弊社役員のGyazoアカウントおよびTwitterアカウントへの不正アクセスに関するお詫びとご報告 - Gyazo Blog
平素よりGyazoならびにScrapboxをご利用いただきありがとうございます。この度、弊社CTO増井俊之（以下当人）のTwitterアカウントとGyazoアカウントが不正利用されているとのご指摘をユーザーのみなさまよりいただき、事実関係を調査いたしましたところ、不正利用の事実が判明いたしました。 アクセスログ等の確認ならびに当人への聞き取り調査により、当人がGyazoアカウントに他のWebサービスと同じパスワードを設定しており、このパスワードが漏れたために第三者に不正利用されたものと確認しております（いわゆるパスワードの使い回し）。また、当人がGyazoアカウントにTwitterアカウントのIDとパスワードを含むスクリーンショットを保存しており、その画像を元にTwitterアカウントも不正利用されたことが、アクセスログ等の確認ならびに当人への聞き取り調査により判明しました。現在、当人にパ
スター・ウォーズ：帝国のサイバーセキュリティ問題
銀河帝国CEO、シーヴ・パルパティーン皇帝は、汚職と内乱にまみれた銀河共和国と独立星系連合をまとめて帝国を成立させました（内乱の大半を画策していたのはダース・シディアスという謎の男であったが、後に、ナブーの元老院議員から元老院最高議長となっていたパルパティーンこそがこの男であったことが判明）。ヤヴィンの戦いの当時、帝国は成立から19年が経過し、銀河系最大の勢力となっていました。 一見したところ、デス・スターの崩壊は、一握りの宇宙の魔術師たちから支援を得た小規模な反乱軍による攻撃の結果に見えます。しかし、ハリウッドのエキスパートたるジョージ・ルーカスが行った徹底的な分析と再現により、指揮系統の純然たる怠慢とずさんなサイバーセキュリティ対策がデス・スターの崩壊をもたらしたと証明されました。もちろん、明白な理由の1つには、ストームトルーパーが目も当てられないほど訓練不足だった（射撃技術のお粗末さ
ありがとう文春！ ベッキー・ゲス極事例からLINEの安全を考える (1/3)
ベッキーさん川谷さんのスキャンダルが、さらに拡大した。1月21日木曜日発売の週刊文春が、新たにベッキー謝罪会見前日のLINEスクリーンショットを掲載している。なぜLINE画面は漏れてしまうのだろうか。原因と対策をまとめる。 「逆に堂々とできるキッカケ」「オフィシャルになるだけ！」 謝罪会見前日のベッキーさん・川谷さんのLINEを文春が再び掲載 ベッキーさん・川谷さんのスキャンダルは再びエスカレートしている。1月21日木曜日発売の週刊文春が、新たにベッキーさん謝罪会見直前のふたりのLINE画面を掲載してしまったのだ。 週刊文春によればベッキーさんが会見を開いた1月6日の前日（5日）のものだとして、「友達で押し通す予定！笑」に続き、以下のようなやり取りのLINEスクリーンショットを掲載している。 右（川谷さんと思われる）「逆に堂々とできるキッカケになるかも」 左（ベッキーさんだと思われる）「私
ブラウザー・WebViewが利用できないデバイスの課題とOAuth 2.0 Device Flow
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、ID連携黒帯 倉林 雅（@kura_lab）です。 昨年の「知っておきたい7つのID連携実装パターン」に続き今年も23日を担当することになりました！祝日も記事を投稿いたします！ 今年のAdventCalendarも「Yahoo! JAPANを支える技術」をテーマとしていますが、今回は少し先の未来をみすえて今後Yahoo! JAPANを支えることになるかもしれない新しい技術についてご紹介しようと思います。 すでにPCやスマホ上で認証を行いサービスを利用することは普通になりつつありますが、今後はテレビやゲーム機、ビデオカメラなどのデバイスでも認証や決済を利用したサービスが増えてくると思われます。Identity Provi
IoT時代の認証技法を考える【連載:増井俊之】 - エンジニアtype | 転職type
増井俊之（@masui） 1959年生まれ。慶應義塾大学環境情報学部教授。ユーザーインターフェースの研究者。東京大学大学院を修了後、富士通半導体事業部に入社。以後、シャープ、米カーネギーメロン大学、ソニーコンピュータサイエンス研究所、産業技術総合研究所、Appleなどで働く。2009年より現職。携帯電話に搭載される日本語予測変換システム『POBox』や、iPhoneの日本語入力システムの開発者として知られる。近著に『スマホに満足してますか？ ユーザインターフェースの心理学』 メールやメッセージが届いたことをユーザーに知らせる通知システムが広く使われています。1980年に開発された「4.0 BSD」というバージョンのUNIXには「biff」というシステムがあり、メールが届いた時、ユーザーのターミナルに通知メッセージを表示できるようになっていました。 1985年ごろの『Sun Workstat
