カテゴリー: セキュリティ
情報セキュリティ、コンピュータセキュリティ、プライバシー保護などセキュリティ関連の最新ニュース
トランプの新大統領補佐官は、ケンブリッジ・アナリティカとつながっていた
トランプ政権3代目の国家安全保障担当補佐官、ジョン・ボルトン氏は、初代補佐官だったマイケル・フリン氏と少なくとも1つ共通点がある。ふたりとも、炎上するFacebookのプライバシー問題の中心をなす政治データ分析会社、Cambridge Analyticaと結びつきがある。 The New York Timesの最新記事によると、ジョン・ボルトンの政治活動団体であるThe John Bolton Super PACは、Cambridge Analyticaと2014年8月に契約を結んでいた。同社が設立された数カ月後で、まだFaceboo…続きを読む
IETFがTLS 1.3を承認、悪質なハッカーや盗聴者が仕事をしづらくなる仕掛けを盛り込む
聞こえるかな？ 世界中のハッカーや諜報員たちが大声で一斉に叫んでいるよ。Internet Engineers Task Force(IETF)が今日、全会一致で、Web上の暗号化されている接続を高速化し、盗聴しづらくするセキュリティフレームワークを承認した。 それはTransport Layer Security version 1.3と呼ばれ、派手な話題ではないけど、至るところに悪いやつがいるようになったWebの、安全強化策のひとつだ。IETFは、世界中のエンジニアたちの集まりで、このようなスタンダードの策定で協力し合っている。そし…続きを読む
トランプ選挙陣営のデータ分析会社、Facebookユーザー5000万人のデータを不正アクセスか
先週Facebookは、トランプ選挙陣営と密接に関係するデータ分析会社のアカウントを停止したことを発表したが、実際にアクセスされたデータの規模をFacebookが大幅に低く見積もっていた可能性があることがNew York Timesの最新記事でわかった。 New York Timesによると、Campbridge Analyticaはケンブリッジ大学の心理学教授、Dr. Aleksandr Koganと協力して “thisisyourdigitallife” というアプリを開発し、最大5000万ユーザーの個人情報を収拾した。Faceb…続きを読む
IBMがセキュリティやDDoS防御でCloudflareとパートナー、サービスの内製を選ばず
最近の数年間でCloudflareは、データセンターの立地とパートナーシップでグローバルなネットワークを築き、同社のDDoS防御やセキュリティツール、Webサイトの加速、などのサービスを拡大してきた。これだけの専門的能力は簡単に得られるものではないので、IBMのような巨大グローバル企業でさえ今日（米国時間3/13）、内製よりもむしろCloudflareとのパートナーシップにより、これらのサービスを顧客に提供していく、と発表したのも、不思議ではないかもしれない。 IBMが新たに始めたCloud Internet Servicesは今日発…続きを読む
オープンソースのライブラリのセキュリティチェックと脆弱性フィックスを代行するSnykが$7Mを調達
オープンソースのライブラリはデベロッパーにとってとても重要なリソースだが、今日の慌ただしいアプリケーション開発環境では、それらが安全なコードであるという確信を持つことが容易ではない。そこでSnykは、デベロッパーがオープンソースのコードに脆弱性を見つけて直す作業を支援し、確実に安全なコードがプロダクションのその後の工程で使われるようにする。同社は今日（米国時間3/6）、Boldstart VenturesとCanaan PartnersがリードするシリーズAのラウンドで、700万ドルを調達したことを発表した。 このラウンドには、Hea…続きを読む
世界最大のDDoS攻撃はGitHubをわずか10分足らずオフラインにしただけだった
サイバー攻撃はこのところ攻守ともに巧妙になっている。そのことを示すようにGitHubは、今週襲ってきた知られているかぎり史上最大のDDoS攻撃を切り抜けたことを、公表した。 DDoS(distributed denial of service, 分散型サービス妨害)は、Webサイトやその提供サービスを、それらのサービスやインフラストラクチャが対応できないほど大量のトラフィックで爆撃して、ダウンさせてしまう攻撃だ。ターゲットを強制的にオフラインにするために、よく使われる攻撃手段だ。 GitHubは、よくやられるターゲットだ。インターネッ…続きを読む
どこかの政府ご愛用のCellebriteに頼めばiOS 11が動くiPhoneをアンロックできる
Forbesの記事によると、イスラエルの企業Cellebriteが今や最新機種のiPhoneをアンロックできるそうだ。Cellebriteは、警察の捜査目的などのために、ロックされているモバイルデバイスからデータを取り出す科学捜査ツールを売っていることで有名な企業だ。 iOSの初期のバージョンはあまり安全ではなかったが、近年それは大きく変わった。今売られているiOSデバイスはすべて安全な隔離領域があり、パスコードを使っていればデータはすべて暗号化され、ブート時やデバイスの使用時には何段階ものセキュリティチェックが行われる。 だから、パ…続きを読む
