興味を持った記事(2020年12月24日)

• 今年もサンタをネットで追いかけよう！ | ギズモード・ジャパン

セキュリティ

• 落書きじゃない!?「天気の子」放送記念、都バスの窓に結露で見える広告 - AV Watch
  • 都内を走る都営バス6台の窓に、結露防止スプレーで加工した特殊広告を掲出。窓が結露すると、まるで誰かが落書きしたかのような手書き文字風の放送告知が出現する。
• NISC、年末年始休暇に伴うセキュリティ上の留意点公開 | ScanNetSecurity
  • 1.テレワークに関するセキュリティリスク
    2.最近のマルウェアに関するセキュリティリスク
    3.最近の脆弱性に関するセキュリティリスク
    4.システム更改時等の作業誤り等に関するセキュリティリスク
    5.長期休暇明けの大量のメール確認による不注意がマルウエアの感染につながる不審メール等を開封するリスク
    6.長期休暇中に発見・公表された脆弱性、関係機関からの提供情報、OS、ソフトウェア等への対応遅延リスク
    7.長期休暇中のインシデントに対して監視の目が届きにくくなるリスク
    8.長期休暇中に発生したインシデントが適切に担当者に伝達されないリスク
  • 年末年始休暇等に伴うセキュリティ上の留意点について(NISC)
• プレス発表　テレワークのセキュリティに関するアンケート調査結果の中間報告を公開：IPA 独立行政法人 情報処理推進機構
  • 5割が「テレワーク中の取引先に不安」　セキュリティ対策の周知に課題か - ITmedia NEWS
  • 回答者のうち、取引先企業がテレワークを実施している人の51.0％が「（取引先に対して）不安に思っていることがある」と回答。理由として「情報が漏えいしても経路を判別しにくい」（27.1％）、「テレワークで利用するPCやスマートフォンなどのセキュリティ対策が不十分」（24.1％）、「テレワークを行う自宅やオフィスなどのセキュリティ対策が不十分」（23.2％）などが上がった。
• 「なんで私の家にあるCDがヤフオクに」　渡辺直美がCDの盗難、転売被害を訴える - ねとらぼ
• エハラマサヒロ、フィッシング詐欺で約50万円の被害告白　「このログイン画面ニセモノなんだぜ…」と詐欺ページ公開 - ねとらぼ
• トレンドマイクロ、「2021年セキュリティ脅威予測」公開 | マイナビニュース
  • Nデイ脆弱性は、該当のソフトウェアやシステム開発企業から公開開示文書などが公開されており、悪用できる方法を探しているサイバー攻撃者にとって、悪用できる脆弱性の特定が容易だという。加えて、2020年は当社でVPNの脆弱性を狙う攻撃を多く確認したほか、同社が観測した複数の攻撃キャンペーンでも既知の脆弱性が多数悪用されていたことを確認しているという。
  • 2021年セキュリティ脅威予測 | トレンドマイクロ セキュリティブログ
• 使い終わったドメイン名が狙われている――DNSの設定ミスに付け込む攻撃「DNSテイクオーバー」とは【Internet Week 2020】 - INTERNET Watch
  • サブドメインテイクオーバーは、外部サービスの利用開始時に設定したCNAMEリソースレコードやA/AAAAリソースレコードが削除されずに残っていることに付け込み、その設定を利用してそのサブドメインの利用を引き継いでしまおうというものである（図5）。例えば、自組織のサブドメインがCDNのサーバーを指定している設定が残っていた場合、第三者が同じ名前のサーバーをそのCDNに再設定できれば、第三者によるサブドメインの引き継ぎが成功してしまうことになる。
• 【セキュリティ ニュース】「Oracle WebLogic Server」に対する脆弱性攻撃、断続的に観測（1ページ目 / 全1ページ）：Security NEXT
  • Oracle WebLogic Server の脆弱性（CVE-2020-14882）を標的としたアクセスの観測等について | 警察庁 @police
  • Oracle WebLogic Server の脆弱性（CVE-2020-14882）を標的としたアクセスの観測等について
• 令和２年11 月期観測資料 | 警察庁 @police
• 元カノにGPSをつけられていた頃に位置ズレのせいで勘違いされて刺されかけた話…「GPSをつけられるって時点で怖い」の反応も - Togetter
• デジタルアーツ、BYODを推進する教育機関と家庭向けにフィルタリングソフト「i-フィルター」を特別価格で提供：EdTechZine（エドテックジン）
• IT連が企業のセキュリティーを採点、説明責任が高評価の11社とは | 日経クロステック（xTECH）
• テレワークのセキュリティ あんしん無料相談窓口 | セキュリティ対策のラック

