#バックドア

[kennak]

この xz バックドアの件で思い出したのは、携帯電話を製造するテクノロジー企業で働いていた友人から聞いた話です。 彼らにはこのプロジェクトに携わる優秀なプログラマーがいて、彼は数か月間請負業者として働き、その仕事の質が評価されてフルタイムで雇用されました。 2か月後、彼はオフィスに姿を現さなくなりました。 調査の結果、次のような興味深いことが判明しました。 彼のアカウントは、「すべて」の携帯電話プロジェクトのソース コードを含むすべてのファイルにアクセスしており、すべてのコピーをダウンロードしていたようです。 彼は割り当てられたプロジェクトに多大な貢献をしました。 彼の給料は決して現金化されませんでした。 彼が借りていた家の健康診断が行われたところ、家は完全に空っぽだった。 家主によると、彼は6か月分の家賃を現金で前払いしていたという。 どうやら彼は物理的に引っ越したことはないようだ。彼の記録も社会保障番号も調べられなかったようだ。 その男は幽霊だった。 そこで働いていた友人たちに今後の予防策についてのアドバイスを尋ねられたが、彼らがどこまで捜査を進めたのか、バックドアが発見されたのか存在したのか、あるいは連邦政府が関与したのかどうかは分からない。 オチは？ これはおそらく数十年前のことです。 このたわごとは本物であり、それは長い間続いています。

シンプル ノマド: 「この xz バックドアのことを思い出します…」 - NMRC マストドン サーバー

[leomacgivena]

「見つかった不正は隠蔽工作が下手くそな不正」の法則で考えると、xzに遠隔ログインバックドアが仕掛けられていたのが見つかって今のうちに対処出来てよかったね……というよりは、知られてない何かに同じようなバックドアが仕掛けられていて広まっている可能性があるよな。

Xユーザーのǝunsʇo ıɯnɟɐsɐɯ / メタバース炎上対策専門家さん

#思考法 #46712

[tatsukii]

今回の騒動で驚かされたのは、主要開発者が直接、約3年もの長い時間をかけてバックドア化を図っていたという点だ。xzにバックドアを仕込んだのは、2人のxz主要開発者のうちのひとりであるJia Tanだと見られている。ある人物のブログによれば、Tanは2021年にGitHubアカウントを作成、2022年4月にメーリングリスト経由でxzのパッチを送信するが、ここで突然Jigar Kumarという謎の人物が登場し、このパッチを統合するようxz開発者のLasse Collinに圧力をかけ始めたという。加えてKumarは「別のメンテナーを追加するよう⁠」⁠、つまりTanをメンテナーに昇格させるようCollinを精神的に追い込んでいったようだ。この圧力の3日後、Tanは最初のコミット（ハードウェア機能のテスト）を行っており、以降、じわじわと主要開発者としてxzのコミット＆マージに入り込んでいくことになる。なお、Tanがコミッターとなって以来、Kumarなる人物はxz界隈に現れなくなっている。

xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 | gihyo.jp

名前からしてあちらの人ですかね。

[ari0921]

「宮崎正弘の国際情勢解題」　

令和五年（２０２３）５月３１日（水曜日）

　　　通巻第７７７４号　＜前日発行＞

　ウクライナ政府は中国製監視カメラをまだ使っている

　　軍事データと情報は中国からロシアへ転送された形跡が濃厚だ

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

　欧米は「国家安全保障上のリスク」を理由に中国製の監視カメラの使用を公共機関では禁止している。監視カメラの二大メーカーはハイクビジョン（杭州海康威視数字技術）とダーファテクノロジー（浙江大華技術）である。

　ところが、ウクライナは中国製監視カメラを使用している。つまり中国とロシアは、ウクライナ全土の監視カメラを通じて総ての動きを知ることが可能である。

　ロシアはキエフなどをミサイルで攻撃したが、数時間以内に、オンライン監視カメラで撮影されたキエフの映像がロシアに掌握されていた。映像はキエフの対空防御に関する機密情報、防空ミサイルの数と種類、おおよその発射領域がロシアに筒抜けとなった。

　２０２２年２月、クリストファー・レイＦＢＩ長官が議会で証言した。

「中国関連の防諜を調査中だが案件は二千件以上だ。中国は性質と規模の点で西側とは根本的に異なる方法で運営されている。あらゆる適切な技術的手��が情報検索に使用されている。今日の世界で、敵対的な政府がインフラや個々のデバイスを侵害する可能性ほど不気味な見通しはない。中国にはプライバシー保護がまったくない」。

