技術者としての良心に従ってこの記事を書きます。俺はセキュリティとプライバシーの人ではなく、JavaScriptとUIの人である。法律の勉強だって自分の生活と業務に関わりのある範囲でしかしないだろう。しかし少なくともJavaScriptやブラウザが絡むような部分については、確実に自分のほうが理解していると思っている。高木浩光さんが、あからさまに間違ったことを書いたり、おかしなことを書いていたりしても、徐々に誰も指摘しなくなってきたと思う。おかしなこと書いていたとしても、非技術者から見たときに「多少過激な物言いだけど、あの人は専門家だから言っていることは正論なのだろう」とか、あるいは技術者から見た時でも、専門分野が違えば間違ったことが書かれていても気付けないということもあるだろう。 もう自分には分からなくなっている。誰にでも検証できるような事実関係の間違い、あるいは、技術的な間違いが含まれてい

BlackHat 2012/Defcon 20 レポート 2012年08月21日14:38 ツイート yj_ukai フォテイーンフォティ技術研究所　鵜飼です。 BlackHat/Defconに今年も行ってまいりました。私はContent Review Boardとしての参加ですが、弊社からは技術戦略室の大居がWindows Phone 7関連のトピックで講演して参りました。 大居の現地レポートなどは弊社のBlog(本記事の下段にリンク参照)に掲載されていますが、私の現地レポートは少々遅ればせながらこちらで掲載させていただきたいと思います。 私は、BlackHat/Defconに2003年から参加しています。弊社が設立された2007年以降は、行く年もあれば行かない年もあるという状況ですが、昨年度からはBlackHatの論文審査を行うReviewerになった事もあり、Las Vegasは昨年

Top へ AA参考情報 References (CERT Oracle Secure Coding Standard for Java のページにとびます) 『Java セキュアコーディング 並行処理編』 Top へ BBGlossary Glossary (CERT Oracle Secure Coding Standard for Java のページにとびます) Top へ XXお問い合わせ 本ページに関するご質問・お問い合わせは、secure-coding@jpcert.or.jp までメールにてお願いいたします。 Top へ

IPA（独立行政法人情報処理推進機構）は、 C言語で作成されたソースコードに脆弱性が存在しないかどうかを検査するツール「iCodeChecker」を公開しました。無償で利用できます。 iCodeCheckerは、ソースコードの脆弱性が存在する箇所を検出し、修正例や脆弱性が悪用された場合の脅威についてのレポートを出力するツール。プレスリリースから引用します。 本ツールは、脆弱性やソースコード検査技術を学習したい学生や開発者を対象に、利用者自身が作成したソースコード（C言語）を検査することできます。 本ツールでは、ソースコードの脆弱性が存在する箇所を検出し、修正例や脆弱性が悪用された場合の脅威について解析したレポートを出力します。利用者は本ツールを通して、脆弱性を学習するとともに、ソースコードセキュリティ検査技術の有効的な活用方法を習得することができます。 配布形式は、VMイメージ、パッケージ

ローソンは4月10日、スマートフォン向け無料無線LANサービス「LAWSON Wi-Fi」のログイン方法を変更し、任意のパスワードによるログインに変更する機能を追加することを明らかにした。「準備が整い次第、できる限り早い時期」に対応するとしている。 LAWSON Wi-Fiは、スマートフォン向けに無線LANによるネット接続環境を無料提供するサービスとして4月6日にスタートした。だがログイン方式が一般的なパスワード入力ではなく、電話番号／誕生月日（3月1日生まれなら「0301」）を入力するよう求めていたため、セキュリティ上の懸念を指摘する声が相次いでいた。 またAndroidアプリの規約には「手段のいかんを問わず他人からIDや電話番号・誕生月日を入手したり、他人にIDや電話番号・誕生月日を開示したり提供したりする行為」が「禁止行為」と明記されていたことから、「友達に誕生日を教えるのも禁止なの

米グーグルは2012年2月2日、Android Market（3月7日から「Google Play」に名称変更）で配布するアプリケーションの安全性を確保するために、2011年から「Bouncer」（用心棒）と呼ばれるマルウエア検知システムを使ってアプリを自動検査していることを明らかにした。既知のマルウエアと同じかどうかをチェックするだけでなく、動作を解析し、不審な動きを見せるアプリを排除する点が特徴だ。 米グーグルの発表によると、Android Marketには2011年から「Bouncer」というコードネームが付けられた仕組みが追加されているという。Bouncerは、新規登録あるいは登録済みアプリケーションを解析して、既知のマルウエアが含まれていないか、マルウエアに相当する不審な挙動をしていないかなどをチェックする（図1）。 実は、Android Marketにおけるマルウエアスキャンは

