■ 公衆無線LANで使うと危ないiPod touchアプリに注意 ヨドバシカメラでiPod touchを購入すると公衆無線LANサービスの加入案内が付いてくるように、iPod touchは、公衆無線LANでの使用が奨励されている機器である。 しかし、現状の公衆無線LANサービスは、無線通信の暗号化に用いる鍵が加入者全員で同一のところがほとんどであり（あるいは、暗号化しないところもある）、電波を傍受されて通信内容を読まれる危険性や、気付かないうちに偽アクセスポイントに接続してしまう（そして、通信内容を読まれたり書き換えられたりする）危険性がある。 ただ、現時点では、このリスクはしかたのないものとして受容されており、その代わりに、パスワードや重要な情報を送受信する際には、アプリケーションレベルでの暗号化（SSL等の使用）が必須という考え方になっている。 つまり、Webブラウザを使う場合であれば

Windows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行を

■ 主婦の友社が早速やらかしてくれました 仕事がはやい。 赤☆ネットのご利用環境 セキュリティ証明書（Mozilla Firefox3をご利用の方）, 主婦の友社 愛読者サイトにアクセスをすると下の画面が表示されます。「赤☆ネット」は「www.en-jin.com」のセキュリティーを使用しているために、このような警告がでますが ご安心してご利用ください。

■ B-CAS社の個人情報登録サイトのSSL証明書がNTT DATA B-CAS社の「オンラインによるB-CASカードのユーザー登録」の画面から、登録画面に進むと、個人情報入力画面が現れるのだが、ここでページが https:// になっていることを確認の上、サイト証明書の内容を確認してみると、「NTT DATA CORPORATION」と表示される。 よく見てみると、さっきまでは b-cas.co.jp を閲覧していたはずが、この画面はいつのまにか、b-cas.jp という別サイトに飛ばされている。 しかも、b-cas.jp ドメインの保有者が誰なのか、whois で調べてみると、さらに別の会社になっている。 不特定多数からの大量の登録を受け付けるサイトにしてはずいぶんと稚拙だ。

自己署名の証明書になっていた。 これは明らかにセキュリティ脆弱性だ。この種類の脆弱性（ブラウザが証明書を検証しない）は、伏せておくよりも早く事実を公表して利用者に注意を促した方がよいという考え方もあり、すぐに日記に書こうかとも考えたが、このケースではIPA、JPCERT/CCを通した方が修正が早く行われるのではないかと考え、IPAの脆弱性届出窓口に通報した。 この届け出は3月27日に受理された。そして本日、JVNで公表となった。修正版が提供されているので、利用者はアップデートで対応できる。 JVN#76788395 ソニー製 mylo COM-2 におけるサーバ証明書を検証しない脆弱性, JVN, 2008年4月23日 パーソナルコミュニケーター "mylo" COM-2 セキュリティ脆弱性対策プログラムご提供のお知らせ, ソニー株式会社, ソニーマーケティング株式会社, 2008年4月2

■ こんな銀行は嫌だ 「こんな銀行は嫌だ――オレオレ証明書で問題ありませんと言う銀行」……そんな冗談のような話がとうとう現実になってしまった。しかも、Microsoftが対抗策を施した IE 7 に対してさえ言ってのけるという。 この原因は、地方銀行のベンダー丸投げ体質と、劣悪ベンダーが排除されないという組織の構造的欠陥にあると推察する。 【ぶぎんビジネス情報サイト】アクセス時に表示される警告メッセージについて ぶぎんビジネス情報サイトでは、サイトＵＲＬ（https://www.bugin.cns-jp.com/）ではなく、ベースドメイン（https://www.cns-jp.com/）でSSLサーバ証明書を取得しております。このため、本サイトにアクセスする際、ブラウザの仕様により次の警告メッセージが表示されますが、セキュリティ上の問題はございませんので、安心してぶぎんビジネス情報サイトを

Posted by Shugo Maeda on 4 Oct 2007 Rubyに標準で添付されているnet/httpsライブラリ(net/https.rb)において、このライブラリを使用してhttpsプロトコルを発行した場合、中間者によるなりすまし攻撃(man-in-the-middle attack)を検出できないという問題が発見されました。 この脆弱性については、<URL:http://www.isecpartners.com/advisories/2007-006-rubyssl.txt>として公開されています。 影響 net/http.rbでは、SSL接続の際に、証明書のCNがリクエスト先のDNS名に対して検証されません。これにより、攻撃者がリクエスト先のサーバになりすますことが可能になります。 脆弱性の存在するバージョン 1.8系 1.8.4以前の全てのバージョン、1.8.5-

