暗号化技術

「国連サイトの一部はまだハッキングされたままの状態だ」と専門家

　米国Websenseは4月22日、英国政府のWebサイトや国連のWebサイトなどを含む多数のWebサイトがハッキングされ、マルウェアをまき散らしているとの報告を発表した。（2008年04月24日）

「今後も断続的に攻撃される可能性がある」と専門家は警鐘

　複数のネットワーク・セキュリティ・アナリストは、米国CNNのWebサイトに対するサイバー攻撃が断続的に行われていることを明らかにした。あるアナリストは、「先週末に一時沈静化したものの、今週に入ってから再び増加している。今後も攻撃は増加することが予想される」と指摘している。（2008年04月23日）

マイスペースは「単なるシステム・エラー」と重要視せず

　世界ナンバー1の会員数を誇るSNS（ソーシャル・ネットワーキング・サービス）の「MySpace」で、新たなセキュリティ問題が発覚した。意図的にコード変更されたメンバーの「プロフィール」を閲覧しただけで、そのプロフィールを公開しているメンバーから、行動を追跡される可能性があるというのだ。（2008年04月18日）

すでに脆弱性は修正されているものの、専門家は「今後も同様の問題が発生する」と警告

　米国Googleが提供するWebアプリケーション「Google Spreadsheets」で、深刻な脆弱性が発見された。同脆弱性を攻撃者が悪用すれば、攻撃対象のユーザーが利用しているGoogleのWebアプリケーション・スイートすべてにアクセスできるという。（2008年04月17日）

リモート実行を許可する脆弱性にも対応、専門家は「早急に適用を」と呼びかけ

　米国Oracleは4月15日、同社のデータベースおよびアプリケーション・サーバ製品で発見された41件の脆弱性を修正する、セキュリティ修正パッチ「CPU（Critical Patch Update）」をリリースした。（2008年04月16日）

RSAのCoviello社長「今後、求められるのは情報中心型のセキュリティ」

　「完璧なセキュリティを目指すのは時間とコストの無駄である。これからはリスクを分析しながら保護すべきデータを見定める、インフォメーション・セントリック（情報中心型）セキュリティのアプローチが求められるようになる」──そう主張するのは、米国RSA Security社長、アーサー・コヴィエロ・ジュニア（Arthur W.Coviello, Jr.）氏だ。同氏は4月8日、米国サンフランシスコで開催された「RSA Conference 2008」（4月7日〜11日開催）の基調講演に登壇し、企業が講じるべきセキュリティ対策のポイントについて語った。（2008年04月10日）

Mac OS版／Windows版の脆弱性に対応

　米国Appleは4月2日、「QuickTime」の脆弱性を修正する11件のソフトウェア・アップデート「QuickTime 7.4.5」を公開した。QuickTimeの脆弱性修正パッチの配布は、今年に入ってから3回目となる。（2008年04月04日）

「内部関係者が意図的に仕込んだ可能性もある」と専門家

　食品雑貨チェーン大手の米国Hannaford Bros.から最大420万件の顧客のカード情報が流出した事件で、同社は3月25日、侵入者は同社のニューイングランド、ニューヨーク、フロリダの各店舗のサーバにマルウェア・プログラムを仕込み、犯行に及んだことを明らかにした。（2008年03月31日）

「Forefront」と「Windows Live OneCare」の機能強化の一環として

　米国Microsoftは3月20日、ルートキット検知ベンダーの米国Komokuを買収すると発表した。両社は買収金額などの条件を明らかにしていないが、買収取引は3月19日に完了しているという。（2008年03月21日）

「48ビットでは短すぎる」と暗号解読者

　ドアの開錠や公共交通機関の乗車時に使われているRFIDチップ搭載スマートカード「Mifare Classic」の暗号解読法が発見されたことで、同カードの安全性に疑問が投げかけられている。解読法を発見した大学院生は、暗号鍵のビット長が短すぎる点を問題視している。（2008年03月17日）

