Brakeman
Changes since 7.0.1: Fix error with empty BUNDLE_GEMFILE env variable Error on Empty Environment Variable Fixed. (changes) Checksums The SHA256 sums for this release are: b602d91bcec6c5ce4d4bc9e081e01f621c304b7a69f227d1e58784135f333786 brakeman-7.0.2.gem 2ca8d1a8bc248e969e64db33cc555cb82418402af9e04efeb74c7d6ffc85aaab brakeman-lib-7.0.2.gem 0efb841b7b5252dff97699f041e9e67d661d78f87c1874aaa789e91cb
気づけばプロ並みPHP 副読本：お助け電子BOOKへの寄稿の顛末
谷藤賢一さんの著書『気づけばプロ並みPHP~ショッピングカート作りにチャレンジ! 』に、発売1周年の謝恩キャンペーンとして『副読本：お助け電子BOOK』が公開されました(*1)。私はこの副読本の中で、『第2章 【徳丸 浩氏 スペシャル寄稿】安全なWebアプリケーションのために』を寄稿しています。このエントリでは、寄稿の顛末を報告したいと思います。 動機 私が本書『気づけばプロ並みPHP』を購入したのは昨年の10月29日ですから、本書が出版されてまもなく、今から約1年前です。私は本書を一読して、セキュリティ上の多数の問題があることに気がつきました。 以前は、セキュリティ上の問題が多い本は書評をブログ記事として書くことも多かったのですが、この際は書評という形にするのはためらいがありました。その理由は以下の様なものです。 私のブログの読者層はセキュリティに関心の高い方たちであり、本書の読者とは重
CDNetworksで発生したコンテンツ改ざんと一連のマルウェア感染インシデントを改めてまとめてみた - piyolog
2014年6月3日、CDNetworksは同社のCDNサービスがセキュリティ侵害を受け、それに伴いコンテンツの改ざんが発生したことを発表しました。ここではCDNetworksで発生したコンテンツ改ざんと、マルウェアが拡散された一連のインシデントについて改めてまとめます。 CDNetworksで発生したコンテンツ改ざんの全体まとめ 今判明している範囲でイメージに概要をまとめると次の通り。 個別事案まとめ 以下にまとめてました。 GMOペパボ、H.I.S、リクルートマーケティングパートナーズ JUGEMブログの改ざんについてまとめてみた Buffarlo 不正アクセスを受けマルウェアを配布していたBuffaloダウンロードサイトのホスティング元を調べてみた。 Aiming オンラインゲームサイトが不正アクセスを受け、更新ファイルがマルウェアにすり替えられていた件をまとめてみた。 インシデントタ
CCS Injection脆弱性(CVE-2014-0224)発見の経緯についての紹介 - OpenSSL #ccsinjection Vulnerability
菊池です。CCS Injection脆弱性(CVE-2014-0224)発見の経緯について紹介します。 バグの簡単な解説 OpenSSLがハンドシェーク中に不適切な状態でChangeCipherSpecを受理してしまうのが今回のバグです。 このバグはOpenSSLの最初のリリースから存在していました。 通常のハンドシェークでは、右の図のような順序でメッセージを交換します(RFC5246 The Transport Layer Security (TLS) Protocol Version 1.2 §7.3より作成)。 ChangeCipherSpecは必ずこの位置で行うことになっています。OpenSSLもChangeCipherSpecをこのタイミングで送信しますが、受信は他のタイミングでも行うようになっていました。これを悪用することで、攻撃者が通信を解読・改ざん可能です。 発見の困難さ
OpenSSL マジヤバいっす！ ～ Heartbleed 脆弱性を試してみたよ - モラトリアムこじらせた
実際にデータが漏れる様子を見たい方はコチラ→あ、何か漏れてる… OpenSSL Heartbleed 実験その２へどうぞ。 さて ネット上の通信の大部分において「安全」を担保していた OpenSSL なのですが... でっかい穴 が空いていたことが明らかになったようです。いわゆる Heartbleed バグ。トホホです。 「ネット上のサービスで OpenSSL を使っている(いた)サイトは、もしかしたらこのバグを知っていた悪い人からサーバー上の情報を盗まれていたかもよ？ しかも盗んだ形跡は残らないんだぜ？」 ということになります。 サーバー上の情報というのは、例えば パスワード、メールアドレス 自分で登録した名前とか住所とか もちろん自分で入力したクレジットカード番号とか… などなど。 Mashableによると、有名なサービスでヤバイのは、 Facebook Tumblr Google Y
