoef氏が研究論文を提出。 2017年7月14日頃 Vanhoef氏が脆弱性の実験をした製品開発ベンダへ連絡。 その後 Vanhoef氏が影響範囲の広さを認識し、CERT/CCと協力し脆弱性情報を開示。 2017年8月24日 ラスベガスで開催されたBlackhatでVanhoef氏が関連研究を発表。 2017年8月28日 CERT/CCから複数の開発ベンダ*1に通知。 2017年10月6日 BlackhatのTwitterアカウントがWPA2をテーマとした発表があるとツイート。 2017年10月16日 SNSなど

先日、Rails で開発しているときに意図しない InvalidAuthenticityToken エラーが発生して、すごくハマってしまいました。そのときに Rails のCSRF対策の仕組みについて調べてみましたので、ブログに残しておきます。 Rails のCSRF対策 Rails が生成した ApplicationController には以下の記述があります。 class ApplicationController < ActionController::Base # Prevent CSRF attacks by raising an exception. # For APIs, you may want to use :null_session instead. protect_from_forgery with: :exception end protect_from_forg

平素よりGyazoならびにScrapboxをご利用いただきありがとうございます。この度、弊社CTO増井俊之（以下当人）のTwitterアカウントとGyazoアカウントが不正利用されているとのご指摘をユーザーのみなさまよりいただき、事実関係を調査いたしましたところ、不正利用の事実が判明いたしました。 アクセスログ等の確認ならびに当人への聞き取り調査により、当人がGyazoアカウントに他のWebサービスと同じパスワードを設定しており、このパスワードが漏れたために第三者に不正利用されたものと確認しております（いわゆるパスワードの使い回し）。また、当人がGyazoアカウントにTwitterアカウントのIDとパスワードを含むスクリーンショットを保存しており、その画像を元にTwitterアカウントも不正利用されたことが、アクセスログ等の確認ならびに当人への聞き取り調査により判明しました。現在、当人にパ

渡邊 恵太 @100kw インタラクションデザインの研究者【著書】「融けるデザイン―ハード×ソフト×ネット時代の新たな設計論」 amazon.jp/dp/4861009383/ 講演、取材、トーク登壇依頼などはDMもしくはWebのフォームからお願いします。 keitawatanabe.jp リンク YouTube Dummy cursors keep your passwords safe from prying eyes #DigInfo Prevent password theft in public places (http://www.diginfo.tv/v/13-0017-r-en.php) 28/2/2013 interaction 2013 JST CursorCamouflage, SymmetricCursors DigInfo ... 2 users 6

大したことじゃないんだが。 iPhoneでSafariでWEBページ見ていて、ブクマしようと共有メニューをタップするとAirDropの相手先に「○○のiPhone」という知らない名前が出てくることがある。フルネームで。 ああ、これ向かいの席でスマホをいじっている女性のなんだな、と思ってしまうんだが、男は別にいいとしても女性はちょっと危険なんじゃないかなと思ってしまう。 デフォルトでデバイス名をユーザーのフルネームにしてしまうiPhoneの仕様には気をつけたほうがいい。 (2/2追記) 追記を書きました。http://anond.hatelabo.jp/20170201003611