小学生でも多要素認証の今、企業の認証／ID管理は使いにくい、不自由にもほどがある　未来は変容するのか：ITmedia Security Week 2024 冬 2024年2月27日、アイティメディアが主催するセミナー「ITmedia Security Week 2024 冬」の「多要素認証から始めるID管理・統制」ゾーンで、パロンゴ 取締役 兼 最高技術責任者 林達也氏が「デジタルアイデンティティー時代のID管理・認証/認可の変容と社会受容」と題して講演した。産官学でデジタルアイデンティティーをウオッチし、策定にまで関わる同氏が、ゼロトラスト時代に重要な認証、認可の現在を、「社会受容」というキーワードを絡めて解説するセッションだ。

背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製

","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"

2021年4月20日、国内約200の組織をターゲットにしたサイバー攻撃が2016年に行われていたとして、攻撃に関連するサーバーの契約に係った男を警視庁公安部が書類送検したと報じられました。捜査は現在も行われており他関係者の情報も報じられています。ここでは関連する情報をまとめます。 攻撃発信元サーバーに係った男を書類送検 書類送検されたのは中国共産党員 中国籍の男で、既に中国へ帰国。中国の大手情報通信企業勤務で日本滞在中もシステムエンジニアの職に就いていた。*1 容疑は私電磁記録不正作出・同供用。2016年9月から17年4月、5回にわたり虚偽の氏名、住所を使い国内レンタルサーバー業者と契約。サーバー利用に必要なアカウント情報を取得した疑い。 男は中国国内から契約を行い、転売サイトでアカウントを販売。Tickと呼称されるグループがそのアカウントを入手し一連の攻撃に悪用されたとされる。 捜査にあ

宇宙航空研究開発機構（JAXA）などへのサイバー攻撃に使われたレンタルサーバーを虚偽の情報で契約したとして、警視庁公安部は20日、中国共産党員で同国営の大手情報通信企業に勤務するシステムエンジニアの30代男性を私電磁的記録不正作出・同供用の疑いで東京地検に書類送検した。男性は既に帰国している。公安部は、サイバー攻撃に中国人民解放軍が関与したとみて解明を進める。 送検容疑は2016年9月～17年4月ごろ、虚偽の名前や住所で国内の業者と契約を結び、サーバーの利用に必要なアカウントを取得したとしている。男性は来日時の任意聴取で容疑を認めたという。

昨今のエンタープライズネットワークではテレワーク（リモートワーク）への対応が急務となっていますが、この対応は、ともすればセキュリティレベルを引き下げてしまう恐れがあります。従って、「Web分離」（インターネット分離）をはじめとする情報漏えい対策も同時に推進する必要があります。これらをひとまとめに解決できるソリューションが、「仮想デスクトップ」（VDI：Virtual Desktop Infrastructure）です。VDIは事業継続性やセキュリティ対策に優れている一方で、コストが高いことも事実です。 このような状況の中、実は今、コストパフォーマンスに優れるVDI代替ソリューションが数多く登場してきています。この「VDI代替ソリューション」ですが、たくさんの製品があるため、正直、どれがいいのか、よく分からない状況になっています。とはいえ、それぞれの特長を把握した上で導入しないと、利便性の低

ふくい産業支援センター（福井県坂井市）は１１月１８日、サーバー上の全データが消失して使用できなくなったポータルサイト「ふくいナビ」について、１２月末までに復旧するめどが立ったことを公表した。 同センターは、１１月５日の公表時点で復旧は不可能としていた。その後、センター内にバックアップが保存されていることが判明。バックアップを元に復旧を急ぐ。同センターは「利用者や関係者に心配と迷惑をかけたことを改めておわびする」としている。 データ消失は、同センターにサーバーを賃貸していたＮＥＣキャピタルソリューション（東京）が契約更新に伴う手続きを怠ったため発生。ふくいナビのシステムプログラムと、登録されていた県内公的機関の産業・企業支援情報約２００件、メーリングリスト２８７件が消えた。

普通は役所のシステムって構築してから5年とか7年は塩漬けにして使うもので、一度やらかしてしまうと名誉挽回の機会なんて向こう数年は与えられないんだけど、こと本件に関しては高市総務大臣から「今すぐ私がマニュアルなしでも使えるように直しなさい」と叱責いただいて、しっかりと予算的なサポートも得られたことで、たったの数ヶ月で立て直すことができた。 この数ヶ月は外部のセキュリティやPKIの専門家の方から様々なサポートをいただいて何とか実現したんだけれども、役所のシステム開発としては非常識というか、極めて難易度が高い案件だった。「え？単にChromeやSafariをサポートするだけでしょ、難しい訳ないじゃん」と思う諸兄は、もうしばらくこの話に付き合って欲しい。 もともとマイナポータルは日本を代表するITベンダーと通信キャリアの3社が開発したんだけど、大臣からの叱責を受け「ちゃんとお金を払うから直してよ」

