スラド
1Password 曰く、LastPass のパスワード保管庫をクラックするのに百万年もかからない 2023年1月3日 19:07

1Password 曰く、LastPass のパスワード保管庫をクラックするのに百万年もかからない

2023年1月3日 19:07

LastPass のパスワード保管庫の安全性について、同社がユーザーをミスリードするような説明をしているとライバルの 1Password が批判している (1Password のブログ記事、 9to5Mac の記事、 The Verge の記事)。

LastPass は昨年 2 回の不正アクセスを受け、2 回目の不正アクセスでは攻撃者がユーザーのパスワード保管庫のバックアップをコピー可能な状態にあったことを 12 月に発表した。ただし、パスワード保管庫はパスワードなどを 256-bit AES で暗号化しており、顧客がマスターパスワードを LastPass のベストプラクティスに従って作成していれば復号に数百万年を要すると説明している。

LastPass のマスターパスワード作成に関するベストプラクティスは以下のようなもの。

少なくとも 12 文字、長ければ長いほどいい
大文字・小文字・数字・記号を使う
発音しやすく記憶しやすくする一方で、簡単に推測できないようにする (パスフレーズ)
自分だけのユニークなものにする
個人情報は絶対に使わない
好例: Fidoate!my2woolsox

1Password ではこれに対し。12 文字のパスワードにはおよそ 2⁷² 通りの組み合わせがあるもののクラッキングシステムではパスフレーズのような組み合わせを先に試すため、完全にランダムなパスワードと比べて少ない試行回数でクラックできると指摘。2⁷² という数字が意味を持つのはすべての組み合わせが選ばれる可能性が等しい場合に限られ、人間が作ったパスワードは最初の数十億回の試行に含まれる可能性が高いという。

スラド
Apple、iPhone 14 Proのディスプレイに高度な製造過程を用いるようSamsungに注文 2023年1月3日 15:20

Apple、iPhone 14 Proのディスプレイに高度な製造過程を用いるようSamsungに注文

スラド

著者:headless

2023年1月3日 15:20

Apple が iPhone 14 Pro シリーズの長円形カットアウトによるディスプレイの劣化や画質の低下を防ぐため、より高度な製造過程を使用するよう Samsung に注文したと報じられている (9to5Mac の記事、 Mac Rumors の記事、 The Elec の記事)。

長円形カットアウトでは OLED パネルに穴をあけるため、穴の周囲に壁を作って周辺ピクセルの損傷を防ぐ必要がある。Samsung はレーザーを用いた技術でこれを実現できたが、Apple はインクジェットデバイスを用いて処理するよう求めたという。インクジェットデバイスは Samsung の子会社 SEMES が作っており、入手に問題はなかったとのこと。

iPhone 14 Pro Max のディスプレイは LG も供給しているが、LGはもともとインクジェットデバイスを用いていたそうだ。なお、iPhone 14/14 Proシリーズでは起動時やスリープ解除時にランダムな横線が表示される問題も発生しているが、本件とは無関係とみられる。

スラド
Firefox Nightly、IE11と間違われる 2023年1月2日 18:58

Firefox Nightly、IE11と間違われる

スラド

著者:headless

2023年1月2日 18:58

米 BestBuy のウェブサイトで Firefox Nightly がサポート終了した古いブラウザーと認識される問題が発生し、調査の結果 Internet Explorer 11 (IE11) と誤判定されているとの結論に達したようだ (Ghacks の記事、 webcompat/web-bugs: Issue 115507、 MozillaのBugzilla: Issue 1805967、 Issue 1806690)。

デスクトップ版および Android 版 Firefox のユーザーエージェント (UA) 文字列では「rv:」が Gecko エンジンのバージョンを示す。現在、Firefox Nightly はバージョン 110 であり、Gecko エンジンも同じバージョンだ。一方、Internet Explorer の UA 文字列ではバージョン 10 まで「MSIE 10.0」のようなバージョン表記だったが、IE11では「rv: 11.0」という表記に変更された。BestBuy は「rv:」に続く数字の先頭 2 桁のみを抽出してバージョン判定に用いているとみられ、Firefox バージョン 110 が IE11 と誤認識されるようだ。

