カテゴリーアーカイブ セキュリティ

著者:ym

SNIフィールドと遮断

https で暗号化通信をすることで、遮断を逃れられていたのですが、便利な SNI のおかげで逆に遮断できる状況になってしまった形。

韓国でSNIフィールドを使った特定サイトの接続遮断が始まる

https://it.srad.jp/story/19/02/13/0735240/

韓国でSNIフィールドを使った遮断が始まっている様です。

DNS over HTTPS は、SNI 部分とは関係が無いので、もっと前段階ですが、SNIフィールド遮断に対しては Encrypted SNI 。

著者:takahashi

GoogleがGoogle Chrome 69をリリース。テスト中だった新UIがついに正式版に。

GoogleがGoogle Chrome 69をリリースしました。

New in Chrome 69 – Google

新バージョンに更新してまず最初に目につくのがツールバー部分のデザインの変更でしょう。

以前
Google Chrome Ver.68でChromeの新しいデザインが利用可能に。
でご紹介したテスト中の新UIが、正式版として実装されたものと思われます。

Chrome68で実装されていたテスト版のUIはこんな感じでした。

正式版ではタブの追加ボタンが再び右端のタブの右側に戻り、直感性が上がりました。
また、今までアプリモードでは右クリックメニュー以外からは一切メニューにアクセスできませんでしたが、

タイトルバーから一部メニューにアクセスできるようになりました。
アプリ上から拡張機能の設定も行えるため、さらに便利になりそうです。

そして今回の最も多きな変更はやはりSSL関連。

SSLが有効となっているサイトの表示が、ついに灰色の鍵マークとなり、Chromeの”SSLは適用されていて当たり前”という考え方がより色濃く感じられるようになりました。

なお、次バージョンのChrome 70 では、ついにhttpサイトへつないだ際に文字入力をすると、赤文字の”保護されていません”表示が行われるように変更されるとのことです。

Google Chrome、HTTPSサイトの「保護された通信」を非表示に　「デフォルトで安全が前提」 – ITMedia エンタープライズ

Chrome 69からHTTPSの表記が変化！Chrome 70以降も要チェック！ – 常時SSL Lab.

まだSSL対応をしていない皆さんはお早めに。

著者:杉浦

OWASPの紹介

OWASP – Open Web Application Security Project とは、Webをはじめとするソフトウェアのセキュリティ環境の現状、またセキュアなソフトウェア開発を促進する技術・プロセスに関する情報共有と普及啓発を目的としたプロフェッショナルの集まる、オープンソース・ソフトウェアコミュニティです。

　Japan – OWASPより引用
　OWASPは上記にある通りセキュリティ関係の技術を公開しているコミュニティです。コミュニティとありますがOWASPのページ、プログラムは特別な会員にならなくとも閲覧、ダウンロードできます。wikiみたいなものです。
　最近よくお世話になっているのがOWASP Cheat Sheet Series – OWASPです。webを介した攻撃は無数にありますが、パターン化されたありがちな攻撃というのもあります。パターン化されたといえども、それらは多彩で、自分だけの考えによって全て予防するのは困難です。チートシートは60種類以上あり、その内容はSQLインジェクション、XSSなどの予防、攻撃例など様々です。

著者:杉浦

ブラックリスト方式とホワイトリスト方式

　何かを受け入れる、受け入れないという処理を行う時、処理の対象と仕方のリストを作成することになります。リストにはブラックリスト方式とホワイトリスト方式があります。
　ブラックリスト方式は、基本的に受け入れを行い、リストに載っている対象のみを受け入れない方式です。
　ホワイトリスト方式は、基本的に受け入れを行わず、リストに載っている対象のみを受け入れる方式です。
　対象の領域が広いリストになってくると両方が組み合わさったような印象のリストができあがったりもします。例えば、ファイアウォールです。通信はプロトコル、送信先/元のIPアドレスとポートなどの要素で分類できます。

if(プロトコルがhttps){
	if(送信元アドレスが以前攻撃してきた相手Aのアドレスではない){
		受信する
	}
	if(送信元アドレスが以前攻撃してきた相手Bのアドレスではない){
		受信する
	}
}
受信しない