　２０１６年、米国のジャーナリストでサイバーセキュリティの専門家であるブライアン・クレブスのウッブサイトに、遠隔制御されてＤＤｏＳの大規模な攻撃が仕掛けられ、ダーファのカメラとビデオレコーダーだったことが判明した。

　２０１７年、ダーファのカメラとビデオレコーダーに「バックドア」が発見された。これはブラウザを介してユーザー名とパスワードのデータベースをリモートで読み込むことが可能な「トロイの木馬」だったのである。

　２０２２年、ハイクビジョンのカメラの認証情報がロシアで売られた。ハイクビジョンとダーファのカメラはハッキングが発生するたびに登場する。

　２０２２年二月にロシアのウクライナ侵攻が開始されるとハイクビジョンの収益は４２％増加した。ミサイルに搭載可能なカメラや既製のドローン、サーマルイメージャー、対ドローン攻撃などにロシアの高い需要に応えた。

中国の「国家安全維持法」は組織、民間企業、国民に対し、要請に応じて情報機関に協力することを義務付けた。国民総てであり、外国で暮らす中国人も日本留学中の学生も、国家の命令に従うことになったのだ。

しかも監視システムのメーカーは中国当局の直接の管理下で機能している。当該メーカー株式の過半もしくは４０％以上を中国政府が所有している。つまりハイクビジョンもダーファも中国軍と密接に繋がっている。ファーウェイがどれほど否定しようとも、同社が中国軍関連の企業であるように。

　米国のペンタゴン（国防総省）の文書が漏洩した。

このなかに、ハイクビジョンと「中国諜報機関」との提携が具体的に言及されている。目的は米国政府機関の建物と出入りする人間を監視することであり、中国はそのために数十億ドルの予算を組んでいると報告されていた。

　２０１８年、米国議会は「国防権限法」を可決した。

電気通信およびビデオ監視の分野における特定のサービスおよび種類の機器の禁止を規定した。爾来、連邦政府機関はハイクビジョンやダーファの機器の購入、ならびに使用を禁止した。

　2022 年末から国防権限法、包括的歳出法、米国知的財産保護法等が相次いで成立し、関連の規制強化や新たな措置が打ち出された。上下院で協議が進められてきた米国競争法案や台湾政策法案、USCC（米議会米中経済・安全保障調査委員会）年次報告書等に盛り込まれていた事項も含まれている。

　２０２２年、中国軍事企業の最先端技術へのアクセスを制限するため、米国はダーファ社へのチップ輸出規制に乗り出した。英国政府も公的機関のハイクビジョンとダーファの監視カメラ設置を禁止した。

　２０２３年、オーストラリア政府も同様の措置を執った。

#宮崎正弘の国際情勢解題

[dempameat]

8日のニュースサイトAxiosが最初に報じたこの書簡の中で、TikTokの匿名の元従業員は、同社の社員らが中国と米国のデータを簡単に切り替えることが可能で、TikTokのアプリには中国人エンジニアがアクセス可能なバックドアが存在すると証言している。

[4komasusume]

理想に呼応するシステムの良心――むらさき*『えるくえすと！～勇者エルヴィーラは現実世界に転移しました～』

〔14ページ〕

　レベルが上がるから強くなるのではない。強くなったからレベルが上がったのだ。

　むらさき*『えるくえすと！～勇者エルヴィーラは現実世界に転移しました～』は、いわば「逆・異世界転生」といったテイストの４コママンガだ。少女・エルヴィーラ（エル）は謎の中古ゲームソフトから現れた勇者。ゲームの世界で魔女討伐の旅をしていたはずが、現実という異世界に飛ばされてしまい、経験値もリセットされてレベル１になってしまった。元の世界に戻るには転移魔法の習得が必要なようだ。かくしてゲーム屋さんでのお手伝いを通じたレベル上げが始まり、さらにモンスターやエルの仲間たちも次々と転移してきて、ドタバタな日々が繰り広げられていく。

えるくえすと！～勇者エルヴィーラは現実世界に転移しました～　１巻 (まんがタイムＫＲコミックス)

posted with AmaQuick at 2022.08.03

むらさき*(著), 芳文社 (2022-07-27)

