slashdot(security)

コンテンツ配信 スラド: セキュリティ
アレゲなニュースと雑談サイト
最終更新: 14週 19時間前

Microsoft、AMDデバイスの一部にSpectre/Meltdown脆弱性対策パッチ提供を一時停止

2018/01/11(木) 14:05
headless曰く、

Microsoftは9日、一部のAMDベースのデバイスに対し、Spectre/Meltdown脆弱性対策を含む更新プログラムの提供を一時停止することを発表した (Microsoftサポート— KB4073707: 日本語版英語版)。

Microsoftによれば、Spectre/Meltdown脆弱性の緩和策を開発するためにAMDから提供されたドキュメントに一部のAMDチップセットが準拠していないことが判明したという。その結果、該当するAMDチップセット搭載デバイスに更新プログラムを適用するとWindowsが起動できなくなるとのこと。

影響を受けるAMDデバイスへの提供が一時停止されているのは以下の更新プログラムだ。タレコミ時点では日本語版ドキュメントにAMDデバイスでの問題が記載されていないため、リンク先は英語版ドキュメントになっている。なお、1月の月例更新で提供されるマンスリーロールアップ以外は、4日に提供が始まっていた。

  • Windows 7 SP1/Server 2008 R2 SP1
    • KB4056897(セキュリティのみの更新プログラム)
    • KB4056894(マンスリーロールアップ)
  • Windows 8.1/Server 2012 R2
    • KB4056898(セキュリティのみの更新プログラム)
    • KB4056895(マンスリーロールアップ)
  • Windows 10

なお、更新プログラムが送信されない可能性があるのは、影響を受けるAMDシステムに「互換性のある」ウイルス対策ソフトウェアを「インストールしている」場合と説明されている。少しわかりにくいが、上記の更新プログラムは互換性の問題が確認されている一部のウイルス対策ソフトウェアをインストールした環境にはチップセットにかかわらず提供されていないため、このような説明になっているようだ。

一部のウイルス対策ソフトウェアで確認されている互換性の問題とは、Windowsカーネルメモリに対してサポートされない呼び出しが行われることで、BSoDが発生してWindowsを起動できなくなる可能性があるというものだ (Microsoftサポート— KB4072699: 日本語版英語版)。

Windows 8.1/10のWindows DefenderやMicrosoft Security Essentialsなど、問題のないウイルス対策ソフトウェアでは、レジストリの「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat」にDWORD値「cadca5fe-87d3-4b96-b7fb-a231484277cc」があり、値のデータに「0」がセットされている。この値がセットされていない場合、今後のセキュリティ更新プログラムも受け取ることができないとのこと。

何らかの理由でウイルス対策ソフトウェアをインストールできない環境では、上述のレジストリ値をセットすることで更新プログラムを受け取ることができるようになる。このレジストリ値は互換性のないウイルス対策ソフトウェアをインストールした環境で更新プログラムを受け取れるようにするためのものではないので、注意が必要だ。

すべて読む | セキュリティセクション | セキュリティ | マイクロソフト | バグ | AMD | Windows |

関連ストーリー:
本来アクセスできないメモリ領域のデータを読み出せる可能性がある脆弱性が見つかる、多くのCPUに影響 2018年01月04日
第6〜8世代Coreプロセッサなどに脆弱性、Intelがチェックツールを公開 2017年11月24日
「ウイルスバスタークラウド」とFall Creators Updateの組み合わせでPCが正常に起動しなくなる問題が確認される 2017年10月21日
Windows 10 Anniversary Updateの累積的な更新プログラムに一部環境で不具合が発生 2016年10月06日

タイガー魔法瓶、模倣品対策として「真贋判定シール」を導入

2018/01/10(水) 18:18

中国や東アジア地域で、タイガー魔法瓶製品の偽物が多く流通しているという。そのため同社は模倣品対策として、製品に「真贋判定シール」を導入することを発表した。このシールは製品のパッケージなどに貼り付けられており、シールをめくると現れるQRコードをスキャンしてWebサイトにアクセスすることで、製品が正規品かどうかを判定できるという。

