認証しないWeb認証 限定公開URLのセキュリティについて考える 公開版認証しないWeb認証 限定公開URLのセキュリティについて考える 2020/8/7 API Meetup Online #3- フューチャー株式会社 渋川よしき
Configuration of submit.mc for binmail under Outbound Port 25 Blocking
OP25B環境下における非常駐sendmail用submit.mcの設定方法 目次 はじめに 従来の無認証25番ポート接続のための非常駐sendmailの設定 userdbによるメールアドレスの書き換え 587番ポートへのSMTP-AUTH接続のための非常駐sendmailの設定 SMTP over SSLへの接続のための非常駐sendmailの設定 常駐sendmailによるSMTP-AUTHプロキシの設定 うまく送信できない場合の対処法 キューに溜まったメールの配送 SMTP-AUTHに対して本文書で説明した方法のセキュリティ上の問題 はじめに これまでのメールでは，ユーザが用いる各種メールソフト(Mail User Agent, MUA)からのメールを受け付けるメールサーバ(Mail Submission Agent, MSA)と，メールの送受信を行うメールサーバ(Mail Tran
DMARC+GASによる大規模メールトラフィックの監視 - pixiv inside
こんにちは、pixiv開発支援チームのmipsparcです。 ピクシブからは月に2000万通程度のメールが送信されています。しかし、送ったメールが本当にユーザーに到達しているかという不安がありました。また、pixivになりすましてメールを送信している悪意のある人がいないかというのも重要な関心事です。 すでにバウンスメールなどはモニタリングしていましたが、追加の対策としてなりすましメール防止に使用されるDMARC(RFC 7489) を使って監視する仕組みをGoogle App Script(GAS)で作りました。 DMARCとは、保有しているドメインがユーザーに見える送信元メールアドレス header-from に設定されたメールについて RFC5321 from (envelope-from; 受信したメールのReturn-Pathに同じ内容が書かれている)と header-from が
まだログイン認証で消耗してるの？ ~ALBで簡単認証機構~ - Gunosy Tech Blog
こんにちは！広告技術部のUT@mocyutoです！ 最近はスマブラでなんのキャラを使おうか迷っています この記事はGunosy Advent Calender 19日目の記事です。 昨日の記事は@mathetakeのpeer-to-peerはGoogleの夢を見るかでした。 はじめに OIDC ALBの認証機能 一般的な認証機構 ALBを利用した認証 データフローの説明 実際の導入 APIでjwtから認証情報を取得する例 まとめ はじめに みなさんユーザ認証はどうやって作っていますか？ フレームワークを使って実装していますか？ それともイチから自前で作っていますか？ SSOのシステムとかはどうでしょう？ OIDCとAWSのALBを使えば簡単にユーザのログイン管理を作ることができます。 （少し煽り気味のタイトルですいません ;） OIDC OpenID Connect と言って、OAuth2
SSH で root のみ公開鍵認証を強制する
OpenSSH （sshd）を使用している場合、セキュリティを考慮して root での直接ログインを拒否（禁止）している事が多いかと思います。 基本的には（かつ、個人的には）root で直接 SSH ログインさせることはありえないと思っていますが、一部の運用管理ソフトウェア（ミドルウェア）は root で SSH ログインできることが動作条件となっており、どうしても root の SSH ログインを許可しなければならない場合があります。 SSH のログイン認証としては、パスワード認証の他に秘密鍵（private key）と公開鍵（public key）を使用した鍵認証（公開鍵認証 / public key authentication）を使用することができます。（それ以外にも様々な方式が利用できますが、ここではパスワード認証を公開鍵認証に焦点を絞ります。） 公開鍵認証を使用すると秘密鍵を保
DKIM を使用してなりすましと迷惑メールを防止する - Google Workspace 管理者 ヘルプ
DomainKeys Identified Mail（DKIM）は、なりすましからドメインを保護したり、送信メールが迷惑メールに分類されないようにしたりするのに役立ちます。なりすましとは、メールの差出人アドレスが偽装されるメール攻撃のことです。なりすましメールは、なりすましの被害を受けている組織またはドメインから送信されたかのように表示されます。メールの内容が変更されている場合と、メールの差出人アドレスが不正に変更されている場合は、DKIM によって検出されます。 DKIM を使用していない場合、組織またはドメインから送信されたメールは、受信メールサーバーによって迷惑メールに分類される可能性が高くなります。詳しくは、Gmail ユーザーへのメールがブロックまたは迷惑メール扱いされないようにするをご確認ください。 Gmail アカウント宛てに送信されるメールの認証要件 Google では、G
