2014年4月のScan PREMIUM 倶楽部 | ScanNetSecurity
2021.06.23(水)

2014年4月のScan PREMIUM 倶楽部

OpenBSD の創始者は、バグのある OpenSSL ライブラリを捨て、新たなものを作り出したい~Theo de Raadt にとっては、ひとつの Heartbleed の脆弱性が大問題(The Register) 画像
国際 ScanNetSecurity

OpenBSD の創始者は、バグのある OpenSSL ライブラリを捨て、新たなものを作り出したい~Theo de Raadt にとっては、ひとつの Heartbleed の脆弱性が大問題(The Register)

「LibreSSL」プロジェクトのメンバーには、気難しいことで知られる創設者 Theo de Raadt が含まれている。彼は OpenSSL が「信頼できるチームによって開発されたものではない」プロジェクトであると公に批判している。

OpenSSL の Heartbeat 拡張の実装不備による情報漏えいの脆弱性(Scan Tech Report) 画像
脆弱性と脅威 株式会社ラック デジタルペンテストサービス部

OpenSSL の Heartbeat 拡張の実装不備による情報漏えいの脆弱性(Scan Tech Report)

OpenSSL には、Heartbeat 拡張の実装不備に起因する情報漏えいの脆弱性が存在します。

OpenSSL のバグ狩り:Heartbleed のあとに続くバグを探して大金を稼ごう――もしも寄付金が充分に集まるなら~25 万ドルが獲得できるかもしれない(The Register) 画像
国際 ScanNetSecurity

OpenSSL のバグ狩り:Heartbleed のあとに続くバグを探して大金を稼ごう――もしも寄付金が充分に集まるなら~25 万ドルが獲得できるかもしれない(The Register)

最終的に、Heartbleed に関する情報が公開されたとき、ネットワークのディフェンダーたちは先を争って修復を行った。そのことによって、一般のユーザーたちは「パスワードをいつ変更する必要があるのか」という点に関して混乱させられた。

巨大なバグ Heartbleed のクリーンアップで Tor ネットワークが 1/8 縮小~そして、全てのノードと、実行している OpenSSL のバージョンをチェックする前に行うこと(The Register) 画像
国際 ScanNetSecurity

巨大なバグ Heartbleed のクリーンアップで Tor ネットワークが 1/8 縮小~そして、全てのノードと、実行している OpenSSL のバージョンをチェックする前に行うこと(The Register)

現在も Tor ノードの一部は、破られたバージョンの OpenSSL を走らせており、それは暗号キーなどの機密データを漏えいさせる目的で利用することができる。

TrueCrypt 監査:わざわざ行われた徹底調査で…いまのところバックドアは見つからず~暗号ツールはコード再調査のハードルをクリア(The Register) 画像
国際 ScanNetSecurity

TrueCrypt 監査:わざわざ行われた徹底調査で…いまのところバックドアは見つからず~暗号ツールはコード再調査のハードルをクリア(The Register)

この監査の次の段階は、TrueCrypt の基板となる暗号技術に対する精密検査となる。乱数発生器、暗号の一式、および暗号を支えるアルゴリズムは、すべていったん見直されることとなる。

FBI、Zeus で巨万の富を築いた 9 人を起訴~しかし警官が引っ捕らえたのは、そのうち 2 人だけ(The Register) 画像
国際 ScanNetSecurity

FBI、Zeus で巨万の富を築いた 9 人を起訴~しかし警官が引っ捕らえたのは、そのうち 2 人だけ(The Register)

米国当局は 2 人の容疑者を拘留してはいるものの、残りの 7 人は現在も逃走中である:そのうち 3 人はウクライナ人、1 人はロシア国民、その他の 3 人は身元が明らかになっていない。

Apache Struts 2 の Parameters インターセプタの実装に起因するClassLoader を操作可能な脆弱性(Scan Tech Report) 画像
脆弱性と脅威 株式会社ラック デジタルペンテストサービス部

Apache Struts 2 の Parameters インターセプタの実装に起因するClassLoader を操作可能な脆弱性(Scan Tech Report)

Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。

Tesla「イーサネットポートのデータ伝送」のスキャンダル~Tesla のコンソールデータに「触るな」のサインか?(The Register) 画像
国際 ScanNetSecurity

