石川県で最大震度 6 強の地震

2023年5月5日 17:42

5 日 14 時 42 分ごろ、石川県で最大震度6強を観測する地震が発生したそうだ (気象庁 - 地震情報、 tenki.jp の記事、読売新聞オンラインの記事、毎日新聞の記事、朝日新聞デジタルの記事)。

震度 6 強を観測したのは石川県珠洲市。このほか、石川県内では能登町で震度 5 強、輪島市で震度 5 弱を観測したという。震源は石川県能登地方 (北緯 37.5 度東経 137.3 度)、震源の深さは約 10 km、マグニチュード 6.3 と推定される。津波の心配はないとのこと。揺れはかなり広い範囲で感じられたようだ。スラドの皆さんはご無事だろうか。

すべて読む | サイエンスセクション | サイエンス | 地震 |

Spotify の月間アクティブユーザー数、5 億人を超える

スラド

著者: headless

2023年4月29日 13:32

Spotify の月間アクティブユーザー数 (MAU) が 5 億人を超えたそうだ (プレスリリース、 For the Record の記事、 Neowin の記事、 Ghacks の記事)。

この数字は Spotify が 2023 年第 1 四半期決算で明らかにしたもので、MAU は前年比 22% 増の 5 億 1,500 万人、有料のプレミアムサブスクライバー数は前年比 15% 増の 2 億 1,000 万人。有料ユーザー数は 2022 年第 4 四半期の段階で 2 億人を超えていたが、MAU が 5 億人を超えるのは今回が初めてだ。

いずれも 4 年前の 2019 年第 1 四半期から 2 倍以上に増加しており、MAU は 2019 年第 1 四半期から 2022 年第 1 四半期まで年 7,000 万人前後のペースで増加してきたが、2022 年第 1 四半期から 2023 年第 1 四半期までの 1 年間では 9,300 万人増と増加幅が大きくなった。一方、有料ユーザー数は 2020 年第 1 四半期までの 1 年間に 3,000 万人増加したのがピークで、以降は 3,000 万人未満の増加幅となっている。

なお、MAU・有料ユーザーともにすべての地域で増加しているが、有料ユーザー数は特に欧州と南米での増加が大きいという。総売り上げは有料ユーザー数の増加がけん引し、前年比 14% 増の 30 億ユーロに到達したとのことだ。

すべて読む | ITセクション | ビジネス | 統計 | インターネット | IT | 音楽 |

Microsoft Edge、デフォルトでほぼすべてのアクセス先URLをBing APIに送信

スラド

著者: headless

2023年4月29日 11:39

Microsoft Edge ではコンテンツ作成者のフォロー機能を利用できるが、この機能がアクセス先ほぼすべてのフル URL をデフォルトで Bing API に送信しているようだ (The Verge の記事、 Neowin の記事、 On MSFT の記事)。

問題が発生しているのはフォロー可能なコンテンツ作成者を特定するため、ウェブページへのアクセスを bingapis.com に送信する機能だ。Reddit ユーザーが発見したところによれば、以前のバージョンでは特定ドメインまたはページに限って送信されていたが、バージョン 112.0.1722.34 以降ではほぼすべてのページが送信されるようになったという。

The Verge によれば Bing API にはドメインや URL パターン別にデータ収集の有無を指定する数十件のフィルターリストが用意されているが、実際にはアクセス先 URL で未チェックのものがすべて送信されてしまうようだ。The Verge の依頼で調査を行ったソフトウェアエンジニアの Rafael Rivera 氏は意図したとおりに動作していない可能性を指摘している。

Bing API への送信はデフォルトで有効になっているが、Microsoft Edge の設定画面で「プライバシー、検索、サービス」の「Microsoft Edge で作成者をフォローできる修正候補を表示する」をオフにすれば一切送信されなくなる。Microsoft は問題を認識して調査を行っているとのことだが、修正完了までこのオプションをオフにしておくといいだろう。

