WebサーバのDNSへの登録方法が変わるよ – JANOG48 Meeting
場所 OHGAKI(完全リモート) 日時 Day3 2021年7月16日(金) 14:45～15:15(05分) 概要 HTTPSというDNSレコードタイプを定義するdraft-ietf-dnsop-svcb-httpsがもうすぐRFCになります。実利用はすでにはじまっており、WebサーバのDNSへの登録は従来のA/AAAAレコードから今後は新しいHTTPSレコードに移行していくことになるでしょう。本発表ではHTTPSレコードの簡単な紹介と、それにともなう注意点を説明します。 発表者 山口 崇徳(株式会社インターネットイニシアティブ) 資料 公開資料 DNSでHTTP (DNS Summer Day 2021)
axiosのmaxContentLengthの脆弱性について（2019/05/31） - Qiita
先に結論 axiosを使ってる人は脆弱性があるのでv0.18.1以降に上げましょう axiosを使っていない人は関係ないのでブラウザバックして大丈夫です。 axiosはJavaScriptのメジャーな通信系のライブラリです。 xhrで実装されているため、レガシーなブラウザやマルチブラウザに対応しています。 https://github.com/axios/axios GitHub上でセキュリティアラートが・・・ GitHub上でセキュリティアラートが上がっていました。（2019/05/30確認時点） どうゆう脆弱性？ Axios up to and including 0.18.0 allows attackers to cause a denial of service (application crash) by continuing to accepting content afte
［ACM］AWSの無料SSL証明書サービスCertificate Manager について調べてみた | DevelopersIO
はじめに AWSチームのすずきです。 無料で使えるSSL証明書発行サービスとしてリリースされたAWSのACM、 テスト環境での動作や、公式ページのドキュメント、FAQなどの確認を通じて確認できた仕様などについて、 紹介させて頂きます。 ACMで出来ること SSL証明書の発行 証明書の仕様 鍵の暗号化方式はRSA、鍵長2048ビット、SHA-256 証明書の認証局（CA）はAmazonになります ルート証明はStarfield Services（Go Daddy系列、業界シェア上位）です。 料金 証明書の発行費用は無料です。 証明書を利用するELB、CloudFrontの実費のみで利用です。 対応環境 99％のOS、ブラウザに対応するとされています。 Windows XP SP3、Java 6 以降の対応 OSベンダのサポート対象となる現行OS、ブラウザ環境であればまず問題なく利用出来る事が
Host:リクエストヘッダによるXSS - 葉っぱ日記
本日、とある会合にてTwitterで交わされていたこの会話が話題になりました。 紹介されている例はHostヘッダの操作を経路とする攻撃ということであり、Hostヘッダインジェクションという脆弱性はないと思いますよ / “PHPにおけるHostヘッダインジェクション脆弱性 ― A Day in Serenit…” https://t.co/sTzTQEE7a8— 徳丸 浩 (@ockeghem) 2015, 11月 6 @ockeghem @okumuri 実はIEでは細工したホストヘッダを送出できる手法が知られています。間違いなくIEのバグですが、このせいで値をそのまま出力しているサイトではXSSがありえてしまいます。ここが参考になります： https://t.co/G419aaUgNi— Masato Kinugawa (@kinugawamasato) 2015, 11月 9 知る人ぞ
Strict-Transport-Security - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection Mozilla web security guidelines Mozilla Observatory HTTP アクセス制御 (CORS) HTTP
DMM inside
日本アニメ初の快挙！海外アニメ賞を受賞した『スキップとローファー』海外ライセンス部長&プロデューサーが語る、奮闘の舞台裏
HTTPS 化する Web をどう考えるか - Block Rockin’ Codes
Update 2015/5/8: 指摘頂いたタイポや誤訳などを更新しました。 2015/5/8: 構成を一部修正しました。 Intro 4/30 mozaiila のセキュリティブログに下記のようなエントリが投稿されました。 Deprecating Non-Secure HTTP | Mozilla Security Blog エントリはそこまで長くないので、ここに翻訳の全文を記載します。 そして、元エントリのライセンスである CC BY-SA 3.0 に則り、 本エントリも同じく CC BY-SA 3.0 とします。 Deprecating Non-Secure HTTP 原文: Deprecating Non-Secure HTTP 今日は、 non-secure な HTTP から、徐々に廃止していくという方針についてアナウンスします。 HTTPS が Web を前進させる手段である
複数のWebサーバでSSLセッションキャッシュを共有してSSL処理を高速化(Apache + mod_ssl + mod_socache_memcache) - 元RX-7乗りの適当な日々
HTTPS(SSL利用)サイトがSEO的に優遇されるトレンドで、世間的にもHTTPS接続でサイト運用するサービスが増えてきています。 これが、ハイトラフィックサイトになってくると、このフロントエンドでSSL処理させることが負荷的にもなかなか辛いのです。 で、Apache 2.3以降では、Shared Object Cache Providerとして、memcachedが選択できるようになっています。 この仕組みを利用して、Apacheとmemcachedを並べることで、各サーバでユーザのSSL Session Cacheを共有しながらHTTPSリクエストを負荷分散できる構成を作ってみました。 WebサーバでSSLオフロード 常時SSLを利用したWebサイトを運用するために、SSLアクセラレータといったアプライアンス製品だとか、ソフトウェアだとApacheやNginxのSSLモジュールを使う
クッキーのSecureフラグはリバースプロキシに立てさせたい - Qiita
HTTPクッキーで秘密情報、例えばログインセッションIDなどを扱う場合はSecureフラグを立てるのが定石です（例え秘密情報を扱わないとしても立てるのが定石と考えるべきかもしれません。セキュリティテストでは機械的に問題点として検出されてしまいますから）。 Secureフラグとは「HTTPS通信時にしか送り返さないでください」というブラウザへの指示。 などと、Set-Cookieヘッダにsecureと追記することで実現します。こうしておけば、平文通信に秘密情報が流れてパケットキャプチャで盗聴されてしまうという心配がなくなります。 開発時にはsecureフラグが邪魔だったり というわけでまともなユーザアカウント管理のあるWebシステムならsecureフラグは当然付けなければいけないのですが、問題は開発中です。 開発マシンのローカルにサーバを立てて動かしているときなど、HTTPSアクセスってこと
nginx as a SPDY load balancer for Node.js - Victor Quinn
