Javaで文字列の暗号化／複合化（※外部ライブラリを使わずに） - on the center line.
僕がいま係っているシステムで、別システムのログインパスワードを文字列でデータベースに格納することになりました。これを実現するために、Javaで文字列の暗号化／復合化を行う方法を調べたので、その結果を記しておきます。（※既に別の方々が解説している内容をまとめただけですが。） まず、大きく以下の工程にわけて考えます。 文字列を暗号化する（バイト配列を得る） 暗号化されたバイト配列を文字列化する（暗号化文字列を得る） 暗号化された文字列をバイト配列化する（暗号化バイト配列を得る） バイト配列を復号化する（文字列を得る） 「1. 文字列を暗号化する（バイト配列を得る）」 Java Tips：手軽に暗号化・復号化するには？ このページにばっちり解説してあるとおりです。 import javax.crypto.Cipher; import javax.crypto.spec.SecretKeySpec
Androidで安全にパスワードを保存する(4)｜TechRacho by BPS株式会社
前回は、暗号化の方法について紹介しました。 しかし、元に戻せる方法で保存する以上、何かしらの共通鍵を保持しておく必要があります。 単純にアプリ内の定数として保持しておくと、リバースエンジニアリングに非常に弱いので、多少の工夫が欲しいところです。 ところで、タイトルには反しますが、アプリ内で元に戻せる形でパスワードを保存する以上、本当に安全な方法は存在しません。 簡易的な対策を組み合わせることで、ちょっとした用途なら必要十分なセキュリティを確保するのが目的です。 先に、APKのリバースエンジニアリング方法を簡単にご紹介しておきましょう。 リソース、マニフェスト apktoolが便利です。 インストールしたら、適当なAPKファイルのあるところで apktool d myapp.apk すれば、フォルダに展開されます。リソースやマニフェストは完全に見放題。 ソースコード まず、apkの拡張子を.
pageant.exe の仕組みと危険性
PuTTY で SSH2 接続するとき、毎回パスフレーズを入力するのがめんどくさいという理由で pageant を常時起動してる人も多いのでは。 そんな pageant の仕組みと、使っていく上でのリスクが気になったので、ちょっくらソースを読んでみた。 プロセス間通信の仕組み PuTTY や WinSCP3 など、pageant を利用するアプリケーションは、何らかの方法で pageant と通信しているはずだ。この通信処理を実装しているのが winpgntc.c であり、PuTTY も WinSCP3 もソースコードに winpgntc.c を含んでいる。 リクエスト側 細かくなるけど、PuTTY や WinSCP3 がリクエストするときの手順は次のようになっている。 pageant の（非表示になっている）ウインドウを FindWindow 関数で探し出す。CreateFileMapp
UNIXUSER 2003/10 Part2
以下のテキストは、執筆時当時の情報を元に書いたものであり、 現在の情勢にそぐわないことを含む場合があるので注意されたい。 また、テキストは最終提出原稿で校正を経る前のものなので、実際にUNIXUSER 本誌に記載されたものとは異なる。誤字脱字等そのままである。 致命的な誤り以外は加筆修正等は行なわないので情報の鮮度に気をつけつつ 利用して欲しい。 →目次 Part2 chroot環境構築の基礎知識 Part1で触れたようにchrootを利用することで、不要な情報流出の可能性を格段 に下げることができる。多くのネットワークデーモンプログラムでは、プログラ ム自身でchrootシステムコールを発行して不要なファイルへのアクセスを防ぐよ うになっている。 chrootは歴史のあるきわめて基本的な機能でありながら、稼動中のシステム全体 のファイルシステムを保護する働きには絶大なものがある。また、P
ロリポップ上のWordPressをWAFで防御する方法 | HASHコンサルティングオフィシャルブログ
