セキュリティ on akky@サイボウズラボ・ブログ

キー操作でブラウザ操作できるSurfingkeys Chrome拡張の新バージョンが、検索を謎のsmartwebfindersに変えようとする

Fri, 19 Aug 2022 00:00:00 +0000

Surfingkeys というオープンソースのブラウザ拡張ツールの新バージョン1.0.7が、キー操作でブラウジングできるという本来機能と無関係に既定の検索エンジンを謎の smartwebfinders に変えようとするというバグ報告が上がっています。

Chromeウェブストアで新規インストールする際も、「smartwebfinders.com に変更するよ」と出てきます。出てくるだけ昔よりは安全で避けられるとは言えますが、誰もがここを読んで考えるかというと…

Ultrasurf という別の Chrome拡張でも同様の切り替えが要求されていたということですが、この切り替えられる smartwebfinders.com は、ブラウザからアクセスしてみても Google に転送されるだけの謎のサイトです。

GitHub のソースコード上ではバージョン 1.0.6 が最新で 1.0.7 は無いため、第三者によって勝手に改造されたものが Chrome Store に上がったのかとも思われました。しかし、GitHub issues で拡張作者の brookhong 氏が「smartwebfinder は Bing のプロモーションで、強制的に検索エンジンを変えさせるわけではないので安心してほしい」と回答したため、作者が関知しているのかと騒ぎになっています。

# smartwebfinder が Bing のプロモーションだという他の主張は見つかっていません。Microsoftはたぶんこんなことしないと思うんですが。

Google 検索に転送されていることから、この変更を accept しても当座はこれまでと同じように Google 検索が呼び出されるのでしょう。しかし設定自体がこの別ドメインになっているのだから、いつ自由に別のところに飛ばされるようになるかわかりませんよね。

作者のこの回答を見て、GitHub の brookhong 氏のアカウント自体が乗っ取られたのかもしれない、と brookhong 氏にプログラマー向けの質問をする作者の知人らしき人もいますが、今のところそれ以上の返信は来ていません。

学区内の高校すべての放送システムをジャックして Rickroll した武勇伝

Wed, 27 Jul 2022 00:00:00 +0000

学区内の高校で強制的に"Never Gonna Give You Up"を放映したハックの話。

2021年4月30日、イリノイ区内の最大級の学区にある高校群のすべてで、ネットワークにつながっているものはテレビも、プロジェクターも、食堂の表示板も、すべてのディスプレイで同時に Rickroll が流されたそう。イリノイ州の学区214の6つの高校、総生徒数11,000名が相手です。

その時の、とある教室での様子を撮影した動画。授業が終わって帰る時のホームルームで、教室のプロジェクターには「重大発表があります」の表示とカウントダウンが。

「大統領だったりして」など軽口を叩いて待つ教師と生徒たち。でカウントダウンが終わって始まったのは… いつものリックロールでした。

AP試験の直前の金曜日、どの学校でもテストなど重要な行事が行われていないタイミングを選ぶなど、実害が無いように注意深くデザインされたイタズラですが、それでもダメなことではありますね。

学区のネットワークのクラスAのアドレスにスキャンを掛け、パスワードの掛かってなかったりデフォルトパスワードだったりするウェブカメラやプリンター、IP電話、そしてIPTVシステムを発見したことが、イタズラの内容を動画の一斉再生に導いたようです。

主謀者グループは、26ページにわたるペネトレーションテスト報告書や利用した脆弱性の修正法などをレポートにまとめ、匿名メールから学区のITチームに提出し、セキュリティの問題点を解消する手助けを申し出たということ。学区214 の技術責任者は罰を与えないこと、それどころかレポートの内容が良くできていると寛大に許してくれたそうです。

グループの一人であるミン・ドゥオンさんらはこの経過をブログ記事にまとめ、自分が実行グループの一人であると名乗り出ました。念のため事件から半年後、卒業した後に。

ICカードリーダーにマルウェアが入っていたら

Wed, 18 May 2022 00:00:00 +0000

セキュリティジャーナリストのブライアン・クレブスさんが、Amazon で購入した ICカードリーダーの問題点を見つけた人の事例を紹介しています。

1/ So you go shopping for a PIV card reader, because the US govt gave you one and you're curious to look at what's on it. You settle for this "DOD military USB common access smart card reader," because it's compatible with Mac OS. Cool! Only $15! What a bargain! pic.twitter.com/MHPPkZVixp
— briankrebs (@briankrebs) May 16, 2022

Amazon で買ったこのICカードリーダーを Windows 10 につなげたところ、初期のドライバが古くてだめなのでベンダーのサイトへ行ってくれと出たそう。

それで、指定されたサイトから最新ドライバーの入ったzipをダウンロードし、念のため Virustotal というサイトでzipファイルにチェックを掛けると、39個の異なる判定ツールが、情報を漏洩させるマルウェア Ramnit.a がこの zip ファイルに含まれると検出したそうです。

MegaBlock.xyz - ツイッターの発言から、発言者・イイネした人を全部ブロックするwebサービス

Tue, 29 Mar 2022 00:00:00 +0000

MegaBlock は、ツイッターのとあるツイートが気に入らず、それに「イイネ」した人も気に入らないという時、まとめて全員をブロックしてくれるという代行webサービスです。

「そのツイートにイイネしたすべてのユーザー(every single person who liked it)」まで一気にブロックする。怒りを感じますね。

ツイッターの作りから同じ意見を持った人が自然にグループを形成しやすいのはあり、自分と意見が異なるツイートにイイネしてる人は、自分の考えと合わない人が多い傾向はあるでしょう。

炎上や議論の中心にいるインフルエンサーの発言には、数百から数千のイイネがつくこともよくあります。このサービスを使うと、その数百数千の賛同者も、一回の操作でまとめてブロックできるということです。

Twitter API 経由で大量のアクセス権を与えるため、ちょっとおっかないですね。自分もテスト用の何もないアカウントで試しました。

「本当にメガブロックしてもいいですか?」の確認ダイアログも、指定された文章を一字一句間違えずに打たないと先へ進めないようにはなっています。

あと、大量にremove/deleteするのをnukeというのはあまり好きではありませんね。これもあるあるだけれど。

実際動かしてみて、1000人近いユーザーがブロックリストに載るはずと思ったのですが、なぜか30人ぐらいしかブロックされていませんでした。バグかな?