Uberspace曰く、Youtube-dlのホスティング禁止は検閲の民営化につながる

スラド

著者: headless

2023年4月16日 20:21

ドイツ・ハンブルクの地方裁判所が Youtube-dl のホスティング禁止を命じたことについて、検閲の民営化につながるとドイツのホスティングプロバイダー Uberspace が批判している (TorrentFreak の記事)。

この裁判は Sony Entertainment と Warner Music Group、Universal Music の 3 社が Uberspace を訴えたものだ。Uberspace は Youtube-dl のメインサイト yt-dl.org をホスティングしており、過去に削除要請を受け取っているがホスティングを継続してきた。GitHub は RIAA の要請によりいったん Youtube-dl を削除しているが、その後違法性が確認されなかったとして復活させている。GitHub との争いは Microsoft を相手にすることになるため、簡単な相手として Uberspace が狙われたとみられる。

ドイツの法律ではホスティングプロバイダーが明白な違法行為であることを確認した場合、すぐに削除することを義務付けている。しかし、Uberspace 社主の Jonas Pasche 氏によれば、Youtube-dl には当てはまらないという。Pasche 氏は誰かが違法だと主張したからと言って必ずしも違法とは限らないと考えており、Youtube-dl の削除要請を受け取ったときに調査を行ったそうだ。

調査の結果、YouTube は無料で一般公開されている動画を暗号化しておらず、Youtube-dl によるダウンロードが米著作権法の禁ずる技術的保護手段の回避にはあたらないとの結論に達する。また、ドイツではフェアユースでカバーされることも判明したという。しかし、裁判所の結論は違法性が明確でなくても削除すべきというものであり、ホスティングプロバイダーが違法性を判断してコンテンツを削除する検閲の民営化につながると Pasche 氏は主張する。そのため、Uberspace は控訴する計画を示し、Youtube-dl のホスティングを継続しているとのことだ。

すべて読む | ITセクション | EU | 海賊行為 | YouTube | インターネット | 音楽 | 検閲 | 法廷 | YRO |

ESA の Juice ミッション、打ち上げ成功

スラド

著者: headless

2023年4月15日 16:24

Arianespace は 14 日、Ariane 5 ロケットによる ESA の Juice 探査機打ち上げミッションをギアナ宇宙センターで実施した (ESAのプレスリリース、 Arianespace のプレスリリース、動画)。

打ち上げが行われたのは日本時間 14 日 21 時 14 分。50 分後にドイツ・ダルムシュタットの欧州宇宙センター (ESOC) がオーストラリアのニューノーチャ地上局を通じた信号受信成功を確認。さらに 29 分後、Juice の長さ 27m の太陽電池アレイ展開にも成功している。

Juice (JUpiter ICy moons Explorer) のミッションは木星の海を持つ大きな衛星、ガニメデ・カリスト・エウロパの 3 つを詳細に観測することだ。ミッションではこれらの衛星を天体および生命の存在可能性のある環境の両面で調査するほか、木星の複雑な環境をより深く探ることや、より広い木星系を宇宙全体の巨大ガス惑星の原型として研究することが目的となる。

Juice は今後 2 週間半かけて長さ 16m のレーダーアンテナや長さ 10.6m の磁力計ブームなど、さまざまなアンテナと探査機器のブームを展開していく。その後は 2024 年 8 月の月-地球フライバイをはじめ、地球と金星で計 4 回のフライバイを実施して 2031 年 7 月に木星到着の予定だ。木星到着後は 3 つの衛星で計 35 回のフライバイを行い、2034 年にはガニメデの周回軌道に入る計画とのことだ。

すべて読む | サイエンスセクション | サイエンス | 宇宙 |

IPA、サイトリニューアルで大半のページをリンク切れにする

スラド

著者: headless

2023年4月2日 16:01

あるAnonymous Coward 曰く、

情報処理推進機構 (IPA) は 3 月 31 日付ですべてのウェブページをリニューアルしたが、旧ページに新ページへのリダイレクトを設定していないため外部からのリンクが全て (※) 切れてしまっている。

