Cerberusは、アカウントが2FA（つまりGoogle Authenticatorアプリ）で保護されている場合に、攻撃者がRAT機能を通じてユーザーのデバイスに手動で接続できるよう設計されている。ハッカーはその後、Authenticatorアプリを開いてOTPを生成し、コードのスクリーンショットを取得して、ユーザーのアカウントにアクセスする。 Nightwatch Cybersecurityの研究チームが、この攻撃を可能にしていた根本原因を詳しく調査したところ、そもそもAuthenticatorアプリがコンテンツのスクリーンショットを取得できるようになっていた。 Androidは、他のアプリにコンテンツのスクリーンショットを取得されないようにすることで、アプリがユーザーを保護できるようにしている。こうした保護は、アプリの設定内に「FLAG_SECURE」オプションを追加することで実現さ
GoogleはSHA-1ハッシュが同じでコンテンツが異なる2つのPDFも公表した。90日後には、こうしたPDFを生成するためのコードを公開するとも予告している。 Webブラウザのセキュリティ対策など幅広い用途に使われてきたハッシュアルゴリズムの「SHA-1」について、米Googleは2月23日、理論上の可能性が指摘されていたSHA-1衝突を初めて成功させたと発表した。これでSHA-256やSHA-3のような、安全な暗号ハッシュへの移行を急ぐ必要性がこれまで以上に高まったと強調している。 SHA-1を巡っては、脆弱性を悪用される危険性が高まったことを受け、主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止を進めている。 Googleはオランダ・アムステルダムのCWI Instituteと2年がかりで共同研究を実施。Googleの技術とクラウドインフラを駆使して大規模な演算処理を行い、S
Googleが「google.com」ドメインに「HTTP Strict Transport Security」(HSTS)を実装した。ユーザーがインセキュアなHTTPを使用して自社サイトにアクセスするのを防ぐためだ。 HSTSは、サイト運営者がブラウザに対して、セキュアなHTTPS接続を使用した場合にのみサイトへのアクセスを可能にすることで、SSLストリップ攻撃や中間者攻撃を阻止するものだ。「Chrome」や「Safari」、「Internet Explorer」、「Microsoft Edge」などの主要ブラウザは軒並みHSTSをサポートしている。 「HSTSは、インセキュアなHTTPのURLをセキュアなHTTPSのURLに自動的に変換することで、ユーザーがうっかりHTTPのURLにアクセスするのを防止する。ユーザーはプロトコルなし、またはHTTPのURLをアドレスバーに手動で入力した
「Google Chrome」で、HTTPのサイトを「安全でない」と示すマークが表示されるようになる。 2017年1月より「Chrome 56」で、パスワードやクレジットカード情報を送信するHTTPサイトに、安全でないことを示すマークが表示される。赤色のアイコンではなく、灰色でシンプルに「Not secure」と表示する。 その後のいずれかの時点で、Googleはその警告を拡張する。最初は、HTTPページが「安全でない」ことを示す警告がシークレットモードで表示されるが、最終的に、すべてのHTTPページに対し、破損しているHTTPSページと同じ赤い三角のアイコンで安全でないことを表示するようになる。 「Chromeでは現在、HTTP接続に対して中立的なマークを表示している」とChromeセキュリティチームのEmily Schechter氏は述べた。「これでは、HTTP接続の安全性が本当に欠如
はじめてスマートフォンを持った衛（まもる）くんは、クラスのマドンナ守美（もりみ）ちゃんからのメールに導かれて異世界に迷い込みます。妖精セキュと一緒に、衛くんは無事に大好きな守美ちゃんを見つけ、異世界から帰ってこられるでしょうか？ 気になる 全編 はダウンロードしてお読みください。 また、本日、メールの暗号化や認証に関する情報を表示する機能を Gmail に導入しました。Gmail でメッセージをやり取りする場合、その通信は毎回暗号化され、認証により「なりすまし」を防止しています。ただ、メールのやり取りには必ず相手があるものですから、やり取りされた情報を安全に保つには、相手が利用しているサービスも、同じだけの対策が施されている必要があります。 本日のアップデートにより、Gmail で暗号化されていないメッセージを受信したり、送信先のメールサービスが TLS による暗号化 をサポートしていない
Googleアカウントでのパスワード使い回すと、「Gmailのパスワードをリセットしてください」という警告画面が表示される。 米Googleは4月29日、ユーザーによるパスワードの使い回しを防止する狙いで、Chrome向けの拡張機能「Password Alert」をオープンソースとして無料提供すると発表した。 この拡張機能をChromeブラウザにすると、ユーザーがGoogleアカウントで使っているのと同じパスワードをGoogle以外のWebサイトで入力した時に警告が表示されるようになる。 警告画面は「Gmailのパスワードをリセットしてください」と促す内容で、「あなたのGmailパスワードがGmail以外のログインページに使われました。Gmailアカウントを安全に保つため、直ちにパスワードをリセットして下さい。Gmailパスワードを他のサービスで使い回してはいけません」と助言。「パスワード
米GoogleでAndroidセキュリティ担当リードエンジニアを務めるエイドリアン・ラドウィッグ氏は1月24日（現地時間）、旧バージョンのAndroidについて、同社が脆弱性を修正するパッチの提供を打ち切ったという情報について説明した。この情報は12日、Rapid7の研究者であるトッド・ビアズリー氏がブログで伝えたものだ。 ビアズリー氏は、Googleに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4（コードネーム：KitKat）よりも前のバージョンであれば、我々は一般的に、自らパッチを開発しない。4.4より前のバージョンに影響する報告で、パッチを伴わないものについては、OEMに通知する以外の対応はできない」という返事を受けたという。 Google自身が公開している統計によると、1月5日の時点で