同じQRコードが複数回スキャンされるとその旨が表示され注意が促されるほか、登録されていないコードだった場合は不正なものとの警告を出すという仕組み。

すべて読む | セキュリティセクション | セキュリティ | 海賊行為 |

関連ストーリー:
EA、Zyngaのソーシャルゲームは盗作・模倣だとして訴える 2012年08月07日
ソニー製メモリースティックの模倣品が市場に出回る 2006年04月21日
特許庁、デザイン模倣品の保管も処罰方針に 2005年12月02日

三井住友カード、パスコードを入力しないと使えないクレジットカードを発表

2018/01/10(水) 11:34

三井住友カードがパスコード認証機能付きのクレジットカードを発表した。日経新聞では「電源付きクレカ」などとして紹介されているが、このクレジットカードには入力ボタンや数字を表示するディスプレイ、スイッチが組み込まれている。クレジットカード番号は一部のみが表示されており、正しいパスコードを入力するとクレジットカード番号の残りがディスプレイに表示される仕組み(ITmedia)。

パスコードを入力しないと、磁気ストライプやICチップ機能を使った決済もできないとのこと。これにより、盗難クレジットカードなどによる不正決済を防止できるという。

すべて読む | セキュリティセクション | セキュリティ |

関連ストーリー:
Apple Payを利用したクレジットカードの不正利用が発覚 2017年09月14日
磁気ストライプ式カードのトラブルが増加、手帳型スマホケースで使われている磁石が一因 2017年04月25日
非接触型カードとPOSシステムを悪用した電子スリが登場? 2016年02月22日
暗唱番号認証を無効化するよう改造されたクレジットカードが確認される 2015年10月23日

米国土安全保障省、学校に侵入した乱射犯対策トレーニング用のFPS風プログラムを開発

2018/01/08(月) 17:24
米国土安全保障省科学技術局(DHS S&T)が米陸軍研究所(ARL)および民間のCole Engineering Services, Inc(CESI)とともに、学校に侵入した乱射犯人に対応するためのトレーニングプログラムを開発しているそうだ(APの記事SlashGearの記事The Vergeの記事Rolling Stoneの記事動画)。

このプログラム「First Responder Sandbox Trainer (FRS)」は、Unrealエンジンを使用して構築された「Enhanced Dynamic Geo-Social Environment (EDGE)」トレーニングプラットフォーム上で動作する。EDGEは警察官や消防隊員、救急隊員といったファーストリスポンダーが乱射・人質・火災などを想定したトレーニングをPC上で行えるようにするマルチプレイヤーFPSゲーム風プラットフォームだ。昨年6月には26階建てホテルでの乱射事件というシナリオがファーストリスポンダー向けに公開されていた。

学校バージョンのシナリオでは教師役と乱射犯人役、警察官役が用意されている。教師役は子供たちを落ち着かせて安全な方向に誘導し、乱射犯人役は銃を乱射、警察官役は犯人を確保することが目的となる。乱射犯人役は事件の現場を知っている警察官が担当することが望ましいとのこと。学校バージョンのシナリオは当初2017年秋の公開となっていたが、今春に延期されたようだ。なお、プログラムはCESIのWebサイトで公開されるが、トレーニングの必要なファーストリスポンダーや学校関係者にのみ提供され、一般に提供されることはないとのことだ。

