Dropbox Businessは非常に危険です | 江口某の不如意研究室
（この記事は、Dropbox社に対してフェアじゃないものになっています。続きの「Dropbox Businessは馬鹿が使うと非常に危険なことを検証しました」も読んでください） 最近、非常に重大な事故を起こしてしまったので報告します。実際の被害は、最高が7だとすると3か4ぐらい、しかし潜在的な危険度からいうと7段階で7、ってくらい重大。Dropboxでファイルを大量に失なってしまったばかりか、個人情報流出の危険をおかしてしまいました。（実際には流出といえるものはありませんでしたが） Dropbox Businessチームに招待され参加して「アカウントを統合」すると、自分では抜けられない状態になる それだけでなく、それまで自分がもっていたファイルもすべてチームのものになる 個人用の契約が勝手に解除されてしまう 私のアカウントを削除すると、管理者は私のファイルを自分のものにすることができる 管
バグハンターmageに聞くバグハンティングの方法とセキュアなサービス作りに必要なこと｜ハイクラス転職・求人情報サイト AMBI（アンビ）
バグハンターmageに聞くバグハンティングの方法とセキュアなサービス作りに必要なこと バグハンターとは、Webサービスやソフトウェアなどに含まれる脆弱性を、システム改善のために探し出す人々です。バグハントの方法は非常に多岐にわたりますが、具体的な手法、使用ツール、ハントのマナーを凄腕のバグハンターに聞きました。mageの名で知られる馬場将次さんが語り下ろす実践的なノウハウは、サービスをセキュアなものにしたいエンジニアのみなさんにとっても重要な知見になるでしょう。 バグハンティングを犯罪にしないために必ず知っておきたいこと 馬場流バグハント手法「調査」「解析」「実証」。そして「普通はやらない」を無数に試す 防御のために、言語やフレームワークの実装を学ぼう。コード読解から、違和感を見つけ出す方法を実践してみる XSSの現在。技術の進化と並走する攻撃手法の進化 セキュリティを理解するためにまずは
メモリのビット反転エラーとセキュリティの話｜Rui Ueyama
ハードウェアのエラーでメモリの内容が化けてしまうことが稀にある。大抵のDRAMエラーはせいぜいプログラムがクラッシュする結果になるだけだが、データ破壊になることもありえるし、悪意のある使い方をすればセキュリティ破りに使うこともできてしまう。ここではメモリエラーとセキュリティの話をしようと思う。 メモリのエラー率は意外なほど高い。データセンターで大規模なマシン群を対象に実際に観測したところ、1年間に1回以上のエラーが発生したDIMMモジュールは全体の8%にのぼったそうだ。DIMM 1枚に数百億個のメモリセルが実装されているといっても、このエラー率はちょっとびっくりするくらい大きな数字ではないだろうか？ サーバでは普通はエラー訂正付きのDIMMを使うので1ビットのエラーは問題にならないが、エラー訂正のないコンシューマ機器ではこれは実際的な問題になりえる。 メモリエラーを利用したセキュリティ破り
Web サービスにパスワードは必要ない - Frasco
Web サイトを開発する際のアーキテクチャ設計において、ユーザーの認証にはメールとパスワードを利用するのが一般的でしょう。この設計は身に染み付いていて、なぜユーザーにパスワードを作成させるのか、考えもしないかもしれません。私たちは慣れてしまったのです。 しかし、ユーザーはパスワードを必要としない可能性があります。 一つの解決策は OAuth 2.0 ですが、すべてのユーザーがSNSのアカウントを持っているわけでもなく、あなたのサイトでそのアカウントを使用したいと考えているとも限りません。 では、あなたはどのようにしてパスワードを使わずユーザーを認証しますか？その回答はこの記事を読めばわかります。 何が問題か？ 最も安全なパスワードは、あなたが覚えられないパスワードです Troy Hunt そもそもパスワードそれ自体に問題があります。あなたや、あなたのユーザーにとっても良いものではありません
「Mirai」ソースコード徹底解剖－その仕組みと対策を探る
