昨今、生成AIの発展とともに、情報の不正な取得を試みる攻撃パターンが急速に多様化しています。このため、企業は残念ながらいつか情報漏洩するという前提で必要な対策を行う必要があります。 一般的なウェブシステムにおける暗号化の限界点 そのため普遍的に用いられる技術の一つが「暗号化」ですが、ウェブシステムの場合完全な対策は難しいのが実情です。例えばデータベースを暗号化しても、フロントエンドなど、システムのどこかに必ず暗号を復号できるノードが存在します。フロントエンドに侵入されれば、データベースの暗号化だけでは情報漏洩を防ぐことは困難です。TDE（Transparent Data Encryption：透過的データ暗号化）という、高価な専用ハードウェアを用いて特定のカラムを暗号化する手法もありますが、それにしてもフロントエンドに侵入されるケースを考えると復号化は懸念されます。 ハッシュ化による対策

複数の「Android」向けパスワードマネージャーに影響する、認証情報の漏えいにつながる恐れのある脆弱性が明らかになった。 この脆弱性「AutoSpill」は、先週開催された「Black Hat Europe 2023」カンファレンスで、国際情報技術大学ハイデラバード校（IIITH）の研究チームによって報告された。 AutoSpillは、Androidが「WebView」経由でログインページを呼び出す際に問題となる（WebViewは、ウェブブラウザーを開かなくても、アプリにウェブコンテンツを表示できるようにするOSの機能）。その場合、WebViewによって、アプリは呼び出されたウェブページのコンテンツを表示する。 その際にパスワードマネージャーを利用した場合、認証情報がWebViewだけでなく、アプリにも共有される可能性があるという。研究チームは、アプリのログインに外部サービスのアカウント

※タイトルの元ネタは以下の作品です。 はじめに この記事は、公開鍵暗号の全体感を正しく理解するためのものです。数学的な部分や具体的なアルゴリズムは説明しません。気になる方は最後に紹介するオススメ書籍をご覧ください。 少し長いですが、図が多いだけで文字数はそこまで多くありません。また、専門的な言葉はなるべく使わないようにしています。 ただしSSHやTLSといった通信プロトコルの名称が登場します。知らない方は、通信内容の暗号化や通信相手の認証（本人確認）をするためのプロトコルだと理解して読み進めてください。 公開鍵暗号の前に：暗号技術とは 公開鍵暗号は暗号技術の一部です。暗号と聞くと、以下のようなものを想像するかもしれません。 これは情報の機密性を守るための「暗号化」という技術ですが、実は「暗号技術」と言った場合にはもっと広い意味を持ちます。まずはこれを受けて入れてください。 念のため補足して

Apple、Google、Microsoftという3大OSベンダーが揃ってサポートを表明している「パスキー（Passkeys）」。パスキーを使うことで、パスワードが不要になり、フィッシングや成りすまし、流出などのセキュリティ問題が一気に解決するほか、パスワードをメモしたり覚えたりする必要がなくなる。果たして、パスキーによってパスワード不要の世界はやってくるのだろうか。 パスキーでログインはこう変わる パスキーとは一体何か？　理屈や背景を説明する前に、デモサイトの「Passkeys.io」にアクセスしてみるのが分かりやすい。パスキーは生体認証とセットの技術なので、指紋認証機能を備えたPCや、指紋／顔認証を備えたiPhone、Androidなどでアクセスしてみよう。

Apple、iCloudデータの暗号化とCSAMスキャン計画の破棄を発表投稿者: heatwave_p2p 投稿日: 2022/12/92022/12/9 Electronic Frontier Foundation 本日、Appleは完全に暗号化されたiCloudバックアップを提供することを発表し、EFFをはじめとするプライバシーアドボカシーの長年の要求に応えた。 我々は、Appleが専門家、児童擁護団体、そして自分のデータの保護を求めるユーザの声に耳を傾けたことを称賛する。暗号化は、オンラインのプライバシーとセキュリティを維持する最重要のツールである。だからこそ、2019年に開始した「Fix It Already」キャンペーンでも、Appleに対してiCloudバックアップの暗号化を要求したのである。 Appleデバイスの暗号化は強力だが、写真やバックアップなど、とりわけセンシティブな

GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う：この頃、セキュリティ界隈で 人気ゲーム「グランド・セフト・オート」（GTA）などを手掛けるゲームメーカーの米Rockstar Gamesや米Uber Technologiesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。同じような被害は過去にMicrosoftやCisco、Twitterなどの大手でも発生している。各社とも、そうした侵入を防ぐために多要素認証を設定して従業員のアカウントを保護していたが、攻撃者は「MFA Fatigue（多要素認証疲れ）」攻撃と呼ばれる手口を使ってMFA（多要素認証）を突破していた。 多要素認証で守られたアカウントは、ユーザー名とパスワードを入力してログインしようとすると、登録された端末に電話をかけたりプッシュ通知を送信したりする方法で、そのログイン