すべて読む | セキュリティセクション | セキュリティ | ソフトウェア | 教育 | アメリカ合衆国 |

関連ストーリー:
米銃乱射事件容疑者のiPhone、死亡した容疑者の指を使えばロックを解除できた? 2017年11月14日
銃乱射事件の中、MacBook Proで命拾い 2017年01月10日
FBI、乱射容疑者のiPhoneロック解除に成功 2016年03月29日
米陸軍、VRを使って戦場を仮想的に再現する研究用施設を開発 2016年03月28日
パリの劇場やレストランなど6か所で銃撃や自爆攻撃が発生 2015年11月14日
アイオワ州のある学区では、校長や教頭がボディカメラを着用している 2015年07月14日
米国で「射撃者検出システム」の学校への導入が検討される 2014年11月17日
米国で学校銃乱射事件を題材にした小説を執筆した教師、停職処分になる 2014年09月05日
米コロラド州の高校でまた発生した銃乱射事件、被害を軽減させた対策方法とは 2013年12月18日
暴力的なビデオゲームによる影響の調査を含む銃犯罪対策法案、ビデオゲーム産業のロビー活動により頓挫 2013年03月28日
米ライフル協会、小学校銃乱射事件はゲームのせいと主張 2012年12月26日
英国軍、FPSゲーム風シミュレータによるバーチャルトレーニングを実施 2008年09月12日

スマートフォンのセンサーからPINコードを割り出す手法

2018/01/07(日) 18:21
ユーザーのパーミッションを得る必要がないスマートフォンの各種センサーから取得したデータと機械学習により、高い成功率でPINコードを推測できるという研究結果が発表された(論文: PDF南洋理工大学のニュースリリースHackReadの記事)。

画面に表示されたキーパッドからPINを入力する際には押すキーの位置によって端末の傾きの変化などが異なる。そのため、センサーから取得したデータを処理することでPINを推測する研究は過去にも発表されている。データの取得方法としては、PIN全体の入力パターンを1つのデータとして取得する方法と1桁ごとに取得する方法が考えられる。全体を取得する場合は4桁でも10,000パターンのデータが必要なため、過去の研究では50パターンに限定するという手法がとられていた。今回の研究では1桁ごとに取得する方法を用いており、少ないパターンのデータですべての組み合わせに対応できるほか、桁数の異なるPINにも対応可能となる。

攻撃のシナリオとしては、まずターゲットの端末に送り込んだ攻撃用アプリでプリセットしたPINのパターンを入力させてデータを取得し、アルゴリズムに学習させる。次に実際のPINコード入力時のデータを取得し、学習結果からPINを推測するというものだ。学習データを取得する際には、前後のキー入力の組み合わせによる変化をカバーするため、厳選した70パターンのPINコードを5回ずつ入力させ、検証用に50パターンのランダムなPINコードも入力させている。研究ではボタンをPIN入力用のキーパッドと同じ配置にしたアプリを使用しているが、カジュアルゲームなどを装って学習データを取得する方法が提示されている。

すべて読む | モバイルセクション | ハードウェア | セキュリティ | 携帯電話 |

関連ストーリー:
超音波でデジタルアシスタントデバイスを操作する「DolphinAttack」攻撃 2017年09月10日
ドローンやVR機器で使われる加速度センサやジャイロセンサは超音波で誤動作する 2017年08月29日
脳波を観測してパスワードを盗める可能性 2017年07月06日
ロンドン警視庁考案、容疑者にiPhoneのロックを解除させる新たな方法とは? 2016年12月10日
ハードディスクのシーク音を利用してエアギャップ環境からデータを盗む「DiskFiltration」 2016年08月18日
PCの冷却ファンのノイズを利用してエアギャップ環境からデータを盗み出す「Fansmitter」 2016年07月03日
パソコンの発する電磁波をAMラジオで受信してRSA秘密鍵などを解析 2015年06月21日
熱を使ってネットワークから隔離されたマシンと通信する手法が考案される 2015年03月27日
パソコンの電位の揺らぎからRSA秘密鍵などが解析される 2014年09月18日
ビル・ゲイツ、盗撮を防ぐ技術の特許を取得 2014年04月22日
パソコンの電源鳴きから4096ビットのRSA秘密鍵が解析される 2013年12月23日
お隣の仮想マシンの暗号鍵を盗むサイドチャネル攻撃手法 2012年11月09日
PCの横に置いたiPhoneをキーロガーに 2011年10月23日

