headless曰く、 Googleは6日、ESET・Lookout・Zimperiumのセキュリティ企業3社と提携し、不正なアプリがユーザーのデバイスに届く前に阻止する「App Defense Alliance」の開始を発表した（Google Security Blog、ESETのプレスリリース、Lookout Blog、Zimperium's Mobile Security Blog）。 GoogleはGoogle Playストアで不正アプリの公開を防ぐためのさまざまな対策を行っているが、それでもマルウェアがたびたび発見されている。App Defense Allianceの最大の目的はGoogle Playストアの安全性を確実なものにすることだ。そのため、既存のGoogle Playプロテクトの不正アプリ検知システムに3社のマルウェアスキャンエンジンを統合するという。複数のヒューリステ
トレンドマイクロがユーザーに周知せずに個人情報を収集していた問題を受け、AppleはApp Storeでの同社製アプリの配信を停止している。これに対し10月31日付けでトレンドマイクロが状況を説明する文書を公開した（ITmedia、窓の杜）。 これによると、トレンドマイクロはAppleがアプリケーションによる個人情報収集について厳しい制限を課していることを肯定的に評価するいっぽう、自社による個人情報収集に対しては「一定の履歴データを収集することは、想定しうる被害を最小限にとどめるために当社にとって必要」として正当化しており、これがAppleとの間で「見解の相違」となっているという。 これに対し、セキュリティ研究者の高木浩光氏は「業界の信用を傷つける思想」と批判、抗議するべきと訴えている。
SoftBankのロボット「Pepper」で、認証なしにリモートからのPepperの操作を可能にし、人に危害を加えるなどの攻撃も行えるという脆弱性が見つかっているそうだ。スウェーデンとデンマークの研究チームによる調査結果は5月10日にarXiv.orgで公開されている（Register、 論文）。 研究チームはポートスキャンや脆弱性スキャナーの実行結果をもとに、各サービスへの攻撃が可能かどうかを評価している。リモートからの操作は9559番ポートからアクセス可能なNAOqiのサービスによるもの。このポートにTCPメッセージを送信するとPepperはそれに従って動作する。Pepperの体の動きを指定できるだけでなく、カメラやマイクを含むすべてのセンサーへのアクセスが可能なAPIが提供されているという。特に認証は行われず、APIの仕様に従っている限り、誰が送信したものであっても受け入れられるとの
Microsoftは1日、IntelプロセッサーのSpectre/Meltdown脆弱性を修正するマイクロコードアップデートをMicrosoft Updateカタログで提供開始した(Windows Experience Blogの記事、 KB4090007、 Neowinの記事、 The Vergeの記事)。 当初は第6世代Coreプロセッサー Skylake H/Sおよび第6世代Core mプロセッサー Skylake U/Y/Skylake U23eが対象で、CVE-2017-5715(Spectre Variant 2)を修正するマイクロコードアップデートが含まれる。IntelからMicrosoftに提供され次第、追加のマイクロコードアップデートを随時提供する予定だという。現在のところ更新プログラムが対応するWindowsバージョンはWindows 10 バージョン1709(Fall
EV証明書を使用して既知の企業になりすませる可能性をセキュリティリサーチャーのIan Carroll氏が指摘している(実証ページ兼解説記事、 Ars Technicaの記事)。 EV証明書では厳格な審査が行われるとされ、アドレスバーが緑色に変われば安心ともいわれるが、実際には会社を設立すれば比較的簡単に取得できてしまうという。Safariの場合、EV証明書を使用したWebページではアドレスバーにURLが表示されず、発行先の会社名のみが表示されるため、本物のWebサイトに似たフィッシング用のドメインを取得しなくてもユーザーがだまされる可能性もある。9月にセキュリティ専門家のJames Burton氏は「Identity Verified」という会社を設立して取得したEV証明書を使用し、Safariで安全なWebサイトがGoogleやPayPalのログイン情報を要求しているかのように見える例を
Kaspersky Labが特許侵害で同社を訴えたパテントトロールWetro Lanに対し、訴訟を取り下げたいなら金を支払えと逆に要求。5千ドルを支払わせたそうだ(Nota Beneの記事、 Ars Technicaの記事、 The Registerの記事)。 問題の特許US Patent 6,795,918(918特許)は受信したデータパケットから送信元や宛先、プロトコル情報を抽出してユーザーの変更不可能な判定ブロックを生成し、フィルタリングに使用するというもの。これは出願された2000年には既に広く使われていたネットワークファイアーウォールの仕組みそのもので、EFFが2015年6月にStupid Patent of the Monthに選んでいる。918特許は発明者が維持費の支払いをやめ、2012年9月に失効しているのだが、2015年に設立されたばかりのWetro Lanが買収。特許侵