こういうサービスは今初めて出てきたわけではなく、これまでも何回も出てきて、そのたびに話題になり、そのたびに議論が巻き起こります。「知らない人の意見を聞けるのが twitter のいいところなのに、不快な意見や人を全部排除してどうする?」という反論もよく聞かれるところ。

でもね、余裕がない時に自分に賛同しない意見ばかりを大量に浴びるのもまた、心に良くないかもしれません。これも毎回の議論で出てくるところですが、こんなツールに頼りたくなるぐらいならツイッターを止める/休む、というのもあり。むしろそっちの方がいいようにも思います。

via Hacker News

Buskill - 抜いたらPCが壊れるUSBキルコード。いつ家に押し入られてもデータは安心

Fri, 18 Feb 2022 00:00:00 +0000

BusKill はパソコンのUSBソケットに挿すデバイスで、抜くとPCの中身が破壊されるソフトウェアとセットになったシステムです。

「キルコード」というのは、機械の利用者につけておいて抜けたら機械が止まることで利用者の安全を守るコードのこと。身近な例としては、トレッドミルから落ちた時にトレッドミルが止まるコードがそうですね。「デッドマン装置」という呼び方もあります。

ジェットスキーや小型船舶、芝刈り機などでも、操縦者が落ちたり転んだりした後にプロペラやカッターが転んだ操縦者に切りかかってこないよう、外れると止まるキルコードを使うのが推奨されています。

パソコンを使う際にそんな物騒なものがなぜ、誰に必要か? ということですが、たとえばこんな時。

突然誰かが部屋に侵入してきて、認証が終わった後のアクセス可能になっているラップトップを奪われたとしたら? パスワードやディスクの暗号化をしても、このケースでは情報の流出は防げませんね。

そこでBuskill でPCと自分をつなげておくと、PCから離れてしまった瞬間にPCが自己破壊を始めるという対策なわけです。

http://localhost:8099/wp-content/uploads/2022/02/busKillDemo.webm

悪事を働いていて警察に逮捕される場合もあれば、反体制派の政治家や都合の悪い報道をするジャーナリストが腐敗した政府に逮捕される場合もあり、こういった仕組みでセキュリティレベルを上げること自体は善悪に関係なく需要がありそうです。他に、暗号通貨のトレーダー、軍関係者、旅行先のカフェでPC作業をする旅行者、なども利用者足りうるのでは、と書かれています。

うっかりトイレに行ってもPCを破壊してしまうので、常時使うのも怖いですね。今いる環境のリスクの度合いに応じて、切れてから破壊するまでの時間を調整するとかの運用になるんでしょうか。

個人的にはあまりこういう仕組みのお世話になるような環境に身を置きたくないですが、世界には必要な人も確実にいることでしょうね。

引っ張ると抜けるキーとカラビナまでのセットが$99だそうです。

kwprocessor - パスワード推測のためのキーボード・ウォーク・ジェネレーター

Tue, 17 Aug 2021 00:00:00 +0000

hashcat/kwprocessor は、キーボード上で上下左右に図形を描くことで作れるタイプのパスワード文字列を類推し、総当たりのリストを生成するためのジェネレーターです。

キーボード配置から作ったよくあるパスワード

昔からよくあるパスワードの作り方として、例えば “qwerty” なんていうのがあります。キーボードの左上から順番に右へ一文字ずつ打っていくとこうなりますね。大昔はこれでも「ランダム」で「推測されにくい」パスワードだったのかもしれません。

しかし、とある2020年のありがちなパスワード・ランキングだと、“qwerty” はなんと12位。“1234” や “000000” よりも良く使われ、そして当然ながら流出しているそうです。

他にもこのパターンのものが多数ランク上位に出ているようです。

キーボード配置からパスワードを作る

「横一列だから甘いんだ。縦も横も使えば難しいパスワードが作れる」と言う人もいるかもしれませんが、本当でしょうか?

kwprocessor は、キーボード上で縦・横にキーを選んでいった際にできる文字列を生成するというツールです。

この図だと、q から始めて右に3個、下に1個、左に3個、という逆コの字型の並びを示すわけですが、kwprocessor はこのような並びでできる文字列を一括で生成してくれます。

ubuntu$ ./kwp --output-file results.txt basechars/q.base keymaps/en-us.keymap routes/2-to-16-max-3-direction-changes.route

これで出来上がるのが以下のようなファイル。1200行ほどの冒頭です。

qa qw q1 qaz qwe qwer qwert qwerty qwertyu qwertyui qwertyuio qwertyuiop qws q1q qwq q1` qas q12 qaq qw2 qwsx q1qa qasd q123 qaq1 q1qaz qasdf q1234

Usbkill - USB端子の抜き差しでPCをシャットダウンさせるツール

Fri, 07 Aug 2020 00:00:00 +0000

hephaest0s/usbkill 、作者によれば「対フォレンジックkillスイッチ」。このツールは、USBソケットへのデバイスの抜き差しを検知したらシャットダウンを行う、という Python 製のスクリプトです。

利用用途の一番目に書いてあるのが「警察や賊が部屋に踏み込んで来た際に」というのもすごいですが。

本当かわかりませんが「警察はPCを押収した際によくカーソルを動かし続けるだけの疑似マウスデバイスを挿す」そうで、操作をし続けることでPCがスクリーンセーバーに切り替わらない=パスワードを必要なロック状態にしない、ようにするそうです。

しかし、この Usbkill を動かしていれば、そういった調査ツールを挿された時点で自動的にPCはシャットダウンされてしまう、というわけ。ディスクの暗号化を行っていれば、シャットダウンされたPCから強制的にデータを抜き出すこともできなくなるので、PCの内部データが無理やり引き出される心配がない、と。

