よる「インターネット上の海賊版サイトに対する緊急対策」に反対する。BetaNewsの記事)。評価は1)パスワード長8文字以上が必須、2)数字とアルファベットを組み合わせたパスワードが必須、3)設定画面でパスワード強度判定機能を提供、4)アカウント作成確認の電子メールを送信、5)2要素認証を提供、の5項目について各1点、5点満点で判定される。55社には航空会社やホテル、旅行代理店、クルーズ会社などが含まれる。結果としては、5点満点を獲得したのはAirbnbのみ。Airlinesが4点で続く。合格ラインの4点以上を獲得したのは11%にとどまり、89%が水準以下となっている。項目別では大半の49サイトが確認メールを送信しているのに対し、2要素認証を提供するのは2サイト、パスワード強度判定機能を提供するのは10サイトにとどまる。23サイトが8文字未満の弱いパスワードを許可しており、22サイトが数字のみまたはアルファベットのみの弱いパスワードを許可している。両方を許可しているサイトは14サイト、どちらか一方を許可しているサイトは31サイトに上る。両方を許可している14サイトのトータルスコアはすべて0~1点であり、0~2点の29サイト中28サイトが少なくとも一方を許可している。トータルスコア3点を獲得した20サイト中17サイトは弱いパスワードの使用をいずれも認めていないが、Booking.comとHertz、Skyscannerは数字のみ/アルファベットのみのパスワードを許可している。Rankings」と比較して旅行関連サイトでは水準以下のサイトが多いと説明しているが、前者の合格ラインは3点以上、後者の合格ラインは5点以上。前者は4番目の評価項目が10回以上パスワードを誤入力した際にロックアウトなどの措置をとるかどうかとなっているが、これらの違いについては説明されていない。Twitterではパスワードをbcrypt関数でハッシュ化しているが、ハッシュ化前のパスワードが内部ログに平文で記録される不具合を発見したという。パスワードが不正に使用された兆候はみられないとのこと。データストアでは暗号化していてもログに平文で残っているのは、セキュリティあるある事例だ。Twitterはログに記録された平文パスワードをすべて削除しているが、念のため同じパスワードを使用しているすべてのWebサービスでパスワードを変更することや、強いパスワードを設定すること、2要素認証を有効化すること、パスワードマネージャーを使用してWebサービスごとに異なる強いパスワードを使えるようにすることを推奨している。2018年05月02日Twitter、カスペルスキーの広告を拒否。Disturb」を公開している(公式ページ、Softpedia、HackRead、WIRED)。Maid攻撃はホテル宿泊者が外出したすきに、女性の客室係(maid)に化けたスパイが部屋に侵入してノートPCからデータを盗み出したり、スパイウェアを仕込んだりするといったものだ。Disturbという名称もこれにちなんだもののようで、アイコンもホテルで客室係が入ってこないようドアノブにかける札を模したデザインになっている。DisturbではMacBookのディスプレイを開いた時のイベントをトリガーにして処理を開始する。実行できる処理としては、ディスプレイへの警告表示や、攻撃者の行動記録、指定した処理の実行など。iOS用のコンパニオンアプリを使用するとiOSデバイスで警告やMacBookのカメラで撮影した写真を受信したり、リモートからシャットダウンしたりといった処理も可能になる。Disturb本体は無料で使用でき、ソースコードも公開されている。Storeから無料で入手できるが、1週間の試用期間以降はサブスクリプションが必要だ。Securityが開発したもので、ユーザーガイドなどは同社Webサイトで公開されている。今後は電源やUSB接続といったイベントを警告するなど、監視と検出機能を強化していきたいとのこと。現在、ウォードル氏はセキュリティ企業Synackの主席セキュリティ研究者を務めており、各地のセキュリティカンファレンスに出席する機会が多い。移動中は機密情報をすべて除いた使い捨ててもいいPCを使用しているそうだが、昨年モスクワで食事をした女性から元ロシア外務省職員だと聞かされ、ホテルの部屋に置いてきたPCが心配になったという。Maid攻撃のことを考えずにはいられなくなったとのことだ。Playで公開している。こちらはアプリをインストールしたAndroid端末をノートPCの上に乗せて使用する。侵入者がノートPCにアクセスしようとすると、Android端末の各種センサーが感知して音声や画像を記録するほか、別の端末にテキストメッセージで通知することも可能だ。Guardianの記事)。Web版の新Gmailではメッセージをポイントするだけで操作アイコンが表示されるようになっており、メッセージを開いたり選択したりせずに各種操作が実行できる。添付ファイルもメッセージを開かずに直接表示できるようになっている。新たに追加された「スヌーズ」機能を使用するとメッセージが「スヌーズ中」フォルダーに移動し、指定期間を過ぎると受信トレイに戻る。受信したメッセージの内容に応じて提案される応答候補から選択して返信できる「スマートリプライ」機能や、メッセージの送信相手が印刷や転送、コピーなどをできないようにし、有効期限も設定できる「Confidential」モード、未返信メッセージなどにリマインダーを表示する機能、サイドバーからGoogleカレンダーやKeepなどを表示する機能も追加されている。このほか、リスクの高いメッセージに警告を表示する機能も追加されたとのことだ。