高木浩光＠自宅の日記 - Wi-FiのMACアドレスはもはや住所と考えるしかない
■ Wi-FiのMACアドレスはもはや住所と考えるしかない 目次 まえがき これまでの経緯 2つのMACアドレスで自宅の場所を特定される場合 SSIDに「_nomap」でオプトアウト？ PlaceEngineはどうなった？ まえがき 先週、以下の件が話題になった。 Greater choice for wireless access point owners, Official Google Blog, 2011年11月14日 Removing your Wi-Fi network from Google's map, CNET News, 2011年11月14日 グーグル、Wi-Fiネットワークの位置情報収集で対応策を公開, CNET Japan, 2011年11月16日 Google's WiFi Opt-Out Process Makes Users Navigate Technic
ストレッチング採用の理由 | 水無月ばけらのえび日記
更新: 2011年5月30日10時50分頃 徳丸さんに誘われ、徳丸本 (www.amazon.co.jp)レビュアー中心に6名ほどで飲み食いしながら四方山話をしたり。 翌日に徳丸さんはこんなつぶやきをしておられますが、 同じく昨日の一言。「パスワードのストレッチングについては効果を疑問視する声もあったが、『教科書』にベストプラクティスとして載っている以上、最低限そこまではやるべきと主張して、徳丸本の通りに実装することにした」<こういう声は嬉しいですね 以上、http://twitter.com/ockeghem/status/73526372642988032 より これは私の発言ですね。せっかくなので、もう少し流れを補足しておきます。 サーバ側でパスワードを保存する際、パスワードそのものではなく、ハッシュ関数を通したハッシュ値を保存することが良く行われます。これによって、たとえDBの値が
僕が「ホワイトリスト」を採用しなかった訳 - ockeghem's blog
ホワイトリストという用語はセキュリティの分野では非常に基本的な用語ですが、セキュアプログラミングという文脈では意外に曖昧な使われ方がされているように見受けます。本エントリでは、ホワイトリストという用語の意味を三種類に分類し、この用語の実態に迫ります。拙著体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）では、ホワイトリストという用語を一度も使っていませんが、その理由に対する説明でもあります。 ホワイトリストの分類 私の調査によると、ホワイトリストは以下の3種類に分類されます。 許可されたものの一覧表（第一種ホワイトリスト） セキュリティ上安全と考えられる書式（第二種ホワイトリスト） アプリケーション仕様として許可された書式（第三種ホワイトリスト） 以下順に説明します。 許可されたものの一覧表（第一種ホワイトリスト） ホワイトリストというくらいですから、本来のホワイトリストは
これぐらいやっとけ 〜Linuxサーバのセキュリティ設定〜 - nabeの雑記帳
管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ はてブさんは #の切り分けやめてくれないかな……。 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinS
コメント masa (2008/02/29 18:31) - パスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記
ITProの記事が契機となって、PCIDSS（PCIデータセキュリティ規準）およびパスワードに関する規定が話題となっている*1。 「パスワードは90日ごとの変更」が義務づけられる！？ | 日経 xTECH（クロステック） それに対して，PCIDSSは表現が具体的である。現在のバージョン1.1ではパスワードについて下記のような規定がある。 ■要件8.5.8 グループ、共有または汎用のアカウントとパスワードを使用しないこと。 ■要件8.5.9 ユーザー・パスワードは少なくとも90日ごとに変更する。 http://itpro.nikkeibp.co.jp/article/OPINION/20080220/294287/ このうち、要件8.5.9「ユーザー・パスワードは少なくとも90日ごとに変更する」に関して疑問を持った。これはいわゆる「セキュリティの常識」という奴の一つではあるが、実際のところ、
パスワードの定期的変更は意味があるか
最近はてなあたりを震源地に「パスワードの定期的変更は意味があるか？」という話題がちょっと盛り上がっていた。 その中で面白いと思ったのはこちら。 パスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記 私の職場でもネットワークに繋がるパソコンは検疫サーバのセキュリティポリシーで３０日ごとにパスワードを変更することが義務づけられている。 変更を怠るとログインそのものができなくなって、自分の会社のネットワークから締め出される。 それで結論を先に書くと私もこのパスワードを定期的に変更するという「セキュリティ対策」はほぼ無意味で、「ちゃんと対策やっています」というアピール以外に何の役にも立たないと思っている。 多分こういう対策を支持する人の言い分は大体こういうことに集約されると思う。 「パスワードが漏洩しても定期的に変更していれば新しいパスワードはわからないから安全ではないか」
パスワードは定期的に変更するべき、というのは都市伝説？
Toshiboumi Ohta @bugbird 定期的にパスワードを変える？ そりゃ、充分な桁数を設定できなかった時代のはなしでしょ。1234 という４桁のパスワードを設定したとして、0000からスタートして 1233 まで到達する前に 0001 というパスワードに変更すれば、攻撃者の努力は無駄になるということ 2010-12-09 21:02:46
【2ch】ニュー速クオリティ:【無線LAN】 「WEP」の危険度がさらに拡大
