高木浩光＠自宅の日記 - ユビキタス社会の歩き方(5) [重要] 自宅を特定されないようノートPCの無線LAN設定を変更する
■ ユビキタス社会の歩き方(5) [重要] 自宅を特定されないようノートPCの無線LAN設定を変更する 昨日の日記を書いて重大なことに気づいたので、今日は仕事を休んでこれを書いている。昨日「最終回」としたのはキャンセルだ。まだまだ続く。 目次 Windowsの無線LANはプローブ要求信号として自動接続設定のSSIDを常時放送している Windowsの新たな設定項目「このネットワークがブロードキャストしていない場合でも接続する」をオフに Windowsの無線LANが放送するSSIDからPlaceEngineで自宅の場所を特定される恐れ 電波法59条について再び Windowsの無線LANはプローブ要求信号として自動接続設定のSSIDを常時放送している 昨日の日記の図3で、probe request信号の例としてSSIDが「GoogleWiFi」になっているものを使った。これは昨日キャプチャし
第11回 スクリプトインジェクションを防ぐ10のTips | gihyo.jp
前回はスクリプトインジェクションがなくならない理由を紹介しました。それをふまえて今回はスクリプトインジェクションを防ぐ10のTipsを紹介します。 デフォルト文字エンコーディングを指定 php.iniには、PHPが生成した出力の文字エンコーディングをHTTPヘッダで指定するdefault_charsetオプションがあります。文字エンコーディングは必ずHTTPヘッダレベルで指定しなければなりません。しかし、デフォルト設定ではdefault_charsetが空の状態で、アプリケーションで設定しなければ、HTTPヘッダでは文字エンコーディングが指定されない状態になります。 HTTPヘッダで文字エンコーディングを指定しない場合、スクリプトインジェクションに脆弱になる場合あるので、default_charsetには“UTF-8”を指定することをお勧めします。サイトによってはSJIS、EUC-JP
高木浩光＠自宅の日記 - ユビキタス社会の歩き方(3) 無線LANのSSIDを不用意に明かさない
■ デイリーポータルZ 記者の家を探しに行く 5月27日の日記「PlaceEngineのプライバシー懸念を考える」では次のように書いた。 つまり、家庭の無線LANアクセスポイントのMACアドレスを誰かに知られることは、住所を知られることに等しい。そのような事態をPlaceEngineサービス（および類似のサービス）が新たに作り出したことになる。 「MACアドレスは個人を特定するものではない」と言えるだろうか？もし、別のネットサービスで、何らかの目的で家庭の無線LANのMACアドレスを登録して使うサービスが始まったとする。そのサービスもまた、「MACアドレスから個人が特定されることはありません」と主張するだろう。このとき、PlaceEngineとこのサービスの両者が存在することによって、わからないはずの住所が特定されてしまう事態が起きてくる。 PlaceEngineなどのサービスが存在する現
インストール不要の無料アンチウイルスソフト「ClamWin Portable」 - GIGAZINE
オープンソースで開発されているアンチウイルスソフト「ClamAV」のWindows版である「ClamWin Free Antivirus」をUSBメモリでも動作するように改良したのが今回紹介する「ClamWin Portable」です。Windows 98/Me/2000/XP/Vistaに対応しています。 一般的なアンチウイルスソフトと違って常駐してリアルタイム監視する機能はないのですが、ウイルスだけでなくスパイウェア駆除にも対応しており、定期的なスキャンや定義ファイルの自動ダウンロードも可能。定義ファイルは一日に数回から十数回アップデートされるので通常の使用については特に問題はありません。 というわけでダウンロードと使い方は以下から。 ダウンロードは以下から行います。 ClamWin Portable | PortableApps.com - Portable software for
『携帯電話の「簡単ログイン」は個体識別番号を使ってこんなふうに作れます』
たいていのWEBアプリはユーザ名とパスワードを聞かれて認証を行います。これはちょうど家に鍵をかけるようなもの。それほど重要でない情報のみのサイトならこれで十分ですが、貴重な情報があるとなるとそうはいきません。 この物騒な世の中、鍵ひとつじゃ安心できないわという声も聞こえてきます。最近セキュリティの高いところでは、やれ指紋やら静脈やら虹彩やらで個人を識別して鍵が開くようになってきていますね。WEBアプリにもユーザ名とパスワードの鍵以外に、端末の識別番号を使って認証する方法があります。 さて今日は携帯電話に焦点を当てて、ユーザ名とパスワード＋自分の携帯からしかアクセスできないというように変える方法をご紹介。 携帯端末には一台一台に電話番号とは別の個体識別番号があります。この番号を、ユーザがサイトにアクセスしてきたときにプログラムで取得することができます。個体識別番号をサーバ側に保存しておき、認
高木浩光＠自宅の日記 - RFID児童登下校管理システムのクオリティは安心安全ソリューションってレベルか
