Samsung 製 Android スマートフォンで TrustZone OS (TZOS) の暗号機能に見つかった 2 件の脆弱性について、発見したイスラエル・テルアビブ大学のチームが論文 (PDF) と POC を公開している (The Register の記事、 Android Police の記事、 SlashGear の記事)。

ARM ベースの Android スマートフォンでは Android OS から独立して Trusted Execution Environment (TEE) 上で実行する TZOS にセキュリティ上重要な暗号機能が実装されるが、その暗号機能実装はベンダーに任されており、非公開でプロプライエタリな設計になっているという。研究チームは Samsung のフラッグシップデバイス Galaxy S シリーズを調査し、ハードウェアベースのキーストア (Keymaster TA) の暗号設計と実装を明らかにした。

2 件の脆弱性は Galaxy S9 の AES-GCM で見つかった IV 再利用の脆弱性 (CVE-2021-25444) と、より新しい Galaxy S10 / S20 / S21 でも IV 再利用攻撃を可能にするキーブロブダウングレード攻撃の脆弱性 (CVE-2021-25490)。前者は昨年 5 月に Samsung へ報告し、Galaxy S9 のほか Galaxy J3 Top / J7 Top / J7 Duo / TabS4 / Tab-A-S-Lite / A6 Plus / A9S を対象としたパッチが 8 月に公開されている。後者は 7 月に報告し、Android P 以降をプリインストールしたデバイスを対象としたパッチが 10 月に公開された。こちらのパッチではレガシーなキーブロブ実装が完全に削除されたとのこと。いずれの脆弱性も Galaxy S9 よりも古い S8 には存在しない。

今回の脆弱性は 1 億台程度の Samsung 製デバイスに適用されるのみだが、ベンダー各社が TZOS や TA (Trusted Application) のセキュリティや暗号の設計・実装を秘密にすることが危険な落とし穴になっている。各社はプロプライエタリシステムのリバースエンジニアリングの難しさに依存するのではなく、外部の研究者によって十分な検査ができるようにすべきだと研究チームは結論付けている。

すべて読む | セキュリティセクション | ハードウェア | セキュリティ | 暗号 |

関連ストーリー：
イスラエル・テルアビブ、家庭や小規模オフィスの Wi-Fi は 70 % が容易にクラックできるとの調査結果 2021年11月02日
メモリバスが発する電磁波を利用してエアギャップ環境からデータを盗む「AIR-FI」 2020年12月22日
Snapdragonに400個を超える脆弱性「Achilles」が見つかる。Check Pointが発見 2020年08月18日
Nintendo Switchでは不正行為に対し本体やゲーム単位でのBANが行える 2018年07月10日
電力管理システムを悪用してARM系CPUのTrustZoneをハックする手法が報告される 2017年09月27日
市庁舎が巨大テトリスに変わるイスラエル・テルアビブ 2016年09月16日
パソコンの電位の揺らぎからRSA秘密鍵などが解析される 2014年09月18日
パソコンの電源鳴きから4096ビットのRSA秘密鍵が解析される 2013年12月23日
AMD、ARM のセキリュリティ技術を 2013 年以降の APU に統合 2012年06月18日
ソースコードを元にソフトウェアの異常な動作を検知する侵入検知システム 2008年09月30日

headless 曰く、

The Verge の Corin Faife 氏が「NFT」を「neft」と発音することに決めたと主張している (The Verge の記事)。

3 音節の「NFT」は長過ぎて、繰り返されるとうっとうしいので、母音を足して短く発音できるようにしたいという趣旨だ。候補は neft のほか、「naft」「nift」「noft」「nuft」「nifty」「nafta」といったものが挙げられ、少なくとも 10 人のThe Vergeスタッフの意見を聞いて決定したとのこと。

日本語では「エヌエフティ―」が5音節、「ネフト」が3音節なのであまり短くなった気はしないが、スラドの皆さんは何と読むだろうか。

すべて読む | Slashdotに聞けセクション | 暗号 | スラドに聞け！ |

関連ストーリー：
NVIDIAのモデル名の「Ti」をどう発音する？ 2022年01月07日
暗号資産企業4社が「日本メタバース協会」設立。VR空間利活用の当事者らは困惑中 2021年12月10日
米国で正式承認されたコミナティ、ブランド名が読みにくいと SNS や米メディアで不評を買う 2021年08月29日
証明支援システムCoq、新しい名称を検討中 2021年06月17日
Microsoft Azure、どう発音してる？ 2021年02月07日