■ 緑シグナルが点灯しないのに誰も気にしていない？という不思議 フィッシング対策ソフトの導入動向 最近、金融機関が「PhishWall」や「PhishCut」を導入したというニュースをよく見かけるなあと思っていたら、どうやら、金融庁の監督指針の今年の改定でフィッシング対策について明記されたことが関係しているらしい。 主要行等向けの総合的な監督指針（平成19年6月版）, 中小・地域金融機関向けの総合的な監督指針（平成19年8月版）, 金融庁 III-3-7 インターネットバンキング III-3-7-2 主な着眼点 (2) セキュリティの確保 ホームページのリンクに関し、利用者が取引相手を誤認するような構成になっていないか。また、フィッシング詐欺対策については、利用者がアクセスしているサイトが真正なサイトであることの証明を確認できるような措置を講じる等、業務に応じた適切な不正防止策を講じている

この警告は何を言っているのでしょう？ この警告表示を見て「このサイトは信用できないんじゃないか？」とお考えになるのではないでしょうか？ そうであったとしても無理はありません。　「問題があります」と表示されては、誰でも心配になるものですよね？ 実は、こんな意味を持っています。 このサイトと取り交わす情報は、ほかの人から読み取られたり変更されることはありません。 まず、先頭の文章から「ことねっと　どっと　こむ」が、お客様と「ことねっと」の間の通信を『安全な通信』にしようとしていることがご理解いただけると思います。 この一文は「あなたが『はい（Y)』をクリックすれば、以後の通信は暗号化され、安全に情報を送受信できます。」と言った意味になります。 もう少し詳しく申し上げますと、この警告は「ＳＳＬ」での通信を開始しようとした時に現れます。　「ＳＳＬ」は通信を暗号化する技術の一つとお考え下さい。 イン

IE7のAES対応の続き。 Vista の IE7 と Firefox2 は双方とも AES に対応しているものの、Firefox が 256bit で通信できるのに対して、IE7 は 128bit になってしまいます。IE7 は 256bit に対応していないのか? と思いつつ Wireshark でパケットキャプチャして、Client Hello を確認してみると、以下の12の Cipher Suites をこの順番で出していました。 TLS_RSA_WITH_AES_128_CBC_SHA (0x002f) TLS_RSA_WITH_AES_256_CBC_SHA (0x0035) TLS_RSA_WITH_RC4_128_SHA (0x0005) TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a) TLS_ECDHE_ECDSA_WITH_AES_128_

GoogleAnalysticsはSSLに対応しているのでしょうか。SSL配下のディレクトリのページにスクリプトを貼り付けると「ページにはセキュリティで保護されている項目と保護されていない項目が含まれています。　保護されていない項目を表示しますか」と警告メッセージが出ます。

前々回、怪しい通信が飛び交っている話をしましたが、それを読んだ方から「具体的にどう見えるのか、イメージがわかない」という感想をいただきました。たしかに、見える見えると言われても、実物を見ないと実感がわかないかも知れません。 というわけで、日常的に使っているさまざまなプロトコル（通信手段）のデータを生で見てみましょう。今回も前々回同様、通信データのキャプチャツールである「WireShark」を使いました。 まずはメールの受信データです。 もちろん、ヤバイところは隠してあります。しかし、はっきりIDとパスワードが見えてますよね。こんな調子で中身を見てしまうことは、ごく簡単だったりします。 次に、自分のWebページを持っている人（最近は少ないんでしょうかね）が使うFTPの中身です。 バッチリ見えてしまってますね（笑）。しかし、何でこんなに簡単に見えちゃうんでしょうか。…もしかしたらそんな疑問を

以下5種類の認証局に対応したルート証明書(以下、端末側ルート証明書)が、SSL対応機種にそれぞれ搭載されています。 下記ルート証明書によって認証されているサーバ証明書に対応しています。 SSL対応機種によって搭載されている証明書が異なります。詳細は、各ルート証明書のSSL対応機種への搭載状況を参照ください。 VeriSignクラス3 Primary CAルート証明書 VeriSignクラス3 Primary CAルート証明書G2（セカンド・ジェネレーション） RSAセキュアーサーバ・ルート証明書 Equifax Secure Certificate Authority Equifax Secure eBusiness CA-1 GeoTrust Global CA

このファイルは削除されました(File Not Found) 戻る(back)

2007/02/21 「EV（Extended Validation） SSL証明書」の普及活動が国内でも少しずつ表面化してきた。2月15日には国内の電子認証関連事業者8社とマイクロソフト、Mozilla Japanが発起人となって有限責任中間法人 日本電子認証協議会が発足した。2月21日には同協議会の発起人の1社であるサイバートラストが記者向けに会見をひらき、「EV SSL証明書」の意義を改めて解説した。フィッシング詐欺をはじめ、インターネット上での身分詐称やなりすまし犯罪を防止するための新たな枠組みである。 SSL証明書が発行される従来のプロセス（証明書発行審査プロセス）では、電子認証局ごとに審査基準の独自裁量が認められていた。また、SSL暗号化通信が行われていれば、Webブラウザの右下に鍵マークが表示されることから、ユーザーにとっては自身が接続したサーバの管理者が電子認証局によるきち