カテゴリー: セキュリティ
情報セキュリティ、コンピュータセキュリティ、プライバシー保護などセキュリティ関連の最新ニュース
ドイツが子ども用スマートウォッチを禁止、盗聴などハッキングの餌食になることを懸念
ドイツの連邦ネットワーク庁(Federal Network Agency, FNA, Bundesnetzagentur)が今週、子ども用のスマートウォッチを全面的に禁ずる禁令を発布した。さらに、そのようなデバイスをすでに買い与えていた親は、それを破壊しなければならない。この強権的な動きは、未成年をねらったデバイスをめぐるプライバシーの懸念が高まっていることに対する、政府としての対応だ。 “アプリを使って親は、子どもたちに気づかれずに彼らのウォッチを盗聴できるが、それらは無認可の送信システムとみなされる”、同庁の長官Jochen Ho…続きを読む
ユーザーが自分のヌード画像をアップロードするリベンジポルノ対策でFacebookが自己弁護
Facebookの安全性担当のトップAntigone Davisが、今オーストラリアでテストしているリベンジポルノ対策について説明している。この対策では、ユーザーが自分のヌード写真やビデオをMessengerに送り、Facebookはそれに、同意のない露骨なメディア(non-consensual explicit media)というタグをつける。 説明の中でDavisは、こう書いている: “この小規模なパイロット事業では、人びとが写真を前もってFacebookに送り、それがまったく共有されないようにする、という緊急的手段をテストしたい…続きを読む
AWS S3がデフォルトの暗号化オプションによりアドミンの苦労と負担を取り除く
顧客がデータを暗号化してないことによるAmazon S3のセキュリティ事故は、慢性的に多い。被害企業の中には、某国防総省納入企業や、本誌TechCrunchのオーナー企業Verizon、大手コンサルティング企業Accentureなどの著名企業もいる。というわけで今日AWSは、S3上のデータが（なるべく）確実に暗号化されるための、5種類のツールセットを発表した。 まず、これからのS3には、デフォルトで暗号化する、というオプションがある。その名のとおり、このオプションを指定すると、S3に放り込むデータはデフォルトで暗号化される。アドミンが…続きを読む
ParityのEthereumウォレットに深刻な脆弱性――巨額の暗号通貨が凍結中
今日（米国時間11/7）、ポピュラーな暗号通貨、Ethereumを悪いニュースが襲った。今回発見された脆弱性は何億ドルものEthereum資産に影響を与えるという。この問題はEthereumにとってここ数か月で2度目の深刻な打撃だ。 有力なウォレット・サービス、Parityを提供しているParity Technologiesは今日、ウォレットを消してしまう可能性のある問題を公開した。 この脆弱性は7月20日以降にリリースされたマルチシグ（セキュリティーを強化するため複数が合意して署名することが必要な）ウォレットで発見された。つまりそれ…続きを読む
Face IDの「誤学習」に注意!
兄弟間でiPhone XのFace IDが誤作動してしまうという報告があるようだ。こうしたケースを避けるために、気をつけておきたいことがある。 顔の似た兄弟でも、顔認識を使ってアンロックしようとした際には、認証エラーとなるのが普通だ。しかしここでうっかり認証用のパスワードを入力しないように気をつけたい。パスワードを入力してエラーを回復させてしまうと、Face IDを誤った方向に調整してしまうことになるのだ。最初はエラーとなった兄弟も、次の機会には問題なくアンロックできてしまうことになりかねない。いってみれば、Face IDで採用してい…続きを読む
ニューヨークのテロ容疑者はUberのドライバーだった…採用審査に疑問符が
ニューヨークのテロ容疑者Sayfullo SaipovがUberのドライバーであったことを、同社は確認した。彼の容疑は、火曜日（米国時間10/31）にマンハッタンのワールド・トレード・センターの近くでトラックを運転して群衆に突っ込み、少なくとも8名を殺害、11名を負傷させたことである。 “この愚かしい暴力行為に驚愕している。私たちの心は被害者とその家族と共にある。私たちは警察と接触して、できるかぎりの協力を提供している”、とUberのスポークスパーソンは語った。 UberによるとSaipovはこれまで半年間、ニュージャージーでドライバ…続きを読む
セキュリティ重視のメッセージングアプリSignalにスタンドアローンのデスクトップアプリケーションが出た
EFFが高く評価し、あの、国家による国民の盗聴をあばいたEdward Snowdenも推奨する‘もっとも安全な’メッセージングサービスSignalは、本誌読者にも愛用者が多いと思われるけど、このほどついに、デスクトップアプリケーションが出た。というか、前からあった“デスクトップアプリケーションもどき”は実はChromeアプリなので、使うにはGoogleのChromeブラウザーが必要だった。しかし今日（米国時間10/31）、その悪夢も終わった。今回Signalがリリースしたスタンドアローンアプリケーションは、巨大テクノロジー企業に依存し…続きを読む