送信ドメイン認証SPFレコードについて | auメール（@au.com／@ezweb.ne.jp）へメール送信する際の注意事項：サービス・機能 | au
2023年10月以降順次フィッシング対策のため、送信ドメイン認証技術であるDMARC／DKIM／BIMIを導入いたします。上記に対応している送信元からの正規メールにはau／KDDIロゴや公式ロゴ、またはチェックマークが表示されます。詳しくは以下をご確認ください。 送信ドメイン認証SPFレコードとは、メールを送信するサーバの情報をDNSサーバ上で公開し、送信されたメールのドメイン名とDNSサーバのSPFレコードとの整合性を受信サーバ側で確認することで、そのメールが正当なメールサーバから送信されたものかを認証する技術です。これにより、正当なメールサーバから送信されたメールと「なりすましメール」とを判別することが可能となります。その為には送信されているメールのドメインと送信IPアドレスの関連をSPFレコードに記述していただく必要がございます。 詳細は以下サイトの送信ドメイン認証技術導入マニュアル
LINE DEVELOPER DAY 2016 開催のお知らせ « LINE Engineers' Blog
LINE株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。 LINEヤフー Tech Blog saegusa2017-04-16Yoshihiro was a network engineer at LINE, responsible for all levels of LINE's infrastructure. Since being named Infra Platform Department manager, he is finding ways to apply LINE's technology and business goals to the platform. こんにちは。LINEでネットワークやデータセンターを担当している三枝です。2017年1月にJANOG39で登壇する機会を頂きましたので、今回
キャッシュ制御不備の脆弱性にご用心
古い書籍に掲載されたPHP記述の掲示板ソフトを動かしていると、ログアウト処理がうまく動作していないことに気がつきました。チェックの方法ですが、ログアウト処理の脆弱性検査の簡単なものは、「安全なウェブサイトの作り方」別冊の「ウェブ健康診断仕様」に記載されています。 (J)認証 ログアウト機能はあるか、適切に実装されているか ログアウト機能がない、あるいはログアウト後「戻る」ボタンでセッションを再開できる場合 この仕様書にある通り、『ログアウト後「戻る」ボタンでセッションを再開できる』状態でした。 おそらくセッション破棄がきちんと書かれていないのだろうと思いログアウト部分のソースを見ると、以下の様な処理内容でした（オリジナルからはリライトしています）。 <?php // logout.php require_once('common.php'); // 共通の設定・処理 session_sta
PostfixによるSMTP認証[SMTP-AUTH]
ここでは、PostfixをSMTP-AUTH対応にするための解説を行います。SMTP-AUTH認証は、出張先や旅行中、出先などでメールを送信したい場合に効果を発揮します。通常、メールサーバーは第三者中継を拒否する設定にしているため、外部ホストからメールを送信する際は、第三者中継とみなされ、メールを送信することはできません。そこで、SMTP認証を使うことによって、MTAにアクセスしてきたクライアントに対してリレーを許可することができるようになります。SMTP認証は、内部でSASLという認証旗鼓を使っているため、設定は、cyrus-sasl とPostfix の双方で行います。以下でその方法について具体的に説明していきましょう。なお、既にcyrus-sasl がインストールしてあって、Postfixが正常に稼動していることを前提として話を進めています。もし、これらの前準備がまだ出来ていない方は
インターネットに公開するサーバーの基本的なセキュリティ設定 | 774::Blog
定期的にこういう内容を書いて公開している気がする。昔の記事もあるのでそちらを読めばいいのだが、また書く必要性が生じてきたのであらためて書きます。 現代では AWS のようなクラウドや VPS など格安で手軽にインターネット上にサーバーを持てるようになった。しかしインターネットで誰でもアクセスできる環境でサーバーを稼働させるということは、常に人間やロボットの攻撃に晒されるということを同時に意味している。したがって初心者だからだとか、会社の中ではこうやって仕事をしているからといった言い訳は一切通用しない。セキュリティ設定をきちんとしなければ内部への侵入をたやすく許し、思わぬデータの漏洩につながるのである。とはいえセキュリティというのはトレードオフを考慮しなければいくらでも強化できるものでありキリがない。ここでは最低限これだけはやっておこうという現実的な落とし所を提示し、人々への啓蒙をはかるもの
Free Dynamic DNS(DDNS) by POP3,IMAP4,FTP,HTTP-BASIC for Home Server, VPS | MyDNS.JP