セキュリティソフトの比較はマルウェア検出率やパフォーマンスへの影響などが注目されるが、最近ではセキュリティソフト自体を狙った攻撃も増加しているようだ。ドイツの独立系ITセキュリティ研究機関 AV-TESTでは、セキュリティソフト自体への攻撃を防ぐ自己防御機能を調査し、結果を発表している(AV-TESTのニュース記事、 Softpediaの記事)。 調査対象になったのは、個人向け製品19本と企業向け製品13本の計32本。調査はプログラムファイル(32ビットPEファイルおよび64ビットPEファイル)自体にDEPやASLRといった保護技術を適用しているかどうか、プログラムファイルに署名が入っているか、署名に使われた証明書は有効なものかといった点が対象だ。また、個人向け製品ではトライアル版ダウンロードページの通信が保護されているかどうかも調査している。なお、Microsoft製品は調査対象に含まれ
Mozillaの元開発者 Robert O'Callahan氏が、Microsoft以外のアンチウイルス製品は使用すべきではないと主張している(Eyes Above The Wavesの記事、 Ars Technicaの記事、 The Registerの記事、 Softpediaの記事)。 これはGoogleのJustin Schuh氏が昨年、安全なブラウザーを出荷する最大の障害はアンチウイルスだと指摘した一連のツイートに呼応するものだ。O'Callahan氏はMicrosoft以外のアンチウイルス製品がセキュリティーを改善するとの証拠はほとんどなく、むしろセキュリティーを低下させると主張する。 たとえば、Firefoxに初めてASLRを実装した際、多くのアンチウイルスベンダーがFirefoxのプロセスにASLRを無効化したDLLをインジェクトして台無しにしたという。また、アンチウイルスソ
世界最大の認証局ComodoでSSL証明書発行手続きに不備があり、一部のドメインで正規の所有者以外がSSL証明書を取得できる状態にあったそうだ(Incident Report — OCR、 Softpediaの記事、 The Registerの記事、 heise Securityの記事)。 ComodoではSSL証明書のリクエストがあるとWHOISデータベースからドメイン所有者の電子メールアドレスを取得し、確認の電子メールを返信する。一連の処理は自動化されているのだが、一部のTLD(.euおよび.be)に関しては電子メールアドレスがテキストで保存されておらず、画像に書き込まれた状態になっているのだという。 そのため、ComodoではOCRソフトウェアを使用してテキストを抽出し、ドメイン所有者に連絡を行っていたそうだ。しかし、このOCRソフトウェアでは数字の「1」と小文字の「l」、数字の「0
昨年、パスワードの強度を判定するツールの問題点が話題になったが、jQueryプラグインとして提供される人気のパスワード強度メーターでは現在もあまり改善されていないようだ（Naked Security、Guardian、Register）。 デジタルコンサルタント会社、英Compound EyeのMark Stockley氏は昨年、スラドで紹介したカナダ・コンコルディア大学の研究とは異なる方法でパスワード強度メーターを調査し、Naked Securityで結果を発表している。先日新たに掲載された記事によれば、前回の調査から1年以上たった現在も状況は変わっていないという。 判定に問題のあるパスワード強度判定ツールの弱点は、文字種や文字数の多さといったエントロピーにばかり注目するところだ。Stockley氏の行ったテストは、jQueryプラグインとして公開されているパスワード強度メーターで人気の
「Google デバイスがハッキングされた可能性があります」などとの画面を表示してセキュリティソフトのようなものをインストールさせようとする広告は以前からあったが、このような広告を使ってインストールを行わせている「GO Security」というAndroidアプリがGoogle Playのレビューでは大好評となっている。 GO Securityについては、6月10日に「情報科学屋さんを目指す人のメモ」ブログにて、「Google デバイスがハッキングされた可能性があります」という旨のメッセージを出す広告を表示していることが指摘されている。この広告画面は、実際にセキュリティ的な問題がなくとも表示されるようだ。しかしGoogle PlayのGO Securityページを見ると、8万件近くの「★5」レビューが付いており、「助かった」というコメントも多数寄せられている。 Go Securityは無料
昨年夏に発見され、「約95％のAndroidデバイスが影響を受ける」と言われた脆弱性「Stagefright」が、未だに多くのAndroid端末で修正されずに影響を受ける状態になっているという（ZDNet Japan）。Zimperiumによると、影響を受ける端末は全世界で8億5000台にも上るという。 この脆弱性は、Androidで使われているマルチメディアライブラリ「libstagefright」に存在するもの（JVNDB-2015-005124）。このライブラリにおける脆弱性は最初の発見後当初指摘されていたものとは異なる手法での攻撃も確認されたほか、また最近にも別の脆弱性が発見されている（ITProPortal）。 ZDNetの記事では、問題が修正されていない端末が大量に残っている原因は、端末メーカーごとの更新パッチ配信状況が異なることにあると指摘されている。また、更新パッチの適用に
ファイルをアップロードするとそれがマルウェアに感染していないかをチェックしてくれるWebサービス「VirusTotal」は無料で利用できることもあって広く使われているが、ここに機密情報などを含むファイルをアップロードする例がそれなりにあるという。VirusTotalにアップロードされたファイルは契約ユーザーがほぼ無制限に中身を確認できるため、VirusTotalで機密情報が流出する可能性もないとは言えないようだ（マクニカネットワークス セキュリティ研究センターブログ）。 VirusTotalにはアップロードされたファイルを提供する有償サービスがある。この有償サービスはセキュリティ企業などにマルウェアを提供することを目的としており、アップロードされたファイルにマルウェアが含まれているかどうかに関係なく、サービス契約者は自由にそれを入手できるという。マクニカネットワークスがそれを分析・追跡した
