CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして - Mercari Engineering Blog
本日コーポレートサイトでお知らせした通り、Web版のメルカリにおいて一部のお客さまの個人情報が他者から閲覧できる状態になっていたことが判明しました。原因はすでに判明して修正が完了しております。また、個人情報を閲覧された可能性のあるお客さまには、メルカリ事務局より、メルカリ内の個別メッセージにてご連絡させていただきました。 お客さまの大切な個人情報をお預かりしているにも関わらず、このような事態に至り、深くお詫びを申し上げます。 本エントリでは技術的観点から詳細をお伝えさせていただきます。 2017年6月27日 CDNのキャッシュの動作について、CDNプロバイダと仕様について確認し検証を行いました。その結果一部記述に実際と異なる箇所があり、加筆修正いたしました。 概要 メルカリWeb版のコンテンツキャッシュをしているCDNのプロバイダ切り替えを行いました。 その際本来キャッシュされるべきでない
医療ソフトのハッキングコンテストで80超の脆弱性発見
ソフトウエアにおけるセキュリティーの脆弱性を探す「バグハンティング」によって、医療系ソフトウエアの欠陥を探す――。神戸デジタル・ラボとヒューマンスピリッツが共同で「医療セキュリティハッキングコンテスト 2016」を開催し、80超の脆弱性を発見した。 コンテストは2016年5月28日と29日の両日、合計18人が6チームに分かれて実施。最も多くの脆弱性を発見した「イプシロンデルタ」チームが優勝、賞金10万円を獲得した。 セキュリティーホールとも呼ばれる脆弱性を攻撃されると、データベースへの不正侵入による患者情報の流出、管理者権限への不正アクセスによるカルテ改ざんなどが想定され、万が一の場合、機微情報が多い医療データは深刻な打撃を受けることになる。 今回のハッキングはあらかじめそうした危険性をエンジニアが発見して予防策とするのが目的。実際に日本で流通している医療系ソフトウエアを対象とした。同社に
追記（19日）東洋経済オンラインの的外れ記事 / 高木浩光＠自宅の日記 - 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ
■ 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ ここ数年、不正送金の被害がインターネットバンキングの法人口座で急増しているという*1。その原因は今更言うまでもなく、Java実行環境（JRE）やAdobe製品の古いバージョンの脆弱性を突いてくるマルウェアである。しかしそれにしても、法人口座を扱うパソコンがなぜ、Java実行環境やAdobe製品をインストールしているのだろうか。インストールしなければ被害も起きないのに……。 その謎を解く鍵が、eLTAX（地方税ポータルシステム）にあるようだ。eLTAXでは、インターネットバンキングの口座を用いた納税ができることから、インターネットバンキング用のパソコンでeLTAXの利用環境も整えるということが普通になっていると思われる。そのeLTAXが、昨日までは、Java実行環境のインストールを強要していた。eL
第３５９号コラム「情報セキュリティ人材が足りない、は本当か」 | デジタル・フォレンジック研究会
第３５９号コラム：上原 哲太郎 理事（立命館大学 情報理工学部 情報システム学科 教授） 題：「情報セキュリティ人材が足りない、は本当か」 情報セキュリティの世界を支える人材の育成は、いつでも良く課題として取り上げられてきましたが、最近特にその声が大きくなってきています。２０１３年６月情報セキュリティ政策会議の「サイバーセキュリティ戦略」でも人材育成は大きく取り上げられ、２０１４年５月には「新・情報セキュリティ人材育成プログラム」が打ち出されました。 これらでは、情報セキュリティ人材の不足が言われています。その根拠となっているのは、多くの場合２０１２年に行われたＩＰＡの「情報セキュリティ人材の育成に関する基礎調査」報告書ではないかと思います。 http://www.ipa.go.jp/security/fy23/reports/jinzai/ 曰く、企業における情報セキュリティ人材は現在２
SQLインジェクション対策もれの責任を開発会社に問う判決
ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった 以下の脆弱性その他が認められた システム管理機能のIDとパスワードが admin/password であった 個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ
Boothの同人音楽ネットイベント「Apollo」で人のアカウントに意図せずログインできて人のクレカで買い物までできてしまっていたらしい件まとめ(1)
問題の概要 Pixivの主催する同人誌委託・通販・DL販売サイト「Booth」 https://booth.pm/ で 2014年11月28～30日限定の同人音楽専門ネットイベント「Apollo」 https://booth.pm/apollo/ が 開催されているまさにその最中の29日18時頃、 「気付いたら自分のアカウントじゃないアカウントにログインできている」 「アカウント情報見たら他人のだった」 「カートに入れてたものが消えた」 「カートに入れた覚えのないCDが入ってる」 「買った覚えのないCDのカード決済通知が来た」 「アカウント見たら知らない人のカード情報が見れてしまった」 などの不具合がtwitterでつぶやかれるようになり、 その後すぐにBoothもApolloもメンテに入りました。 pixiv(Booth)の対応 pixiv(Booth)のその後の発表では、 Apollo
