新たな端末でパスキーを使うには、GoogleパスワードマネージャーのPINかAndroid端末の画面ロック解除のいずれかで開始できるようになる。 このPINは、同期されたデータをエンドツーエンドで暗号化し、Googleでさえアクセスできない。 なお、パスキーにはWindows Helloも利用可能だ。 関連記事 Google、「パスキー」を個人ユーザーのデフォルトに Googleは、パスワード不要のサインイン「パスキー」を、Googleアカウントのデフォルト（初期設定）にすると発表した。アカウントにサインインしようとすると、パスキー作成を求めるプロンプトが表示されるようになる。 「iOS 18」の新機能一覧 カスタマイズの自由度アップ、特定のアプリをFace IDでロックできる機能など 米Appleが、iPhone用の新OS「iOS 18」の配布を開始した。外観をより自由にカスタマイズでき
GitHubでは削除されていたりプライベートに設定されていたりするフォークやリポジトリに誰でもアクセスでき、さらにその動作が欠陥ではなく仕様通りであるとオープンソースセキュリティ企業のTruffle Securityがブログに投稿しました。 Anyone can Access Deleted and Private Repository Data on GitHub ◆ Truffle Security Co. https://trufflesecurity.com/blog/anyone-can-access-deleted-and-private-repo-data-github GitHubでの一般的なワークフローとして、「新しいフォークを作成する」「コミットする」「フォークを削除する」というものを考えてみます。 この時、削除したはずのフォークの中身を誰でも確認できてしまうとのこと。
首相官邸では同日、犯罪対策閣僚会議を実施。国民を詐欺から守る対策として身分証のICチップを活用した施策を盛り込んだ資料「国民を詐欺から守るための総合対策」を公開した。それによると、対面での本人確認には「マイナンバーカード等のICチップ情報の読み取りを犯罪収益移転防止法及び携帯電話不正利用防止法の本人確認において義務付ける」（原文ママ）と記載している。 ICチップが組み込まれた身分証には、マイナンバーカードの他に運転免許証や在留カードなどがある。デジタル庁に、マイナンバーカード以外でIC読み取りに対応する身分証を聞いたところ「“等”の部分については現状では明文化されていないため、デジタル庁からは回答できない。マイナンバーカードについてはデジタル庁の所管なので、今朝の河野太郎デジタル大臣の記者会見などを通して案内した」と答えた。 デジタル庁では携帯電話契約時のICチップ読み取りの際に必要になる
6月16日、Xで「Chrome拡張版LINEがキーロギング（キーボードからの入力を記録）している」とする旨の投稿が話題になった。Chrome拡張プラグインのストアページに表示される「扱うデータの一覧」に「キーストロークのロギング」という項目があったためだ。しかしLINEヤフーによれば、実際にキーロギングをしている事実はないという。 Chrome拡張プラグインのストアページには「プライバシーへの取り組み」という欄があり、そこでは各拡張プラグインが使用・収集する情報などが開示されている。LINEも例外ではなく「ユーザーのアクティビティ 例: ネットワーク監視、クリック、マウスの位置、スクロール、キーストロークのロギング」を使用・収集すると取れる表記がある。 しかし実際は、表記にある情報を全て扱うわけではないようだ。LINEヤフーに確認したところ「PC版LINEにおいて、キーロギングは行っており
Microsoft製テキストエディタ「Visual Studio Code(VSCode)」は拡張機能を導入することで機能を追加したり外観をカスタムしたりできます。セキュリティ研究者らが「人気拡張機能にコードを挿入した偽拡張機能」を公開した結果、短期間で大企業やセキュリティ企業を含む多くのユーザーのマシンにインストールされたとのこと。セキュリティ研究者らはVisual Studio Codeの拡張機能システムの欠陥を指摘し、警鐘を鳴らしています。 1/6 | How We Hacked Multi-Billion Dollar Companies in 30 Minutes Using a Fake VSCode Extension | by Amit Assaraf | May, 2024 | Medium https://medium.com/@amitassaraf/the-stor
無線LANのMACアドレスからの個人情報漏えいを防ぐ ネットワークインタフェースに付与されえいるMACアドレスは、デバイスで一意の識別子となっていることから、MACアドレスを収集、追跡することで、ユーザーの行動や嗜好などを把握したり、他の情報と合わせてユーザーを特定したりすることができる。それを防ぐ方法として、Windows 11ではMACアドレスをランダムに生成して付与する「ランダムなハードウェアアドレス」がサポートされている。この「ランダムなハードウェアアドレス」を有効にする方法と注意点などをまとめた。 Windows 11では、無線LAN（Wi-Fi）のMACアドレス（Media Access Control address）がランダムに割り当てられる機能「ランダムなハードウェアアドレス」をサポートしている。この機能を有効にすると、アクセスポイント（無線LANルーターなど）に接続する
