iOS版niconicoアプリ:中間者攻撃(man-in-the-middle attack)」を受けうる脆弱性。早めにアップデートを実施しよう！

イントロダクション

iOS版のniconicoアプリに、中間者攻撃(man-in-the-middle attack)」を受けうる脆弱性があったようです。

iOS版「niconico」アプリにおける脆弱性と、セキュリティ強化について‐ニコニコインフォ
http://blog.nicovideo.jp/niconews/ni055746.html

現在、脆弱性を修正したアプリが公開されています。

セキュリティ対策:docomo IDには、2段階認証を設定しておきましょう。不正アクセス防止のための強力な対策になります。

イントロダクション

私は通信キャリアとしてドコモを利用しています。

さて、ドコモ利用者は、docomo IDによってドコモが提供する様々なサービスを受けることができます。一方、docomo IDで受けることができるサービスが増えるにつれ、自分のdocomo IDに対して不正アクセスされた場合には、その被害も甚大になります。

特に、docomo IDで利用できるサービスには、電話帳やメールなどの個人情報が大量に含まれているものがあります。docomo IDに不正アクセスが行われると、自分自身の個人情報だけではなく、場合によっては周辺の人に被害が及ぶ可能性があります。

それを防ぐ為に、docomo IDには、2段階認証を設定しておきましょう。
2段階認証を設定することで、不正アクセスの脅威を大幅に低減することが可能です。

ルータを購入したらやるべきこと:ルータにパスワードは設定していますか？

イントロダクション

ルータを購入したら、やるべきことがあります。
それは、ルータに適切なセキュリティ対策を施すということです。

IPA:SSL/TLSについて詳しく知りたい場合には「SSL/TLS暗号設定ガイドライン」が参考になります！

イントロダクション

インターネットを安全に利用できるのは、それを支える技術があってこそです。

特に、通信を保護する必要のある、個人情報やお金を扱うサイト（インターネットバンキング、オンラインショッピングなど）では必須の技術です。


また、今後のインターネット上のサイトでは、今よりもよりセキュリティが重視されていくことになるでしょう。

Google ウェブマスター向け公式ブログ: HTTPS をランキング シグナルに使用します 
http://googlewebmastercentral-ja.blogspot.jp/2014/08/https-as-ranking-signal.html

ブラウザ新機能はHTTPSサイトのみサポートへ、Mozillaが表明 - ITmedia ニュース
http://www.itmedia.co.jp/news/articles/1505/07/news031.html

web を支えるセキュリティ技術の中で、SSL/TLSについて詳しく知りたい場合には「SSL/TLS暗号設定ガイドライン」が参考になります！

YAHOO!ニュース:ページを開いて、しばらく放置しておくと、URLが無効になります

イントロダクション

私は毎日Yahoo!JAPAN のニュースをチェックしています。

ブラウザを開いた時には、Yahoo!JAPANのトップページを表示するようにしているため、常に最新のニュースをチェックすることができます。


さて、日々新しいニュースがどんどん飛び込んでくるため、たまにその日のうちにすべてのニュースをチェックしきれないときがあります。

その時には、ブラウザでそのニュースページを開きっぱなしにして、翌日以降チェックすることがあります。

Chrome:いつのまにか、保存したパスワードを表示するときに、Windows のアカウントのパスワードを要求されないようになっていた

イントロダクション

以前、Google Chrome にて、ブラウザに保存したパスワードを表示するときに、Windows のアカウントのパスワードを要求されるようになっていたという話を書きました。

いつのまにか Google Chrome で保存したパスワードの表示に Windows のアカウントのパスワードを要求されるようになっていた件
http://upa-pc.blogspot.com/2014/03/google-chrome-windows.html
Dr.ウーパのコンピュータ備忘録

ところが、最近 Chrome で保存したパスワードを表示してみると、Windows のアカウントのパスワードを要求されなくなっていました。

自動化された社会を目指して。それと共に知っておきたい、制御システムのセキュリティ

イントロダクション

現代社会は、機械とコンピュータによって、数々の作業が自動的に行えるようになっています。

そして、その傾向は今後もずっと続くでしょう。


機械とコンピュータによって作業を自動化することで、作業効率が大幅に向上します。
そのため、社会はより豊かになります。


さて、そのようなシステムを構築・運用する上で注意しなければならないのは、そのシステムを安全に安定的に使用できるようにしなければならない点です。

各種機械を制御するのは、コンピュータです。
そのため、一般に使われているパソコンと同じように、不正なプログラムが入り込むことや遠隔で不正に操作されることなどに対して、対策を行う必要があります。


