カテゴリー: セキュリティ
情報セキュリティ、コンピュータセキュリティ、プライバシー保護などセキュリティ関連の最新ニュース
ハッカー集団アノニマス、ISISに全面戦争を宣戦布告
ハッカー集団アノニマスは日曜日（米国時間11/15）、金曜日に132名のパリジャンを殺した攻撃の首謀者であると主張しているテロ組織、Islamic Stateに対して「全面戦争」を宣戦布告した。 Make no mistake: #Anonymous is at war with #Daesh. We won’t stop opposing #IslamicState. We’re also better hackers. #OpISIS — Anonymous (@GroupAnon) November 15, 2015 ［間違いな…続きを読む
コンテナのセキュリティをモニタするオープンソースツールClairをCoreOSがローンチ
データセンターのための軽量Linuxディストリビューションとして人気のCoreOSは、コンテナにも熱心だ。今日（米国時間11/13）同社は、コンテナのセキュリティをモニタするオープンソースのツールClairをローンチした。そしてその、まだベータのClairを、同社の有料のコンテナレジストリサービスQuayに統合する。その統合は、今後予定されているQuay Enterpriseでサポートされる。 コンテナはデベロッパの仕事を楽にしてくれるが、Linuxディストリビューションが脆弱性対策のためにたえずアップデートしているのと同じく、コンテ…続きを読む
ノンユーザをクッキーで追跡しているFacebookがベルギーで毎日26万8000ドルを払う罰金刑に直面
【抄訳】 データ保護をめぐるベルギーの裁判で、Facebookは、クッキーの保存に関する方針を変えないかぎり毎日25万ユーロの罰金を払うことになった。Facebookは控訴中だ。 事の発端は、ベルギーのデータ保護監視当局(DPA)が6月にFacebookに対する行政訴訟を起こしたことにある。その前に同政府機関は、今年の初めFacebookのプライバシーポリシーが変更された直後に、データ保護に関するFacebookのやり方を強く批判する報告書を発表していた。 具体的な訴件は: FacebookがサードパーティのWebサイトでクッキーの保…続きを読む
Webサーバを攻撃するLinux上のランサムウェアが出没、身代金は１ビットコイン
新種のランサムウェアがLinuxマシンを攻撃している。とくに、サーバがサーブするWebページ関連のフォルダが被害者だ。そのLinux.Encoder.1と呼ばれるランサムウェアは、MySQL、Apache、およびhomeやrootのフォルダを暗号化する。そしてファイルを解読するために１bitcoinを要求する。 以下、Dr.Web Antivirusより: 管理者権限で侵入したこのLinux.Encoder.1と呼ばれるトロイの木馬は、犯人が求めるファイルと、RSAの公開鍵のパッチのあるファイルをダウンロードする。そのあと、その悪質な…続きを読む
GoogleのBYODサービスAndroid for Workを２万社近くが利用または試用中、パートナーも80社に増加
Googleの今日（米国時間11/4）の発表によると、今や2万近くの企業（や団体）が、Android for Workサービスを試用、デプロイ、あるいは本番利用している。 企業がAndroid for Workを利用すると、社員が自分のAndroidデバイスを職場に持ち込んでも安全だ。このサービスは、仕事のアプリと個人的アプリを分離するから、企業のITがそのデータやアプリを完全にコントロールできると同時に、社員は自分のAngry Birdsなどをふつうに楽しめる。この機能は2014年のGoogleのデベロッパカンファレンスI/Oで初め…続きを読む
Firefox 42がローンチ: 追跡保護機能はプライベートブラウジングモードでのみ有効
ベータが短かったFirefox 42が、今日（米国時間11/3）ローンチされ、それによりFirefoxのPrivate Browsing（プライベートブラウジング）モードにおけるTracking Protection（追跡からの保護）機能も有効になった。 ChromeのIncognito（匿名）モードなどに相当するPrivate Browsingは、閲覧の履歴やその閲覧行為から生じたクッキーを保存しないが、そのほかの個人情報は外部に漏れることがありえる。そこでこのたびのTracking Protection機能では、ソーシャルネットワ…続きを読む
Chefが企業におけるコンプライアンステストの自動化のためにドイツ企業を買収しツールを開発
Chefは、ソフトウェアやインフラストラクチャの構成や管理、それらの自動化で企業を助けてきた。その同社が今日（米国時間11/3）、同様の自動化サービスをコンプライアンスにおいて提供するための発表をいくつか行った。 まず同社は、ドイツのコンプライアンスとセキュリティの企業VulcanoSecを買収したことを発表した。実際に買収が行われたのはこの夏だが、発表を今日行った、という。買収の条件等は公表されていない。 同時に同社は、VulcanoSecのコンプライアンス技術（コンプライアンステストの自動化やメンテナンス）をChefに統合すること…続きを読む
