あるAnonymous Coward 曰く、

自宅から固定回線でインターネットに繋ぐ場合はゲートウェイルーターはほぼ必須ではあるが、そのセキュリティは果たして大丈夫なのかという問題がNHKのトピックとなった（NHK）。国内にあるおよそ19万の機器がインターネットを通じて外部からアクセスできる状態になっていて、このうち14万台近くがすでにサポートが終了していたり最新のソフトウエアに更新されていないとのこと。横浜国立大学の吉岡克成准教授の実験でルーターの情報を書き換えることが実証され、悪用されると不正なサイトに誘導されるおそれがある。

吉岡教授いわく家庭用ルーターを安全に使うための対策として
(1) 初期設定の単純なIDやパスワードは変更する
(2) ソフトウエアを常に最新の状態に保つ
(3) サポートが終了している機器は買い替えを検討する

とのことだが、問題は(3)のサポートが終了しているかの判断が不明瞭なことだとタレコミACは懸念している。コレガのサポート期間短縮やNECの完売から7年後までが守られていないとスラドでは話題になったのを諸氏は覚えているように、現にメーカー任せとなっていて一般人でも判断ができないという問題がある。コンシューマ向けルーターはWifi6やIPoE対応で買い替えの機運があるが、それが必要と思っていない家庭は買い替えまで進まない。そんな家庭にどう言えばいいのかお聞かせ願いたい。

もとの告知がいつ行われたのかはハッキリしないのだが、Googleは5月30日にユーザー名とパスワードのみでGoogle アカウントにログインする「安全性の低い」アプリとデバイスに関するサポートを終了するそうだ（安全性の低いアプリと Google アカウント）。これだけだと分かりにくいが過去記事に書かれたコメントによれば、同日以降はアプリ側でOAuth 2.0への対応が必須になるという意味だそうだ。OAuth 2.0非対応のメーラーなどを利用している場合は対策が必要になる。昨年話題となった秀丸メールでの対策事例が参考になると思われる（窓の杜）。

なお、Googleの告知ではAppleデバイスに関する注意も記載されている。Google側の説明によると、Appleデバイス上でユーザー名とパスワードのみを使用しているユーザーが最近ログインしていない場合、2月28日以降はGoogleアカウントの種類を使用する新しいログイン操作しか受け付けなくなるとしている。

米国で韓国車の盗難が大幅に増加しているそうだ。原因はTikTok上でトレンドとなった「起亜チャレンジ」で、韓国の起亜自動車と現代自動車の一部車種の盗難が増加しているという（NextShark、News4JAXの動画、かいこれ！）。

両社の自動車にUSBケーブルまたは電話充電器を使用することで簡単に車を始動することができるバグがあることが発覚、この手法がSNSで拡散したことにより、韓国車の盗難件数が全米で急上昇したようだ。米国のルイビルメトロ警察署の発表によれば、7月1日から7月25日までの間に52台の車両が盗難されたという。この52台は起亜と現代製のものが半々であるとのこと。

ExpressVPN の調査によると、米国人の 40 % が自分の苗字がパスワードに含まれると回答したそうだ (ExpressVPN のブログ記事、 HackRead の記事)。

調査はモバイル投票サービス Pollfish を利用し、米国の成人 1,000 名にパスワードの選択について質問したものだという。調査報告書はまだ完成していないようだが、その一部が紹介されている。

パスワードに含められることが最も多い個人情報は誕生日 (43.90 %) で、ペットの名前 (43.80 %) が続く。本人の名前ではファーストネームが 42.30 % で最も多く、ラストネーム (苗字) とミドルネーム (31.60 %) の順になっている。また、子供の名前 (37.50 %) や元パートナーの名前 (26.10 %) といった自分以外の名前も多く使われているが、現パートナーの名前はリストに出現しない。このほか、電話番号 (32.20 %) や社会保障番号 (30.30 %) を使う人も多い。

その結果、5 人に 2 人はパスワードを作るときに自分の名前を少し変えたものを使うと回答し、43 % は自分の愛する人がパスワードを推測できるだろうと回答しているという。平均的な人は 6 サイト/プラットフォームで同じパスワードを使っているとのこと。それでも 81 % は現在のパスワードでセキュリティとプライバシーが十分に守られていると考えているそうだ。

