コーヒーメーカーが音を立ててコーヒーを入れ始める。スピーカーがいきなりAmazon Echoに話しかけ、「Hey Alexa, Add Tesla Model X to my shopping list(Alexa、TeslaのモデルXをショッピングリストに追加して)」と言い始める……。 普段は我々が制御しているはずのデバイスが言うことを聞かなくなると、まるで別の意図を持った恐ろしい存在に見えてくる。ホームネットワークが感染するとどのようなことが可能になるのか、セキュリティ大手のAvastが解説した。 家庭内ネットワークにつないであるIoTデバイスへの攻撃を想定したデモ。Wi-Fiルータをのっとると、コーヒーマシン、その奥にある電子ケトルを自由に操り、SonosのスピーカーからAmazon Echoに話しかけてTeslaをショッピングリストに加えた Wi-Fiルータからの侵入は容易 ルータ

「今までのパスワード規則は実は失敗作だった」。2017年8月、米ウォール・ストリート・ジャーナルのオンライン版に衝撃的な記事が掲載された。告白の主は米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」の作成者の1人。 SP800-63は米国連邦政府の認証に関するセキュリティ要求事項をまとめたガイドライン文書だ。OpenIDファウンデーション・ジャパンでSP800-63の翻訳を手掛けるメンバーの1人である、NRIセキュアテクノロジーズの勝原達也サイバーセキュリティ技術開発部セキュリティコンサルタントは「認証を包括的に扱ったおそらく唯一のガイドラインで、ECサイトや銀行、会員管理、業務システムの開発などで民間企業もよく参考にする」と話す。 かつてのSP800-63は「英大文字、小文字、数字、記号をすべて使う」「定期的に変更する」といった規則をWebサイトが利用者に課して、パ

Amazon InspectorのエージェントをRun Commandでインストールできるようになりました。 中山（順）です。 EC2 Systems ManagerのRun Commandを利用して、EC2インスタンスに対してAmazon Inspectorのエージェントをインストールできるようになりました。 Amazon Inspector agents can now be installed via Run Command, and Amazon Inspector now supports Amazon Linux 2017.09 （同時に、先日提供が開始されたAmazon Linux 2017.09がAmazon Inspectorでサポートされました。 ） このアップデートで、「AmazonInspector-ManageAWSAgent」というドキュメントが新たに追加されて

Spotify と Google が共同開発 : オープンソースの GCP セキュリティ ツール Forseti Security クラウド リソースのセキュリティを大規模に保護することは Google Cloud Platform（GCP）のユーザーにとって極めて重要ですが、GCP リソースのセキュリティを確保するためには適切なツールとプロセスが必要となります。 Spotify と Google Cloud は、GCP プロジェクトの保護を目的とした画期的なセキュリティ ツールを共同で開発し、Forseti Security としてオープンソース コミュニティに送り出しました。Forseti Security はすべての GCP のお客様が利用できます。 この投稿は、GCP セキュリティ コミュニティ向けのツールを共同開発した経緯について Spotify のチームに話を聞き、それをまとめ

数字で言えば全人類の約半分…。米Yahoo!のアカウント情報流出、30億件分だった2017.10.05 08:15 西谷茂リチャード Yahoo! JAPANとは別ですよ。 2016年に発覚した米Yahoo!に対するサイバー攻撃、覚えていますか？ 当時は｢5億件の個人情報が流出｣と報道され、そこかしこで話題となりました。なんとも不名誉な大記録が打ち立てられてしまったわけですが、どうやらその数字は訂正されなければならないようです、6倍に……。 ハッキングが行なわれたのは2013年8月、ロシアがスポンサーをしていたハッカーらが、Yahoo!内部のプログラムにアクセスしました。そしてクッキーと呼ばれる、ユーザーのブラウザーに保存されている情報を改ざん。そうすることで、特定のユーザーのメールアカウントにアクセスしたり、米Yahoo!で検索した時にニセのリンクを表示できたとのこと。 米Yahoo!が

衆議院選挙が近づくなか、各政党の情報を知ろうと、公式サイトへの関心も高まっている。そうしたなか「希望の党」がこのほど立ち上げたサイトに脆弱性（ぜいじゃくせい）があるとの指摘が話題を呼んでいる。 希望の党の公式サイトは、SSLなどの暗号化通信に対応し、セキュリティに配慮した仕様となっているが、採用している「SSL 3.0」という方式は通信の一部が第三者に解読可能な脆弱性が存在する。情報処理推進機構（IPA）によると、SSL 3.0の脆弱性を利用した攻撃には複数の条件が必要。例えば中間者攻撃や、攻撃対象に大量の通信を発生させることなどが前提となっており、そのためただちに悪用可能ではない。 ただし、英国のセキュリティ企業netcraftによるWebサイト評価ツールでは、希望の党の公式サイトはリスクレーティングが0～10段階中「9」ときわめて高くなっている。そのため、すでに脆弱性に気づいた人が、T