IPA は公式ツイッターで
【IPAウェブサイトリニューアルのお知らせ】
3/31のウェブサイトのリニューアルに伴い各ページのURLを変更しました。ご不便をおかけしますが、ウェブリンクをブラウザの「お気に入り」などに登録されている場合は新しいURLに変更いただきますようお願いいたします。
と、とぼけたことを言っているがこの日本のすべての文書の IPA へのリンクを書き換えろという不可能な寝言をいっているのだろうか。
これが情報の処理を推進するとか日本の行く先は暗い…

※ 編注: URL が変更され、リダイレクトが設定されていないのは以前から www.ipa.go.jp で公開されていた脆弱性情報やアナウンスなど、各種のセキュリティ関連情報のほか、プレスリリースや資料など (以上全てリンク切れ) が主で、一部は Google の検索結果もリンク切れという大惨事だ。URL の変更規則も公表されていないので、一括して置き換えることもできない。特設ページの中には URL が変更されていないものもあるが、リンク切れのリンクを含むページもある。一方、www.jitec.ipa.go.jp から www.ipa.go.jp/shiken へ移動した試験情報にはリダイレクトが設定されており、旧 URL から問題なくアクセスできる。

すべて読む | ITセクション | 日本 | インターネット | IT | 政府 |

FBI、ハッカーフォーラム運営者「ポムポムプリン」を逮捕

スラド

著者: headless

2023年3月21日 13:32

サンリオのキャラクター「ポムポムプリン」をユーザー名やアイコンに使用して活動していたハッカーフォーラムのオーナーが米ニューヨーク州ピークスキルの自宅で逮捕されたそうだ (HackRead の記事、 news12 Westchester の記事、 Bloomberg の記事、 The Register の記事、裁判所文書: PDF)。

このハッカーフォーラム「BreachForums」は閉鎖された Raidforums の代替として開設されたもので、企業やウェブサイトから盗まれたデータベース 1,000 件近くをホストする現在最も活発なハッカーフォーラムだという。昨年中国で流出した 10 億人規模の個人情報や、1 月に米航空会社から流出した米国の飛行禁止リストも同フォーラムで公開されている。pompomprin は 2021 年に fbi.gov ドメインで偽メールが大量送信された事件の実行者としても知られる人物だ。BreachForums では pompomprin の逮捕を受け、他のシステム管理者が新オーナーとして運営を続けていくと発表している。

LastPass の不正アクセス、エンジニアが自宅 PC のサードパーティソフトウェアを更新していれば防げた可能性

スラド

著者: headless

2023年3月5日 17:36

昨年 8 月に発生した LastPass の開発環境への不正アクセスは 11 月の不正アクセスにつながり、攻撃者は顧客のパスワード保管庫のバックアップを保存したクラウドストレージにアクセスしているが、この 2 回目の攻撃は DevOps エンジニアがサードパーティソフトウェアを更新していれば防げた可能性があるようだ (PCMag の記事、 Android Police の記事)。

LastPass は 2 月 27 日に不正アクセスに関する更新情報を公開し、攻撃者が 2 回目の不正アクセスに必要な復号鍵を DevOps エンジニアの自宅 PC への不正アクセスを通じて入手したことを明らかにした。それによると、攻撃者は DevOps エンジニアの自宅 PC でサードパーティのメディアソフトウェアパッケージの脆弱性を利用してキーロガーをインストールし、復号鍵を保存した保管庫のマスターパスワードを入手したのだという。