Intel CEOによる昨年11月の同社株大量売却が再び話題に

2018/01/06(土) 13:32
Intel CEOのBrian Krzanich氏が昨年11月、同社の株式を大量に売却していたことが再び話題になっている(V3の記事Softpediaの記事On MSFTの記事Business Insiderの記事)。

Intelの内規では重役や取締役に5年間一定数の株式を保有することが義務付けられており、CEOの場合は25万株だという。Krzanich氏がCEOに就任したのは2013年5月。そのため、2018年5月まで25万株を保有し続ける必要がある。

Krzanich氏は昨年11月29日にストックオプションを行使して得た合計644,135株を売却し、保有していた495,743株のうち合計245,743株を売却している。売却時のIntel株は44.05ドル~44.555ドル、ストックオプションの行使には1株当たり12.985ドル~26.795ドルを支払っているため、手元にちょうど25万株だけ残して2,500万ドル近くを得たことになる。

この件は昨年のうちに報じられていたが、Intelプロセッサーの脆弱性が公表されて同社株は下落しており、この脆弱性をProject ZeroがIntelに伝えたのが昨年6月だったため、脆弱性を知って売却したのではないかと疑惑を呼ぶことになった。ただし、IntelではKrzanich氏による株式の売却は以前から計画されていたもので、脆弱性の報告とは無関係だと述べているとのことだ。

すべて読む | セキュリティセクション | ビジネス | セキュリティ | Intel | ニュース | お金 |

関連ストーリー:
本来アクセスできないメモリ領域のデータを読み出せる可能性がある脆弱性が見つかる、多くのCPUに影響 2018年01月04日
アマゾンのベゾスCEO、10億ドル超相当の自社株式を売却。宇宙事業へ投資か 2017年11月08日
訃報:Intel前CEO ポール・オッテリーニ氏 2017年10月06日
信用情報会社Equifaxが個人情報漏洩、インサイダー疑惑もあり米政府が調査に乗り出す 2017年09月15日
Intel、同社の多様性だけでなくテクノロジーおよびゲーム産業全体の多様性向上のため3億ドルを投資 2015年01月12日

GnuPG2のフォーク「NeoPG」、開発中

2018/01/05(金) 16:18
osdn曰く、

PGPやGnuPGには近年いくらかの批判もありますが、開発は情熱的に続いています(過去記事:PGPの32ビット鍵IDが問題に、Linus Torvalds氏などの偽造鍵も確認されるPGPは有害無益?)。

とはいえ、GnuPGは20年以上の開発によって内部構造が複雑になりすぎています。これに伴う種々の問題に取り組むため、NeoPGという新たなプロジェクトが発足しています。

スライドによると、GnuPGは49万行のコードから成り、400近くのコマンドラインオプション、2種類のOpenPGPパーザ、自前のHTTPクライアントやDNSリゾルバ関連コードを持つ、重厚長大なプロジェクトです。NeoPGでは、できるだけレガシーコードを減らし、外部ライブラリを積極的に利用することで、開発を容易にするつもりです。スライドの時点で、すでに行数はほぼ半減し、コマンドラインオプションも120ほど減っているそうです。

ブログでは、そのほかにもautoconfではなくCMakeCPPマクロではなくC++テンプレート数多くの小さなバイナリではなく単一バイナリ長生きするデーモンではなく、すぐ終了するヘルパープロセスといった劇的な設計変更の理由について説明しています。(このうちの一部はUNIX哲学からの逸脱と見られかねないことも理解したうえで、使い勝手や開発/メンテナンスのコスト、コンピュータ性能の発達などを考慮した結果とのことです。)

ライセンスについても、GitHubのREADME.mdによれば「今のところGPLやLGPLなど様々なライセンスのコードを含んでいるが、新規コードはSimplified BSDライセンスに限っている」という書き方からして、GPLからの脱却を目指しているようです。

