LINEヤフー､総務省も呆れ果てた｢変わらぬ体質｣
「行政指導でここまで踏み込んだ文書は、あまり見たことがない。次こそは許しませんよ、というメッセージだろう」 総務省は3月5日、SNS「LINE」や検索サービス「Yahoo! JAPAN」などを運営するLINEヤフーに行政指導を行った。その指導内容を記した文書を見た通信業界関係者は、驚きの声を上げた。 LINEヤフーは2023年9～10月、LINEの利用者や取引先の情報など約51万9000件を外部に漏洩させていた。総務省はこのうち2万件以上が電気通信��業法上の「通信の秘密」の漏洩に当たると判断した。 具体的な指導項目として、LINEヤフーの親会社に50％出資する韓国のIT大手、NAVERとのシステムの切り離しや、グループ全体のセキュリティガバナンス体制の強化などを要請。その取り組み方針などを4月1日までにとりまとめたうえで、今後少なくとも1年間は、四半期ごとに総務省に対応状況を報告することを
[2023-01-31 12:00 JST 更新] JWTのシークレットポイズニングに関する問題
2019年1月30日 PST 本脆弱性の悪用シナリオの前提条件に関するコミュニティからのフィードバックを受け、私たちはAuth0と協力してCVE-2022-23529を撤回することを決定しました。 本稿で解説したセキュリティの問題はJsonWebTokenライブラリが安全でない方法で使用された場合には依然として懸念されるものです。そのシナリオでは、すべての前提条件を満たせばこの問題を悪用できる可能性があります。私たちは、その場合のリスクの大元はライブラリ側でなく呼び出し側のコードにあることに同意します。 この問題に対処するためJsonWebTokenのコードには重要なセキュリティチェックが追加されました。 jsonwebtoken 8.5.1以前のバージョンをお使いの場合は最新版の9.0.0にアップデートすることをお勧めします。最新版では同セキュリティ問題を含む問題を修正済みで、より安全な
![[2023-01-31 12:00 JST 更新] JWTのシークレットポイズニングに関する問題](https://cdn.statically.io/img/cdn-ak-scissors.b.st-hatena.com/image/square/f74e9575220c49b6d66889f97b3d377182740fe5/height=288;version=1;width=512/https%3A%2F%2Funit42.paloaltonetworks.jp%2Fwp-content%2Fuploads%2F2024%2F06%2F02_Cloud_cybersecurity_research_Overview_1920x900.jpg)
twitterアカウント@yanmaが乗っ取られた - yanma
字下げ.iconTwitterで拡散され始めているため、誤解のないように補足しておきます。私のアカウントが乗っ取られたことは事実ですが、私はTwitterのセキュリティ設定のうち、「2要素認証」と「追加のパスワード保護」をいずれもデフォルト設定のままOFFにしていました。これらのいずれか一つでもONになっていた場合、今回の手口は使えない可能性があります(Twitterのセキュリティ周りの仕様が不明なため推定)。 字下げ.iconしかし、「2要素認証」はともかくとして、「追加のパスワード保護」がデフォルトでOFFになっているのはWebサービスのセキュリティ上正しい設計なのかどうかかなり疑問です。私はこの設定の存在を知らず、パスワードのリセット要求がされると少なくとも一回はログインアラートが来て阻止するチャンスがあると考えていました。
Wireshark Tutorial: Examining Emotet Infection Traffic
This post is also available in: 日本語 (Japanese) Executive Summary This tutorial is designed for security professionals who investigate suspicious network activity and review packet captures (pcaps). Familiarity with Wireshark is necessary to understand this tutorial, which focuses on Wireshark version 3.x. Emotet is an information-stealer first reported in 2014 as banking malware. It has since evol
[怪談]VirusTotal沼のお話（対策含）｜__aloha__
こんにちは。今回はセキュリティ関連の調査で非常に便利なサイトである、皆様お馴染みのVirusTotalについて書いてみようと思います。もちろん、タイトルにある通り、「怪談」ですので、一般的な使い方のお話についてはしませんよー。 (2021/2/2 関西大学さんの注意喚起が参考になりますので、それを追記） VirusTotalの裏コマンド「VTENTERPRISE」 やや煽り気味のタイトルですが、VirusTotalには大きく二つの「サービス」があることはご存じでしょうか？一般の方が使うのはいわゆるVirustotalといわれるこちらです。こちらは無料で使えます。 他方、セキュリティ企業やセキュリティを重視する企業がお金（年額120万円以上/Person)を払う事で使えるのが、Virustotal Enterpriseというものです。 VirusTotal Enterpriseは無償のVir
