fossBytesに2017年12月22日(米国時間)に掲載された記事「8 Best WiFi Hacking Software And Analysis Tools You Should Use In 2018」が、デスクトップ向けオペレーティングシステムで利用できるWi-Fiネットワーク分析またはハッキングツール8選を紹介した。 Wi-Fiは企業の内部ネットワークでも利用が進んでいる。紹介されているツールは脆弱性を発見するために利用したり、パスワードを忘れてしまった場合にリカバリしたりする際に利用できる。 紹介されているWi-Fiツールは次のとおり。 AirCrack - 試験から攻撃までさまざまな操作を実施できるツール。Windows、macOS、Linux、*BSD対応 Cain and Abel - パスワード・リカバリツール。Windows対応 Fern WiFi Cracke

モバイルマルウェアは実際に出回っており、攻撃者はモバイルマルウェアを使ってスマートフォンに保存された企業の機密情報を盗み出している。ただし、ハッカーのシンクタンクがあって、モバイル端末の最新の脆弱性を突くコードの開発に当たっている、などという作り話を信じてはいけない。米調査会社Trail of Bitsの共同創業者であるダン・ギドCEOのような専門家が描くモバイルマルウェアの様相は、もっと分かりやすくて恐ろしいほど単純だ。モバイルマルウェアの大部分は、米GoogleのAndroidのセキュリティモデルのおかげで実現できている。 セキュリティ関連の年次カンファレンス「Information Security Decisions 2012」で講演したギド氏は、攻撃者が利用しているのは限られた数の既知の脆弱性であり、携帯電話の中でも特にAndroidプラットフォームが標的にされていると指摘した。

2. 本日お話しする内容 • キャッシュからの情報漏洩に注意 • クリックジャッキング入門 • Ajaxセキュリティ入門 • ドリランド カード増殖祭りはこうしておこった…かも? Copyright © 2012 HASH Consulting Corp. 2 3. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿など を開始 –

「最も安全なのは米GoogleのChromeだ」と結論付けた調査結果に対し、別のセキュリティ企業が異論を唱えている。 Webブラウザのセキュリティ対策を比較して最も安全なのは米GoogleのChromeだと結論付けた調査結果をめぐり、別のセキュリティ企業が異論を唱えている。論議は比較検証の方法や、資金を提供したベンダーの影響力にまで及んでいる。 セキュリティコンサルティング企業の米Accuvantは、12月9日にGoogle Chrome、MicrosoftのInternet Explorer（IE）、MozillaのFirefoxの3大Webブラウザのセキュリティ対策を比較した調査結果を発表し、最も安全なのはChromeだったと結論付けた。2位はIEで、Firefoxは最も評価が低かった。この調査にはGoogleが資金を提供しているが、結果はAccuvant独自のデータに基づいた客観的な

東京ラーメンショー2011 いきてーーー！みなさんこんにちは、nakamura です。 今日はプログラマだったりサーバ管理者だったり（もしくはその両方だったり）する方にお勧めしたいサイトとツールをいくつかご紹介します。細かい脆弱性のチェック等どうしても手間が掛かるものが多いですが、今回ご紹介するツールをうまく使うとその辺りだいぶ効率よくできると思いますよ！ WEB アプリケーション関連 XSS Me XSS Me :: Add-ons for Firefox XSS のテストをある程度自動化してくれる Firefox のアドオンです。残念ながら Firefox3.0.* 系の頃に開発が止まってしまっているようですが、僕の環境では install.rdf の書き換えで問題なく動作しています。（Windows7 64bit + Firefox7.0.1） SQL Inject Me SQL I

7. ウェブアプリの入力、処理、出力入出力ウェブサーバウェブアプリ(PHP など)外部 API サーバ(Facebook API 、決済会社など)入出力処理入出力データベースサーバ(MySQL など)ウェブブラウザ 10. ウェブサーバーを通したウェブブラウザからの入力の仕様を考えようPHP に入ってくる値は何かを知る可変長のバイト列 (文字列ではない！！)GET パラメータPOST パラメータアップロードファイルリクエストヘッダ (Cookie など)実際の処理に渡すべき値は何かを考える文字列か、バイト列か？文字コードは何か？(ウェブサーバーでバイト列を処理することってあまりないので、 PHP では基本的に文字コードのバリデーションは必要だと思って良い)長さはどうか？どういう文法や構造を持つデータ？入力された値を実際の処理に渡すべき値かどうかを確認することを「バリデーション」という 11