OpenSSLのHeartbleed問題を解決する。CentOS 6.5編
『OpenSSLの重大バグが発覚。インターネットの大部分に影響の可能性』 http://jp.techcrunch.com/2014/04/08/20140407massive-security-bug-in-openssl-could-effect-a-huge-chunk-of-the-internet/ 本日こちらの記事が話題になりました。 CentOSの対応状況については、本家のフォーラムが参考になります。 『heartbleed openssl bug, need 1.0.1g openssl version』 https://www.centos.org/forums/viewtopic.php?f=9&t=45814 日本語の情報だと、こちらが詳しいです。 『 CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ』 http://d.hatena.n
フレームワークの責務とセキュリティ - MugeSoの日記
お久しぶりです。 夜中にモツ煮込み作りながら書いてます。 さて、今回はフレームワークの責務とセキュリティについて思うところがあって久しぶりにエントリを書くことにしました。 背景 まず、背景としてBEAR.Sundayの一部であるBEAR.PackageにサンプルとしてBasic認証の実装を追加するPullRequest#90でのやり取りがあります。このPRはzukimochiさんが作ったものに僕が修正を加えて出した物です。この中では、Basic認証用のパスワードをハッシュとして扱うように実装されています。 多くの人が斜め読みしているのは背景説明が長すぎるからだと思ったので削除しました。詳しく知りたい方はPRをご覧ください。 本題 いよいよ本題です。 PRの最後にkoriymさんが発言している次の言葉はフレームワーク開発に於いてとても重要です。 より関心のある問題に集中するために、特に専門と
TwitterのOAuth脆弱性
TwitterのOAuth脆弱性 Presentation Transcript TwitterのOAuth脆弱性 2013-03-01 Xtone Ltd. ピザ会 Aki / @nekoruri なにがおきたの？( ^o^) なんか友達からURL送られてきたお なにがおきたの？( ˘⊖˘) 。o(ID/Pass入力しなきゃ安全だよな……) なにがおきたの？|URL| ┗(☋｀ )┓三 なにがおきたの？( ◠‿◠ )☛ アクセストークンは頂いた、抵抗は無意味だ なにがおきたの？▂▅▇█▓▒░(’ω’)░▒▓█▇▅▂うわあああああああ なにがおきたの？( ^o^)なんか友達からURL送られてきたお( ˘⊖˘) 。O(ID/Pass入力しなきゃ安全だよな……)|URL| ┗(☋｀ )┓三( ◠‿◠ )☛アクセストークンは頂いた、抵抗は無意味だ▂▅▇█▓▒░(’ω’)░▒▓█▇▅▂うわああああ
ブラウザにファイルをドロップしてはいけない - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、CROSS 2013っていう、エンジニア向けのビール飲み放題のイベントに行ってきました！ そこの「HTML5×セキュリティ」っていうコーナーで、ちょっと喋ってきたんですが、 その時の小ネタを紹介しておきます。 最近、ブログとかのWebサービスで写真をアップロードする時に、 ファイルをドラッグ＆ドロップするだけでできたりしますよね。 いちいちダイアログから選ばなくていいから便利です。 こんなやつ。 この手の仕掛けって、ドラッグ時にボーダーカラーを変えたりして 「いまドラッグ＆ドロップ状態ですよ〜」ってわかりやすく表示されますが、 それって別に、ブラウザが警告の意味で出してるんじゃなくて、 あくまで、Webサービス側が親切で表示してるだけなんですよね。 ってことは ・ドラッグされても特にボーダーラインなどを表示せず ・画面上のどこでもドロップを受け入れるようにし
実際、パスワードはどれくらいの頻度で変えるべきですか？ | ライフハッカー・ジャパン