　上のコードの場合、大本はプロトコルhttpsのみを認めるホワイトリスト方式ですが、最初のifを過ぎた後は以前攻撃してきた相手のアドレスを弾くブラックリスト方式です。プロトコルhttpsの範囲が広く、リスト中のリストが作れるため、この様になります。
　リストを使用するシステムで問題が起きる時、その原因はよくリストの漏れにあります。リストの漏れによって起きる動作は、ブラックリスト方式が異常な対象を受け入れる、ホワイトリスト方式が正常な対象を弾く、です。異常な対象を受け入れた時に起きる問題の規模が大きければ大きいほど、ホワイトリスト方式を選ぶ理由が大きくなります。
　リストの変更頻度を抑えるという方針を考えた場合、新たに現れた分類の様なリストに載せられない未知の対象に対する振る舞いの定義が土台のリストの方式を決定づけます。とりあえず受け入れるならブラックリスト、弾くならホワイトリストです。

著者:asaba

悪徳プロバイダー業者にご用心！！！！

少し前の話ですが、身内がNTTを名乗る業者にプロバイダを変えられそうになった話をします。

今はもうないと思いますが、数年前にNTT西日本を名乗るよく分からない業者から、お使いのTNCよりも安い料金でプロバイダを使うことが出来ますよという電話がかかってきました。

その時はTNCを初めてもう6年位立っており、当時安いプロバイダも少なく手続きも面倒くさかったので何も考えず承諾してしまいました。

しばらくしたらなんと遠隔操作をされてなにやらいじいじしている様子。

「今は仮契約の状態です。一度電話をかけなおして契約内容を提示して、良ければプロバイダの変更手続きを行います。なお、仮契約の時点で違約金がかかります。」

住所も電話番号も教えていないのにこんなことを一方的に言われたので、怪しいと思い速攻でぶっちしました。

調べてみたら出るわ出るわプロバイターの勧誘トラブル。NTTともOCNとも関係のない謎の業者がプロバイダーの変更を促してくる事例が結構あるみたいです。

パソコンに疎い人がもしこの電話を受け取ったらついお得だと勘違いしてしまいますが、まずかかってきたら業者名を教えてくれと聞いてください。ここで偽名の会社を使えば、当会社は詐欺罪の対象となるので絶対に正規の会社名を答えなければいけないからです。

それに遠隔操作は相手に個人情報の橋渡しをしているようなものなので、漏洩した個人情報をネットで悪用されないように丁重に断ってください。

今思うと了承が得られないのに違約金を設定するなんて規約違反なんですよね、思いっきり。

他にも色々な形態があるみたいですが・・・もし、今後このような怪しい電話がかかってきたら光の速さで切ってくださいね。

著者:takahashi

SIMハイジャック犯、ついに逮捕される。

以前こちらでも紹介したSIMハイジャック事件ですが、ついに犯人が逮捕されたようです。

携帯電話番号を何十件も乗っ取って総額5億円以上を盗んだ疑いで大学生ハッカーが逮捕される – Gigazine

気になるのはどうやって犯人を特定したか、というところですが、Gigazineによると乗っ取られたSIMカードを使っていた端末から、持ち主が所持していない不審な端末を割り出し、さらにその不審な端末のIMEI(端末の個体識別のようなもの)と紐づいているアカウントをGoogleに照会したことで、そのアカウントの持ち主=犯人 の特定ができたようです。
カリフォルニア州警察、なかなかやります。

そして、今回少し驚いたことは、Googleなどの企業がちゃんとIMEIをアカウントとセットで管理していたという点。
被害者にとってみれば、とても貴重で強力な情報となります。今後何らかの事件で調査が必要になった際も助けになるかもしれませんね。