スタンフォード大学の研究者は、Microsoftが運営する「live.com」サイトでsupercookieの手法を使って削除したはずのcookieが再生されているのが見つかったと報告した。 米MicrosoftなどのWebサイトがユーザーには管理できない「supercookie」を使ってユーザーのネット上の行動を追跡していたことが分かったとして、米スタンフォード大学の研究者がブログで調査内容を報告した。 研究者のジョナサン・メイヤー氏によれば、supercookieとは通常のcookieを使わずにユーザーの行動を追跡する技術のことで、中にはsupercookieを使ってcookieを「再生」し、「ゾンビcookie」を作り出しているWebサイトもあるという。 このやり方は、ユーザーが自分のプライバシーを守るためにcookieを削除した後も行動追跡を続けることになるため、「コンピュータセキ

総当たりでパスワードを全種類試していくという手法を「ブルートフォースアタック」と言いますが、無線LANのWPA/WPA2-PSKをGPUで超高速解析してパスワードを見つけるフリーのオープンソースソフト「Pyrit」が採用している方法もまさにそのブルートフォース攻撃そのもの。そのため、無線LANの暗号化の仕組みのバグやセキュリティホールを突いているわけではなく、時間さえかければそのうち突破できるだろうというある意味「力業な攻撃」であるわけです。 では実際にどれぐらいの速度がかかるのか？という気になる点について、「Pyrit」の公式ブログにて言及したエントリーが2008年にありました。 The twilight of Wi-Fi Protected Access（無線LANセキュリティの黄昏のはじまり、とでもいうような意味） http://pyrit.wordpress.com/the-twi

CPUではなく、グラフィックボードに搭載されているGPUの力を使って、MD5やSHA-1などのハッシュ値を解読するというのを試してみました。 きっかけはPCの刷新。ゲームなどはしないので、DUAL DVI-Iが付いていれば何でもいいやと思って「VAPOR-X HD 5770 1G GDDR5 PCI-E DUAL DVI-I/HDMI/DP OC Version」というカードを13,980円で購入。 このATI HD5770が、GPUを使ってハッシュ値をブルートフォースで解読する「IGHASHGPU」に対応していたので、以前から試してみたかったので使ってみました。 IGHASHGPUのダウンロードはこの辺りから Ivan Golubev's blog - Cryptography, code optimizations, GPUs & CPUs and other http://www.g

ルート取得済みAndroidデバイスのみ：『LBE Privacy Guard』はアプリからのアクセス許可を監視・制御してくれるフリーアプリ。アプリからのアクセス申請はリアルタイムで、または申請を出す前に制御されます。また、それぞれのアクセス許可に対する情報を提供してくれるので、どのアプリのどのアクセスをどうしてブロックするべきなのかが、明確にわかります。 先日、Marketから悪意のあるアプリ一式が一掃されましたが、どのアプリにどこまでのアクセス権限を与えるのかというのは、注意しておきたいところです。例えば、ノートパッドアプリなのに連絡先、電話番号へのアクセスの許可をリクエストしてくるアプリなども存在します。これらの不当なアクセスは絶対に拒否するべきです。 LBE Privacy Guardは、多くのユーザがデスクトップパソコン上で使っているインタラクティブなファイアウォールのように機能

iPhoneのパスコードに最も多く使われているのは「1234」、という興味深い調査結果が公開されていました。[source: Daniel Amitay ] iPhoneのパスコードは、所有者がプライバシー保護の目的で設定できる暗証番号・パスワードで、画面のロックを解除するために必要となるものです。 本来パスコードは他人には教えないため、調査を行うのが難しいはずですが、iPhoneアプリ開発者Daniel Amitay氏が、ユニークな方法で20万件超えるデータを集めることに成功しています。 iPhoneを勝手に操作しようとするとカメラでその人物を撮影するという『 Big Brother Camera Security 』というアプリを開発している彼は、そのアプリを保護するためのパスコードのデータを(デバイスを特定することなく)集計。 このアプリのパスコード入力画面は、iPhoneのものとソ

Googleは米国時間5月27日、モバイル決済サービス「Google Wallet」に関する計画を発表した。まずサンフランシスコとニューヨークで非公開の実地試験を行った後、夏に「Nexus S」で一般向けにローンチする予定だ。Google Walletでは、近距離無線通信（NFC）チップを搭載したスマートフォンを使用して、小売店舗の特別なNFCリーダーに、無線技術によって至近距離から決済データを送信することができる。 つまり、いずれクレジットカードやデビットカードを機械に通したり現金で支払ったりする代わりに、「Android」搭載携帯電話をリーダーの上にかざすだけで済むようになるということだ。こうした「電子財布」があればお金やクレジットカードを持ち歩く必要がなくなるため、消費者の利便性は向上するだろう。しかし、この決済システムのセキュリティはどの程度確保されているのだろうか。 このFAQは

実は厄介、ケータイWebのセッション管理：再考・ケータイWebのセキュリティ（3）（1/3 ページ） “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます（編集部） 「Cookieを使えない端末」でセッションを管理する方法は？ 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション（ケータイWeb）のセッション管理は、かんたんログインよりも対策が難しく、厄介な問