Miraiボットネットとは Miraiは、2016年9月13日夜、米国のセキュリティジャーナリストBrian Krebs氏のWebサイト「Krebs on Security」に対して行われた大規模なDDoS攻撃に使用されたとして話題になったボットネットです（関連記事）。Miraiは主にWebカメラやルーター、デジタルビデオレコーダーなどのIoTデバイスを踏み台としてDDoS攻撃を仕掛けます。 参考：セキュリティ用語事典：DDoS攻撃 攻撃を受けた後に投稿されたKrebs氏のブログ記事によれば、同サイトを保護していたAkamaiが、ピーク時にはそれまでに経験した最大規模の攻撃の2倍近いトラフィックを観測したそうです。 また、2016年10月21日にTwitterやNetflixなどが利用するDNSサービスへ行われたDDoS攻撃でも、Miraiボットネットが利用されていたのではないかと推定され
子どもを追いつめる「LINEいじめ」--“ネットいじめ”の今
文章コミュニケーションは子どもにとって難易度が高い 幼い子どもと接すると、子どもが平気で他人を傷つけるような発言をする場面に出くわすことがある。彼らは思ったことをそのまま口にしただけであり、他人が傷つくかもしれないなどとは考えもしない。幼ければ幼いほどその傾向が強く、自分の発言で他人が傷ついたところを見て初めて自分が傷つけたことに気付く。幼い子供は経験がないため想像力に乏しく、他人の気持ちにあまり敏感ではないのだ。 ましてネットでは、自分の書き込んだ言葉による友だちの反応が見えない。深く傷つけても自覚できないというわけだ。そもそも文章だけでのやりとりはキツく感じられることが多く、誤解を生んだり、トラブルになりがちなものだ。コミュニケーションの練習中である子どもにとっては、SNSなどの文章でのやりとりは非常に難易度が高いものなのだ。 中学1年男子A彦は、「死ね」という言葉の重みを感じず、日常
月々0円の防犯カメラが登場！ その実力はいかに？
防犯カメラによって事件や事故が解明されるというニュースが増えてきた。我が家にもあると便利だなと思うけれど、設置が大変そうだしお金もかかりそう、と思う人も多いはず。そんな中、素人でも設置が簡単で、月々の支払いも不要というホームセキュリティカメラが登場した。 無線カメラだから設置が簡単 何かと物騒な世の中。ちょっと八百屋に行く程度なら戸締まりなんて……という昭和のほのぼのとした時代を過ごした私でも、窓の二重ロックはするようになってきた。あとやれるとしたら、霊長類最強と言われているあの人がCMに出ているような、本格的なホームセキュリティくらいだが、正直そこまで金銀財宝がうなるような住まいではない。 そんな心を見透かされたかのように、ズバッと刺さるホームセキュリティグッズがアメリカからやってきた。ネットギアが販売する「arlo（アーロ）」はモーションセンサーを備えた2台のカメラが、動くものを検知し
「うちは逮捕しなくていいんですか」、カーリル吉本代表が語るオープンデータビジネスの舞台裏
オープンデータで世界唯一のサービスを手がける新興企業がある。全国6500カ所を超える公立図書館や大学図書館の蔵書や、米アマゾン・ドットコムなどの書誌データベースを一挙に検索できるカーリルだ。 政府や地方自治体などが保有するデータを商用目的も含めて二次利用できるようにするオープンデータ。カーリルが開発したサイトやアプリでは複数の図書館の蔵書を一度に検索したり、図書館にない本の情報も調べられる。 カーリルは2014年9月に、スマホの屋内位置を測定するビーコンデバイスを利用して、検索した本が図書館のどの本棚にあるかをスマートフォンに表示するアプリ「カーリル図書館マップ」で実証実験を始めた。図書館にどの所蔵資料が多く貸し出されているかというデータを試験提供もしている。 岐阜県中津川市にある本社で吉本龍司代表にオープンデータ活用ビジネスの舞台裏を聞いた（写真1）。
嗤うプログラマー: Google DriveやDropboxを暗号化して使う方法
2012年5月2日水曜日 Google DriveやDropboxを暗号化して使う方法 長いこと噂されていたGoogle Driveがついにはじまったとか、SkyDrive がデスクトップ用のクライアントができたとか、にわかに賑やかになってきたオンラインストレージ。そこで気になるのがこれらに機密性の高いファイルをいれていいものだろうか？という問題。 例えば Google Drive では、Google にアップロードされたコンテンツはユーザーのみでなく、Google にも利用権利を与えたことになるという説がある。 参考リンク：『Google Drive』のファイルは誰のもの？ (from WIRED.jp) また、この分野の老舗である Dropbox では、以前認証システムのバグにより、事実上パスワードが設定されていないという状態になってしまったことがある。 参考リンク：Drop