• 【セキュリティ ニュース】「Lazarus」が新コロ研究情報を物色 - 政府や製薬企業に攻撃（1ページ目 / 全2ページ）：Security NEXT
• 「ゼロトラストは信頼しないから絶対安全」は誤解――「7つの脅威」とその防御策：働き方改革時代の「ゼロトラスト」セキュリティ（9） - ＠IT
  • しかしながら、ゼロトラストアーキテクチャ（ZTA）においても脅威は存在し、対策を講じる必要があります。
    NISTのSP 800-207では、ゼロトラストアーキテクチャにおける脅威を7つに分けて解説しています。
    1.ゼロトラストアーキテクチャの決定プロセス転覆、破壊
    2.サービス拒否、ネットワーク中断
    3.クレデンシャルの窃取、内部脅威
    4.ネットワークにおける可視性
    5.保存されたネットワーク情報
    6.独自のデータフォーマットへの依存（ベンダー依存）
    7.AIによるゼロトラストアーキテクチャの管理
• 脱獄必要なし。Root化済みiPhoneが出荷開始 | ギズモード・ジャパン
  • 実はアップル、今年はじめにiOSの脆弱性を発見するためのプログラム｢Apple Security Research Device Program｣を公開していました。このプログラムでは、Root化されたiPhoneが研究者に提供されます。
• 最強メッセンジャーアプリ「Signal」の暗号が破られたとの報道をSignalが真っ向否定 - GIGAZINE
• Microsoft自身が提供 ～「Edge」の保存パスワードを「Chrome」で利用可能にする拡張機能【レビュー】 - 窓の杜
• AWS 認定セキュリティスペシャリティ試験合格へ向けてやったこと | Developers.IO
• シャープ、UTMアプライアンスのWi-Fi対応モデルを2021年1月に発売　チェック・ポイントのエンジンを採用 - クラウド Watch
  • UTM製品「BP-X1CPシリーズ」において、Wi-Fi対応モデル「V80W（スタンダード）」（以下、V80W）を2021年1月中旬より販売開始すると発表した。ゲートウェイでのセキュリティ対策に加えて、無線LANアクセスポイントの機能も1台に集約可能なため、企業のネットワーク／セキュリティ環境の運用効率化を支援できるとしている。価格はオープン。
  • UTMのベースエンジンには、チェック・ポイント・ソフトウェア・テクノロジーズ（チェック・ポイント）のものを採用し、セキュリティ対策能力と高速処理を両立させているとのことで、1500Mbpsのファイアウォールスループット、340Mbpsの脅威対策スループットを提供できる。さらに、検知・防御した脅威やリスクの高いアプリケーションの利用状況などを報告するセキュリティレポートを毎月メールで配信するサービスも付属しているとした。
• 【セキュリティ ニュース】「Apache Struts 2」RCE脆弱性に悪用報告 - 早急に対処を（1ページ目 / 全1ページ）：Security NEXT
  • Apache Struts 2に脆弱性、本脆弱性を悪用した攻撃も観測 | ScanNetSecurity
• iPhoneのiMessageにひそむ「ゼロクリックの脆弱性」でジャーナリストが政府からハッキングを受ける - GIGAZINE
  • ジャーナリスト37人ものiPhoneがゼロクリック攻撃によりハック。政府による監視の疑い - Engadget 日本版
  • Citizen Labの調べによると、ハッキングには「KISMET」と呼ばれるiMessageのエクスプロイトが使用され、標的となったiPhoneユーザーのジャーナリストらは不審なメッセージの受信や危険なURLへのアクセスをすることなくスパイウェアに感染させられたとのこと。
• パスワードレス認証導入その後｜ころちゃん｜note
  • 基本的なPC版のフローとしては、Emailでmagiclinkを送信し、メール内に埋め込まれたURLをクリックで認証完了する。モバイルでは認証コードを使用する。
• Zoom、M1 Macに最適化 - ITmedia NEWS
  • Rosetta 2によるIntelプロセッサエミュレーションで動作している前バージョンからアップデートできる他、Arm64版インストーラーのダウンロードも可能だ。M1 MacはRosetta 2でもグリーンバックが利用できるなど、ローエンドIntelプロセッサ使用モデルよりも高速に動作していた。
  • ZoomがApple Siliconにネイティブ対応したよ〜 | ギズモード・ジャパン
• 2020年のセキュリティニュースを振り返る　標的型ランサムウェアはまだまだ健在か - ITmedia エンタープライズ
• 福岡市職員が書類送検、ファイル共有ソフトで児童ポルノ動画拡散 | ScanNetSecurity
  • これは福岡市道路下水道局の係員（男性、20代）が、自宅のパソコンでファイル共有ソフトを利用して入手した児童ポルノ動画を他者が閲覧可能な状態にしていた容疑で警視庁の捜査を受け、12月14日付で書類送検されたというもの。
