■ Bluetoothで山手線の乗降パターンを追跡してみた この日記を書き始めてからもう6年になろうとしている。書き始めたきっかけは、RFIDタグのプライバシー問題が理解されないことに焦りを感じたからだった。当時の空気では、RFIDタグは5年後くらいに普及し、しだいにRFIDの埋め込まれた日用品で溢れかえるようになり、10年後くらいにプライバシー問題が顕在化すると目されていた。しかし、6年経った現在、私の靴にRFIDタグは埋め込まれていない。 当時の議論で描かれていたRFIDタグの問題は、無線LANやBluetoothにも共通することであり（MACアドレスがユニークIDとなる）、それらの方が先に普及するかもしれないという予感はあったが、現時点でも、無線LAN機器を持ち歩いている人はごく一部の人に限られている。しかし、Bluetoothはどうだろうか。これまでにも何度か、最近のBluetoo
「悪のプログラマ」[参照]で、優れたプログラマが本気で犯罪に手を染めるなら、痕すら残さないゾと書いた。さらに、デバッグとしてのソースレビューだけでなく、犯罪防止のためにコード検閲が必要だとも言った。 ところが、この容疑者はそれほど優れたプログラマではなかったようだ。以下、「NTTデータ元社員が取引記録を不正利用しカード偽造の疑い」[参照]より引用。 NTTデータは、2005年10月と2006年2月に発生した偽造ローンカードによる不正キャッシング被害に関連して、同社から仙台銀行のATMでカードを利用した際の取引記録の一部が不正に持ち出されていた可能性があることを発表した。 容疑者の元社員は、システムの運用にあたっていた人物。彼のやりかたのどこがマズかったかを指摘し、「もっと」冴えたやりかたを提案してみる…が、それだけだと教唆になっちゃうので、防止策も。 媒体（ここでは紙）が噛んでいる 誘拐で
ソーシャルエンジニアリングが使われた事例を分析すると、幾つかのパターンが存在していることが分かる。プロの詐欺師は、状況に応じて複数のパターンを組み合わせている。情報を盗まれないためには、個別の攻撃パターンを理解することが役に立つ。 これは、フィッシング詐欺で使われる最も簡単なメールの一文だ。この文を読んで「こんな言葉にだまされない」と思ったのではないだろうか。だが、この一文にはソーシャルエンジニアリングで使われるパターンを見つけることができる。ここには、金融機関からの電子メールを思わせる「ネームドロップ」、期間を限定する「ハリーアップ」といった手法が使われている。プロの詐欺師はこのようなパターンを複数組み合わることで、相手の信頼を獲得し、必要な情報を引き出すのである。 それではソーシャルエンジニアリングで用いられる攻撃パターンを分類し、特徴を説明しよう。 きっかけを探し出す「トラッシング（
(Last Updated On: )最近PostgreSQL、MySQL両方にSJISエンコーディングを利用している際のエスケープ方法の問題を修正がリリースされています。この件は単純に「データベースシステムにセキュリティ上の脆弱性があった」と言う問題ではなく「アプリケーションの作り方を変える必要性」を提起した問題です。 参考：セキュアなアプリケーションのアーキテクチャ – sandbox化 PostgreSQL、MySQLの脆弱性は特にSJIS等、マルチバイト文字に\が含まれる文字エンコーディングが大きな影響を受けますが、同類の不正な文字エンコーディングを利用した攻撃方法が他の文字エンコーディングでも可能です。例えば、UTF-8エンコーディングは1文字を構成するバイト列の最初のバイトの何ビット目までが1であるか、を取得してUTF-8文字として1バイト～6バイト必要なのかわかる様になってい
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く