セキュリティ: べつになんでもないこと

いろいろ ― 2014/10/21 21:31

【レビュー】「Firefox」の“SSL 3.0”対応を無効化できる拡張機能「SSL Version Control」 - 窓の杜
Firefox 34で標準無効化と言うが、Firefox 34b2 build1の「security.tls.version.min」はまだ「0」だった。
「1」がデフォでリリースされるのだろうか？それとも、値に関係なく無効化されるのかなぁ？

Chrome、SSL 3.0 やめるってよ - セキュリティホール memo

様々なサーバーのPOODLE SSLv3脆弱性(CVE-2014-3566)対策のまとめ(更新2) - 自堕落な技術者の日記

Firefox 34b3で「security.tls.version.min」のデフォルトが「1」になっていた。

[回避策まとめ] セキュリティアドバイザリ 3009008「SSL 3.0 の脆弱性により、情報漏えいが起こる」を公開その2 - 日本のセキュリティチーム - Site Home - TechNet Blogs

■話は変わって

15日公開のWindows 7/Server 2008 R2向け更新プログラム「KB2949927」の配布が停止 - 窓の杜
ひょっとして、先週3、4回ほどスリープからの復帰に失敗してたのはこいつのせいだったのだろうか？
とりあえずアンインストールしてみた。
（PCが古いから接点不良でも起こったかと思って、日曜に分解清掃してしまったよ）

■話は変わって

YouTubeを見た11万人以上がマルウェアに感染、原因は「広告」 - GIGAZINE

アタッカーがマルウェアを感染させるために使用したのは「Sweet Orange」と呼ばれるエクスプロイトキットで、これはJavaの「CVE-2013-2460」、Internet Explorerの「CVE-2013-2551」と「CVE-2014-0322」、Flashの「CVE-2014-0515」という4つの脆弱性を利用して、セキュリティ上の脆弱性を攻撃してくるものです。

Gumblar以来、JavaとFlashの脆弱性を利用は定番やねぇ。

Adblock関連はインストールしてないけれど、
hostsには
0.0.0.0 send.microad.jp
0.0.0.0 ad4u.drecom.jp
0.0.0.0 log.ad4u.drecom.jp
0.0.0.0 grp01.ias.rakuten.co.jp
0.0.0.0 image.adv.livedoor.com
が入ってて、不快に思ったり、よくない話を聞いたサイトはExExceptionsでブロックして、コンテンツなのか広告なのか分からんような作りのサイトとかはuserContent.cssでごにょごにょしてるので、あまり広告を見かけないｗ
（広告肯定派なのですけれど、目に余るようなものまで受け入れるつもりもない）

Gmailのパスワードが500万件流出か？ ― 2014/09/11 04:10

5 Million Gmail Passwords Leaked, Check Yours Now [Updated]
流出の経緯は不明で、実際のパスワードと異なるものもあるとかで、異なるサービスで同じパスワードを使い回している人を狙ったものかもしれません。

とりあえず、使用中のGoogleアカウントのパスワードは全部変更した。
流出したとされるアドレスの中に日本人ぽい名前もかなりあったので、他人事と思わずパスワード変更をおすすめします。

それにしても、寝起きで頭回らないところにマジ勘弁して欲しい。orz

－以下追記－

不正アクセスが無いかの確認：最近のアクティビティ - アカウント設定(Google)

流出確認用リストの中には自動生成されたっぽいアドレスがある。

◇×△▽@yahoo.com@gmail.com
□△○@yahoo.com, □△○@gmail.com, □△○@hotmail.com

パスワードを消す処理でしくじっているのか？元のリストがこうだとすると流出したというより、パスワード使い回しのユーザを狙って生成されたものなんだろうなぁ。

Gmailアドレスとパスワード約500万件が流出か - ITmedia エンタープライズ

ロシア語の掲示板サイトにメールアドレスとパスワードを組み合わせた情報約500万件が掲載された。アドレスは大部分がGmailのものだったが、Yahoo!やHotmailなども含まれるという。

【速報】Gmailのアカウント500万件が流出か【2014/9】 - NAVER まとめ

Gmailのパスワード大量流出ｷﾀ━━━━(ﾟ∀ﾟ)━━━━!!急げ！！！！ [273822876]
Gmailのパスワード大量流出★２ [522788611]

Google Online Security Blog: Cleaning up after password dumps

We found that less than 2% of the username and password combinations might have worked, and our automated anti-hijacking systems would have blocked many of those login attempts. We’ve protected the affected accounts and have required those users to reset their passwords.

有効なアドレスとパスワードの組み合わせはたった2%だったのか。やっぱり流出というより生成されたリストだったということかなぁ。

「Gmail アカウント 500 万件が流出?」の件。 - セキュリティホール memo