そのような制御システムのセキュリティの現状を知るうえで、IPA（独立行政法人情報処理推進機構）が公表している資料は参考になります。

Facebook:コメント投稿時に、セキュリティチェックダイアログが表示される - 正答しないと投稿できません

イントロダクション

私の環境では、昨日(2015年4月13日）から、Facebook でコメントを投稿しようとすると、セキュリティチェックというダイアログが表示されるようになりました。

USB機器は、攻撃者からの任意のキー入力を実行する装置となる

イントロダクション

セキュリティ関係の情報は、日々新しい情報が飛び込んできます。

世の中が便利になることで、その”便利にするための仕組み”を利用して、新しい攻撃手法が考案されるからです。

情報セキュリティ10大脅威 2015 解説資料公開 - セキュリティの最新動向を抑えよう！

イントロダクション

IPA（独立行政法人情報処理推進機構)が、2015年2月6日に公開した「情報セキュリティ10大脅威 2015」の解説資料が、2015年3月25日に公開されました。

下記ページより、ダウンロードすることができます。

情報セキュリティ10大脅威 2015：IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/vuln/10threats2015.html

画像処理:文字情報をモザイク処理した場合の、パターン数とその分布(メイリオ)

イントロダクション

「画像処理:文字情報をモザイク処理した場合の、パターン数とその分布(Windowsテキストボックス)」では、Windowsのテキストボックスに標準的に適用されているフォント・フォントサイズで、文字情報をモザイク処理した場合のパターン数とその分布を調べてみました。

そのときは、モザイク結果として、色が被ることが多いという知見が得られました。
その時の原因として、次の点を考えました。

• 文字サイズが小さい
• 文字がアンチエイリアスされていない
• 文字に対して、モザイクを施す領域が広い

そこで、今回はもう少し大きな文字に対して、アンチエイリアスの施されるフォントを使用して文字情報をモザイク処理した場合の、パターン数とその分布を計算してみました。

画像処理:文字情報をモザイク処理した場合の、パターン数とその分布(Windows UI)

イントロダクション

「画像処理:モザイクによって文字情報を処理した場合の、パターン数について考える」では、文字情報をモザイク処理した場合に、元の画像の推測が容易かどうかを考えてみました。

そのときは、前提条件として次のような条件を設定しました。

• 文字 1 文字の全体を、モザイク処理によって均質な色にする
• 画像の色情報は、白から黒の濃淡で表されるグレースケール
• 色の階調情報のデータ量は、一般的な 256 段階(8bit)
• 文字のビットマップ情報については考えず、あくまで文字の数でのみ考える
• モザイク処理後の色かぶりが無いと仮定
• モザイク処理によって均質化した色情報が、均等にばらけていると仮定

特に、机上で計算しやすいように、実際の文字の形（ビットマップ情報）は考慮せずに、計算しました。


そこで、今回は実際にプログラムを作成し、文字 1 文字をモザイク処理した場合のパターン数と、どのようなモザイク処理後の色のパターンの分布が生じるのかを調べてみました。

画像処理:モザイクによって文字情報を処理した場合の、パターン数について考える

イントロダクション

以前、「シリーズ安全な画像処理」として、情報を保護するためのモザイク処理の安全性について考えてみました。

絶対にやってはならない、情報保護のための、モザイク処理の方法 - シリーズ安全な画像処理
http://upa-pc.blogspot.com/2015/03/public-image-process-mosaic.html
Dr.ウーパのコンピュータ備忘録

そこでは、モザイクの粒度が荒いと、元の情報が推測される恐れがあることを記載しました。

今回は、十分なモザイクの粒度を考えるうえで大事となる、文字情報をモザイク処理した場合の、パターン数について考えてみます。

気になるニュース：ウェブカメラのパスワード、ちゃんと設定していますか？

イントロダクション

日常には様々なセキュリティ上の落とし穴が潜んでいます。

その一つに、各種のIT機器への接続管理が挙げられます。
そのIT機器を利用出来る人を、何らかの手段で限定していないと、意図せぬ事態が発生する可能性があります。


その一つに、ウェブカメラの利用者制限が挙げられます。

絶対にやってはならない、情報保護のための、モザイク処理の方法 - シリーズ安全な画像処理

イントロダクション - シリーズ安全な画像処理

写真や映像の中に、個人情報などの外部へ公開してはならない情報が含まれていた場合には、一般的に情報保護のため、モザイクやぼかし、塗りつぶしなどの処理を行い、その情報が見えないようにします。

