英国政府が全世界のエンドツーエンド暗号化を破壊する | p2ptk[.]org
以下の文章は、電子フロンティア財団の「The U.K. Government Is Very Close To Eroding Encryption Worldwide」という記事を翻訳したものである。 Electronic Frontier Foundation 英国議会が世界のプライバシーを崩壊させかねないインターネット規制法案を推進している。現在、貴族院での可決を目前に控えた「オンライン安全法案」は、メッセージングサービスにバックドアを強制する権限を英国政府に与え、エンド・ツー・エンド暗号化を破壊するものとなる。法案の最も危険視されている部分を軽減する修正案は全く受け入れられていない。 オンライン安全法案が可決されれば、世界のプライバシー、そして民主主義そのものを後退させることになるだろう。我々が使用するメッセージングサービスに政府承認ソフトウェアの導入を義務づける悪しき前例を生み出
![英国政府が全世界のエンドツーエンド暗号化を破壊する | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/171668db90a0ff80748b8fd9ae1136bc54446b0d/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2023%2F08%2Fdefend-encryption-cyan-1_0.png)
クレジットカード番号等取扱業者に対する行政処分を行いました （METI/経済産業省）
経済産業省は、本日、割賦販売法に基づくクレジットカード番号等取扱業者である株式会社メタップスペイメント（法人番号9011101027550）に対し、同法第35条の17の規定に基づく改善命令を発出しました。 1．事業者の概要 (1)名称：株式会社メタップスペイメント（以下「同社」という。） (2)代表者：代表取締役 和田 洋一 (3)所在地：東京都港区港南二丁目16番1号 品川イーストワンタワー7階 (4)事業内容：決済代行業等 2．処分内容 割賦販売法（昭和36年法律第159号。以下「法」という。）第35条の17に基づく改善命令 法第35条の16に規定するクレジットカード番号等の漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置として、以下の措置を講じること。 同社が同社とクレジットカード決済に係る契約を締結しているクレジットカード等購入あっせん関係販売
高木浩光＠自宅の日記 - 競争政策が消費者の安全・詐欺被害耐性を破壊しに来た
■ 競争政策が消費者の安全・詐欺被害耐性を破壊しに来た 内閣デジタル市場競争本部の「デジタル市場競争会議ワーキンググループ」が、「モバイル・エコシステムに関する 競争評価中間報告」 に対するパブリックコメントを募集している（今月10日23時59分まで）。これについては先月、ITmediaニュース「小寺信良のIT大作戦」で、「「iPhoneにサイドローディングさせろ」を国が言うのは妥当か」との記事が出ていて話題になっていた（はてブの反応、スラドの反応）。 中間報告の内容は多岐にわたっており、全部を把握していないが、ざっと見ると、技術的に誤った理解を前提にし、ろくに調査することなく技術面を蔑ろにしている箇所が、チラホラある。会合の記録を見ると、会議は非公開で行われ、パブコメ開始までに議事録も出して来ない*1。委員に技術者はいないし、技術者からの意見聴取もしていないようだ。そのくせ、技術的な問題
GitHub上のsensitive dataを削除するための手順と道のり | メルカリエンジニアリング
Advent Calendar day 7 担当の vvakame です。 予告では Apollo Federation Gateway Node.js実装についてポイント解説 としていましたが、社内各所のご協力によりAdvent Calendarの私の担当日に間に合う形で公開できる運びとなりました。そのため告知とは異なりますが GitHub上のsensitive data削除の手順と道のり をお届けしていきたいと思います。 メルペイVPoE hidekによるday 1の記事で振り返りがあったように、今年、弊社ではCodecovのBash Uploaderに係る情報流出という事案が発生しました。当該インシデント対応において、プレスリリースにも記載のある通り、ソースコード上に混入してしまった認証情報や一部個人情報などの機密性の高い情報（sensitive data）について調査を実施し、対応
Public Suffix List の用途と今起こっている問題について | blog.jxck.io
Intro Public Suffix List (PSL) は、現在の Web プラットフォームの一端を支えている非常に重要な要素だ。 実はこれが、少数のボランティアにより GitHub でメンテナンスされた、単なるテキストリストであることは、あまり知られていないかもしれない。 最近、このリストへの追加リクエストがあとを絶たず、問題になっている。 そもそも PSL とは何であり、今どのような問題が起こっているのかについて解説する。 Public Suffix List とは何か PSL を解説するには、まず関連する用語について整理する。 Top Level Domain (TLD) 例えば、このブログのドメインは blog.jxck.io であり、これは筆者が取得したドメイン jxck.io のサブドメインだ。 jxck.io は、 .io という TLD のサブドメインを販売しているレ
Googleドキュメントがフィッシングサイトとして利用される｜ozuma5119 / Yusuke Osumi
