サードパーティCookieの歴史と現状 Part1 前提知識の共有 - 最速転職研究会
Web開発者のためのサードパーティCookieやらトラッキングやらの問題点について三回ぐらいに分けて書きます。 この文章は個人的に書いていますので、おい、お前のところのサービスがサードパーティCookieに依存してるじゃねーかというツッコミがあるかもしれないが、そういうことを気にしているといつまで経っても公開できないという問題が出てしまうので、そんなことはお構いなしに書く。ちなみに例外なく自社サービスに対してもサードパーティCookieに依存するな死ねと言っている。これはWebプログラマー観点で、自分がサービス開発に関わる上で知っておかねばならないだろう知識として十数年間だらだらとWebを見ていて自然に知っていたものと、あるいは興味を持って率先して調べたものが含まれている。ググッて直ぐに分かる程度の用語の定義的なことは書かない。あくまでWebサイト制作者側からの観点なので、ブラウザ開発関係
「Chrome」の徹底的な改修を開始したグーグル--セキュリティ向上を目指す
Googleが「Native Client」と呼ばれる安全性の高い基盤の上で、「Chrome」を徹底的に作り直す作業を開始したとの情報を、米CNETが入手した。 その第1段階の対象は、ChromeブラウザがPDFファイルを読めるようにするために使われている、Chrome内蔵モジュールだ。Chromeチームのエンジニアリング担当バイスプレジデントであるLinus Upson氏は、5月のGoogle I/Oカンファレンスでその計画について明らかにしており、今回、その第1段階が進行しているという証拠が出てきた。 この問題のいくつかは、「Chrome 14」の完成スケジュールでタグづけされている。このことは、そのバグの修正が、開発中であるChromeの次のバージョンに間に合うように行われることを保証するものではないが、修正作業は短期プロジェクトであって、長期的なものではないことを意味している。 「
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
1分でわかる「X-ナントカ」HTTPレスポンスヘッダ - 葉っぱ日記
最近のモダンなWebブラウザがサポートしている、セキュリティに関連しそうな X- なHTTPレスポンスヘッダをまとめてみました。それ以外にもあったら教えてください。 X-XSS-Protection 0:XSSフィルタを無効にする。 1:XSSフィルタを有効にする。 XSSフィルタを有効にすることでエンドユーザがXSSの被害にあう可能性が低減するが、まれに誤検知することで画面の表示が乱れることもある。IE8+、Safari、Chrome(多分) で有効。IEでは「X-XSS-Protection: 1; mode=block」という指定も可能。 2008/7/2 - IE8 Security Part IV: The XSS FilterBug 27312 – [XSSAuditor] Add support for header X-XSS-Protection X-Content-Ty
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
グーグル、Chromeの脆弱性を修正--報奨金1万ドルを支払い
Googleは、同社ブラウザ「Google Chrome」に存在する最近の一連の高リスクな脆弱性に対し、1万ドル以上の報奨金を支払った。 同社は、「Google Chrome 5.0.375.127」をリリースし、9件のセキュリティホールを修正するとともに、1件のWindowsカーネルに存在するバグに対する緩和策を施し、これらの問題を報告したハッカーに報奨金として1万11ドルを支払った。 GoogleのJason Kersey氏は、脆弱性の詳細を次のように説明している。 ［1337ドル］［45400］深刻度：Critical。ファイルダイアログにおけるメモリ破壊。クレジット：Sergey Glaznov氏。 ［500ドル］［49596］深刻度：High。SVGにおけるメモリ破壊。クレジット：team509のwushi氏。 ［500ドル］［49628］深刻度：High。テキスト編集におけるキ
PHPのSession Adoptionは重大な脅威ではない - ockeghem's blog
なぜPHPアプリにセキュリティホールが多いのか?：第25回 PHPのアキレス腱にて、大垣靖男氏がPHPのSession Adoption問題について取り上げている。大垣氏は度々この問題を取り上げているが、今のところ氏の主張に同調する人を見かけない。それもそのはずで、大垣氏の主張は間違っていると私は思う。 以下、大垣氏の主張を実際に試してみる形で、順に説明しよう。 大垣氏の主張 大垣氏の主張は、PHPにはSession Adoption脆弱性があるために、標準的なSession Fixation対策であるsession_regenerate_id()を施しても、その対策は有効ではないというものだ。 しかし，実際には現在に至るまでPHPのセッションモジュールのセッションアダプション脆弱性は修正されないままになっています。このために，本来はsession_regenerate_id関数をログイン