Tesla「イーサネットポートのデータ伝送」のスキャンダル~Tesla のコンソールデータに「触るな」のサインか?(The Register)

このスレッドに貢献した人物は、コンソール上にインストールした Firefox を稼働している様子を示す写真を投稿した。さらに、そのスレッドは「Tesla の技術者たちが、どれほど深くまで車の内部を観察しているか」という陰謀説も煽動した。

ハッキングされたドローンがトライアスロン選手のゴールを阻む~次のシナリオ:W 杯の決勝シュートがドローンに妨害される(The Register) 画像
国際 ScanNetSecurity

ハッキングされたドローンがトライアスロン選手のゴールを阻む~次のシナリオ:W 杯の決勝シュートがドローンに妨害される(The Register)

このドローンの所有者は New Era Photography and Film と呼ばれる地元団体で、「誰かが我々のシステムをハッキングしたようだ」と語っており、「未知の集団が、ドローンの制御を得るためにチャンネルの切り替えを行った」と結論づけたという。

IT 弁護士「Heartbleed の診断チェックは違法に当たるだろう」~倫理的に行動し、最大 10 年の刑務所生活を勝ち取ろう(The Register) 画像
国際 ScanNetSecurity

IT 弁護士「Heartbleed の診断チェックは違法に当たるだろう」~倫理的に行動し、最大 10 年の刑務所生活を勝ち取ろう(The Register)

一部のセキュリティ研究者たちは、そこに強制力がない、あるいはいずれにせよ無視されるものだと語っている。一方、別の研究者たちは、その活動が「役に立つ(助けとなる)」場合、これらの法律に免除があるようにするべきだと主張している。

OpenSSL の Heartbleed 大解剖:たった 4 バイトが引き起こす恐怖のバグ~「C 爆弾」のコードが世界に投下される(The Register) 画像
国際 ScanNetSecurity

OpenSSL の Heartbleed 大解剖:たった 4 バイトが引き起こす恐怖のバグ~「C 爆弾」のコードが世界に投下される(The Register)

そのメモリには、メッセージやパスワードなどといった旨みのある情報が含まれている。そして別の heartbeatMessage を送信することにより、別の 64KB が漏えいされるため、被害者のシステムを徹底的に調査して御馳走を得るよう、それは繰り返される。

Extended Random:NSA と RSA の幻のバックドア~その研究は Snowden 風の「スパイ暴露」ではなく、すべて Dual EC DRBG の攻撃に関するものだった(The Register) 画像
国際 ScanNetSecurity

Extended Random:NSA と RSA の幻のバックドア~その研究は Snowden 風の「スパイ暴露」ではなく、すべて Dual EC DRBG の攻撃に関するものだった(The Register)

「Extended Random は、我々が(研究の)途中でたまたま出会っただけのものだった」と The Register に語っている。「我々は、そこには焦点を当てておらず、またそれは我々の調査結果にいかなる影響をも及ぼしていない」

Microsoft Word の RTF listoverridecount コントロールワードの処理に起因するメモリ領域破壊の脆弱性(Scan Tech Report) 画像
脆弱性と脅威 株式会社ラック デジタルペンテストサービス部

Microsoft Word の RTF listoverridecount コントロールワードの処理に起因するメモリ領域破壊の脆弱性(Scan Tech Report)

Microsoft Word には、RTF ファイルの取り扱いに起因してメモリ領域が破壊される脆弱性が存在します。

セキュリティ研究家が Tesla に喚起~いますぐにでも 2 要素認証が必要だ(The Register) 画像
国際 ScanNetSecurity

セキュリティ研究家が Tesla に喚起~いますぐにでも 2 要素認証が必要だ(The Register)

Dhanjani が記事にしているように、Tesla は「ユーザーがログインを試せる回数」を制限していない。そのことにより、6 文字のパスワードにブルートフォースを仕掛けることは取るに足らない作業になっていると彼は記している。

Google、同社の DNS サービスに対するトルコの ISP の「妨害」を確認~政府の Twitter 禁止令が Google のパブリックサーバを阻む(The Register) 画像
国際 ScanNetSecurity