• 経済産業省、経営者へサイバー攻撃の注意喚起 | ScanNetSecurity
  • 昨今、中小企業を含む取引先や海外展開を進める企業の海外拠点、さらに新型コロナウイルスの感染拡大に伴うテレワークの増加に起因する隙など、攻撃者が利用するサプライチェーン上の「攻撃起点」が拡大し、大企業・中小企業等を問わないランサムウェアによる被害が急増、機微性の高い情報の窃取を目的とした海外拠点を経由した攻撃の深刻化が進む現状を解説。
• 複数のセイコーエプソン製品、作成された自己解凍形式ファイルにおけるDLL読み込みに関する脆弱性 | ScanNetSecurity
  • JVNによると、セイコーエプソン株式会社が提供する複数の製品で作成された自己解凍形式ファイルには、DLLを読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定のDLLを読み込んでしまう脆弱性（CWE-427）が存在し、想定される影響としては、自己解凍形式ファイルを実行している権限で任意のコードを実行される可能性がある。
  • JVN#94244575: 複数のセイコーエプソン製品で作成された自己解凍形式ファイルにおける DLL 読み込みに関する脆弱性
    • この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
    • 東内さんじゃなかった・・・
• プルーフポイント、2021年注目の7つのセキュリティ予測発表 | ScanNetSecurity
  • 1. ランサムウェアはOneDriveやSharePointだけでなく、S3やAzureなどのクラウドリポジトリを攻撃に利用する
    2. マルウェアは、引き続きシステムの脆弱性よりも「人」の脆弱性を利用し、LOLBinを使う
    3. ビジネスEメール詐欺（BEC）の成長は鈍化するが、サイバー犯罪による損失の最大の原因となり続ける
    4. クラウドのアクセス許可やトラストメカニズム（OAuth、SAMLなど）を悪用しMFA（多要素認証）を回避するテクニックが増える
    5. オートメーションは追加機能ではなく標準機能になる
    6. COVID-19が収束すればセキュリティ予算は元に戻るが、スタッフの配置は今後も課題
    7. サイバー犯罪者グループ間での協力と相互作用が促進され、攻撃が強化される
• 一体どうバランスを取るか？ 高度なサイバー攻撃対策 ＆ 日々のセキュリティ運用 | ScanNetSecurity
• ASCII.jp：ZOZOの「DB秘密情報取扱いガイドライン」とSQL Server実装例 (1/2)
  • 11月24日に行われたZOZOテクノロジーズ ECプラットフォーム部 テックリードの廣瀬真輝氏によるセッションでは、ZOZOテクノロジーズが現在運用中の「データベースの秘密情報取扱いガイドライン」を策定するまでの具体的な作業の流れと、策定したガイドラインをSQL Serverへ実装する方法が紹介された。
• 新「Microsoft Edge」のWindows 7/Server 2008 R2対応が半年延長、2022年1月15日まで - 窓の杜
  • 米Microsoftは12月17日（現地時間、以下同）、「Chromium」ベースの新しい「Microsoft Edge」のWindows 7/Server 2008 R2対応を、2022年1月15日まで延長すると発表した。同社は当初、2021年7月15日までサポートすると発表していたが、半年延長された。
  • Googleも今年11月、新型コロナウイルス感染症（COVID-19）の感染拡大で旧OSからの移行が遅れているとして、「Google Chrome」のWindows 7対応を6カ月延長。2022年1月15日まで利用できるようにしたが、Microsoftもそれに合わせた格好だ。
• よりよくわかる認証と認可 | Developers.IO
  • 動画にあるように、認証と認可の違いは、以下になります。
    認証とは、相手の身元を確認すること。
    認可とは、権限を与えること。
• 【セキュリティ ニュース】Dell製シンクライアントOSに深刻なRCE脆弱性 - 更新や運用環境の確認を（1ページ目 / 全2ページ）：Security NEXT
• 【セキュリティ ニュース】Citrix製仮想デスクトップに複数の脆弱性 - 権限昇格のおそれ（1ページ目 / 全1ページ）：Security NEXT
• 楕円曲線と暗号(東京理科大学理工学部数学科談話会 光成滋生)
• Installing Sophos Home on M1 Apple computers (ARM) – Sophos Home Help