さらなる生活の知恵として、手首に紐を巻いて、紐とつないだデバイスをUSBソケットに挿す、というのも紹介されています。PCの前から強制的に引きはがされたり、PCだけ掴んで持ち去られようとした時に、紐によってUSBデバイスが抜けるため、このスクリプトが働いて自動的にシャットダウンする、というわけですね。

USBデバイスのIDをあらかじめ登録しておくことで、既知のデバイスについては抜き差ししても発動しないようにできます。

正義の警察に踏み込まれる犯罪者にせよ、独裁国家の警察に踏み込まれる自由主義者にせよ、こんなことに気を配ってPCやネットを使うような生活はしたくないものだと思います。

ツールはLinux/*BSD/MacOS に対応しています。PCの内容を絶対に他人から隠したいと言う人は導入してみてはどうでしょうか。

via Hacker News

LockScream - MacOS X のロックスクリーンを偽装してパスワードを横取りするツール

Fri, 21 Jun 2019 00:00:00 +0000

悪用しか使い道が無いように思えますが、GitHub で公開されてて入手できるツールです。

LockScream は、Mac で動かすと本物のスクリーンロックに代わって画面をロックするツールです。

起動すると OS に設定した本物の壁紙を表示し、メニューやドックを非表示にし、いろいろなキー入力を無効にします。画面を見ていつものロック画面だと思い込んだユーザーは、ロックを解除しようとパスワードを入れるわけですが、この LockScream がその入力されたユーザー名やパスワードを横取りできてしまえるというわけです。

パスワードはこのツールの裏側で本物のOSに問い合わせられるため、ユーザー名・パスワードが合っているかどうかも正しく判定でき、でたらめなパスワードでは(本物と同じように)エラーになります。動作も本物と同じため、パスワードを奪われたこと自体に気づくこともないでしょう。

横取りしたパスワードは特定のファイルに XOR + Base64 エンコードされて保存されるので、後でこのファイルを回収すれば、所有者のユーザー名/パスワードが入手できてしまいます。

仕込む際と取得したパスワードを回収する際の2回、アンロック状態のMac にアクセスできないといけないので、うかつなユーザー相手でなければそんなに誰でもが引っ掛かるわけではない、かもしれません。

攻撃者としては、ウェブからダウンロードさせて仕込むとか、回収したパスワード情報をネット経由でどこかに送信させるとか、複数の手法を組み合わせることで盗むよう全体を設計するのでしょうね。

ここまで偽装されると、ロック画面がニセモノだと気づいて回避できるかどうか自信がありません。こういったツールが仕込まれないように、アンロック状態でPCを放置しない、がまず重要かと思います。

Eye Disk - 虹彩認証で「ハック不可能(unhackable)」を謳ったUSBメモリのパスワードが簡単に見えてしまう

Mon, 13 May 2019 00:00:00 +0000

Kickstarter でプロジェクト成立した Eye Disk は、内蔵カメラで利用者の目の虹彩パターンをチェックし、登録した本人だけがその内容にアクセスできるというクールなUSBメモリです。

… 製品が額面通りのものであれば。

https://www.kickstarter.com/projects/eyedisk/eyedisk-unhackable-usb-flash-drive

本人の目の虹彩パターンに合致しないと中身にアクセスできないUSBドライブ。万一虹彩認証が通らなかった時には、登録しておいたパスワードでも解除ができます。

プロジェクトのトップには “unhackable USB Flash Drive” (ハック不可能なUSBフラッシュドライブ)と大書きされ、本文の途中にも「最もセキュアなUSBフラッシュドライブ」と書いてあります。

しかし先週末に、侵入テストの会社ペン・テスト・パートナーズのデビッド・ロッジさん(David Lodge)が、Eye Disk が本当にハック不可能かどうか検証する記事を上げています。

実際にこの Eye Disk を入手したロッジ氏は、まずハードウェア面を分解して調べます。分解しにくく成形されたUSBドライブについてきた小さな内蔵カメラは目の個人差の特徴をよりよく取得するためか赤外線フィルタが外されていて、他にはUSBコントローラ、カメラコントローラ、NANDフラッシュなどのチップが載っています。

特殊なチップは無さそうなので、虹彩認証の処理はソフトウェア側であろう、と、目星をつけましたが、Visual C++ のコードをデコンパイルして追跡するよりも、とPCとの間の通信を Wireshark で sniff することにしたそう。

SCSI コマンドでリクエストが飛んでいることを見つけた後、実際に自分が設定したパスワードを入れてUSBドライブの中身をアンロックしようとすると、SCSIコマンドのパケット中に自分が入れたパスワードが平文で見えてしまいました。

さらに悪いことには、間違ったパスワードを入れてもデバイス側の正しいパスワードが返送される仕組みになっているというのです。

デバイスに保存されているパスワードをPC側のソフトウェアが平文で入手し、それとユーザー入力のパスワードを比較する、というセキュリティ的にダメダメな作りになっていたという結論を、Eye Disk 側に4月上旬に通告したそうですが、修正の時期や既存ユーザーへの告知を尋ねるメールから一か月の猶予期間に返答が無かったため、今回の情報公開となりました。

ロッジ氏の Eye Disk ベンダーへのアドバイスは、「『ハック不可能なデバイス』という有りもしない(ユニコーンのような)宣伝をしたがるのではなく、デバイスをテストして見つかったバグは直しましょう」だそうです。

Kickstarter でのキャンペーンが開始した時に、複数の人がツイッターで

Need a free security assessment performed? Just say it's "unhackable".https://t.co/vEEpvLIIpO
— Paul Seekamp (@nullenc0de) November 25, 2018

「セキュリティの専門家に評価してほしい? だったら『ハック不可能』って書くといいよ」といったコメントを既に書いていました。

営業的には大きく打ち出したいのかもしれませんが、“unhackable” という宣伝文句が hack できる人たちの興味を引き、製品のいい加減さが露呈することになった可能性もありますね。

