カテゴリー: セキュリティ

偽の佐川急便の不在通知ショートメールで個人情報を抜き出す詐欺が流行しているそうです。
その発信源は中国とのこと。
(さらに…)

安全なパスワードを作るには、とにかく長いものにすること。
パスワードルールは誤りだった

英単語を適当に選んで64字以上にすると破られにくいらしいけど、
私の場合は以下の方法でパスワードを作って、
ウェブサイト側の流出を除いて破られた経験はありません。
(さらに…)

Web Application Firewall(WAF)とは、サーバーサイドでウェブサイトを守るFirewallの事。

通常のFirewallはポートスキャンを防ぐだけ。
WAFはアプリケーションの脆弱性を利用した攻撃も防げます。
「SQLインジェクション」「クロスサイトスクリプティング」「パラメータ改ざん」を防ぐとのこと。
例えばWordpressの脆弱性を利用した攻撃を防ぐのに使われているようです。

WAFは通信内容を傍受して攻撃に該当するパターンを検出すると不正アクセスと判断して、そのアクセスを遮断。
ウィルス検査と似たような仕組みですね。

ダークパターンとはウェブサイトでユーザーが退会しにくいよう手続きを複雑化したり
アカウント削除フォームをわかりづらい場所に設置するパターンの事。

WHAT ARE DARK PATTERNS?

• 例えばXboxLiveでは入会はウェブで簡単に手続きできるのに、退会はわざわざマイクロソフトに電話しないといけないのです。
• SNSなどで、個人情報収集に同意させるボタンの配色でユーザーを錯覚させるのもダークパターン。

  例えば、個人情報の設定を「始めるボタン」は青いボタンにして、
  具体的な項目について「同意するボタン」も同じ青いボタンにすると、
  ユーザーは思わず青いボタンをクリックしてしまいます。

  アカウント作成時の個人情報の設定を省略してマイページに進むボタンを青いボタンにするのもダークパターン。
  設定の初期値は「同意する」になってるので、設定を面倒だと思う人は次へ進んでしまいます。

• 個人情報収集の利点のみを説明し、リスクは説明しないのもダークパターン。
• 動画の再生ボタンを偽装して「いいね」を押させたり、アフィリエイトリンクをクリックさせるのもダークパターン。
• サイト内に記事が開くリンクと広告が開くリンクを区別できないようなデザインにするのもダークパターン。
• 無料でサービスを提供する代わりに個人情報を入力させるのもダークパターン。
  スマホの無料アプリで電話帳データを送信させるのも同じ。
• 格安商品の支払いの確定時に高額な手数料を提示するのもダークパターン。
  またユーザーがショッピングカートに商品を入れると、自動的にオプションサービスもカートに入ってしまうのもダークパターンです。
• 無料期間が終了すると自動的に継続課金となるのもダークパターン。

これらのダークパターンはユーロでは2014年に禁止されています。
Some Dark Patterns now illegal in UK – interview with Heather Burns
日本では未だに野放しのままです。

ブルーノートとは振動を利用してHDDを破壊する攻撃の事。
パソコンに内蔵のスピーカーから出た超音波や可聴域の音が、
HDDの読み取りヘッドを振動させる事で、HDDを物理的に破壊可能らしいです。

2016年にルーマニアの銀行でシステムが10時間シャットダウンした事件があったそうです。
A Loud Sound Just Shut Down a Bank’s Data Center for 10 Hours
シャットダウンの原因はHDDがぶっ壊れた事。
事件の日、銀行では消火システムの検証を行っていたようです。
消火は不活性ガスを使う物で、電子機器には反応しないはずでした。
ガスが一斉に放出されると、そのノズルから大きな振動が発生したそうです。
振動はHDDに伝わり、HDDの読み取りヘッドが外れてしまったとのこと。

SSDだと可動部分が無いのでブルーノート攻撃は問題ないようです。

サーバーの前で大声を出すだけでも処理の遅延が発生するとの解説動画も。
2008年の動画なので10年前から振動の問題は知られてたんですね。
実験者が大声を出した時に遅延が発生していることがグラフでわかります。

Shouting in the Datacenter

ほんの数秒叫ぶだけで遅延が起きる程なので
振動が数十秒続くだけでどうなるかは想像つきますね。

00000JAPAN(ファイブゼロジャパン)は災害時統一SSIDと呼ばれる公衆無線LAN。
災害時に各通信会社が開放する無料WiFiですがパスワードがなく、誰でもアクセス可能。普通の公衆無線LANと同じで、当然セキュリティはザル。
誰でも同じSSIDでアクセスポイントを立てられます。
緊急時に他の連絡手段がないなら仕方ないのですが
一度使って用が済んだら00000JAPANは削除しましょう。
ほっとくと自分の端末が不正アクセスの踏み台になりかねません。

米朝会議の場で無料のUSB扇風機が記者達に配られたそうです。
その扇風機は恐らくスパイウェアが仕掛けられているだろうとの事。

『無料のUSB扇風機を貰っても絶対に自分のPCに刺しこまないで』セキュリティに関するお話に「スパイ映画みたい」の声も

USBデバイス内部にWiFiチップが入っていて、遠隔操作されるリスクもあるらしいです。

米政府が航空機がハッキングでハイジャックされる時代が来ると警告。
(さらに…)

解凍圧縮の著名な規格であるZIPに任意コードが実行される脆弱性があったそうです。
発覚は今年の4月で非公開でHP、Amazon、Apache、Pivotalなど対策が実施済みとのこと。
と言うことはサーバーサイドの脆弱性なんですかね。
素人側が注意すべき点は特になさそう。

広く採用されている書庫展開処理に任意コード実行を許す脆弱性 ～数千のプロジェクトに影響

Zip Slip Vulnerability

Zip Slip

書庫内部のファイルパスを連結する処理で検証が行われず
任意のコードが実行可能になっていたようです。

実はZIPのみではなくTAR、JAR、WAR、CPIO、APK、RARと7Zなども同様だったとのこと。

影響を受けるのはJavascript、.NET、Ruby、Javaなど。

マイクロソフトのWindows defenderのウイルス(脅威)発見率は、95.5～98.8％らしいです。
これは2017年2月～6月、7月～11月までの期間に実際に発見されたウイルスが対象。

AV-comparativeというサイトではアンチウイルスの比較情報を公開しています。
そこでReal-world Protection Testというカテゴリで、原資料が読めます。

2017年2月～6月に発見されたウイルス1955個中、1932個をWindows defenderはブロックしてます。
検査をすり抜けたウイルスは23個。
ちなみに同時期にTrendMicroのアンチウイルスは100％の発見率。

2017年7月～11月に発見されたウイルス1769個中、1754個をWindows defenderはブロックしてます。
検査をすり抜けたウイルスは1個。
同時期にPandaというアンチウイルスは100％の発見率。
TrendMicroも99.9％という高発見率。

ただし、検証した時点でウイルス定義データが古いバージョンとなってた可能性もあります。