この2,3週間ほど、私のメールボックスにほぼ毎日bitFlyerのフィッシングメールが届くようになりました。 私はサイバーセキュリティ分野での調査研究をしており、このような詐欺メールはさして珍しいことではありません。しかしこのフィッシングメールが誘導する先のフィッシングサイトは、あまり他に見ない特徴を持っています。そして今後の脅威となる可能性が高いと感じ、この文章を書きました。 フィッシングメール 届いたフィッシングメール自体は、よくあるタイプのものでした。不正なログインがあったからすぐ確認しなさい、と人を慌てさせてリンクをクリックさせる、一般的な手口です。 しかしこのリンク先が、2週間ほど前からGoogleドキュメントへのリンクとなったのです。 リンク先はGoogleドキュメント Googleドキュメントで作られたフィッシングサイトがこちらです。 見て分かるように、厳密にはこれはフィッシ
牧歌的 Cookie の終焉 | blog.jxck.io
Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。 冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、 Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。 そんな Cookie が今どう使われ、 3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする 一度保存すれば、次から自動で送る
Coinhive設置で1審無罪の控訴審、東京高裁が次回期日に被告人質問
「Coinhive（コインハイブ）」を設置して刑法の不正指令電磁的記録保管罪（コンピュータ・ウイルスに関する罪）に問われ、1審で無罪判決を受けたサイト運営者の男性に対する控訴審の第1回公判が2019年11月8日、東京高等裁判所（栃木力裁判長）であった。 東京高裁は職権で次回期日の2019年11月29日に被告人質問を行うと決めた。男性は2018年3月末に自ら運営するWebサイトにコインハイブを設置したとして神奈川県警察の摘発を受けて、横浜簡易裁判所から罰金10万円の略式命令を受けた。しかし男性は命令を不服として正式裁判を請求。1審の横浜地方裁判所が2019年3月に無罪を言い渡した。 控訴審では何がコンピュータ・ウイルスに当たるのかという刑法の法解釈などが争われる。検察側は原判決について、「法令の解釈・適用を誤ったものである」として控訴した。弁護側は控訴棄却を求める一方、コインハイブを「意図に
よくわからないJavaScriptが綺麗にされたらCard Stealerだった件
こんにちは、Recruit-CSIRTのきっかわです。 「ウィルスオタクの若手エース」と呼ばれるようになったから、というわけではないでしょうが（笑）、このたび、話にはよく聞くが見かけたことのなかった「クレジットカード情報を盗むJavscript」を見つけたので、そのマルウェアと周辺の攻撃について情報を共有します。みなさんにとって本ブログが有益な情報になれば幸いです。 忙しい方へ 今回発見されたJavaScriptの概要 クレジットカードのチェックディジットの計算とクレジットカード番号の構成をチェックする チェックが通ると、外部サイトへ入力情報を全て送信する Javascriptコードの仕込まれ方 Webサイトのjsファイルを改ざんして動作 元のサイトの動きに対して、見た目上の動きは変わらない IOC https://ww1-filecloud[.]com/img 攻撃の流れ 今回観測した攻
アーカイブファイル関連の脆弱性「Zip Slip」、大手プロジェクト多数に影響
セキュリティ企業Snykによると、Zip Slipの脆弱性は、HPやAmazon、Apache、Pivotalなどを含め、数千ものプロジェクトに影響を及ぼすという。 オープンソース製品のセキュリティ対策を手掛けるSnyk Securityは6月5日、アーカイブファイルの処理に関連して、多数のオープンソースプロジェクトに影響を及ぼす重大な脆弱性を発見したと発表した。 同社はこの脆弱性を「Zip Slip」と命名。HPやAmazon、Apache、Pivotalなどを含め、数千ものプロジェクトに影響が及ぶと説明している。 Snykによると、Zip Slipの脆弱性は、JavaScript、Ruby、.NET、Goといった複数のエコシステムで発見され、特にJavaで蔓延していることが判明した。「tar」「jar」「war」「cpio」「apk」「rar」「7z」など、膨大な数のアーカイブフォーマ
Intelligent Tracking Prevention 2.0
Note: Read about improvements to this technology in recent blog posts about Intelligent Tracking Prevention, and the Storage Access API. Today we’re happy to bring you Intelligent Tracking Prevention 2.0, or ITP 2.0. It builds upon ITP 1.0, which we released last year, and ITP 1.1, which was released in March, adding the Storage Access API. Removal of the 24 Hour Cookie Access Window ITP 2.0, as o
Node.js で発生した Hash flooding DoS とその内容について - from scratch
Node.js のセキュリティアップデート 7/11 に Node.js のセキュリティアップデートがリリースされました。 Security updates for all active release lines, July 2017 | Node.js これには複数の脆弱性が報告されており、今回はそのうちの1つの Hash flooding DoS という脆弱性が何なのか、それに対して採用された対策が何なのかについてお話します。 Hash flooding DoS (hashdos) Denial Of Service 、つまりサービス拒否攻撃の一種です。 JavaScript のオブジェクトは内部的にハッシュテーブルとして表現されています。 図はこちらから引用 ハッシュ関数は同じkeyなら同じ値を返しますが、別なkeyなら通常は別な値になります。 ハッシュテーブルのinsert, g