大量のAPI呼び出しの中に悪玉ボットを見つけて利用を拒否するApigeeのセキュリティサービスApigee Senses
デベロッパや企業のためにAPIを管理するサービスを提供しているApigeeが今日（米国時間10/13）、APIを悪意あるボットから守るための、新しいセキュリティプロダクトをローンチした。Apigee Senseと名付けられたそのサービスは、予測分析によって悪者のボットをみつけ、それが顧客のアプリケーションにアクセスしないようにする。 同社が紹介している一部の研究によると、今やWeb上のトラフィックの半分以上がボット発だそうだ。そしてボットたちは今では、APIについてもよく知っている。 Apigeeのこれまでのサービスにもセキュリティ機…続きを読む
Googleが同社のシングルサインオンソリューションをAWSなど多くのエンタプライズアプリケーションでも利用可に
かなり前からGoogleは、SAML規格によるシングルサインオンサービスを提供してきた。今日（米国時間10/13）同社は、さらに17のエンタプライズSaaSアプリケーション（WebEx, Workday, Marketo, NetSuite, Smartsheet, Zendeskなど）向けに、SAML 2.0のサポートを加えた。Amazon Web Servicesも含まれるから、ここでジョークを言いたくなる読者がおられるかもしれない。 Googleによると、さらにこれからは、アドミンが独自のカスタムSAMLアプリケーションを加える…続きを読む
スマートフォンの暗号化に関する法執行機関へのバックドア提供義務などをホワイトハウスが却下
Obama政権は、テクノロジ企業が情報を法執行機関に提供するためにプロダクトのセキュリティを破らなくてもよい、と決定した。テクノロジ業界にとっては、ひとつの勝利だ。 iPhoneと一部のAndroidフォーンに暗号化が導入されたため、電話データへのアクセスをめぐって法執行機関とテク企業とのあいだに議論が起こり、その一年後に今回の決定が出た恰好だ。iOS 8では、電話機に保存されるデータと、iMessageなどのコミュニケーションのほとんどが、ユーザしかアクセスできない方式で暗号化されている。Appleですら、アクセスできない。 当時F…続きを読む
Appleがroot資格を利用して広告などをブロックするアプリをApp Storeから削除、事後対策をデベロッパと検討中
Appleが、デベロッパにroot資格(root certificate)を与えて暗号化されているユーザトラフィックを見られるようにするアプリを、App Storeから削除した。Appleの声明文によると、同社はそれらのアプリをストアに戻す件についてデベロッパと折衝中だそうだ。 その中には、一部の広告ブロッカーもある。それらはroot資格を使ってトラフィック（ユーザが見ているWebサイトなど）を、パケットのレベルで調べているからだ。つまり暗号化などのデータ保護を、バイパスしてしまう。Appleは従来から、iOSとOS Xからのroot…続きを読む
Google、アプリケーションからGoogle DriveにバックアップするAPIを公開。早速WhatsAppが対応へ
スマートフォンをバスタブなど水の中に落としてしまったとき、まず気になるのが「バックアップはしてあっただろうか」ということだ。とくに気になるのが、頻繁にやりとりするメッセージのバックアップをきちんと行なっていたかどうかだ。大事な情報をいろいろとやりとりしていて、これが失われるかと思うとぞっとしてしまう。 こうした危惧も杞憂となる日がやってきたようだ。Google DriveはバックアップするためのAPIを提供し、それをまずWhatsAppにて提供することとしたのだ。これは数ヶ月にわたって順次公開されていく予定であるそうだ。この機能を使え…続きを読む
GitHubがU2Fセキュリティキーをサポート、より強力な二要素認証を導入
今日（米国時間10/1）GitHubは同社初のユーザカンファレンスGitHub Universeを開催し、その席で、Yubicoなどが提供しているセキュリティキーFIDO Universal 2nd Factor(U2F)のサポートを開始する、と発表した。それはUSBポートに挿入して使う文字通りの“鍵”デバイスで、挿入すると第二要素の認証コードを自動的に生成するので、Google AuthenticatorやAuthyなどの6桁のコードを手入力する必要がない。 二要素認証はフィッシングや中間者攻撃の撃退に効果的だが、完全な対策ではない…続きを読む
GoogleのブログプラットホームBlogspotがHTTPSをサポート
