バッカじゃねーのかな。 この仕組みを考えた奴何も考えてねえだろ。 こう言う頭のいいふりしたバカにシステムを作らせてはいけない。 詳細eSIMを設定したモバイルルータが死んだので、楽手モバイルでeSIMの再発行手続きをしたところ、二段階認証の表示が出た。 SMSまたは登録のメールでコードを送ったのでみてね、だそうである。 しかし待てど暮らせどメルアドにコードが送られてこない。なんだこれは。 で、楽天モバイルのfaqを漁るとこんなことが書いてあった。 https://network.mobile.rakuten.co.jp/faq/detail/00001914/ 継続的にセキュリティー対策を強化しており、5月下旬より一部のお手続きについてワンタイムパスワードの送信方法をメールからSMSに変更しました。は？ ばっかじゃねーの？ ホテルで部屋のパスワードを忘れたので新しく発行してくれと言ったら、
Malwarebytesは9月27日(米国時間)、「Millions of Kia vehicles were vulnerable to remote attacks with just a license plate number｜Malwarebytes」において、起亜(KIA)が2013年以降に製造したほぼすべての自動車に脆弱性が存在したと報じた。この脆弱性を悪用されると、自動車の主要な機能を遠隔操作される可能性がある。 Millions of Kia vehicles were vulnerable to remote attacks with just a license plate number｜Malwarebytes 脆弱性の概要 この脆弱性はセキュリティ研究者のSam Curry氏によって発見された。脆弱性の詳細はSam Curry氏のWebページ「Hacking Ki
このたび、LINE公式アカウントなどの利用に必要なLINEビジネスIDの一部において、第三者（以下、攻撃者）の不正ログインによるアカウントの乗っ取りが発生いたしました。その結果、被害にあったLINEビジネスIDに紐づくLINE公式アカウントを友だち追加しているユーザーにおいて、攻撃者から当該のLINE公式アカウントとのやり取りの一部が閲覧されたり、不審なメッセージが送付されたりしたことを確認いたしました。 本件の概要とアカウントの乗っ取りへの対応策について、下記のとおりご報告いたします。 なお、現時点で判明している不正ログインの被害にあったLINEビジネスIDにつきましては、ログインセッションの無効化（強制的なログアウト措置）およびパスワードの初期化を実施しております。 また、アカウントの乗っ取りによる影響のあったユーザーの皆さま、および不正ログインの被害にあったLINEビジネスID・LI
Android 14 (Credential Manager) におけるパスキー対応が面倒すぎる
Life with Web Browser Engine (Gecko, WebKit and etc), Mobile and etc. DroidKaigiにココらへんの話をしようと思って、CfP書いたけど落ちたので、自分用の覚書。 Firefox (GeckoView) AndroidでCredentail Managerの対応を入れたのが、GeckoViewとしてはバイナリサイズを大きくしたくないため、JetPackを一切使わずにCredential Manager経由でWebAuthn対応を行うコードをJavaでスクラッチで書いた。おそらくJavaでスクラッチで書いたのはChromeとGeckoViewだけだし、おそらくこの2つの製品以外でスクラッチ実装がされることは今後もないと思う。 しかもGeckoViewはWebブラウザエンジンなわけだから、いろんなWebサイトで実行可能な
NTTドコモ「dアカウント」一から作り直した方がいいのでは docomoやNTT系列のこの手のアカウント周りの仕様や管理画面の使いづらさは異常なので，可能な限りNTT系列のサービス，docomo系列のサービスと契約をしないことが人生の時間を浪費しないためのベストプラクティスである。 ただ，どうしても契約しなければならないパターンもある。例えば，フレッツ光しかマンションに引き込んでいないだとか，dアニメストアのような囲い込みの激しいOTTサービスと契約しないとアニメが見られないとか，やむにやまれぬ事情でこれらを使う必要が出てくる場合もある。 その場合，NTT側，docomo側に一切の要求をしないように気をつけなければならない。彼らに何一つ期待してはならない。 何しろ，彼らは基本的に自分は悪くないという言い訳のために仕事をしている。それが最大のモチベーションである。彼らは公務員のように上役から
毎日新聞社は印刷費と輸送費の増大や富山県内での発行部数の減少により、富山県内での新聞の配送をことし9月末で休止すると発表しました。配送を休止するのは富山県が全国で初めてだということです。 これは毎日新聞社が17日の朝刊の北陸版で発表したもので、ことし9月末で富山県内での配送を休止するとしています。 毎日新聞社によりますと、全国の都道府県で配送を休止するのは富山県が初めてだということです。 富山県内では大阪の工場で印刷した新聞を輸送してきて、販売店を通じ、各家庭や店頭などに配送していますが、印刷費や輸送費の負担が増していることに加え、県内での発行部数が減少傾向にあることから休止を決めたとしています。 これにより富山県内では毎日新聞は販売されなくなりますが、申し込めば郵送で翌日以降に購読することが可能だということです。 一方、富山県内での取材体制は維持するとしていて、毎日新聞社は「これからも富
記者会見には角川ドワンゴ学園の理事を務める川上量生氏も参加。サイバー攻撃の影響について「KADOKAWAグループのネットワークと学園のネットワークは別物であり、（サイバー攻撃による）直接の影響は基本的にない」（川上氏）と説明した。 ただし、ドワンゴが提供する学習サービス「N予備校」はログイン時に「ニコニコID」で認証する仕組みだったため、一時的に利用できなくなった。現在はニコニコIDに関する処理を切り離し、N高グループの生徒は学籍番号を使ったログインが可能となっている。学籍番号を持たないユーザーはニコニコID以外のログイン手段がなく、利用できない状況が続いているという。 R高は「N高等学校」「S高等学校」に次ぐN高グループ3校目として、2025年4月に群馬県桐生市で開校予定。今回のサイバー攻撃がR高のシステム設計へもたらす影響はないという。山中理事長は「サイバー攻撃に抵抗力のあるシステムを