Syncany - FTP/SFTP/S3/WebDAV対応のファイル共有サーバ MOONGIFT
クラウドを使ったファイル共有と言えばDropboxやBoxなどが有名ですが、他にもGoogle Dirve、Skydrive、Amazon Zacaloなど多数のプレーヤが集結する市場でもあります。その際企業ユースで問題になるのが外部のサーバにデータをホストするということです。 企業として自分たちのデータを自分たちで管理しつつ、クラウド的に気軽に使いたい。そんなニーズを満たしてくれそうなのがSyncanyです。 Syncanyの使い方 Syncanyは指定したフォルダをリポジトリにし、そのフォルダとは別にワーキングコピーを作り、ファイルを同期してくれるソフトウェアです。 リポジトリ作成中。 こんな感じのリポジトリができます。 後はup/down/watchを使ってフォルダの変更を自動同期します。 同期プロトコルとして、FTP/Amazon S3/SFTP/WebDAVに対応しています。 S
開発者はビットコイン採掘を狙うハッカーに備えて Amazon の請求書を確認すべき | readwrite.jp
Amazon Web Service (AWS)は、膨大なコンピュータ機能へのアクセスを開発者に提供している。しかし、ハッカーたちはアカウントのハイジャック方法を発見しており、他人のお金でその力を利用して儲けているのだ。 ジョー・モレオのAWSの請求書は毎月約$5程度だ。しかし、先週の木曜日に彼はAWSの認証情報が漏洩したことに気づいた。見知らぬ人物が、彼のAmazonアカウントからコンピュータ機能を拝借していたのだ。それによって彼は東京やサンパウロ、シドニー、シンガポールといった遠方のAmazonデータセンターサーバから$5,300以上の請求を受ける損害を被った。 どうやらビットコインの採掘が行われていたようだ。ビットコイン採掘とは、取引処理と引き替えにデジタル通貨を作成することである。 敵を見つけたと思ったら、それは自分自身だった攻撃のタイミングから見て、当初モレオはHeartblee
一般ユーザーのための“Heartbleed処方箋”
2014年4月7日頃に顕在化した、OpenSSLの脆弱性「Heartbleed」によって、三菱UFJニコスは利用者のアカウント情報を盗まれ、個人情報を第三者に閲覧される被害に遭った（関連記事：国内でもOpenSSL「心臓出血」が悪用、三菱UFJニコスから894人の情報流出か）。 トレンドマイクロが提供するパスワード管理ソフトでは、一部の製品でOpenSSLを利用したWebサーバーを使っていた。そのため、ユーザーに対してソフト上で管理していたすべてのWebサイトのIDとパスワードを変更するよう、呼びかけることを強いられた（関連記事：トレンドマイクロのパスワード管理ソフトでOpenSSL脆弱性による漏えいか）。 このような被害は、OpenSSLを利用していたすべてWebサイトで発生する恐れがある。OpenSSLは主にWebサーバー側で利用しているケースが多いため、サーバー設置者が対処するべきと
Butt York、USB接続型VPNアダプタ「iTwin Connect」
Butt Yorkは、USB接続型のVPNアダプタ「iTwin Connect」の販売を開始した。価格は2万4380円（税込み）。 iTwin Connectは、外出先のPCと会社／自宅PCないし専用VPNサーバを経由して暗号化通信を確立できるUSB接続型のVPNアダプタ。2個1組のVPNアダプタを外出先PCと自宅PC（や会社PCなど、日本のインターネット環境に接続しているPC）それぞれに接続し、プライベートなVPN環境を構築できる。また、米国、欧州、シンガポールに設置するiTwin専用VPNサーバへ暗号化接続できる手段も用意する。 これにより、一部サイトなどへアクセス制限がある国でのインターネット利用、あるいはアクセス元の地域制限のあるサイトの利用も、VPN接続した先（自宅PCであれば日本の）のネットワークと同じ環境で使用できる。自宅PCにおいては、暗号化されたVPN経由で自宅PCを操作