Ed25519はデジタル署名アルゴリズムです。 これは楕円曲線デジタル署名アルゴリズム（ECDSA）の最新の代替品としてよく使用されます。 Ed25519は、ECDSAよりもオープンで安全で高速であるため、多くの領域、特にブロックチェーンおよび暗号通貨プラットフォームで利用されることが増えてきています。 過去にECDSAアルゴリズムに依存した機構のもので秘密鍵が漏洩してしまったという事例があったりすることから使用されるアルゴリズムが変更されたというような経緯もあると考えられます。 そんな状況にあるEd25519なのですが、このEd25519にも問題が確認されています。 厳密にはアルゴリズムに問題があったということではなく、アルゴリズムを実装したいくつかのライブラリに脆弱性がありました。 Ed25519の要求通りに実装すると十分に性能を発揮しにくくなる要素があることがわかっています。 そこに

電子書籍販売サイト「BOOK☆WALKER」を運営するブックウォーカー（東京都千代田区）は6月10日、同サービスのアカウントへの不正ログインがあったとして注意喚起した。他サービスなどから流出したメールアドレスやパスワードを使ったパスワードリスト型攻撃によるものとみられる。 被害の拡大を防ぐため、同社は電子書籍を購入して第三者に贈れる「ギフト購入」機能を停止。ユーザーには他サービスと同じアドレスとパスワードのセットを使いまわさないよう呼び掛けた。 個人情報などの流出やシステム障害などは起きていないとしている。身に覚えのない購入履歴があったユーザーには「お問い合わせフォーム」から知らせるよう案内している。 関連記事 「ブラザーオンライン」に不正ログイン　最大12万件の個人情報・40万円相当のポイント流出した可能性 ブラザー製品のユーザー向け会員制サイト「ブラザーオンライン」に不正ログイン被害。

GitHub Advanced Securityのシークレットスキャンで、シークレットトークンの漏えいを事前に防止 認証情報の誤用に起因する情報漏えいや侵害リスクは、今もなお私たちを悩ませ続けています。認証情報の保護は現代のソフトウェア開発の規模と相互関連性によって困難なものとなっています。GitHubはこれまでに、GitHub Advanced Securityの提供機能であるSceret Scanningによって数1,000近くのプライベートリポジトリにわたり70万件を超えるシークレットを検出してきました。また、すべてのパブリックリポジトリにおいて、パートナーのパターンを無料でスキャンしています。そしてこの度、GitHubはGitHub Advanced Securityのユーザー向けに、「git push」の受け入れ前にSecret Scanningを実行することで、漏えいの発生を完

イラストで正しく理解するTLS 1.3の暗号技術 初めに ここではTLS 1.3（以下TLSと略記）で使われている暗号技術を解説します。 主眼はTLSのプロトコルではなく、「暗号技術」の用語の挙動（何を入力して何を出力するのか）と目的の理解です。 実際にどのような方式なのかといった、より詳しい説明は拙著『図解即戦力 暗号と認証のしくみと理論がこれ1冊でしっかりわかる教科書』（暗認本）や『暗認本』の内容を紹介したスライドや動画などの資料集をごらんください。 なお表題の「イラストで」は数式を使わないという程度の意味です。 TLSで守りたいもの TLSはコンピュータ同士が安全に通信するための規格です。 主に人がブラウザを介して「https://」で始まるWebサイトにアクセスするときに利用されます。 安全に通信するためには、通信内容が盗聴されても情報が漏れない機密性が必要です。 それから通信が改

ドコモとソフトバンク、パスワードをハッシュ化せず保持　「パスワードを忘れた」からユーザーへ開示【追記あり】 LINEMOがパスワードを平文保持している――そんな報告がTwitterで上げられている。ITmedia NEWS編集部で確認したところ、LINEMOの他にドコモとahamo、ソフトバンク、Y!mobileの会員サービスでも、ユーザーに対してパスワードを平文で提示する機能を持っていることが分かった。事業者側によるパスワードの平文保持は、不正アクセスなどで情報漏えいが起きた際のリスクになる可能性がある。 【編集履歴：2022年3月16日午後2時　ドコモへの追加取材に伴い、タイトルとドコモ引用部の記述を変更し、追記を行いました】 【編集履歴：2022年3月16日午後7時30分　ソフトバンクへの追加取材に伴い、ソフトバンク引用部の記述を変更し、追記を行いました】

データを複数のコンピューター間で中継するルーターの中には、単にインターネット接続をサポートするだけではなく、セキュリティ機能やホームペアレンタル機能などを提供するものも存在します。中国のネットワーク機器メーカーであるTP-Link製のルーターも、ドイツのアンチウイルスソフトウェア企業であるAviraと提携したセキュリティサービスを展開していますが、海外掲示板のRedditに投稿された「TP-Link製ルーターは関連サービスをオフにしてもAviraのサーバーに大量のトラフィックを送信している」という報告が話題となっています。 [PSA] Newer TP-Link Routers send ALL your web traffic to 3rd party servers... : hardware https://old.reddit.com/r/hardware/comments/tbt

はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 今回はアドベントカレンダーの11日目として、前回投稿した「macOSの暗号化zipファイルはパスワードなしで解凍できる」という記事に寄せられたコメントのうち、特筆すべきものをピックアップして回答していきます。 前回の記事を読んでいない方や、もう覚えてないという方は是非前回の記事を見てから続きを読んでいただければと思います。 Q. 正解するまでbkcrackを回さなくてもzip内のCRC32値と比較すれば良いのでは？ はい、その通りです。 筆者が前回の記事を書いている時には完全に失念していましたが、zip内にはファイル破損を検出するためにCRC32形式のハッシュ値が含まれています。そのため、bkcrackを正解パターンを引くまで都度回さなくても簡単に正解の.DS_Storeを見つけ出すことができます。 実際に

こんにちは、プロダクトセキュリティ部の新沼（cw-niinuma）です。 年末になると世の中が慌ただしくなっていく雰囲気が、わくわくするのは子供の頃から変わりません。 この記事はChatwork Advent Calendar 2021の17日目の記事です。 今日が担当の私は、前回こちらの投稿をしましたがその後についてお伝えしていなかったので今回お伝えしようかと思います。 creators-note.chatwork.com まだ読んだことがなかった方がいたら、是非前回から読んでくれると嬉しいです。 では、今回は導入したツールとそのツールを使った運用についてお伝えしたいと思います。 導入したツール 競合ツールと機能面・価格等を総合的に検討した結果、弊社はyamoryを導入しました。 yamory.io yamoryとは、ビジョナル・インキュベーション株式会社が運営する脆弱性情報管理サービス

パッケージ管理ツールのnpmで公開されている「UAParser.js」は、ユーザーエージェントの判定処理を実行するJavaScriptライブラリであり、Facebook・Microsoft・Amazon・Googleなどの超大手企業を含む1000以上のプロジェクトで採用されています。そんなUAParser.jsがハッカーによってハイジャックされ、LinuxおよびWindowsデバイスを対象に暗号資産採掘やパスワードの盗難を行うトロイの木馬が仕込まれていたことが判明しました。 Security issue: compromised npm packages of ua-parser-js (0.7.29, 0.8.0, 1.0.0) - Questions about deprecated npm package ua-parser-js · Issue #536 · faisalman/u

ZUNDA、パスワード管理ソリューション「Keeper」の国内初のMSPパートナーとしてサービス提供を開始～ 国内初サービスの導入から運用まで包括してサポートするMSPモデルにて提供 ～ デジタルワークプレイスの構築支援を手掛けるZUNDA株式会社 (以下、ZUNDA) は Keeper Security, Inc. (以下、Keeper Security社、本社: 米国イリノイ州シカゴ、CEO・共同創業者: Darren Guccione) と数々のサイバーセキュリティ関連の賞を受賞し、米国連邦政府及び米軍の使用リストにも加えられているパスワード管理ソリューション「Keeper」のMSP販売契約を締結したことを発表いたします。これにより、パスワードをはじめとした重要なデータの漏洩からビジネスを守り、デジタルワークプレイスの生産性向上を支援してまいります。 Keeper MSP 近年、多く

はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 先日のApple発表会では新型のiPhoneやApple Watchなど心躍る製品が色々と発表されましたね。筆者は特に新型iPad miniが心に刺さっています。 さて、今回はApple関連の話として「macOSの暗号化zipファイルはパスワード無しで解凍できる」というネタについて書いていきます。 解凍できる条件 何を言っているんだと思われるかもしれませんが、macOSで作られた暗号化zipファイルは以下の2つの条件を満たす場合にパスワード無しで容易に解凍が可能です。 zipの暗号化方式がzipcryptoである (通常の暗号化zipファイルは基本的にzipcryptoが利用されています) zip内のいずれかのディレクトリの中身が.DS_Storeファイルおよび何らかのファイル1つである このうち1.は基本

macOS/iOSのSafari 15ではパスワードマネージャにタイムベースのワンタイムパスワード(TOTP)を確認コードとして登録することが可能になりました。詳細は以下から。 Appleは現地時間2021年09月21日、iPhone 6sやiPhone SE(第1世代)以降のiPhone、iPad(第5世代)やiPad Air 2、iPad mini 4以降のiPad向けに 「iOS 15/iPadOS 15」を、macOS 11 Big SurおよびmacOS 10.15 Catalina向けに「Safari 15」をリリースしましたが、 このiOS 15/iPadOS 15およびSafari 15のパスワードマネージャでは、2ファクタ認証を求めるサイト用にタイムベースのワンタイムパスワード「TOTP (Time-based One Time Password)」を確認コードとして登録