脆弱性情報、勝手に開示しないで 経産省などがクギを刺す FeliCaの事例念頭か
経済産業省は9月9日、報道におけるソフトウェアなどの脆弱性情報の取り扱いについて、改めて「情報セキュリティ早期警戒パートナーシップガイドライン」に即した対応を求める声明を出した。8月28日に共同通信が報じた「FeliCa」の事例が念頭にあるとみられる。 このガイドラインでは、発見された脆弱性情報は関係者の間のみで管理され、検証と対策実施が済んでから公表する手順になっている。脆弱性が悪用される可能性を低減させるための措置だ。 しかしFeliCaの件では、IPAやソニーが脆弱性に関する情報を公開していなかったにも関わらず、脆弱性の発見者に取材した報道機関が大々的に報じた。発見者は7月に脆弱性について報告していた。 経産省は、脆弱性の発見者はIPAへの届出を行い、正当な理由がない限り関連情報を第三者に開示しないこと、正当な理由により開示が必要な場合でも、事前にIPAに相談するように求めた。併せて
Web3開発者をねらったハッキング手口の全て（わたしは全て抜かれました...）
はじめに 本当に悔しいし許せないし、エンジニアとして不甲斐ないです。2025年2月26日深夜にハッキングにあいました。どのように相手と繋がり、どのような手口でハッカーに資産を抜かれたか、コードベースで全てお伝えします。今後同じ被害に遭う方が少しでも減ることがあればこんな嬉しいことはないです。 コード解説、さらに対策案も書いていきます。もし他に良い対策案などあればコメントでご教示ください。 ハッカーとのやりとりの流れ ハッカーとは Linkedin でブロックチェーンを使ったプロジェクトを手伝ってくれないかという連絡がりそこからやりとりが始まりました。そして移行の大まかな流れは下記のような感じです。 Linkedinでプロジェクトを手伝ってほしいと言う内容でDMがくる Githubリポを見て実装できそうか確認してほしいと言われる 自分のGithubアカウントを共有してプライベートリポジトリに
鍵生成には暗号論的に安全な乱数を使おう
SSHの鍵生成には暗号論的に安全な疑似乱数を使おうという話。 暗号論的に安全ではない疑似乱数がどれだけ危険かというのを、簡単なCTFを解くことで検証してみました。 背景 SSH公開鍵に自分の好きな文字列を入れる、という記事を読みました。 かっこいいSSH鍵が欲しい 例えばこのSSH公開鍵、末尾に私の名前(akiym)が入っています。 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIFC90x6FIu8iKzJzvGOYOn2WIrCPTbUYOE+eGi/akiym そんなかっこいいssh鍵が欲しいと思いませんか？ かっこいい！真似してみたい！ そこまではいいんですが、問題は実装です。 秘密鍵を生成する際の乱数生成には高速化のために Goのmath/randを使っていますが、乱数が用いられるのは公開しない秘密鍵自体であり、このアルゴリズム自体はLagged Fib
別人の住民票が誤って発行されるバグ、富士通Japanのコンビニ交付サービスで
コンビニの証明書交付サービスで別人の住民票が発行されるトラブルが横浜市で発生した問題について、サービスの提供ベンダーが富士通Japanであることが日経クロステックの取材で2023年3月29日までに分かった。同社が手掛ける証明書交付サービスへのアクセスが集中し負荷が高くなったことで、「プログラム的な瑕疵（かし）が表面化した」（広報）という。 富士通Japanは日経クロステックの取材に対し、システムに不具合があったことを認めた。負荷が高くなると別人の住民票が発行される事象の詳細については「回答を控える」（広報）とした。 同トラブルは2023年3月27日午前、横浜市に住民から寄せられた連絡で発覚した。住民がコンビニでマイナンバーカードを使って住民票を取得したところ、別人の氏名や住所が記載された住民票が交付されたという。横浜市は同日午後2時にコンビニでの証明書交付サービスを停止し、誤って交付された
医療者情報27万人分閲覧可に 東京の接種予約システム停止 ｜ 共同通信
東京都は27日、医療従事者向けに開設した新型コロナウイルスのワクチン接種予約システムを一時停止したと発表した。特殊なツールを用いれば登録者約27万人分の個人情報が閲覧できる可能性が発覚し、改修するため。コールセンターでの予約は受け付け、接種計画に大きな影響はないとしている。 漏えいする恐れがあったのは、システムに登録していた保健師や救急隊員などの氏名、生年月日、職種、接種券番号。閲覧には有料の開発ツールを用いる必要があり、都は被害の有無を調べている。
sudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit) - SIOS SECURITY BLOG
OSSに関するセキュリティ・ツールの使い方・脆弱性等を紹介しています。 SELinux/Capability/AntiVirus/SCAP/SIEM/Threat Intelligence等。 OSS脆弱性ブログ01/27/2021にsudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit)が公開されています。どのローカルユーザでもパスワード認証を経ずに特権昇格が出来るため、一度ローカルユーザのターミナルを開くことが出来れば権限昇格できてしまうという強烈なものです。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 【01/27/2021 10:30更新】Amazon Linuxのリンク（ALSA-2021-1478)も加えました。また、詳細情報を追記しました。 【01/27/2021 14:30更新】O
Salesforceの設定不備に起因した外部からのアクセス事案についてまとめてみた - piyolog