（復旧）Feedly、DDoS攻撃を受けサービスダウン中 犯人は"身代金"を要求
続報：Feedly、再びDDoS攻撃でダウン 金銭的要求に屈さず約4時間で復旧 RSSリーダーサービスのFeedlyに対し、外部からDDoS攻撃が加えられ、6月11日19時現在でサービスを利用できなくなっている。 Feedlyは公式ブログで、DDoS攻撃を受けていることを報告している。 同時に、攻撃者が攻撃中止の見返りとして金銭を要求していることも明かしている。Feedlyは、要求に対して屈することなく、ネットワークプロバイダーと協力して攻撃の被害を最小限にするべく動いているという。 また、Feedlyは、同じ攻撃者による他の被害者と法的機関とともに攻撃に対処すると表明。攻撃を無効化でき次第サービスを復旧させるとしており、データの安全性確保を保証している。 （追記：6/11 23:25） Feedlyは、サービス復旧のためにインフラストラクチャにいくつかの変更をおこなったことを明らかにした
DDoS攻撃されたらそこで試合終了!? レンサバから利用停止を宣告される前にできる8つの対策 - Qiita
もしも運用しているサーバにDDoS攻撃をされて、大量のトラフィックを理由にホスティング業者から、そのサーバの利用停止を唐突に宣告されたらどうしますか? なにか対策を考えていますか? by woodleywonderworks. CC BY 2.0 「ファイアウォールでそういった攻撃を防いでいるから大丈夫」「まさか契約上そんな一方的なことができるはずない」と思うかもしれません。私もそのような認識でした。しかし、実際にDDoS攻撃を受けてみると業者の対応は次のようでした。 ホスティング業者は味方をしてくれない ホスティング業者は技術的に的はずれな対策を講じる ホスティング業者は利用規約を拡大解釈し、サービス停止を迫ってくる この3点を信じられない方のために、「付録:DDoS攻撃を受けた時のGMOクラウドPublicと私のやりとり」をこの記事の最後に書いたので、現実のホスティング業者の対応が実際
SSL/TLS, SSH で利用されている公開鍵の多くが意図せず他のサイトと秘密鍵を共有している問題 – IIJ Security Diary
インターネット上の IPv4 アドレスを広範囲にスキャンして、SSL/TLS, SSH で利用されている公開鍵証明書および DSA 署名を収集したところ、SSL/TLS では5.57% (714,243アドレス)、SSH では9.60% (981,166アドレス) が、意図せず他のサイトと秘密鍵を共有していることが報告されています。その原因は機器出荷時のデフォルト鍵を利用しているケースと、鍵生成時に擬似乱数生成モジュールのエントロピー不足であることが指摘されています。善意で提供されているオンライン鍵チェックサービスにより公開鍵が脆弱かどうかチェックできますので、必要な場合には早急に対策を実施してください。 USENIX Security Symposium は、毎年実践的な研究発表が行われる場で、本年は8月6日から10日にかけて、米国 Redmond にて他のワークショップとともに開催され
Heartbleed Bug
The Heartbleed Bug is a serious vulnerability in the popular OpenSSL cryptographic software library. This weakness allows stealing the information protected, under normal conditions, by the SSL/TLS encryption used to secure the Internet. SSL/TLS provides communication security and privacy over the Internet for applications such as web, email, instant messaging (IM) and some virtual private network
GitHub に登録した SSH 公開鍵は全世界に公開されている | 774::Blog
意外と知らない人がいるようなのでブログに書いておきます。 GitHub のアドレスのあとに .keys を付けるとその人の SSH 公開鍵が表示される。 たとえば id774 さんの公開鍵であれば https://github.com/id774.keys を参照すれば良い。 ぜひ自分のアカウントで試してみて欲しい。 新規に用意するサーバーの ~/.ssh/authorized_keys に上記アドレスを wget したものを置いて適切なパーミッションを設定しておけばすぐに公開鍵認証ができるというわけである。 もうそろそろ公開鍵をメールで送ってくれとかいう文化が滅亡して GitHub から勝手に公開鍵を持っていくのが常識な世界になってほしい。
PHPとセキュリティの解説書12種類を読んでSQLエスケープの解説状況を調べてみた
この投稿はPHP Advent Calendar 2013の13日目の記事です。昨日は@tanakahisateruのPHPが糞言語なのはどう考えても参照をポインタだと思っているお前らが悪いでした。 現在twitterのタイムラインで、史上空前のSQLのエスケープブームが起こっています。 オレオレSQLセキュリティ教育は論理的に破綻している | yohgaki's blog 「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」 - Togetterまとめ エスケープとプレースホルダをめぐる議論 - Togetterまとめ SQLインジェクション対策としてのプリペアドステートメントとエスケープについての議論 - Togetterまとめ IPAの「安全なSQLの呼び出し方」が安全になっていた | yohgak
