2026.04.18（土）
- 注目検索ワード
Ristic は、Let's Encrypt が無料でありながら自動的に更新されることも称賛した。「私は『完全なるウェブの暗号化』を長年に渡って支持した。これは大きな前進である」
韓国は攻撃される面が大きいのに対し、北朝鮮はインターネットのインフラが非常に小さいので、多くの観察者は北朝鮮が有利だと語る。また北朝鮮政府は「Bureau 121」部隊のハッカーに多額の報酬を与えていると示唆されている。
それらの鍵がシンプルであり、また3Dファイルや3Dプリンターが入手しやすくなったため、これまでの小さな努力は吹き飛ばされ、一般市民が利用する 3億のロックにアクセスできるようになった。
bcrypt のインストールは、Cheater Capital のセキュリティ研究者たちにより運営されている。そこにはクラッキングのプロセスを失敗させる 12 の要素がある。CynoSure Primeは、このパスワードを現実的に破るプロセスを作った初期の数人目となる。
![[Black Hat USA 2015] 来場者の女性が言われる言葉 ～ ジェンダーをテーマとした初のパネルが開催 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/17082.jpg)
Scan 読者の皆様はもうお気づきだと思いますが、Black Hat だけでなく多くの国内外のセキュリティカンファレンス参加者は男性が大半を占める。昨年の Black Hat USA 2014 での女性参加者はたったの 9 ％だった。
![[Black Hat USA 2015] “無名”の日本のサイバーセキュリティ製品が Black Hat に挑戦するまで 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/17074.jpg)
本年の Black Hat USA 2015 の BUSINESS HALL で、日本の企業 PFU の北米支社が、標的型攻撃対策製品の展示を行った。日本では、主にスキャナの成功で知られている企業だが、北米市場にいったいどんなセキュリティ製品を提供しているのか。
Ashley Madison のハッキングは市民の莫大な関心を集めており、また同社が、ハッカーの起訴に繋がる情報提供に 50 万ドルの報酬を申し出たことも、その勢いに拍車をかけている。
その決断が下されたのは「RC4で暗号化した cookie を52 時間以内に復号できる RC4攻撃」が、また新たに発見された2か月後のことだ。3社で異なる点は、そのリリースのサイクルだけになる予定だと Mozilla は語った。
FBIが政府の機関としてAP のブランドを偽装するという行為は、同通信社の報道機関としての信憑性を蝕むものだと彼らは主張している。政府の監視行為と関連付けられることで同社の事業が傷つけられているとAPは訴えた。
このハニーポットは、攻撃者を侵入させて、彼らが起こす行動の一つ一つを記録する。それにより管理者やセキュリティ研究者は、新たな脅威がどのように機能するのかを理解することができる。
Eggshell型の運用は素晴らしく間抜けだが、我々はそれにに没頭し、「悪者」に焦点を当てている。そして組織の内部で悪意を持って行動する人々や、操作ミスでデリートキーを押す人々の脅威を無視している。
![[DEF CON 23] 正しい標的型攻撃メール訓練の運用法、ソーシャルエンジニアリングの国際的権威クリス・ハドナジーに聞く 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/16881.jpg)
「報告」は大切な効果測定要素です。理想的なのは、フィッシングと察知し、開封前にその存在を報告する従業員です。反対に「開封しなかったが報告を怠った」「開封したが報告した」「開封してなおかつ報告を怠った」これらの従業員すべてに改善の余地があります。
しかし「警察が映像を改ざんしたと非難される先例」、あるいは「警官がデバイスを身につけていなかった、電源をオフにしていたという理由で批判される先例」が、そのカメラによって生まれるかもしれないと彼女は語っている。
ファイアウォールを利用して、インターネットに接続されている Portmap サービスを無効にする、あるいはブロックすることは簡単だが、多くのネット管理者がその慣行を見過ごし、ハッカーが悪用できるリソースを作り上げている。
![[Black Hat USA 2015] バイナリ解析とシンボリック実行で脆弱性を探し出す「angr」 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/16876.jpg)
こうした「帯に短しタスキに長し」を解消するのが「angr」だ。angrは、静的解析と動的シンボリック実行解析を組み合わせたオープンソースのフレームワークで、バイナリローダ、静的解析ルーティン、シンボリック実行エンジンの3つのコンポーネントで構成される。
DNSSEC は新しい基準となったので、（いまでは）そのキーや祭典で起こるいかなる些細なミスも、「システム全体が自分自身を信用しなくなる」という事態を生み、広範囲に渡る甚大な影響を世界中に与えることになる。
現在では、WooYun は脆弱性報告者と関係企業をつなぐペンテスト提供組織として機能しています。対象はモバイル電話、システム、ウェブ、など。2015 年現在、企業は 3,000 社が登録し、ペンテスター登録者は累計で 10,000 人に及びます。
「2011 年、すでに同社は Ethiopian Information Network Security Agency に監視システム、トレーニング、サポートを販売しており、その契約には100 万ドルの値がついていた」ということが、漏洩したメールによって確認された。
「Shifu の内部構造は、『他のバンキングマルウェアに詳しい、非常に知識の豊富な開発者たち』に組み立てられている。彼らは、それら（のマルウェア）から選り抜いた、より邪悪な機能を Shifu に搭載した」
![[DEF CON 23] 米で相次ぐサイバー攻撃、ソーシャルエンジニアリングはどう悪用されるのか～クリス・ハドナジー インタビュー 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/16829.jpg)
フィッシング攻撃は大幅な増加傾向にあり、規模の大きい攻撃では、「ビッシング」用のコールセンターを設立する例があります。フィッシングメールとビッシングを組み合わせる手法もあります。メールを送った直後に電話で連絡し、確認依頼をすると効果があるのです。
しかし小規模な認証局を狙ったハッキングが、メールやその他の機密データの傍受をもたらしてきた。あなたのデータが、あなたの認証局のセキュリティよりも安全化されることはなかった。