■ RFID児童登下校管理システムのクオリティは安心安全ソリューションってレベルか 2004年から2005年にかけてたびたびNHKニュースやテレビ東京で華々しく宣伝されていた、RFID児童登下校通知システムだが、去年あたりから悲惨なことになっていたようだ。 2006年8月13日の日記からリンクしていた個人ブログを再び見に行ってみたところ、その後こんなことになっていた。 「情報科な日々のつれづれ」の「ICタグ」カテゴリ 朝、7:36。 ICタグによる登下校システムの停止。（略） 事務所の電話は、鳴りっぱなし。 何とかならないかといわれても・・・・。 とにかく富士通に対応してもらうまで待つしかない。 原因は、どうやら、メールサーバの停止らしい。 7:36に最後の送信をしてから、停止したらしい。 それ以降に登校した子どもには、メールが送信されていません。（略） 27 September ご迷惑を
Windowsパスワード解析
今回は、自宅WindowsXPのパスワード解除を検証してみます。 Administratorのパスワード忘れたしまった方、セキュリティーについて考えている方参考にどうぞ。 普段使っているWindowsPCに先ほどのCDを入れて起動させますと・・・ なんとLinux（Ubuntu Linux ）がbootするではありませんか！ちなみにCDからブートさせるので WindowsOSは無事です。 しばらくすると、ターミナルが起動し、プログラムが勝手に走ります。 あら、パスワード検索してますよ・・・ すると、5分ぐらいですかね、全ユーザのパスワードが検索されてしまいました。 しかも、それなりに複雑なパスワードだったに・・・。怖いですね〜。 調べてみると、レジストリ内のSAM(Security Account Manager) を総当たりで解析するらしい。 で、対策
誰が攻撃しているか突き止めたい：ITpro
ブロードバンド・ルーターを介さずにパソコンをインターネットに直接つないでいたり，ルーターのポートを開けてLAN内のパソコンをサーバーとして外部に公開したりしていると，毎日のように不審なパケットが何者かによって送りつけられてくる。 つい先日も，実験のためにWebサーバーを公開したときの1カ月分のアクセス・ログを見てみたら，攻撃を受けた痕跡が大量に記録されていた。 こうしたインターネットからの攻撃を受けたとき，やるべきことは二つ。まず最優先はサーバーやパソコンが被害を受けていないかをチェックすることだ。被害を受けていたらすぐに修復し，適切なセキュリティ対策を施す。 それから，攻撃してきたのがどこの誰なのかを突き止める。攻撃パケットをいくつか受け取ったからといって目くじらを立てる必要はないが，あまりにしつこいようなら攻撃者が契約しているプロバイダに連絡するなどの手を打つことも考えたい。そのために
さまざまな機器のデフォルトのパスワード一覧 - GIGAZINE
ネットワーク機器など、さまざまな機器の工場出荷時のパスワードをリスト化しているページだそうです。上手く使うことができれば、セキュリティ意識の向上に役立つかもしれません。 詳細は以下の通り。 Default Password List メーカー、製品名、ファームウェアのバージョン、通信プロトコル、デフォルトのユーザーIDとパスワードがリスト化されています。 Big bertha says: default passwords メーカーや製品名などをフォームに入力するだけでデフォルトのIDとパスワードが出てくる仕組み。 悪用されないためにも、ちゃんとパスワードはデフォルトのままにせず、変更しておく必要がありますねこりゃ。
fladdict
日本人の生産性の低さが嘆かれる今日この頃、fladdictさんとしてはAmazon Dashを万能化して、現代のサイバー貴族となる方法を模索しております。 Google Home Assistantや、ザッカーバーグのAIホーム計画など、面白そうだなぁと思いまして、自分も色々と実験。 結論からいうと、AIやハイテクなど使わなくても、ほんのわずかの工夫があれば、誰でも自宅にスーパーアシスタントを構築して、サイバー貴族となれる。 ITの本質は、貴族に占有された封建システムを、テクノロジーによって庶民に解放することだと思うんですよね。なんで実際にやってみました。Amazon Dashボタンを改造して、出前、家政婦、タクシー送迎から、リアルアシスタントさんの御用聞き呼び出しまで、あらゆるものをワンプッシュ化！生産性バカ上がりです。 これで日本の生産性も回復するはず。 人機一体の、スーパー・アシスタ
今夜分かるSQLインジェクション対策 ― ＠IT
【関連記事】 本内容についてのアップデート記事を公開しています。あわせてご確認ください（編集部） Security&Trustウォッチ（60） 今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた http://www.atmarkit.co.jp/fsecurity/column/ueno/60.html Webアプリケーションに対する攻撃手法の1つであるSQLインジェクションの存在は、かなり広く知られるようになった。しかし、その対策はまだ本当に理解されていないように思える。フォームから渡された値の特殊文字をエスケープしたり、PHPのmagic_quotes_gpcといった自動エスケープ機能をオンにするだけで対策したつもりになっていないだろうか。 基本はもちろん、セカンドオーダーSQLインジェクションやマルチバイト文字を利用したSQLインジェクションの攻撃パターンや、その対
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
パケモニ(WindowsNT/2000/XP/Vista / インターネット＆通信)