LastPass はソフトウェアの名称を明らかにしなかったが、Ars Technica が Plex Media Server だという情報を入手。Plex も昨年 8 月にセキュリティ上の問題が確認されてユーザー全員にパスワード変更を要請しているが、それとの関係は不明だった。その後、問題の脆弱性は 2020 年 5 月に修正済みの CVE-2020-5741 であることが判明する。Plex は PCMag に対し、脆弱性はおよそ 75 バージョンも前に修正されていたが、LastPass の従業員がソフトウェアを更新することはなかったなどと語ったとのことだ。

JAXA、H3 ロケット試験機 1 号機の打ち上げスケジュールを 7 日に再設定

スラド

著者: headless

2023年3月5日 15:43

JAXA は 4 日、H3 ロケット試験機 1 号機の打ち上げスケジュールを 7 日に再設定したと発表した (プレスリリース)。

2 月 17 日に予定されていた打ち上げはロケットの自動カウントダウンシーケンス中に異常が検知されて中止となった。JAXA は 3 日、「機体と地上設備の電気的離脱時に発生する通信・電源ラインの過渡的な電位変動の影響により1段機体制御コントローラが誤動作したものと考えられる」との調査結果を発表し、必要な対策処置を完了する見通しが得られたとして打ち上げスケジュールを 6 日に再設定していたが、当日の気象条件が整わないことが予想されるため 7 日に再設定したとのこと。

現時点での打ち上げ時間帯は日本時間 3 月 7 日 10 時 37 分 55 秒～ 10 時 44 分 15 秒、3 月 8 日～ 10 日に予備期間が設定されている。7 日の打ち上げ可否については今後の気候状況を踏まえて再度判断するとのこと。

これについてあるAnonymous Coward 曰く、

電気的離脱 (電源ラインの遮断？) 時に発生した過渡的な電位変動により半導体スイッチが誤作動したということで、電位変動が小さくなるように電気的離脱のタイミングを 10 ms 単位でずらすよう対策したとのこと (記者説明会動画)。

Signal、プライバシーを弱めるぐらいなら英国から撤退

スラド

著者: headless

2023年2月26日 12:59

英国政府が検討中の法案 Online Safety Bill について、通信の暗号化を損なうようなことになるなら英国から撤退すると Signal のメレディス・ウィテカー氏が BBC に語ったそうだ (BBC News の記事、 The Guardian の記事、 Ars Technica の記事)。

英政府は法案がエンドツーエンド暗号化を禁ずるものではないと説明するが、ウィテカー氏は「プライバシーが善人のものだけ」と信じるのは「魔法的な考え方」だと指摘。暗号は全員を保護するか、全員にとって壊れているかのいずれかだと付け加えたという。

ウィテカー氏はプライベートなメッセージをスキャンするためのバックドアが悪意ある国家の手先に悪用され、犯罪者がシステムにアクセスする道を開くとし、Signal が真にプライベートなコミュニケーション手段を提供するという人々の信頼を損なうよりも撤退する方がいいとのこと。

暗号化が児童虐待者を守るという主張に対しては、ロス・アンダーソン氏の論文(PDF)から「複雑な社会的問題を安価な技術的手段で解決できるという考えはソフトウェアセールスマンが使うセイレーンの誘惑だ」という一節を引用し、虐待の多くが行われる家庭やコミュニティでの抑止に注力すべきだと述べたとのことだ。

すべて読む | セキュリティセクション | 英国 | YRO | ソフトウェア | 政治 | 暗号 | 政府 | プライバシ |

タモリ倶楽部、2023 年 4 月 1 日に終了

スラド

著者: headless

2023年2月23日 16:51

maia 曰く、

1982 年 10 月から続くタモリ倶楽部が 2023 年 4 月 1 日 (3 月 31 日金曜日深夜) で終了するそうだ (毎日新聞の記事、 ORICON NEWS の記事、読売新聞オンラインの記事、 Sponichi Annex の記事)。

タモリ倶楽部はマニアックな話題を取り上げる、テレビ界でも稀有な存在だった。最近は空耳アワー休業が続いていた。タモリ氏は現在 77 歳。何事にも終わりはあるんですね。ブラタモリはまだ続いてるようだが、どうなんだろう。