Googleは最近の数年間で、検索、Gmail、Google Driveなど主要サービスのほとんどすべてをHTTPSで暗号化した。今では検索結果の表示順位を決めるシグナルにもHTTPSを使っている。そして今日（米国時間9/30）からは、同社のブログプラットホームBlogspotにもHTTPSを導入した。 Googleは自社のブログにBlogspotを使っているが、今日からはOfficial Google Blog（Google公式ブログ）とGoogle Online Security Blog（セキュリティブログ）がHTTPSを用いる…続きを読む
Appleが古色蒼然たるプライバシーポリシーを撃破、プライバシーサイトを拡張して新装
ハードウェア製品やネット上のサービスのプライバシーポリシーに関心を持つ人は、3年前なら少数派だった。しかし政府による、通信や私信の大量盗聴盗視行為がばれてからは、各製品やサービスのプライバシーポリシー注記が、ときにはそれを載せた企業の足かせともなった。 それ以後は、プライバシーがテク企業のメインのスローガンの一つとなり、中でもAppleはとくに声高だった。同社は、ユーザのデータはユーザがオーナーであるという律儀な姿勢を全地球サイズで誇示した。それは往々にして、私企業的というよりも公共的な姿勢だった。それが、今日も続いている。 しかし、…続きを読む
セキュリティやプライバシーはプログラマの仕事（責任）ではなく開発系のデフォルト機能になるべき
【抄訳】 ビッグデータやクラウド、それにますます増えつつある複数のサービス間の相互接続の時代に、セキュリティを確立しプライバシーを保護するためには、ソフトウェアの開発のされ方に構造的な変化が導入されることが必要だ。 MITで博士号を取った研究者（MIT研究助手）Jean Yang（LinkedIn）は、そう考えている。彼女が自作したプログラミング言語Jeevesは、その主張を実現するために、正しいプライバシーポリシーを正しく強制するという開発負荷を言語自身が担い、プログラマの肩の荷を軽くしている。 “言語など開発基盤の構造がプライバシ…続きを読む
最新のOperaブラウザはパスワードのsyncをサポート、そしてVPN機能を統合へ
今年の早い時期にOpera Softwareは、仮想プライベートネットワーキング(virtual private networking, VPN)サービスのSurfEasyを買収した。VPNはインターネットの上にソフトウェアによりクローズドなネットワークを作り出す技術で、プライバシーの保護と安全なWeb閲覧を可能にする。今日（米国時間9/15）リリースされたデスクトップ版Opera 32では、SurfEasyが最初からWindowsやMac、そしてLinux用のOperaブラウザに統合される。 ただし当面、この統合はかなり軽い。Ope…続きを読む
合衆国国土安全保障省が図書館のTORノードを閉鎖、悪用の危険性に配慮
国土安全保障省(Department Of Homeland Security, DHS)にとっては、終わり良ければすべて良しだから、今日は同省とニューハンプシャー州レバノン市の警察が同市の公共図書館に、テロなどの脅威を防ぐためにTORのノードを閉鎖するよう求めた。 この図書館は合衆国では初めての、セキュアなTORの末端ノードを設けた図書館だった。TORを経由するとWeb閲覧の匿名性が維持され、そのサイトを見ている人の本人性がばれない。そこでDHSと警察は、図書館のローンチ直後にその職員たちにアプローチした。このレバノン市の公立図書館…続きを読む
Appleが‘Hey Siri’とLive Photoのプライバシー懸念に答える…Googleと対照的な姿勢
Appleは以前から、セキュリティやプライバシーに関する自社の考えや方針を雄弁に語ってきたが、最近ではそれを営業のツールとして利用する傾向もある。それは、個人情報を外に漏らしたくなければAppleのハードウェアを買え、という単純なメッセージだ。 しかし最近ではAppleのハードウェアの基本機能の中に、個人情報を必要とするものもあるから、ユーザの懸念も増している。たとえば‘Hey Siri’機能は、スマートフォンの電源が入っていなくても勝手に動いている。この、ユーザのやることにいつでも聞き耳を立てている状態は、そのデータの扱われ方に関す…続きを読む
Ashley Madisonのアカウント盗難事件が明かす‘愚かなパスワードは不滅です’
人気の不倫サイト（ただし女性の多くはボットだという説もある）Ashley Madisonの最近のハッキング事件は、数百万のアカウント情報が盗まれるという大規模な被害だったが、われわれに再び、あのおなじみの苦（にが）い良薬を服（の）ませてくれた。それは、パスワードは必ず暗号化されるけれども、暗号は愚かしいパスワードの愚かしさを救ってはくれない、という事実だ。 Ashley Madisonは、そのビジネスの実態が世間のひんしゅくを買ったが、ユーザのパスワードは確実に暗号化していたようだ。しかしbcryptでハッシュしたパスワードであっても…続きを読む
近日開催のイベント