2021-09-092017-10-03 家のナカの家電は安全なのか？　IoT時代のサイバーセキュリティを紐解く　－横浜国立大学 准教授 吉岡氏×BBソフトサービス 山本氏 インタビュー TOP > スマートホーム > 家のナカの家電は安全なのか？　IoT時代のサイバーセキュリティを紐解く　－横浜国立大学 准教授 吉岡氏×BBソフトサービス 山本氏 インタビュー インターネットにつながるデバイス代表であるPCやスマホは、すでにさまざまなセキュリティソフトなどの対策があるが、これまでインターネットにつながっていなかったデバイスがつながりだすと、守らなければいけないモノが爆発的に増える。 2016年、米国でAmazonやTwitterなどが突如利用できなくなる事件があった。ネットワーク対応の監視カメラやビデオレコーダーなどのIoTデバイス50万台が乗っ取られ、大量のデータを送りつけるDDoS攻

総務省は、サイバーセキュリティタスクフォースにおいて取りまとめられた「IoTセキュリティ総合対策」を公表します。 あらゆるものがインターネット等のネットワークに接続されるIoT/AI時代が到来し、それらに対するサイバーセキュリティの確保は、安心安全な国民生活や、社会経済活動確保の観点から極めて重要な課題です。そこで、総務省では、サイバーセキュリティタスクフォースを開催し、必要な対策について検討を進めてきました。 今般、サイバーセキュリティタスクフォースにおいて、IoTに関するセキュリティ対策の総合的な推進に向けて取り組むべき課題を整理した「IoTセキュリティ総合対策」が取りまとめられましたので、公表します。 IoTセキュリティ総合対策（別紙）

Spring BootによるAPIバックエンド構築実践ガイド 第2版 何千人もの開発者が、InfoQのミニブック「Practical Guide to Building an API Back End with Spring Boot」から、Spring Bootを使ったREST API構築の基礎を学んだ。この本では、出版時に新しくリリースされたバージョンである Spring Boot 2 を使用している。しかし、Spring Boot3が最近リリースされ、重要な変...

日本におけるテクノロジのハイプ・サイクル：2017年（出典：ガートナー、2017年9月） ガートナーのハイプ・サイクルは、市場に新しく登場したテクノロジがまず過熱気味にもてはやされ、熱狂が冷める時期を経てから、市場が確立し、市場分野における意義や役割が理解されるようになるまでの典型的な経過を、横軸に「時間の経過」、縦軸に「市場からの期待度」を表す波形曲線で示したもの。 新規テクノロジは市場に受け入れられるまで、総じて同じ経過をたどるという考えの下、5つの段階（黎明期、「過度な期待」のピーク期、幻滅期、啓蒙活動期、生産性の安定期）で市場の成熟の過程を示し、各キーワードはそれぞれの成熟度に従い、ハイプ・サイクル上にマッピングされる。 ハイプ・サイクルは、企業があるテクノロジを採択するか否かを判断する際の参考指標として開発された。たとえば、企業はハイプ（過剰な期待感）が起こっているというだけの理

ガートナーが「日本におけるテクノロジのハイプ・サイクル：2017年」を発表 日本のITリーダーが押さえておくべき40のキーワード ガートナー ジャパンは、「日本におけるテクノロジのハイプ・サイクル：2017年」を発表した。ハイプ・サイクルでは、2017年現在の日本の情報通信技術（ICT）市場においてデジタル・ビジネスを実現する不可欠な要素として、ITリーダーが今押さえておくべき代表的な40のキーワード（テクノロジ、方法論、プラクティス、コンセプト）を選定し、日本国内におけるトレンドを示している。TOP画像：日本におけるテクノロジのハイプ・サイクル：2017年（出典：ガートナー、2017年9月） ガートナーのハイプ・サイクルは、市場に新しく登場したテクノロジがまず過熱気味にもてはやされ、熱狂が冷める時期を経てから、市場が確立し、市場分野における意義や役割が理解されるようになるまでの典型的な経