日本人はキーボードの並びをパスワードで使用する人が多いといい、自分の名前をパスワードに含める人は少ないかもしれないが、スラドの皆さんはいかがだろう。なお、世界全体で最も多く使われているパスワードは相変わらず「123456」だが、日本では「159753qq」が最も多いとのことだ。

6月23日、兵庫県尼崎市は全市民の住民基本台帳などのデータが入ったUSBメモリを紛失したと発表した。USBメモリの中には住民基本台帳に記載されてる情報のほか、生活保護や児童手当を受けている世帯の口座情報なども保存されていたとされる。発表ではUSBのファイルはパスワードをかけて暗号化処理されていたことから、23日11時時点では漏えいは確認されていないとされている（神戸新聞NEXT、NHK、日経新聞、TBS NEWS DIG）。

ところが尼崎市による記者会見の際、USBメモリに設定されたパスワードの桁数に関して職員がバラしてしまうという大失敗を犯している。ネット上ではその公開された桁数を元に、地名や日付を組み合わせてパスワードを推測する行為などもおこなわれていたようだ（ITmedia）。

この騒動に合わせて、「尼崎のUSB」なるものがメルカリに出品されていたことも報じられている。おそらくイタズラだと思われるが商品の説明では、

先日から尼崎で使用しているUSBメモリです。パスワードを書けたまま忘れてしまい、中を開くことができないのでお譲りします。諸事情により、中のデータはそのままで出品いたしますので、新しく使用したい場合は、お手数ですがそちらで初期化の手順を踏んでください。

といった内容が書かれていた。価格は尼崎市の人口に合わせて45万2600円に設定されていた。なおこの出品は現在削除されているとのこと（FNNプライムオンライン[動画]）。この出品物に関しては、尼崎側が偽物であると判定したとのこと。なお紛失した従業員は当日、居酒屋で酒を飲み泥酔、午後10時半に店を出ると、午前3時ごろまで路上に寝ていたことが新たに報じられている（FNNプライムオンライン）。

追記：尼崎市は24日、紛失したとされていた市はUSBメモリーが発見されたと発表した。市は委託業者から電話連絡があり、鞄とともに発見されたとしている。発見された経緯などについては不明（読売テレビニュース、Yahoo!ニュース）。

AMDが提供している「Platform Secure Boot(PSB)」は、同社製CPUの一部を他のシステムで使用できないようにするセキュリティ機能。このPSBがLenovo製PCの一部でデフォルトで有効化されているという。具体的にはLenovoの一般ユーザー向け製品とAMD Ryzen Proの組み合わせで有効化されているそうだ。問題はこのPSBが一度でも設定されてしまうと、そのCPUは設定されたメーカー以外のPCでは動作しなくなる点。このため特定メーカーでしか動作しないベンダーロックされたCPUが中古市場に出回るようになってしまったらしい。ロックさせた製品は外観では見分けが付かないことも問題になっている模様（Serve The Home、Cloudflare、reddit、GIGAZINE）。

あるAnonymous Coward 曰く、

組込屋的にオオッと思ったニュースを一つ
AMDのCPUにはセキュリティ関係の目的で一度書き込んだら消去不能なOTPメモリが搭載されているそうです
自分が明確に意図したつもりは無いのに、勝手にデバイスに消去不能なID設定みたいなことがされるとはちょっと薄気味悪い気もします

FPGAなどのデバイスにはかなり前から同様にセキュリティ用途の再書き込み・消去不能・ユーザー回路／アプリケーションからは読み出し不可能なメモリ／ヒューズが搭載されているのですが、PC用プロセッサでは初耳でした（IntelのCPUはどうなんでしょ？）
通常この種のメモリには普通のCMOSプロセスで製造可能で、書き換え可能とした場合の読み書き保証回数は1000回程度のものが使われています

2 月に NVIDIA のネットワークに侵入してプロプライエタリ情報を盗み出したハッキンググループ Lapsus$ が同社に対し、現行および将来の GPU ドライバー (Windows / macOS / Linux) をオープンソース化し、FOSS ライセンスで公開するよう要求している (Ars Technica の記事、 Mashable の記事、 Android Police の記事、 Computing の記事)。

同グループは先に NVIDIA のドライバーから暗号通貨採掘のハッシュレート制限機能 LHR を削除するよう要求していたが、それに加えてドライバーのオープンソース化を要求することにしたという。期限は金曜日 (4 日。日本時間で 5 日) までとなっており、オープンソース化の要求に応じなければ企業秘密を含む GPU 等のファイルを公開すると脅している。

