あるＳＥのつぶやき

Yahoo!メールで二段階認証(ワンタイムパスワード)を使用する方法

Yahoo!メールでは二段階認証(ワンタイムパスワード)が利用できるようになっています。最近は Gmail アカウントの乗っ取り被害が増えているので、Yahoo!メールを利用している方も用心のため二段階認証に移行した方がよいでしょう。

Gmail アカウント乗っ取りが流行中？二段階認証へ移行を

Gmail のアカウントが乗っ取られる被害が広まっているようです。下記に記載されているものだけではなく、実際にはもっと多くの人々が被害にあっていると思われます。

• Gmail乗っ取りが大流行中！被害報告まとめ – Togetter

Gmail を安全に利用するために強固なパスワードに変更し、二段階認証に移行しましょう。Gmail アカウントは明らかに攻撃対象にされているので、二段階認証への移行は必須でしょう。

Java 7 Update 10 からブラウザ上の Java の実行を簡単に無効にできるようになった

Oracle、セキュリティ強化の「Java SE 7 Update 10」をリリース - ITmedia ニュース

今までブラウザ上の Java の実行を無効にするには手間がかかりましたが、Java 7 Update 10 から簡単に無効することができるようになりました。

Java は脆弱性も多く攻撃対象となりやすいので、Java をバージョンアップして Java を無効に設定しておきましょう。設定方法は以下のようになります。

IE の Java プラグインを無効にする方法

前々回のエントリーではGoogle Chrome、前回のエントリーでは Firefox で Java プラグインを無効にする方法をご紹介しましたが、今回は Internet Explorer で Java プラグインを無効にする方法をご紹介します。環境は、Windows 7(64bit) 上の Internet Explorer 9 になります。

Internet Explorer のやっかいなところは、この設定画面で設定を行えば当然 Java が無効になるだろうと思う設定を行なっても、実際は Java アプレットが動作してしまうことです。

具体的に見ていきます。

Firefox の Java プラグインを無効にする方法

前回のエントリーでは、Google Chrome の Java プラグインを無効にする方法をご紹介しましたが、このエントリーでは Firefox の Java プラグインを無効にする方法をご紹介します。

といっても、Firefox は単純でアドオンマネージャのプラグインで、Java のプラグインを無効にするだけです。

Google Chrome の Java プラグインを無効にする方法

最近、Java の危険な脆弱性が多数報告されており、セキュリティパッチも提供されていない状況で悪意のあるサイトから攻撃を受けてしまう場合があります（ゼロデイ攻撃）。

通常であれば、ブラウザで Java を利用する機会は少ないので、もう Java はデフォルト無効にしておいて、必要なときのみ Java を有効にする方がよいと思います。

このエントリーでは、Google Chrome で Java プラグインを無効にする方法をご紹介します。

米Yahoo! の情報漏えいは初歩的なセキュリティ対策ができていなかったためらしい

米Yahoo! のログイン情報が 40万件も漏洩しましたが、その内容がひどいです。

• 米ヤフー、ログイン情報40万件のハッキング被害を認める - CNET Japan
• 米ヤフー情報流出：基本的なセキュリティ対策を怠っていたのではないか - CNET Japan

情報が漏洩した直接の原因は SQL インジェクションによる情報漏えいですが、 SQL インジェクションの対策は基本中の基本なのにそれができていなかったことに驚きです。

それよりも驚いたのは以下の部分です。

米McAfeeは、「基本的なセキュリティの必要性を再認識」とコメントを発表している。ユーザーネームとパスワードが平文で掲載されていた。

今回の情報漏洩は、Yahooのサーバ（dbb1.ac.bf1.yahoo.com）に対する基本的なSQLインジェクション攻撃によるものだ。今回の事件は、最近のものと同様にアカウントデータが暗号化されていない状態で保存されていることが問題視されている。

米ヤフー情報流出：基本的なセキュリティ対策を怠っていたのではないか - CNET Japan

LinkedIn のパスワード漏洩事故を受けてシステム開発者はどうすればいいのか

LinkedIn のパスワードが約650万件も漏洩するという事故が起きました。

• ニュース - LinkedIn、650万件のパスワード流出を謝罪、当局と調査続行：ITpro
• LinkedInでパスワード流出が発覚、変更を呼び掛け － ＠IT

LinkedIn は影響のあると思われるユーザーにメールでパスワードの再設定をよびかけるそうです。なお、LinkedIn からのメールにはリンクは記載されていないので、リンクのあるメールは詐欺メールの疑いがあります。

この事故のために、LinkedIn はユーザーの信頼を大きく損ねてしまいました。退会したユーザーも多くいるでしょうから、ビジネス的な影響も非常に大きいでしょう。

シマンテックによる調査では、情報漏洩1件あたりのコストは1万1011円になるとのこと。単純計算すれば、LinkedIn は約715億円の損害があったことになります。情報漏洩の怖さを痛感する数字ですね。

• 情報漏えいのコストはおいくら？ シマンテックが調査 － ＠IT

では、この事故を受けてシステム開発者はどうすればいいのでしょうか。

Yahoo!メールがメールのタイトルと本文を解析して公告を表示するようになるとのこと

全然話題になっていませんが、Yahoo! メールが2012年8月1日よりメールのタイトルと本文を解析して広告を表示するようになるとのこと。

Yahoo! JAPANのサービスで表示される一部のインタレストマッチ広告において、お客様がYahoo!メールでご利用になったメールのタイトルおよび本文を機械的に解析し、その結果を利用することによって、お客様の関心と関連性の高い広告が表示されやすくなります。

Yahoo!メール - インタレストマッチ広告について

私は詳しくないので分からないのですが、メールのタイトルおよび内容を解析するという行為は通信の秘密に抵触しないのでしょうか。

Google の「知っておきたいこと」はネット初級者ほど読んでほしいセキュリティの基本事項

Google が人々がインターネットを安心して利用できるように「知っておきたいこと」というサイトを公開しています。

Google が公開していると IT 関係者向けのような感じがするかもしれませんが、このサイトは IT 関係者以外にも分かりやすく書かれています。

特に「オンラインの安全性」は、インターネットを利用する上でセキュリティの基本事項となるでネット初級者ほど読んでほしい内容になっています。