(2013/08/29)追記 ロリポップ上のWordPressが不正アクセスされる事例が増えているようです（参考）。現時点で侵入経路等は明らかでありませんが、以下に説明する方法で、公開ページに対するSQLインジェクション攻撃や、管理コンソールに対する不正ログインに対しては、かなり効果があると考えられます。ユーザーの参考になれば幸いです。また、タイトルを変更しました。 追記終わり 今年の9月27日から、ロリポップのレンタルサーバーの全プランで、WAF(SiteGuard Lite)が標準装備されるようになりました。 WAF（ウェブアプリケーションファイアウォール）を導入いたしました ロリポップ！レンタルサーバーはWAF標準装備です。 http://lolipop.jp/waf/より引用 これは大変良いことですね。インターネット上のすべてのサイトが攻撃の対象ですし、被害も増えている印象がありま
sshを使いこなすための7つの設定 - 射撃しつつ前転 改
五月病が抜け切らないIT系新入社員に贈るシリーズ第1段。 ~/.ssh/configにはいろいろな設定が書けるが、周囲を見渡した限り、あまり活用されているようには見受けられない。そこで、今回は便利な設定をいくつか集めてみた。 長いホスト名に短い名前をつける Host exp1 HostName verrrryyy.looooong.hostname.example.jp ssh verrrryyy.looooong.hostname.example.jpの代わりにssh exp1でログインできるようになる。 ちなみに、zshの場合、configファイルに登録されたホスト名はsshコマンドを打つときに補完されるので更に便利。 特定のホストへログインするときのユーザ名や鍵をカスタマイズする Host github.com User tkng IdentityFile ~/.ssh/id_rsa
続・$HOME/.ssh/configを活用していますか？ — ディノオープンラボラトリ
以前の記事「$HOME/.ssh/configを活用していますか？」では、設定ファイルを少し頑張って書けば普段のSSHライフが随分変わりますよ、と紹介しました。今日はその続編です。前回よりマニアックな設定を紹介します。 2段以上先のサーバにログインする Dynamic Forward機能を使う 共通設定をまとめて書く 2段以上先のサーバにログインする 目的のサーバにログインするために、踏み台的なサーバを経由しないと入れない環境があります。例えば、dmz経由でないとDBサーバにログインできない環境、というのは良くある構成でしょう。 このような場合に、ProxyCommandパラメータが利用できます。 上の設定で「ssh db1」とすると、sshでdmzに接続し、dmzから192.168.0.201へログインします。これを利用するには踏み台サーバにncコマンドが必要ですが、大抵の環境にインスト
Android アプリケーション(.apk)の自己署名を検証する方法 | TechBooster
Androidアプリケーションを配布する場合は何らかの形で署名されており、デバッグ版であればDEBUG KEYが、リリース版であればRELEASE KEYが利用されます。これら署名に基づいて、AndroidのOS側でインストールや更新確認が行われます。 今回は、Androidアプリケーションの自己署名をアプリ自身で検証(Verify)する方法を紹介します。 以下に紹介する内容は仕組みは簡単で完全ではありませんが、改ざん、再署名による二次配布対策として、カジュアルなアプリケーション改ざんには非常に有用な手段です。 署名の検証以外にも意図しない使い方を防ぐ方法はいくつかあり、パーミッションの変更検出などがあります。 Androidアプリケーションのパーミッション改竄を検知するスニペット via @sys1yagi パーミッションに関しては、sys1yagiさんのサイトが詳しいのでそちらを参考に
WordPressのセキュリティプラグインBetter WP Securityを試してみた - Show-web
INDEX 前置き Better WP Securityプラグインインストール ステータス確認 The admin user still exists -ユーザ名”admin”が存在している- Your table prefix should not be wp_. -データベースのテーブルプレフィックスが”wp_”のまま- Your .htaccess file is NOT secured. -.htaccessファイルがセキュアではない- Your site is vulnerable to brute force attacks. -ブルートフォースアタックに対して脆弱- Your WordPress admin area is available 24/7. Do you really update 24 hours a day? -管理画面へのアクセスは常にできる必要はあるか-