Google、同社の DNS サービスに対するトルコの ISP の「妨害」を確認~政府の Twitter 禁止令が Google のパブリックサーバを阻む(The Register)

Twitter は SMS 経由でツイートを行う方法についてアドバイスを掲載したが、同共和国の Twitter ファンたちは、彼らのお気に入りのサイトを利用するために VPN、TOR、その他の回避策を取った。

その技術なら、マレーシア航空 370 便を ID 詐欺から防ぐことができた~キーパッドセキュリティ搭載? 彼らは決して実現しなかっただろう(The Register) 画像
国際 ScanNetSecurity

その技術なら、マレーシア航空 370 便を ID 詐欺から防ぐことができた~キーパッドセキュリティ搭載? 彼らは決して実現しなかっただろう(The Register)

「現在のパスポートは偽造するのが簡単で、また RFID チップを提供することは困難だ」と Cecil は語った。「パスポートの冊子の構成は、ビザを提示し、入国と出国の日付を記録するためのもので、ユーザーの身元を確認する目的で利用するべきではない」

悪玉は時代遅れ――最高のハッカーはグレーゾーンで法を守る~バグ報奨金プログラムが「合法的な収入」を魅力的に提案(The Register) 画像
国際 ScanNetSecurity

悪玉は時代遅れ――最高のハッカーはグレーゾーンで法を守る~バグ報奨金プログラムが「合法的な収入」を魅力的に提案(The Register)

それらのプログラムの報酬はまだ高額ではないが、それでも一部では、重大な未知の脆弱性に対し、セキュリティの組織や政府のバイヤーから非常に高額な報酬を得られる可能性があるということを、その報告書は指摘している。

Cisco「モノのインターネット」セキュリティ最高指導者へのインタビュー~Chris Young に本誌が尋ねた「モノのインターネットを 19 兆ドルのハニーポットにしない方法」(その 2)(The Register) 画像
国際 ScanNetSecurity

Cisco「モノのインターネット」セキュリティ最高指導者へのインタビュー~Chris Young に本誌が尋ねた「モノのインターネットを 19 兆ドルのハニーポットにしない方法」(その 2)(The Register)

あなたのクレジットカード会社は、あなたの「アイデンティティプロファイル」を構築しています。もしもそのプロファイルに適さないような取引があった場合、彼らは何をしますか? その取引をブロックして、「電話してください」と言うでしょう。

WinRAR の ZIP アーカイブの取り扱いに起因するファイル偽装の脆弱性(Scan Tech Report) 画像
脆弱性と脅威 株式会社ラック デジタルペンテストサービス部

WinRAR の ZIP アーカイブの取り扱いに起因するファイル偽装の脆弱性(Scan Tech Report)

WinRAR には、ZIP アーカイブ内のファイル名を適切にチェックせず処理してしまう脆弱性が存在します。

Cisco「モノのインターネット」セキュリティ最高指導者へのインタビュー~Chris Young に本誌が尋ねた「モノのインターネットを 19 兆ドルのハニーポットにしない方法」(その 1)(The Register) 画像
国際 ScanNetSecurity

Cisco「モノのインターネット」セキュリティ最高指導者へのインタビュー~Chris Young に本誌が尋ねた「モノのインターネットを 19 兆ドルのハニーポットにしない方法」(その 1)(The Register)

結局のところ、いまも個人がセキュリティの意識に対する責任を負っています。「すべてのセキュリティへの気配りを外部委託する、いくつかの方法がある」と推定してはなりません。自分の子供を育てるとき、あなたは「誰を疑うべきなのか」を教えるでしょう。

Glasshole の皆さん、そのアプリはあなたをスパイドローンに変えるものだ~Google Glass のスパイウェアが、ユーザーを監視ドローンとして利用する(The Register) 画像
国際 ScanNetSecurity

Glasshole の皆さん、そのアプリはあなたをスパイドローンに変えるものだ~Google Glass のスパイウェアが、ユーザーを監視ドローンとして利用する(The Register)

「もしも Google Glass の着用に固執するのであれば、どうかパスコードを使用してデバイスが保護されていることを確実とし、また、非公式のアプリストアからデバイスにアプリをインストールする際には、それがどのようなアプリであるのかに注意していただきたい」

  1. 1
  2. 2
Page 1 of 2
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×