GoogleがWindowsの未解決の脆弱性情報を公開したことに対し、Microsoftは「結果として被害を被るのは顧客だ。Googleにとって正しいことが顧客にとって常に正しいとは限らない」と強調した。 米Microsoftが米国時間の1月13日に予定している月例セキュリティ情報の公開直前になって、米GoogleがWindowsの未解決の脆弱性に関する情報を公開した。これに対してMicrosoftは1月11日のブログで、情報の公開を13日まで待つようGoogleに要請していたことを明らかにしたうえで、Googleのやり方によって被害を被るのはユーザーだとして同社を非難した。 GoogleがWindowsの脆弱性情報を公開したのは、同社が独自に定めた「90日以内にパッチが提供されなければ情報を公開する」というルールに従った措置。これに対してMicrosoftは「脆弱性情報の公開を支持する側
Googleは、よくある設定ミスや既知のバグによってHTTPS接続の安全性が損なわれることを防ぐためのセキュリティテストツールをリリースした。「nogotofail」という、2014年に入って「Mac」と「iOS」に影響を与えた「goto fail」バグにちなんで名付けられたらしい同ツールは、インターネットに接続された端末やアプリケーションが、既知のバグや設定ミスといった、TLS（Transport Layer Security）やSSL（Secure Socket Layer）の暗号化の問題にさらされていないことを確認するための手段を提供する。 nogotofailのリリースに先立ち、TLS/SSLプロトコルには最近、複数の脆弱性が発見されていた。例えば、SSL 3.0で最近発見された「POODLE」や、OpenSSLの「Heartbleed」だ。どちらもサーバを深刻な攻撃にさらし、業界
First published Sat Aug 23 23:57:12 2014 +0900 ; substantive revision Sat Feb 14 12:41:39 2015 +0900 Tags : Security XSS まとめ 密かに細工されたページやGoogleの検索結果画面で、文字化けを直すためにエンコーディングを切り替えるとログインしているGoogleアカウントから情報が漏れる脆弱性がある。 Googleのセキュリティチームは、ユーザーは手動でエンコーディングを切り替えるべきではないと考えているので、この脆弱性は修正されない。 概要 以下のページでエンコーディングをShift_JISに切り替えると www\.google\.co\..* 上でXSSが発動します。 PoC 1: Googleマップのiframe埋め込み http://www.tsg.ne.jp/n
Googleはセキュリティへの取り組みとして、先週のOfficial Gmail Blogにポストされた記事「Staying at the forefront of email security and reliability: HTTPS-only and 99.978% availability」で2つのことを明らかにしました。 Official Gmail Blog: Staying at the forefront of email security and reliability: HTTPS-only and 99.978% availability 全経路をHTTPS化 1つは、これまでブラウザとサーバ間だけだったHTTPS通信を、Googleのデータセンター間の通信にも採用したということ。上記ブログから引用します。 This ensures that your messag
Google Chromeにて、悪意のあるサイトにより、ユーザーが気付かない間に音声を録音・送信される可能性があることが判明した（ITpro）。 Chromeには音声入力APIが用意されており、これによって音声を録音しサーバーに送信することが可能になる。通常このAPIを利用するためにはユーザーの承認が必要で、承認が行われるとタブにその旨がアイコンで表示されるのだが、悪意のあるサイトがこの機能を悪用し、バックグラウンドで音声入力を行うポップアップウィンドウを表示させることができるという。さらに、そのウィンドウにはタブが表示されず、音声入力が行われている旨も表示されていないため、音声が録音されていることに気付きにくいそうだ。 このような音声入力についてはW3Cにおいて標準化が進められており、この動作は現在の標準規格に準拠しているという。この問題について、Google側は認識しているそうだが、標
米GoogleのWebブラウザ「Chrome」が保存されたパスワードを平文で表示する機能を提供していることについて、Googleの担当者が掲示板サイトで「ユーザーに誤った安心感を与えたくない」とする同社の立場を説明した。 この問題はソフトウェア開発者のエリオット・ケンバー氏が自身のブログで指摘し、Googleのパスワードセキュリティ対策の甘さを批判していた。 Chromeブラウザのセキュリティ責任者ジャスティン・シュー氏は、掲示板サイト「Hacker News」でこれに反論。「保存されたパスワードへの唯一強力なパーミッションの境界はOSユーザーアカウントであり、Chromeではロックされたアカウント上のパスワードを安全に保つため、そのシステムが提供する暗号化ストレージを使っている」と説明する。 一方で、例えばシステムにロックを掛けないまま席を外すなどして、悪意を持った人物にアカウントにアク
例えば職場でユーザーが席を外している間に他人が操作するなど、PCに物理的にアクセスできれば誰でもChromeに保存されたパスワードをのぞき見ることができてしまう。 米GoogleのWebブラウザ「Chrome」に保存されたパスワードは、設定ページを通じて誰でも簡単に平文で見ることができてしまう――。ソフトウェア開発者が自身のブログでそんな実態を報告し、Googleのパスワードセキュリティ対策の甘さを指摘している。 ソフトウェア開発者のエリオット・ケンバー氏は8月6日、「Chromeのあり得ないパスワードセキュリティ戦略」というタイトルのブログでこの実態を紹介した。 同氏はWebブラウザをAppleのSafariからChromeに切り替えて使っている過程で、Chromeの設定ページから保存したパスワードの一覧を表示すると、この画面にパスワードの「表示」ボタンが現れることを発見した。このボタン
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