FTCによると、ソーシャルゲームサイトのRockYouはセキュリティ対策やプライバシー保護対策を怠り、登録ユーザー3200万人の電子メールアドレスとパスワードを流出させた。 米連邦取引員会（FTC）は3月27日、ソーシャルゲームサイトのRockYouがセキュリティ対策やプライバシー保護対策を怠り、ユーザー3200万人の個人情報を流出させたとして、25万ドルの和解金支払いなどを求めたと発表した。 FTCによると、RockYouはセキュリティ対策をうたっておきながら実際には暗号化などの個人情報保護対策を怠り、登録ユーザーの電子メールアドレスとパスワードを流出させたとされる。 さらに、米国の法令に違反して13歳未満の子供17万9000人の情報を保護者の同意なく収集していたという。 FTCは和解の条件として、情報セキュリティ対策の導入や外部の監査機関による監査を求め、和解金25万ドルの支払いをRo

行動ターゲティング、行動捕捉のサービスやその周りで起きた炎上、出来事をまとめておきたいと思います。一番最後に、まとめと今後の予想を書いてます。 カレログ 2011年8月 「彼氏のケータイにこっそり入れて居場所を追跡する」と言うことを目的としてサービス提供を開始。ただ「本人の同意を取ってね」と言ってはいるものの、こっそり入れさせることを目的としている点が特に問題となり、特に男性ユーザから「男にプライバシーは無いと言うのか」など非難の声が集中。GPSを飛ばして行動ログをそのまま見れる管理画面があったりとか、自分のケータイに入ってたらと思うと確かに恐ろしいサービス。。！ その後12月からは、「パートナーとの情報共有アプリ」として復活、現状もサービス提供中。 彼氏追跡アプリ「カレログ」登場　専門家からは“違法性”を指摘する声も カレログ（公式） applog 2011年10月 ミログ社のapplo

モバイルバッテリーとは呼べない。「ほぼポタ電」なコレ1台で有事の時もアウトドアも大活躍!【AmazonスマイルSALE】

サイバー犯罪の定義とは何か？ 2012年02月28日23:01 ツイート sean_sullivan ヘルシンキ発  by：ショーン・サリバン 2週間前、米上院に「Cybersecurity Act of 2012（サイバーセキュリティ法案）」が持ち込まれた。 同法案（S.2105）は、水道、エネルギー、運輸といった重要インフラを保護することを目的としており、米国土安全保障省（DHS）に、ネットワーク・オペレーターと連携してセキュリティ標準を作成するよう命じている。関連法案の「Cybersecurity Information Sharing Act of 2012」は、2月13日に発表された。 当然、EFFやEPICなどの人権擁護グループは、この法律の検証を行い、あまりにも幅広いものだと評している。 CNETのElinor Millsが「人権擁護グループ、サイバーセキュリティ法案が大掛か

ばりかた勉強会・セキュ鉄合同勉強会を、下記の通り開催いたします。 新規の参加者やセキュリティに自信の無い方々も大歓迎いたします。是非お気軽にご参加ください。皆様のご参加を心よりお待ちしております!! ※勉強会の内容は随時更新していきます ※2012/02/21更新: 話者紹介に愛甲 健二さんを追加しました ※2012/02/29更新: 2/25時点でお申込完了の方には、受領メール配信済みです。話者紹介に村上 隆俊さんを追加しました ※2012/03/08更新: 懇親会のお申し込み受付を3/9 21:00で一旦締め切ります。以降にお申し込みの方は、可能な限り対応いたしますがご要望にお応えできない可能性もございます ※2012/03/09更新: 懇親会の追加申込受付は、会場より受付可能とのことでした。 [Information] 日　時：2012/03/10（土）13:00〜17:30（12:

シマンテックは2012年2月10日、Microsoft Officeの脆弱性を突く新たな標的型攻撃を確認したとして注意を呼びかけた。攻撃者は、細工を施したWord文書ファイルとDLLファイルを送付。ユーザーがWord文書を開くと、ウイルスの実体であるDLLファイルが勝手に実行される。 同社によれば、ある標的型攻撃において取得したファイルを調べていると、妙なWord文書ファイルとDLLファイルの組み合わせを見つけたという。分析したところ、Officeの脆弱性を悪用するファイルセットであることが判明した。 悪用するのは、2011年9月に日本マイクロソフトが公表した脆弱性。細工が施されたWord文書などのOfficeファイルを開くだけで、同じフォルダーのDLLファイルが勝手に実行されるというもの。 同社では、この脆弱性のセキュリティ情報「MS11-073」を公表するとともに、セキュリティ更新プロ