電動キックスクーターシェアリングの LIME、案内音声をハックで差し替えるイタズラに遭う

Wed, 24 Apr 2019 00:00:00 +0000

オーストラリア、ブリスベンのカンガルーポイントで、LIME 社のシェアリング電動スクーターが複数台同時にハックされるという事件が発生しています。

Brisbane: Lime Scooter users are reporting bizarre voice messages when connecting and disconnecting from rides. Video: Josh Clarke. https://t.co/OyAjjYtcq8 #7NEWS pic.twitter.com/IQ66yrF4tr
— 7NEWS Queensland (@7NewsBrisbane) April 22, 2019

ステーションに並んだスクーターが、一斉に「一緒に乗りましょう」「私を連れまわして」などと喋っています。

オリジナルの内蔵音声が、何者かの手によって書き換えられたのではということです。

こちらの動画では、スクーターを勝手に持ち去った際の警告が差し替えられています。

ニュースでも「差別的」と言っていますが、移民風の喋り方などがそれにあたると感じられているのでしょう。

LIME や競合の Bird の電動キックスクーターについては、無料で解錠して乗るハックや、リモートから突然ブレーキを掛けるハックも出ていて、YouTube を検索すれば多数出てきます。

欧州中心に電動キックスクーターのシェアが爆発的に広がっているようですが、本体の電子部分が Bluetooth で簡単にアクセスできるタイプのものが有ったり、セキュリティ面で心配な事件も多いようです。

via Brisbane Times via Reddit

ワードプレステーマ販売の Pipdig が、顧客サイトを使って競合にDDoSを掛けていた

Fri, 12 Apr 2019 00:00:00 +0000

ブログツール WordPress の有料デザインテーマを販売する Pipdig が、販売したテーマの中に競合製品の妨害をするなどのコードを隠し入れていた、ということで騒ぎになっています。

イギリスのジェム・ジャベラ氏(Jem Jabella)のレポートが口火を切った疑惑は、Pipdig の売っているテーマが利用している Pipdig Power Pack (P3) プラグインの動作に関するもの。

さまざまな「特権的」コードの混入

「有料テーマを買って入れたら、ワードプレスのサイトがおかしな挙動を示すようになった」と顧客から調査を頼まれた彼女は、サイトがひどく遅くなっていることに気づきます。P3 プラグインがその原因だろうと突き止めた彼女は、P3が以下のようなことをしていると突き止めたと言います。

利用者ブロガーのサーバーを使って、競合のウェブサイトに DDoS を掛ける
利用者ブロガーのコンテンツ内のリンクを変更し、競合サイトの紹介リンクをPipdig へのリンクに変更する
GDPR違反となるような許可の無い利用者ブログの情報を収集する
管理者パスワードを変更して利用者ブログへのアクセス権を得る
データベースの全テーブルを削除するスイッチを内蔵
Pipdigが不要と判断する他のプラグインを、ユーザーに問い合わせることなく無効化
ワードプレス本体や他のプラグインが出す警告を隠す

ジェムさんはこれらのコードの該当部分それぞれを記事中で解説していますが、実際の実行コードを外部のサイトから取得して動かしていたりする作りもあり、ある時点でその外部コードを調べても空ファイルだったり、無害なコードだったりと、すぐには何をしているのかわからないように工作されているようです。

管理者のメールアドレスをテキストファイルに出力し、そのログインパスワードを変更する機能などもあり、これが(WordPress に詳しくない)ユーザーをサポートする際に使おうという機能ではないかという擁護もありましたが、サポートを依頼したユーザーだけでなく全利用者に対して使えるようになっていることなど、Pipdig に対する疑念が表明されています。

別の操作。Bluehost という競合のテーマが有効になっていたら、そのキャッシュ機能を切り、WordPress公式に偽装したドメインに置いたコードを実行した上で「サイトが遅くなってますか?」というメッセージを表示させてた、というもの。

Another one from the @pipdig plugin. If you use one of their themes on @bluehost then they intentionally slow your website down by disabling the BlueHost cache plugin, then they can inject content with the title "Is your host slowing you down?" CC @jemjabella @heyitsmikeyv pic.twitter.com/48DUXsDyBj

「あなたの友達を助けて」でFacebookアカウントを乗っ取る攻撃

Wed, 18 Oct 2017 00:00:00 +0000

Accessnow が新種のフェイスブック乗っ取り攻撃の流行を警告しています。

今回流行している手法は、Facebook のヘルプにもある、「信頼できる連絡先」を使ったアカウントへのアクセス回復機能の真似をするというもの。

これは、Facebook 上で選んでおいた信頼できる友人/連絡先の協力を得て、パスワード忘れなどの時にアカウントに再アクセスするというものです。今回の攻撃は、この機能を使っている「かのように」見せかけることで別の重大な情報を奪取しようとします。

手順が図で紹介されています。

攻撃者はまず、ターゲットの知り合いのアカウントを(例えば今回の手法で)乗っ取ります
次に、ターゲットのアカウントの復活を Facebook 上で申請します
Facebook は2段階認証のため、ターゲットに SMS を送ります
同時に、(1の)ターゲットの知り合いアカウントから、「アカウント復活にそのコードが必要」とメッセージします
ターゲットは、SMS のコードが(自分のアカウントの再設定用ではなく)知り合いのアカウントを復活させるために必要と信じ、コードをその友人にメッセージします
攻撃者は SMS のコードを使ってターゲットの Facebook アカウントを奪取できます
攻撃者は、乗っ取ったターゲットのアカウントを使ってターゲットの知り合いに1.から同じ攻撃を繰り返します

今はまだ英語による攻撃が流行しつつある状態だそうですが、同じことは日本語でも当然できてしまうので、近いうちに同様の攻撃が届くかもしれません。

信頼できる連絡先を使ってのアカウント回復では、数名の友人にバラバラにコードが送られて繋げて使うのですが、回復に使うコードがどんなものか知らなかったり、以前に経験していても忘れてしまったりするでしょうから、友達からタイミング良く偽メッセージが来たら、うっかり教えてしまう人もいるでしょうね。

