で完了。 オフラインへのインストールの場合は、いったんオンライン環境で pip install --download ダウンロード先 --no-binary :all: パッケージ名 もしくは pip download -d ダウンロード先 --no-binary :all: パッケージ名 でファイルをダウンロード。 オフライン環境の適当なディレクトリにコピーして、そこに移動。 pip installを行うという流れ。 やってみる 今回はテストとしてopenpyxlで行ってみる。 カレントディレクトリ以下にsrcフォルダを作成して pip install --download src --no-binary :all: openpyxl で、ダウンロードすると DEPRECATION: pip install --download has been deprecated and will

Javaフレームワーク「Quarkus」登場。Javaコードからネイティブバイナリを生成し瞬時にJavaアプリが起動、コンテナへの最適化を実現。Red Hatがリリース Red HatはQuarkusの目的を、Kubernetesやサーバレス環境においてJavaを先進的なプラットフォームにすることだと説明しています。下記はQuarkusを発表したブログの記事から引用。 The goal of Quarkus is to make Java a leading platform in Kubernetes and serverless environments while offering developers a unified reactive and imperative programming model to optimally address a wider range of d

IBMは、量子コンピューティングにおける新たな節目を迎えたことを明らかにした。同社の量子システムが、これまでで最大の量子体積を記録したのだ。IBMは、「量子アドバンテージ」（量子コンピューティングの優位性）と表現する実用化レベルを2020年代には達成できると予測している。 IBMは、3月に開催されるアメリカ物理学会の会議で、この科学的偉業について発表する。同社は家電見本市の「CES 2019」で量子コンピュータの「IBM Q System One」を披露してちょっとした話題を呼ぶなど、量子コンピューティングの分野で着実な進歩を見せている。 だが、今回の発表は、テクノロジ企業の幹部が量子コンピュータを購入できるようになるのは当分先だということを意味してもいる。量子体積とは、量子アドバンテージの達成レベルを示すパフォーマンス指標だ。一方、量子アドバンテージとは、量子コンピュータのアプリケーショ

AWS EC2環境でのDNS Rebindingについて検証したので紹介します。 まずは、「前回までのおさらい」です。先日以下の記事でSSRF攻撃およびSSRF脆弱性について紹介しました。 SSRF(Server Side Request Forgery)徹底入門 この記事の中で、以下のように紹介しました。 ホスト名からIPアドレスを求める際にも以下の問題が発生します。 DNSサーバーが複数のIPアドレスを返す場合の処理の漏れ IPアドレスの表記の多様性（参考記事） IPアドレスチェックとHTTPリクエストのタイミングの差を悪用した攻撃（TOCTOU脆弱性） リクエスト先のWebサーバーが、攻撃対象サーバーにリダイレクトする 上記のTOCTOU(Time of check to time of use)問題は、DNSの名前解決の文脈ではDNS Rebindingとも呼ばれます。 DNS R

2. Shun Suzaki(洲崎 俊) Twitter:@tigerszk ITイベントの参加・開催や日々の脆弱性検証をライフワークと する「とあるセキュリティエンジニア」 Daiki Ichinose(一ノ瀬 太樹) Twitter:@mahoyaya Perlが好きなウィークデーバグハンター。 土日は家族サービスとコミュニティ活動に勤しんでいる。 Ken Kitahara(北原 憲) 博士（理学）。物理学で博士号を取得してから、2014年4 月から縁も所縁もない情報セキュリティ業界で働き始める。 ネットワーク系のサイバー攻撃技術が専門。

こんにちは. 研究開発グループ ritouです. だいぶ前の記事で紹介したとおり, mixi Platformは様々なユーザーデータをAPIとして提供するにあたり, リソースアクセスの標準化仕様であるOAuth 2.0をサポートしています. mixi PlatformがOAuth 2.0の最新仕様に対応しました | mixi Engineers' Blog mixi Platformをさらに安全にご利用いただくため, OAuth 2.0におけるCSRF対策を目的とした拡張仕様を検討, 導入しましたので紹介します. OAuth 2.0の認可フローとCSRF エンジニアの方であれば, Webサービスに対するCSRF(Cross-site Request Forgery)をご存知でしょう. CSRF攻撃とは悪意のある外部サービスへのアクセスや特定のURLへの誘導などをきっかけとしてユーザーの意図

