12月7日のtwitterセキュリティクラスタ

セッションアダプション脆弱性?について

このエントリから一年経ちましたが、まだ「克服」されていないですよー(PHP5.4.9で確認) > @yohgaki PHPのセッションアダプション脆弱性克服への道のり blog.ohgaki.net/fixing-php-ses…

@ockeghem Gitへの移行とかがあったからRMが忘れてたみたいですね。私がPULLリクエストを送るまでは修正されないと思いますよ。

早くPULLリクエスト送ればいいのに

@awebprogrammer セッションIDはWebセキュリティの要。細かいところにツッコミが好きな徳丸さんらしくないですね。という自分もみんな知ってて正しく使ってるだろう、ということで急いではいないですが。

結局大騒ぎするほどのものではなかったという結論だったのでしょうか。

セキュリティカンファレンスbay threatだそうです。内容濃いですが、さわりだけを紹介。

明日、明後日の予告。セキュリティカンファレンスbay threat実況してみます。聞きたいセッションのリクエストは受付ますよ

今日のカンファレンス、会場がFirehouse。盛り上がってきましたっっ!!firehousegrill.com/about.asp

念のため、Firehouseでカンファレンスすることがどんだけテンション上がるかを解説よう。日本で例えればHootersでAV Tokyoする感じっす。うほっ

ウェブソケットフレームワークの脆弱性に注意。フィンガープリントから。利用フレームワークかわかるよ。因みにファジングしてるがまだクリティカルな脆弱性は見つかってない。

websicketのmax connectionはhttpと違う。ドス可能。ブラウザ依存

目grepperがバイナリの中でff見つけたらffでxorするように、こっちの人はAPIみたらまずはfuzzerでチェックするみたいだね。

カンファレンスの他のセッションの内容が気になる人は@yumanoさんのツイートをチェックしましょう

ACSACソフトウェアセキュリティというカンファレンスが開催されているようです。

ACSACソフトウェアセキュリティ一つ目。Software Self-healing(自己回復)の話(コロンビア大)。Software Self-healingのポイントはFail-alwaysからFail-onceにする。

Self-healingは際物扱いの部分があるけど個人的には大変興味がある。

Software Self-healing ではBug を起こした関数を呼び出した関数から、呼び出し先を修復した関数にする技術をRescue Pointsと呼ぶ。バグはrollbackで検出。

Rescue Pointsを使った類似研究。ASSURE[ASPLOS’09], REASSURE[IESEC’11]

今回の対象は分散環境でbugが伝搬する問題を想定して、これに対処するCascading Rescue Pointsを使った多層アーキテクチャ。TCPをトランスペアレントに拡張するCRP(Cascading Rescue Points)Protocolも設計。

Cascading Rescue Points をLinux上で実装。MySQLとApacheの実際のバグに適用してSoftware Self-healingを確認。Rollbackの実装とBug fixの部分が知りたい。

ACSACシステムセキュリティ二つ目。カーネルデータのアクセス由来(Access provenance)ポリシーをかけるハイパーバイザ。ページ単位でHyperCallでmemory Protectorを設定し、本来の由来でないアクセスを禁止。これで悪意のあるドライバから攻撃を防ぐ

保護するのはtask_let とmoduleだが、Object partitionを使ってtast_struct 構造体なかの重要な部分とそれ以外を分ける。ページ単位の保護なのでアライメントの問題があるが、tast_struct 構造体にPaddingを入れる。

このカーネルデータの保護は私が今週の火曜にBitvisor Summitで話した内容に近い。
「Bitvisorをベースとした既存Windowsのドライバメモリ保護 」 slideshare.net/suzaki/bitviso…

システムセキュリティ三つ目。ファイルの完全消去方法。データとメタデータの両方を消す。ファイルシステムとストレージ管理の間にType/Attribute Propagation(TAP)Moduleを並行して入れ、Secure DeleteばかりでなくSecure Writeを管理

