〈iPhoneでも、テスラのEVでも〉世界のハッキング大会で次々に発覚、プログラムの脆弱性を見つけられない日本は蚊帳の外 3月20から23日にかけて、カナダのブリティッシュコロンビア州バンクーバーでハッカーが腕を競う「ポーンバンクーバー（Pwn2Own Vancouver） 2024」が開催された。Windows11やテスラ自動車などのゼロデイの脆弱性（未知の脆弱性）が発表され、賞金73万2500ドル（約1億1200万円）とテスラモデル3が授与されている。 ゼロデイの脆弱性とは、パソコンやスマートフォンに内蔵されたソフトウェアや機器を制御するファームウェアなどのプログラムの瑕疵（脆弱性）について、製品提供者（ベンダー）がその脆弱性の存在に気付いていない状態をいう。修正プログラムが配布されていないため、インターネット上の「ダークウェブ」などで高値で取引され、サイバー攻撃に利用される。 日本で

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 2024/09/10にIdle Detection APIというAPIが更新されていました。 ステータスはDraft Community Group Reportです。 これはコミュニティによる提案であり、W3Cによる正式な勧告ではありません。 個人や団体レベルでも、とりあえずRFCを作ってみたり検討したりできる段階ということです。 以下はこの提案を管理しているGitHubから、このRFCの意義を解説したReadmeの紹介です。 User Idle Detection API このAPIでは、開発者はユーザがアイドル状態になったとき(キ

この技術の実態を明らかにするため、研究者たちはSamsungとLGという2大スマートTVブランドを対象に、英国と米国の2カ国で詳細な実験を行った。 具体的には、6つの主要なシナリオを設定した。まず「アイドル」状態、つまりTVの電源は入っているがホーム画面のままの状態。次に「リニア」視聴、これは従来の地上波放送を見る状況。 「FAST」は、TVメーカーが提供する無料広告支援型ストリーミングサービスの視聴を指す。「OTT」は、NetflixやYouTubeなどの外部ストリーミングサービスの使用。「HDMI」は、ゲーム機やPCなどの外部機器をHDMI接続して使用する状況。そして「スクリーンキャスト」は、スマートフォンなどの画面をTVにミラーリングする使用法である。 さらに、各シナリオで4つの異なる設定を試した。ユーザーアカウントにログインしている状態とログアウトしている状態、そしてACRを含む広

Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp

iPhone15シリーズやiPhone15 Proシリーズを含むiOS17実行モデルのロックを強制的に解除するツールである「GrayKey」を、米国の警察署などがいくらで調達しているかが明らかになりました。 GrayKeyの調達価格は約10,995ドル（約166万円）が基本で、これには30回分のロック強制解除代金が含まれています。 GrayKeyの販売だけではなくトレーニングも提供 米国で開示された公文書から、米国のある警察署ではGrayKeyを約10,995ドル（約166万円）で調達していることが確認されました。 これには30回分のロック強制解除代金が含まれており、以降は5回毎に3,845ドル（約58万600円）の追加料金が発生するようです。 このことから、最初の30回分のロック強制解除代金は約55,300円、追加分は1回あたり約117,000円とおよそ倍額になります。 さらに、Gray

Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア⁠⁠、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）⁠”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ

Red HatやDebianを含むLinuxディストリビューションで広く使用されている圧縮ツール「xz」の最新版に悪意のあるバックドアが含まれていた事がわかりました(Ars Technica)。 発見した開発者のAndres Freund氏は、xz version 5.6.0と5.6.1に悪意のあるコードが含まれていることが分かったと指摘しています。幸い、このバージョンは主要なLinuxディストリビューションの製品リリースでは使用されていませんが、Fedora 40やFedora Rawhide、Debian testing/unstable/experimentalなどのベータ版リリースには含まれていたそうです。 macOSのHomebrewでは、複数のアプリがxz 5.6.1に依存している事が判明し、現在xz 5.4.6へのロールバックが行われています。 悪意のある変更は難読化され、バ

みなさん、こんちにはmです。 今回は私が1年の期間でマルウェア解析のスキル0から習得するまでに取り組んだ方法をまとめました。 初めに開始時のスキルや1年間でかけたコスト、スケジュールなどを共有します。 開始時のスキルなど 表層解析、動的解析、静的解析の違いもあまり理解していない プログラミングはPythonを学び始めた程度 低レイヤーの知識なし アセンブリの知識なし Windowsアプリケーション開発の経験なし SOCアナリストとしてブルーチームの知識は多少 脆弱性診断の経験も（深くはないが）多少 エンジニア歴7、8ヶ月目くらい ざっくりですが、このようにマルウェア解析に絡んでくる知識はほぼ0でした。 学習にかけたトータルコスト 書籍：約5万円 オンライン教材：12万円 約17万円近く1年間に使いましたが、お金で直接スキルは買えないので必要経費です。 なお、オンライン教材の12万円について

本体にテンキーが付属し、単体でロックの解除が行えるUSBメモリ「ED-HB3」。容量は64／32／16／8GBから選べる。紛失しやすいキャップ式なのはややマイナスだ PCを所持しての遠征が増えたことをきっかけに導入したのが、アイ・オー・データ機器のセキュリティUSBメモリ「ED-HB3」だ。本体にテンキーを備え、単体でロックの解除が行えるという製品である。 筆者はPCで利用するデータのほぼ全てをクラウドで同期しているが、今まさに作業中のデータだけは、使い勝手を重視してローカルに保持している。これらはバックアップの対象から外れるため、遠征時だけはローカルフォルダーごとUSBメモリにコピーし、携行するのが常だ。手動バックアップというのも今どきアナログだが、こうしておけば移動中にPCが壊れても、別のPCで作業を続行できる。 ただしこの場合、USBメモリの盗難や紛失によるデータの流出リスクはあるの