  • However, Apple offers a way for users to run applications that do not yet support M1, by using their new translation feature called “Rosetta 2”. We expect to have support for the M1 systems by mid-2021, and we will update this article as soon as new information becomes available.
• Multi-Stage Programming、そして脆弱性レジリエンス × Clean Architecture 〜 ScalaMatsuri2020 登壇者インタビュー - Visional Engineering Blog
• 【セキュリティ ニュース】最新版「CentOS 8」も2021年末でサポート終了 - 大幅方針転換で混乱も（1ページ目 / 全2ページ）：Security NEXT
  • 実稼働環境で「CentOS 8」を使用している場合など、ニーズに「CentOS Stream」が合致しない場合は、「RHEL」へ移行するよう促した。
• パスワードレスな認証方式やアカウントリカバリーについての振り返り2020
  • いわゆるパスワード認証において、パスワード認証とメールやSMSによるアカウントリカバリーを組み合わせるのが一般的です。
• MicrosoftやGoogle、CiscoなどがWhatsAppスパイウェア訴訟でイスラエルのNSOに抗議 | TechCrunch Japan
• IAM ロールの PassRole と AssumeRole をもう二度と忘れないために絵を描いてみた | Developers.IO
  • Batchi on Twitter: "清書したら「雑」感がなくなってしまった https://t.co/e91vvbS5KQ" / Twitter
• NICT、野村HD、野村證券、東芝、NECで国内初となる量子暗号技術の共同検証を実施 | ScanNetSecurity
• セキュリティジャーナリスト吉澤亨史 バイリンガルライターになるまで 第1回「パロアルトネットワークス染谷征良氏の人生を変えた一言」 | ScanNetSecurity
  • 今回は、パロアルトネットワークスのサイバーセキュリティ ストラテジストである染谷征良氏にお話をうかがいました。染谷さんがトレンドマイクロに在籍していた頃「Trend Micro CTF」で司会を務め、すべて英語で進行する姿は格好良く強く印象に残りました。
• ドメイン管理事業者 GoDaddy へソーシャルエンジニアリング攻撃、仮想通貨サービス企業はどこまで被害を受けたか | ScanNetSecurity
• 2021年の国内IT市場でカギになるのは「DX」「AIによる自動化」「次世代インフラ」「クラウドセントリックIT」など、IDC Japanが予想 － Publickey
• CIAやNSAの元職員が語る中国との情報戦争の経緯とは？ - GIGAZINE
• 欧米の法執行機関、サイバー犯罪者愛用のVPNを差し押さえ、ユーザー特定 - ITmedia NEWS
• リモートワーク文脈で超低コスト擬似DNSを社内で提供しました。 - エニグモ開発者ブログ
• 大阪府警の森田巡査部長が国際的サイバーセキュリティコンテストで連続入賞 | 日刊警察
  • 大阪府警本部サイバー犯罪対策課情報解析係の森田賢司巡査部長が、「SANS」が主催する国際的なサイバーセキュリティコンテストで3年連続の入賞（上位5位）を果たした。
• 次世代暗号技術「量子暗号通信」金融業界で国内初の実証実験 | IT・ネット | NHKニュース
• Microsoft、McAfee、Citrixなど、ランサムウェア対策タスクフォース「RTF」結成 - ITmedia NEWS
  • MicrosoftやMcAfeeなど19社が団結してランサムウェア対策チームを結成 - GIGAZINE
• コンテナが攻撃されたらホストも危ないの？――クラウド利用時の「コンテナセキュリティ」の基礎知識：親子の会話から学ぶクラウドセキュリティ（終） - ＠IT
• 我々はメールをどうしたらいいのか？　今使っているアカウントで10年後も乗り切れるか考えてみよう (1/2) - ITmedia NEWS
• レジストリクリーナーを使うのはやめて？ ～Microsoftがサポート文書で呼びかけ - やじうまの杜 - 窓の杜
  • いささか旧聞に属する話ですが、Microsoftはレジストリクリーナーの類をWindowsで使ってほしくないのだそうです。
  • しかし、最近のPCは十分なリソースがあり、無理な“最適化”を行わなくても十分なパワーがあります。また、OSやアプリケーションも日々の改善により堅牢になりつつあります（例外は常にありますが）。たとえばストアアプリであればレジストリの書き込みは仮想化されたハイブにリダイレクトされます。要するに変なレジストリ編集をしてもシステムに悪影響が及ぶことはありません。従来よりシステムクリーナーの重要性は大きく低下し、メリットよりもデメリットが目立つようになったのです。