WordPressのログインURL（wp-login.php）をサクッと変更できるプラグイン・Stealth Loginでプチセキュリティ強化 - かちびと.net
WordPressのログインURLは何もしなければ 知っている方にはバレバレです。個人サイト なら気になりませんが、納品物だと少し不安 ではあるかなと思います。URLを変更するには .htaccessを触る必要がありますが、ハードル が高かったりして手を出せない方もいるかと思 います。 少し前にWordPressを使ってWeb制作をする為の手順リストっていう記事を書いたんですが、この中で紹介したプラグインが便利なのにまだ知名度が低い印象なので改めてご紹介。 WordPressで構築されているサイトのログインURLは基本的にhttp://domain.com/wp-login.phpで共通なので、知ってる人にはバレバレ。これはちょっと気持ち悪いので変更したいところです。 変えるには.htaccessにrewriteコードを追記するんですが、慣れていないと若干ハードルが高い印象です。これを、直
『Androidアプリのセキュア設計・セキュアコーディングガイド』【2013年4月1日版】を公開しました。 - JSSEC | 一般社団法人日本スマートフォンセキュリティ協会
2022年8月29日 『Androidアプリのセキュア設計・セキュアコーディングガイド』【2022年8月29日版】を公開しました。 ・『Android アプリのセキュア設計・セキュアコーディングガイド』【2022年8月29日版】 ・「サンプルコード一式」 【2022年8月29日版】 報道関係各位 JSSEC、『Androidアプリのセキュア設計・セキュアコーディングガイド』2022年8月29日版を公開 一般社団法人日本スマートフォンセキュリティ協会 一般社団法人日本スマートフォンセキュリティ協会（JSSEC：会長 佐々木 良一）の技術部会 セキュアコーディングWG（リーダー 宮崎 力）は、2012年6月に公開した『Android アプリのセキュア設計・セキュアコーディングガイド』（以下 本ガイド）の14版目の改定版である2022年8月29日版を公開しました。 ■2022年8月29日版の改訂
SQLCipher - Full Database Encryption for SQLite | Zetetic
SQLCipher Open-source extension to SQLite Transparent, 256-bit AES encryption Tamper-resistant design Cross-platform and zero configuration SQLCipher is widely used, protecting data for thousands of apps on hundreds of millions of devices, including our password manager Codebook. Buy Now » Free Trial » Open Source »
CentOS で行なっておきたいセキュリティ設定: ある SE のつぶやき
はじめに Linux のセキュリティ設定ってなかなかまとまったものがないので、いろんなサイトを参考にしながら設定をまとめてみました。想定はWeb サーバーで、使用している Linux は CentOS 6.2 です。 設定内容は以下のようになります。 全パッケージのアップデート リモートからの root ログインを無効にする 公開鍵暗号方式を使用した SSH ログイン設定 iptables 設定 SSH ポート番号の変更 不要なサービスを停止 ログ監視設定 ファイル改ざん検知ツール設定 ウィルス対策ソフト設定 Apache の設定 全パッケージのアップデート 最初に以下のコマンドを実行して、全パッケージを最新の状態にする。 # yum –y update 後は脆弱性が発見された時、または定期的にパッケージのアップデートを行う。 リモートからの root ログインを無効にする リモートからメ
多くのID & パスワードを、たった一つのパスワードで管理する「KeePassX」。Dropboxで複数マシンで同期も可能。 | LiberOS | Viva! Ubuntu!!