Cloud Native Computing Foundationに署名方式の強力なセキュリティプロジェクトNotaryとTUFが加わる
Cloud Native Computing Foundation(CNCF)は、コンテナオーケストレーションツールKubernetesのホームとして知られているが、そのほかにもさまざまなオープンソースプロジェクトが身を寄せている。どれも、現代的なクラウドネイティブ関連のツールで、GoogleやMicrosoft、Facebookなどをはじめ、各社において、今ではそれらの利用が日常化している。 今日（米国時間10/23）はCNCFの厩（うまや）に、Docker生まれの2頭、NotaryとThe Update Framework(TUF…続きを読む
GoogleがWebのHTTPS化の進捗状況を報告、日本の採用率は31%から55%にアップ
安全でないHTTP接続を指摘/警告するというGoogleのセキュリティ努力は、功を奏しているようだ。同社の今日（米国時間10/20）の発表によると、Android上のChromeのトラフィックはその64%がHTTPSで保護されており、昨年の42%に比べて大幅に増加した。またChromeOSとMacは共に75%あまりのトラフィックが保護され、それぞれ昨年の67%、60%からアップした。Windowsのトラフィックでは、51%から66%へ上がった。 またアクセス数上位100のWebサイトのうち71が、デフォルトでHTTPSを使用しており、…続きを読む
ハッカー攻撃されるリスクが特別高い人たちにGoogleが“最強のセキュリティ”を提供
【抄訳】 Googleが今日（米国時間10/17）、Gmail, Drive, YouTubeなどなどGoogleのアカウントが、尋常でない、きわめて高い攻撃のリスクにさらされている、と信じているユーザーのための、無料でオプトイン（非強制）のプログラムを立ち上げた。 そのAdvanced Protection（高度な保護）と呼ばれるプログラムは現在のところ、三つの主要成分がある: ハードウェアのセキュリティキー〔U2F〕が生成するトークンを用いる2FA（二要素認証）によりGmailとGoogleのアカウント保有者をフィッシング攻撃から…続きを読む
WiFi脆弱性修正パッチ、Microsoftはリリースずみ――Apple、Googleも近くKRACK問題を修正へ
セキュリティー専門家のMathy Vanhoefが昨日（米国時間10/16）公表したWPA2における深刻な脆弱性は世界中のWiFi利用デバイスに影響を与えるものだった。このKRACK（キー再インストール攻撃）対策についてTechCrunchでも詳しく紹介したが、根本的に脆弱性を除去するにはWiFiデバイスのソフトウェアをアップデートするのが最良の方法だ。この点、企業の対応スピードにはばらつきが見られた。 まずWiFiアクセスポイント側の対策だが、キャリヤが設置したルーターを使っている場合、これに対してユーザー側できることは多くない。キ…続きを読む
WPA2のWiFi脆弱性から身を守る方法――KRACK攻撃の内容と対策
今日（米国時間10/16 ）、セキュリティー専門家のMathy VanhoefはWPA2暗号化プロトコルにおける深刻な脆弱性を公表した。現在利用されているほとんどのルーターその他のデバイスはWiFi接続を保護するためにWPA2暗号化を用いている。つまりきわめて多くのユーザーがこの問題の影響を受ける。 このKRACK〔Key Reinstallation AttaCKs＝キー再インストール攻撃〕脆弱性を利用してハッカーができること、できないことをはっきりさせておこう。攻撃者はユーザーのコンピューターとルーターの間のWiFi通信の一部に割…続きを読む
ソフトウェアのサプライチェーンを監視するためのAPI集合GrafeasをGoogleやIBMなど8社が共同開発
コンテナとマイクロサービスによって、ソフトウェアの作り方が急速に変わりつつある。しかし、どんな変化にも問題はつきものだ。コンテナが目の前にあるとき、それを誰が作ったのか、その中で何が動くのかを知りたいだろう。この基本的な問題を解決するために、Google, JFrog, Red Hat, IBM, Black Duck, Twistlock, Aqua Security, そしてCoreOSの計8社が今日（米国時間10/12）、共同のオープンソースプロジェクトGrafeas※を発表した（※: ギリシア語で“scribe, 書記官”の意…続きを読む
GitHubがユーザーコードの安全でない依存性を警告、コードの見つけやすさも改善