全体的に、ここ10年程度のトレンドを慎重に取捨選択して、そつなくリファクタリングしているように見えますが、皆さまはどう評価されるでしょうか。

すべて読む | セキュリティセクション | セキュリティ | プログラミング | GNU is Not Unix | 暗号 |

関連ストーリー:
PGPは有害無益? 2016年12月21日
PGPの32ビット鍵IDが問題に、Linus Torvalds氏などの偽造鍵も確認される 2016年08月23日
開発資金が枯渇寸前だったGnuPG、資金調達に成功 2015年02月09日
PGPなどで知られるHal Finney氏が死去、遺体は冷凍保存へ 2014年09月02日

本来アクセスできないメモリ領域のデータを読み出せる可能性がある脆弱性が見つかる、多くのCPUに影響

2018/01/04(木) 20:05
あるAnonymous Coward 曰く、

どうも報道規制があるようでよく分からないのだが、少なくとも現行のIntel製CPUに脆弱性があり、カーネルメモリをユーザプロセスやWebページに組み込まれたJavaScriptなど様々なユーザ空間プロセスから読み出せる可能性があるようだ(4chan.orgTechCrunch)。対策としてLinuxカーネルやWindows NT系OSにおいてカーネルメモリ空間へASLRの導入がひっそりと進んでおり、Amazon、Google、Microsoftなどクラウドサービス事業各社は大規模なアップグレードを早いところでは来週にも計画している。

影響される利用形態はVPSにとどまらずデスクトップも含まれるが、対象のハードウェアがIntel Coreシリーズプロセッサやその一部で収まるのか、Core 2 Duoやそれ以前、またVIA Technologiesなど他社へ拡張されるかは不明だ。AMDは自社製品についてそのようなバグの影響を受けないと回答している。Linux Kernelにおいてはこの機能を有効にするフラグは X86_BUG_CPU_INSECURE と名付けられ、AMD製ではないすべてのx86プロセッサで有効になるよう設定されている。有効にすることによる性能低下は最大で35%弱となるようだ。

この脆弱性はGoogleのセキュリティチームProject Zeroによって発見されたもので、3日付けで解説記事が公開されている。昨今の多くのCPUに搭載されている投機的実行機能を悪用するもので、2017年6月にIntelおよびAMD、ARMにこの脆弱性を報告していたとのこと。この脆弱性を突く実証コード(PoC)も開発されている。

Project Zeroの発表では、3種類の脆弱性が提示されている。これに対しAMDは声明を発表、AMDのCPUにおいてこれらのうち1つは影響があるもののソフトウェアやOSの修正で対応できるとし、その場合の性能への影響もほとんどないとしている。また、1つは未検証ながらリスクは0に近く、1つは影響しないとしている。

また、ARMもこれについての情報を公開している。これによると、一部のCortexシリーズプロセッサがこの脆弱性の影響を受けるとのことだが、Linuxにおいてはすでに対応パッチが提供されているという。

すべて読む | セキュリティセクション | セキュリティ | Intel |

関連ストーリー:
第6〜8世代Coreプロセッサなどに脆弱性、Intelがチェックツールを公開 2017年11月24日
電力管理システムを悪用してARM系CPUのTrustZoneをハックする手法が報告される 2017年09月27日
Intel x86プロセッサに含まれている遠隔管理システムに危険性? 2016年06月24日
Microsoft、AMDデバイスの一部にSpectre/Meltdown脆弱性対策パッチ提供を一時停止 2018年01月11日
Cortana、音楽の識別能力を失う 2018年01月06日
Intel CEOによる昨年11月の同社株大量売却が再び話題に 2018年01月06日

ジョン・マカフィー曰く、2要素認証を有効にしたらTwitterアカウントがハックされた

2017/12/31(日) 14:16
自身のTwitterアカウントが2要素認証を有効にしたせいでハックされたと「サイバーセキュリティのレジェンド」ジョン・マカフィー氏が主張している(HackReadの記事BetaNewsの記事BBC Newsの記事)。