困ったこと Railsで Slack OAuth 認証を実装していたら、Slack の client_id が 4167427656.251487306806 のような 数字 + .(ドット) + 数字 の形式が使われてた。 client_id は環境変数として使いたかったため

内閣府番号制度担当室は2017年10月2日までに、マイナポータルなどの行政サービスでマイナンバーカードを使えるようにするブラウザー用アドオン「マイナポータルAP」を一部公開した。マイナポータルのサービス検索・電子申請機能「ぴったりサービス」の動作環境ページから入手できる。

Java Webアプリで Login with Google機能 を検討したときのメモです。 OpenId connectをつかったユーザーID取得方法(id_token)や、OAuth2のアクセストークン(access_token)をつかってOAuthによって保護されたリソースにアクセスする方法について記述します。 本記事は「OpenId connect/OAuth2とは何か」ではなく「servletでどう作るか」という実装面に着目します。 素のservlet以外、たとえばspringやplayでも概ね似たような流れとなるとおもいます ソースコード 全ソースコードはこちらです。組み込みjettyで動くのでローカル(localhost)環境でそのまま試すことができます。 (1)シンプル版Webアプリのソースコード https://github.com/riversun/google-log

IoTにおけるソフトと特徴 Arduino イベント駆動 MQTT 軽量プロトコル publish/subscribe型のMQ Arduinoとは 無償で使えるマイコン用プログラム作成アプリ マイコン毎にアドオンがある(ex, ESP8266) スケッチ(=プログラム)はsetup/loopで構成 setup: 電源入り後一度だけ呼ばれる loop: (電源切るまで)繰り返し呼ばれる 提供されているスケッチ例を改造して動かす MQTTとは Message Queuing Telemetry Transport 非常に軽量なプロトコル 2000年代初めに登場し標準化 TCP/IP上で動く publish/subscribe型のメッセージ転送 IoT/モバイルに適する センサーデバイス Facebook Messengerで使われている HTTPよりも 軽量（ヘッダが最小2バイト）1・優れた処

これはhttpsにまだ対応していないこのサイトにアクセスしてみるとこのように表示されます。 「このサイトへの接続は保護されていません」 httpsに対応したTwitterなどにアクセスしてみるとこのように表示されます。 「保護された接続」これが現時点で閲覧するユーザーがわかる大きな違いです。この「s」の有り無しで保護されるかされないかが決まります。 何故この保護する必要が出てきたのかもともとこのhttpsはクレジットカード決済の画面など個人情報などを扱うページでよく利用されていました。しかし、最近はスマホの普及でこの個人情報を扱うデータ量が増えてきました。 さらには公共のWi-Fiスポットも増えたことで暗号化されていないWi-Fiでアクセスする機会も増えてしまいました。 そこでwebページにアクセスする場合は個人情報保護のため暗号化されたhttpsを常時接続の標準にしたほうが安全という流れ

9月24日、東京・北千住にある東京電機大学にて、「⁠HTML5 Conference 2017」が開催されました。本稿では、基調講演の模様をレポートします。 基調講演の進行役であるhtml5j代表の吉川徹氏は冒頭、「⁠HTML5の最初の草案が2008年に作成されてから、9年ほど経っています。これまでHTML5 Conferenceという名前でイベントを行ってましきたが、もしかしたら“⁠HTML5⁠”と冠するのは今年が最後になるかもしれない。そういう意味ではカンファレンスの節目です」と述べました。 そして、村井純氏と及川卓也氏の話がありました。 村井純氏「Internet for 2050」 慶應義塾大学環境情報学部長・教授の村井純氏は、先日IAB（Internet Architecture Board）にて「Internet for 2050」というタイトルで、2050年に向けてインターネ

はじめに みんなー、雑にプログラミング問題を解いて遊んでるー！？ (ゝω・)v 今日は私用チームに作ったSlackボットについて解説させてくれ。 その名もRubyEvalBot、名前の通りSlackへrubyのスニペットが投稿された際にそれを(ほぼ)安全に評価して標準出力を答えてくれる便利な奴だ。 ちょっとしたコードに言及したい時や仲間が投げつけて来たプログラミング問題へ解答を叩き付けたい時に、コードを投稿したらそれがどういう結果になるのかを出してくれれば便利だよね？　それをやってくれるんだ。 はい、GitHubはこっちだよー。 https://github.com/owlworks/slack-ruby-eval 全体の解説 難しいことはそれほどやっていない。必要なことは… チャットへの投稿を監視してrubyのスニペットが投稿されたら処理を実行する スニペットをローカルへダウンロードする