負けたセキュア・コンピューティングは、特許技術を「既知のもの」として控訴へ

　米国のITセキュリティ・ベンダーFinjanが、米国Secure Computingおよび同社が過去に買収した企業2社を相手取り2年前に起こした特許侵害訴訟で、3月12日、Finjan側勝訴の判決が下された。Secure Computing側は、この判決を不服として控訴する方針だ。（2008年03月14日）

セキュリティ専門家が問題視するiPhone 2.0の“アキレス腱”とは

　米国Appleが3月6日に発表した「iPhone 2.0」は、セキュリティ機能の大幅な強化が“ウリ”となっている。しかし、政府機関や大手金融系企業などのセキュリティ要求を満たすレベルまで達しているのかどうかは、まだ疑問が残る。（2008年03月10日）

揺らぐ「Mifare Classic」カードの信頼性。カード偽造や個人情報漏洩の危険性も

　昨年12月、ドイツの名高いハッカー・グループChaos Computer Club（CCC）がベルリンにて開催した「第24回会議（24th Congress）」において、3人の若いセキュリティ研究者が、RFID（無線ICタグ）を利用したスマートカードの不正読み取りが以前よりもはるかに容易かつ安価に行えるようになっているという事実をデモンストレーションを通じて実証した。それを機に、ICカードの脆弱性に対する関心が、セキュリティ・ハッカー以外の世界にも広がり始めている。（2008年03月10日）

オンライン上での個人情報開示を必要最小限にとどめ、不正使用を防ぐ

　米国Microsoftは3月6日、プライバシー保護技術「U-Prove」を買収したと発表した。（2008年03月07日）

DRAMチップの物理特性を利用

　HDDの内容を暗号化してもデータが安全とはかぎらないことが、プリンストン大学の研究で明らかになった。同大学の研究者らは、DRAMチップの物理特性を利用すればHDD暗号鍵を盗むことは可能だと述べている。（2008年02月22日）

「仮想マシンが物理サーバ間を移行するときに攻撃を受けやすい」

　「仮想化技術の最たる魅力の1つは、必要に応じて瞬時に仮想サーバを複製できる点にある。しかし、このことはデータ盗難やサービス拒否といったセキュリティ面での深刻な弱点にもなっている」。仮想化技術に潜む脅威について、このように指摘する研究者の講演が、2月18日から21日までワシントンD.C.で開催される「Black Hat DC 2008」で予定されている。（2008年02月18日）

データセンターではHDD暗号化が進む一方、NACは不調

　Network World米国版編集部では、セキュリティに関するいくつかのテーマを取り上げ、2008年の動向を予想した。ここでは、その予想を記す。（2007年12月26日）

バレたら“自己削除”するボットも登場

　セキュリティ・ベンダーのラックは12月19日、2007年のインターネット・セキュリティのトレンドと今後の対策に関する報道関係者向け説明会を開いた。同社は2007年のセキュリティ総括として、マルウェアの大量感染の時代は終焉しつつあるとしたものの、Webサイトを通じてマルウェアに感染させる手口が増加かつ巧妙化していると指摘した。（2007年12月19日）

専門家は「Googleのずさんな仕事ぶりが原因」と指摘

　米国Googleの「Google Toolbar」で新たな脆弱性が見つかった。セキュリティ研究者のアビブ・ラフ（Aviv Raff）氏は12月18日、悪意のあるユーザーが同脆弱性を利用すれば、攻撃対象者のデータを盗み出したり、悪意のあるマルウェアをインストールさせたりすることができると警告した。（2007年12月19日）

ITセキュリティ担当者が打ち出した“奇策”に全米のハッカーがこぞって“参加”

　フロリダ州パームビーチ郡学区のITセキュリティ担当者、ボブ・ラロッカ（Bob LaRocca）氏は一風変わったコンテストを開催している。学区内に設置したサーバに侵入できたら、無線ルータをプレゼントするというのだ。（2007年12月17日）