Collins Dictionary は 11 月 24 日、2021 年を代表する言葉「Word of the Year 2021」として「NFT」を選んだと発表した。 (Collins Dictionary Language Blog の記事、 Neowin の記事、 Mashable の記事、 Ars Technica の記事)。

NFT は Non-Fungible Token (代替不可能なトークン) の頭字語で、Collins Dictionary では略語として「アートワークやコレクターズアイテムの所有者を示すためにブロックチェイン上に記録されたユニークなデジタル証明書」、名詞として 「NFT によりその所有権が記録された資産」と定義している。2021 年はインターネットミームなどが NFT としてオークションに出品され、高額で落札されて注目を集めた。

新語 7 つを含む 10 の 2021 年を代表する言葉のショートリストでは、テクノロジー関連用語 として NFT のほかに「metaverse (名詞: メタバース)」と「crypto (名詞、口語: 暗号通貨 cryptocurrency の短縮形)」が含まれているとのこと。そのほかショートリストに残った言葉は以下の通り。

• double-vaxxed (形容詞、口語) : ある疾病に対するワクチンを2回接種した
• hybrid working (名詞) : 自宅とオフィスなど複数の異なる環境で交互に仕事をすること
• pingdemic (名詞、口語) : (COVID-19) 接触通知アプリにより広範囲の人々に送られる通知
• climate anxiety (名詞) : 気候変動への懸念により苦痛を感じている状態
• neopronoun (名詞) : 最近作られた代名詞、特に「xe」「ze」「ve」などジェンダーの明示を避けるよう作られたもの
• Regencycore (名詞) : テレビドラマ「ブリジャートン家」でみられる英摂政時代 (1811～1820) の上流階級の衣服をイメージした服装
• cheugy (形容詞、スラング) : 以前はかっこいい・ファッショナブルだと考えられていたが、今はそうではなくなっているもの

すべて読む | セキュリティセクション | テレビ | ニュース | サイエンス | 医療 | 暗号 | お金 |

関連ストーリー：
J.R.R. トールキン作品をテーマに使った暗号通貨 JRR Token、滅びの裂け目に投げ込まれていた 2021年11月26日
NFTブームの欺瞞がアーティスト側から批判される 2021年11月05日
ウォズ曰く、名前を変える会社は信頼できないかもしれない 2021年11月03日
NFTアートは投機？詐欺？イラスト界隈で議論に 2021年10月27日
TwitterCEOの初ツイートを約2億1800万円で落札した人物、逮捕された可能性 2021年05月25日
Twitterの最初のツイートが約2億1800万円で落札 2021年03月24日
データ分析プラットフォーム Splunk、偏見のないドキュメントを書くためのスタイルガイドを公開 2021年03月06日
NFTS形式のファイルシステムインデックスを破壊できるコマンド 2021年01月18日
Oxford University Press、2020年を代表する言葉は多すぎて1つに絞れないとして報告書にまとめる 2020年11月27日
Collins Dictionaryが選ぶ2020年を代表する言葉は「lockdown」 2020年11月13日
Merriam-Webster、2019年を代表する言葉に「they」を選ぶ 2019年12月12日
Collins Dictionaryが選ぶ2019年を代表する言葉は「climate strike」 2019年11月10日
Merriam-Webster、三人称単数代名詞「they」の新定義など533の新語句や新定義を追加 2019年09月20日
Collins Dictionary、2018年を代表する単語に「Single-use」を選定 2018年11月10日

Google は 19 日、インカの人々が情報の記録に用いたヒモのオンライン展覧会「The Khipu Keepers」を Google Arts & Culture で公開した(The Keyword の記事)。

Khipu (キープ) は結び目という意味で、ヒモに作った結び目やその間隔、染色の違いで異なる意味を表す。結び目の種類は3種類 (single / long / figure-eight)。single は一重結び、figure-eight は8の字結びで、long は巻き付けるようにヒモの先を繰り返し輪の中に通して結び目を長くしたもののようだ。

現存するものの 85 % は数値情報の記録に用いられており、figure-eight が数字の 1、long の巻き数で数字の 2 ～ 9 を表し、結び目のないヒモが数字の 0 を表すこともわかっている。一方、残り 15 % は言語による情報が記録されているとみられるが、現在のところ解読できていない。