マカフィー氏は12月21日から「Coin of the day」として、あまり知られていない今後が期待される仮想通貨を毎日Twitterで紹介していたが、26日をもっていったん休止し、毎週月曜日の朝(初回は1月1日)に「Coin of the week」として再開すると宣言していた。しかし、27日に偽の「Coin of the day」がマカフィー氏のアカウントで複数投稿されたらしい。

マカフィー氏はアカウントがハックされ、Twitterに通知したとツイートし、偽投稿は既に削除されている。別のツイートではセキュリティのエキスパートであってもTwitterのセキュリティまでは手が届かないとし、自身がハッカーの恨みを買って攻撃のターゲットになっているとも述べている。マカフィー氏の偽アカウントたびたび出現しているようだ。状況に関する質問に対しては、携帯電話が乗っ取られたらしいと返信しており、BBCの取材には2要素認証を有効にした際に認証コードがハッカーに盗み見られたとの見解を示したとのこと。その後マカフィー氏はすべてのアカウントで2要素認証を無効にしたそうだ。

どのような攻撃を受けたのかは不明だが、HackReadの記事では共通線信号No.7(SS7)の脆弱性が使われた可能性を指摘している。マカフィー氏が最高サイバーセキュリティビジョナリーを務めるMGT Capitalではセキュリティに主眼を置いたスマートフォン「Privacy Phone」バージョン2を2018年に発売する計画だが、攻撃にあった携帯電話の機種に関する質問には回答していない。レジェンドの思わぬ失態を面白がっているセキュリティ専門家もいるようだ。

すべて読む | セキュリティセクション | セキュリティ | Twitter | 携帯電話 | idle |

関連ストーリー:
米国で電話番号経由でのアカウント乗っ取りが多発、Bitcoin投資家などが被害 2017年08月24日
ジョン・マカフィー、自分の会社に自分の名前を使う権利があることの確認を求めてIntelを訴える 2016年09月04日
SMSを使った2要素認証を不許可へ、NISTの新ガイダンス案 2016年07月26日
プロセッサの表面を削って固有IDを読み取ればiPhoneのロックは解除できるという話 2016年03月11日
サイバーセキュリティーのレジェンドが考えるiPhoneのロック解除法とは? 2016年03月05日
ジョン・マカフィー曰く: iPhoneにバックドアは不要、うちのチームが3週間で暗号化を解除する 2016年02月20日
ジョン・マカフィー氏、2016年米大統領選への出馬を表明 2015年09月12日
逃亡中のJohn McAfee氏、ブログで真犯人発見者に2万5000ドルの報酬を出すと発表 2012年11月22日
John McAfee 氏、殺人容疑で指名手配 2012年11月13日
インテル、マカフィーの買収を発表 2010年08月20日

一部のモバイルWiFiルーター、USB接続するとPCにグローバルIPアドレスが割り当てられる仕様に

2017/12/30(土) 19:20
あるAnonymous Coward 曰く、

一部のモバイルWiFiルーターは、PCにUSB経由で接続して利用した際にPCに直接グローバルIPアドレスを割り当てるという挙動をするそうだ。一部のマルウェアはこれを利用してPCを狙った攻撃を行っているという(徳丸浩のTweetINTERNET Watch)。

PCに直接グローバルIPアドレスが割り当てられることで、PCの設定によってはインターネットから直接PCの全ポートへのアクセスが可能になるおそれがある。これを利用し、PCにインストールされているソフトウェアの脆弱性を攻撃してマルウェアに感染させるという攻撃が実際に発生しているそうだ。具体的には、IT資産管理ソフト「SKYSEA Client View」の脆弱性が狙われたとの報告があるという。

すべて読む | セキュリティセクション | セキュリティ | インターネット |

関連ストーリー:
情報漏洩対策ソフトの脆弱性を狙った攻撃が相次ぐ 2017年04月12日
UQ WiMAX、グローバルIPアドレスの割り当てを有料オプションに変更 2013年05月07日
au、スマートフォンへのグローバルIPアドレス提供を中止 2011年07月20日

社会運動・市民運動サイトからの情報