Veilは超心配性な人びとのためのプライベートブラウジング機構
もしあなたが、ブラウザで見ているものを誰かによって知られることを心配しているのなら、それを秘密にするための手段は、手段の難しさと実際の効果は様々だが沢山用意されている。その中でもVeilはおそらく他のどのような匿名ブラウジング手段よりも進化した手法である。単に外部の攻撃者からあなたが見ているページを隠すだけではなく、使っているOSそのものからも見えないようにするからだ。 このサービスについて書かれた論文の中で、Veilを開発したMITの研究者たちは、現状のプライベートブラウジングモードの問題点として、たとえTorやその他の手段を講じて…続きを読む
Intel、Spectre脆弱性の新しい修正ソフトを公開――ユーザーの手元に届くには時間がかかる
IntelはSpectreの影響を取り除くための新しい修正パッチをを発表した。SpectreはCPUのハードウェア・アーキテクチャに起因する脆弱性で、メモリの内容が推測される可能性がある。Spectreは現在主流となっているほぼすべてのハードウェアに影響を与えているが、Intelが発表したパッチはSkylake（2015年後半出荷）以降の世代のCPUに対するものだ。 ただしパッチが一般のユーザーの元で効果を発揮するようになるにはかなりの時間がかかる。コンピューター（特にマザーボード）のメーカーのデベロッパーが修正パッチのコードをファー…続きを読む
クラウドアプリケーションのセキュリティとコンプライアンスチェックを自動化するChefのInSpec 2.0
データのリポジトリをAmazonでロックすることを忘れて、機密データを露出した、なんて話を何度聞いたことか。それは、稀（まれ）ではなく、びっくりするほど多い。そこでChefは、devやopsの人びとがそんな事件を防ごうとするときの、お手伝いをしたいと考えた。今日同社がリリースしたInSpec 2.0は、クラウド上でアプリケーションのセキュリティとコンプライアンスを自動化する作業を助ける。 InSpecは無料のオープンソースツールで、開発チームはこれを使ってセキュリティとコンプライアンスのルールをコードで表現できる。前の1.0は、アプリ…続きを読む
クラウドのセキュリティが弱いと暗号通貨の採掘に無断で使われる、最新の被害者がTesla
この新種で悪者の暗号通貨採掘者は、手当たりしだい誰でも攻撃しているようだ。最新流行のハッカー行為の今度の犠牲者は、なんとTeslaだ。クラウドコンピューティングのセキュリティが貧弱だったため、彼らはまんまと侵入した。 セキュリティ企業のRedLockはすでにこのタイプの攻撃をいくつか検出していたが、その最新の例がこれだ。いずれの場合も、Kubernetesのアドミンコンソールが完全無防備だった。パスワードすら、なかった。 RedLockに見つかるものなら、当然、ハッカーにも見つかる、…そして、見つけた。そのクラウドコンピューティングの…続きを読む
あるUNICODE文字がAppleデバイス上でアプリを破壊する――iOS、Mac、Watchの主要ソフトすべてに影響
TechCrunchはAppleのデバイスに深刻なバグがあることをつかんだ。 モバイルブラウザを提供しているAloha Browserの開発チームは多言語対応のニュースフィードを開発中に特定のUNICODE文字がAppleのアプリをクラッシュさせることを発見した。これはAppleのデフォールトのSan Franciscoフォントを利用している場合に発生した。アプリのクラッシュは英語以外のUNICODEの2文字によって引き起こされ、iPhone、iPad、Macの各機種のアプリばかりでなく、WatchOSでテキストを表示する場合にも影響…続きを読む
FBI、CIA、NSAはHuawei、ZTEの携帯利用に上院で警告
Huaweiがアメリカ市場に乗り込むには依然ハードルは高いようだ。今週に入って、FBI、CIA、NSAを含むアメリカの情報機関のトップ、6人は上院情報委員会で中国のメーカーHuawai、ZTEのスマートフォンに関して証言し、「アメリカ市民はこれらの製品、サービスを利用すべきでないと考えている」ことを明らかにした。 もちろんこれは今回急に出てきた話ではない。両社のトラブルが始まったのは2012年にさかのぼる。下院情報委員会は「両社の中国政府とのきわめて密接な関係は重大なセキュリティー・リスクとなり得る」と判断した。これを受けて、翌年、両…続きを読む
Googleは2017年にPlay Storeから70万以上のアプリを削除した、2016年から70%の増加