The Khipu Keepers ではペルー・リマ美術館 (MALI) が 8 月 15 日まで開催している特別展「Khipus」のオンラインツアーが体験できるほか、Khipu の歴史や構造の解説ページなども用意されている。

すべて読む | セキュリティセクション | サイエンス | インターネット | 暗号 |

関連ストーリー：
Motorola、Android 11でブラジルの先住民族言語サポートを追加 2021年03月28日
Google、電子音楽史の学習や簡単なループシーケンス作成ができる「Music, Makers & Machines」を公開 2021年03月14日
Google、カンディンスキーが絵画「黄 赤 青」制作時に聴いた(と思われる)サウンドを体験できる「Play a Kandinsky」を公開 2021年02月13日
失われた言語で書かれた文書を解読するアルゴリズム 2020年10月25日
スコットランドの伝統言語「ゲール語」が消滅の危機 2020年07月08日
Google、危機に瀕する言語を救う「Endangered Languages Project」を公開 2012年06月24日
インカ文字は7ビット2進法？ 2003年07月02日

headless 曰く、

6 月にオーストラリアで大量の逮捕者を出して話題となった米連邦捜査局 (FBI) のバックドア付き暗号化通信アプリ「AN0M」だが、闇市場で取引されていた端末が格安の中古として一般の人に売却されるというケースもあったようだ。そのような端末の 1 台を Motherboard が入手し、ハンズオンリポートを公開している(Motherboard の記事、 Ars Technica の記事、 XDA Developers の記事、 Android Police の記事)。

こういった端末では ArcaneOS と呼ばれる機能の制限された Android OS がプリインストールされており、正常に動作しない改造 OS だと思った購入者がモバイル関係のオンラインフォーラムで相談するケースもみられる。3 月には Android-Hilfe.de で Pixel 3a 購入者、6 月には XDA Forum で Pixel 4a 購入者が相談していた。いずれのケースも最初の投稿は AN0M の存在が公表される前のことだ。Motherboard はオーストラリアでの購入者から Pixel 4a を入手しており、XDA Forum の相談者と条件が一致すると XDA Developers の記事でも指摘されているが、入手元は公表されていない。

端末には 2 種類の PIN が設定されており、その一つを入力すると通常の端末らしく見える「デコイ」モードに入る。このモードでは一般的なアプリが多数インストールされているように見えるが、実際にランチャーでアイコンをタップしてもアプリは起動しない。もう一つは AN0M モードに切り替えるためのもので、アイコンは「電卓」「時計」「設定」の3つのみ。電卓のアイコンをタップすると AN0M のログイン画面が表示されるという。

Ars Technica の記事に掲載されているスクリーンショットによると、「設定」アプリではストレージや位置情報、アカウントといった項目が削除されているようだ。その一方で、セキュリティ設定にはデコイモード用の PIN 設定や自動ワイプ設定、PIN 入力用キーパッドのランダム化設定などのオプションが追加されている。

すべて読む | セキュリティセクション | モバイル | 犯罪 | セキュリティ | 携帯電話 | 暗号 | Android |

関連ストーリー：
豪連邦警察、FBIが運営する組織犯罪専用暗号化通信アプリで犯罪組織を摘発 2021年06月10日
FBIはすでに自力でiPhoneのロック解除が可能、しかし政治的・コスト的な理由でAppleに解除を求める 2020年01月22日
米議会の暗号化ワーキンググループ、暗号に対する「バックドア」提供に反対との姿勢を示す 2016年12月28日
Apple 対 FBI のバックドア問題について、ビル・ゲイツはつまり何が言いたいのか 2016年02月27日
暗号化技術がなければパリ同時多発テロは起きなかった？ 2016年02月23日
Apple曰く、当局が容疑者のApple IDパスワードを変更したためデータにアクセスできなくなった 2016年02月21日

Thunderbird 78.8.1～78.10.1がインポートしたOpenPGP秘密鍵を暗号化せずに保存する問題でRNPの脆弱性(CVE-2021-33589)が発覚し、修正版のRNP 0.15.1がリリースされている(RNPのアドバイザリー、 The Registerの記事)。