Background Recently we wanted to integrate SPDY into our stack at SocialRadar to make requests to our API a bit more speedy (hurr hurr). Particularly for multiple subsequent requests in rapid succession, avoiding that TCP handshake on every request would be quite nice. Android has supported SPDY in its networking library for a little while and iOS added SPDY support in iOS 8 so we could get some n
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
AWS News Blog
Amazon SageMaker Geospatial Capabilities Now Generally Available with Security Updates and More Use Case Samples At AWS re:Invent 2022, we previewed Amazon SageMaker geospatial capabilities, allowing data scientists and machine learning (ML) engineers to build, train, and deploy ML models using geospatial data. Geospatial ML with Amazon SageMaker supports access to readily available geospatial dat
「全自動パラメータチューニングさん」は何であって何でないのか - 昼メシ物語
発表資料: 全自動パラメータチューニングさん // Speaker Deck ソースコード: https://github.com/mirakui/tuningsan これは何なのか ハッカソンイベント「Open Hack Day Japan」にて、24時間の制限の中で開発し、90秒でプレゼンテーションした作品です 2013/2/16〜2/18 にかけてヤフー株式会社で開催された、「Open Hack Day Japan」という大規模ハッカッソンイベントで開発しました。 上記のプレゼンテーションは発表で使用したものです。 Open Hack Day Japan - Yahoo! JAPAN 本作品は、全参加作品の中で唯一のコマンドラインツールであり非常に地味でしたが、ありがたいことに KLab賞をいただくことができました。どうもありがとうございます。 指定した1パラメータの自動調整によって
SPDYメモ - 以下斜め読んだ内容
ニュースサイト記事、ホワイトペーパー等々斜め読んだだけではイマイチ掴めないSPDY 要するにこういうこと？、な話を箇条書き 出典等は後から追加 以下羅列 HTTPを50%高速化？ よく出るキャッチコピー SPDYは、SSL接続前提 厳密には、SSL強制じゃない SPDYのスペックにはSSL限定、となってない 作者的には「当然SSLでしょ」らしい Comments on Microsoft’s SPDY Proposal « Mike's Lookout SSL接続を高速化。の方が誤解が少ない気が。。 SPDYの実装：サーバー、ライブラリ experimentalなものもリリースされたもの、言語別、色々出てる SPDY公式サイトにリストあり SPDY - The Chromium Projects SPDYの実装：ブラウザ chrome、firefox、kindle fireに入ってるブラウ
こてさきAjax:node-spdy 試してみた - livedoor Blog（ブログ）
今日のブログのお題は、SPDY。Webサービスを「とにかく速くしよう！！」ということで、Google が提唱したプロトコルです。既にChromeでは、このSPDYが実装されており、サーチやGMailなど Google が提供する殆どのサービスで既に利用されています。 最近では、FireFoxへのインプリが始まったり、HTTP/2.0検討のベースとなるなど何かと話題のWeb最新技術です。 SPDYがWebを早くする仕組み SPDYは、現状のWebが抱える問題 ”HTTPは遅い!!" を解決するものです。HTTP が "遅い" 原因は色々ありますが、中でも最も大きいのは Request and Response の制限です。このため、SPDY では一本の HTTPS セッションの中で複数の HTTP セッションを多重化するといったことを行い高速化を実現しています。 Request & Resp
個人利用なら SSL 証明書が無料で利用できるらしい: ある SE のつぶやき
「体系的に学ぶ 安全なWebアプリケーションの作り方」を読んでいたら、とっても気になる記述が。 サーバー証明書のうちドメイン認証証明書は比較的価格が安く、購入のハードルが低いものですが、ドメイン認証証明書には無料のものがあります。イスラエルのStartComという企業は、無料のサーバー証明書を発行しています。IE、Firefox、Google Chrome、Safari、Operaの最新版で証明書エラーなく使用できます。IE6でもアップデートが当たっていれば使用できます。 日本の携帯電話には対応していないようです。しかし、今までラピッド SSL が年間2,100円で最強だと思っていたけど無料のものがあるとは。気になったので、ちょっと調べてみました。 以下の画面が StartCom のサイトです。画面の赤枠のリンクをクリックすると次の画面が表示されます。 そうすると、SSL 証明書の製品紹介
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - GoogleChromeLabs/sw-toolbox: [Deprecated] A collection of service worker tools for offlining runtime requests![GitHub - GoogleChromeLabs/sw-toolbox: [Deprecated] A collection of service worker tools for offlining runtime requests](https://cdn-ak-scissors.b.st-hatena.com/image/square/0db8afd4212488e302a0627e4717181aa2dae43a/height=288;version=1;width=512/https%3A%2F%2Fopengraph.githubassets.com%2F1a9899274456c3014a80556b72409fe7569d1b251db64f96b63daa2c76125f67%2FGoogleChromeLabs%2Fsw-toolbox)
HTTPS設定ファイル生成ツール0.3(ベータ版)
httpsだからというだけで安全？調べたら怖くなってきたSSLの話!？ - Qiita
GitHub - koichik/node-tunnel: Node HTTP/HTTPS Agents for tunneling proxies