本件に関するプレスリリース等は現在のところ出ておらず、番組公式サイトでも特に言及はない。

すべて読む | ニュース |

関連ストーリー：
「世界最重量硬骨魚」はウシマンボウ 2017年12月11日
東京駅の地下に巨大空洞が発見される 2015年07月22日
空耳の科学 2014年12月14日
新種のコガネムシ、北杜夫さんにちなんで命名される 2011年09月22日
「ジンギスカン」が20年ぶりに再結成 2005年12月21日
モナーによく似た「のまネコ」著作権問題、白熱中 2005年09月09日

ChatGPT の助けを借りて作られた CatGPT

スラド

著者: headless

2023年2月5日 15:18

ChatGPT の助けを借りて作ったという CatGPT が公開されている (Neowin の記事、 GitHub リポジトリ)。

作者は ChatGPT に似たウェブサイトを作るため、HTML と CSS、JavaScript の生成を ChatGPT に依頼したそうだ。ただし、最終的なコードは手作業による調整が行われている。猫版のChatGPTのような感じにはなっているが応答にAIが使われているわけではなく、CatGPTは適当な数の猫の鳴き声 (meow) を返してくるだけだ。ページ読み込み後はオンラインである必要もない。なお、特定の入力にのみ異なる応答をするイースターエッグも含まれている。

すべて読む | idleセクション | 変なモノ | idle |

アキバのドネルケバブ店「スターケバブ」が 2 月 20 日で閉店

スラド

著者: headless

2023年1月22日 15:55

あるAnonymous Coward 曰く、

今や秋葉原に限らず随所で出店していて、軽食として日本に定着した感のあるトルコ料理のドネルケバブ店であるが、アキバのツクモパソコン本店近く (通称ジャンク通りからあきばお～横のわき道にはいったところ) の固定店舗で営業しているテイクアウト店のスターケバブ本店と、牛丼サンボ近くで営業しているイートイン店のスターケバブアキバテラス店が 2 月 20 日で閉店するとのこと。

1999 年から営業というケバブ店としては老舗 (おそらくアキバ初出店、日本国内でも早発のほうでは)。2014 年には第 1 回ケバブグランプリ「KEBA-1」で優勝していたらしい。「スターケバブ」系列ではないドネルケバブ店もアキバにはあったように記憶しているが、スラドの皆さんの中でもスターケバブを賞味した方は多いのではないだろうか。

#立ち食いしていると鳩が寄ってくるのよね……

すべて読む | idleセクション | idle |

Googleの検索結果で数十億件との表示、実際の件数は？

スラド

著者: headless

2023年1月9日 19:57

先日、特定のウェブサイトから特定のキーワードを含む記事を抽出しようと Google で検索したところ約 1,580 件と表示されたのだが、実際は 305 件にしか到達できなかった。

「cat」を日本語表示の Google で検索すると数十億件と表示されるが、22ページ目で「最も的確な検索結果を表示するために、上の 220 件と似たページは除外されています。」と表示された(ページ数と件数は変動する)。検索結果をすべて表示するため再検索しても、400 件程度しかないようだ。数十億件の cat はどこに行ったのだろう。スラドの皆さんは、Google での検索結果が予想よりも少ない現象を目にすることがあるだろうか。

民法改正により新成人数は例年の3倍近い341万人、20歳人口は前年から6万人減の117万人

スラド

著者: headless

2023年1月9日 11:08

新年と成人の日にちなみ、総務省統計局が 2023 年 1 月 1 日現在における卯年生まれの人口と新成人の人口を推計している (統計トピックスNo.134)。

今年は民法の一部を改正する法律の施行に伴う経過措置により 1 月 1 日時点で 18 歳～ 20 歳の人が新成人となるため、新成人人口はここ数年の 3 倍弱となる 341 人、総人口に占める割合は 2.7 % となった。内訳は 18 歳 112 万人、19 歳 113 万人、20 歳 117 万人。20 歳の人口を比較すると昨年の 123 万人から 6 万人減少、総人口に占める割合も昨年の 0.98 % から 0.05 ポイント少ない 0.93 % となっている。新成人人口を男女別にみると男性 175 万人、女性 166 万人で男性が 9 万人多く、人口性比は 105.6 だという。各年齢でも人口性比に大きな違いはみられず、18 歳と 20 歳が 105.6、19 歳が 105.8 となっている。