53」を狙った攻撃により、仮想通貨管理サービス「MyEtherWallet.com」の利用者が偽サイトに誘導され、仮想通貨管理に利用する秘密鍵などの情報が盗み取られる被害が発生した(ITmedia、ZDNet)。今回使われたのは「BGPハイジャッキング」とよばれる手法。インターネットではBGPと呼ばれるプロトコルを使って通信経路情報をやり取りしている。53向けの通信を別のサーバー(偽DNSサーバー)に転送していた。53のDNSサーバーを指定していたようだ。そのためMyEtherWallet.comの名前解決のために問い合わせを行ったDNSサーバーの通信パケットが偽DNSサーバーに誘導され、その結果各DNSサーバーが不正なIPアドレスを返すようになっていたという。53自体やユーザーがアクセスするDNSサービス自体が直接第三者に攻撃されて乗っ取られたわけではないため、ユーザー側での対処は困難となっている。今回の件では偽サイトにアクセスした際にWebブラウザがSSL証明書エラーを表示したようだが、これを無視してアクセスを行ったユーザーが被害に遭っているようだ。スパムの送信元が偽装されているケースはよくあるが、報告によると問題のスパムは「送信済みメール」フォルダーに格納されていたようだ。パスワードをリセットして二要素認証を有効にしてもスパム送信は止まらなかったという報告や、アクセス履歴を確認しても外部からアクセスされた様子はなかったとの報告もみられる。Googleによれば、問題のスパムは受信者自らが送ったようにヘッダーが偽装されているもので、誤って送信済みメールとして区分されたのだという。今回の件でアカウントへの不正アクセスはなかったとGoogleはみており、該当するメッセージを特定してスパムに区分し直したとのこと。スパムがtelus.com経由で送信されていたとの報告も数多い。このドメインを所有するカナダの通信会社TELUSでは、スパムは同社が生成したものでも同社のサーバーから送信されたものでもないことを確認したと説明しているとのことだ。Coward曰く、オープンソースのCMSであるDrupalにリモートから任意のコードが実行可能になる深刻な脆弱性が報告されている(MBSD、JPCERT/CC)。8.5.1/8.4.6/8.3.9/7.58ですでに修正されているものの、これよりも前のバージョンすべてで影響があるようだ。360によると、この脆弱性を悪用して活動している攻撃グループが少なくとも3つ存在し、Muhstikと名付けられたグループはとくに活発な行動をしているとされる。Muhstikは、ボットネットに見られる感染技術を応用しており、感染したCMSが別の脆弱なサイトを攻撃するようなワームのような動作する兆候があるとしている。Drupalgeddon2の対策パッチは3月下旬に提供されている。360、Slashdot)。警察庁もこの脆弱性を狙ったアクセスを確認しているようだ。マスメディアやICTニュースサイトからの最新情報Twitter、カスペルスキーの広告を拒否。Lab公式ブログ、Register、Reuters、BetaNews)。LabがTwitterから通知を受けたのは1月末。Labのアカウントに対するプロモツイートの利用を禁じる結論に達したという内容だったという。Labのビジネスモデルはサイバーセキュリティ産業共通のもので、理解しがたいとの意を示す。Labのプロモツイートは新しいサイバーセキュリティ上の脅威から身を守る方法を伝えるものであり、Twitterの広告方針に反するものではないと反論している。LabではTwitterに説明を求めているが、現在まで具体的な理由は説明されないままだという。カスペルスキー氏はTwitterが政治的圧力などに対処しなくてはならないことを理解できるとしつつ、本件のような決定における透明性を高めるよう求めている。このような問題が一日も早く解決することを期待しているが、もし決定が変更されることになっても今年いっぱいはTwitterへの広告出稿を取りやめ、確保していた予算はインターネット上の検閲と戦うEFFへ寄付するとのことだ。Labの広告を禁止したことをReutersやRegisterに認めている。Lab製品を米政府の情報システムに対する脅威としたことに呼応するものだとも述べているようだ。Lab製品が脅威になることを示す確かな証拠は示されていない。Lab側は一貫して否定しており、昨年12月にはDHSを提訴している。17:072020年度よりマイナンバーカードを健康保険証がわりに利用できるようにすることを厚生労働省が明らかにしたという(時事通信)。システムを利用し、保険運営者にマイナンバーと保険証番号を紐付けて登録してもらう。医療機関はこのシステムに問い合わせを行なって保険情報を照会できるようにするという。Bible」が、4月22付で閉鎖した。Bibleは2003年にスタートしたWebマガジンで、主催のIPUSIRON氏だけでなく、複数のエンジニア・研究者などがセキュリティやハッキングなどに関連する記事を寄稿していた。該当すると判断され、検察から閉鎖を要求されたという(現在これらの説明は削除済み)。「問題のある記事が投稿された場合、記事の内容を改めたとしても、投稿者のPC内のそのファイルが存在するのでアウト。Bibleを続けることは反省が足りない」などとされたという(eagle0wl氏のブログ)。Bibleに寄稿していたという話もあるようだ。罪については、このところ妥当性を欠く検挙例の話が聞こえてきており、いよいよ放置できない段階に来た」とコメントしている。リンク集(調整中です)50音順リンク集(調整中です)。