Google Chrome OS のご紹介
Google が Google Chrome ブラウザを発表してから刺激的な 9 ヶ月がたちました。今や 3,000万人以上の方が、日々このブラウザを利用しています。Google Chrome はウェブで日常生活を行っているような方々のためにデザインされています－－情報を検索したり、メールをチェックしたり、ニュースを読んだり、買い物をしたり、あるいは気軽な友人とのやり取りなど。しかし、ブラウザを走らせるオペレーティング・システムは、ウェブのない時代に設計されたものです。そこで本日、Google は Google Chrome を拡張させたプロジェクト －－ Google Chrome オペレーティング・システムを発表いたします。これはオペレーティング・システムがどのような形であるべきかを再考する試みです。 Google Chrome OS はオープンソースの軽量オペレーティング・システムで
IEをターゲットにした0-day攻撃が発生中 | スラド セキュリティ
「Microsoft Video ActiveXコントロールの脆弱性により、リモートでコードが実行される（972890）」脆弱性を利用したゼロデイ攻撃が発生しているようだ。これは5月末に出た「Microsoft DirectShowの脆弱性により、リモートでコードが実行される（971778）」脆弱性とは別であることに注意（ITmediaの記事、セキュリティホールmemoの該当エントリ）。 クライアント側の対策としてはIEを使用しない、もしくはVideo ActiveXコントロールを無効にする「Fix itによる回避策の実行」を行うなどがあげられる。 国内では VALUE DOMAIN のログインページ改ざんが確認されたようだ。またVALUE DOMAINを使用しているwikiwik.jp内でもサイトの改ざんがあり、各wikiを閲覧したユーザーに被害が広がった模様。wikiwiki.jp、V
高木浩光＠自宅の日記 - EV SSLを緑色だというだけで信用してはいけない実例
■ EV SSLを緑色だというだけで信用してはいけない実例 EV SSLに関して以前から懸念されていたことが既に現実になっていた。一時期、EV証明書を発行する一部のCA事業者が、EV SSLの宣伝で「緑色になったら安全」などといいかげんな広告を打っていて、誤った理解が広まりかねないと心配されていたわけだが、「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念だった。 そして、その実例が既に存在していたことに気付いた。図1は私が作ったWebページである。 アドレスバーは緑色になっているが、ここに入力されたデータは私宛にメールで送信*1されてくる。（このページは既に閉鎖している。） 悪意ある者がこうしたページを作成*2し、何らかの方法でこのページに人々を誘導*3すれば、フィッシングの被害が出るおそれがある。
Firefoxをセキュアに--お勧めアドオン10選
ウェブサーフィンを安全に行うということは極めて重要であるものの、安全さと快適さは時に相反する場合がある。しかしFirefoxのユーザーであれば、セキュリティを強化するアドオンをインストールしておくことで、ワームやハッカー、フィッシング詐欺といった脅威に備えることができるのだ。 ただし、こういったアドオンをインストールしたからと言って、絶対に安全であるとは言いきれないという点は述べておく必要がある。信頼できるサイトのみを訪問し、出所の不明なファイルをダウンロードしないということを常に心がけてほしい。 ＃1：BetterPrivacy BetterPrivacyを使用することで、有効期限が長く、削除されないトラッキングクッキーの脅威から身を守ることができるようになる。このアドオンは、こういったオブジェクトを発見し、あなたに代わって削除してくれるのだ。また、こういったクッキーの削除を行うかどうか
履歴消去じゃ消えないエロサイトの隠れた痕跡に要注意 - てっく煮ブログ
色んなホームページを見ていると閲覧履歴が自動で保存されます。恥ずかしいページを見たあとには、他の人にばれてしまわないように、こっそり履歴を消している人もいることでしょう。通常、ブラウザには「履歴を削除する機能」が備わっていて、ブラウザの履歴を削除すればあなたの悪行の数々は消え去ってくれるように思えます。しかし、ブラウザからは消せない履歴が残っているのです…ブラウザからは消せない履歴それが Flash の Local Shared Object です。Local Shared Object は Flash 版の Cookie みたいなもので、Flash で一時的なデータを保存するときにはよく用いられるものです。Local Shared Object は次の場所に保存されています。OS場所Windows XPC:\Documents and Settings\ユーザ名\Application
NoScriptの全面譲歩で決着 - Mozilla Flux
