メモ、iPhone 5s Touch ID のbypass

Chaos Computer Club、iPhone 5sの指紋認証を突破
http://apple.slashdot.jp/story/13/09/23/0553225/Chaos-Computer-Club%E3%80%81iPhone-5s%E3%81%AE%E6%8C%87%E7%B4%8B%E8%AA%8D%E8%A8%BC%E3%82%92%E7%AA%81%E7%A0%B4

『9年前に解説している手順そのまま（注、偽指）、、、ただし、iPhone 5sの場合は解像度を高くする必要がある、、、ターゲットの指紋を2,400dpiで撮影、、、1,200dpiで出力する』

ドイツのハッカー集団、複製した指紋でAppleのTouch IDを迂回
http://jp.techcrunch.com/2013/09/23/20130922hackers-bypass-apples-touch-id-with-lifted-fingerprint/

元記事はこちら
↓
Hackers Bypass Apple’s Touch ID With Lifted Fingerprint
http://techcrunch.com/2013/09/22/hackers-bypass-apples-touch-id-with-lifted-fingerprint/

CCCの声明はこれか
↓
Chaos Computer Club breaks Apple TouchID
http://www.ccc.de/en/updates/2013/ccc-breaks-apple-touchid

あなたが寝ているとき恋人や配偶者はiPhone 5s上の秘密情報を盗み見できる…指に鍵はかけられない
http://jp.techcrunch.com/2013/09/21/20130920fingerprint-unlock-while-sleeping/

Chaos Computer Club が iPhone 5s の指紋センサーを迂回したと発表
http://www.sophos.com/ja-jp/press-office/press-releases/2013/09/ns-chaos-computer-club-claims-to-have-cracked-the-iphone-5s-fingerprint-sensor.aspx

『（指紋認証使用は）よく検討してください、というのが筆者からのアドバイス（長いパスワードを入力する方が安全）』

          とは言えそうですが

『通常のパスコードさえも面倒なユーザーにとっては便利な機能』

///

８月、気になったリンク集

この文書では、Lotus Notes/Domino の索引がどのように機能するかについて説明し
ます。
http://www.ibm.com/support/docview.wss?uid=swg21467469

パスワードリスト攻撃による不正ログイン急増...ID・パスワードの棚卸しと分別を
http://www.dir.co.jp/research/report/esg/esg-news/20130814_007556.html

日本で同じようなアンケートをしたら、どんな結果になるだろう Cybersecurity:
More people over larger budgets
http://wylywade.wordpress.com/2013/08/19/cybersecurity-more-people-over-larger-budgets/

Cybercrime-as-a-Service、基本料金は$5から、コンサルサービスは$1000-$50,000
http://securityaffairs.co/wordpress/16855/cyber-crime/the-rise-of-hacking-services.html

VMware Workstationの共有VMの使い方
http://d.hatena.ne.jp/EijiYoshida/20130819/1376895229 …

結局、日本人は努力の総量が足りない
自分のレポートは、そのテーマに関しては世界でいちばんと胸を張れるくらいクオ
リティを上げろ
http://toyokeizai.net/articles/-/17073?page=5

／／

６月、気になったリンク集

neu.Tutor NAKAMA
https://itunes.apple.com/jp/app/neu.tutor-nakama/id687430276

セッションIDをURLで持つとRefererから流出するおそれがありますが、そのサイト
か...
http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q11111887986

明らかになるダークウェブ　オンラインに移行するブラックマーケット « GQ JAPAN
http://gqjapan.jp/2013/06/27/unravelling-darkweb/2/

The Web Cookie Is Dying. Here's The Creepier Technology That Comes Next
http://www.forbes.com/sites/adamtanner/2013/06/17/the-web-cookie-is-dying-heres-the-creepier-technology-that-comes-next/

Webcam spying goes mainstream as Miss Teen USA describes hack
http://arstechnica.com/tech-policy/2013/08/webcam-spying-goes-mainstream-as-miss-teen-usa-describes-hack/

知らない間にハッカーがWebカメラであなたの写真を撮ってしまうかもしれない -
TechCrunch
http://m.jp.techcrunch.com/2013/06/14/20130613smile-hackers-can-silently-access-your-webcam-right-through-the-browser-again/?utm_source=dlvr.it&

* memo 6/26
interesting person
https://twitter.com/motoikamba

* memo 6/24
‏@NobMiwa
iTunesバックアップのinfo.plistにデバイス名、電話番号とかあるんだね、平文で

‏@masason
株主総会の模様を公開。今まで多くの大ボラを吹いてきましたが、新たな大ボラを
吹きました。
映像 http://bit.ly/19XEPFm  資料 http://bit.ly/12QLFcN