Amazon.co.jpで詳細を見る

» まんがタイムきらら（連載誌）

» 試し読みページ

〔17ページ〕

　この作品の楽しさの源は、現実世界におけるエルたちの成長模様にある。ゲームの世界からやってきたモンスターを倒すだけではない。ゲーム屋さんでお客さんを笑顔にする喜びを知り、あいさつを身につけ、面白いゲームをオススメできるようになる、といった経験の積み重ねでもレベルが上がっていくのだ。それもエフェクトとファンファーレ付きで。

〔21・22ページ〕

　そう、この作品の面白いポイントは、ゲームシステムがまさにシステムとして稼働しており、またキャラがそのシステムをベタに認識している点だ。これは転移後の現実世界においてのみならず、転移前のゲームの世界においてもそうであったことが伺える。エルが「整頓」コマンドを使いこなしている場面などが顕著だろう。

〔39ページ〕

　ゲームシステムの存在を前提として、エルたちは正攻法でレベルを上げようとする。経験値を得られそうなことなら何でも挑戦するのだ。そしてその想いが報われるかのように、エルたちは着実にレベルを上げていく。

　いや、読後感としては「その想いにゲームシステムが応えるかのように」がより正しい。その顕著なキャラが、ゲームの世界から来た村人・セリだ。彼女の最初のレベルアップはとあるモンスターとの戦闘終了後。戦いに実際には参加しなかったにもかかわらず、セリもレベルアップしたのだ。

〔65ページ〕

〔66ページ〕

　もちろん、戦いを見てただけのメンバーにも経験値が入るゲームシステムは（真の）現実世界にも存在するし、作品世界中のシステムも実はそうなのかもしれない。しかし、セリの「守られるだけやなく戦えたらええのに」という意思や「守ってもらってただけなのに恐れ多い」という謙虚さを見ると、私にはこう思うのだ。このゲームシステムは無機質にただ在るだけではない。そこには確かな良心が宿っている、と。

　　　◇

　ゲームシステムが数字によって強さを管理するなら、そのシステムが理を支配する世界で手っ取り早く強くなる方法は数字をいじることだ。そのために必要なものはシステムに対する特権やバックドアだ。それも他の者が同じ方法を採れないように独占的なものであることが望ましい。

　『えるくえすと！』のキャラたちは、ゲームシステムの存在を認識しながら、そして元の世界に戻るためにはレベル上げが必要であると分かっていながら、システムに対する独占的な特権やバックドアを求めない。ありていに言えば、「私だけ」が「チート」を使える世界観からは遠く離れている。そこには「数字をいじって→強くなった【ことにする】」のではなく「【真に】強くなったことが→数字に反映される」という理想を尊ぶ姿が見える。

　その理想と呼応するかのように、ゲームシステムには良心が実装されている。魔物を打ち倒す武勇だけではなく、日常の中で優しさを学ぶことや、強さを求める意志を持つことによっても、人間は強くなれる。それはシステムから離れてみれば当たり前のことだが、システムに組み込まれたこの世界では確かに尊重されているということだ。こういった理想と良心にこそ、私は惹かれて止まないのだ。

（すいーとポテト）

#すいーとポテト

[kijitora3]

日本がやるべきことは、日米韓の枠組みはもういらないとアメリカに納得させることだろう　日米ともに韓国を防衛する意味があるかをよく考えるべきだ

日本がまともに憲法改正して自国防衛の責任を果たす当たり前の国家に復帰した上でアメリカとの軍事同盟で自国の安全を守るのが、日本にとって最も信頼性が高いし、アメリカの負担も減る　正直日韓関係で韓国の傍若無人に辟易している日本は韓国防衛に日本が関わる気がゼロだし、韓国も日本は防衛しないどころか攻撃したい側だ　アメリカに対しても韓国は北や中国に阿ってやりたい放題でアメリカも匙を投げている

韓国は好き勝手に日米を「利用」してるだけで、ホンネでは中露ブロックの国だ

東アジアの防衛線を対馬海峡、日本海、台湾に置く方が軍事的にも合理的だ

以上から韓国は切り捨て、日米プラス台湾、AUKUSで安全保障体制を組み直すべきだ

　今のままでは韓国はただ、日米防衛上の弱い環にすぎず、中露に付け込まれるバックドアになっているだけだ

#韓国

[nyantria]