安全なphp.ini設定
あまり設定することがないのでメモ的に残しておきます。設定するのに必要な項目です。まあだいたいなところですけど、自己確認用ですから。。。 いろいろなところからいいとこ取りで設定してある物をご紹介いたします。 環境によって使い分けたほうがよさそうですね。 基本的にあまり構うところ無いのですが、特にココは気をつけたいところだけ載せておきます。 php.iniの設定も一苦労です。 スポンサーリンク //Webアプリケーションで使用する文字エンコーディングを必ず指定。 default_charset = UTF-8 //すべてUTF-8で統一の場合 mbstring.language = Japanese output_handler = mbstring.internal_encoding = UTF-8 mbstring.http_input = pass mbstring.http_outpu
【悲報】人気の「1Password」が買い切りから月額制へ。しかもけっこう高い : IT速報
AgileBitsの人気アプリ「1Password」が買い切り型から月額制に変わってしまったと話題。先日までは、Mac版なら7800円で販売されていましたが、現在は月480円のサブスクリプション契約となっています。 大きな変更点として、1Passwordアカウントが必須となり、ストレージも用意されているとのこと。なお、既存ユーザーは現時点で1Password自体の利用は可能ですが、ストレージを使いたい場合は月額制に移行しなければなりません。 また、現在も買い切り型を購入は可能とのこと。しかし、どのバージョンでサポートが打ち切られるかなどは不明。これから購入するなら、素直に月額を課金したほうがいいかもしれません。 関連：Mac App Storeの「1Password for Mac」でスタンドアロン版ライセンスを購入する方法。 1Password 無料 評価：4.5 ちなみに、1Passw
資生堂子会社のECサイト、無いはずのカード情報が漏れた原因とは
資生堂子会社「イプサ」が運営していた化粧品通販サイトの不正アクセス問題で2017年1月31日、新たな動きがあった。およそ2カ月前に公表した最大42万1313件の個人情報と最大5万6121件のクレジットカード情報の漏えいに加え、9699件のクレジットカード情報と150件の個人情報も流出していた可能性があると明らかにしたのだ。 合わせて、資生堂とイプサは、不正アクセスの経緯や原因、対策をまとめた調査報告書を公表した。本来は通販サイト内に蓄積しないはずのカード情報をサーバーに残していたことなど、セキュリティ対策の基本部分がおろそかだったことなどが明らかにした。報告書から分かる、経緯や問題点をみていこう。 攻撃を受けたサイトのサーバーは3台 今回攻撃を受けたイプサの通販サイト「イプサ公式オンラインショップ」は、2台のWebサーバーと1台のデータベース管理サーバーで運用していた。イプサがカード決済代
Apple iOS9 (ATS)への対応
Storage-JAWS #2登壇資料：きみは偉大な先輩Cloud Volumes ONTAPを知っているか？ssuser935fd7
ウィルス感染でWebサービスが20日間ダウン。本当にごめんなさい - Qiita
障害が起きたWebサービスは個人で運営しているサービスです。 2016年2月、障害から20日後にサービス再開しましたがアクティブユーザは以前の18%です。未だ回復の目処は立っていません。冗長化していないサーバがウイルス感染し、その後の対応も後手後手に回ってしまいました。 2016年1月末に起こるべくして起こった障害について記事にしてみました。ご迷惑をお掛けしてしまい本当に申し訳ありません。 ■ ユーザは、もう戻ってこない どんなウイルスに感染したのか SYNフラッド攻撃（SYN Flood Attack）を他のWebサイトに行うウイルスに感染して、確認していませんが他のサービスをSYNフラッド攻撃していたと思います。またウイルス感染時にサーバのsshdを書き換えられsshで接続できなくなりました。感染後にコンソールログインして書き換えられた醜い authorized_keys を見た時ゾッ
Airbnbでは｢性的暴行｣の被害が起きている
7月4日の夕方、ミカエラ・ジャイルスの携帯電話から緊急事態を知らせる音が聞こえ始めた。そして、ホラー映画のようなメッセージがいくつも画面に現れてきた。 メッセージは、彼女の19歳になる息子からだった。マドリードのAirbnb（エアビーアンドビー）のホスト（部屋の貸主）が、集合住宅の4階の部屋に彼を閉じ込めカギをかけたというのだ。息子はその部屋に宿泊する予定だった。息子のメッセージによると、ホストはまだ部屋の外にいて、台所の引き出しでナイフをガチャガチャいわせながら、性的行為に応じるよう迫っているという。息子は母親に助けを求めていた。 閉じ込められた息子…誰も助けてくれない 母親はAirbnbに電話をかけた。だが、同社の従業員は息子の宿泊先の住所を教えず、警察に電話をしようともしなかった。彼らは母親にマドリード警察の電話番号を伝え、住所を知りたいなら、マドリード警察からAirbnbに電話をし
Passwords Generator
パスワードを大量に自動生成します。パスワードに使用する文字、長さ、文字の構成パターンなどをカスタマイズできます。生成したパスワードの強度を数値で表示します。パスワード生成処理のすべてはあなたのパソコン上で実行するため安全に使用できます。フォーム内の該当するパラメータにマウスを重ねると簡単な説明が表示されます。応用的な使い方はGraviness Blogを参照してください。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【PHP】作成したメールフォームに脆弱性がないか、アドバイスもらえないでしょうか。