予想外にあっけない幕切れだった。NoScript 1.9.2.6がリリースされ、1.9.2.4で問題になっていたホワイトリストは自動的に削除されるようになった。そして、二度と追加されることはない。NoScriptの作者Giorgio Maone氏は、公式サイトのほか、自己のブログにも謝罪文を掲載した（『Dear Adblock Plus and NoScript Users, Dear Mozilla Community』）。 大きな反響をいただき、台湾からのトラックバックさえあった『Adblock Plus vs. NoScript』の続報である。筆者は対立が長引くと見ていたのだが、わずか数日でNoScriptが全面的に譲歩する結果となった。Maone氏の謝罪文には経緯も説明されているので、まずはそれを見てみよう。 NoScript作者から見た争いの経緯 やはり今回の争いの発端はEasy
Mozilla Re-Mix: 安全・高速なWebサーフィンを実現する「OpenDNS」
皆さんご存じのように、ブラウザにURLを入力するとそれに該当するIPアドレスを引っ張ってサイトを表示するようになっています。 このような名前解決は、一般的にプロバイダなどから提供されるDNSサーバーが担うものですが、これらは安全性に欠けているとされているものもあれば、一部のサーバーでは名前解決ができないような場合もあります。 また、解決に要する時間はDNSサーバーに左右されることから、処理の速いDNSサーバーを使えばWebサーフィンの高速化に繋がるとも言えます。 「OpenDNS」は、こうした脆弱性を排除し、かつ、高速なブラウジングを実現するために提供されているフリーのDNSサーバーです。 管理者も、遅まきながらこの「OpenDNS」を導入し、Firefoxやその他のブラウザでどのように変化があったのか確認してみました。 「OpenDNS」の導入は、Firefoxになんらかの設定を行うとい
教科書に載らないWebアプリケーションセキュリティ 第1回 ［これはひどい］IEの引用符の解釈 − ＠IT
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 小さな話題が面白い 皆さん、はじめまして。はせがわようすけと申します。 「教科書に載らないWebアプリケーションセキュリティ」ということで、Webアプリケーションのセキュリティに関連する、普段あまり見掛けないような小さな話題を取り上げていきたいと思います。 セキュアなWebアプリケーションを実現するために、開発者の方だけでなく、Webアプリケーションの脆弱性検査を行う方々にも読んでいただきたいと思っています。重箱の隅を楊枝でほじくるような小さな話題ばかりですが、皆さんよろしくお願いします。 さて第1回は、Internet ExplorerがHTMLを解釈する際の引用
Mozilla Re-Mix: ボタン一つで串を通して匿名ブラウジングができるFirefoxアドオン「Hide My Ass!」
Firefoxには、匿名ブラウジングを行うことができるアドオンがいくつかありますが、あらかじめプロキシサーバーの用意をしてツールにセットしておく必要があるなど、初心者にとってはちょっとややこしいものが多いですね。 また、そうしてプロキシサーバをセットしても、接続が極端に遅かったり、いつの間にか使えなくなっていたりすることも珍しくなく、イライラさせられることもあります。 こうした串を通したブラウジングを、ボタン一つで実行することができるFirefoxアドオンが、「Hide My Ass!」です。 「Hide My Ass!」は、ブラウジング時に、専用のステータスバーボタンをワンクリックするだけで、同名のプロキシサービス「Hide My Ass!」を利用するのと同じようにプロクシ経由でブラウジングを行うことができるアドオンです。 従来の同種のアドオンと違い、WebサービスをFirefoxで利用
Native Clientの仕組みはどうなっているのか？ - やねうらお−よっちゃんイカはしばらく買わずにiPhoneだけに注力する男
Googleが、Webブラウザ上でネイティブバイナリコードを実行する「Native Client」を公開した。 Native Client http://code.google.com/p/nativeclient/ Google Earth,Quakeなどがすでに動いているようだ。 これはすごい！ブラウザ上でX86バイナリを動かす「Native Client」 http://www.moongift.jp/2008/12/native_client/ サンドボックスで安全性確保、オーバーヘッド5％ ブラウザでx86バイナリ実行、グーグルが新技術 http://www.atmarkit.co.jp/news/200812/09/nacl.html あと、サンプルのlife.ccにSDL_surfaceと書いてあるのでSDLの描画まわりが既に動いているのだろうから、今後、たくさんのアプリがN
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
そのタブ本物？タブナビングにご注意：Tabnabbing - A New Type of Phishing Attack
IDEA*IDEA 〜 とあるサービス運営者が学んだことをまとめるブログ
主要ブラウザすべてに影響する「クリックジャッキング」攻撃とは