@nezmisan

@kanae_chan_n0_gab 日本のNWO政策は「本気にやってない」と思えますね。マイナンバーのシステムにしろ下請けの下請けに作らせて、システム開発の監督はマイクロ○○○だったりするでしょうけど、そういう世界ですねｗ

その限りでは、実際にそのNWOの施行は結構遅れると思いますよ・・・

システム開発は用途が明らかでないと明示的にシステムに盛り込めないし、テストもできないので、裏の意図を盛り込んでるシステムは（OSのバックドアは別）難しく、結局何度も作り直しになる。つまり、政府の作るシステムは「スクラップアンドビルド」なので、その意味で次の「本当の話」が出るまで、機能しないし、それを入れるには作り直しになる。

例えば、ブロックチェーンを使って電力の「省電力ポイントを提供する」として、それはユーザーの口座と直結させるわけですが、「協力しなければペナルティを課す」とした場合、口座から「マイナス」の操作をすることになるわけですが、それの検証をしなくてはならない。そんなことは「要件に書けるか？」ですね。

（要件に入れるには法改正が必要、そう簡単にいかないでしょうね）

さらに、IoTを使って「ペナルティ＝電気を止める」とするなら、「スマートメーターの電力遮断機能」を発動することになると思います、そのためにスマートメーターは導入されてますのでｗ

ただ、その場合もそれの検証をしなければならない。安直に主ブレーカーのスイッチオフしていいかと言う話があるので（生命維持の話もある）、となると条件は膨大になる訳で。

支配層は「お膳立て」は整えてますが、まだ最後のハードルはまだある訳で・・・

https://gab.com/nezmisan/posts/108531935484384866

[nomadegateway]

#HONDA #VAMOS #Hobio #repair バックドアのガラス交換。 大汗で作業してやっと完了した。 https://www.instagram.com/p/Cdz-pXfrdj2/?igshid=NGJjMDIxMWI=

#honda #vamos #hobio #repair

[haruqun]

XZ Utilsの悪意あるバックドアによる脆弱性と対策

オープンソースの圧縮ツールであるXZ Utilsに、悪意のあるバックドアが仕込まれていたことが2022年8月に発覚しました。この記事では、問題の概要と、ユーザーが取るべき対策について解説します。 問題の概要 XZ Utilsの公式ソースコードリポジトリに、悪意のあるコードが挿入されていたことが明らかになりました。この脆弱性を悪用することで、攻撃者がバックドアを通じてシステムに不正にアクセスできる可能性がありました。 この事件は、オープンソースプロジェクトにおけるコードレビューとセキュリティ監査の重要性を浮き彫りにしました。XZ Utilsは広く使用されているため、多くのシステムが潜在的なリスクにさらされる結果となりました。 ユーザーが取るべき対策 XZ Utilsの脆弱性による被害を防ぐために、ユーザーは以下の対策を講じることが重要です。 インストールされているXZ…

View On WordPress

[taizona]

XZ Utilsにバックドア攻撃が行われるまでのタイムラインまとめ

[kennak]

Google によると、ロシアが支援するハッカー集団「ColdRiver」が、PDF 復号化ツールを装ったペイロードを使用して、これまで知られていなかったバックドア マルウェアをプッシュしているという。 攻撃者は、ターゲットに関係する個人になりすましたフィッシングメールを通じて、暗号化されたと思われる PDF ドキュメントを送信します (この戦術は 2022 年 11 月に初めて観察されました)。 受信者が「暗号化された」文書を読むことができないと返信すると、おとり文書の内容を表示するための PDF 復号化実行可能ファイル (Proton-decrypter.exe という名前) のようなものをダウンロードするためのリンクが送信されます。 「COLDRIVERはこれらの文書を、なりすましアカウントが公開しようとしている新しい論説やその他のタイプの記事として提示し、ターゲットからのフィードバックを求めます。ユーザーが無害なPDFを開くと、テキストは暗号化されているように見えます」と Google TAGは述べた 。 ただし、この偽の復号ソフトウェアはおとりの PDF ドキュメントを表示しますが、攻撃を発見した Google の脅威分析グループ (TAG) のセキュリティ研究者によって Spica と名付けられたマルウェア株を使用して、被害者のデバイスをバックドアします。 研究者らは、このキャンペーンの調査中に 1 つのサンプルしか採取できなかったにもかかわらず、フィッシング ルアーに一致する複数の Spica サンプルが存在する可能性が高く、それぞれに異なるおとり文書が含まれていると考えています。

