iOS 7 の脆弱な乱数発生器で、カーネルのセキュリティが破られるとの主張~研究者曰く、かつて攻撃を緩和していた PRNG は「楽勝で切り崩せる」(The Register)
これらのアルゴリズムは、リソースに制限のある環境において機能的であり、統計的に魅力的な特性を持っているものの、いくつかの重大な欠陥をも示しており、またアウトプットを監視できる敵に直面した場合、それは簡単に破綻する。
国際
TheRegister
この問題は Azimuth Security が ここで説明している。また同社の Tarjei Mandt も先週(編集部註:2014 年 3 月第 3 週)、バンクーバーで開催された CanSecWest カンファレンスで、同じ問題について詳述した。
Mandt は、最新のiOS 7 の更新で出荷された early_random()PRNG(疑似乱数発生器)が「驚くほど脆弱である」と語っている。ThreatPost によると、彼はそのカンファレンスで、PRNG について「決定的(決定性アルゴリズム)であり、ブルートフォースを行うのは簡単だ」と話したという。
関連記事
-
ユーザーのデータを収集する携帯アプリはどれぐらいある?……ほぼ全部~レポート「無料でも有料でも、Android でも iOS でも、あなたのアプリはあなたをスパイする」(The Register)
-
OpenSSL が、NSA に汚染された暗号を利用するのが心配? バグはあなたの味方だ~ソフトウェアの欠陥によって、不審な乱数発生器が無効化されていたことが判明(The Register)
-
「Pwn2Own」コンテストのハッカーたちが iOS と Samsung のセキュリティを大破~どんな課題でも、彼らは成し遂げるだろう(The Register)
-
研究者たち:我々はマルウェアアプリで Apple を騙した~さらに iOS 用の「悪意ある充電器」問題も主張(The Register)
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威
Microsoft Windows の cldflt.sys における検証不備により管理者権限を用いた任意のファイルの作成が可能となる脆弱性(Scan Tech Report)
2020 年 12 月に、Microsoft Windows で管理者権限で任意のファイルが作成可能となる脆弱性が報告されています。
-
Bugtraq の死と復活、歴史あるコミュニティにアクセンチュアがとった処遇
先週の終わりを画したのは、敬愛すべき情報セキュリティメーリングリストの Bugtraq が月末に閉鎖されるというニュースだった。
-
Salesforce が共和党へのサービス提供を停止した仔細
民主主義統治への擾乱を助長する組織に対して距離を置くことを決めた IT 企業の列に、Amazon、Twitter、Facebook に続いてクラウド CRM(顧客管理システム)最大手の Salesforce が新たに加わった。
-
Sysinternals Suite PsExec において名前付きパイプのハイジャックによりSYSTEM 権限が奪取可能となる手法(Scan Tech Report)
Microsoft OS の遠隔管理ツールである Sysinternals Suite の PsExec に、SYSTEM 権限の奪取が可能となる手法が公開されています。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ

dnsmasqにDNSpooqと名付けられた脆弱性、組み込みシステムやネットワーク機器が対象となる場合も

Microsoft Windows の cldflt.sys における検証不備により管理者権限を用いた任意のファイルの作成が可能となる脆弱性(Scan Tech Report)

NEC製Aterm WF800HP、Aterm WG2600HP および Aterm WG2600HP2に複数の脆弱性

2020年 企業へのサイバー攻撃動向総括 ~ 盗まれた認証情報はいくらで売りに出されるか

Oracle製品のクリティカルパッチアップデートに関する注意喚起

GROWIにXSSの脆弱性、最新版へのアップデートを呼びかけ
インシデント・事故 記事一覧へ

メールアドレスの伝達ミス、コロナウイルス感染者414名分の個人情報を誤送信

三井住友建設のバックアップデータに不正アクセス、フィルタ設定不備を突く

カゴメキャンペーンサイト、LINEでログインした個人情報が閲覧可能に

自治体のWebサーバにメール送信機能をインストール、迷惑メール送信踏み台として悪用

FXサービスで誤送信、12月にやり取りした顧客情報ファイルを誤ってメール添付

中学校事務主任44歳 児童ポルノ動画データ販売、懲戒免職
調査・レポート・白書 記事一覧へ

Software ISAC が選んだ開発者が注目すべき 2020 年 10 大ニュース

中・露・トルコ・セルビア 他、国家ぐるみの情報操作ツイッターアカウント5万件凍結

公取委 vs プラットフォーマー、Amazon 他 独占禁止法違反事例 報告書

日本も457台が被害に、テレワークがもたらしたPCからの情報窃取の現実

JPCERT/CC 活動四半期レポート公開、VPN製品の脆弱性への取り組みを報告

VPN製品に関する脆弱性対策情報の深刻度別割合、「危険」「警告」で95%を占める
研修・セミナー・カンファレンス 記事一覧へ

日本企業12社のサイバーセキュリティ責任者や実務担当者が登壇「PwC’s Digital Trust Forum 2021」開催

防衛省主催サイバーコンテスト募集開始、ラック受託でオンライン CTF 開催

福井県鯖江市で学生向けワークショップ開催、川口洋氏登壇や初心者向け CTF 開催も

我が社の IoT 活用の課題 総洗い出し ~ JSSEC IoT セキュリティチェックシート活用方法

SPFにまだできること ~ オランダ徴税税関管理局が採用するフィッシングメール対策
