xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 | gihyo.jp
Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ
「Heartbleed」脆弱性で被害を受けたWebサイトの無残な姿、担当者が明かす
関連キーワード 暗号化 | セキュリティ | セキュリティ対策 | SSL セキュリティ業界に衝撃を与えたOpenSSLの脆弱性「Heartbleed」は、もはや単なる「理論上危険なバグ」ではなくなった。既に2つの組織がこの脆弱性を悪用した攻撃のターゲットにされたと報じられている。 育児情報サイトの英Mumsnetは、同社Webサイトで次のように説明している。Mumsnetは、Heartbleedが公表された2日後の2014年4月9日（現地時間、以下同）にこのバグの存在を知り、直ちにサーバの脆弱性を調査した。脆弱であることが確認されたため、すぐにパッチを適用して修正したが、ユーザーがログインページで入力したデータが不正にアクセスされていたことが4月11日に判明したという。 関連記事 いまだ広がる波紋 「Heartbleed」脆弱性を“止血”するには “セキュ女”育成計画始動――女子大生をも
ストールマン氏が語る「巨大な監視エンジンと民主主義の危機」 (2/2)
このままでは「1984」のレベルよりも高い監視社会になる？ 「監視が一定レベルに達すると民主主義は実現可能ではなくなる」とストールマン氏は危機感を露にする。教育、医療、公安、それに公共インフラ整備など、政府の役割を認めながら、「政府には権力があり、その権力がきちんと使われなければ、市民を破壊・鎮圧することになる。われわれは政府をしっかりコントロールする必要がある。その最初のステップが、政府が何をしているのかを把握することだ」と続ける。そして、自身が抱く危機感の根拠として、米国政府がなにをやっているのかを知らせた告発者たちに対する米国政府への厳しい態度に触れた。 たとえば、元CIA職員で米国政府がアルカイダの容疑者に対して拷問を行なっていることを知らせたジョン・キリアコウ（John Kiriakou）氏は、「政府が何をやっているのかをわれわれ市民に教えてくれた。だが政府は起訴する理由を探すべ
SoftEther VPN のソースコードを GPLv2 オープンソース・ライセンスで公開 - SoftEther VPN プロジェクト
2014 年 1 月 4 日 (土) SoftEther VPN プロジェクト 登 大遊 (筑波大学大学院システム情報工学研究科 博士後期課程) SoftEther VPN プロジェクトは、本日、SoftEther VPN のソースコードをオープンソース・ソフトウェア (GPLv2 ライセンス) として公開いたしました。ソースコードは、.tar.gz 形式または.zip 形式でダウンロードできるほか、GitHub のリポジトリ上でも公開されています。ソースコードは Windows、Linux、Mac OS X、FreeBSD および Solaris 上でビルドでき、再配布のためのインストーラも自動生成可能です。 ソースコードのダウンロード SoftEther VPN はオンプレミスまたはクラウドベースの VPN を構築するためのツールとして人気がある、製品レベルの VPN ソフトウェア・ス
VPN Gate に対する外国からの妨害活動と対抗策としてのオープンソース化について | 2013-08-23 - 登 大遊＠筑波大学大学院コンピュータサイエンス専攻の SoftEther VPN 日記
筑波大学での研究として VPN Gate プロジェクト http://www.vpngate.net/ を開始してから、間もなく半年になる。現在 VPN Gate は国ごとのユーザー数リアルタイムランキング http://www.vpngate.net/ja/region.aspx で公開されているように、全世界 198 カ国 (特別行政区等の地域を含む) から利用されており、これまでに 1,226 テラバイトのデータ転送があった。ユーザー登録は不要であるが、ユニークユーザー数をユニーク IP アドレス数から推測すると本日時点で 281 万 9,313 人となっており、世界で最も使用されている VPN 中継システムの 1 つとなりつつある。 VPN Gate プロジェクトは、「検閲用ファイアウォール」がある国からの利用が盛んである。検閲用ファイアウォールといえば、アジアのある国が有名である
OpenLDAPサーバを利用したユーザー認証（1/3） － ＠IT
OpenLDAPサーバを利用したユーザー認証：OpenLDAPで始めるディレクトリサーバ構築（3）（1/3 ページ） ユーザー情報や組織情報などを一元的に管理するディレクトリサーバは、企業システムの中で重要な役割を果たしています。この連載ではオープンソースの「OpenLDAP」を用いて、ディレクトリサーバの構築・活用方法を解説します。（編集部） 前回「OpenLDAPのインストールと動作確認」では、OpenLDAPサーバのインストール方法を説明しました。今回は、OpenLDAPサーバの設定ファイル「slapd.conf」を編集し、OpenLDAPサーバへエントリ登録を行った後、LDAPクライアントでのユーザー認証設定を行うまでを説明します。 なお今回は、CentOS 5.2に付属するopenldap-serversパッケージ（OpenLDAP 2.3）を用い、バックエンドデータベースにはそ