• パスワード付き圧縮ファイルという習慣を襲う、IcedIDによる攻撃 | マイナビニュース
• 埼玉県警でリモート方式のサイバー攻撃対策演習を実施 | 日刊警察
• 【セキュリティ ニュース】Treck製「TCP/IPスタック」に複数脆弱性 - リモートよりコード実行されるおそれ（1ページ目 / 全1ページ）：Security NEXT
  • Treck TCP/IP Stackに複数の重大な脆弱性、CISAがアドバイザリを公開 | マイナビニュース
  • JVNVU#94736763: Treck 製 IP スタックに複数の脆弱性
    • また、図研エルミックが提供する KASAGO は Treck 社の IP スタックと同じ起源の製品であり、同様の脆弱性が存在します。詳しくは図研エルミックが提供する情報 (KASAGO製品における脆弱性に関するお知らせ) を参照してください。
  • Treck TCP/IP Stack | CISA
  • Vulnerability Response Information - Treck | Embedded TCP/IP | Internet Protocols
• IIJの現場エンジニアが議論！テレワークのセキュリティで気を付けることは？【IIJ Technical WEEK 2020】 - INTERNET Watch
  • 「クラウドが止まって電気が消せない」「VPNへの攻撃」……IIJが今年のセキュリティ課題を振り返る【IIJ Technical WEEK 2020】 - INTERNET Watch
• “chkdsk”でシステムが破損、起動不能に ～「Windows 10 バージョン 2004/20H2」の2020年12月更新 - 窓の杜
• 「Emotet」また襲来　「メリークリスマス」「賞与支給」などの件名でだます - ITmedia NEWS
  • メールの添付ファイルを通じて感染するマルウェア「Emotet」（エモテット）の攻撃メールが、年末になって再び出回り始めたとして、情報処理推進機構（IPA）が注意喚起している。「クリスマス」や「賞与支給」など、年末に関連する件名や添付ファイル名で、受信者をだまそうとしているという。
  • マルウェアEmotetの活動再開（2020/12/21-）と変更点 - bomb_log
    • 土日休んでる？！
• そのSMS、安全ですか？自分で調べてみる方法について | IIJ Engineers Blog
• 2020年末に期限切れになるルート証明書。「削除しないで」とMicrosoft - PC Watch
  • これらの証明書は下位互換性のために必要である。なぜならば、その有効期限が切れる前にその証明書を使用して署名されたものはすべて、信頼されたルート証明書を使って検証する必要があるからだ。もしこれらの証明書を削除してしまうと、機能が制限されたり、最悪の場合OSやコンピュータ自身が壊れてしまう。
    ちなみにこれらの期限切れ証明書は、互換性のためにWindows 10にも多数存在しており、不用意に削除しないで残しておくよう、Microsoftは案内している。
• CVE-2020-17053： Internet Explorerの新たな脆弱性について解説 | トレンドマイクロ セキュリティブログ
• 正規コミュニケーションアプリに便乗する手口について解説 | トレンドマイクロ セキュリティブログ
• 標的ネットワークを侵害するクロスプラットフォームのモジュラー型マルウェア「Glupteba」 | トレンドマイクロ セキュリティブログ
• 令和2年12月23日 国立研究開発法人情報通信研究機構視察 | 令和2年 | 総理の一日 | ニュース | 首相官邸ホームページ
• 【Googleドライブ編】「パスワード付きZIP」廃止、じゃあどうすりゃいいのか：Tech TIPS - ＠IT
• Android 7.1以前の証明書問題が解決。向こう3年間はひきつづき安全なウェブ閲覧が可能に - Engadget 日本版
  • これは、現行のLet's Encrypt発行の証明書が、別の認証局であるIdenTrustの「DST Root CA X3」という認証局によって相互署名されることで世界中のウェブサイトへの安全なアクセスを可能としているものの、その有効期限が2021年9月30日で切れてしまうため。
  • この問題に関してIdenTrustとLet'sEncryptは、期限切れになるIdenTrustのDST Root CA X3から、Let's EncryptのISRG Root X1に署名を行う相互署名(クロスサイン)を行うことで合意したと発表しました。この措置によって、DST Root CA X3を使う古いAndroidデバイスでも、向こう3年間はISRG Root X1を使うのと同じ効果を得ることができます。DST Root CA X3は期限切れになるため、本来ならばこれは無効な措置ですが、Androidが実装する証明書取り扱いの仕様上、有効に機能するとのこと。いわばウラ技的な解決策と言えるでしょう。