RNPの説明によれば、鍵を復号する2つの方法のうち、rnp_key_unlock が鍵の保護設定を上書きせず一時的に復号するのに対し、rnp_key_unprotect は鍵の保護設定を上書きするため、鍵のデータが保護されていない状態で保存される。しかし、RNP 0.15.1よりも前のバージョンでは、rnp_key_unprotect 実行後に rnp_key_protect を実行しても、鍵の保護状態が再設定されないのだという。RNP 0.15.1以降では、 rnp_key_unprotect で保護が解除された鍵を rnp_key_protectが再度保護する機能が実装されたとのこと。なお、ThunderbirdではRNPとは別にThunderbird 78.10.2で修正されているため、最新版にアップデートすればいい。

すべて読む | セキュリティセクション | セキュリティ | スラッシュバック | バグ | 暗号 |

関連ストーリー：
Thunderbird 78.8.1～78.10.1、インポートしたOpenPGP秘密鍵を暗号化せずに保存していた 2021年05月28日
Thunderbird 78でOpenPGPを標準サポートへ 2019年10月12日
OpenPGPとS/MIMEに脆弱性、適切な実装をしていないクライアントが原因 2018年05月16日
OpenPGPに設計上の脆弱性 2005年02月11日
OpenPGPに理論上のセキュリティホール 2002年08月14日

MicrosoftはHTTPでのナビゲーション時に自動でHTTPSへアップグレードする機能をMicrosoft Edge 92に追加すべく開発を進めているそうだ(Microsoft 365 ロードマップ、 On MSFTの記事、 BleepingComputerの記事)。

詳細は記載されていないが、セキュリティ向上のためHTTPSをサポートする可能性のあるドメインにHTTPでアクセスした場合、自動でHTTPSにアップグレードするオプションを追加する計画だ。さらにすべてのドメインでHTTPSアクセスを試行する設定も可能になるという。よりセキュアな接続を使用することで、中間者攻撃などを防ぐことが可能になる。なお、Microsoft Edge Canaryは既にバージョン92となっているが、オプションはまだ追加されていないようだ。

現在では多くのWebサイトがHTTPSをサポートしており、HTTPプロトコルを指定またはプロトコルを省略してアクセスした場合に自動でHTTPSにリダイレクトするWebサイトも多いが、Internet ArchiveのようにリダイレクトしないWebサイトもある。ブラウザー側でHTTPSへの自動アップグレードをサポートすればセキュリティは向上するが、エラー発生時の処理も必要となる。Google Chromeではプロトコルを省略してURLを入力した場合のデフォルトをHTTPSにする計画が進められている。

すべて読む | セキュリティセクション | セキュリティ | インターネット | 暗号 |

関連ストーリー：
レガシーMicrosoft Edgeのサポートが終了 2021年03月11日
Google、プロトコルを省略したURLがChromeに入力された場合のデフォルトをHTTPSにする計画 2021年01月08日
無料SSL「Let's Encrypt」のDSTルート証明書の有効期限、3年間延長へ 2020年12月23日
Microsoft、Microsoft Edge 85以降でSHA-1証明書の使用を可能にする新たな(かつ非推奨の)グループポリシーを追加 2020年09月02日
SSL/TLS証明書、9月1日以降の発行分は有効期間が実質1年間に。主要ブラウザの仕様変更で 2020年08月21日
Let's Encrypt証明書を使用しているWebサイト、Android 7.1以前の端末での閲覧に影響か 2020年08月12日
Safari、SSLサーバー証明書の有効期限を最大13か月間に短縮へ 2020年02月26日

Microsoftは14日、SHA-2アルゴリズムへの全面移行計画を発表した(Windows IT Pro Blogの記事、 KB5003341)。

太平洋時間5月9日16時(日本時間5月10日8時)にMicrosoftのSHA-1の信頼されたルート証明書機関は失効し、Microsoftの主要なプロセスとサービスはTLS証明書やコード署名、ファイルハッシュを含めてSHA-2アルゴリズムのみを使用するようになる。そのため、SHA-1でのみ署名されたアプリケーション実行やドライバーインストールで警告が表示されたり、エラーが発生したりすることがある。

SHA-1にはセキュリティやパフォーマンスの問題があり、SHA-2への移行が進められている。主要なWebブラウザーでは2017年までにSHA-1証明書を廃止しており、Microsoftは2019年からWindowsの更新プログラムでSHA-2のみを使用しているほか、昨年8月にはダウンロードセンターでSHA-1コンテンツの提供を終了した。

影響を受けるSHA-1証明書はMicrosoftのSHA-1の信頼されたルート証明書機関にチェーンしたものだけであり、個別にインストールしたエンタープライズや自己署名のSHA-1証明書は影響を受けない。ただし、Microsoftでは組織で使用する証明書もSHA-2への移行を強く推奨している。

