InfoQ ホームページ セキュリティ に関するすべてのコンテンツ
-
Webには時代遅れで脆弱性のあるJavaScirptライブラリで溢れていることが研究により明らかに
最新の研究により、Alexaの上位75,000件のウェブサイトのうち37%が少なくとも1つの、10%近くが少なくとも2つの脆弱性をもつことがわかった。さらにショッキングなことに、Alexaの上位500件のウェブサイトのうち26%は脆弱性のあるライブラリを使用している。
-
Cloudbleed - Cloudflareプロキシのメモリリーク
Cloudflareプロキシに対するリクエストのごく一部で、無関係なリクエストからパスワードなどの機密情報を含む可能性のあるデータがリークする、バッファオーバーフローのバグが発生した。‘Cloudbleed’と命名されたこの問題を発見したのは、GoogleのProject Zeroに所属する脆弱性研究者のTavis Ormandy氏だ。
-
オブジェクトのデシリアライゼーションフィルタがJava 9からバックポートされる
JEP 290は、オブジェクトをデシリアライズする際に入ってくるデータをフィルタできるようにするものであるが、当初はJava 9を対象としていたがJava 6と7、8にバックポートされる。この機能は処理されているオブジェクトのインプットストリームにおいて入ってくるデータをフィルタするメカニズムを提供する。またしばらく前にApache Commonsと他のライブラリに影響したもののようなデシリアライゼーションの脆弱性を防ぐ手助けができる。
-
Enterprise Ethereum AllianceにMicrosoft、Intel、JP Morganと複数のスタートアップが参加
Microsoftはブログで、新しく結成されたEnterprise Ethereum Allianceに参加すると表明した。このアライアンスのミッションは実世界で運用されている、スマートコントラクトをサポートした唯一のブロックチェーンから学び、その上で開発を行うこと。そして、ビジネスのスピードでこの最も複雑で需要の高いアプリケーションを取り扱うことができるソフトウエアを定義することだ。
-
Apache Rangerがトップレベルのプロジェクトに昇格
Apache Hadoopエコシステムのセキュリティ管理フレームワークであるApache Rangerがトップレベルに昇格した。Rangerは、Apache HBase、Hadoop（HDFSとYARN）、Apache Hive、Apache Kafka、Apache Solrなど、サポート対象のHadoopコンポーネントに適用されるセキュリティポリシーを一元的に定義および管理するためのコンポーネントである。
-
Enterprise Ethereum Allianceがビジョンペーパーを発表
新しく立ち上げられたEnterprise Ethereum Alliance (EEA)が “ユーザーや利害関係者がEnterprise EthereumプロトコルをサポートしたEthereumプロトコルへの進歩を提案し実装し、まとめる”ためのビジョンペーパーを発表した。このペーパーでは、EEAはプラガブルコンセンサス、ガバナンス、相互運用性、Ethereumプロトコルのアップデート、ソースコードの実行、ストレージ、パフォーマンス最適化などの幅広いトピックを扱っている。
-
World Government Summitで“Building the Hyperconnected Future on Blockchains”と題したペーパーが公開に
近頃開催されたWorld Government Summitで、Hexayurt CapitalとConsenSysは“Building the Hyperconnected Future on Blockchains”と題したペーパーを発表した。このペーパーの目的はグローバリゼーション2.0を駆動する次のイノベーションの波のための合意のインターネット(Internet of Agreements,IoA)の戦略を提供することだ。
-
Bitbucket、2要素認証の必須化とIPアドレス制限を導入
AtlassianがBitbucketをより安全にするための新機能を2つ発表した。IPアドレス制限（IPホワイトリスティング）と2要素認証の必須化だ。
-
NISTの指針は生体認証を使用する場合に第二の認証因子を要求する
NISTは、"過去のリビジョンからのかなりの更新"と記された、新しいデジタルアイデンティティガイドラインをリリースした。このガイドラインは容認可能な複数要素認証(MFA)の使用方法について記載している。更に、生体認証を因子の１つとして用いる場合、個人が有する何らかの情報と組み合わせなければならず、パスワードのような個人が知る何らかの情報と組み合わせてはならない。
-
Apache Eagleがトップレベルプロジェクトに昇格
ビッグデータプラットフォーム上でのセキュリティおよびパフォーマンスに関する問題を特定する，オープンソースソリューションのApache Eagleが，2017年1月10日，Apacheのトップレベルプロジェクトに昇格した。eBayが2015年10月にオープンソースとしたEagleは，機密データへのアクセスや悪意のある活動を簡単に検出し，タイムリに対応する目的で開発されたソフトウェアだ。
-
Googleが監査ログ機能の提供を拡大し、ほとんどのクラウドサービスに対応
セルフサービスのパブリッククラウドで"誰が何をしたか"を追跡することは難しい。Google Cloud Audit Loggingでは、Google Cloud Platform（GCP）の17のサービスに対してログストリームを取得する。
-
Googleがクラウドベースの暗号鍵マネジメントサービスを公開
Googleは、Google Cloud Platform（GCP）の新たなサービスとして、秘密鍵暗号方式の鍵の作成、使用、ローテーション、破棄を可能にするサービスを発表した。新しいCloud Key Management Service（KMS）はGoogleのCloud Identity Access ManagementおよびCloud Audit Loggingと統合されているが、KMSを利用して管理されているキーは独立して利用することが出来る。
-
Neo4j 3.1がリリース - Causal Clusteringをサポート，セキュリティを強化
NoSQLグラフデータベースNeo4jの最新バージョンには，Causal Clustering(因果クラスタリング)と新たなセキュリティアーキテクチャが導入されている。Neo4jチームは先頃，同グラフデータベースのバージョン3.1をリリースした。その他の機能としては，データベースカーネルが改良され，現在のグラフモデルを表示するSchema Viewerが追加された。
-
IntelはApache Spark上で動作する分散型ディープラーニングライブラリであるBigDLをオープンソース化
IntelはApache Spark上で動作する分散型ディープラーニングライブラリであるBigDLをオープンソース化した。既存のSparkクラスタを活用して、ディープラーニングの計算を実行し、Hadoopに格納された大量のデータセットからのデータロードを容易にする。
-
Dockerコンテナを安全に運用するには
運用中のDockerコンテナを堅牢化するには，不変化や攻撃面の最小化，標準的なLinuxの堅牢化手法とコンテナ環境特有の手法との併用など，さまざまなテクニックを組み合わせる必要がある。