スマートフォンなどのモバイル端末の紛失と盗難は、企業を脅かす最大のモバイルセキュリティ問題だとセキュリティ動向に詳しい専門家は言う。しかしマルウェアをめぐる誇大な騒ぎのせいで、ユーザーはそうは思っていないようだ。 米Symantecの首席セキュリティ対策マネジャーであるビクラム・タクール氏は、飲食店やバーに置き忘れた従業員のスマートフォンが悪い相手に渡るリスクは、従業員が端末にマルウェアをダウンロードするリスクよりもはるかに大きいと指摘した。 関連記事 5000人の企業で年750台紛失!?　タブレット紛失時のリアルな損害額 企業の4割、スマートフォンの紛失・盗難を経験 44.6％の企業はスマートデバイス導入も、「端末の紛失・盗難」に不安 スマートフォンやタブレットの紛失・盗難対策が分かる3つのホワイトペーパー 同氏によると、モバイル端末に対する攻撃は増えてはいるものの、スマートフォンを狙っ

覚えにくいパスワードが、解読されにくいパスワードとは限らない2012.02.07 13:00 satomi 手のひらにタトゥーでもしとかないと覚えられないランダムな文字列が最強パスワードと思ったら大間違い！ コンピュータにとっては何の因果関係もない単語を4つ並べてこられる方が解読しづらかったりするんです。それを図解したのが、上のイラスト。 上のパスワードは英単語一つにありがちなランダムな置き換え*ですが、エントロピーが28ビットですから、1秒に1000通りの組み合わせを順繰りに当てはめていくと2の28乗で解読に3日かかります。解読の難易度=易しい／覚えにくい。 下のパスワードは脈絡ない単語の羅列ですが、エントロピーが44ビットですから、1秒に1000通りの組み合わせを順繰りに当てはめていくと2の44乗で解読に550年かかります。解読の難易度=難しい／覚えやすい。 パスワードは覚えやすくて破

「標的型攻撃の原因となる不正プログラムの実行ファイルは、通常の業務連絡を装ったメールに、拡張子やアイコンを偽装した状態で添付されてくる。個人レベルで気をつけていても到底防げるものではいので、適切なセキュリティ製品を導入することが必要だ」…。トレンドマイクロは2012年1月26日、特定の組織に対して執拗に繰り返されるサイバー攻撃「持続的標的型攻撃」に関する説明会を開催。国内における持続的標的型攻撃の傾向と対策について解説した。 持続的標的型攻撃とは、知的財産の盗難、金銭的利益、破壊行為を目的として、国家や企業など特定の組織の社内ネットワークへ不正に侵入し、執拗に攻撃を繰り返すサイバー犯罪を指す。同社の調査によると、持続的標的型攻撃に多く利用される手法は、不正プログラムを添付したメールだという。攻撃者は、不正プログラムを添付したメールを標的となる組織の内部ユーザーへ送り、ユーザーPCを感染させ

1月15日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。 マイクロソフト2012年1月の月例セキュリティアップデート（2012/01/11） 1月の月例セキュリティアップデートでは、6件のセキュリティ更新プログラムを公開し、7件のセキュリティ問題を解決しています。脆弱性による影響は、リモートからの任意のコード実行3件、アクセス権限の昇格1件、情報漏洩3件、セキュリティ機構の迂回1件です。 セキュリティ更新プログラム（MS12-006）は、平文とそれに対応した暗号文を手がかりに暗号解読（選択平文攻撃）が可能であるというSSL 3.0/TLS 1.0のCBCモードの脆弱性（CVE-2011-3389）を解決します。この問題は、2002年2月から知られていた問題ですが、2011年9月の講演により再度注目を集めた脆弱性

このマルウェアはユーザーがアクセスしようとするFacebookのページを不正なページにすり替えて、電子決済コードの入力を求めてくる。 Facebookのアカウントにアクセスできなくなったと見せかけて、ユーザーから現金をだまし取ろうとする新手のマルウェアが出現したという。セキュリティ企業のTrusteerが1月18日のブログで伝えた。 同社によると、このマルウェアはトロイの木馬「Carberp」の新たな亜種で、ユーザーがアクセスしようとするFacebookのページを不正なページにすり替えてしまう。このページでは「あなたのFacebookアカウントは一時的にロックされています」と告知。ロックを解除するためと称して氏名、電子メールアドレス、生年月日、パスワード、および電子決済サービス「Ukash」で20ユーロを支払うためのコード入力を求めてくる。 この20ユーロは「ユーザーのFacebookアカ