![[怪談]VirusTotal沼のお話（対策含）｜__aloha__](https://cdn.statically.io/img/cdn-ak-scissors.b.st-hatena.com/image/square/c442611a8468ca2b2ba8de498fb2c81ef38bca53/height=288;version=1;width=512/https%3A%2F%2Fassets.st-note.com%2Fproduction%2Fuploads%2Fimages%2F43478921%2Fpicture_pc_98ce7446417c6a1b618d3d5f3c51d4da.png)
サイバー攻撃可視化ツールおすすめ6選！ツールを提供しているプロの目線でご紹介
インターネットをはじめとしたネットワークの発達は、企業や組織に大きな利益と業務の変化をもたらしてくれました。ネットワークに常時接続し、デジタルデータのやり取りやサービスの提供を受けることで、業務の効率化などの様々なメリットの享受に繋がります。 しかし、それと引き換えに、世界中の悪意あるユーザーによるサイバー攻撃の前にさらされることにもなりました。ネットワークで接続されているということは、接続しているどこからでも攻撃が可能となることも意味しているからです。 このようなサイバー攻撃において、どこから、どれだけの攻撃を受けているかを把握することが対処の第一歩となります。サイバー攻撃を可視化し、対処への足がかりを提供するのが、サイバー攻撃可視化ツールです。その重要性から、多くのセキュリティプロバイダーから提供されています。 本記事では、代表的なサイバー攻撃可視化ツールを6つ紹介します。ツール提供を
続・続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
この記事は過去2回にわたる検証記事の続きとなります。 国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。 ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。 ▼これがおすすめ記事のために送信される内容 （この内容は記事の最後にテキスト情報としても掲載しておきます） URL情報に関連するもので 『c、t、d』 と呼ばれそうなものは何か。 ・cのデータ量は飛び抜けて多い ・cとdは一致が見られることがある ・一部が一致しながらもcのほうが長かったりもする
SAD DNSのICMP rate limitを用いたサイドチャネル攻撃について - knqyf263's blog
脆弱性ネタは人気がないことが過去の傾向から明らかですが、自分が震えるほど感動したので忘れないためにも気合い入れて大作を書きました。 要約 背景 SAD DNSの解説 全体像 UDPのソースポートについて ICMP rate limit per-IP rate limit global rate limit Public-Facing Source Portのスキャン Private Source Portのスキャン 攻撃Windowの拡張 サイドチャネル攻撃でUDPソースポートを推測してみる 対策 攻撃実現性 まとめ 要約 ちゃんと理解するの結構難しいという話があったので、先に要約しておきます。雰囲気だけでも掴んでもらえると嬉しいです。 DNSキャッシュポイズニングの新しい手法としてSAD DNSが発表された キャッシュポイズニングのためには権威DNSサーバ正規の応答を返すより先に攻撃者が
#43 – Capsicum: practical capabilities for UNIX
FreeBSD のサンドボックス機構 Capsicum について向井が話します。 Capsicum: practical capabilities for UNIX Capsicum – FreeBSD Wiki Computer Laboratory: Capsicum: practical capabilities for UNIX Capsicum and Casper – a fairy tale about solving security problems Capsicum | Hacker News Pledge: OpenBSD’s defensive approach to OS Security Follow up Mitsutoshi Aoe/maoe on Twitter: “#misreading ep. 41でIdrisの話をしてた。最近作者は https://
ゲストブログ - SIOS SECURITY BLOG
https://blog.ripstech.com/2019/wordpress-image-remote-code-execution/ WordPress 5.0.0 Remote Code Execution https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8942 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8943 WordPressにリモートでコードを実行できる脆弱性が有るようです。詳しい情報は、ディストリビューションから情報が上がってきたら脆弱性ブログで公開します。
マルウェア解析に必要な素養 - HackMD
本書は、マルウェアが絡んだ事情を体系的にまとめている。攻撃者、防衛者、解析者の各視点から"マルウェア"のチョメチョメを理解することを目標としている。
PAMによる認証の仕組みを調べてみた - GeekFactory