誤認識を避けるため、Firefox Nightly の「rv:」は「109」に変更されており、バージョン 119 までは「109」のままにしてバージョン 120 で本来の「120」に戻す計画も示されている。

スラド
米ニューヨーク州の「修理する権利」法案、難しい妥協の末に成立 2023年1月2日 15:20

米ニューヨーク州の「修理する権利」法案、難しい妥協の末に成立

スラド

著者:headless

2023年1月2日 15:20

米ニューヨーク州で消費者の「修理する権利」を定める法律が 12 月 28 日、キャシー・ホークル知事の署名により成立した。 (ニュースリリース、 The Verge の記事、 Norwood News の記事、 Ars Technica の記事、 iFixit の記事)。

知事は署名前に法案の修正を要求しており、提案者は合意しているが、修理する権利を推進する活動家からは法律が骨抜きにされたなどとの不満も出ている。

WNYC のジョン・キャンベル氏が入手した知事の署名入り文書によると、提案者が合意した修正点は以下のようなものだ。

OEMに対する製品のセキュリティ機能を上書きするパスワードやセキュリティコードなどの一般提供を義務付ける文言の削除
不適切な修理により負傷のリスクが高まる場合、個別の部品ではなくアセンブリ単位での提供をOEMに認める
部品や工具、ドキュメントを適切な価格でOEMがデバイス所有者や修理業者に提供することの明確化
企業・政府機関向けの製品や、小売業者により販売されない製品の除外
知的財産のライセンス供与をOEMに義務付けない
2023 年 7 月 23 日以降に初めて製造され、かつニューヨーク州内で初めて販売または使用されたデジタル電子機器に限り適用

それでもニューヨーク州が米国で初めて広範なデジタル電子機器の修理する権利を認める州になったことは間違いない。下院の提案者であるパトリシア・フェイヒー議員は大手テクノロジー企業の強い反対を受けた法律が困難な妥協の産物となったことを認めつつ、この法律が国レベルでの法制化の動きを刺激して米国人が真の「修理する権利」を享受できるようになることに期待を示した。

スラド
アバター新作、経済制裁下のロシアでも上映 2023年1月1日 18:11

アバター新作、経済制裁下のロシアでも上映

スラド

著者:headless

2023年1月1日 18:11

12 月に世界で公開されたアバター新作「アバター: ウェイ・オブ・ウォーター」はロシアの複数の映画館でも 12 月から上映されており、1 月 12 日にはロシア最大の映画館チェーンでも上映が始まるそうだ (TorrentFreak の記事、 Meduza の記事)。

ロシアの映画館ではウクライナ侵略に対する経済制裁で西側諸国からの映画配給が停止されて以降、違法なトレントサイトでダウンロードした海賊版の新作映画をロシア語に吹き替え、デジタルシネマパッケージ (DCP) に変換して上映してきた。しかし、今回のアバター新作はカザフスタンのような友好的な国の協力者から横流しを受けた公式 DCP が非公開トレントで共有されており、これまでの海賊版とは一線を画する品質なのだという。

ロシアでは経済制裁に対抗して海賊版を許可したなどとも報じられたが、映画の海賊版は現在も違法だ。ロシア当局はコンテンツの「強制ライセンス」導入を目指しており、ウラジーミル・プーチン大統領は映画館がロシアの特別な口座を通じて (許可を得ずに上映した) 映画の権利者にコンテンツ使用料を支払う (ただし、ハリウッドの映画スタジオは口座にアクセスできないという) ことを可能にする大統領令に署名している。ただし、議会で提案された「強制ライセンス」法案は第 1 読会にも達していないそうだ。

そのため、これまでロシアの映画館では貸館として劇場使用を契約した会社による「上映会」という名目で海賊版の新作映画を上映してきた。一方、今回のアバター新作はロシアの短編映画の「前座」という形で上映されているらしい。大手チェーンは上映を遅らせた理由として、新年にはアバター新作がなくても映画館の観客は多く、他の映画館と売り上げを分け合うことができるなどと説明しているとのことだ。