知ってると知ってないでは騙されやすさもかなり違うと思うので紹介しました。

Galaxy S8の虹彩認証、早くも写真で突破される

Wed, 24 May 2017 00:00:00 +0000

目のパターンを読ませて本人しか使えないようにする虹彩認証、自分の体でスマートフォンをアンロックできるのでとても便利そうな機能ですが、サムソンの新機種 Galaxy S8 の虹彩認証が、写真とコンタクトレンズで突破できてしまう、という検証動画が公開されてしまいました。

カオス・コンピューター・クラブ(Chaos Computer Club, CCC)なるグループが公開したこの動画では、誰もが手に入る道具だけを使っての再現方法が紹介されています。

正面写真の撮影は夜間モードで。

プリンターで印刷した本人の写真そのままではなく、上にコンタクトレンズを置いてます。レンズの球面が効いてるんでしょうか。

指紋認証の時も、寝ている人の指紋を型取りして、なんていうハックがあったかと思いますが。普通に正面から写した写真でアンロックできてしまうのでは、単体の鍵としてはあまり使えないかもしれませんね。認識の部分の改善に期待したいところです。

[追記 2017-05-27] Gizmodo に対してサムスンから、ニュースは認識しており、テスト等で厳しくチェックしているが、もし新たな問題があるならできるだけ早く解決するよう努力する、といった内容のコメントが返されたということです。

via Motherboard

ネット対応インターホンが「まったく知らないどこか他人の家の玄関」を映していたというバグ

Wed, 01 Jun 2016 00:00:00 +0000

https://www.flickr.com/photos/xlivexalivex/5730231009

Ring 社の Doorbell Pro は、インターネットのクラウドサービスに接続できる玄関用のインターフォンです。

外出先からでも、スマートフォン等で訪問者の様子を確認できる、という機能も販売ページでは強く打ち出されています。

他にも、カメラに映る玄関前の特定の領域を指定し、そこで動きがあったら警告を受け取れる、など、自宅を守りたいというセキュリティ意識の高いユーザーに好まれそうな機能を持ったIoTガジェットですね。

しかし、このDoorbell Proユーザーの中から、「自分の家のインターフォンに、まったく知らない他の景色が映っている」という声が挙がったというのです。

このユーザーからの相談を受けた Android Central が、Ring 社に問い合わせをしたところ、Ring社はソフトウェアバグによる間違いが「一部のユーザーで」発生していたことを認めました。

Ring社では、Doorbell Proの一台一台に、ランダムに振った重複しないIDを持たせているそうで、このIDを使ってどこに設置されたDoorbell Proかを判別しています。

しかし、ベータ版の運用に参加していた初期ユーザーの機材については、ベータの時に使ったデータベースで割り振ったランダムIDを持っていたのですが、本番運用に移行した際に、別の新しいランダムIDを与えてしまっていたということ。その結果として、機材が認識している自分のIDと、本番運用のデータベースが知っているIDが一致せず、自宅の玄関を映そうとしたらまったく違うユーザーの玄関が映るという事故が発生していた、と。

「実際に映像の取り違えが起こったのは、一日に処理される400万回のうち、10件にも満たない」とも説明しており、たまたま気づいたユーザーが、Ring社ではなくブログメディアに伝えたためにバグの存在が発覚した、という感じでしょうか。

「家の中が見られたとかならともかく、どこかわからない遠い他人の家の外の景色が見えたことはたいした問題ではないだろう」というコメントもありますが、セキュリティのための商品ですから、ユーザーや製品ファンの中にはがっかりした人もいるのではないでしょうか。

しかし、呼び鈴がなってインターフォンを見たら、まったく知らないどこかで知らない誰かが映っていた、というのは、ちょっとSF的な体験かもしれないなあ、とも思いますね。

Google曰く「Google.comはちょっと危ないよ」

Wed, 20 Apr 2016 00:00:00 +0000

Hacker News に出てた小ネタ。

危ないスクリプトなどを実行させようとするような危険なウェブサイトを見つけたり警告してくれたりするセーフブラウジングの機能で、自分自身のドメイン google.com に「一部のページに不正なコンテンツが含まれています」という警告が出てしまっているようです。

「このウェブサイトの一部のページが、訪問者のパソコンに不正なソフトウェアをインストールしています。」とか「このウェブサイトの一部のページが、訪問者のパソコンに不正なソフトウェアをインストールする危険なウェブサイトに訪問者をリダイレクトしています。」とか。

多数のサービスで膨大なページを提供していますし、ユーザーが作ったコンテンツを公開するようなサービスも多いですから、google.com のどこかでは、怪しいファイルが混入することもあるかもしれないですよね。

それをきちんと見つけて警告しているとしたら、むしろうまく仕組みが動いているのかも。すぐに対策が取られて除去されるのではないでしょうか。

google.co.jpをチェックすると「危険ではない」とでますので、とりあえず .co.jp の方を使えば安全? (違うって)

ヨーロッパ自転車泥棒選手権 - ローマ・アムステルダム・プラハの「盗まれやすさ」競争

Tue, 24 Nov 2015 00:00:00 +0000

European Bike Stealing Championships(全欧自転車盗難チャンピオンシップ)は、自転車に関するオンラインメディア We Love Cycling が開催した、ヨーロッパのどの都市で自転車が一番盗まれやすいかを競う競技です。

2015年の第一回大会に出場した「最悪の都市」候補は次の3都市。

「自転車泥棒」のロケ地、イタリアのローマ
ヨーロッパ中で人気の自転車生産地オランダ、その最大の都市アムステルダム
中古自転車ショップ網の発達で、7台盗まれたうちの1台しか持ち主に戻ってこないというチェコのプラハ