///

六月のWebサイト改ざん事例

有名な組織でもサイトが改ざんされ、その著名度・影響度・件数に加え、ウイルス配信の加害者にさせられているケースが目立ちます。


＜事例＞
   ・トヨタのWebサイトが改ざん、不正プログラムを自動実行する状態に

 「改ざんされていた期間は6月5日午後6時26分から6月14日午後9時47分ま
   で。改ざんされたページを閲覧すると、不正なプログラムが自動的に実行さ
   れる状況だった。 」

「改ざんの内容や不正プログラムによる影響、改ざんの経緯などの詳細は調
  査中としている。Web改ざんに伴う個人情報の流出などは確認していない」

「6月14日に改ざんのあったサーバーを停止、、、復旧予定日は7月上旬。 」

   ・弊社ホームページの改ざんに関するお詫びとご報告（トヨタ）

 「お手持ちのセキュリティソフトを最新の状態にし、ウィルス感染確認・駆
   除の実施をお願いいたします」

   ・ニッセン通販サイトに不正ログイン　個人情報漏洩の恐れ

「１２６人分の個人情報（氏名、住所、生年月日、過去の購入履歴など）が
　漏れた可能性がある。個人情報の改ざんや不正な購入などの被害は確認され
  ていない」

「不正に入手したとみられるメールアドレスとパスワードでログインされた
  のに担当者が気づき、不自然なアクセスを遮断するなどの対策を講じた」

   ・東大病院HP閲覧者にウイルス感染の恐れ

「アクセスした閲覧者がコンピュータウイルスに感染した恐れがある」

   ・科学技術振興機構のWebサイト改ざん、閲覧者にウイルス感染のおそれ

「アクセスした閲覧者のパソコンが、ウイルスによる感染や不正プログラム
  の侵入などの被害を受けているおそれがある」 

「改ざん検知サイトから警告があり、デイリーウォッチャーホームページを
  削除するとともに、サーバーへのアクセス制限を行った。 」

   ・ホームページ再開にあたってのご報告 （ＦＭ群馬）

以上

Windows 8.1 企業向け新機能

北米ＴｅｃｈＥｄで企業ユーザ向けの新機能について発表があったようです。以下、セキュリティ箇所について抜粋・意訳します。誤訳があったら悪しからず。

・ソース　
    What's New For The Enterprise In Windows 8.1
    (Springboard Series Blog 2013/06/03)

・業務データの遠隔削除
　企業データをマーキング、暗号化し、従業員の雇用契約終了時に、ワイプできる。
　企業データとユーザデータとは分離識別可能。
　遠隔ワイプはＥＡＳ and/or OMA-DMプロトコル(*1)のコマンドでワイプします。

　この機能はクライアントとサーバの双方のアプリケーションが対応していなければならない。
　クライアントアプリケーションは、アクセス不可か、ワイプするかを決定する。

　（対応していない場合はどうなるのか疑問ですね）

  *1 ...
    ・EWS (Emergency Warning System)
    ・OMA-DM (Open Mobile Alliance-Device Management)
     

・生体認証改善
　全製品ラインアップでWindowsサインイン、リモートアクセス、UACなどの
　生体認証が可能になります。
　多種の指紋リーダーで指紋認証が可能になります。
　近年のリーダーはスワイプよりも、読み取り精度の良いタッチ式が増えていますが、
　さらに偽指での成りすましも防止します。
　Windows Store Appsへのアクセスは生体認証に基づいて行えるようになります。

　（私が見聞するのと、欧米の状況とは、やや開きがある印象です。
　　指の大きな あちらの方々の指紋認証は容易? ）

・デバイス暗号化
　Windows RT とWindows Phone 8の従来の暗号化が、全Windowsでも可能になります。
　ProとEnterpriseでは、さらにBitLockerで設定でき、管理機能もあります。
　一般向けには、MSアカウントでログオンすると自動的に暗号化されます。(*2)

  *2 ...
  　アドミニストレータ権限でログオンすると暗号化。
　  ドメインに参加していない（消費者向けの）デバイスでは
    （ディスク故障に備えて）修復鍵をSkyDriveに保存します。
    Windows 8.1: High-performance behaviour monitoring for Defender 
     (The H Security 2013/06/27)

　（BitLockerが全Windowsで可能になるのか
　　企業用とコンシューマ用で差別化しているのか
　　よく分かりません。
　　詳しい方、教えてください。）

・Internet Explorer 11
  バイナリが実行される前に入力をスキャンして、マルウェア対策を可能にします。

・マルウェア対策
　MSの無料アンチウイルスであるWindows Defenderは、ネットワーク振舞い監査機能を持ち、
　既知・未知のマルウェアの実行を防ぎます。
　IEもバイナリー（例、ActiveX）をスキャンします。

・アクセス適用
　Windows 8.1 RT, Pro, Enterpriseでは、お子さんの学習環境や、
  ブティックでの顧客サービスに特化した環境を提供できる（という事だと思います）。