すべて読む | YROセクション | 映画 | 軍事 | YRO | 海賊行為 | 政治 |

スラド
インド、2025 年 3 月からモバイルデバイスの充電端子統一を義務付け 2023年1月1日 15:10

インド、2025 年 3 月からモバイルデバイスの充電端子統一を義務付け

スラド

著者:headless

2023年1月1日 15:10

インド政府はモバイルデバイスの充電端子を USB Type-C に統一する計画を進めているが、2025 年 3 月からの義務付けに決まったそうだ (Business Standard News の記事、 DailyO の記事、 BusinessToday の記事、 The Verge の記事)。

インド政府は 11 月に電子機器の段階的な充電端子統一を進めることで利害関係者が合意したと発表していた。このたび、2024 年の EU での充電端子統一義務付け開始後にインドでも義務化することで業界と政府による幅広いコンセンサスが得られたという。ただし、ノート PC の充電端子統一義務化の時期については決まっていないとのこと。インド政府ではモバイルデバイス用とウェアラブルデバイス用で計 2 種類の共通充電端子とすることを決め、今後はウェアラブルデバイス用の充電端子を検討していくとのことだ。

すべて読む | モバイルセクション | モバイル | 電力 |

スラド
訃報：藤井旭さん 2022年12月31日 18:14

訃報：藤井旭さん

スラド

著者:headless

2022年12月31日 18:14

tori_sanpo 曰く、

昭和の天文少年にとって憧れの偉人の一人である藤井旭さんが亡くなられました (月刊天文ガイドのツイート、 Sponichi Annex の記事、朝日新聞デジタルの記事)。

藤井氏は 81 歳。天文ガイドで毎月の星空案内を執筆しており、先日「藤井旭の天文年鑑 2023年版」が刊行されたばかりだったが、12 月 28 日に逝去したそうだ。葬儀は近親者のみで執り行われるとのこと。

すべて読む | サイエンスセクション | サイエンス | 宇宙 |

関連ストーリー：
天文ガイド誌、創刊50周年を迎える 2015年06月12日
バチカン天文台長、宇宙人の存在について語る 2008年05月16日
マックホルツ彗星増光中、いよいよ観望好期へ 2004年12月17日
南極には天文台がよく似合う? 2004年09月18日

スラド
Microsoft 曰く、米連邦取引委員会による Activision 買収阻止手続は合衆国憲法違反 2022年12月31日 14:57

Microsoft 曰く、米連邦取引委員会による Activision 買収阻止手続は合衆国憲法違反

スラド

著者:headless

2022年12月31日 14:57

Microsoft による Activision Blizzard King の買収を阻止すべく米連邦取引委員会 (FTC) が進める行政手続きについて、合衆国憲法に違反すると Microsoft が指摘している (Microsoft が FTC 行政法審判官室に提出した文書: PDF、 On MSFT の記事、 Game Informer の記事)。

これは Microsoft が FTC 行政法審判官室に提出した反論の文書に記載されたもので、FTC が買収による弊害を適切に示していないことや買収が競争を促進するものであること、FTC が選択的に独占禁止法を執行しようとしていることなどに加え、合衆国憲法違反により手続きが無効だと 34 ページで指摘している。

具体的には、強い行政権を持ち、委員などを容易に解任できない FTC の構造が行政権を定めた合衆国憲法第2条と三権分離の原則に違反すること、FTC の訴えを裁判官ではなく FTC 審判官が裁く仕組みが司法権を定めた合衆国憲法第 3 条と三権分離の原則のほか、適切で公平な法的手続きを保証する合衆国憲法修正第 5 条にも違反するとのことだ。

すべて読む | ビジネス | マイクロソフト | 法廷 | ゲーム | アメリカ合衆国 | 政府 |

スラド
「シャーロック・ホームズ」シリーズ最後の作品が間もなく米国で著作権保護期間満了 2022年12月30日 17:34

「シャーロック・ホームズ」シリーズ最後の作品が間もなく米国で著作権保護期間満了

スラド

著者:headless

2022年12月30日 17:34

米国で「シャーロック・ホームズ」シリーズ最後の作品の著作権保護期間が間もなく満了し、2023 年 1 月 1 日にはパブリックドメインになる (The Verge の記事)。