すべて読む | セキュリティセクション | セキュリティ | マイクロソフト | 暗号 |

関連ストーリー：
Microsoft、DirectXエンドユーザーランタイムにSHA-2で署名し直して提供再開 2021年02月21日
Microsoft、Microsoft Edge 85以降でSHA-1証明書の使用を可能にする新たな(かつ非推奨の)グループポリシーを追加 2020年09月02日
Microsoftダウンロードセンター、3日からSHA-1署名のWindows向けコンテンツ提供を中止 2020年08月01日
IE11とEdgeでもついにSHA-1証明書使用サイトをブロックへ 2017年05月16日
SHA-1ハッシュの衝突を現実的な時間で生成する攻撃「Shatterd」 2017年02月25日
NISTが次期ハッシュ関数選定のスケジュールを発表 2006年09月27日
フルバージョンのSHA-1にコリジョン発見 2005年02月16日
SHA-0、MD5、 MD4にコリジョン発見、reduced SHA-1も 2004年08月18日

headless 曰く、

Linux Foundationは9日、無料のソフトウェア署名サービス「sigstore」を発表した( プレスリリース、 BetaNewsの記事、 Neowinの記事、 The Registerの記事)。

リリースするソフトウェアにデジタル署名する場合、鍵の管理や侵害発生時の失効処理、安全な公開鍵とハッシュの配布などに困難が伴うため、実行しているオープンソースプロジェクトは非常に少ない。sigstoreはすべてのソフトウェア開発者やソフトウェアプロバイダーが無料で容易に導入可能な署名サービスを提供し、サプライチェーンの安全性を高めるため、Red HatやGoogle、パデュー大学が中心となって設立された。sigstoreはコミュニティにより開発され、証明書を耐タンパー性のある公開ログに記録することで、ソフトウェア成果物への署名を安全に行うことが可能となる。

すべて読む | オープンソースセクション | オープンソース | セキュリティ | 暗号 | デベロッパー |

関連ストーリー：
国税庁、Mac版のSafari 14.0.3でe-Taxが利用できないトラブルがあると発表 2021年03月04日
Microsoft、DirectXエンドユーザーランタイムにSHA-2で署名し直して提供再開 2021年02月21日
愛知県知事リコール運動で大量の署名偽造が発覚。地方自治法違反で捜査へ 2021年02月17日
米政府、前大統領が署名したTikTokとWeChatに関する大統領令の正当性を見直し 2021年02月13日
南アフリカ歳入庁、Flash終了で業務に支障が出たので再有効化した専用ブラウザを用意 2021年02月05日
Google、診断鍵のダウンロードに問題が発生したCOVID-19接触通知システムを修正 2021年01月16日
国税庁がM1 Macで確定申告書類を提出する場合の注意ページを作成 2021年01月06日
Mozilla、Rustベースのブラウザエンジン「Servo」をLinux Foundationに引き継ぎ 2020年11月20日
FSF、優先度が高いフリーソフトウェアプロジェクトのリスト更新に向けたフィードバックを募集 2020年11月03日
LINEで住民票申請を行うシステム開発企業が総務省を提訴。電子署名の要否が争点 2020年09月12日
Googleがオープンソースプロジェクトの商標管理団体を設立。すでに3種類の商標を移管 2020年07月15日
Open Mainframe Project、米国各地の公共機関がCOBOLプログラマーを確保できるよう協力 2020年04月18日

米司法省は5日、「サイバーセキュリティのレジェンド」ことジョン・マカフィー氏とその暗号通貨チームのエグゼクティブアドバイザーを暗号通貨に関連する詐欺やマネーロンダリングの共謀罪で起訴したことを明らかにした(プレスリリース、 The Vergeの記事、 Mashableの記事、 Ars Technicaの記事)。

訴状によれば、マカフィー氏は自身が購入したことを隠して暗号通貨をソーシャルメディアで宣伝し、価格が上昇すると売却していたほか、新規暗号通貨発行(ICO)実施者から報酬を得ていることを隠してソーシャルメディアで宣伝していたという。マカフィー氏が宣伝した暗号通貨の価値は急上昇するもののすぐに下落して投資家に損害を与える一方、マカフィー氏とその暗号通貨チームは詐欺的行為により1,300万ドル以上を得たとされる。