この記事はRaspberry_Pi - ラズパイでやらなければいけない４つのセキュリティ対策！の再投稿です。 はじめに ラズパイは低価格で高スペックで出来ることも多いのですが、セキュリティ面を何も気にせずデフォルトで利用するのはかなり危ないです！ というのも、ラズパイを使う以上はおそらくインターネットに接続することになると思うのですが、ラズパイはrootユーザーの名前とパスワードが公開されているので、インターネットに接続した段階で、猛烈なアタックを受けます。 なので 新規ユーザーの作成 SSHで公開鍵認証 ポート番号等の設定変更 piユーザーの削除 を行っていきます 参考：5ステップで完了！ラズベリーパイ(B+)のセキュリティ設定まとめ！ 前提条件！ 参考：Raspberry PiにSSHで公開鍵認証を使いたい！ まずはルートユーザーでログインします。 ラズパイの設定が終わっていない方はこ

(See the English version here) Qubes4.0 on Lenovo X250 Qubes OSを、Lenovo Thinkpad X250にインストールしてみたので、ご報告。 2019年7月、ちょうどエドワード・スノーデンの自伝を訳し終えた。 prtimes.jp もちろんこういうのを読むとパラノイアになる。なんでもNSAの陰謀に思え、パソコンのカメラにはテープを貼る。一方で、パスワードマネージャを使ったり、メールをPGPで暗号化はしないまでも(だって受ける側が使ってないから)署名くらいはするようにした。 そして、スノーデンがこの本でも推奨しているQubes も見てみることにした。 Qubes のインストールガイドは、本家のドキュメンテーションも含め、ないわけじゃない。でもかなり専門的で特殊といえば特殊なOSで、いまのところインストールしようという人は、それ

This domain may be for sale!

SSHとは SSHとは、セキュアな通信を行うためのプロトコルです。 たとえば、HTTP。HTTPを通してブラウザからWebサイトにアクセスし、 コンテンツを閲覧したりWebアプリを利用したりします。 この「HTTP」というのもプロトコルの一種です。 HTTPもSSHもOSI参照モデルと呼ばれる層の最上位、アプリケーションレイヤーに位置しています。 なお、よく聞く「OpenSSH」とは、このSSHのプロトコルを実現するための 有名なソフトウェア（プログラム）のひとつです。 FTPのプロトコルで言うFileZillaとか、そういったイメージです。 このSSHを使うと、リモートサーバに安全にログインできたり、 ファイルをセキュアに送受信することができたりします。 SSHは「Secure Shell」の訳で、リモートシェルに特化しています。 公開鍵認証という仕組みを用いて、セキュアな通信を実現して

こんにちは、Findy CTO の @ma3tk です。 今会社でフリーランス・副業エンジニア向けの事業を作りながら CTO も兼ねて会社に在籍したりしています。もちろん、スタートアップという段階なので当然ながら自社のネットワーク環境やオフィス内でのシステム周りについて取りまとめる役割も兼ねています。 元々知見がない中でいろんな方にサポートしてもらいつつ、前職でこんな感じでやってたななど思い出しながら Findy で環境を整えて行ったりしています。 そこで本日は今20人規模の組織においてそれぞれの項目でどう苦労しているかについてご紹介していきたいなと思います。 施錠管理 今 Findy ではフルタイム6人という状態に加えて、副業やパートタイム業務委託として関わってもらいオフィスに来てもらってる方が15人ほどいらっしゃったりします。その中で15人がオフィスに来てもらって都度ドアを開ける、もし

A History of system-level offensive security researches: How is your system compromised by nation state hacking, APT attack はじめに 企業や個人に対するサイバー攻撃の頻度は年々増加の一途を辿っているが、これらはskiddyによる悪戯程度の物から、企業を標的とした高度な標的型攻撃、あるいは政府による諜報活動に至るまで多岐にわたっている。 特に大規模な組織や政府による綿密に練られたサイバー攻撃は、確実に目的を果たすために高度な手段が講じられる事が多い。 本記事では高度標的型攻撃や政府による諜報活動で用いられる手法の一つとして、"システムソフトウェアに対する攻撃"について紹介する。 これはオペレーティングシステム (OS) や仮想マシン、ファームウェアといった基盤システムを

表題の通り、お恥ずかしい限りではありますが、人生ではじめて警察（神奈川県警！）のお世話になる運びとなりました。 罪状としては「不正指令電磁的記録 取得・保管罪」、通称ウイルス罪とのことで、まさに青天の霹靂の思いです。 以下ではこの度起こったことを可能な範囲でありのまま共有できればと思います。 この記事の目的まず、この記事を公開した目的は「他のクリエイターの人に同じ経験をして欲しくない」という一点に尽きます。 手前味噌ではありますが、私はこれまで多くの尊敬するクリエイターの方々と同じように「良いクリエイターであろう」と腐心し、できうるかぎりの努力をしてきたつもりです。 今回の件に関しても決して私利私欲のためではなく、あくまでユーザーのためにできることを、と模索した結果でした。 それがこのような形で取り沙汰されることとなり、残念という他ありません。 忸怩たる思いではありますが、この件から何かし