SSHの鍵生成には暗号論的に安全な疑似乱数を使おうという話。 暗号論的に安全ではない疑似乱数がどれだけ危険かというのを、簡単なCTFを解くことで検証してみました。 背景 SSH公開鍵に自分の好きな文字列を入れる、という記事を読みました。 かっこいいSSH鍵が欲しい 例えばこのSSH公開鍵、末尾に私の名前(akiym)が入っています。 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIFC90x6FIu8iKzJzvGOYOn2WIrCPTbUYOE+eGi/akiym そんなかっこいいssh鍵が欲しいと思いませんか？ かっこいい！真似してみたい！ そこまではいいんですが、問題は実装です。 秘密鍵を生成する際の乱数生成には高速化のために Goのmath/randを使っていますが、乱数が用いられるのは公開しない秘密鍵自体であり、このアルゴリズム自体はLagged Fib
© Hitachi, Ltd. 2020. All right reserved. 制御システムセキュリティの標準化動向 ～IEC 62443の最新状況と認証制度の紹介～ 2020年 2月14日 (株)日立製作所 研究開発グループ 藤田 淳也 JPCERT Coordination Center : JPCERT Coordination Center DN : c=JP, st=Tokyo, l=Chuo-ku, o=Japan Computer Emergency Response Team Coordination Center, cn=JPCERT Coordination Center, email=office@jpcert.or.jp : 2021.06.09 10:47:29 +09'00' © Hitachi, Ltd. 2020. All right reserved.
はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 先日のApple発表会では新型のiPhoneやApple Watchなど心躍る製品が色々と発表されましたね。筆者は特に新型iPad miniが心に刺さっています。 さて、今回はApple関連の話として「macOSの暗号化zipファイルはパスワード無しで解凍できる」というネタについて書いていきます。 解凍できる条件 何を言っているんだと思われるかもしれませんが、macOSで作られた暗号化zipファイルは以下の2つの条件を満たす場合にパスワード無しで容易に解凍が可能です。 zipの暗号化方式がzipcryptoである (通常の暗号化zipファイルは基本的にzipcryptoが利用されています) zip内のいずれかのディレクトリの中身が.DS_Storeファイルおよび何らかのファイル1つである このうち1.は基本
ソニーネットワークコミュニケーションズのインターネットワークサービス「NURO光」でレンタルされるネットワーク機器について、NURO光側が管理時に使用するアカウントIDとパスワードが特定されました。このアカウントを利用することで、通常はユーザーがアクセスできない機能にアクセスできるほか、root権限によるコマンド実行が可能になります。 GitHub - meh301/HG8045Q: Pwning the Nuro issued Huawei HG8045Q https://github.com/meh301/HG8045Q/ 目次 ◆1：「HG8045Q」の脆弱性の指摘 ◆2：脆弱性を確認してみた ◆3：新たな脆弱性を発見 ◆4：脆弱性の報告とNURO光の対応 ◆1：「HG8045Q」の脆弱性の指摘 研究者のAlex Orsholits氏によって報告された今回の脆弱性は、通信ネットワーク
Read our description of Zoom’s waiting room vulnerability, as well as frequently asked question about Zoom and encryption issues. This report examines the encryption that protects meetings in the popular Zoom teleconference app. We find that Zoom has “rolled their own” encryption scheme, which has significant weaknesses. In addition, we identify potential areas of concern in Zoom’s infrastructure,
送信元表記が送信者IDのケース SMSのメッセージを受信した際に表示される送信元には、電話番号の代わりに任意の英数字も表記できる。この英数字の送信元表記を「送信者ID（Sender ID）」という。JC3の図では 通信事業者Ａ が送信者IDに当たる。 なお送信者IDの利用可否は受信側の通信事業者の対応状況によって異なる。Twilioの販売パートナーであるKWCの説明によると、日本国内ではNTT DOCOMOとSoftBankが送信者IDに対応し、KDDIは対応していないとのこと²。私はKDDIの回線を所有していないため、受信側がKDDIの電話番号を使用している場合の挙動は検証できていない。 まずはiOSの公式メッセージアプリに届いていたAmazonからのメッセージのスレッドで偽装を試みる。送信者IDは Amazon となっているため、TwilioでSMSを送信する際のFromの値に Ama
やってもうたｗ 2016年3月21日追記：記述が足りないなぁというところもあった＆Redditで「釣りか？」と書かれてしまってたのもあり、少しautorun.exe関連の追加情報（3/18）とかなぜVirusTotalでの日付が古いのか（あたりを中心に補足してます。 機械式4桁番号を設定してデータを守るLockyメモリというUSBメモリを買ってみた。まぁ、なんかおもしろそうだったしｗ。 まぁ、ネタとして買ってみたわけだけど、まさかそれ以上のネタ拾っちゃうとは… あくまでリンク先は「Lockyメモリ関連で最近見た記事」であり、それ以上でもそれ以下でもなかったり。 なんとなく嫌な予感がしたので、Ubuntuマシンで開いてみた。 新品のはずなんだけど、autorun.infと意味ありげなRecyclerフォルダがいますよ… autorun.infの中を見てみたところ。 えーと、なんかRecycl
yebo blog: GnuPG、OpenSSH、OpenSSL間での鍵の変換
2010/07/19 GnuPG、OpenSSH、OpenSSL間での鍵の変換 KerneltrapにGnuPG、OpenSSH、OpenSSL間の鍵の変換方法が紹介されていた。これはいいかも。 投稿者 zubora 投稿時間 06:15 ラベル: Security, Software, Unix 0 コメント: コメントを投稿
yebo blog: ブラウザのプライベート・ブラウズ機能は完璧ではない
2010/08/09 ブラウザのプライベート・ブラウズ機能は完璧ではない スタンフォード大学の研究者がUSENIXセキュリティ会議で、Internet Explorer、Chrome、Firefox、Safariブラウザが持っているプライベート・ブラウズ機能を調査した結果、多くの情報が明かされてしまい、それほどでもないという発表(pdf)をしたとの事[ars technica]。例えば、ブラウザ自身は保護されたとしても、プラグインやアドオンが履歴やCookieを保存していた場合まではプライベート情報を保護しないという事がああげられる。古いAdobeのFlashはCookieを保持していたり、Firefoxは拡張機能にまでプライベート保護をしないという事が分かった。このような指摘を受ければ、各ブラウザで改善されるようになるのだろう。ただ、いくらプライベート・ブラウズ機能があるからといって、他
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
yebo blog: 中国から大規模DDoS?