マカフィー氏は米国での脱税および申告漏れにより昨年スペインで逮捕されており、現在も米国への身柄引き渡し待ちで収監されている。アドバイザーは4日にテキサス州で逮捕されたとのこと。本件に関しては別途、米商品先物取引委員会(CFTC)が民事訴訟を提起している(PDF)。

すべて読む | セキュリティセクション | 犯罪 | セキュリティ | 暗号 | お金 |

関連ストーリー：
ジョン・マカフィー、スペインで逮捕 2020年10月07日
逃亡者ジョン マカフィー、キューバから米大統領選出馬を目指す 2019年07月09日
米裁判所、ベリーズでの殺人事件についてジョン・マカフィー氏の法的責任を認める 2018年11月17日
ジョン・マカフィー氏、毒を盛られたとTwitterに投稿 2018年06月29日
ジョン・マカフィー曰く、2要素認証を有効にしたらTwitterアカウントがハックされた 2017年12月31日
ジョン・マカフィー、自分の会社に自分の名前を使う権利があることの確認を求めてIntelを訴える 2016年09月04日
プロセッサの表面を削って固有IDを読み取ればiPhoneのロックは解除できるという話 2016年03月11日
サイバーセキュリティーのレジェンドが考えるiPhoneのロック解除法とは？ 2016年03月05日
ジョン・マカフィー曰く: iPhoneにバックドアは不要、うちのチームが3週間で暗号化を解除する 2016年02月20日
ジョン・マカフィー氏、2016年米大統領選への出馬を表明 2015年09月12日

あるAnonymous Coward 曰く、

先日、SHA-1署名されたコンテンツのダウンロードセンターからの提供中止に伴い、SHA-1署名されたDirectX SDKとDirectXエンドユーザーランタイムもダウンロードセンターから削除されたが、影響の大きさをかんがみてか、これらのダウンロードはSHA-2で署名され直して提供が再開された模様である。

なおタレコミ時点では、DirectXエンドユーザーランタイムWebインストーラー日本語版のダウンロードページおよびそのページへの短縮リンクは復活していないが、英語版のページからダウンロードできる。以前からどの言語版のページでもダウンロードできるファイルは結局同じだったので、とくに問題はない。

すべて読む | セキュリティセクション | Windows | ゲーム | 暗号 |

関連ストーリー：
Microsoftダウンロードセンター、SHA-1署名のダウンロードを「本当に」提供中止 2021年02月08日
Microsoft、Microsoft Edge 85以降でSHA-1証明書の使用を可能にする新たな(かつ非推奨の)グループポリシーを追加 2020年09月02日
Microsoftダウンロードセンター、3日からSHA-1署名のWindows向けコンテンツ提供を中止 2020年08月01日
IE11とEdgeでもついにSHA-1証明書使用サイトをブロックへ 2017年05月16日
SHA-1ハッシュの衝突を現実的な時間で生成する攻撃「Shatterd」 2017年02月25日
Microsoft EdgeとIE11、来年2月からSHA-1証明書を使用するWebサイトをブロック 2016年11月22日
Chrome 46ではSHA-1証明書などを利用したHTTPSはHTTPと同様の表示になる 2015年10月17日
SHA-1はもう安全ではない？　専門家チームが利用廃止の前倒しを提言 2015年10月13日
フルバージョンのSHA-1にコリジョン発見 2005年02月16日

nagazou 曰く、

NECなどの3社が2月18日「秘密計算研究会」を立ち上げたと発表した。この研究会はデータを暗号化したまま運用する「秘密計算」の普及を目的とした組織であるという。参加企業はNEC、デジタルガレージ、ソフトウェア開発企業のレピダム（秘密計算研究会、ITmedia、TECH+）。

公式サイトによれば、

秘密計算は、高度な暗号理論を用いて、データを暗号化した状態のままでデータベース処理、統計分析、AIによる分析などができる技術です。データ保護性が非常に高いクラウドサービスや、複数組織のデータを安全に共有・統合して1つのビッグデータとして利活用できるシステムを実現する技術として、期待されています。

とのこと。

秘密計算には「秘密分散」や「準同型暗号」を元に下した異なる方式が複数存在しているが、それぞれ独立して研究されてきたことから、安全性や性能などを一定のの基準で定量的に評価する方法が確立されていなかったという。秘密計算研究会は秘密計算における評価基準を策定し、秘密計算がクラウドなどの社会インフラ上に広く実装されることを目指すとしている。