Google：ロシアFSBハッカーが新たなSpicaバックドアマルウェアを展開

[macfeeling]

[tumnikkeimatome]

データ圧縮ライブラリ「xz」にSSH接続突破のバックドア：LinuxとMacOS利用のシステムを掌握される恐れ

概要 広く使用されているデータ圧縮ライブラリ「xz」に、SSH接続を突破するバックドアが仕込まれていたことが明らかになりました。この脆弱性は、LinuxとmacOSを利用するシステムに影響を与える可能性があります。攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを掌握される恐れがあります。 バックドアの仕組み 問題のバックドアは、xzのソースコードに潜んでいました。特定の条件を満たすと、このバックドアが動作し、攻撃者に任意のOSコマンドを実行する特権を与えてしまいます。これにより、攻撃者はシステムを掌握することが可能になります。 トリガー条件 バックドアが動作するには、特定の入力条件を満たす必要があります。この条件が満たされると、バックドアのペイロードが実行され、攻撃者にシステムの制御権が渡ってしまいます。 影響範囲 この脆弱性は、LinuxとmacOSを利用するシス…

View On WordPress

[matthew238-blog]

サイバーセキュリティにおけるバックドアの検出手法を述べた論文[Backdoors: Definition, Deniability & Detection]によると、バックドアの動作をモデル化すると大きく4つの要素から機能が構成されます。   入力ソース(Input Source) バックドアへ到達するための入力箇所。APIや開発者のみが知るデバッグポートなどがある。 トリガー(Trigger Mechanism) 入力がバックドアを動作させる条件に一致するかを判定する ペイロード(Payload) バックドアとして振る舞う機能。特権画面や任意のOSコマンドの実行などが該当する 特権状態(Privileged State) バックドアで提供される権限。システムの掌握を容易にするため強力な権限を付与することが多い

ソフトウェアサプライチェーンのセキュリティ対策 | ソースコードに潜むバックドアの検出｜ブログ｜NRIセキュア

[fxxckinjapanesetranceblog]

左右両利きのセンター, 3ポイントのアシスト 1試合 平均5.8アシスト,残りは ほとんどバックドア, Nicola Jokic を封じ込める方法

二コラ・ヨキッチの万能性は際立っていき「真のMVPはヨキッチだ」という論調も強まりました。ただ、それはプレーオフのような緊張感のある戦いでなければ、ヨキッチの真のすごさは伝わらなかったということです。プレーオフでの得点（600）、リバウンド（269）、アシスト（190）すべてが最多となったリーグで初めてのオールラウンダーでありながら、バスケットボールというスポーツで重要なスピードやジャンプ力といった身体能力を持たず、インテリジェンスが最大の武器という他に類を見ない選手であるヨキッチは『至高の存在』でした。

プレーオフを通して227本のフィールドゴールを決めたヨキッチですが、そのうち133本にアシストが付きました。

スクリーナーになって得点を生み出した平均回数5.8はサボニスに次ぐ2位と、起点役以外も受け持ちつつ、ディフェンスでもルーズボール獲得数1.3は7位、パスに触って阻害した回数3.0は11位で、どちらもセンターとしてはトップの数字でした。こうしたハードワークの面でも、センターはもちろんガードやウイングが上位に来るスタッツでも優秀な数字を残しており、ポジションの概念を吹き飛ばすオールラウンダーであることを示しています。

NBAにオールラウンダーは多くいますが、ヨキッチほど『相手の戦い方に応じたプレー』を適切に選べる選手はいません。多彩なスキル、正確なシュート、魔法のようなパスとヨキッチには多くの武器がある中で、『インテリジェンス』こそが最大の武器と言いたくなる理由がここにあります。

ヨキッチのプレー一つひとつを切り取れば他の選手でも真似できそうですが、シチュエーションに応じた適切なプレーチョイスですべてのプレーの成功率を上げ、試合トータルでみれば誰にも真似できない多彩なプレーでチームを勝利に導くため『至高の存在』と言いたくなるのです。 

 NBAの歴史においてヨキッチよりも『止められない』武器を持ったスーパースターはいくらでもいたはずです。しかし、ヨキッチほど『止めさせない』選手はいなかった。