Androidの比較的オープンな性質は、マルウェアの作成者やその他のあらゆる悪意ある者たちの標的になっている。彼らはしばしばそのソフトウェアを、公式なGoogle Play Store、サードパーティのアプリストア、その他考えられるあらゆる手段を通して送り込もうとする。しかし、ほとんどのユーザーにとっては、Google自身のPlayストアが、主要なAndroidアプリストアである。本日（米国時間1月30日）Gooogleは、70万件に及ぶ潜在的に有害な、または詐欺的なアプリを昨年ストアから削除したことを発表した。この数は2016年から…続きを読む
Amazon AWSがSqrrlを買収してセキュリティの脅威検出能力を強化
AWSが、NSAにルーツを持つセキュリティ企業、マサチューセッツ州ケンブリッジのSqrrlを買収した。同社は、機械学習を利用してさまざまなソースを分析し、セキュリティの脅威を企業ユーザーが迅速に追跡および理解できるようにする。 発表はSqrrlのホームページで同社のCEO Mark Terenzoniが行っている。“SqrrlがAmazonに買収されたことを共有できて嬉しい。私たちはAmazon Web Servicesの家族の一員になり、共に顧客の未来に貢献していきたい”、と彼は書いている。 では、この買収によって顧客は何を得るのか…続きを読む
AlphabetがXムーンショット生まれのサイバーセキュリティ企業Chronicleをローンチ
あなたが、まだ間違って“Google”と呼んでるかもしれないAlphabetが今日（米国時間1/24）、新しいサイバーセキュリティ企業Chronicleのローンチを発表した。それは、企業のハッカー検出と撃退能力を高めることがねらいだ。ChronicleはAlphabetのXムーンショットグループから巣立ち、今ではGoogleなどと同じく、Alphabet傘下の単独企業だ。 Google VenturesからXに入り、その前はSymantecのCOOだったStephen Gillettが、この新会社のCEOになる。 最初にChronic…続きを読む
AppleがSierraとEl Capitanが動いているMacのためにMeltdownのフィックスを発行
賢人のかつて曰く、“何度かパッチが当てられるまでは、OS Xをアップグレードするなかれ。しかもそのときですら、セキュリティ以外にはアップグレードする価値はなし”。この言葉は名前がmacOSに変わる前だが、多くの人を啓蒙し、旧バージョンに留まる者が増えた。ただし最近ではそんな態度は、最新バージョンでは保護されているMeltdown脆弱性を抱えたままになってしまう。しかし運良くAppleは、SierraとEl Capitanをフィックスの仲間に加えた。 その最新のセキュリティアップデートは、あちこちでいくつかのランダムなエクスプロイトをフ…続きを読む
ARMのCEO Simon SegarsのSpectre/Meltdown観、そしてIoTのセキュリティについて
今年のCESは、SpectreとMeltdownに呪われていた。会場内の会話のほとんどが、どこかで必ず、この話題に触れていた。なにしろCESだから、われわれが会う人の数も多く、そしてその中にはこの問題に近い人も多い。今回はその一人、ARMのCEO Simon Segarsに、本誌TechCrunchのブースまで来ていただいて、その対応策などについてうかがった。 また、IoTやAIなど、同社の今後の大きなビジネス機会についてもお話を聞いた。同社の設計をベースとするチップはすでに1200億あまりのデバイスで使われているが、次のフロンティア…続きを読む
G Suite EnterpriseのSecurity Centerで、利用しているすべてのサービスのセキュリティ状況を一望できる
Googleが今日、G Suiteのアドミン用の新しいツールを立ち上げて、彼らの組織のセキュリティの状態をもっとよく見られるようにした。そのツールG Suite Security CenterはG Suite Enterpriseのユーザーだけが使えて、二つの主な部位がある。最初の部位はダッシュボードで、アドミンはその画面を見ながらさまざまなサービスのセキュリティ関連測度の現在値を概観できる。たとえばGmailなら受信メール中のフィッシングメールの有無やその数など。またGoogle DriveやMobile Managementなども…続きを読む
Huaweiがアメリカのキャリアと契約できなくなったのは議員からの圧力のため、という説
Huaweiの長引いているアメリカ進出のトラブルは、その最新の状況が、先週のCESにおける予期せざる、そして人びとの興味をそそる、記事ネタにもなった。しかしこの玉ねぎには、まだ剥くべき層がたくさんある。今朝（米国時間1/16）Reuters（ロイター通信）は、AT&Tがこの中国のスマートフォンメーカーとの契約を土壇場で破談にしたのは、このキャリアに対するアメリカの議員からの圧力があったからだ、とする憶測を確認している。 この通信社の情報筋によると、AT&Tが同社のキャリア援助事業によりHuaweiのハンドセットを提供する、という計画に…続きを読む
近日開催のイベント