すべて読む | セキュリティセクション | 暗号 | IT |

関連ストーリー：
Microsoft、人体の活動データを用いて暗号通貨を採掘するシステムの特許を出願 2020年04月05日
米内国歳入庁（IRS）、暗号通貨を利用した脱税行為が疑われる1万人以上に警告を送付 2019年11月15日
OpenSSHにメモリ上の暗号鍵を暗号化する機能が追加される 2019年06月28日
NICT、格子理論に基づく耐量子計算機暗号「LOTUS」を発表 2018年01月15日
30桁の複雑なパスワードで暗号化されたTrueCryptの隠しボリューム、FBIが復号に成功？ 2015年08月08日
京大や筑波大、KEKのスパコンで不正アクセスが発覚 2013年12月19日

headless 曰く、

1月19日にリリースされたオープンソースの暗号ライブラリLibgcrypt 1.9.0で深刻なヒープバッファーオーバーフロー脆弱性(CVE-2021-3345)が見つかり、29日に修正版のバージョン1.9.1がリリースされた(アナウンス、 Project Zero - Issue 2145、 The Registerの記事)。

GoogleのProject Zeroが発見した脆弱性は汎用ブロックバッファー抽象化コードに含まれており、ブロックバッファー内で占有されたスペースがアルゴリズムのブロックサイズを超えることがないという誤った前提が原因で、データを復号する際に発生する。オーバーフローするバッファーは直後に呼び出される関数のポインターと隣接しているため、容易に悪用が可能だという。

Project Zeroから1月28日に連絡を受けたGnuPG Projectは翌29日に使用中止の呼び掛けを行い、数時間後にバージョン1.9.1をリリースしている。バージョン1.9.0がリリースされたのは1月19日だが、脆弱性は1.9の開発段階でおよそ2年前に導入されていたそうだ。そのため、1.8 LTSブランチは影響を受けないが、GnuPG Projectでは少なくともバージョン1.8.5以降を使用するよう求めている。

リリース直後ということもあって影響範囲は広くないが、既にバージョン1.9.0を使用していたGentooや、macOS用パッケージマネージャーのHomebrewでは対策が行われている。Fedora 34にもバージョン1.9.0が含まれていたが、正式リリース前だったため影響は小さかったとのこと。ただし、バージョン1.9.1では脆弱性修正と無関係な変更も行われており(リリースノート)、Intel CPUでコンパイルエラーが発生するという問題も確認されているとのことだ。

すべて読む | オープンソースセクション | オープンソース | セキュリティ | バグ | 暗号 |

関連ストーリー：
Microsoft、SMSや音声通話による多要素認証をやめてアプリベースの多要素認証への移行を推奨 2020年11月13日
Web会議サービスZoom、虚偽のセキュリティを主張した問題等でFTCと和解 2020年11月13日
GoogleのProject Zero、Windowsカーネルのゼロデイ脆弱性を公表 2020年11月01日
オーストラリア政府、パプアニューギニア設置のデータセンター脆弱性でファーウェイを非難。意図的な不具合か 2020年08月24日
QualcommやMediatekのWi-Fiチップでも「KrØØk」に似た脆弱性が発見される 2020年08月12日
延期されていたTLS 1.0/1.1のデフォルト無効化、6月から順次実施 2020年06月15日

headless 曰く、

Libra Associationは1日、名称をDiem Associationへ変更することを明らかにした(プレスリリース、 SlashGearの記事、 The Vergeの記事)。

Facebookなどにより昨年設立されたLibra Associationは今年前半にデジタル通貨「Libra」の運用開始を目指していた。しかし、Facebookが中心となっていることに各国政府からの懸念が相次ぎ、いまだに運用は開始されていないが、来年にも限定的な運用を開始する見込みだと先週Finantial Timesが報じていた。

Diem Associationによれば、新しい名前はプロジェクトにとって新しい日(Diem)を示すものだという。Libra Associationでは初期メンバー28団体のうち決済企業の多くが参加を取りやめるなど一時は20団体まで減少していたが、現在は27団体となっている。ただし、5月の段階と比較するとTagomiが抜けてBlockchain Capitalが加わっている。

Webサイトのドメインもlibra.orgからdiem.comに変わっており、libra.orgへのアクセスはdiem.comにリダイレクトされる。サイトの内容はほぼ変わっていないようだが、日本語版を含む複数の言語版が用意されていた旧サイトとは異なり、現在のところ英語版のみとなっている。