楽天モバイルで「身に覚えのないeSIM再発行」の危険性 緩すぎる2つのプロセスは改善すべき：石野純也のMobile Eye（1/3 ページ） 楽天モバイルは、4月23日にあるお知らせをWebサイトに掲載した。タイトルは、「【重要】身に覚えのないeSIMの再発行にご注意ください」。ユーザー自身が気付かない間に、eSIMを再発行され、楽天モバイルの回線を乗っ取られてしまった事例があり、それに対する注意喚起を行った格好だ。悪意のある第三者がSIMカードやeSIMの情報を盗み取る犯罪は「SIMスワップ」や「SIMハイジャック」などと呼ばれることがあり、世界各国で問題視されている。 こうした事例に対し、楽天モバイルはユーザーにIDのメールアドレスからの変更や、他のサービスとのパスワードの使い回しをやめるよう案内している。ただ、これで本当に十分な対応といえるのだろうか。モバイル回線は単に電話やデータ通
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕
Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
これは、豆蔵デベロッパーサイトアドベントカレンダー2022第8日目の記事です。 JSON Web Token(JWT)の単語を目にすることがよくあると思いますが、それと一緒に認証と認可や、RSAの署名や暗号化、そしてOpenIDConnectやOAuth2.0までと難しそうな用語とセットで説明されることも多いため、JWTって難しいなぁと思われがちです。しかし、JWT自体はシンプルで分かりやすいものです。そこで今回は素のJWTの説明からJWS、そしてJWT(JWS)を使った認証を段階的に説明していきます。 おな、この記事はJWT全体の仕組みや使い方の理解を目的としているため、以下の説明は行いません。 RSAやHMACなど暗号化やアルゴリズムの細かい説明 JWTを暗号化するJWEとJSONの暗号鍵表現のJWKについて OpenIDConnectとOAuth2.0について 記事は上記のような内容
中国のメディアやゲーム産業を管轄する国家新聞出版署は12月25日、新たに105の国内ゲームライセンスを認可したことを発表した。中国メディア新華社通信などが報じている。中国においては、ゲームを正式発売あるいはマネタイズするためには、中国政府からゲームライセンス（版号）を受けなければならない。実質的なゲーム発売許可システムである。この政府によるゲームライセンス承認は急に止まることもあれば、全然進まないことももっぱら。一方で、最近になりゲームライセンス承認がいきなり進んだようだ。 発端となったのは、中国政府が掲げたゲーム規制だ。国家新聞出版署は12月22日、「网络游戏管理办法（オンラインゲーム管理弁法）」の草案を公表し、1月22日まで一般の意見を募るとした（関連記事）。このオンラインゲーム管理弁法は、中国国内で展開されているオンラインゲームに対して、さまざまな観点より管理をおこない、ユーザーの心
米Okta（オクタ）は2023年11月28日（米国時間）、同社のカスタマーサポート管理システムが9月から10月に受けた不正アクセスについて情報を更新した。当初は全体の1％未満のユーザー企業の情報が漏洩したとしていたが、今回、一部を除くほとんどのユーザー企業の情報が漏洩したことを確認したと発表した。 攻撃者は、オクタのIDaaS（アイデンティティー・アズ・ア・サービス）製品である「Workforce Identity Cloud」と「Customer Identity Solution」においてユーザー企業向けに提供しているカスタマーサポート管理システム「Okta Help Center」に不正アクセスした。Okta Help Centerは、主にユーザー企業のシステム管理者が使用するものだ。 攻撃者はシステムが備えるリポート機能を使って、オクタの顧客データを盗み出した。盗み出されたデータに
Hello,World! gonowayです。 弊社がご支援するお客様とお話するなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログインから守るために多要素認証が必須になってきている。 多要素認証の実現のため、会社モバイル端末であれ私物モバイル端末であれ認証アプリはインストールしてほしい。 私物モバイル端末にインストールしてもらう場合、エンドユーザーへの説明を行うことが必要。また、ガラケーしか持っていないような例外措置への対処を考えることも必要。 前提 認証要素について 認証要素は下記の3種類です。NIST SP800-63を参考にしています。 記憶によるもの：記憶(Something you know
0_medium_vuln_en.md Disclosure of a vulnerability that allows the theft of visitors' email addresses using Medium's custom domain feature Author: mala Introduction This article describes a vulnerability in a web service called Medium that allows you to steal visitors' e-mail addresses by using custom domain plan of Medium. This is done as my personal activity and is not related to my organization.
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