Twitter乗っ取りでスパム送信相次ぐ リスト型攻撃か 偽ブランド販売サイトに誘導？
最近目立っているのは、「レイバン」のサングラスや「プラダ」の財布、「UGG」のムートンブーツなどのブランド品を激安で販売すると宣伝するサイトに誘導するツイート。「レイバンのサングラス！2499円！優遇放送日だけ！」「R0AEC プラダ 海外 安い, プラダ 財布 カタログ【海外激安】」「私は8190円のUGGブーツを購入した」などの文言と商品画像、通販サイトのURLを、ほかのアカウントにあてた「@」付きで投稿する。誘導先で販売されている商品は極端に低価格で、偽ブランド品や詐欺サイトの可能性もある。 これらのツイートはアカウントの持ち主が意図したものではなく、スパム業者がアカウントを乗っ取って投稿しているようだ。Twitterでは不正な連携アプリによるスパムツイートが流行することが多いが、今回のケースは異なり、他社などから流出したパスワードリストを悪用し、多数のアカウントに不正ログインするリ
偶然にも500万個のSSH公開鍵を手に入れた俺たちは - slideshare
DeClang 誕生！Clang ベースのハッキング対策コンパイラ【DeNA TechCon 2020 ライブ配信】DeNA
Apache Traffic Server の脆弱性の発見と報告
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog はじめに こんにちは。システム統括本部 プラットフォーム開発本部 エンジニアの小柴（@masaori335）です。Yahoo! JAPAN は多くの Open Source Software（以下 OSS）に支えられています。そのなかの 1 つに Apache Traffic Server（以下 ATS）があります。ATS は過去にこの TechBlog でも紹介したこともある非常に高性能なキャッシュ/プロキシサーバーです。（*1）私の所属するチームでは日頃 ATS コミュニティへバグの報告やパッチの提供などを行っています。この記事ではその活動のなかから『ある脆弱性を発見した顛末』を紹介します。 CVE-2014-3525 脆弱性
AndroidはIMEインストール時に“警告”表示で注意喚起 Google日本語入力は「入力情報の送信はしていない」
バイドゥのAndroid用日本語入力ソフト（IME）「Shimeji」が入力内容を無断で外部に送信していたことが分かった。同社は「実装バグ」と説明するが、Twitterなどでは、文字入力を司るIMEに対しユーザーからの不安の声も上がっている。 Androidでは「Google日本語入力」などのIMEを端末にインストールする際、「アプリにパスワードやクレジットカードの収集を許可することになる」という警告文が表示される。Googleによると、これはIMEに対し注意を促すために搭載しているAndroid OSの機能だ。Google日本語入力を使って入力された文字などが外部に送信されることはないとしている。 AndroidにIMEをインストールしようとすると表示される警告文。これはATOKをインストールする際のものだが、ATOKは情報を収集していないことをアプリ内で明記している 「この入力方法を選
入力情報を送信するＩＭＥ
2013/12/26 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 入力情報を送信するＩＭＥ IMEの通信解析で利用されたSSLの解析技術に関して NHKなどで報道されている、パソコン用の日本語入力ソフトBaidu IME、 Android用の日本語入力ソフト Simejiの送信データを解析した件に関して詳細をご説明します。 検証解析環境 ＜ＳＳＬによる暗号化通信を解析できる環境＞ 解析の結果、日本語入力の文字列が、SSLで暗号化され送信されていることがわかりました。 Baidu IME , Simejiでは、全角入力の場合のみ情報が送信されています。 クラウド入力Offの場合でも入力文字列を送信していました。 パスワードなど半角入力のみ
GitHub に登録した SSH 公開鍵は全世界に公開されている | 774::Blog
意外と知らない人がいるようなのでブログに書いておきます。 GitHub のアドレスのあとに .keys を付けるとその人の SSH 公開鍵が表示される。 たとえば id774 さんの公開鍵であれば https://github.com/id774.keys を参照すれば良い。 ぜひ自分のアカウントで試してみて欲しい。 新規に用意するサーバーの ~/.ssh/authorized_keys に上記アドレスを wget したものを置いて適切なパーミッションを設定しておけばすぐに公開鍵認証ができるというわけである。 もうそろそろ公開鍵をメールで送ってくれとかいう文化が滅亡して GitHub から勝手に公開鍵を持っていくのが常識な世界になってほしい。