【レポート】Google Chormeが検索プロバイダに送信するデータ、Chromiumがある真の理由 (1) Google Chrome = Chromium + GoogleUpdate + RLZ | エンタープライズ | マイコミジャーナル
Chromium - News and developments from the open source browser project Googleが開発した最新のWebブラウザGoogle ChromeやChromiumは特定の情報をGoogleに送信している。これはWebブラウザ開発やサービス改善に活用されるデータとなるが、そうした動きをよしとしない向きもある。ChromiumからGoogleへの情報送信機能を削除したブラウザIronが登場したのはそうした背景がある。 しかし開発やサービス改善にこうした情報が重要な役割を果たすこともまた事実だ。ユーザは自身のポリシーに従い、機能を有効にするか無効にするかを選択できる。無効にできない場合には別のアプリケーションを選択すればいい。こうした疑問に答える形でGoogle Chrome, Chromium, and GoogleにおいてGoo
Google暗号Keyczar、デフォルトで安全につかえる暗号ラッパーAPI | エンタープライズ | マイコミジャーナル
Keyczar 暗号処理はプログラミング時にもっとも気をつかう部分のひとつだ。乱数や初期値の選定、鍵の生成方法と管理および運用、アルゴリズムの選定など気にしなければいけないことが多い。ひとつでも間違えるとまったく効果を失ってしまうこともある。暗号処理をおこなっているとしても使い方を間違っていれば無意味なこともある。 こういった問題を解決するためGoogle Security Teamは11日(米国時間)、オープンソースソフトウェアとしてKeyczarを公開した。Keyczarは暗号処理において懸念される問題を解決することを目的とした暗号ツールキット。今のところJavaとPythonがサポートされており、近いうちにC++版も登場するとされている。Keyczarの主な特徴は次のとおり。 アルゴリズムやモード、鍵長をデフォルトで安全なものを仕様 初期ベクトルと暗号文シグネチャの自動生成機能の提供
グーグル、暗号化ツールキットをオープンソースで公開 － ＠IT
2008/08/12 米グーグルは8月11日、暗号化ツールキット「Keyczar」をオープンソースとして公開した。 Keyczarは、さまざまなアプリケーションに暗号化機能を組み込むための、開発者向けのツールキット。秘密鍵と公開鍵の両方による暗号化／認証機能をサポートし、鍵のバージョン管理システムも備える。公開時点ではJavaおよびPythonで実装されており、まもなくC++もサポートされる予定だ。 一般にアプリケーションに暗号化機能を組み込む場合には、適切なアルゴリズムや鍵長、ローテーションなどについて開発者がきちんと考慮しないと、想定通りのセキュリティレベルが得られない。しかしKeyczarの場合は、鍵のバージョン情報から得られるアウトプットに自動的にタグ付けし、デフォルトで安全な方を選択することにより、こうした作業を抽象化。ソースコードに変更を加えたり、後方互換性を考慮することなく、
オープンソースは品質が良い？
「群衆の叡智サミット」という討論会に，パネラーとして出席しました(関連記事）。 「群衆の叡智」という言葉は耳慣れない人も少なくないかも知れませんが，あちこちで解説されたり使われている言葉なので，ちょっとぐぐってみればたくさんの情報に当たることができると思います。 「オープンソース」はよく「群衆の叡智」の例として挙げられます。これがそうであるか否かは，皆さん自身で考えてみられると良いと思います。私は最近の複数の事件から，ちょっとそうだと言い切るのは難しいのではないかと思い始めました。どう結論づけするかは，読者の皆さんにお任せするとして，今回はまずその「事件」について考えてみたいと思います。 最近起きたショックな事件 一つは「DebianのOpenSSL問題」です*1。詳しい障害の内容はリンク先を見て戴くと分かると思います。この問題はOpenSSLのメンテナがバグを取ろうとして間違った修正をし
Vistaで接続できないNASに対処する
