しゅーとです。 新婚旅行で沖縄に行ってきたのですが、そこで泊まった高級リゾートホテルの客室にタブレットが置いてありました。 このタブレットを調査したところ、客室内の盗聴・盗撮が可能となる脆弱性や、第三者がネットワーク上から他客室のコントロール、チャットの盗聴が可能となる脆弱性を発見しました。この問題はIPAを通して開発者に報告し、報告から2年の年月を経て影響する全ホテルへの改修が完了し、公表されました。 本記事ではキオスクアプリ開発者がよりセキュアなシステムを構成できるように、発見した脆弱性の原因と対策を解説します。 客室に設置されていた脆弱性を有するタブレット ※今回は稼働中システムに対する調査という背景を鑑み、他者の情報・資産を侵害しないよう細心の注意をもって調査しており、他者の情報が関連するセンシティブな問題についてはアクセスなどの実際の検証を行わず、複数の間接的な証跡をもって報告し

個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお

HashiCorpは、ソフトウェア実行時に必要となるトークンやパスワードといった、いわゆるシークレットを安全に保管し提供するクラウドサービス「HCP Vault Secrets」をパブリックベータとして公開したことを発表しました。 同社はシークレットを管理するソフトウェアとして、以前からオープンソース版の「Vault」を公開しており、それを企業向けに強化した商用版のソフトウェア「Vault Enterprise」、そしてVault Enterpriseをクラウド上でマネージドサービスとして提供する「HCP Vault」を既に提供しています。 今回パブリックベータとなった「HCP Vault Secrets」は、HCP Vaultをシンプルにし使いやすくしたサービスであり、HTTP専用で、HCP Vaultのクラスタサイズやバージョンなどの構成を気にすることなく、サーバレスのようなサービスと

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

この記事は、 NTT Communications Advent Calendar 2022 1日目の記事です。 はじめに こんにちは。イノベーションセンターテクノロジー部門の西野と申します。 「Metemcyber」プロジェクトで、脅威インテリジェンスの運用や活用に関する研究開発をしています。 今回の記事では、SBOMを利用した脆弱性管理の取り組みについてご紹介します。 実は NTT Communications Advent Calendar に6年連続で寄稿しているので、そろそろ名前を覚えてあげてください。 SBOMとは？ SBOMは「ソフトウェア部品表（Software Bill Of Materials）」と呼ばれるもので、一般的には特定のソフトウェアに含まれるコンポーネントの依存関係を記述するために利用されます。記述フォーマットとしてはSPDXやCycloneDXが有名です。

【読売新聞】　業務委託を受けていた広告会社のホームページ（ＨＰ）を改ざんし、閲覧できなくしたとして、埼玉県警は２７日、神奈川県の会社員の男（２５）を電子計算機損壊等業務妨害容疑などで再逮捕した。被害者と加害者の端末でインターネット上

米Googleは4月20日（現地時間）、新型コロナウイルス感染症対策で企業が従業員のリモートワーク化を進める中、リモートからイントラネット内のWebアプリに安全にアクセスするためのシステム「BeyondCorp Remote Access」のGoogle Cloudユーザーへの提供を開始したと発表した。 Google Cloudのコンテキストアウェア アクセス ソリューションを使用すると、ほぼすべての組織で有効にできる。 BeyondCorp Remote Accessは、VPNを使わずに従業員が「信頼できないネットワーク」を通じて働けるようにするGoogle社内のイニシアチブとして約10年前に始まった、ゼロトラストアプローチに基づくクラウドソリューション。現在ほとんどのGoogle従業員が日常的に使っている。 ユーザーのIDとコンテキスト（アクセスしようとしている端末のセキュリティステー

1. はじめに つい先日のWindowsのセキュリティアップデートでWindowsのCryptoAPIの楕円曲線暗号処理に関連した脆弱性の修正が行われました。 「CVE-2020-0601 | Windows CryptoAPI Spoofing Vulnerability」 これがまぁ世界の暗号専門家を中心にセキュリティ業界を驚かせ、いろいろ騒がしています。 その驚きの一つは、この脆弱性の報告者がNSA(米国家安全保障局)だったことです。NSAはMicrosoftのアナウンスとは別により詳しい内容でこの脆弱性を警告するアナウンスを出しています。 「Patch Critical Cryptographic Vulnerability in Microsoft Windows Clients and Servers」 これまで数々の諜報活動をインターネット上で行ってきたNSAが、この脆弱性を

