同社によれば、Windows Server 2003から最新版のWindows Server 2019までが影響を受けるとしている。つまり全てのWindows Serverが対象になる。 マイクロソフトはこの脆弱性を修正するセキュリティー更新プログラムを2020年7月14日（米国時間、以下同）に公開した。現在サポート期間中のWindows Serverに加え、2020年1月に延長サポートが終了しているWindows Server 2008および2008 R2に対しても更新プログラムを提供している。一方、それ以前の古いWindows Serverはサポート期間が終了しているため提供していない。 今回の脆弱性はDNSのSIGレコードが関係する。このためチェック・ポイントは脆弱性を「SIGRed」と名付けた。細工が施されたデータを送信されるとバッファーオーバーフローが発生し、任意のプログラムを実

パソコンやサーバーのファイルを暗号化し、解除のための身代金を要求するランサムウエアが、特定の企業を狙う標的型に進化している。ホンダを襲ったとされるランサムウエアを解析した日本のセキュリティー技術者は工場を持つ製造業や医療機関などが狙われると警鐘を鳴らす。 サイバー攻撃でホンダの工場が停止 ホンダは2020年6月8日にサイバー攻撃を受け、世界的な大規模システム障害を起こした。国内外の工場で生産や出荷が一時止まったほか、本社などで働く従業員のパソコンが使えなくなるなどオフィス系のネットワークシステムにも影響が出た。この影響で生産を停止した米オハイオ州の乗用車工場やブラジルの二輪工場は現地時間の6月11日までに復旧した。 同社はサイバー攻撃を受けた事実は認めるものの、詳細については「セキュリティー上の観点から公表しない」（広報）とする。これに対し、セキュリティー専門家の間ではホンダはランサムウエ

Meetings on Zoom, the increasingly popular video conferencing service, are encrypted using an algorithm with serious, well-known weaknesses, and sometimes using keys issued by servers in China, even when meeting participants are all in North America, according to researchers at the University of Toronto. The researchers also found that Zoom protects video and audio content using a home-grown encry

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 2019年の今年は「令和元年」であるわけだが、年初はまだ「平成31年」だったので、ギリギリまだ平成ともいえる。ところで、ITの世界にもいろいろな都市伝説や根拠は薄いけれどもかっちり守られているしきたり/習慣があり、少なくとも今の世界では通用しないため本当は改善したほうがいいのだが業界的にずるずるといってしまっていることが色々と存在する。年末の今、平成を思い返したときに元IT企業に勤めていた人間として「この習慣は平成のうちに終わらせておかねばならなかっただろうに！」と悔やまれることを7つ挙げてみた。 ※ちなみに、諸君のまわりでこれらをすべ

CTF Advent Calendar 2019 - Adventarの25日目の記事です。 1つ前は@ptr-yudai氏の2019年のpwn問を全部解くチャレンジ【後半戦】 - CTFするぞでした。 はじめに 対象イベント 問題数 読み方、使い方 Cross-Site Scripting(XSS) SVGファイルを利用したCSPバイパス GoogleドメインのJSONPを利用したCSPバイパス サブリソース完全性(SRI)機能を利用した入力チェックバイパス Chrome拡張機能のパスワードマネージャーKeePassの悪用 HTML likeコメントを使用したコメントアウト jQuery.getJSONのJSONP機能を使用したスクリプト実行 DOM Clobberingによるコードハイジャック Service Workerを利用したスクリプト実行 XSS Auditor機能のバイパス

2018年2月15日に大阪で開催された「＠ITセキュリティセミナー」で、「悪意と善意が交差する内部不正という名のサスペンス」という特別講演が行われた。この講演では、一般論としての「デジタルフォレンジック」をテーマにしており、社内で発生し得る“不正”に対する調査手法、そして「現場で発生する課題をどう解決するか」について実践的な内容が披露された。 登壇したリクルートテクノロジーズ ITソリューション統括部サイバーセキュリティエンジニアリング部 セキュリティーオペレーションセンター兼インシデントレスポンスグループの川崎隆哉氏は、法学部出身で“デジタルフォレンジック”の専門家だ。 「デジタルフォレンジック」の現場 「デジタルフォレンジック」とは、インシデントが発生した際にHDDやUSBメモリ、スマートフォンなどに残る「証拠」を収集し、検査、分析、報告を行うことを指す。デジタルフォレンジックが正しく

オージス総研は1月28日、同社が運営するファイル転送サービス「宅ふぁいる便」の一部サーバーに対する外部からの不正アクセスについて第3報を発表した。 これは、1月13日から1月23日の期間で、不正アクセスを受けた可能性があると発表したもので、23日午前10時50分ごろから現在（29日15時）に至るまでサービスを停止している。 1月25日に発表した第1報では、約480万件の利用者情報がデータ（メールアドレス、ログインパスワード、生年月日、氏名、性別、業種・職種、居住地となる都道府県）が外部に漏洩したことを確認。第2報では、質問一覧ページを設け、流出したログインパスワードが暗号化されていなかったこと、退会済でも過去に会員登録があれば漏えい対象になっている可能性があることなどが公表された。 第3報では、調査の過程で、特定期間で取得していた利用者情報などについても漏洩していることが判明。第1報に加え

Artificial Intelligence, Data and Competition – SCHREPEL – June 2024 OECD dis...

