沈みゆく船から撤退せよ、史上初SHA-1ハッシュ衝突の成功と今後の排除の流れ（The Register）
本日公表された研究の結果、いまだにそのアルゴリズムに依存しているセキュリティ対策や防衛は今や事実上、喉元にナイフを突きつけられている状況だ。
国際
TheRegister
このことは「SHA-1がぜい弱で信頼できない」という長年の懸念を証明している。このニュースの何が問題かといえば、SHA-1ハッシュアルゴリズムが、Gitの重複排除システムを保管するリポジトリから、銀行その他のWebサイト保護に利用されているHTTPS証明書にいたるまで、インターネット上で広く利用されている点だ。SHA-1署名はデータのかたまり (たとえばソフトウェアコード、Eメール、PDF、Webサイト認証など) が悪意をもった何者かによって改ざんされたり、その他の方法で変更されたりしていないことを証明するのに使われている。
そして今、アムステルダムの情報工学・数学研究所 (CWI) の研究者とGoogle社の人員らは、SHA-1のハッシュ値を保ったままでのPDFファイルの変更を成し遂げてしまった。それによって、干渉を受けたバージョンを本物のコピーに見せかけることがはるかに容易となる。ドキュメントの内容、たとえば契約書の内容を変更して、そのハッシュをオリジナルのファイルのものと一致させることもできるかもしれない。今後、誰かをだまして改ざんされたコピーをオリジナルだと思い込ませることができてしまうのだ。それらのハッシュは完全に一致する。
関連記事
![[配信予告] 新連載「ペネトレーションテスターは見た！」開始のおしらせ 画像](/imgs/p/2w5IdCqve0mMIzS4K5kC-28IDAerBQQDAgEA/21969.jpg)
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威Microsoft Windows において SilentCleanup タスクの DLL Hijack により UAC による制限が回避可能となる手法（Scan Tech Report）
Microsoft Windows OS において、ユーザアカウント制御 (UAC) による制限を回避することが可能となる新たな手法が公開されています。
-
ここが変だよ日本のセキュリティ 第43回 「パスワード管理は続くよ、どこまでも（パスつづ）」（後編）
後編では、これからも長い付き合いになりそうなパスワードの、不都合な真実って奴に突っ込んで、真実を暴きます。そしてもちろん言いっぱなしにはしません。何が何故、残念で、どうすればいいかを説明します。
-
FreeBSD の IPv6 ソケットにおける競合状態と Use-After-Free の脆弱性（Scan Tech Report）
2020 年 7 月に、UNIX 系 OS である FreeBSD に、管理者権限の奪取が可能となる脆弱性が報告されています。
-
GitLabがユーザーのソースコードを調査、予想どおり見つかった脆弱性の傾向と内訳とは
マイクロソフトのGitホスティングサービス「GitHub」の競合サービスである「GitLab」が顧客のホストするソフトウェアプロジェクトのセキュリティについて2回目のテストを実施、そして不備を発見した。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
Macrium Software製Macrium Reflectに権限昇格の脆弱性
Microsoft Windows において SilentCleanup タスクの DLL Hijack により UAC による制限が回避可能となる手法（Scan Tech Report）
「Emotet」への感染を目的としたメールは日本の営業時間帯に合わせて送信
Chocolateyが提供するBoxstarterにDLL読み込みに関する脆弱性
WordPress用プラグインSimple Download MonitorにXSS、SQLインジェクションの脆弱性
ダイソンなどを騙った複数の偽サイトに注意喚起
インシデント・事故 記事一覧へ
メールアカウントに不正アクセス、スパムメール送信の踏み台に
web本棚「ブクログ」ソースコード上に利用者のメールアドレス表示
自社ではなく協力企業が「Emotet」感染、大多喜ガス装うなりすましメール確認
GMOクリック証券で不正な149万円の出金確認、二段階認証実装予定
「Emotet」感染、「ひらまつオンライン」お食事券申込者メール情報流出
逆BCC誤送信：BCCに930名のアドレスが入った過去メールをテンプレ使用
調査・レポート・白書 記事一覧へ
フィッシングはサイバー攻撃の支配的地位保つ「RSA Quarterly Fraud Report 2020 2Q」
「Macはもっとも安全なデバイス」とIT担当者の77％が回答
61％「未適用パッチ有」と回答、企業の脆弱性管理に関する実態調査
「Microsoft Digital Defense Report」が提唱する5つのアクション
ブロードバンドセキュリティが実施した脆弱性管理の500名調査の結果、見えてきた課題
「Emotet」関連相談が大幅増 ～ IPAの情報セキュリティ安心相談窓口
研修・セミナー・カンファレンス 記事一覧へ
メッセージングセキュリティ現場最前線、JPAAWG 3rd General Meeting が11月11日・12日オンライン開催
今年は完全無償・完全オンライン、CODE BLUE 2020 明日から開催
イエラエセキュリティ取締役とエンジニアが「セキュリティ・ミニキャンプ」に登壇
eスキミング：その手口と対策
DX時代の企業のプライバシーガバナンス、CEATEC 2020 ONLINEの経産省講演