シャーロック・ホームズシリーズの作者アーサー・コナン・ドイルは 1930 年に死去しており、著作権保護期間が作者の死後 70 年の英国では既に全作品の保護期間が満了している。一方、米国では 1977 年までに公表された作品の著作権保護期間が公表から 95 年となるため、1927 年に公表された作品の保護期間は 2022 年末までとなる。

米国で 2023 年 1 月 1 日にパブリックドメインとなるシャーロック・ホームズシリーズ最後の作品は、短編集「シャーロック・ホームズの事件簿」収録の「The Adventure of Shoscombe Old Place (ショスコム荘)」と「The Adventure of the Veiled Lodger (覆面の下宿人)」の 2 作品。2023 年以降も著作権保護期間の続くドイル作品もあるが、ホームズに関連する作品は制作・公開しやすくなるだろう。

すべて読む | YROセクション | 書籍 | YRO | 著作権 |

スラド
eBay に出品された米軍の生体識別デバイス、2,600 人以上のデータが含まれていた 2022年12月30日 14:29

eBay に出品された米軍の生体識別デバイス、2,600 人以上のデータが含まれていた

スラド

著者:headless

2022年12月30日 14:29

Chaos Computer Club (CCC) がオンラインオークションに出品された米軍の生体識別デバイス 6 台を入手して調査したところ、その 1 台には 2,632 人分の名前や国籍、写真とともに指紋データや虹彩スキャンデータが保存されていたそうだ (CCC のブログ記事、 The Verge の記事、 The New York Times の記事、 Ars Technica の記事)。

CCC が入手したのは 4 台の SEEK II (Secure Electronic Enrollment Kit) と 2 台の HIIDE 5 (Handheld Interagency Identity Detection Equipment)。これらのデバイスはアフガニスタンとイラクで軍人や協力者、テロリスト、指名手配者などを識別するために用いられていたものだ。CCC ではタリバンが HIIDE を入手したという報道を受けて、調査を開始した。

2,600 人分以上の生体識別データが格納されていたのは 8 月に調査を率いる CCC の Matthias Marx 氏が eBay で入手した SEEK II で、2012 年半ばにカブールとカンダハールの間で用いられたのが最後だという。データは暗号化されておらず、既知の標準パスワードを入力するだけでアクセス可能なだけでなく、データベースは標準的なものであり、データフォーマットにも変わったところはなく、分析は容易だったそうだ。

このようなデータがテロリストの手に渡れば現地の協力者などが危険にさらされる。CCC では問題を SEEK II のメーカーや米国防総省、アフガニスタンでの生体識別情報収集に協力したドイツ連邦軍に報告したが、このような情報漏洩を誰も気にしていないとのこと。報告から 2 か月半経過し、CCC ではまた別の生体識別デバイスをオンラインで注文できたといい、Marx 氏はリスクの高いデータを無責任に取り扱うことを批判している。

スラド
iPhone 14、起動時やスリープ解除時にランダムな横線が表示される問題 2022年12月25日 19:27

iPhone 14、起動時やスリープ解除時にランダムな横線が表示される問題

スラド

著者:headless

2022年12月25日 19:27

iPhone 14 で起動時やスリープ解除時、画面の横幅いっぱいに横線 (水平線) が表示される問題が報告されている (9to5Mac の記事、 Mac Rumors の記事、 Reddit のスレッド、 Apple Community の投稿 [1]、 [2]、 [3]、 MacRumors Forums のスレッド)。

横線はランダムに表示されるようで、本数や色は一定しないようだ。特に iPhone 14 Pro Max での報告が多いという。Apple のサポート担当者や Apple Store スタッフはハードウェアの問題ではなく、ソフトウェア (ドライバー) の問題だと説明しているそうだ。

対策としては常時表示ディスプレイをオフにする、手動で画面をオフにする、iPhone をリセットする、といったものが挙げられているが、いずれも確実ではないとのことだ。

スラド
Firefox Nightly、アドレスバーからの検索時は検索語句のみが表示されるようになる 2022年12月25日 17:35

Firefox Nightly、アドレスバーからの検索時は検索語句のみが表示されるようになる

スラド

著者:headless

2022年12月25日 17:35

Firefox Nightly でアドレスバーから検索を実行すると、検索結果の URL の代わりに検索語句のみが表示されるようになっている (Ghacks の記事、 Bug 1802564)。