• 任天堂がゲーム機を解析するハッカーの身辺調査を行い接触しようとしていたことがリークから判明 - GIGAZINE
• IPAがシステム開発のモデル契約書 第二版公開、セキュリティ仕様書の作成プロセスを明確化 | ScanNetSecurity
  • 独立行政法人情報処理推進機構（IPA）は12月22日、これまでの検討を取りまとめ「民法改正整理反映版」に民法改正に直接かかわらない論点の見直しを加えた「情報システム・モデル取引・契約書」第二版を公開したと発表した。同時に、「第二版」から参照されるセキュリティ基準等公表情報の一例として「情報システム開発契約のセキュリティ仕様作成のためのガイドライン」と「セキュリティ仕様策定プロセス」も公開した。
• Microsoft版 2020年セキュリティ動向 総括 | ScanNetSecurity
  • 2020年は、3つの注目すべき動向によりサイバーセキュリティの脅威が大きく変化した年であったとして、一つ目に「国家レベルの攻撃の意思そして技術力が継続的により強固なものになってい」ることを挙げ、テクノロジ企業SolarWinds提供のネットワーク管理ソフトウェアに仕込まれたマルウェアによってサイバーセキュリティ企業 FireEyeが攻撃されたニュースでも明らかになり、その後、複数の米国政府機関に侵入が行われたこともニュースとなった。
  • 二つ目の動向として、PSOA（private sector offensive actor: 民間セクター攻撃主体）という略語で呼ばれるようにまでになった「新たな世代の民間企業、言わば21世紀の傭兵によるサイバーセキュリティ攻撃の民営化の進展」を挙げ、典型例の企業の1つとしてイスラエルに拠点を置くNSO GroupによるPegasusというアプリ開発と政府機関への販売を紹介している
  • 三つ目の動向として「サイバー攻撃と COVID-19 による相乗効果」を挙げ、サイバー攻撃者は、病院、地方自治体、WHO（世界保健機構）などの公衆衛生当局に標的を定め、人類がワクチンの開発を進める中、同社のセキュリティチームは、3グループの国家レベル攻撃者が、COVID-19のワクチンと治療に直接的に関与する著名企業7社を標的にしたことを発見している。
• Emotet感染狙ったメールが再び活発に　感染時の影響範囲と対策は - ITmedia エンタープライズ
• #NoMoreFake 第1回「切り取り報道」 | ScanNetSecurity
  • 「人は見たい情報だけしか見ないし、信じたい情報だけしか信じないからね」
• 決済システムを設計するときに忘れてはならないたった１つの大切なこと - shiodaifuku.io
• オープンソースかつ自サーバー上でホスト可能な認証プラットフォーム「SuperTokens」が登場 - GIGAZINE
• イスラエル8200部隊出身のガチプロハッカーに、一流のハッカーになる方法について聞いてみた。 - Qiita
• 警察はiPhoneのパスコードをわざわざ破らなくてもあっさりiPhoneに侵入できるとの指摘 - GIGAZINE
  • 「結論から言うと、警察はiPhoneのパスコードを推測していません。警察が使っているのは、iPhoneのパスコードではなく持ち主がそれを入力した事実そのものです」と述べています。
  • グリーン氏によると、iPhoneの状態は「電源を入れた後、最初にアンロックする前」と「アンロックした後」の2つに大別することができるとのこと。ユーザーがiPhoneをアンロックすると、iPhoneはパスコードを使って複数の暗号化キーのセットを作成します。この暗号化キーはiPhone内部のメモリに格納され、ファイルシステムの暗号化に使われます。
  • その後、ユーザーがiPhoneを放置したり電源ボタンを押したりして端末がロックされると、暗号化キーセットの一部はメモリから削除されますが、一部は削除されずに残ります。この削除されなかったキーと、OSのセキュリティ対策を回避できるエクスプロイトを使うと、iPhoneの中にあるファイルの大半に自由にアクセスできるとのこと。これが、前述の「FBIがひそかにスマートフォンの暗号を突破する能力」の正体だというのが、グリーン氏の見解です。
• テレワーク時のセキュリティを強化するサービスをSBTが提供開始 | マイナビニュース
  • SBテクノロジー(SBT)は12月23日、ゼロトラストセキュリティを実現し、リモート環境のレジリエンスを強化する3つの新サービス「セキュリティアセスメント 中長期ロードマップ作成サービス」「Microsoft Defender for Endpoint向けスレットハンティングサービス」「Microsoft Defender for Endpoint向けリモートフォレンジックサービス」の提供を開始した。

