JVNVU#99757346: Android Platform の URLConnection クラスに HTTP ヘッダインジェクションの脆弱性
Android 2.2 から 6.0 に含まれる URLConnection クラス Android 2.2 より前のバージョンに含まれる URLConnection クラスも影響を受ける可能性があります。 Android Platform の URLConnection クラスは、Android のバージョンにより実装が異なっており Android 4.4.2 からは、オープンソースの OkHttp から取り込んだソースコードを使用しています。 OkHttp の 2.5.0 より前のバージョンには HTTP ヘッダインジェクションの脆弱性があります。 Android Platform では OkHttp 2.5.0 より前のバージョンのソースコードを取り込んでいる URLConnection クラスに同じ脆弱性が存在しています。 Android Platform の URLConnect
クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画を取りまとめました～国際水準のクレジットカード決済環境の整備を進めます～（METI/経済産業省）
お知らせ ニュースリリース 2015年度一覧 クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画を取りまとめました～国際水準のクレジットカード決済環境の整備を進めます～ 本日、「クレジット取引セキュリティ対策協議会」（事務局：（一社）日本クレジット協会）において、国際水準のクレジットカード取引のセキュリティ環境を整備するため、2020年に向けた具体的な目標・各主体の役割等を取りまとめた「実行計画」を取りまとめました。 １．背景 クレジットカードショッピングは、消費者の購入機会を拡大するとともに、円滑な決済を可能とするもので、現代の消費生活に極めて重要な役割を担っており、クレジットカード取引の安全・安心の確保は重要な課題です。 カード情報の保護、偽造カードやEC(電子商取引)におけるなりすましによる不正使用は、多数のクレジットカードの保有者や取引関係者に被害をもたらすなど、社
Security Rewards for Android の発表
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
はじめてでも爆速でCentOS6.6（さくらのVPS）をセキュアにセットアップする方法まとめ - 憂鬱な世界にネコパンチ！
爆速でセットアップを完了するため、極力コピペで設定できるようにしてみたよ（・∀・） 動作検証は、さくらのVPSで標準OSをインストールして行った。記事執筆時点ではCentOS6.6がインストールされたぞ。 # cat /etc/issue CentOS release 6.6 (Final) # uname -rs Linux 2.6.32-504.3.3.el6.x86_64 お知らせ 本記事の内容をFabric化したスクリプトを公開！ぜひ試してみてね。 → 超速でCentOS6.6（さくらのVPS）をセットアップする俺史上最強のFabricスクリプトをさらす rootのパスワード変更と作業用ユーザの作成 まずは、コンソールからSSHで接続しよう。 [localhost ~]$ ssh root@XX.XX.XX.XX なお、サーバを起動してない場合は、事前に管理画面からサーバを起動しよ
Googleの新API「reCAPTCHA」ではイメージをクリックするだけでボットでないことを証明でき文字入力は不要に
ウェブサイトにアクセスを試みるボットを遮断するために設置されている、画像で表示される文字を入力することでボットでないことを証明できる機能reCAPTCHAは多くのサイトで導入されていますが、いちいち文字入力するのは手間で、スマートフォンなどのモバイル端末ではめんどくさい作業でした。しかし、Googleが新たにクリック・タップだけでサクッとボットでないことを証明できるように進化させました。 recaptcha https://www.google.com/recaptcha/intro/index.html Google Online Security Blog: Are you a robot? Introducing “No CAPTCHA reCAPTCHA” http://googleonlinesecurity.blogspot.jp/2014/12/are-you-robot-i
パスワードレスなログインを実現可能にするnpmモジュール「Passwordless」:phpspot開発日誌