SNSなど複数のWebサービスが連携して動くサービスは広く使われている。連携に必要不可欠なのが、アクセス権限をセキュアに受け渡すための「OAuth 2.0」といった仕組みだ。今回はOAuth 2.0に関連する代表的な5つの脆弱（ぜいじゃく）性と攻撃手法、対策についてシーケンス図を使って解説する。 OpenID Foundation Japan Evangelistのritouです。 連載第1回では、RFCが公開されてから5年が経過した「OAuth 2.0」を振り返り、3つのユースケースを通じて、アクセス権限を受け渡す仕組みを紹介しました。OAuth 2.0はさまざまなユースケースに適用できます。その際、開発者はアプリケーションが動作する環境の特性を考慮しながら、仕様で定義されている処理を実装する必要があります。 今回は、脆弱（ぜいじゃく）性を作り込まないOAuth 2.0の実装手法を紹介し

このチュートリアルでは、AWS Single-Account Access を Microsoft Entra ID と統合する方法について説明します。 AWS Single-Account Access を Microsoft Entra ID と統合すると、次のことができます。 AWS Single-Account Access にアクセスできるユーザーを Microsoft Entra ID で制御する。 ユーザーが自分の Microsoft Entra アカウントで AWS Single-Account Access に自動的にサインインできるようにする。 1 つの場所でアカウントを管理します。 Microsoft Entra アプリケーション ギャラリーのさまざまな AWS アプリケーションについて 下記の情報を利用して、Microsoft Entra アプリケーション ギャラリ

他のすべての AuthnRequest 属性 (Consent、Destination、AssertionConsumerServiceIndex、AttributeConsumerServiceIndex、ProviderName など) は無視されます。 Microsoft Entra ID では、AuthnRequest 内の Conditions 要素も無視されます。 発行者 AuthnRequest の Issuer 要素は、Microsoft Entra ID でのクラウド サービスの ServicePrincipalNames のいずれかと厳密に一致する必要があります。 通常、これはアプリケーション登録時に指定される App ID URI に設定されます。 次のサンプルは、Issuer 要素を含む SAML の抜粋です。 <Issuer xmlns="urn:oasis:na

先日のブログ記事にて、Welcartのオブジェクトインジェクション脆弱性について説明しましたが、オブジェクトインジェクションという脆弱性自体の情報源があまりないので、入門記事を書こうと思い立ちました。 （2017/11/22追記） OWASP Top 10 2017に正式に公開され、そのA7に安全でないデシリアライゼーション (Insecure Deserialization) が入りました。これは、本稿で扱うオブジェクトインジェクションと同内容ですが、OWASPの表記にならい、タイトルを変更しました。 以下、「そんなプログラムあり得るか?」という現実性についてはあまり気にしないで、原理的にオブジェクトインジェクションがどのようなものかについて順を追って説明していきます。以下、PHP言語のケースを題材として具体例を提示しますが、概念自体は他の言語でも通用するものです。 シリアライズとオブジ

プライベートの勉強は気が向くままにふらふらと。梅田の地下街を歩いてる感じで！（←つまり迷ってる） 元々は、Pivotal Japanさんの、この「今日から君もヒーローだ！」的なタイトルに惹かれてJava(Spring Cloud)でマイクロサービス作るぞーって進めてみたのであった。が、早速その2の「認可サーバーを立ち上げよう！」で「あー、これ知らない。分かんない。もう寝たい。」となってしまったのだった。 そんな僕が「なんとなく分かった！」になるまでの物語。・・・になるはず（ここを書いてる今はまだ分かってない）。 たぶん1ヶ月したら何を読んだか忘れてると思うので記録しとくことにした。 github.com ゴール OAuth 2.0って聞いたことあるけど、よく知らない。この辺、マイクロサービスの認証・認可部分で必要そうだなーって思うので、OpenID 2.0とOpenID Connectも含

前回の記事で、__security_check_cookie 周りのアセンブラを調べていたら、_RTC_CheckStackVars という、コンパイラが差し込む他のセキュリティ コードを発見してしまいました。__security_check_cookie に比べて、_RTC_CheckStackVars については、日本語の解説が全然ない。コンパイル エラーで _RTC_CheckStackVars のシンボルが出てくることは多いらしいけど。 このセキュリティ コードは、コンパイル オプション /RTC1 や /RTCs をつけたときに差し込まれます。Visual Studio でいうところの [C/C++ > Code Generation > Basic Runtime Checks] です。ちなみに前回の /GS オプションは [C/C++ > Code Generation >

Amazon が所有する AWS Systems Manager ドキュメントの一覧を AWS CLI で取得して眺めてみた

第16回プログラミング言語とTDDは、どちらを先にマスターすべきか？ 和田卓人 2007-12-21