高級自転車を各都市の賑やかな表通りに停め、カメラを使って遠くからそれを監視します。自転車には、遠隔操作で爆発して色のついた粉を巻き上げる仕掛けもしてあり、自転車のすぐ横には「We Love Cycling」と書かれたトラックが停まっています。

競技開始は動画の1:00辺りから。人通りの多いところだけあって、派手な自転車が無造作に立て掛けてあることに気づく人はやはりいますね。タイヤにちゃんと空気が入ってるかチェックしたりして。

We Love Cycling では、自転車を盗難されにくくする方法や、中古自転車を購入する際に気をつけること、など、自転車のオーナーに対する啓蒙を続けていきたい、ということです。

https://www.amazon.co.jp/dp/B000068RHJ

via YouTube

不倫サイトの流出データからわかった、人気の高い「嘘の誕生日」

Thu, 27 Aug 2015 00:00:00 +0000

不倫希望者マッチングサービスAshley Madisonの利用者データ流出がニュースを賑わしています。世界中の3600万人ユーザーの登録データがBitTorrentなどのファイル共有で流れているということで、この興味深いビッグデータを使った解析や評論などもぽつぽつと登場しています。

米ワシントンポストが取り上げたのが、登録者の誕生日情報。こちらのツイッターのメッセージでも表の部分が共有されています。

左の赤い表が、流出ユーザーの誕生日の設定の多寡。横軸が月、縦軸が日の一年間で、色の濃いところほど、平均よりも多くのユーザーが誕生日と指定している日となります。

人がいつ生まれるかはおおむね平均化されているとすれば、ある一日を見たときにその日が誕生日の人は全体の1/365の割合でいるはず。しかし、一番集中している元旦1月1日は、利用者全体の実に12分の1が誕生日と指定していたそうです。

他に赤色の濃いところを見ていくと、月を1月にしたまま日だけを変更したケース、日を1日にしたまま月だけを変更したケースとして、表の左端と上端が濃くなっています。また、2月2日、3月3日… と、ゾロ目の誕生日も登録者が多いです。

他に多いのが記念日系。2月14日のバレンタインデー、4月20日の大麻の日、7月4日のアメリカ独立記念日、なども、覚えやすい嘘の日として愛用している人がいるようで、うっすらと濃くなっていますね。日本人だと何の記念日を使うかもわかると面白そうです。

右の青い表は生まれ年の分布ですが、こちらは実際に利用者が多い1980年代を中心に分布しているものの、末尾が0や5とキリの良い年が少し多かったりします。一番多い生まれ年は1978年だったそうですが、これはもしかしたら登録時のデフォルトだったのかもしれません。

ワシントンポストも、「この統計からネットユーザー一般が同じ傾向で嘘の誕生日を使うとは断言できない。なんとなれば、このデータは(妻や夫に対しての)嘘つきを集めたものだからだ」とまとめているので、嘘の誕生日を使っている人の率は多少一般より高いかもしれません。

ただ、僕もそうですが、明らかに正確な生年月日を必要としないだろうwebサービスから生年月日を問われた時に、本当のものではない生年月日を使う人はそれなりにいるのではないかと思います。

ネットのサービスで本当の誕生日を入れるものなのか?

誕生日というのは結構プライバシー的に重要なデータで、役所でも企業サービスでも本人確認の為に求めらることがそれなりにあります。本名と誕生日、電話番号などだけで本人確認としてしまうようなサービスだと、他人に誕生日を知られてしまっただけで自分に成りすまされてしまうということもあるでしょう。

今となっては、「誕生日を知ってるから本人」なんて運用は危険この上ないとは思いますが、ソーシャルネットワークの流行などから後、多くのネットサービスで当然のように誕生日を尋ねてくるようになりました。ソーシャル系のサービスではつながっている友人に対して機械的に友人の誕生日を通知し、交流を活性化させようとしたりもしているので、誕生日の祝い祝われが大事なユーザーは本当の誕生日を入れがちになるかもしれません。

via The Verge

野良WiFiで政治家らのサボり状況を収集した海賊党若手リーダー

Fri, 06 Mar 2015 00:00:00 +0000

スウェーデン海賊党は、スウェーデン国内の議会の議席は今は失っていますが、欧州議会には議席を持っているぐらいの、実在する政党です。

そのスウェーデン海賊党の26歳の青年部会(youth wing)代表グスタフ・ナイプ氏が仕掛けたのが、セキュリティ・防衛関連のカンファレンスでのWiFiハニーポット。

誰でも繋げる無線LANスポットをカンファレンス会場で作成し、それを見つけて接続し、使ってしまった100名ほどの政治家・軍人・ジャーナリストなどのアクセスログを記録してしまったのです。

彼らがカンファレンス中にこのハニーポットWiFiに接続して送ったメッセージやメール、アクセスしたサイトのURL、などの中には、たとえば、軍事・セキュリティの第一人者が「休日」や「森歩き」といった検索をしていた履歴などがあったということ。給料を貰って「仕事としてカンファレンスに参加しているはずの人たちがそういうことをしていたとは恥ずかしいことだ」とはナイプ氏の評。

同意無しにログを集めたことに対するソーシャルメディアでの批判も出たようですが、ナイプ氏としては個々のユーザーのプライバシーを暴く目的ではなく、全体として統計処理をしてジャーナリスティックに扱うことに問題はないはずだ、というスタンス。むしろ罪があるとすれば、政府のサーバ等につなげられるような人が野良WiFiに接続してしまうことの方では、と辛辣です。

海賊党といえば、著作権や特許などの権利が強すぎる、もっと弱めるべき、といったネットユーザーの主張から始まった政治勢力で、「海賊」という名前も「海賊版」から来ているわけですが、著作権強化への反対だけでなく、個人のプライバシーを守ることや、インターネット上の監視や検閲を無くすことも主張していて、今回の活動はそのアピールの一つのように見えます。

インターネット上に流れるデータを政府や軍は監視可能であるべき、といった安全保障上の主張に対しても、海賊党は反対の立場を取っています。今回の行動は、必要があるから自由に監視して良いのだ、という主張をする人に対する皮肉な反撃となったようです。