この動作はアドレスバーに検索語句を入力して検索した場合に限られ、サーチエンジンの画面から検索すると URL の表示になる。また、検索で見つかったページに移動すると URL の表示に切り替わるが、検索結果ページに戻れば再び検索語句が表示される。常に URL を表示したい場合は設定画面の検索 → 検索バーで「既定の検索エンジンの結果ページで URL の代わりに検索語句を表示する」をオフにすればいい。

このオプションは安定版 Firefox 108 のデフォルトには存在しないが、about:config で「browser.urlbar.showSearchTerms.featureGate」を true にすれば表示されるようになり、デフォルトで有効になる。

すべて読む | ITセクション | Firefox | IT |

スラド
Heroku のクラウドサービスで問題が発生した Skeb、他のクラウドサービスへ移管して 24 時間以内に復旧 2022年12月25日 15:47

Heroku のクラウドサービスで問題が発生した Skeb、他のクラウドサービスへ移管して 24 時間以内に復旧

スラド

著者:headless

2022年12月25日 15:47

route127 曰く、

有償で作品制作を依頼できるコミッションサービス Skeb が Heroku のクラウドサービスを利用できなくなり、Heroku および代理店の Salesforce Japan から情報がなかったため他クラウドサービスへ移管した (Skeb の告知[1]、 [2])。

開発用コンテナイメージを利用したことで、移管の決定からサービス復旧まで 24 時間以内に行われた。

すべて読む | ITセクション | クラウド | IT |

ニューヨークJFK空港のタクシー配車システムをハックして有料で優先配車を行っていた男2人が逮捕される

スラド

著者:headless

2022年12月25日 13:55

米ニューヨーク南部地区連邦検事局は 20 日、ジョン F ケネディ国際空港 (JFK) のタクシー配車システムをハックしていた米国人の男 2 人の逮捕を発表した (プレスリリース、 The Verge の記事、 Ars Techinica の記事)。

JFKではタクシーが公平に客を乗せられるよう配車システムが導入されており、空港で客を乗せたいドライバーは待機場の駐車場で配車を待つ必要がある。しかし、待ち時間は数時間に及ぶこともあり、ドライバーの売り上げへの影響が大きい。

そこで 2 人は配車システムを悪用して料金を支払ったタクシーに優先的な配車を行うビジネスを考案。ロシアのハッカーの力を借りて配車システムのハックに成功し、2019 年 9 月から 2021 年 9 月にかけて料金 10 ドルで優先的な配車を行っていたという。

他のドライバーを勧誘することによる料金免除やグループチャットを利用したドライバーとの連絡などによりビジネス規模を拡大し、多い日は 1,000 回の詐欺的な配車を行ったとされる。2 人はそれぞれコンピューター侵入の共謀罪 2 件に問われており、最大で 10 年の実刑判決を受ける可能性があるとのことだ。

スラド
火星着陸機 InSight、ミッション終了 2022年12月25日 11:59

火星着陸機 InSight、ミッション終了

スラド

著者:headless

2022年12月25日 11:59

NASA は 21 日、火星着陸機 InSight のミッション終了を発表した (プレスリリース、 The Verge の記事、 Ars Technica の記事、 The Register の記事)。

InSight のミッションは岩石で表面が覆われた天体の形成過程を知るため、火星深部の調査を行うのが目的だ。2018 年 11 月の火星着陸以来 4 年以上にわたり、InSight は隕石衝突の衝撃によるものを含め、火星の地震 (marsquake) を 1,319 回検知している。また、センサーで風の振動を捉えて火星の風音を初めて地球にもたらした。

一方、想定よりも硬い土壌に覆われた地点に着陸してしまったため、地熱測定装置のプローブ打ち込みは難航した。それでも打ち込みを試行する過程ではロボットアームと先端に取り付けたスコップの使用などに関するさまざまな知見が得られ、地表からわずかの深さまで埋めたプローブにより火星の土壌の物理的・熱的特性に関する貴重なデータも得られたという。