ライフハッカー編集部様 私の会社やいくつかのウェブサイトが、パスワードを定期的（たとえば3カ月おき）に変えるように強制してきます。基本的にパスワードはどれくらいの頻度で変えるべきなのでしょうか？ 使い古しのパスワード（Stale Passwords）より 使い古しのパスワードさん、こんにちは。 多くの組織がユーザーにパスワードの変更を強制しています。長い間、それがセキュリティーの「ベストプラクティス」だと考えられてきたからです。しかし、実際には賛否両論のテーマなのです。以下にパスワードの変更が「有効であるケース」と「有効でないケース」について解説します。■なぜ企業はパスワードに有効期限を設けているのか？ パスワードを定期的に変える利点は、パスワードが盗まれた場合に、犯人がシステムに侵入できる期間を制限できることです。もし、パスワードに有効期限がなく、またパスワードが盗まれたことにも気づかな
UDIDにおけるセキュリティ＆プライバシー問題
UDID代替の識別子 最近では、アップルがAppStoreの審査時にUDIDを取得するアプリをrejectするようになった影響もあり、UDIDの代わりにUUID（Universally Unique Identifier）と呼ばれる、端末に直接は結び付かない識別子を用いてかんたんログインを実現するケースも増えてきているようです。 またiOS 6.0からは、ベンダ向けデバイス識別子（identifierForVendor）と広告事業者向けデバイス識別子（advertisingIdentifier）というものも登場しました。 前述したUDIDのセキュリティ上の問題を理解した開発者が、UDIDの代替としてこれらの識別子を用い、かんたんログインを実装するケースも増えてきているようですが、残念ながらこれで問題が解決するというわけではありません。ここでは続けて、これらの識別子が抱えるセキュリティ上の問
[memo]UDID/UUID/UIIDなどとiOS6の新IDの違い - tanamonの稀に良く書く日記
UなんとかIDみたいなのがいっぱいあって区別がつかないので少し整理してみた。 なんとかIDの種類。 UDID(Unique Device IDentifier) （たぶん）Apple用語。 iOS端末の製造時に割り当てられる固有の識別コードで、値の変更はできない。 端末IDや端末固定IDと呼ばれるものと同じ。 iOS5からアプリからの取得が非推奨になった。 UUID(Universally Unique IDentifier) RFC 4122で定義されている。 生成の度に値が変わり、理論上重複することがない。 実装的にはGUID（Globally Unique IDentifier）が有名。 iOS6からNSUUIDクラスを使って簡単に生成できるようになった。 UIID(Unique Installation IDentifier) インストールごとに変わるという性質を持ったUUID。
![[memo]UDID/UUID/UIIDなどとiOS6の新IDの違い - tanamonの稀に良く書く日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/5f1b7ecb079a2a7d8d7139254b5272f49b9ace1a/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F17680117126983516850%2F17680117126983518256%2F1551347395)
新入社員が知っておくべきSQLインジェクション対策 | Web活メモ帳
SQLインジェクション対策について 分かりやすくまとめているサイト、読んでおくべきサイトをまとめました。 SQLインジェクションとは何か？その正体とクラッキング対策。 SQLインジェクションとその攻撃例について書かれています。 無料で使えるSQLインジェクション対策スキャナ トップ１５ SQLインジェクション対策が必要かどうかをチェックするスキャナの紹介 隠されていたSQLインジェクション 初めてのSQLインジェクション的な内容。 SQLインジェクションについてのスライドを作成した SQLインジェクションの原理原則 『よくわかるPHPの教科書』のSQLインジェクション脆弱性 書籍のサンプルコードにSQLインジェクションが含まれているという話。 コードはそのまま使っちゃ駄目な例です。 hackme 実際にSQLインジェクションが出来るか、攻撃して試して見る事ができます。 こちらの書籍もおすす
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Walti サーバーサイドのセキュリティ スキャンを身近に
DeNA Engineering - DeNAエンジニアのポータルサイト
Bitcoinを技術的に理解する
エクスコムグローバル株式会社｜XCom Global, Inc.
ハッキングされました。
【Internet Week 2012】だまして利用させる“禁じ手”に歯止めを、“プライバシーエンジニア”育成も 