元の画像

塗りつぶし

モザイク処理

ぼかし処理

しかし、それらの処理を行うときには、いくつかの注意点があります。


基本的に、人間基準で、見た目的に認識できないかどうかで判断してはいけません。

いまや、コンピュータを使用した解析により、相当数の計算を行える時代です。計算の仕方によっては、元々の情報を復元できてしまう可能性があります。


今回は、モザイク処理をすることで情報を見えなくする方法について、考えてみます。

他のシリーズはこちら
絶対にやってはならない、情報保護のための、塗りつぶし処理の方法 - シリーズ安全な画像処理
情報保護のためのぼかしは安全か？ - シリーズ安全な画像処理

情報保護のためのぼかしは安全か？ - シリーズ安全な画像処理

イントロダクション - シリーズ安全な画像処理

写真や映像の中に、個人情報などの外部へ公開してはならない情報が含まれていた場合には、一般的に情報保護のため、モザイクやぼかし、塗りつぶしなどの処理を行い、その情報が見えないようにします。

元の画像

塗りつぶし

モザイク処理

ぼかし処理

しかし、それらの処理を行うときには、いくつかの注意点があります。


基本的に、人間基準で、見た目的に認識できないかどうかで判断してはいけません。

いまや、コンピュータを使用した解析により、相当数の計算を行える時代です。計算の仕方によっては、元々の情報を復元できてしまう可能性があります。


今回は、ぼかし処理をすることで情報を見えなくする方法について、考えてみます。

他のシリーズはこちら
絶対にやってはならない、情報保護のための、塗りつぶし処理の方法 - シリーズ安全な画像処理
絶対にやってはならない、情報保護のための、モザイク処理の方法 - シリーズ安全な画像処理

絶対にやってはならない、情報保護のための、塗りつぶし処理の方法 - シリーズ安全な画像処理

イントロダクション - シリーズ安全な画像処理

写真や映像の中に、個人情報などの外部へ公開してはならない情報が含まれていた場合には、一般的に情報保護のため、モザイクやぼかし、塗りつぶしなどの処理を行い、その情報が見えないようにします。

元の画像

塗りつぶし

モザイク処理

ぼかし処理

しかし、それらの処理を行うときには、いくつかの注意点があります。


基本的に、人間基準で、見た目的に認識できないかどうかで判断してはいけません。

いまや、コンピュータを使用した解析により、相当数の計算を行える時代です。計算の仕方によっては、元々の情報を復元できてしまう可能性があります。


今回は、塗りつぶすことで情報を見えなくする方法について、考えてみます。

他のシリーズはこちら
情報保護のためのぼかしは安全か？ - シリーズ安全な画像処理
絶対にやってはならない、情報保護のための、モザイク処理の方法 - シリーズ安全な画像処理

IPA:安全なウェブサイトの作り方 改訂第7版が公開されました

イントロダクション

IPA（独立行政法人情報処理推進機構)が、Webサイトの開発・運用者向けに公開している資料「安全なウェブサイトの作り方」の改訂第7版が2015年3月12日に公開されました。

プレス発表　「安全なウェブサイトの作り方 改訂第7版」を公開：IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/about/press/20150312.html

Google ドライブのボーナス容量 2 GB 進呈のお知らせが来ました - セキュリティ診断で容量増加

イントロダクション

昨日、メールをチェックしていたら、Google ドライブからのメールが届いていました。

タイトルは「Google ドライブのボーナス容量 2 GB 進呈のお知らせ」です。

JavaScript:element.setAttributeしたときの、HTMLはどうなっているか？

本投稿の要約

setAttribute を使用することで、HTML 構造の破壊を防ぐことはできますが、危険な値そのものが入り込むことは防ぐことはできません。

別途、危険な値が入り込まないような仕組み(そもそも設定しない、値のエスケープ処理等)を実装する必要があります。

イントロダクション

JavaScript にて、「DOM Based XSS」の脆弱性を埋め込むのを防ぐためには、document.write や element.innerHTML などを使うのではなく、以下のように DOM 操作用メソッドを使用すると良いとされています。

入力されたテキストをブラウザに表示されているドキュメントの要素の属性に設定：

element.setAttribute(attribute, input_text);

attribute : 設定する属性の名前

input_text : 入力されたテキスト

element : 属性を設定する要素(element オブジェクト)

このとき、入力されたテキストを属性値として設定した要素の HTML が、入力されたテキストによってどうなるのか気になりませんか？

そこで、実際に JavaScript でコードを作成して試してみました。