社会制度のバグ？ 本人確認の穴を突いたマイナンバー過信の新手口とは：小寺信良のIT大作戦（1/3 ページ） いわゆる振り込め詐欺の手口は、いつの時代にも手を替え品を替え新しい手法が開発され続けてきているが、今年3月にはこれまで聞いたことがない手口の詐欺事件が発覚した。読売新聞オンラインが報じたところによると、女性のマイナンバーカードの情報を元にネットバンキング口座を無断で作り、そこに本人に現金1400万円を振り込ませたという。 これだけでは何がどうなっているのかわかりにくいが、これはマイナンバーを使った本人確認の穴を突いた犯行と見ていいだろう。今後の課題も含め、この事件から読み取れる情報を整理してみたい。 口座とは無関係なアクション 2024年1月、70歳代の女性宅に「総合通信局」の職員や警察官を名乗る人物から「口座の情報が流出している」などと電話があったという。 警察はまあわかるが、総合
米OpenAIの「ChatGPT」やGoogleの「Gemini」など、主要生成AIの弱点や脆弱性が次々に発覚している。企業や個人の日常生活に浸透している生成AIが悪用されれば、社外秘情報や個人情報の流出を招いたり、悪用防止対策がかわされて偽情報の作成に利用されたりする恐れもある。 イスラエルのベングリオン大学の研究チームは、生成AIとユーザーの間に割り込んでデータパケットを傍受し、AIの回答内容を高い精度で復元する攻撃に成功したと発表した。この攻撃は、生成AIがユーザーの質問に回答する際のデータ処理に存在する脆弱性を突いている。 （関連記事：他人がGPT-4とやりとりしたテキストを盗む攻撃 成功率50％以上 イスラエルの研究者らが発表） ChatGPTなどの生成AIがユーザーの指示や質問に対して答えを返す際は、文章を単語や文字ごとにトークン化し、個々のトークンを連続的にユーザーに送信して
GitHubでマルウェアを仕込んだリポジトリを本物に見せかけて拡散させる手口が横行し、10万を超す感染リポジトリが見つかっているとしてサイバーセキュリティ企業が注意を呼びかけている。攻撃は今も続いており、何も知らない開発者がこうしたリポジトリを使えば、マルウェアに感染してパスワードなどの情報が流出する恐れがある。 サプライチェーンのセキュリティ対策を手掛ける米Apiiroによると、GitHubのリポジトリを狙う「リポコンフュージョン（取り違え）攻撃」は2023年11月ごろから激化したという。 攻撃者は、開発者をだまして悪質なコードやファイルをダウンロードさせる目的で、正規のリポジトリのクローンを作成。そこにマルウェアを呼び出すコードを仕込み、同一の名称でGitHubにアップロードする。次に自動化の仕組みを使ってそれぞれを何千回もフォークさせ、Web上のフォーラムなどで宣伝しているという。
この記事は新野淳一氏のブログ「Publickey」に掲載された「「ポスト量子暗号アライアンス」をAWS、Google、NVIDIA、シスコ、IBMらが設立。ポスト量子暗号の採用促進のため」（2024年2月16日掲載）を、ITmedia NEWS編集部で一部編集し、転載したものです。 ポスト量子暗号とは、量子コンピュータによる暗号解読攻撃に耐性があると期待されるアルゴリズムを採用した暗号のことです。 量子力学を利用した量子コンピュータは、ある種の計算に関して従来のコンピュータとは比較にならないほど劇的な計算能力を有するため、その計算能力を暗号解読に用いることで現在利用されている暗号は短時間で解読されてしまう可能性が高いと考えられています。 そのため今後も安全な暗号化通信などを行うためには、量子コンピュータが本格的な実用に入る前に量子コンピュータをもってしても解読が困難な、量子コンピュータへの
最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。 手短に X(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示されるドメインとは違うページにリンクさせる手法が存在する この手法は第三者のTwitterカードを利用することができる つまり悪用者は第三者のTwitterカードを表示させながら自身の意図するページに閲覧者を誘導することができる これはフィッシングの手法になりうる 見つけたツイート 以下のツイートはGoogle、Bloomberg、日経ビジネスのTwitterカードが添付されているがクリックするとそれらとは異なる情報商材サイトにジャンプする。リンク先に危険な仕組みはないと思われるがクリックは自己責任で。念を入れたい人は curl -L で。 PCブラウザでカーソルを合わせてもXの短縮URLサービスであ
freeeは12月6日、「クレデンシャル（IDやパスワードなど認証に用いられる識別情報）をSlackに書くな高校校歌」を公開した。といっても何のことか分からないと思うので、取りあえずこの音源を聞いてみてほしい。 聞いてもまだ分からないと思う。freeeが同日に投稿したブログによれば、この音源はクレデンシャルをSlackに書く行為に警鐘を鳴らすために作られたという。いやいや、わざわざ曲なんか作らなくても……と思うかもしれないが、実はちゃんとした経緯があって生まれたものらしい。 クレデンシャルをSlackに書くな高校創設の歴史 ブログによれば、事の発端は2022年10月。社内で、クレデンシャルがSlackの公開チャンネルに書き込まれるインシデントがあったという。幸い対応はすぐに行われ、実害はなかった。その後テキストベースで注意喚起がなされたが、間を置かずにもう一度同様の事態が起こってしまった。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