オンラインのコードリポジトリGitHubが今週、例年のカンファレンスを開催している。テクノロジー業界の長年のやり方に倣って同社は、このイベントを利用してサービスの新しい機能をいくつか発表した。今回の大きなテーマは二つ、セキュリティと発見性(discoverability, コードの見つけやすさ)だ。 近年はハッキングの被害がますます増えているから、ユーザーから預かったコードのセキュリティをGitHubが重視するのも当然だ。同社がとくに問題にするのは、最近のプロジェクトの多くが非常に多様なサードパーティのライブラリなど、外部資源に依存し…続きを読む
Face ID用のカメラが次のiPad Proには載るらしい、Touch IDと併用か
iPhone XのFace ID機能が、2018年発売のiPad Proにも載る、とKGI SecuritiesのアナリストMing-Chi Kuoが報じている。 MacRumorsと9to5macが報じた、投資家宛のメモによると、TrueDepth Cameraシステムはその年の内にすべての“ハイエンドの”iOSデバイスで可利用になる、という。 しかしそれは、むしろ当然だろう。iPadのエッジツーエッジディスプレイは差し迫った要望ではないし、技術的難題でもない。Kuoは何も言っていないが、ディスプレイ前面はノッチアップトップ(not…続きを読む
2015年にロシアの諜報機関がNSAを侵害してサイバーセキュリティの戦略を盗んだらしい
NSA(National Security Agency,国家安全保障局)は2015年に深刻な侵害を蒙り、サイバー戦争に関する同局の戦略を外部に露出した。それには、防御の方法とともに、外国のネットワークを攻撃する方法も含まれていた。Wall Street Journalが今日（米国時間10/5）、そう報じている。その攻撃の背後にはロシアの諜報機関がいて、ロシアのKaspersky Labsのソフトウェアが道具として使われた、とされている。 しかもなんと、問題のデータはNSAの契約職員が自宅に持ち帰っていたと言われ、その人物がなぜか、彼…続きを読む
Mozillaのオープンソース助成制度MOSSは今期の交付額総計が50万ドルを突破
Mozillaは、同団体のオープンソース助成金制度Mozilla Open Source Support(MOSS)の今期（4-9月）の交付総額が53万9000ドルだった、と発表した。この助成金の対象は主に小さなプロジェクトだが、今回はとくに安全とセキュリティをメインテーマとした。 最高額19万4000ドルを交付されたUshahidiは、助けを求めている人が必要としている情報を、素早く集めて散布する。災害で道路が交通不能になっている人たちや、抗議活動で催涙ガスなど警察の攻撃に遭っている人たち、選挙で特定候補への投票を脅されている人たち…続きを読む
安全なメッセージングサービスSignalがアップデートしてユーザーのアドレス帳の守秘性をアップ
米政府(NSA)が国民の通信を監視していることを暴いたSnowdenご推薦の、Signalのようなセキュアなメッセージングサービスも、今その上に誰がいるか分らなければ誰も使わないだろう。でもユーザーのリストを検索するためにあなたのコンタクト情報を送信したとき、Signalなどがそれをのぞき見しない、とどうやって信頼*できるのか？ 実は、信頼など要らない。のぞき見は不可能だから。Signalの今度のアップデートでは、コンタクトの発見がなお一層プライベート（外部非公開）になった。〔*: 本稿は、信頼(trust)をネガティブなものとして捉…続きを読む
GoogleはCloud等の企業顧客のセキュリティの便宜のためアイデンティティ管理のBitiumを買収
Google Cloudが今日（米国時間9/26）、エンタープライズ向けにアイデンティティ管理と、クラウド上のアプリケーションへのシングルサインオンなどアクセスツールを提供するBitiumを買収したことを発表した。これによりGoogleは、クラウドのエンタープライズ顧客の企業全域にわたる実装を、より良く管理できるようになり、たとえば同社のCloudやG Suiteなどのアプリケーションをすべてカバーするセキュリティレベルやアクセスポリシーを設定できる。 Bitiumは2012年に創業され、中小企業と大企業の両方をターゲットにしていた。…続きを読む
NvidiaがスマートシティプラットホームMetropolis AIでAlibabaやHuaweiとパートナー
NvidiaのスマートシティプラットホームMetropolis AIは、まるでDC Comicsのスーパーマンの漫画にあったような名前だが、実際にはそれはGPUを使用するインテリジェントなモニタリングツールで、渋滞の解消とか、行政サービスの適正配分、迷子の老人や子どもの発見など、さまざまな業務を助ける。このほど同社は、Mtropolisの本格的な普及を目指してAlibabaおよびHuaweiとパートナーし、またMetropolisの一般供用バージョンにはそのSDK、DeepStreamを含めることになった。 Metropolisはビデ…続きを読む
近日開催のイベント