Google、オープンソースソフトの脆弱性パッチに報奨金を支払うプログラム
米Googleは現地時間2013年10月9日、セキュリティ向上のための新たなプログラム「Patch Rewards」を開始すると発表した。オープンソースソフトウエア（OSS）の脆弱性を低減し、より強固なものにするために、単なるバグ報告ではなく、実際的な予防策となるパッチを募集するとしている。 同社セキュリティチームのMichal Zalewski氏によると、Googleは当初、同社アプリケーションの脆弱性を発見して報告した人に報奨金を支払うプログラム「Vulnerability Reward Program」と同様のOSS脆弱性情報の報酬制度を設けることを考えたが、「価値のある報告に混じって、不確かな情報も多数寄せられ、ボランティアによる小さいコミュニティの手に負えないほどの作業になる」ことが予想されたため、脆弱性発見の先の段階となる対策を募ることを決めた。 Patch Rewardsは段
Google、DDoS攻撃対策ツールや検閲回避ツールを発表
米Googleのシンクタンク部門であるGoogle Ideasは10月21日（現地時間）、ニューヨークで「Conflict in a Connected World（接続された世界における争い）」というカンファレンスを開催し、ネットでの安全や言論の自由をサポートするための3つの新プロジェクトを発表した。 いずれも、悪意ある攻撃や政府による検閲によってインターネットを自由に利用できない世界中のユーザーをサポートすることが目的という。 DDoS攻撃からサイトを守る「Project Shield」 Project Shieldは、Googleが開発したサービス妨害攻撃（DDoS）緩和技術とWeb高速化サービス「Page Speed Service」を組み合わせたサービス。まずは招待制で、独立系のニュースサイトや人権や選挙運動に関するコンテンツを擁するサイトに提供する。 DDoS攻撃の状況をリアル
ほこたて 「どんなパソコンにも侵入する世界最強ハッカーVS絶対に情報を守るネットワークセキュリティー」防御側の裏話
よくわからない人のための事前知識 イメージ的にはこんなかんじです。 ・銀行（パソコン）にお金（画像）が保管してあります ・これを盗まれる（ハッキング）のを防ぐのが目的です ・ところが番組側が用意した銀行の建物はボロボロ（バージョンが古い）です ・そんな建物なので侵入経路（脆弱性・セキュリティホール）だらけです ・セキュリティ的には補修工事（パッチをあてる）をしたかったものの、番組が面白くなくなるので不可 ・そこで、銀行自体に侵入されるのは諦めて、お金を保存する金庫を頑丈にしました(TrueCryptで暗号化) ・そして勝負開始、思ったより銀行に侵入するだけでも結構時間がかかっていたようです ・とはいえ、そこは脆弱性を残したままのシステムであり、案の定銀行には侵入されてしまいました ・金庫も見つかってしまいました ・ところが金庫を破るのが非常に難しかったため、時間制限もありギブアップ …とい
facebookにPHP CGIの脆弱性を試してみたら面白い対策がされていた！！ - cakephperの日記(CakePHP, Laravel, PHP)
PHPに新たな脆弱性が見つかって、CGIモードで動作するPHPの場合コマンドライン引数がHTTP経由で渡せてしまうため、-sオプションを渡すとPHPのソースコードが丸見えになるというのが話題になってます。(-sオプションはhtmlでシンタックスハイライトまでしてくれてコードが見やすくなる) そこでFacebookに向けてこれを試してみると・・・ https://www.facebook.com/?-s こんな情報が！！ <?php include_once 'https://www.facebook.com/careers/department?dept=engineering&req=a2KA0000000Lt8LMAS'; このURLにアクセスすると、セキュリティエンジニアの求人情報ページに行きます :) おしゃれー
韓国サイバー攻撃に使われたマルウェア、MBRを上書きし起動不能に
韓国で3月20日、放送局や金融機関のPCがマルウェアに感染してコンピュータシステムが一斉にダウンした件に関連し、韓国インターネット振興院（KISA）は3月21日、専用の駆除ツールを開発し、配布を開始した。またセキュリティ企業も、原因となったマルウェアについての情報を公開し始めている。 この事件は2013年3月20日14時過ぎに発生した。KBSやMBC、YTNといった放送局と新韓銀行などの金融機関でコンピュータネットワークがダウンし、ATMが使えなくなるなど、業務に支障が生じた。韓国政府の放送通信委員会ではこれを受け、官民軍合同の対策チームを立ち上げ、対策と攻撃元の調査に当たっている。 KISAによると、被害に遭った機関から収集したマルウェアは、2013年3月20日14時に動作するようスケジュールされていた。この結果、複数のPC／サーバのシステムブート領域（Master Boot Recor
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
/blog/2016/09/msit_malware/
DeNA Engineering - DeNAエンジニアのポータルサイト
暗号化ソフト欠陥、ＮＳＡは２年前から認識－情報収集に利用 - Bloomberg