2chの情報流出にあたって、●とモリタポとbe2ちゃんねるの違い
2ちゃんねるビューアでの情報流出が起こったようです。情報流出について、同業なので他人事ではありません。 そういったなか、前職で従事していたモリタポサービスについても情報流出があるのではないか、という疑いがあるようです。2013/08/27時点ではモリタポについて情報流出はしていないのですが、2ちゃんねる関連サービスがごっちゃとなり、モリタポについても情報流出があったと誤解されている方も多いようです。 そこで、●とモリタポとbe２ちゃんねると部屋とYシャツと私と酒と泪と男と女と愛しさと切なさと心強さとの違いを説明したいと考えます。 2ちゃんねるビューアとは 2ちゃんねるビューアは、2ちゃんねるの過去ログがいつでも何度でも閲覧できる年間3,600円のサービスです。通称「●」。自らのリモートホストがアクセス規制されていても書き込みができるなど、他にもさまざまなメリットがあります。N.T.Tech
パスワードクライシス・中編 パスワード管理を取り巻く現実
パスワードの変更 パスワードの変更有無について一部の専門家は「意味がない」という方もいる。理屈はよく理解できるのだが現実的には、最近では一部サイトで一定期間パスワードを変更しないと毎回「パスワードが変更されていませんので変更をしてください」メッセージが出る。無視していてもわずらわしくて、ついつい変更するしかないWebサイトも増加している。IPAの解説にここまで深い内容が無いのは残念である。 パスワード管理ツールも、人によってはとても有効なツールになると思う。ただし、欠点は万人向けではないことだ。犯行組織だって、そういうソフトの利用が急増してしまえば、逆にそのソフトを破るための新たな攻撃ツールを作成するに決まっている。 IPAは、なぜか手間のかかる管理手法だけを提示している。まさか、パスワード管理ツールの存在を知らなかったという訳でもないだろう。セキュリティの専門機関としては、それはまずい。
スノーデン氏が利用していたとされる暗号化電子メールサービスが閉鎖へ
Edward Snowden氏が利用していたとされる暗号化電子メールサービスが閉鎖されようとしている。内部告発者である同氏に対する米国家安全保障局（NSA）の捜査に応えてのことだと考えられる。 Lavabitの所有者であるLadar Levison氏は米国時間8月8日、同社のホームページ上でサービスの停止を発表した。 私は、米国民に対する犯罪の加担者となるか、それともLavabitのサービスを閉鎖し、10年近くにおよぶ努力を無駄にするかという苦渋の決断を強いられた。内省を重ねた結果、私はサービスをいったん停止することにした。この決断に至るまでの出来事を、法に触れることなく明らかにしたいのだが、それは不可能だ。あなた方には、何が起こっているのか知る権利があると思っている。米国憲法修正第1条が保障する言論の自由により、こういった状況で私が発言する自由は保障されているはずだ。しかし残念なことに、
エクスコムの情報流出はシステム設計というより業務設計がだめな件 - aike’s blog
そんなわけでクレジットカード再発行しました。そうです流出です。今年の3月にアメリカ行ったときに海外旅行者向けWiFiルーターレンタル業者を探してたらエクスコムが安かったので申し込みました。まさかこんなことになろうとは、という感じでくやしかったのでブログのネタにしてみました。 申し込みから返却まで経緯はこんな感じでした。 ■3月5日 申し込み エクスコムのウェブフォームから住所氏名とともにクレジットカード情報を入力して申し込んだら、こんな確認メールが返ってきました。一部省略、伏字にしています。 Subject: レンタルお申し込みありがとうございます Date: 5 Mar 2013 10:46:21 +0900 From: エクスコムグローバル株式会社 この度は、お申込みいただき、誠にありがとうございます。 ご利用に際しては、以下の注意事項をご確認ください。 （略） ━━━━━━━━━━━
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
「詐欺被害を避けるには電話に出ないのが一番」 「迷惑電話チェッカー」担当者インタビュー
ソリトン、大規模環境に対応したファイル転送システム「FileZen 3.0」