2020年12月25日、セールスフォースドットコムは一部製品、または機能を利用するユーザーにおいて、Salesforce上の組織の一部情報が第三者より閲覧できる事象が発生していると案内を掲載しました。また、12月に入り外部への情報流出の可能性を発表した楽天、PayPayがこの影響を受けたユーザーに含まれていたことが報じられています。ここでは関連する情報をまとめます。 設定不備で第三者からの情報閲覧事象が発生 www.salesforce.com セールスフォースドットコムが公開したリリースをまとめると以下の通り。 影響を受ける対象機能、製品はExperience Cloud（旧 Community Cloud）、Salesforceサイト、Site.com。 既に当該機能、製品利用組織において第三者による閲覧行為が発生している。 脆弱性起因の問題で生じた事象ではなく、ゲストユーザーに対する
警察庁内端末不正アクセスと5万件の脆弱なVPNホストの公開についてまとめてみた - piyolog
警察庁は2020年11月27日、庁内の端末が1年以上前から不正アクセスを受けていたことを発表しました。また同時期に公開された脆弱なVPN機器リストについても併せてここでまとめます。 VPNのパスワードが漏れた可能性 不正アクセスが確認されたのは警察庁情報通信局のノートPC1台。業務物品の手配を行う専用端末として利用されていたもの。 ノートPCは他のシステムとは接続されておらず、警察庁は情報流出の可能性は低いと判断。不正アクセスが行われたタイミングでは端末に情報保管を行っていなかった。 複数のIPアドレスから2019年8月から2020年11月中旬まで合計46回の不正アクセスが行われていた。*1 ノートPCからインターネット接続を行う際にVPN機器を利用。このVPNのパスワードが第三者に利用された可能性がある。*2 警視庁からの情報提供を受け発覚 2020年11月25日に警視庁から「不正アクセ
東証の障害、富士通はケシカラン!
品質どうなってんだ。 全然関係ないですが、cf.takeover.on_panicというパラメータについてNetApp社のサイトを調べました。 すると、リリース日が違うけどタイトルが同じな2つのマニュアルを見つけました。 富士通や東証の人が信じていた挙動https://megalodon.jp/2020-1021-2016-08/https://library.netapp.com:443/ecm/ecm_download_file/ECMP1210206 Data ONTAP(R) 8.2 High Availability and MetroCluster Configuration Guide For 7-Mode Part number: 215-07985_A0 May 2013 Enable or disable automatic takeover on panic by e
パーフェクトRails著者が解説するdeviseの現代的なユーザー認証のモデル構成について - joker1007’s diary
最近、パーフェクトRuby on Railsの増補改訂版をリリースさせていただいた身なので、久しぶりにRailsについて書いてみようと思う。 まあ、書籍の宣伝みたいなものです。 数日前に、noteというサービスでWebフロント側に投稿者のIPアドレスが露出するという漏洩事故が起きました。これがどれぐらい問題かは一旦置いておいて、何故こういうことになるのか、そしてRailsでよく使われるdeviseという認証機構作成ライブラリのより良い使い方について話をしていきます。 (noteがRailsを使っているか、ここで話をするdeviseを採用しているかは定かではないので、ここから先の話はその事故とは直接関係ありません。Railsだったとしても恐らく使ってないか変な使い方してると思うんですが、理由は後述) 何故こんなことが起きるのか そもそも、フロント側に何故IPアドレスを送ってんだ、という話です
5億4000万件以上のFacebookのユーザー記録、AWSのサーバで公開状態に
5億4000万件以上の記録を含むFacebookのデータが、オンラインに公開されたデータベースに保管されていた。UpGuardのセキュリティ研究者らが米国時間4月3日に明らかにした。 データには、ユーザーのコメント、いいね、名前、Facebook IDなど、広範囲にわたる情報が含まれていた。データは、Facebook上の2つのサードパーティーアプリが収集したものだった。 「Facebookのポリシーでは、Facebook情報を公開されたデータベースに保管することを禁止している。指摘を受けて、Amazonと協力し、データベースを閉鎖した。当社プラットフォーム上の開発者らと連携し、ユーザーデータの保護に努めるつもりだ」とFacebookの広報担当者は声明で述べた。 3日に明らかになったこの件において、問題のデータベースは何の保護も施されないまま、Amazonのクラウドサーバには配置されていた。
流行マルウェア「EMOTET」の内部構造を紐解く | 技術者ブログ | 三井物産セキュアディレクション株式会社
EMOTETというマルウェアは2014年にはじめて確認されて以来、様々な変化を遂げてきました。当初はオンライン銀行の認証情報窃取を主な目的としたオンラインバンキングマルウェアとして認知されていましたが、その後、様々な変更が加えられ、現在においては2014年出現当時とは全く異なる挙動や目的を持ったマルウェアとなっています。 2018年末現在、EMOTETは世界中で積極的に拡散され被害拡大が懸念されており、日本国内も例外ではなく、様々な企業へEMOTETの感染を狙った不正メールが届いている状況にあります。 そうした状況にもかかわらず、少なくとも国内においては、今のところ現在のEMOTETに関する感染から挙動に至るまでのまとまった情報が見当たりません。 そのため、今年11月～12月に実際の国内企業への攻撃で使用されたEMOTETの不正メールを元に、我々が調査した結果と現在のEMOTETの全体像を
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「フリーWi-Fiを『むやみに使わないように』と言われてきたので、今でも不安です」～ネットの疑問をIIJに聞きました【掘り下げると長くなるネットの疑問】
東大、これまでに解かれたことのない次元の暗号解読を実現
ワクチン予約サイト、プロが示す「最悪シナリオ」対処法：朝日新聞デジタル