/etc/pam.d/system-authが気になって夜も眠れないので調べてみました。この設定ファイルはOS全体の認証*1を司るものです。コンソールでログインするとき、SSHで接続するとき、su（switch user）するときなど、多くの場面で利用されます。 /etc/pam.d以下にあるファイルは下記の書式になっています。 タイプ コントロールフラグ モジュール [オプション] タイプは4種類あります。 auth 認証を許可するかどうかです。ユーザが本物であるかを、パスワードなどの入力によって確認をします。また認証方法を変更することも可能です。 account パスワードの有効期間や認証時の時間などでアカウントの有効性をチェックします。authとセットで使用されます。 password 認証方法を変更するメカニズムを提供します。通常はパスワードの設定／変更する場合です。 sessio
CISSPとは｜ISC2 Japan
CISSP®とは CISSP(Certified Information Systems Security Professional)とは、ISC2（International Information Systems Security Certification Consortium）が認定を行っている国際的に認められた情報セキュリティ・プロフェッショナル認定資格です。 Novell、Deloitte Touche Tohmatsu、大手ヘルスケアサービス企業その他主要企業において、CISSP認定資格の取得が情報セキュリティ関連業務従事者の必須事項とされています。 2004年6月には、米国規格協会（ANSI）よりISO/IEC17024の認証を受け、資格制度の全てのプラクティスがグローバルに認められ、 認定資格試験としての信頼度がより高くなりました。 CISSP認定資格は、情報セキュリティ
Linux Kernel CVE-2017-18017 の Poc を書いて検証した - hibomaの日記
表題の通り CVE-2017-18017 の PoC を書いてどのような影響があるのを検証・観察した ⚠️ 一年以上前に修正パッチが出ている CVE です CVE の Description The tcpmss_mangle_packet function in net/netfilter/xt_TCPMSS.c in the Linux kernel before 4.11, and 4.9.x before 4.9.36, allows remote attackers to cause a denial of service (use-after-free and memory corruption) or possibly have unspecified other impact by leveraging the presence of xt_TCPMSS in an ipt
JVNVU#93502675: OpenSSL に複数の脆弱性
2018年3月27日、OpenSSL Project より OpenSSL Security Advisory [27 Mar 2018] が公開されました。 アドバイザリによると、次に挙げる脆弱性が修正され、修正版の OpenSSL 1.0.2o、1.1.0h がリリースされています。 なお、CVE-2017-3738 については以前の OpenSSL security advisory で情報公開され、OpenSSL 1.0.2 向けの修正バージョンがリリースされていましたが、今回 OpenSSL 1.1.0 向けの修正バージョンもリリースされました。 深刻度 - 中 (Severity: Moderate) Incorrect CRYPTO_memcmp on HP-UX PA-RISC (CVE-2018-0733) Constructed ASN.1 types with a r
ぼくのかんがえたさいきょうのせきゅりてぃかんきょう - nalilix’s diary
※この記事はあくまでも自分のプライバシーを泥棒に奪われないようにするためのものです 現時点では安心と思いますが、時代の進歩や人間のセキュリティをつかれて無意味になる場合があります。 〜朝７時〜 ピンポーン 女性「○○さーん？」 ガバッ ぼく「おなごやんけ！早くでなきゃ（使命感）」 ガチャ いかつい男（手に黒い手帳）「○○警察でーす」 ﾀﾞﾀﾞﾀﾞﾀﾞﾀﾞﾀﾞﾀﾞﾀﾞﾀﾞﾀﾞ 突然大勢の大人たちが我が家におしかけてきた その数 総勢２０名 僕は呆然と立ち尽くした そしてショックを受けた これからガサ入れが行われること、 そして、昨日の夜 床オナをしてそのまま寝たため、カピカピとなったパンツを履いたまま数日過ごさないといけない事を知って。 ※この物語はフィクションです ぼくのかんがえたさいきょうのせきゅりてぃかんきょう さてみなさん、悪いことしていますか？僕はしていません。 ガサ入れというのは
BadUSB体験会 - Qiita
こんにちは。去る11月8日に、BadUSB体験会という社内勉強会を開催しましたのでその内容を簡単に紹介します。 (KLab Advent Calendar 2016 の2日目の記事になります) 概要 BadUSBとはUSBメモリのファームウェアを書き換えてHIDデバイスとして動作させ、任意のキー入力を行う攻撃手法の事なのですが、今回はその攻撃手法の 「任意のキー入力を行うHIDデバイス」 という部分を自作してみる事で、この攻撃について学んでみます。 デバイスの入手 任意のキー入力を行うHIDデバイスの作り方には様々な方法があり、PS/2キーボードの通信プロトコルを実装してUSB -> PS/2変換アダプタを通す などの手法がありますが、現状もっとも手軽な方法としては、 キーボード操作を行えるArduinoを利用する方法があります。 Arduino には標準で、キーボードとマウスを操作するラ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://twitter.com/bulkneets/status/1613005834652647425
)
twitterアカウント@yanmaが乗っ取られた(解決編) - yanma
GitHub - google/capsicum-test: Test suite for Capsicum