今回はソフトウェアエンジニアじゃない人や学生にも、ソフトウェアエンジニアという職業には夢があるかもしれないと思ってもらうために書いています。そのため既に詳しい方からすると回りくどい説明も多いと思いますがご容赦下さい。 基本的に記事とかには技術的なことしか書かないスタンスでやってきましたが、今回の件はさすがに誰かに伝えておくべきだろうということで長々と垂れ流しました。 概要 GW中に趣味で開発したソフトウェアを無料で公開したところAqua Securityという海外企業（アメリカとイスラエルが本社）から買収の申し出を受け、最終的に譲渡したという話です。さらに譲渡するだけでなく、Aqua Securityの社員として雇われて自分のソフトウェア開発を続けることになっています。つまり趣味でやっていたことを仕事として続けるということになります。 少なくとも自分の知る限り一個人で開発していたソフトウェ

内閣サイバーセキュリティセンター（NISC）では、サイバーセキュリティに関する普及啓発活動の一環として、「インターネットの安全・安心ハンドブック」を公開しています。みんなが安心して使えるネット社会を実現するためには、その時々のサイバーセキュリティに関する正しい知識を身に付け、実行するとともに、家族や友人など身の回りの人達にも伝えていくことが大切です。本ハンドブックは、みなさんにサイバーセキュリティに関する基本的な知識を紹介し、誰もが最低限実施しておくべき基本的なサイバーセキュリティ対策を実行してもらうことで、更に安全・安心にインターネットを利活用してもらうことを目的に制作したものです。 ※このVer.5.00は、2023年1月にサイバー空間の最新動向や、今特に気を付けるべきポイント等を踏まえて改訂されました。 【活用例】 本ハンドブックの著作権は NISC が保有しますが、サイバーセキュリ

情報セキュリティーに関するサイトに掲載された記事の中でウイルスのプログラムを公開したとして、サイトの管理者が検察から略式起訴され、罰金刑を受けていたことが分かりました。これに対して研究者からは、「問題とされたのは一般的なプログラムだ」として疑問や戸惑いの声が上がっています。 起訴状などによりますと、この管理者はサイト上でウイルスのプログラムを公開した不正指令電磁的記録提供の罪で、ことし３月に検察から略式起訴され、罰金50万円の略式命令を受けました。 問題とされたプログラムは、読者が投稿した記事に書かれていたもので、複数の研究者が検証したところ、実際はサーバーの遠隔管理などに使う一般的な機能のものだったということです。 同じようなプログラムは入門書などにも載っているということで、専門知識がないと悪用は難しいため、研究者の間ではウイルスとして摘発されたことに疑問や戸惑いの声が上がっています。

頭おかしい――。セキュリティ界隈でしばしば聞かれるこの形容詞は、「発想がぶっ飛んでる天才」「従来の価値観を根底からひっくり返す突破者」に向けられる、畏怖と賞賛と嫉妬と親しみがごちゃ混ぜになった言葉だ。2000年代の「セキュリティ・キャンプ」は、そんな「頭おかしいヤツ」のエネルギーが溢れていた。アクティブディフェンス研究所の忠鉢洋輔はそのエネルギーに圧倒され、その後の人生を決めた。 「セキュリティ・キャンプ」とは、経済産業省とIPA（独立行政法人情報処理推進機構）が次世代を担う高度IT人材育成に向けた取り組みの一環として2004年に立ち上げた、セキュリティ人材育成のプログラムである。原則22歳以下の学生が対象で、毎年8月には4泊5日の泊まり込み合宿がある。2018年は85名の参加枠に対し、403名の応募があった。すでに500名超の卒業生を輩出しており、産官学のあらゆる分野で活躍している。もち

Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況

#include <memory> #include <boost/asio.hpp> #include <boost/bind.hpp> namespace asio = boost::asio; using boost::asio::ip::tcp; using sock_p = std::shared_ptr< tcp::socket >; using buf_p = std::shared_ptr< asio::streambuf >; using error_type = boost::system::error_code; struct session : public std::enable_shared_from_this< session > { session( asio::io_service &io ) : sock( io ) {} void read() { b

Gmail がアカウント名に含まれる 「.」（ピリオド） を無視する仕様が、Gmail アドレスを登録する Web サービス側の特定の仕様と組み合わさることによってフィッシングのリスクを増加させるという指摘がされていましたので取り上げてみます。 以前、下記の参考記事でも書いたのですが、個人向けの Gmail には、所有しているアカウント名に 「+」 で任意の文字列をつなげることで利用できる 疑似エイリアス （便宜的にこう呼びます） 機能や、アカウント名に含まれる 「.」（ピリオド） を無視するという仕様を使って、同様に疑似エイリアス的な使い方ができる点に触れました （記事としては、それは本来のエイリアスとは異なるから注意しようという内容ですが）。 参考 Gmail のエイリアスは個人情報漏洩対策にならないからやめとけっていう話 この 「ピリオドを無視する」 という仕様が、いくつかの条件が重