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

第4回未来科学大賞で多額の賞金が、数学者、王小雲に授与され、彼女の名前がにわかにメディアに注目をされた。王小雲は2004年に米国のハッシュ関数「MD5」の脆弱性を発見した研究者だったと資訊咖が報じた。 ネット社会に必須のハッシュ関数 デジタル時代、ハッシュ関数はさまざまなところで使われる。最もよく知られているのは、パスワードの保管や書類の改竄検知などだ。 ハッシュとは「混ぜこぜ」という意味で、元のデータを混ぜこぜにして、まったく別のデータに変換をしてしまうというものだ。例えば、「元の数値を2倍にして1を引く」という単純なアルゴリズムでもハッシュ関数に近いことができる。2であれば3になるし、7であれば13になる。元の数字とは異なったものになる。 しかし、これでは何かの役に立つことはできないため、暗号学者、数学者たちは、複雑なアルゴリズムを考案し、ハッシュ関数としてさまざまな応用をしてきた。こ

手続き上の問題が続出するマイナンバーだが、個人情報が漏れさえしなければ…という向きもあった。ところがそれは淡い願望に過ぎなかった。前編記事『中国にマイナンバーと年金情報が「大量流出」していた…厚労省が隠蔽し続ける「不祥事」の全容』では、日本年金機構の委託業者から中国のネット上に個人情報が流出した経緯、それを隠そうとする日本年金機構や厚生労働省の対応の顛末を報じた。彼らが隠していることを、本記事でさらに浮き彫りにしよう。 岩瀬達哉（いわせ・たつや）／'55年、和歌山県生まれ。'04年、『年金大崩壊』『年金の悲劇』で講談社ノンフィクションを受賞。著書に『新聞が面白くない理由』『裁判官も人である　良心と組織の狭間で』『キツネ目　グリコ森永事件全真相』（いずれも講談社刊）ほか多数 理事長のウソ まさか、国会で堂々と嘘を述べるなど、誰も想像すらできない。個人情報の流出をなかったことにしたかった、機構

多機能なウェブサーバーとして2004年に登場したNginxは、2023年6月時点では業界トップシェアとなるほど人気を集めるサーバーです。そんなNginxの設定において、スラッシュを一つ付けるか付けないかの差で大きなセキュリティホールができてしまう問題について、大手パスワードマネージャーやGoogle製のツールの例をとりあげてセキュリティアナリストのダニエル・マツモトさんがブログで解説しています。 Hunting for Nginx Alias Traversals in the wild https://labs.hakaioffsec.com/nginx-alias-traversal/ Nginxの設定には、特定のURLへのアクセスをどう処理するべきかを記述できる「location」というディレクティブが存在しており、URLをサーバー内のファイルに対応させるのによく利用されています。例

写真などのクラウド保存容量を増やすために、iCloudの有料プラン「iCloud+」に加入しているユーザーも多いことでしょう。だったらそのiCloud+の他の機能も使わないともったいない！内容を確認して、必要に応じて使いこなせるようにしておきましょう。今回はその機能のひとつ「メールを非公開」を紹介します。 こちらは「iCloud本来のメールアドレスとは別のランダム文字列のメールエイリアスを生成して、本来のメールアドレス宛に自動転送してくれる機能」です。でもそれだけだったら一般的なエイリアス機能とさほど変わりありませんよね。 もちろん「メールを非公開」には、それにとどまらない便利さがあります。ひとつは作成できるエイリアス数がおそらくほぼ無制限なこと。もうひとつは作成したエイリアスの管理画面がとても優秀なことです。 まずは作成できる数について。「メールを非公開」によるランダム文字列エイリアスは

被害者たちは、外出先でiPhoneを盗まれ、わずか数分後にはアカウントから閉め出される。次いで自宅のMacはログインができなくなり、24時間以内に数百万円という預金が口座から消える――。そんな事例をウォール・ストリート・ジャーナル紙が報じている。 被害のきっかけは、iPhoneの4桁または6桁の簡易的なパスコードを盗み見られたことだ。これによって、より強力なパスワードを設定したはずのApple IDのセキュリティが同時に無力化されてしまった。 同紙が今年2月に「脆弱性」として報じ、さまざまなテックメディアで取り上げられ大きな反響を呼んでいる。Appleは現時点で対策措置を発表していない。 被害はiPhoneからほかのApple製品に広がる… これはiPhoneの6桁のパスコードさえわかれば、Apple IDのアカウントを丸ごと乗っ取れる状態であることを意味する。 Apple IDとは、多く

「天安門事件」と画像投稿サイトの意外な関係性 9月1日、Twitterでなぜか「天安門事件」がトレンドワード入りした。『八九六四』という、同事件をテーマにした著書を持つ私としては、看過できない事態である。 念のため解説すれば、天安門事件とは1989年6月4日未明に中国の北京で発生した、人民解放軍による民主化デモの武力鎮圧事件だ。当時、軍は抵抗する群衆に大量の実弾を発砲し、戦車を突っ込ませるなどした。結果、デモとは無関係なのに流れ弾が命中した一般市民も含めて、おそらく数千人（数百人～数万人まで諸説あり）が犠牲になった。 毎年、事件が起きた6月4日前後にはテレビや新聞で特集が組まれる。だが、30数年前の出来事であるため、普段は多くの日本人が忘れており、そもそも事件を知らない人も多い。それがなぜ、記念日とも無関係な9月上旬に、SNS上でバズることになったのか。 理由は、近年のインターネット上で「