www.uetyi.mydns.jp is not accessible... Sorry. I do not know why this site is not working. If you know Administrator of this site, please contact directly. You may be able to see it in Google cache. For administrator ... MyDNS.JP did not received IP address from you over One week. Please check your notify system. If you restart notification of IP address, MyDNS.JP will apply your IP address to DNS
無料のSSL証明書StartSSLを活用する - Qiita
背景 自前のサービスでhttps通信をサポートするには、SSL証明書が必要になります。 自分で使用するだけなら、SSL証明書も自前で作成するいわゆるオレオレ証明書を用いても良いのですが、外部に公開するサービスの場合そうとも行きません。 SSL証明書というと値段が高い印象がありましたが、StartSSLというサービスで無料でSSL証明書の発行を受けられると言うことで試してみました。 StartSSLにユーザー登録する 証明書の発行を行う前に、StartSSLにユーザー登録する必要があります。 StartSSLから、"StartSSL Free (Class1)"を選択します。 Certificate Control Panelを選択。 Sign-upに進みます。 名前、住所、メールアドレスなど 個人情報の登録を行います。 登録したメールアドレスに本人確認のメールが届くので、受信したメールのa
パスワード攻撃に対抗するWebサイト側セキュリティ強化策
Webサイトのパスワード認証を狙った攻撃が大きな脅威になっています。 Tサイト（プレスリリース） goo（プレスリリース） フレッツ光メンバーズクラブ（プレスリリース） eBook Japan（プレスリリース） My JR-EAST（プレスリリース） これらの事例のうちいくつか（あるいは全て）は、別のサイトで漏洩したIDとパスワードの一覧表を用いた「パスワードリスト攻撃（後述）」であると考えられています。パスワードリスト攻撃を含めて、パスワードを狙った攻撃が成立してしまう原因は、利用者のパスワード管理に問題がある場合が多く、攻撃を受けたWebサイト側には、直接の責任はないケースが多いと考えられます。 しかしながら、 大半の利用者はパスワード管理に興味がない パスワード認証を採用している理由は、コスト上の理由、すなわちサイト側の経済的な事情 インターネットが「とても危険なもの」となるとネット
Sendmail: SMTP認証回数を調べる
Sendmailを用いてメールサーバを運用している際に、急にメール送受信が不安定になったり、サーバ上の他サービスが不安定になることがあります。その場合は、「もしかすると、スパムメールの踏み台になっているかもしれない」とまずは思って欲しい。 Sendmailを用いてSMTP認証を行なった際に記録されるログから、各ユーザのSMTP認証回数を割り出し、その回数が以上に多いユーザが居る場合には、まずはユーザのパスワードを強制的に変更し、次に該当ユーザにメール大量送信があったことをつげ、その送信がそのユーザによるものなのか、または外部からの踏み台になっていたかを特定する。なお、SMTP認証を行なった際の接続元を調べることもできるので、必要であれば接続元情報を前もって確認しておくと、該当ユーザへの対応がスムーズになると思う。 SMTP認証回数を調べる(Sendmail編)# zgrep AUTH /v
“社内LAN”を撲滅してISMS認証を取得するための極意を聞いてきた-Six Apart ブログ｜オウンドメディア運営者のための実践的情報とコミュニティ
こんにちは、シックス・アパートの関です。 昨年12月にサーバーワークス社の大石社長のブログ記事「社内LAN撲滅運動 ― ISO27001(ISMS)認証を取得しました | 社長ブログ」を読んで以来、「詳しい話を読みたい」と思っていたところ、去る3月9日（土）に開催された「第32回 WebSig会議」で大石さんが登壇し、まさに「社内LAN撲滅運動」というタイトルの講演をされるというので、かなり前のめりで（最前列のど真ん中の席を確保！）、今回のWebSig会議に参加してきました。 サーバー・リソースのムダに悩む 大石さんの出番は2番目。のっけから大石さんは、自身を大石内蔵助になぞらえつつ、いかにして社内LANのサーバーをなくしつつ、セキュリティを強化していったのかを説明してくださいました。 元々、サーバーワークス社は大学向けに合格発表サービスを提供していたそうなのですが、合格発表日にピークにな
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://slideship.com/users/@iktakahiro/docs/2018/01/JnhLGehLsRw4dcZ42EY3Jf/
DKIM認証を導入してみた - Lalcs - It is the most suitable blog in the world.
https://mrtc0.github.io/slides/ltdd-16-ssh-auth.html
就活生のみなさんへ ～文系？理系？～ « サーバーワークス社長ブログ