• 2020年のセキュリティニュースを振り返る　標的型ランサムウェアはまだまだ健在か - ITmedia エンタープライズ

■2020年のセキュリティ事件に関する意識調査
順位 セキュリティ事件（時期） 認知度（％）
1 携帯電話会社の電子決済サービスを通じて、利用者の預金が何者かに不正に引き出されたことが判明（9月） 59.2
2 ゲームメーカーが2020年11月16日、サイバー犯罪集団からの不正アクセスを受け、顧客や取引先に関する情報が最大で35万件流出した可能性があると発表（11月） 37.7
3 AI（人工知能）を利用してポルノ動画に写った人物の顔を芸能人の顔にすり替えた“ディープフェイクポルノ動画”を公開したとして、男性2人を名誉毀損と著作権法違反の疑いで逮捕（10月） 36.5
4 COVID-19対策として10万円の特別定額給付金の給付が各自治体で始まるなか、自治体などのWebサイトを模倣したフィッシングサイトを相次いで確認（5月） 35.4
5 米海軍が「サイバーセキュリティの懸念」を理由に、政府支給のモバイルデバイスで中国製アプリ「TikTok」の使用を禁止（2019年12月） 35.1
6 総合電機メーカーがサイバー攻撃を受け、個人情報や機密情報が流出したおそれがあると発表（1月） 33.5
7 総合電機メーカーに対するサイバー攻撃で、防衛関係の機密情報が同社から漏えいした疑いがあることが判明（5月） 32.9
8 納税などに関する大量の個人情報や秘密情報を含む地方自治体の行政文書が蓄積されたHDDが、ネットオークションを通じて転売され、流出（2019年12月） 31.4
9 「Zoom」の「Windows」版クライアントについて、攻撃者がグループチャットのリンク共有機能を悪用した場合、リンクをクリックした人のWindowsのネットワーク認証情報が漏えいする可能性があることが明らかに（4月） 30.9
10 電気通信事業者などを傘下に置く持株会社の機密情報を不正に取得したとして、同社元社員を逮捕。容疑者が取得した機密情報は、在日ロシア通商代表部の職員らに譲渡されたとみられる（1月） 30.2

SolarWinds

• SolarWindsハッキング事件について現在までわかっていること | ギズモード・ジャパン
• Microsoft社長が「過去10年で最も深刻なサイバー攻撃の1つ」と語るSolarWindsの「Orion Platform」に対する攻撃とは？ - GIGAZINE
• 米政府機関へのサイバー攻撃、「50の組織に実際の影響」か - BBCニュース
• SolarWinds悪用攻撃、Intel、Cicso、NVIDIA、VMwareも──Wall Street Journal報道 - ITmedia NEWS
• 「Sunburst」の被害はどこまで？　SolarWinds Orionを介した攻撃の詳細と対策方法 - ITmedia エンタープライズ
• CISA Releases CISA Insights and Creates Webpage on Ongoing APT Cyber Activity | CISA

宇宙

• 中国の月面サンプル回収班、凍てついた大地で強化外骨格を着て作業していた | ギズモード・ジャパン
  • カプセルは中国北部の内モンゴル自治区に着陸し、回収班は雪が積もる極寒の地で作業を行ったのでした。
• かくして「はやぶさ2」は帰還し再び旅立った、完璧な成果は3号機につながるのか (1/5) - MONOist（モノイスト）
  • 初号機と異なり、はやぶさ2はここまでノートラブルで、機体は健全な状態だった。それに対し、初号機は満身創痍（そうい）。燃料漏れで化学推進系（RCS）も使えず、なんとか地球にたどり着いたという状況で、本体の再突入を回避するような余力は既になかった。今回の地球帰還こそ、初号機が本来見せたかった運用なのだ。
  • JAXAは、少ない予算の割にはよくやっている、という見方もできる。しかし、少ない予算で大きな成果を得ようとすれば、本来不要だったはずの苦労が生じたり、そうした無理による失敗が増えたりする。機会が少なければ、失敗を極度に恐れるようになり、チャレンジングなこともやりにくくなってしまう。
    宇宙開発には、直接的・短期的な数字には表れないさまざまな効果がある。日本がもしこれからも科学技術を大きな柱にしていくのなら、せめて国力に見合うだけの投資は必要だろう。プロジェクトが完璧に成功したときくらいは、ストレートに言わせてほしい。もっと宇宙開発関連の予算を増やして、と。
• 米宇宙軍のメンバーの名称は｢ガーディアン｣だって | ギズモード・ジャパン
  • 本当に、はやぶさ2のミッションは、リュウグウでの困難があったものの、最後まで完璧だった

鉄

• JR九州、自動運転列車を営業開始へ　運転士は当面乗務：朝日新聞デジタル
  • 運転士が白色の「走行開始要求ボタン」二つを同時に押すと、列車がゆっくりと動き始めた。アクセルとブレーキを担うレバーには一切触れず、運転士は左手を赤い非常停止ボタンに添えたまま、前方の安全確認に集中していた。次の駅に近づくと速度が自動的に落ち、ホームでぴったり止まった。ぎくしゃくした動作はなく、乗り心地も普段と変わらなかった。