まあやってることは際どすぎるようにも思うのですが、日頃「監視せよ」「監視したい」と主張している立場の人が今回のWiFiに繋げてネットアクセスをしていたら、肝を冷やしているかもしれません。

via Ars Technica

Awesome Screenshot が閲覧したサイトのURLを収集している疑い

Fri, 22 Aug 2014 00:00:00 +0000

ブログ mig5.net のMiguel Jacqさんの記事によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページに訪問したかをネットのどこかに送信する機能があるようです。

Jacq さんは、自分が管理するOSSECのサーバー上の Drupal の、ログインしないとアクセスできない管理画面の複数のURLに対して、“niki-bot"という名前のbotがアクセスしてくるのをアクセスログから発見しました。

外部から知りえないURLがアクセスされるからには、メンバーの誰かのクライアント側からURL情報が外部に漏れているのはと考えたチームは、内部で使われているブラウザ拡張を精査し、Diigo社のChrome拡張 Awesome Screenshot がURLをネットに対して送信していることを見つけた、ということです。

このAwesome Screenshot拡張、ブラウザ上で画面を画像として保存できる拡張機能で、日本語化もされています。メインの機能自体は使いやすいと評判が良いようで、日本語で推薦するブログ記事もいくつも見つかります。

しかし、この拡張をオンにしてウェブを閲覧していると、見ているページのURLが、Base64 エンコードを(なぜか2度)掛けて ld.crdui.com というドメインへ送られているというのです。

無関係なサーバに閲覧履歴を送る、なんてことをしているからには、当該部分のコードは、当然難読化されているのかと思いましたが、拡張のソースコードを見てみると tr.js というファイル中で送り先のURLや情報を送信するコードが隠されもせずに普通に読める形で書かれていますね。

SimilarWeb の元データ?

こちらのページでは、このAwesome Screenshot 拡張が7つもの外部のサーバにアクセスしていることを問題にしていますが、lb.crdui.com もこの7つのうちの1つで、webovernet.com にリダイレクトします。このwebovernet.com は SimilarWeb のサイトだと主張している人が複数います。

SimilarWeb は、「このサイトを見ている人はこちらのサイトも見ています」というのを調べたりできるwebサイトです。サイトのページビューや訪問者数などの推測データも出してくれる数少ないwebサービスですが、以前から、どうやって色々なサイトのアクセス数などをそこそこ正確に推測できているのか、不思議に思われていました。

もし、Awesome Screenshot などのブラウザ拡張が SimilarWeb にユーザーのアクセスしたURL情報を横流ししているとすれば、サイトのトラフィックを推測できるのも道理です。

冒頭のbot、niki-bot の使っていたIPアドレスが、以前にSimilarWeb.com の使っていたアドレスだったという証拠も出てきました。

以上から、niki-bot = crdui.com = SimilarWeb が同じ運営者によるものという可能性は高いでしょう。

スクリーンショットを撮るために、どうして訪問したサイトのURLを外部に送信しなければいけないのか、Awesome Screenshot のインストールページには説明がありませんし、このURL送信を止めるオプションも無いようです。

パスワードなどの認証ではなく、URLのアドレスをランダムで長い文字列にすることによって関係者にしか開かれないページを作ったり共有したりできるサービスも多いですが、こういった擬似的な秘密ページも、そのまま送られてしまっては秘密でなくなります。

AlexaのAPIを使う拡張などで、閲覧ページの情報を収集するようなものもありますが、ユーザーが把握していたり、前記のような秘密のURLの収集をしないように対策するなど、ある程度のセキュリティーへの配慮をしているものもあります。しかし、この Awesome Screenshot のように何も予告せずに勝手に集めるというのは問題でしょう。URL がわかると限定公開の意味がなくなってしまうようなサービスの訪問アドレスも区別無くすべて送っているとなれば、悪用される可能性もあります。

この拡張、URL以外のもの、例えばwebサイトで入力した内容までも送っているのでは、と言っている人もいますが、Jacq さんの調査ではURLしか送られていないようだということ。

スーパーボウルのセキュリティ司令室が、WiFiのパスワードをテレビに大写し

Mon, 03 Feb 2014 00:00:00 +0000

アメリカでは、今まさに年一回のスーパーボウルのゲーム中ですが、このアメリカで最も人気のあるゲームの数時間前に、テレビ局がネットセキュリティ絡みのポカをやったようです。

スーパーボウル・セキュリティ司令センター(Super Bowl security command center)を紹介するCBSネットワークが全米に流したのがこれ

左下に大きく、無線LANのパスワードが映ってます…

しかも、そのパスワードは普通の英単語(welcome!here = ようこそここへ)をいわゆる leetspeak で単純変換しただけの非常に単純なもの。welcomeとあるので、管理者ではなくゲスト用のパスワードではないか、という擁護もredditでは出ていますが、それにしてもねえ。

右下のテロップは「司令センターの秘密を本邦初公開」と言ってますが、公開しすぎじゃないでしょうか。

[追記]

ちょっと信じがたい話なので、元の記事にも当記事にも「フェイクでは?」という反応もあります。

この件 http://t.co/ydsCa26GXF を始めとしてみんな壮大に釣られているような気がしないわけでもない...
— Neutral8✗9eR (@0x009AD6_810) February 3, 2014

やはり元の動画が無いと、ということでもう少し調べたところ、CBS自身がこの映像をサイトで公開しています。1:20 に上記の画像と同じシーンが登場するのですが、

その前のシーンの遠景では問題の部分が白っぽい背景に何か模様があるのに対して、

同じシーンでは、パスワードが表示されていた、と言われている箇所が、灰色で塗りつぶされています。

動画で見ると、スクリーンに灰色の四角が表示されているというよりも、動画を加工して灰色に塗りつぶしたように見えるので、やはり元々は最初の写真のようにまずい情報が映り込んでいたのを、ウェブでの公開に当たって隠したということかな、とも思うのですが。