しかし、予定の 2 倍に延長されたミッションで InSight の太陽電池パネルには砂塵が積もり、ロボットアームとスコップによる除去も行ったものの徐々に出力が低下していった。NASA では InSight が火星周回機との通信確立に 2 回連続で失敗したらミッション終了を宣言すると決めていた。NASA ジェット推進研究所 (JPL) が最後に InSight と通信したのは 12 月 15 日。以降 2 回連続で通信できず、InSightのバッテリーがエネルギー切れになったと判断したとのこと。

NASA は引き続き InSight からの信号受信を試みるが、あくまで念のためであり、通信の再確立は不可能とみられている。

すべて読む | サイエンスセクション | 電力 | 火星 | サイエンス | 宇宙 | NASA | 地震 |

スラド
米連邦地裁判事、観客をだますような映画の予告編を虚偽の広告として訴えることが可能だと判断 2022年12月25日 10:16

米連邦地裁判事、観客をだますような映画の予告編を虚偽の広告として訴えることが可能だと判断

スラド

著者:headless

2022年12月25日 10:16

米カリフォルニア中部地区連邦地裁のスティーブン・ウィルソン判事は 20 日、映画の予告編が観る人をだまして視聴させようとする内容であれば虚偽の広告として訴えることが可能との判断を示した (裁判所文書: PDF、 Variety の記事、 The Verge の記事)。

この訴訟は 2019 年の映画「イエスタデイ」について、予告編にのみ登場するアナ・デ・アルマスのファン 2 名が映画スタジオ Universal City Studios を訴えたものだ。デ・アルマスは予告編でジェームズ・コーデンのトークショーゲストとして主人公と共演し、(劇中では主人公だけが存在を知る) ビートルズの「サムシング」を歌う主人公に感激して抱きしめるシーンを演じている。しかし、脚本家によれば主人公の心が恋人から他の女性に揺れ動くことに対する観客の受けが悪く、残念ながらカットすることになったという。

一方、予告編を観た 2 人の原告はデ・アルマスの出演に期待し、それぞれ Amazon Prime で 3.99 ドルを支払って映画をレンタルしたが、映画を最後まで観てデ・アルマスが一切登場しないことを知る。そのため、予告編が虚偽の広告に当たるなどとしてクラスアクション訴訟を提起した。

すべて読む | YROセクション | 映画 | YRO | 法廷 | 広告 |

スラド
Google、Chrome のリリーススケジュールに「Early Stable」を追加 2022年12月24日 19:11

Google、Chrome のリリーススケジュールに「Early Stable」を追加

スラド

著者:headless

2022年12月24日 19:11

Google は 21 日、Chrome 110 以降のリリーススケジュール変更を発表した (Chrome Developers の記事、 9to5Googe の記事、 Android Police の記事、 The Verge の記事)。

新しいスケジュールでは、ごく一部のユーザーに安定版 (Stable) を一般リリースに 1 週間先行して提供する。このリリースは「Early Stable」と呼ばれ、すべてのユーザーへロールアウトする前に問題を発見するのが目的だ。これにより、Chrome 110 は 2023 年 1 月 12 日の Beta リリースと 2 月 7 日の Stable リリースの間に、2 月 1 日のEarly Stableリリースが追加される形となる。

スラド
Tesla車の急ブレーキによる8台玉突き事故、ドライバーは完全自動運転ソフトウェアの誤動作だと証言 2022年12月24日 17:18

Tesla車の急ブレーキによる8台玉突き事故、ドライバーは完全自動運転ソフトウェアの誤動作だと証言

スラド

著者:headless

2022年12月24日 17:18

米カリフォルニア州で 11 月 24 日に発生した 8 台玉突き事故について、先頭の Tesla 車ドライバーは完全自動運転ソフトウェアの誤動作だと証言しているそうだ (CNN Business の記事、 Reuters の記事、 The Verge の記事、 Ars Technica の記事)。

事故は感謝祭のランチタイムにベイブリッジ (州間高速道路 80 号線) で発生。Tesla Model S が複数車線を越えて左車線に割り込んだ直後に時速 55 マイル (約 89 km/h) から時速 20 マイル (約 32 km/h )まで急減速し、8 台の玉突き事故となった。この事故では子供 2 人が軽傷を負って病院に運ばれたほか、長時間の渋滞を引き起こしている。