以上　(Win8.1、ちょっと使いたくなってきました)

AT-PHA05BTをPC（Planex BT-Micro4）で使ってみた

Senheiser HD555は重いし、同社のBluetooth イヤフォンは二年ほど使って接触不良を起こすようになったので、Blue Tooth前提で環境を変えてみることにしました。

以下、満足な音質を得るまでの操作手順の御紹介。

1.トランスミッター
　Planex, BT-Micro4
　ドライバダウンロード

2.レシーバー
　Audio Technica, AT-PHA05BT

3.イヤフォン
　ALPEX, Premi-on 、手元のは多分 HGP-710

  手元の2,000～5,000円程度の数種のうち、
　以上の組み合わせが気に入っています。

4.Windows7純正のBluetooth ドライバだと
　PCで音楽・動画再生数秒後、AT-PHA05BTの電源が切れて使い物になりません。
　そこで、、、

5.BT-Micro4専用ドライバ(Motorola製)をインストール後、
　（ペアリング手順は割愛します）

5-1.AT-PHA05BTの電源を入れると、
　  HFP/HSP(モノラル)優先なのか、モノラル音声。
　　音楽鑑賞には耐えないです。
　　そこで、さらに、、、

5-2.ドライバインストール後に出来上がる「My Bluetooth」アイコンをダブルクリック。
  　該当するイヤフォンデバイスをダブルクリックします。

5-3.しばらく待ちます。

5-4.「オーディオ」の「接続」を選ぶと、、、

5-5.A2DPモードで接続され、良好な音質が楽しめます。

5-6.というわけで
　「BT-Micro4を買ったけど音質が気に入らない」という方は
　専用ドライバと、イヤフォンの組み合わせを試してみてください。

　Senheiser MD555のような　ごっついヘッドフォンでも
　まずまずの音圧を楽しめると思います。

6.PC系メーカのLogitec、LBT-AR120と　iPhone5付属のイヤフォンの
　組み合わせも中々気に入っていて、こればかりは色々試してみるのが
　良さそうです。

以上

二要素認証 Yahoo! JAPAN, Microsoft, Google, Facebook 他

「先日、2200万件の Yahoo! JAPAN ID が流出・・・中略・・・148万件のパスワードが流出した可能性があることが判明しました。」だそうです。
http://rocketnews24.com/2013/05/24/332064/

で、下記サイトで、自分のＩＤ（＋パスワードも？）が流出したかどうかを確かめられるようです。
https://login.yahoo.co.jp/config/login?.src=www&.done=http%3A%2F%2Fdocs.id.yahoo.co.jp%2Fconfirmation.html

『Yahoo!のパスワード流出、実は「他サイトが危険」？』
http://www.yomiuri.co.jp/net/security/goshinjyutsu/20130524-OYT8T00882.htm

後半の「危険なのはYahoo!ではなく、他サイトでのパスワード・秘密の質問と答」以降が参考になります。

> 問題は、他のサイト・サービスでのIDパスワード・・・「ユーザーが共通したパスワードを使っていた場合に・・・ログインされたり・・・不正ログインされてしまう可能性がある」
>
> ユーザー側の対策としては・・・
> １：流出の対象となっているか確認する
> ２：（他のサービスで）共通している（ＩＤ／メールアドレスと）パスワードを使っていたら即変更
> ３：プレミアム会員の場合はクレジットカードの利用明細を確認
...
> 流出の対象ではない人も、「共通したパスワードはダメ」ということを覚えておきたい。

秘密の質問は、かえってリスクがありそうですね。


2段階認証が解決方向性かと思います。まとめサイトをメモしておきます。

『2段階認証を使おう～「Microsoft」「Google」「Yahoo! JAPAN」「Facebook」』
http://security-t.blog.so-net.ne.jp/2013-05-31   (セキュリティ通信 2013.05.31)

『2段階認証ノススメ(まとめ)』
http://negi.hatenablog.com/entry/2013/06/04/175840   (セキュリティは楽しいかね? Part 2 2013.06.04)

ただ次のような反論も見られ、熟成にまだ時間がかかりそう。
『Googleの2段階認証は不便すぎて使いものにならない』
http://colo-ri.jp/develop/2012/12/google-2step-verification-useless.html   (2012/12)

---------------------------------- 2013.06.23 追記

http://blog.tokumaru.org/2013/06/yahoo.html (徳丸浩の日記. 2013.06.20)
「秘密の質問と答えを登録せず、ワンタイムパスワードは諦める」というオプションが可能になったようです。

---------------------------------- 2013.09.23 追記

こちらが良くまとまってる。

２段階認証ノススメ（まとめ）

http://negi.hatenablog.com/entry/2013/06/04/175840 (セキュリティは楽しいかね 2013.08.07)

//