まあ、CBSが全国放送で元々灰色で一部を隠した動画を公開し、そこに誰かがパスワードの画面を嵌め込んだ、という逆の可能性も無いとはいえないのかな。これ以上はCBSを録画してた人の検証が出てくるかどうか。

via reddit, ZDNet

テレパスワード - あなたのパスワードの陳腐度を当てるサービス

Mon, 09 Dec 2013 00:00:00 +0000

マイクロソフト研究所の公開したTelepathwords (Telepath + Password)は、あなたが入力した弱いパスワードを警告して当てる実験サービスです。

テキストボックスに、パスワード候補としたい文字列を打ち込んでいくたびに、このサービスが、「次にこの字を使おうとしてるでしょう?」と、3つの候補を表示してきます。

このサービスでは、辞書にある文字列や、よくパスワードに使われる文字列をデータベースとして持っており、それと照合することで、次にユーザーが入れそうな文字を予測するということです。o(オー)を0(ゼロ)に置き換える、ような単純なものも、ちゃんと予測してきます。

予測できてしまうような文字を入れた場合、入力した文字の上に赤いバッテンが表示されます。弱くないパスワードとされるには、×のつかない文字を5つ以上含ませる必要があります。ポケモンのモンスター名のほとんどを知っているなど(英語の名前は違うものも多いでしょうが)、いろんな辞書を持っているようです。

海外のサービスなので、たぶん英語の辞書を中心にチェックしているのだと思います。今は、日本語をローマ字で入れたら、推測されることはかなり減ります。

サービスでは、マウスの動きや、文字を打つ間の時間なども測定しており、今後の研究に生かすとしています。

今でも、パスワードを設定するフォームにおいて、あまりにも簡単なパスワード(“1234"とか"password"など)は受け付けなかったり、辞書にある単語だけ入れたら「パスワードが弱い」と警告したり、というフォームは多いですが、そういうところでユーザーが入れようとしたパスワードを先読みして教えるというのは、単純すぎるパスワードを使おうとする利用者への警告の役割を果たすかもしれないですね。

via Telepathwords: How Bad are Your Passwords?

世界の大型個人情報流出をまとめたインタラクティブグラフ

Mon, 26 Aug 2013 00:00:00 +0000

Informaition is Beautiful(情報は美しい)が作成したWorld’s Biggest Data Breaches(世界最大のデータ流出)は、これまでの大型のデータ流出事件を集めて可視化した、インタラクティブなチャートです。

ここでは、3万件以上の顧客情報を流出した企業やwebサービスが記録されています。デフォルトでは、

流出した時期が縦軸に2013年から2004年まで、
左から右へアルファベット順に、
流出したデータの件数の大きさに応じたサイズの丸が

描かれています。それぞれの丸にカーソルを置くと、“read a bit more"というリンクが表示され、実際にどんな情報流出が発生したのかを、もう少し詳しく知ることができます。

リンク先で実際に触ってみてもらうのが一番です。

また、チャートの上にある"Method of Leak"を選ぶと、情報が流出した原因・経路で色分けされます。右上の"Filter by"で、流出原因の一覧を見たり、絞込み表示したりできますが、流出原因としては、以下に分類されています。

間違って公開された
ハックされた
内部者による
パソコン紛失・盗難による
記録メディアの紛失・盗難による
セキュリティレベルが低かった
不明
コンピューターウィルス

多いのはどれでしょうか? ハックされた、が一番多いですね。次が間違って公開された。3万件以上の流出(で事件が判明して公開されているもの)は、ウィルスとか盗難というのはそれほど多くないのだなとわかります。

“Data Sensitivity"を選んだら、流出件数ではなく流出したデータの重要さに応じて丸のサイズが表示されるように変わります。

via Data breach interactive chart shows major increase in security flaws | VentureBeat

Vistaの音声認識セキュリティホールに思う

Fri, 02 Feb 2007 00:00:00 +0000

via Vistaで勝手にファイルを削除されるセキュリティホールが見つかるなど

たとえば「ファイルを削除」といった音声をMP3ファイルに録音し、友達に送ります。それを友達が再生すると、マイクが認識してしまえばそのとおりに作動してしまいます。

マイクロソフトから、このセキュリティホールの存在を認めたという返事を貰ったというGeorge Ouの話では、この問題は

マイクとスピーカーがつながって
音声認識機能がオンになっている

という状況でのみ発生するらしい(そりゃそうだ)。とりあえずの回避策は、

マイクやスピーカーを切れば、このセキュリティホールは発動しない。
コマンドを実行するような音楽ファイルを開いてしまったら、メディアプレイヤーを閉じ、音声認識機能をオフにして、コンピュータを再起動するべきということ。(間に合うのだろうか)

いろんなところで、「良くないコマンドを実行させる音声ファイルを送りつけて」みたいに書かれているけど、そんなことしなくても、開くと音が鳴るウェブページに誘導するとか、YouTube等に最初は魅力的な動画で、途中でいきなりコマンドを喋る動画をアップロードするとか、任意の音を鳴らすだけならいろいろありそうな気がする。

# これまで、その手のいたずらは起こってないのかな。動画の途中からいきなり不快なものを挿し込むとか。

MSの回答はもちろん今危険にさらされている人のための暫定的な対策で、今後ちゃんとした対策を考えるのだと思うけど、音声認識機能をあきらめる、という以外の解決法ってどういうものだろう?

OSが音楽を鳴らすときに、「これはOSが鳴らしてる音だよ」みたいな識別信号を(人間に聞こえない周波数で)混ぜたりするのかなあ。しかし、単純なものならそれを含めて音声を作ればいいわけで、そうすると識別信号に時間情報やシステム固有のキーを入れるとか…

それか、自分の出した音をちょっとだけ覚えておいて、それを入力の音声から差し引くとか…

なんにしてもリソースを喰いそうだなあ。CPUベンダーとかハードベンダーが喜ぶかも。