カリフォルニアハイウェイパトロールは Tesla が Full Self-Driving (FSD、完全自動運転) と呼ぶ自動運転レベル 2 の先進運転支援・部分自動運転機能がオンになっていたかどうか確認できないと述べていたが、情報公開請求によりドライバーが FSD の使用を証言する調書が 21 日に公開されたとのことだ。

すべて読む | ITセクション | バグ | IT | ロボット | 交通 |

スラド
LastPass への不正アクセス、攻撃者はパスワード保管庫のバックアップをコピー可能な状態だった 2022年12月24日 15:25

LastPass への不正アクセス、攻撃者はパスワード保管庫のバックアップをコピー可能な状態だった

スラド

著者:headless

2022年12月24日 15:25

LastPass が不正アクセスに関するブログ記事を更新し、11 月に発表した 2 回目の不正アクセスでは攻撃者が顧客のパスワード保管庫のバックアップをコピー可能な状態であったことを明らかにした (LastPass のブログ記事、 The Verge の記事、 Ars Technica の記事、 The Register の記事)。

8 月に発生した最初の不正アクセスでは LastPass 開発環境の一部が侵入を受けた。開発環境に顧客データは含まれないが、ソースコードと技術情報の一部が奪われ、2 回目の攻撃で LastPass 従業員をターゲットにしてクラウドストレージサービスへのアクセスと復号に必要な鍵の窃取に用いられている。

これにより、攻撃者は LastPass 顧客のアカウント情報やメタデータにアクセス可能だったほか、暗号化されたストレージコンテナからパスワード保管庫のバックアップをコピー可能だったという。なお、攻撃者が暗号化されていないクレジットカード情報にアクセスした痕跡はないとのこと。

保管庫はプロプライエタリなバイナリ形式でウェブサイトの URL など暗号化しないデータと、ウェブサイトのユーザー名とパスワード、フォーム入力データなどの暗号化されたデータが格納されている。暗号化されたフィールドには 256-bit AES 暗号化が用いられており、顧客だけが知るマスターパスワードでのみ復号できる。

これにより、顧客が LastPass のベストプラクティスに従ったマスターパスワードを作成して使用している限り、現在一般に利用可能なパスワードクラック技術では数百万年を要するため何もする必要はないという。ただし、弱いマスターパスワードを使用していた場合は各ウェブサイトでパスワードを変更してリスクを最小化することを検討すべきとのことだ。

スラド
自由なFedoraを作る「Freed-ora」が終了 2022年12月24日 13:32

自由なFedoraを作る「Freed-ora」が終了

スラド

著者:headless

2022年12月24日 13:32

自由な Fedora Linux を作る GNU Linux-libre プロジェクトの「Freed-ora」が終了した (Alexandre Oliva 氏のメーリングリスト投稿、 Phoronix の記事)。

現在の Freed-ora は Fedora 環境にインストールすると非フリーの RPM がインストールされていないか確認し、GNU Linux-libre カーネルをセットアップしてデフォルトのカーネルに設定。以降は非フリーのパッケージがインストールされないよう RPM のライセンスタグを確認するとのこと。

メインテナーを務めた Free Software Foundation Latin America の Alexandre Oliva 氏によれば、Freed-ora 開始当時の Linux は現在よりも多くのブロブを使用していたという。しかし、Freed-ora を Fedora プロジェクトの一部として維持するという提案は断られ、ソフトウェアの自由に対する Fedora の姿勢を知ることになった。Fedora から名前を変更するように求められたこともあるそうだ。

Oliva 氏は既に Fedora を使っておらず、代わりのメインテナーを探しても見つからなかったため Fedora 35 のライフサイクルが終わるまでという条件で引き続きメインテナーを務めていたという。このたび、Fedora 35 のライフサイクルが終了し、Freed-ora も終了する運びとなった。当面 Freed-ora のリポジトリは残されるが、Oliva 氏は RPM Freedom への移行を推奨している。

すべて読む | オープンソースセクション | Linux | オープンソース |

ノーマルビュー