すべて読む | セキュリティセクション | ビジネス | スラッシュバック | Facebook | 暗号 | お金 |

関連ストーリー：
Facebook、デジタル通貨Libraに対応するデジタルワレットの名称をCalibraからNoviに変更 2020年05月29日
決済関連企業の大半がLibra協会への参加を取りやめ 2019年10月13日
PayPal、Libra協会への参加を取りやめ 2019年10月09日
米議会、大手IT企業の仮想通貨参入を防ぐための法案作りに動き出す 2019年07月17日
政府、Libraに関する連絡会を設置 2019年07月15日
Facebook、新しい暗号通貨「Libra」に対応するデジタルワレット「Calibra」を発表 2019年06月21日

東芝は7月に量子暗号通信網の共同研究開発の話をしていたが、10月19日には「量子暗号通信」を使った事業を始めると発表した。量子暗号通信を使ったシステムインテグレーション事業は日本では初めてだとのこと（東芝、ITmedia、日経新聞）。

東芝によれば、専用の光ファイバーを使用して2点間をつないで通信する「長距離用途向け」のものと既存の光ファイバー網を利用する「多重化用途向け」の2種類の量子鍵配送プラットフォームを開発しているという。専用システムでは伝送距離120kmを300kbpsで伝送でき、既存光ファイバー網利用タイプでは伝送距離70kmで速度は40kbpsになるとしている。

盗聴に強いとされる量子暗号通信を使うことで、安全保障や金融、医療分野などへの活用を計画しているという。2025年度までに日本だけでなく海外などでの展開も計画している。35年度に世界市場のシェア25％獲得を目指すとしている。

すべて読む | セキュリティセクション | セキュリティ | 通信 | 暗号 |

関連ストーリー：
東芝など12事業者、量子暗号通信に関する研究開発委託事業に参加。総務省主導 2020年07月31日
東芝や東北大、量子暗号通信で500GBのデータ送受信に成功 2020年01月16日
中国が解読不可能な暗号通信の実現へ向けた量子科学実験衛星を打ち上げ 2016年08月18日
Google、Chrome Canaryでポスト量子暗号を実験 2016年07月16日
実環境において安全を定量的に保証する量子暗号鍵配布システムが開発 2007年01月19日

headless 曰く、

MicrosoftがMicrosoft Edge 85以降を対象に、限定的ながらSHA-1証明書で保護された接続を許可できるようにするグループポリシーを追加していたようだ(Microsoft Edge - ポリシー、 Microsoft Tech Communityの記事、 The Registerの記事、 ビジネス向けEdge ダウンロードページ)。

SHA-1証明書で保護された接続が許可される条件となるのは、ローカルにインストールされたルート証明書にチェーンした有効なSHA-1証明書であること。ポリシーは既存のアプリケーションとの互換性を保つためにSHA-1証明書を必要とする企業のために追加されたといい、Active Directoryドメインに参加しているWindowsインスタンスやデバイス管理に登録されているWindows 10 Pro/Enterpriseインスタンス、MDMを使用するmacOSインスタンスのみが利用できる。

Internet Explorer 11とレガシーMicrosoft Edgeでは2017年からSHA-1証明書をブロックしており、新ポリシーは追加時点で非推奨という珍しいことになっている。MicrosoftではSHA-1チェーンが安全ではないことを周知するためにポリシーをセキュリティベースラインに追加しており、一刻も早くSHA-1証明書への依存から脱却するよう呼びかけている。このポリシーは2021年中頃リリースのMicrosoft Edge 92で削除される予定とのことだ。

すべて読む | セキュリティセクション | セキュリティ | マイクロソフト | インターネット | 暗号 |

関連ストーリー：
Microsoftダウンロードセンター、3日からSHA-1署名のWindows向けコンテンツ提供を中止 2020年08月01日
IE11とEdgeでもついにSHA-1証明書使用サイトをブロックへ 2017年05月16日
SHA-1ハッシュの衝突を現実的な時間で生成する攻撃「Shatterd」 2017年02月25日
Microsoft EdgeとIE11、来年2月からSHA-1証明書を使用するWebサイトをブロック 2016年11月22日
証明書の不正発行や日付改ざんを行っていた認証局「WoSign」、Firefoxが同社による証明書をブロックへ 2016年10月04日