Passwordless - A node.js/express module for token-based logins パスワードレスなログインを実現可能にするnpmモジュール「Passwordless」。 メールアドレスを入力するとワンタイムパスワードが発行されてそちらでログインが可能になる仕組み。 ユーザはパスワードの入力が不要で、メールに書いてあるリンクをクリックするだけで一定期間ログインでき、ユーザの手によるパスワード生成も行わないためセキュリティ的にメリットもありそう。 関連エントリ PHPフレームワークにTwitter,Facebook等の認証を速攻実装できる「Opauth」
2014-06-20
はてなへのリスト型アカウントハッキングと思われる不正ログインについてのご報告と、パスワード変更のお願い 昨日6月19日（木）、はてなアカウントにおいて、ご登録ユーザーご本人以外の第三者による不正なログインが発生したことを確認しました。同日、疑わしいIPアドレスからのアクセスを遮断しました。このお知らせは本告知と並行して、全ユーザー様にも現在、メール送信しております。 前回告知した不正ログインと同様に、他社サービスから流出または不正取得されたアカウント情報（IDとパスワードの組み合わせ）を流用された「リスト型アカウントハッキング（リスト型攻撃）」である可能性が高いと考えています。 参考資料：「リスト型アカウントハッキングによる不正ログインへの対応方策について」（総務省） http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000063.h
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
海底ケーブルを流れる情報が傍受されて諜報機関に売られていることが判明
By Louis Abate アメリカ国家安全保障局(NSA)をはじめとする諜報機関による通信の傍受が広く伝えられていますが、その具体的な手法についてはあまり明らかにされていませんでした。しかし、北カリフォルニアの光ファイバー技術関連企業「Glimmerglass」社の海底ケーブルの信号を傍受するソフトウェア「CyberSweep」が政府系機関に提供されていることがわかり、このソフトウェアを使えばGmailやYahoo!メール、FacebookやTwitterなどの内容を分析し、「行動を起こすのに十分なレベル」の情報を入手することが可能だということが明らかになりました。Glimmerglass社は顧客リストの中に諜報機関の名があることは認めていますが、その詳細については明らかにすることを拒否しました。 Glimmerglass Intercepts Undersea Cable Traff
セキュリティ競技会「Hardening One Remix」、会津若松の「Team EJ」がグランプリ
Webサイトの運用力を競うセキュリティ競技会「Hardening One Remix」の結果発表を兼ねた振り返りの会「Softening day」が2013年7月13日に都内で開催された（写真1）。参加8チームの頂点に立ったのは福島県会津若松市のIT企業の若手技術者が集まった「Team EJ」。技術点などいくつかのポイントでは他チームに及ばなかったものの、高い顧客対応力などが功を奏して総合点で今回の頂点に立った（関連記事：セキュリティ競技会「Hardening」の第3回が開催、ECサイトの運用力を競う）。 「Hardening One Remix」はECサイトを運営する仮想企業のシステム運用担当になって、未知のハッカーからの様々な攻撃に耐えつつ、Webサイトの運用スキルを競う趣旨のセキュリティ競技会である。主催はWebアプリケーションのセキュリティ情報の共有を目的に活動する非営利団体Web
「キャッシュに残る個人情報」にご用心：ブラウザの「プライベートモード」を使うべき理由 | ライフハッカー・ジャパン
匿名モードとしても知られる「プライベートブラウジング」は、エッチなサイトを見る以外にも有効な使い道があります。 オンラインバンキング、健康に関するサイト、保険会社のサイトなど、個人情報を扱うサイトでこのモードを使えば、保存されるべきではない個人情報がハードディスクに保存されるのを防いでくれるのです。 あなたの個人情報は、保存され、取り出せる状態になっているかもしれない 訪問したサイトが個人情報を保護するHTTPSやSSLなどの暗号化プロトコルを使用していた場合、サイトで表示した顧客番号や口座残高、処方薬の履歴、支払済み小切手の画像、明細書、信用調査書などの情報は、ブラウザを閉じたら消去されると思っていませんか？ 残念ながら、そんなことはありません。セキュリティ企業のIndependent Security Evaluators（ISE）が先ごろ実施した調査では、対象となった30のサイトのう