1 【news:5】 DD坊や(東京都) 2010/11/03(水) 23:23:06.29 ID:a9D+26fl0 ?PLT(12072) ポイント特典 株優プチ(news) 無線LANの旧式セキュリティ「WEP」の危険度がさらに拡大、自動解析機まで販売される 脆弱性が指摘されて久しい無線LANの旧式セキュリティシステム「WEP」だが、利用における危険度がさらに高まってきた。以前からオークションなどで出回っていた、WEPキーを自動解析できると見られる無線LANデバイスが秋葉原の店頭にも出回り始めてきた状態だ。既にいわれている通り、「WEPによるセキュリティは存在しない」と考えたほうがいいだろう。 http://akiba-pc.watch.impress.co.jp/hotline/20101106/etc_antcor.html (*ﾟДﾟ) 研究用という免罪符 (ヽノ）
XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法
Elasticsearch 2014/04/21 勉強会資料 「Couchbase と Elasticsearch が手を結んだら」Masahiro Satake
Kazuho@Cybozu Labs: (Twitter の XSS 脆弱性に関連して) 構造化テキストの正しいエスケープ手法について
昨日の Twitter の XSS 騒ぎは、まだ皆さんの記憶に新しいことと思います。いい機会なので、ツイートのような構造化テキストのエスケープ手法について触れておきたいと思います。 Twitter のメッセージは、単なる平文（プレインテキスト）ではなく、「@英数字」のような他のユーザーへの言及と「http://〜」のような URL を自動的にハイパーリンク化する構造化テキストです。 このような複数のルールをもつ構造化テキストを HTML 化する際には、どのようなコードを書けばいいのでしょう？ まず「@〜」をリンク化してから、URL をリンク化すればいいのでしょうか？ それだと、@〜 のをリンク化した A HREF タグの中の URL がさらにリンク化されていまいますね。 では、URL をリンク化してから @〜 をリンク化すればいいのでしょうか？ それだと、@ を含む URL があった場合に
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
慶應のSSHサービスが素晴らしすぎる件 - これでも大学職員のブログ
今回は「慶應義塾大学」を取り上げさせていただきました。 ━━━ 2010.9.8更新。━━━━━━━━━━━━━━━━━━━━━━━ はてブコメントで批判続出です。 今回のネタを取り上げたブログを２つ紹介。 ・SSHの鍵ペア生成サービスの是非について ・9月7日のtwitterセキュリティクラスタ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 「サーバへのリモート接続はSSHで」。 こういう大学（情報センター）は珍しくありません。 このSSHの際「各自で公開鍵と秘密鍵を作ってどうのこうの〜」とまでしている大学は、そんなに多くないと思います。 この鍵の作成が（一度限りの作業だけど）面倒なんですよねぇ。。 今回は、その面倒さを取り払った素晴らしいWEBサービスを紹介します。 「慶應義塾大学」です。 http://itc.sfc.keio.ac.jp/pukiwiki/i
はまちちゃんと脆弱性報告のあり方 - 世界線航跡蔵
はまちちゃん がいつものごとく、AmebaなうにCSRF脆弱性を発見して いたずらを仕掛けた 。そして、何故か今回だけ「それは迷惑行為だ」とかなんか騒がしい。 私はそもそも、はまちちゃんのいたずらを「隙があったからカンチョー」に喩えるのが程度がおかしいんじゃないかと思う。それで非技術者には話が通じていないのでは? CSRFやSQL Injectionを許していたら、何よりも守るべきユーザーの情報が危険だ。そしてAmebaがそういう脆弱性を持っていると言うことは、生越さんが指摘するように首相官邸からの公式情報を操作できるという意味だ。これは「隙があった」んじゃないだろう。「開腹したまま内臓が露出している」んだ。 ところが、どうも現実の医師とは違ってこの世界の、特にAmebaみたいな大きな会社の開発者はその辺の意識が甘い。「手術したけど、まー、内臓が見えててもすぐに死ぬ訳じゃないし、適当に皮被
OpenID に対する中間者攻撃のデモ - 日向夏特殊応援部隊
いわゆる man-in-the-middle attack って奴ですが精巧にデモを作った人がいました。 デモサイト 紹介記事 予め言っておきますが、デモサイトはフィッシングのデモなので素人は正しいパスワードは決していれない事。あるいは使わない事。*1 試したけど、idtheft.fun.de と言うドメインは変わらない物の、入力した Identifier に応じた OpenID Provider そっくりの画面が出て来た。myopenid.com, claimid.com で確認しました。 素人さんはこれは気づかないんじゃないのかなー。 ちなみに以前紹介した Sxipper の Firefox 拡張 を使えば見事にフィッシング検出されました（ぉ ちゃんと読んで無いと先に断っておきますが、紹介記事は多分パスワード認証よりCardSpaceみたいのがいいよねって感じを暗に訴えてるように思える
セキュリティ云々の話 - Unknown::Programming
ちょっと反応しとく。 そんなに大切な個人情報をたくさん扱ってるサイトなんてどれだけあるかな。 みんなそういうサービスつくってるの？ なんかすごいね。 ぼくの使っている範囲だと、本当にまずいのは銀行と証券とカード会社のような、お金のからむサービスくらいだよ。 そもそも、利用者もそれほどバカじゃないから、 うさんくさいサイトだったら、住所も本名も預けたりしないよ。 http://d.hatena.ne.jp/Hamachiya2/20080131/security 賛成できる部分もあるができない部分もある。 僕は仕事上、携帯WEBサイト開発にずっと関わってきたので上記の考え方が間違いであることが良くわかる。 ユーザーはいともカンタンに個人情報を預けるよ、携帯サイトでは。 たとえばどっかのアーティストのキャリア公式サイトだとか、どっかのTVの番組のキャリア公式サイトだとかでECとかやるだけで簡単
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.machu.jp/posts/20110428/p01/
OS運用記録12月2
インターネットの秘密のバックドア | taro-nishinoの日記 | スラド
Rails で、Controller に定義されている action を一度に取得する方法はありますか？ - QA@IT
http://mainichi.jp/select/today/news/20080624k0000e040075000c.html