卯年生まれの人は 1 月 1 日現在 997 万人で、午年生まれ (969 万人) と酉年生まれ (980 万人) に次いで少ない。総人口に占める割合は 8.0 %。年齢別でみると 48 歳 (1975 年生まれ) が 186 万人で最も多く、171 万人の 72 歳 (1951 年生まれ) と 157 万人の 60歳 (1963 年生まれ) が続く。最も少ないのは 96 歳 (1927 年生まれ) で 20 万人となっている。

WhatsApp、政府による遮断に対抗してプロキシサポートを全世界で提供

スラド

著者: headless

2023年1月8日 15:30

WhatsApp は 5 日、全世界の WhatsApp ユーザーに対するプロキシサポートの提供開始を発表した (WhatsAppブログの記事、 Ars Technica の記事、 Softpedia の記事、 Android Police の記事)。

国連の報告書によると 2016 年から 2021 年の間に 74 か国で政府によるインターネット遮断が 931 回記録されており、少なくとも 225 回は大規模な抗議活動が行われる最中だったという。インターネット遮断はインターネット全体に対するもののほか、特定のコミュニケーションチャンネルを対象としたものがあり、プロキシサポートは WhatsApp が遮断の対象となった場合に継続して利用可能にするためのものだ。

WhatsApp でプロキシを使用するには、Android/iOS ともに、設定画面の「ストレージとデータ」でプロキシ設定をオンにしてプロキシのアドレスを指定すればいい。遮断の影響を受ける人を助けるため、ボランティアでプロキシサーバーを設置する手順も紹介されている。メッセージはエンドツーエンドで暗号化されるため通信内容がプロキシサーバー設置者や WhatsApp/Meta に見られることはないが、プロキシサーバー設置者が WhatsApp ユーザーの IP アドレスを知ることになる。

すべて読む | ITセクション | 通信 | 政治 | Facebook | インターネット | IT | 政府 |

アバター新作、経済制裁下のロシアでも上映

スラド

著者: headless

2023年1月1日 18:11

12 月に世界で公開されたアバター新作「アバター: ウェイ・オブ・ウォーター」はロシアの複数の映画館でも 12 月から上映されており、1 月 12 日にはロシア最大の映画館チェーンでも上映が始まるそうだ (TorrentFreak の記事、 Meduza の記事)。

ロシアの映画館ではウクライナ侵略に対する経済制裁で西側諸国からの映画配給が停止されて以降、違法なトレントサイトでダウンロードした海賊版の新作映画をロシア語に吹き替え、デジタルシネマパッケージ (DCP) に変換して上映してきた。しかし、今回のアバター新作はカザフスタンのような友好的な国の協力者から横流しを受けた公式 DCP が非公開トレントで共有されており、これまでの海賊版とは一線を画する品質なのだという。

ロシアでは経済制裁に対抗して海賊版を許可したなどとも報じられたが、映画の海賊版は現在も違法だ。ロシア当局はコンテンツの「強制ライセンス」導入を目指しており、ウラジーミル・プーチン大統領は映画館がロシアの特別な口座を通じて (許可を得ずに上映した) 映画の権利者にコンテンツ使用料を支払う (ただし、ハリウッドの映画スタジオは口座にアクセスできないという) ことを可能にする大統領令に署名している。ただし、議会で提案された「強制ライセンス」法案は第 1 読会にも達していないそうだ。