IT

• 検証環境のURLが入ったメールを本番環境のユーザーに送ってしまった話 - Qiita
  • 検証環境のWorkerが本番の東京リージョンのMaill Queueからメッセージを取得してしまいました。
  • 検証環境のWorkerが本番環境のMaill Queueからメッセージを取得したことにより、検証環境のURLを埋め込んだ状態で本番環境のユーザーにメールを送ってしまいました。
• ドバイでNFCチップを爪に貼るネイルサロンが登場。連絡先やSNSのURLなどデータ保存＆支払いが可能 | ギズモード・ジャパン
• Web会議のエフェクトツール「mmhmm」、2021年春にWindows対応へ　プライベートβ版を提供開始 - ITmedia NEWS
• M1対応Premiere Proのパブリックベータがきた。パフォーマンスすごい！ | ギズモード・ジャパン
  • M1対応で一番気になるのは、パフォーマンスの向上でしょう。例えばPremiere ProでYouTube向けに動画をエンコードすると、かかる時間は16インチインテル版MacBook Pro＜13インチM1版MacBook Pro＜＜＜＜13インチインテル版MacBook Proという結果に。おお、やっぱりM1スゴイぞ！
• ソフトバンクがLINEモバイルの完全子会社化と吸収合併を検討 - ITmedia Mobile
• まず、磁石をご用意ください。AirPods Maxを超省エネモードにするライフハック | ギズモード・ジャパン
• mineoのSIMフリーiPhone 8、2万9760円で買えるじゃーん | ギズモード・ジャパン
• Appleの新画像フォーマット・ProRAWとは？ どう使うの？ | ギズモード・ジャパン
  • Sandofsky氏は、ProRAWとは｢両方のいいとこどり｣なのだと強調しています。つまりプロなカメラマンを満足させつつ、初心者にもRAWへの道を開いてくれるのだと。シリアスなカメラマンがたいていは端折ってしまう編集ステップは自動処理されますが、それでも通常のiPhoneカメラで撮った写真よりははるかに多くの情報量が残っています。
• 「ソースコードは全て公開が条件」の衝撃――OSSを賢く利用するための勘所：いまさら聞けないOSSの基礎知識（終） - ＠IT
• 大学でRustを教えた話 - 未完成な論を綴るブログ
• Microsoftの「Flight Simulator」がVR対応に　OculusやHTCのヘッドセットもサポート - ITmedia NEWS
• SI案件でアジャイル開発を進めるときの勘所 | Ryuzee.com
• 「Python 3.8.7」が公開 ～「macOS Big Sur」対応は未完成、M1ネイティブで動作する「Python 3.9.1」の利用を - 窓の杜

その他

• コロナ禍で「落とし物が激減」 都内の遺失物倉庫はガラガラ…特に減ったモノは？
  • 消えたのは「落とし物」。落とし物が消えたんです。
• スーパーで「半額シール」付け替えた高齢女性　問われたのが「詐欺罪」ではなかった理由 - 弁護士ドットコム
  • スーパーの半額シールを張り替え、精算を誤魔化すーー。昔からある犯罪だが、12月はじめ、和歌山で起きた事件で逮捕された女性（83）が問われたのは、電子計算機使用詐欺罪という聞きなれない罪名だった。
  • 今回の場合、セルフレジでの精算ですので、無人のセルフレジを不正操作した段階では、人の判断作用が介在しないために、詐欺・錯誤の要件が欠け、2項詐欺罪は成立しません。
• 「Apple Card」2021年に日本上陸か？クレカの概念を覆す黒船の正体 | ビジネスを変革するテクノロジー | ダイヤモンド・オンライン
  • そのゴールドマン・サックスの日本法人が、2019年5月に金融庁に対して銀行業免許の申請手続きに着手した。
    実際には、今年9月に金融庁が公開した銀行免許一覧（認可済み社名リスト）にもまだその名は載っていないのだが、同日本法人の社長は、日本版Marcusの展開に意欲を示しており、社内的には日本での一般向け銀行サービス開始に向けて着々と準備が進められているものと思われる。となれば、その中には当然Apple Cardも含まれていると考えるのが自然だ。
    ゴールドマン・サックスに対する銀行免許の認可次第だが、たとえば、イオン銀行では、準備から営業許可が下りるまでの期間が1年5カ月だったことを鑑みれば、2021年には認可される可能性がある。
• シンジ「ガッデム乗ってやるぜ！」　米国の低予算番組が作った「5分で分かる新世紀エヴァンゲリオン」がツッコミどころ満載 (1/2) - ねとらぼ

AI分析でわかった トップ5%社員の習慣