パスワードクライシス・前編 パスワードって何だ？
パスワードクライシス・前編 パスワードって何だ？：萩原栄幸の情報セキュリティ相談室（1/2 ページ） SNSやオンラインサービスで相次ぐ不正ログイン事件の背景に、パスワードの使い回しを指摘する声が少なくない。厳格なパスワード管理も声高に叫ばれるが、すでにパスワードは終えんを迎えている。その理由と今後を掘り下げてみたい。 情報処理推進機構（IPA）が、8月1日に多くのパスワードを安全に管理するための具体策として「全てのインターネットサービスで異なるパスワードを！」と呼び掛けた。IPAに出向している知人もいるので申し訳ないのだが、この内容をみて思わず噴き出してしまった。それと同時に、「パスワードの仕組みが崩壊した」という感触を持ったのである。 筆者は16年前から金融機関向けに、情報セキュリティ管理者を養成する講演を手掛けている。そこで「パスワードの限界」というテーマで解説を行っているが、これを
"伝説のハッカー"が明かす、ソーシャルエンジニアリングの手口
アズジェントは5月24日、東京都台東区のヒューリックホールにてセキュリテイベント『進化する標的型攻撃。ヒューマンハッキングの実態 ～ソーシャル・エンジニアリングの第一人者が語る～』を開催した。 同セミナーでは、ソーシャルエンジニアリングフレームワークの第一人者と知られるクリストファー・ハドナジー(Christopher Hadnagy)氏、アズジェントでセキュリティセンター フェローを務める駒瀬彰彦氏、さらには「伝説のハッカー」として名高いケビン・ミトニック(Kevin Mitnick)氏と、豪華講師陣が登壇。標的型攻撃で使われるソーシャルエンジニアリングの手法について事細かに解説した。 本稿では、自身の経験を交えながら攻撃者が繰り出す手口を具体的に紹介したケビン・ミトニック氏の講演、およびその後に行われた上記3者によるパネルディスカッションの内容をまとめてご紹介しよう。 16歳の時にUP
とも ちゃ日記(Tomo cha) - 元大学生のＯＬ日記-
わたしの日記は日々の出来事の鬱憤晴らしの毒だし日記がメインです。 相当病んでいます。くだを巻いています。許容出来る方のみのアクセスをお願いします。 また、この日記へのリンクは原則自由にして頂いても結構ですが、 写真への直リンクを張るのはご遠慮下さい。内容に関しては、一切保証致しません。 カテゴリ一覧 Network, Internet, IPv6, DC, NTT, Comp, Linux, Debian, FreeBSD, Windows, Server, Security, IRC, 大学, Neta, spam, 食, 生活, 遊び, Drive, TV, 仕事, 海外用レンタル携帯電話 グローバルセルラーが、SQL インジェクションにやられて、 エクスコムグローバル社のウェブサーバーから10万件以上の顧客クレジットカード情報が流出という記事が出た。 気になってみていたら、あちこちの
ワンタイムパスワード - Yahoo! JAPAN IDガイド
ワンタイムパスワードを設定すると、万が一他人にパスワードを知られてしまっても、不正ログインの危険を回避できます。 ワンタイムパスワードとは？ ログインのたび認証画面が表示され、ワンタイムパスワードが発行されます。本人のみが受け取れ、1回限り有効な時間制限のあるパスワードのため盗まれるリスクが著しく低く安全です。
OAuthの認証にWebViewを使うのはやめよう
AndroidからTwitterへアクセスするためのライブラリとして，Twitter4Jが有名です． これを使ってみようと，「Android Twitter4J」と検索すると 認証にWebViewを使った例がたくさん出てきます． ・・・いや，ちょっとまて． それはちょっとまずいだろう． そういうわけでもうちょっと賢い方法を探してみました． 何がまずいのさ 「Android Twitter4J」と検索すると，上位にこんなページが出てきます． Twitter4jを使ってOAuth認証をアプリ内で行う方法 Twitter4j-2.2.xを使ったOAuth認証のコーディング例 twitter4jでツイートする Android+Twitter4JでOAuthするためのソースコード 上のサイトでは次の様は方法をとっています． アプリ内にWebViewを貼り付け WebViewでTwitterの認証画面
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
IIJ、スマホ向けワンタイムパスワード管理アプリ「IIJ SmartKey」 
さくらのVPSに来る悪い人を観察する その２
エクスコムグローバル株式会社｜XCom Global, Inc.