前例のないサイバー攻撃の手口が明らかになりました。ことし１月、大手交換会社から巨額の仮想通貨が流出した事件で、犯人は半年余り前からこの会社の複数の社員と偽名で交流を重ね、信用させたうえでウイルスを仕込んだメールを送りつけていたことが関係者への取材でわかりました。 コインチェックの通信記録や社員のメールなどを分析した結果、犯人は事件の半年余り前からＳＮＳなどを通じてシステムの管理権限を持つコインチェックの技術者を複数割り出し、それぞれに対してネットを通じて偽名で交流を重ねていたことが関係者への取材でわかりました。 この間、不審な行動は一切行わず時間をかけて信用させたうえでウイルスを仕込んだメールを送った結果、これらの技術者も疑うことなくメールを開いてしまったということです。 ウイルス感染後、海外との不審な通信が急速に増えていることから、犯人は管理権限を奪って外部からシステムの内容を調べ、イン

仮想通貨取引所大手のコインチェック（東京・渋谷）が顧客から預かる約580億円分の仮想通貨「NEM（ネム）」が流出した問題で、NEMを保有していない顧客を含めて資産が失われる可能性があることが27日、分かった。被害が拡大する恐れがある。一方、警視庁はコインチェックから不正アクセスによる流出の報告を受け、情報収集に着手した。コインチェックは26日未明に不正アクセスにより、顧客から預かるほぼ全てのN

北河拓士🔰 @kitagawa_takuji NISTで2003年にパスワードの複数文字種混在や定期変更を推奨するガイドラインを書いた人が間違いを認め後悔していると発言。 wsj.com/amp/articles/t… 2017-08-08 13:18:31 リンク WSJ The Man Who Wrote Those Password Rules Has a New Tip: N3v$r M1^d! Bill Burr’s 2003 report recommended using numbers, obscure characters and capital letters and updating regularly. As his advice is overturned, he feels regretful. 7 users 33739

Microsoftは米国時間5月9日に公開した月例パッチで、「SHA-1」アルゴリズムで暗号化されたHTTPS証明書を利用しているサイトの読み込みを防ぐ「Edge」および「Internet Explorer（IE）」向け新ポリシーも公開した。 今回の動きにより、Microsoftのブラウザは、1月の安定版「Chrome 56」リリース時にSHA-1暗号化ハッシュ機能のサポートを打ち切ったChromeや、2月にSHA-1のサポートを廃止した「Firefox」と足並みを揃えることになる。 この数年間、ブラウザメーカーと認証局（CA）はSHA-1に対する不信感を募らせてきた。 GoogleとCWI Amsterdamの研究者が、2月にSHA-1衝突を実現するテクニックを発表し、SHA-1ハッシュが同じでコンテンツが異なる2つのPDFファイルを使ったデモを行ったことで、SHA-1を廃止すべき根拠が

RFC 6749 (The OAuth 2.0 Authorization Framework) で定義されている 4 つの認可フロー、および、リフレッシュトークンを用いてアクセストークンの再発行を受けるフローの図解及び動画です。動画は YouTube へのリンクとなっています。 English version: Diagrams And Movies Of All The OAuth 2.0 Flows 追記 (2019-07-02) 認可決定エンドポイントからクライアントに認可コードやアクセストークンを渡す方法については、別記事『OAuth 2.0 の認可レスポンスとリダイレクトに関する説明』で解説していますので、ご参照ください。 追記（2020-03-20） この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 認可コードフロー RF

まさかこんなことが…。福岡市が管理する有料駐輪場に止めていた自転車を、放置自転車として撤去されてしまった。各レーンに前輪が自動ロックされ、外すのに100円が必要なタイプ。私はきちんと駐輪したのになぜ？　撤去車受け取りの際、そう主張すると、実はそうした被害が増えていると教えてくれた。 模倣防止のために詳細は省くが、便利で人気の駐輪場が満車の場合、先に止めてある他人の車輪のロックを外し、自分の自転車と入れ替えてしまうのだ。外された自転車はその場に放り出され、回収業者に放置自転車として撤去される。受け取りの手間が面倒だし、2500円の支払いが必要。迷惑な話ではないか。 放置自転車ゼロを目指す福岡市は、同様の被害を防ぐため、数千万円をかけて各駐輪場の改修を順次進めているという。一部の不心得者のために、市民の血税が投入されなければならないとは…何とも釈然としない。

The latest news and insights from Google on security and safety on the Internet