NVIDIA は 1 日に公開したサポート記事で攻撃を受けたことを認めており、攻撃者が従業員のパスワードを使ってプロプライエタリ情報を盗み出したことを明らかにしているが、ランサムウェア被害にあったことは否定している。同社の対応としてはセキュリティ強化や従業員全員に対するパスワード変更要求、当局への通報といったもので、業務やサービスには影響しないとのことだ。

主な Linux ディストリビューションに標準でインストールされるツールキット Polkit (旧名: PolicyKit) の最初のバージョン (12 年前) から存在したメモリ破損の脆弱性 (CVE-2021-4034) について、発見した Qualys が解説している (Qualys Security Blog の記事、 Red Hat のアドバイザリー、 Neowin の記事、 Ars Technica の記事)。

Qualys が Pwnkit と名付けた脆弱性は非特権ユーザーがrootの権限でコマンドを実行できるようにする Polkit の コマンドラインツール pkexec に存在する。pkexec の main() 関数ではコマンドライン引数の数 (argc) を適切に処理せず、常に 1 以上として扱うため、引数リスト (argv) が空の状態でも境界外のメモリを引数 (argv[1]) として読み書きしてしまう。

境界外の直近にあるのは 1 つ目の環境変数 (envp[0]) であり、pkexec は読み取った値を実行ファイルの名前として PATH 環境変数で指定されたディレクトリを探し、一致する実行ファイルが見つかったらパスを付加して envp[0] を上書きする。これにより、通常は main() 関数実行前に除去される「安全でない」変数を pkexec の環境に再導入することが可能であり、悪用することでローカルでの権限昇格が可能になる。

Polkit では argc が 1 未満の場合に処理を終了する修正を行っており、修正済みの Polkit パッケージが入手可能になり次第更新することが推奨される。

欧州宇宙機関 (ESA) が超小型人工衛星 OPS-SAT に対するサイバー攻撃のアイディアを募集している (ESA の記事、 The Register の記事、 特設サイト)。

OPS-SAT はフライトコンピューターの性能向上によるミッションコントロール機能などの改善をデモするため 2019 年に打ち上げられた 3U の CubeSat で、現行の ESA の他の宇宙機よりも 10 倍以上高性能なフライトコンピューターを搭載している。強固なセキュリティを誇る OPS-SAT は倫理的ハッカーが安全かつ現実的な環境でスキルをデモするのに最適な空飛ぶプラットフォームだという。

ESA が募集しているのはフランス・パリで 4 月に開催される CYSAT で実施するデモのアイディアで、日本を含む全世界から応募可能だ。締め切りは 2 月 18 日。アイディアは攻撃のシナリオが創造的で現実的かどうか、技術的に 2 か月間で実現可能かどうか、宇宙空間におけるサイバーセキュリティの重要性を誰にでも理解できるよう伝える可能性があるかどうかといった点で審査される。

2 月 25 日にはラウンド 1 として 6 つのアイディアが選定され、選定された各チームは ESA がトラブルシュートとテストのためミッションコントロールに保持している OPS-SAT のコピー「flatsat」を用いてデモの開発とテストを行う。3 月 31 日にはラウンド 2 として CYSAT でデモを行う 3 チームが発表される。3 チームにはパリまでの旅費が全額支給され、4 月 6 日 ～ 7 日の CYSAT で各 6 分間のデモを行うことになる。

朝日新聞の記事によると、交通系ICカードをキーとして利用できるタイプのコインロッカーが出回っているが、そこから荷物の盗難が増加しているという。このタイプのロッカーでは、施錠完了の前に「使用可」のランプが消えることから、ロックしたと勘違いして被害に遭う事例があるとされ、同様の被害が増えているそうだ（朝日新聞）。ユーザーインターフェース的に問題があるような気がするとの指摘が出ており、はてなブックマーク上でこの問題に対する改善案の提示が行われている（はてなブックマーク）。改善案込みの人気コメントとしては、

最初にカード認証してから空きロッカーの扉が開く仕組みにしなきゃだめ。旧式のコインロッカーの延長線で開発するから変な手順になってミスが起こる。

や

施錠完了前にランプを消してしまうのではなく,点滅させるなど作業が完了していないことをわかりやすくするといいと思う。

といったものが出ている。