タグ「情報セキュリティ」の記事
「情報セキュリティ」タグが付いた記事の一覧です(10件)。新しい順に掲載しています。
-
MS14-068で普通のユーザーが管理者になれた理由 ── KerberosのPACと署名検証
MS14-068（CVE-2014-6324）では、一般ユーザーが偽ったグループ情報をKDCが受け入れ、ドメイン管理者として扱われ得ました。PAC、鍵付き署名とチェックサムの違い、権限への反映、修正と検知の限界を解説します。
-
CurveBall――偽の証明書を、なぜWindowsが信頼してしまったのか？ ── CryptoAPIと楕円曲線のパラメーター
CurveBall（CVE-2020-0601）は、偽の証明書を信頼された認証局のものと取り違えるWindowsの脆弱性でした。公開鍵の点と基準点の関係から、署名の計算が正しくても信頼の判定が崩れる理由を解説します。
-
PrintNightmareはなぜSYSTEM権限を奪えたのか？ ── 印刷スプーラーとドライバー導入の境界
PrintNightmare（CVE-2021-34527）は、印刷スプーラーのドライバー導入機能からSYSTEM権限のコード実行に至る脆弱性でした。通常の印刷との違い、DLLが実行される過程、Point and Printとの関係、2021年の対策を解説します。
-
Zerologonはなぜ認証を突破できたのか？ ── Netlogonでゼロが正解になった理由
Zerologon（CVE-2020-1472）では、パスワードを知らない相手がコンピューターになりすませました。AES-CFB8の計算を1バイトずつ追い、ゼロが認証の正解になる理由と、ドメイン全体に被害が広がる仕組みを解説します。
-
情報処理安全確保支援士 令和6年春 午後問1解説 ── JWTのalg=noneとAPI認可、WAFの暫定対策
情報処理安全確保支援士試験 令和6年春 午後問1を題材に、JWTのalg=none、API認可、Mass Assignment、4桁認証コードの総当たり、WAFによる暫定対策を解説します。
-
情報処理安全確保支援士 令和5年秋 午後問2解説 ── 来客用Wi-Fiから持ち出されるファイル
情報処理安全確保支援士試験 令和5年秋 午後問2を題材に、USBメモリを塞いだ会社が来客用Wi-Fiからファイルを持ち出される経路を解説します。サーバ証明書の検証とHSTS、MACアドレスフィルタリングの限界、EAP-TLSとTPMによる対策を整理します。
-
情報処理安全確保支援士 令和5年秋 午後問1解説 ── 16件のレビューが2件しか表示されない格納型XSS
情報処理安全確保支援士試験 令和5年秋 午後問1を題材に、格納型XSSの攻撃の流れを解説します。文字数制限が分割投稿で破られた理由、セッションIDが外部に送られず画像として持ち出された経路、そこで効いた対策を整理します。
-
情報セキュリティ10大脅威 2026 ── ランキングの眺め方と、中小企業が本当に対策すべきもの
IPA「情報セキュリティ10大脅威2026」では、ランサム攻撃が11年連続の1位、サプライチェーン攻撃が2位、初選出の「AIの利用をめぐるサイバーリスク」が3位に入りました。組織編トップ10の内容と、中小企業がどの脅威を自分事として対策すべきかを解説します。
-
ホームページの発注側も知っておきたい ── IPA「安全なウェブサイトの作り方」をチェックリストとして使う
会社のホームページのセキュリティは何を基準に確認すべきか。IPA「安全なウェブサイトの作り方」が取り上げる11の脆弱性と対策を、発注側・運営側にも分かる言葉で解説し、発注・検収・運用での使い方を紹介します。
-
中小企業のセキュリティ対策、何から始めるか ── IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版の歩き方
中小企業のセキュリティ対策は何から始めるべきか。IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版をもとに、情報セキュリティ6か条、5分でできる自社診断、SECURITY ACTIONまで段階的に解説します。