そのため、これまでロシアの映画館では貸館として劇場使用を契約した会社による「上映会」という名目で海賊版の新作映画を上映してきた。一方、今回のアバター新作はロシアの短編映画の「前座」という形で上映されているらしい。大手チェーンは上映を遅らせた理由として、新年にはアバター新作がなくても映画館の観客は多く、他の映画館と売り上げを分け合うことができるなどと説明しているとのことだ。

すべて読む | YROセクション | 映画 | 軍事 | YRO | 海賊行為 | 政治 |

iPhone 14、起動時やスリープ解除時にランダムな横線が表示される問題

スラド

著者: headless

2022年12月25日 19:27

iPhone 14 で起動時やスリープ解除時、画面の横幅いっぱいに横線 (水平線) が表示される問題が報告されている (9to5Mac の記事、 Mac Rumors の記事、 Reddit のスレッド、 Apple Community の投稿 [1]、 [2]、 [3]、 MacRumors Forums のスレッド)。

横線はランダムに表示されるようで、本数や色は一定しないようだ。特に iPhone 14 Pro Max での報告が多いという。Apple のサポート担当者や Apple Store スタッフはハードウェアの問題ではなく、ソフトウェア (ドライバー) の問題だと説明しているそうだ。

対策としては常時表示ディスプレイをオフにする、手動で画面をオフにする、iPhone をリセットする、といったものが挙げられているが、いずれも確実ではないとのことだ。

Heroku のクラウドサービスで問題が発生した Skeb、他のクラウドサービスへ移管して 24 時間以内に復旧

スラド

著者: headless

2022年12月25日 15:47

route127 曰く、

有償で作品制作を依頼できるコミッションサービス Skeb が Heroku のクラウドサービスを利用できなくなり、Heroku および代理店の Salesforce Japan から情報がなかったため他クラウドサービスへ移管した (Skeb の告知[1]、 [2])。

開発用コンテナイメージを利用したことで、移管の決定からサービス復旧まで 24 時間以内に行われた。

すべて読む | ITセクション | クラウド | IT |

LastPass への不正アクセス、攻撃者はパスワード保管庫のバックアップをコピー可能な状態だった

スラド

著者: headless

2022年12月24日 15:25

LastPass が不正アクセスに関するブログ記事を更新し、11 月に発表した 2 回目の不正アクセスでは攻撃者が顧客のパスワード保管庫のバックアップをコピー可能な状態であったことを明らかにした (LastPass のブログ記事、 The Verge の記事、 Ars Technica の記事、 The Register の記事)。

8 月に発生した最初の不正アクセスでは LastPass 開発環境の一部が侵入を受けた。開発環境に顧客データは含まれないが、ソースコードと技術情報の一部が奪われ、2 回目の攻撃で LastPass 従業員をターゲットにしてクラウドストレージサービスへのアクセスと復号に必要な鍵の窃取に用いられている。

これにより、攻撃者は LastPass 顧客のアカウント情報やメタデータにアクセス可能だったほか、暗号化されたストレージコンテナからパスワード保管庫のバックアップをコピー可能だったという。なお、攻撃者が暗号化されていないクレジットカード情報にアクセスした痕跡はないとのこと。

保管庫はプロプライエタリなバイナリ形式でウェブサイトの URL など暗号化しないデータと、ウェブサイトのユーザー名とパスワード、フォーム入力データなどの暗号化されたデータが格納されている。暗号化されたフィールドには 256-bit AES 暗号化が用いられており、顧客だけが知るマスターパスワードでのみ復号できる。

これにより、顧客が LastPass のベストプラクティスに従ったマスターパスワードを作成して使用している限り、現在一般に利用可能なパスワードクラック技術では数百万年を要するため何もする必要はないという。ただし、弱いマスターパスワードを使用していた場合は各ウェブサイトでパスワードを変更してリスクを最小化することを検討すべきとのことだ。

リーディングビュー