Firefox 43で1月1日よりSHA-1を使って署名された新規の証明書のサポートが中止された。しかし、これによって「中間者攻撃的な挙動を行うデバイス」を利用しているユーザーがHTTPSを利用できない状況になったことから、Firefox 43.0.4では一時的にSHA-1を利用する証明書のサポートを復活させることにしたという（ITmedia、Mozilla Security Blog）。 いくつかのセキュリティソフトやウイルス対策ソフトなどが「中間者攻撃的な挙動を行うデバイス」に含まれる模様。こういったソフトウェアはHTTPSで保護された通信内容にアクセスするために独自に作成した証明書を利用するが、その証明書がSHA-1を利用している場合問題が発生するという。
「楽天アプリ市場」の野良APKファイル（rapps.apk）を http（暗号化無し）でダウンロードさせている時点で、セキュリティのことを何も考えていないのがバレバレです。 暗号化無しで配信されていることの確認方法は、下記の通り。 楽天アプリ市場 [rakuten.co.jp] にアクセスする。ブラウザの幅を小さくする（ブラウザ幅で「パソコン」か「スマホ」かを判定するレスポンシブデザインのため）。「アプリをダウンロードする」というボタンが表示されるので、右クリックして、リンクアドレスをコピーする。リンク先が「http://apps.rakuten.co.jp/download/rapps.apk」と「https://」ではなく「http://」で始まっていることが分かる。（なお、手動で「http://」の部分を「https://」に書き換えれば、https通信でダウンロード可能なようですが
米国商務省は、武器輸出関連の国際協定「ワッセナー・アレンジメント（新ココム）」を見直すことで、コンピュータ用のセキュリティツールの輸出に厳しい輸出規則を行うことを提案している。現在、ワッセナー・アレンジメントは41カ国が加盟しており、統制品目のリストは毎年改訂されている。商務省はこの統制品目目の中に、ネットワーク侵入やトラフィック検査に関連するネットワーク分析ツールなどを含めたい意向のようだ（ITWorld、Slashdot）。 また、広い意味でのハッキングツールについても規制することを考えているという。例えば、コンピュータやネットワーク、周辺機器の脆弱性を検出するようなツールも含まれる。ハイパーバイザ、デバッガ、リバースエンジニアリングソフトウェアなどは含まれないという。なおファイブアイズ関係国ではこうした規制は緩和されるとしている。統制品目のリストの改訂は12月に行われる年次総会で行わ
ネット関連コンサルティング会社であるループス・コミュニケーションズが、ネットユーザーやネット広告の利用状況を調査しているビデオリサーチインタラクティブと協力してAndroidスマートフォンにおける「アプリ集計速報」なるものを出しています。情報提供元はビデオリサーチインタラクティブの「Cloudish for Android Apps」なる技術だそうで、ここでは「約8万人のスマートフォンユーザーのアプリ利用ログをクラウド上に蓄積」しているとのこと。 アプリ集計速報ページによると、収集されたデータは「外部企業が作成したAndroidアプリ（電池節約アプリ）をインストールしている約5万人を対象」とし、「独自に発番したユーザーID、性別、年齢」や「保有アプリ名、起動したアプリ名と日時、インストール/アンインストールしたアプリ名と日時」を保管しているそうです。 また、「ビデオリサーチインタラクティブ
最近SSL関連の脆弱性がたびたび話題になったが、これに関連してか、HTTPSを利用しているのにCookieのsecure属性を設定していないサイトについてが話題になっているようだ（セキュリティ研究家高木浩光氏によるTogetterまとめ）。 Cookieのsecure属性については、2004年に高木浩光氏がまとめた「安全なWebアプリ開発の鉄則 2004」の「CookieにSecure属性を」以下が分かりやすいが、この属性をセットしておくと、HTTPSでの通信時にのみそのCookieが送信される、というもの。secure属性が設定されていない場合、HTTP通信の際にもそのCookieが送信されるため、通信内容を傍受するなどでセッションIDなどが盗まれる可能性がある。 高木氏が検証したところ、secure属性が設定されていないサイトとしては全日空やニコニコ動画、OCNメールなどがあった模様。
セキュリティーを強化した携帯電話「GSMK CryptoPhone」シリーズを米国で販売しているESD Americaによると、通信会社が設置したものではない偽の携帯電話基地局(インターセプター)が全米各地で発見されているそうだ(Twitter — Cell Hacking Alerts、 Popular Scienceの記事、 本家/.)。 インターセプターの中身はコンピューターに無線通信機能を追加したもの。通話内容の傍受のみが可能な低機能なものから、政府機関が使用する VME Dominatorのように偽のテキストメッセージを使用してスパイウェアを送り込むといったことも可能なものもある。インターセプターはCryptoPhone 500が存在を検出。米軍基地周辺で数多く発見されているが、使用者は不明だ。ラスベガスのカジノ付近でも発見されており、フロリダからノースカロライナへの経路で8つの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