NAS（Network-Attached Storage）は、WindowsやMac OSのファイルサーバ機能を提供するアプライアンス製品。平たく言えば、ネットワーク接続で使う外部記録装置だ。昨今では人気のPC周辺機器となっている。 家庭向けのNASは低価格な半面、OSにWindowsを採用しているものは皆無といってよい。OSのライセンス料が必要であれば、低価格でNASを販売するのは難しいからだ。このため、多くのNASは無料で利用できるLinuxと、ファイルサーバ機能を提供するサーバアプリケーションのSambaを組み合わせている。SambaはUNIX系OSで動作するアプリケーションで、Windowsネットワークのフォルダ／プリンタ共有機能を提供するものだ。SambaのライセンスはGPLで、基本的に無償で自由に使える。 ここで1つ問題となるのが、VistaとSambaの接続性だ。NASがSa
仕様から学ぶOpenIDのキホン － ＠IT
にわかに注目を集めている、URLをIDとして利用する認証プロトコル、OpenID。本連載ではこのプロトコルの仕組みを技術的に解説するとともに、OpenIDが今後どのように活用されていくのかを紹介する（編集部） OpenIDってなんだろう？ 現在、国内外でにわかに注目されつつあるOpenIDという仕組みを聞いたことがあるでしょうか？ これはユーザー中心の分散ID認証システムですが、まだ日本での普及は進んでいない状況です。 これにはいくつか原因が挙げられるでしょうが、筆者はOpenIDが正しく理解されていないことが原因だと考えます。 本連載ではOpenIDの現行仕様、およびその拡張仕様とともに、実装を例に取りつつOpenIDとは何かということを明らかにしていきます。最終的にはOpenIDが切り開く未来を見るため、現在策定中の次期仕様についても触れていきたいと思います。 広がりつつあるブラウザベ
OpenIDを使ってみよう：CodeZine
サンプルを動かす 今回のサンプルを試すのにシックス・アパートの無料ブログサービスVoxを利用したいと思います。VoxはOpenIDをサポートしていますので皆さんのVoxのURLはOpenIDとして利用することができます。 それではまずは動作の確認をしてみましょう。サンプルCGIにアクセス（例：http://localhost:8080/cgi-bin/openid-test.cgi）して、入力フォームに自分のVoxのURL（例：yourname.vox.com）を入力してください（http://というプロトコルは必須ではありません）。ログインボタンを押すと、Voxのログインページが表示されます。Voxにログインすると、再び「openid-test.cgi」に戻ってきます。「openid-test.cgi」はVoxから取得した情報を表示します。 FOAF、Atomフィード、RSSフィードの
暗号化仮想ドライブで手軽にファイルを暗号化 ― ＠IT
重要な情報の入ったノートPCや、USBメモリなど、持ち運びが簡単なものは紛失や盗難の可能性も高い。万が一、誰かの手に渡ってしまったときを想定し、その情報を利用されてしまうことを防ぐ効果的な手段がある。それは、情報を暗号化して保存しておくことだ。 ファイルなどを暗号化するには、いくつかの方法や、それを実現するソフトウェアがある。ここでは、重要な情報の保存や、持ち運びの際に便利な「暗号化仮想ドライブ」について紹介する。 暗号化仮想ドライブを使おう 「仮想ドライブ」は、物理的なディスクドライブに対して、ソフトウェアで実現した仮想的なディスクドライブという意味である。CD-ROMのISOイメージなどをマウントして、あたかも実際にドライブがあるかのように利用することができるものだ。暗号化仮想ドライブは、その名が表すとおり、暗号化された仮想ドライブである。 暗号化仮想ドライブは、以下の特徴を備えている
【レビュー】JavaScript ASPでセキュア通信を - パスワード盗聴対策に"aSSL"はいかが? (1) JavaScriptで開発されたセキュア通信用Ajaxライブラリ | エンタープライズ | マイコミジャーナル
Webサービスにおけるセキュア通信といえばHTTPS(HTTP over SSL, HTTP over TLS)がデファクトスタンダード。これはSSL/TLSを活用してWebブラウザレベルで暗号化通信を実現し、Webブラウザとサーバ間における通信データをまるごと暗号化するというもの。Ajaxアプリケーションといえど、そこは同じだ。 しかし、HTTPSにするほどではないものの、通信内容の暗号化は実現したいという向きも多い。HTTPSでは認証局から許可を得た鍵を使わないとWebブラウザから警告が出るなど、面倒なことが多いからだ。そんなときには「aSSL」というライブラリを検討してみてほしい。HTTPSほど安全ではないものの、パスワード盗聴対策レベルなら便利に使うことができる。 aSSLとは aSSLはJavaScriptで開発されたセキュア通信のためのAjaxライブラリ。Francesco S
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「XZ Utils」にバックドア、オープンソースエコシステム全体の信頼を揺るがす事態に／0.5秒の遅延からたまたま発覚、数年をかけた周到なやり口が明るみに
ソフトイーサ、「PacketiX VPN」をオープンソース化 
Google、オープンソースの暗号化ツールキット「Keyczar」を発表