質問:アプリケーションはtempファイルを作るがそれもトレースできるのか。
答え:難しい。Future Workだ。

その他に気になったことはこのあたり。

2012 年 12 月の事前通知を公開しました。2012 年 12 月 12 日に 7 件の月例セキュリティ情報を公開する予定です。詳しくは 2012 年 12 月の事前通知をご覧ください。bit.ly/TNbYIk  #JSECTEAM

Trend Micro によるロシアの地下組織に関するレポート “Trend Micro Incorporated Research Paper 2012 Russian Underground 101” trendmicro.com/cloud-content/…

ロシアのサイバー犯罪「サービス」 DDoSサービスが US$30-70/day から、Facebook/Twitterにのアカウント乗っ取りが US$130/件 とか大変お求め安くなっていますね… trendmicro.com/cloud-content/…

(ISC)2 情報セキュリティ人材育成セミナー&CISSP体験セミナー開催 isc2.org/japan/news_201… 来年1/15(火)にCISSPの無料セミナーが開催されるようです。あれ、講師には自分の名前が・・・(笑)

NAVER まとめ: PC遠隔操作事件に懸賞金 警察庁が対象拡大 dlvr.it/2bZlh3

ペニーオークション、初の逮捕 京都府警、手数料詐欺容疑 dlvr.it/2bb9th

Oracle の MySQL サーバを脅かすゼロデイ脆弱性のエクスプロイトを複数確認
blog.trendmicro.co.jp/archives/6399

【2012年サイバー攻撃総括】ソーシャルエンジニアリングの巧妙化による人間の心理的な脆弱性をついた攻撃が顕著化 bit.ly/TG03M0

2001~11年までのサイバー戦争相関図。 The Fog of Cyberwar | Foreign Affairs fam.ag/YHPHCW

いま、放送大学を観てたら電子署名の説明で「秘密鍵で暗号化したものを公開鍵で復号する」とか言ってて、んなワケねぇだろ?ってググったら、たまたまRSAアルゴリズムがそうなだけとのこと。ああびっくりした。 takagi-hiromitsu.jp/diary/20080229…

RSAのことだけで覚えてると勘違いしてしまいますよね

Impervaが40のアンチウイルス製品でマルウェア82種を検査したところ未知の脅威を検知したのは5%だったそうです。 bit.ly/SCxXT8

予め取得する意味がよく分からないが、群馬固有の事情でもあるのか?>『群馬インターネットでは、いち早く157種類のgunma.jpドメインをご用意しました』 発進!群馬 157個のgunma.jpドメインサービス | 群馬インターネット wind.ne.jp/wind/public/ho…

ドメインスクワッターですよ

NISTのRandom Bit Generation Workshop 2012 nist.gov/itl/csd/ct/rbg… プレゼンが公開。暗号技術にとってEntropy話、乱数生成は極めて重要かな。暗号技術自体が一般のIT技術者にとってブラックボックス。興味がある人は少ないかな

Building up Trust & Privacy このセッションが面白そ~。このあたりの日本の状況が寂しい twitter.com/yas_matsu/stat… という話は、PKI day 2012の午前中のネタになります。jnsa.org/seminar/pki-da…

京都府警の偽アプリ事件は7日に無事起訴されたそうな。
asahi.com/national/updat… 「…容疑者は、スマートフォンの電話帳の内容を盗むウイルスを利用したなどとして京都府警に2度逮捕され、7日、不正指令電磁的記録保管・供用の罪で京都地検に起訴された。」

Metasploit 4.5 Released: Now at 1,000 remote exploits and sporting a brand new phishing engine: community.rapid7.com/community/meta…

選挙期間中に候補者の公式サイトでXSSを見つけた場合どうしたらいいのかIPAに確認中

修正もダメなんですっけ

自宅セキュリティ研究所

自宅セキュリティ研究所 wrote 2714 posts

Tags

Post navigation