セキュリティ アドバイザリ2854544 (KB2813430) ～ ルート証明書更新プログラムの管理強化 - 日本のセキュリティチーム - Site Home - TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
さくらVPSへの攻撃と対応策 – ZAMUU: :BLOG
さくらインターネットサーバ(sakura VPS)に限らず、ロリポップ等でも同様のことですが、Webサイトを公開していると必ずと言っていいほど海外・国内からのアタック攻撃を受けます。以下に、体験を元に対策方法へのヒントとなるよう箇条書きしておきます。 現象 CPU稼働率が100%近くになったり、HTTPレスポンスが異様に遅くなったりします。またサーバ侵入された場合はフィッシング詐欺の踏み台としてサイトが使用されてしまいます。 各詳細と対策方法 ファイアーウォール設定による対策 外部からの侵入をブロックする為、iptableの設定。 SSH不正アクセスとログイン対策 SSHログイン(Port22番)ではよくアタックを受けるので、SSHポート番号変更とrootのログインを無許可にします。 SSHの設定に関しては、『Linux インストール記録4』や以下参考にしてください。 Maxloginsで
iptablesで鉄壁？の守りを実現する3つのTips｜TechRacho by BPS株式会社
iptablesでサーバを守るときに知っておくと良いことを3つ紹介します 1. 接続回数を制限する(IPアドレスごと) hash_limitを使います これにより特定ホストからの大量アクセス、DoS攻撃を緩和することが可能です 例 2. 接続回数を制限する(サービスごと) limitを使って制限します これにより多数のホストからの攻撃、DDoS攻撃を緩和します limitを使った制限は全ホストが等しく制限を受けるため、ssh等に設定すべきではありません。 （攻撃を受けている間は自分たちも制限されるため） Webサーバが大量アクセスで落ちそうな場合は使えるんじゃないでしょうか？ 例 3. 接続IPアドレスを限定する IPアドレスの国別割り当てをAPNIC等から取得してコマンドを作ります この手のルールは長くなるので、ユーザー定義チェインにしたほうが見やすくなります 例 あとはこんな感じのスク
毎日新聞のサーバーはPHP5.1.6、民主党海江田党首のサーバーはApache1.3.42
毎日新聞のWEBサーバーはApache2.2.3とPHP5.1.6 まずFirefoxにLive HTTP Headersのアドオンを入れた状態で、毎日新聞のサイトを開いて、右クリックで「ページの情報を表示」→「ヘッダ」を選ぶとレスポンスヘッダが見られるのですが、ここに「X-Powerd-By PHP5.1.6」と書かれてあるのが確認できるかと思います。PHPのバージョンが露出している状態です。 ServerヘッダでApacheのバージョンも露出していることがわかります。Apache2.2.3と比較的古めのバージョンを使っていることがわかります。Apache2.2.3やPHP5.1.6のバージョンに関しては既に報告されている脆弱性がいくつもあって、パッチを適用していないならば、Apache Killerなどの攻撃スクリプトが叩きこめてしまう可能性があることがわかってしまいます。 これは不
WordPressを狙った大規模な攻撃 - セキュリティは楽しいかね？ Part 2
一昨日あたりから WordPressを狙う大規模な攻撃が世界中で観測されていて、セキュリティベンダやホスティング事業者などが注意を呼び掛けています。*1 WordPressを狙った大規模なブルートフォース攻撃(?)が観測されているみたい。 CloudFlareの報告→ http://t.co/CVoxZ7nYIc Sucuriの報告→ http://t.co/Q5jw0JD92X— Masafumi Negishi (@MasafumiNegishi) April 12, 2013 攻撃の概要をまとめると、こんな感じです。 WordPressに対して無差別に行われている 'admin' 等のアカウントに対する辞書攻撃が行われている 攻撃元として 9万から 10万の IPアドレスが確認されており、攻撃者は Botnetを利用していると思われる 不正にログインされると、バックドアなどのスクリプ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
HTTP2とHTTPヘッダインジェクションについて
東芝レビュー2010年9月
JPCERT コーディネーションセンター