「クラウド」という言葉が定着しつつある現在、便利なWebサービス/アプリがたくさんあって、嬉しい限りなのでありますが、サイトによっては同じIDを取得できなかったり、パスワードの規則がまちまちだったりして、不便この上ないわけです。数カ月ぶりに訪れた時には、どのIDだったか、どのパスワードだったかを覚えておらず、改めてアカウントを取得しちゃったりして。。。 会社のPC、自宅のPC、ノートPCにネットブック、、、どのパソコンでも、Webサービス/アプリであれば同じ環境で作業ができて、とても便利なのでありますが、安易にパスワードをメモしておくわけにもいかず、EvernoteとかGoogle Docsのページに保管しておくのも気分的に落ち着かない。 そんな時に便利なのが「KeePassX」とDropboxの組み合わせ。 「KeePassX」は鍵の保管庫のようなもの。難しいことは全くなし！ たった一つ
MOONGIFT: >> マルチプラットフォームで使えるパスワード管理「KeePassX」:オープンソースを毎日紹介
パスワード管理は適切に行わなければならない。プロジェクト単位や業務単位でまとめられていると、引継ぎや説明もしやすい。テキストファイルに記す人もいるが、それでは全く意味がない。 パスワードの管理と同じ位大切なのが管理用ソフトウェアの選定だろう。複数人で利用する場合、プラットフォームを越えた利用を考えるべきだ。同じパスワードファイルが複数OS間で利用できれば非常に便利だ。 今回紹介するオープンソース・ソフトウェアはKeePassX、マルチプラットフォームで利用できるパスワード管理ソフトウェアだ。 KeePassXはWindowsであればKeePass Password Safeとして知られたソフトウェアだ。KeePassXはそのLinux版、そしてMac OSX版になる。 試してみた所ではWindows上で作成したパスワードファイルを、Mac OSX側で読むことができる。相互にデータが交換でき
genies-ag.jp - このウェブサイトは販売用です！ - コンサルティング 導入 構築 ジーニーズ ジー 思考 ニーズ 企業 リソースおよび情報
このウェブサイトは販売用です！ genies-ag.jp は、あなたがお探しの情報の全ての最新かつ最適なソースです。一般トピックからここから検索できる内容は、genies-ag.jpが全てとなります。あなたがお探しの内容が見つかることを願っています！
鍵交換方式によるssh接続
鍵交換方式でのssh接続のやり方の説明です。 端末Ａから端末Ｂに「鍵」というものを使って接続するだけなのですが、このやり方ググると鍵の難しいお話がいっぱいあるのでシンプルに。 やり方は簡単です。 端末Ａから端末Ｂに「鍵」を使って接続したいなら、端末Ａで作った鍵を端末Ｂに登録するだけ。 もちろん端末Ｂでは鍵交換方式でのアクセスを受け入れる設定が必要となります。 やる事はそれだけです。 端末ＡがLinuxの場合の説明はこのページ。 端末ＡがWindowsの場合の説明は鍵交換方式によるssh接続（ windowsから ）で説明しています。 Last Update : 2007年03月20日 鍵交換方式によるssh接続 手順 端末Ａから端末Ｂに接続するとして。 端末Ｂで鍵認証を受け入れる設定の確認(sshd_configの設定) sshd 再起動(手順１でsshd_configを編集した場合) 端
OAuthの認証にWebViewを使うのはやめよう
AndroidからTwitterへアクセスするためのライブラリとして，Twitter4Jが有名です． これを使ってみようと，「Android Twitter4J」と検索すると 認証にWebViewを使った例がたくさん出てきます． ・・・いや，ちょっとまて． それはちょっとまずいだろう． そういうわけでもうちょっと賢い方法を探してみました． 何がまずいのさ 「Android Twitter4J」と検索すると，上位にこんなページが出てきます． Twitter4jを使ってOAuth認証をアプリ内で行う方法 Twitter4j-2.2.xを使ったOAuth認証のコーディング例 twitter4jでツイートする Android+Twitter4JでOAuthするためのソースコード 上のサイトでは次の様は方法をとっています． アプリ内にWebViewを貼り付け WebViewでTwitterの認証画面
第76回 Ubuntuのソフトウェアファイアウォール：UFWの利用（1） | gihyo.jp
ufw（Uncomplicated FireWall）は、Ubuntuで標準的に利用できる、「iptablesを簡単に設定するツール」です。ufwを利用することで、「外部からの接続は基本的に受け付けない」「sshだけは許す」などといった設定を、iptablesにくらべて格段に少ない操作で実現できます。 今回と次回の2回にわけて、ufwを使って、サーバーなどの設定を簡単に行うレシピを紹介します。 ufwの基本 ufwは、Canonicalの社員であり、Ubuntuのセキュリティ関連モジュールやセキュリティアップデートを主に担当しているJamie Strandboge氏が中心になって開発している、「iptablesのフロントエンド」となるツールです[1]。Ubuntuには8.04で取り込まれています。過去に本レシピでも、第45回でごく軽く内容を紹介しています。 今回はコマンドラインか
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
共用サーバにおけるSymlink Attacksによる攻撃とその対策について - さくらインターネット創業日記
