高木浩光＠自宅の日記 - 単純所持刑罰化ならウイルス罪を同時施行しないとセキュリティバランスが悪化する, 追記（15日）
■ 単純所持刑罰化ならウイルス罪を同時施行しないとセキュリティバランスが悪化する 私は、著作権のあり方に関心がないのにWinnyの問題について意見を述べてきた。これは、著作権が情報セキュリティに影響を及ぼしていたからだった。著作権法による規制の強化が、制御不能な流通システムを誕生させ、人々に維持し続けさせ、その結果、漏洩情報の拡散も抑制不能になるという情報セキュリティ上の深刻な問題を引き起した。（関連記事1、関連記事2） このところ、児童ポルノの単純所持の刑罰化や、青少年に対するコンテンツ規制の法制化の機運が高まっているようだ。私は、それらの是非については専門外であり、とくに意見を持ち合わせていない。しかし、それらが情報セキュリティに及ぼす影響について関心を持っている。 児童ポルノ、所持だけで懲役1年以下・与党ＰＴ , 日本経済新聞, 2008年5月2日 児童ポルノ：所持は１年以下の懲役ま
「Firefoxを使い続けるための“お勧め”設定」 ， NoScriptを組み込んでいないFirefoxは使用停止に
「Firefoxを使い続けるための“お勧め”設定」 ， NoScriptを組み込んでいないFirefoxは使用停止に 最近，ある企業のシステム管理者から「Webページを不正に改ざんされる事件が最近特に増加し，その改ざんされたサイトをWebブラウザで閲覧した場合，ウイルスを送り込まれることが多いと聞く。Webブラウザを使用する時に，利用者側で行うべき対策をアドバイスしてほしい」との相談を受けました。 確かに，3月に入ってから国内の数多くのWebサイトが改ざんの被害にあっています（関連記事）。痛ましいのは，被害者であるはずのWebサイトが不正な改ざんにより，一般の閲覧者への加害者に仕立てられることです。Webサイトの管理者は，当然ながら今回の攻撃で主な手口として使用されたSQLインジェクション対策などの不正アクセスに耐えうる対策を施すべきです。しかし，このように多数のWebサイトが改ざんされる
高木浩光＠自宅の日記 - 新型myloのオレオレ証明書を検出しない脆弱性がどれだけ危険か
自己署名の証明書になっていた。 これは明らかにセキュリティ脆弱性だ。この種類の脆弱性（ブラウザが証明書を検証しない）は、伏せておくよりも早く事実を公表して利用者に注意を促した方がよいという考え方もあり、すぐに日記に書こうかとも考えたが、このケースではIPA、JPCERT/CCを通した方が修正が早く行われるのではないかと考え、IPAの脆弱性届出窓口に通報した。 この届け出は3月27日に受理された。そして本日、JVNで公表となった。修正版が提供されているので、利用者はアップデートで対応できる。 JVN#76788395 ソニー製 mylo COM-2 におけるサーバ証明書を検証しない脆弱性, JVN, 2008年4月23日 パーソナルコミュニケーター "mylo" COM-2 セキュリティ脆弱性対策プログラムご提供のお知らせ, ソニー株式会社, ソニーマーケティング株式会社, 2008年4月2
ブログが続かないわけ | 初心者プログラマーが簡単なフォームを作るときにやりがちな6つのミス
お問い合わせフォーム、登録フォーム、キャンペーンの申込フォーム。 Webにはいろいろなフォームがある。 Webプログラマーであれば誰もが一度は作ったことがあると思う。 新人プログラマーの初めての実務がフォームであることも多いだろう。 新人が作っているというのにもかかわらず、技術的にも面白い部分がないせいか、正しい知識のある人がレビューすることが少ないと思われる。 単純さゆえにテストが不足しているということもあるかもしれない。 上記の理由は憶測にすぎないが、杜撰なフォームがたくさん出回っているのは事実だ。 もう、CAPTCHAの話とか以前の問題だ。 よく見かける悪い例を簡単にあげておく。新人が初めての実務に当たるときにこれを気にしてくれれば、世の中のフォームがだいぶ良くなると思う。 1. クライアントサイド(JavaScript)でのチェックのみ。 2. 選択肢式の入力欄に対するチェックの漏
VMwareに脆弱性、仮想化環境からホストOSへ侵入の恐れも
脆弱性を悪用すると、攻撃者が隔離された仮想化環境から抜け出して、ホストシステムに侵入することが可能になるという。 セキュリティ企業のCore Security Technologiesは2月25日、VMwareのデスクトップ仮想化ソフトに深刻な脆弱性を発見したと発表、コンセプト実証コードを併せて公開した。 この脆弱性を悪用すると、攻撃者が隔離された仮想化環境から抜け出して、ホストシステムに侵入することが可能になるという。 Core SecurityやVMwareが公開した情報によると、脆弱性が存在するのはWindowsでホスティングされた「VMware ACE」「VMware Player」「VMware Workstation」の各製品。 仮想化システム（ゲスト）と仮想化されていないホストシステムとの間でデータをやり取りするための共有フォルダ機能に脆弱性があり、ゲストシステムのユーザーが
MySQLで機密データを保護するための6ステップ - builder by ZDNet Japan
テクノロジーを基盤とした組織において最も重要な資産は、データベースに含まれている顧客や製品の情報であるのが普通だ。そのため、そのような組織でのデータベース管理におけるクリティカルな部分では、外部からの攻撃やハードウェア、ソフトウェアの障害からデータベースを保護することが必要となる。 多くの場合、ハードウェアやソフトウェアの障害は、データのバックアップを正しく管理することで対処できる。多くのデータベースにはその作業すべてを自動で行うツールが用意されているので、この種の作業は比較的簡単に行うことができ、エラーも発生しにくい。しかしながら、そう単純に行かないのはパズルの2つ目、つまり、外部からハッカーがシステムに侵入するのを防ぎ、システム内部に含まれている情報が盗まれたり破壊されたりしないようにすることだ。残念ながら、この問題を自動的に解決するような方法はないのが普通である。システム管理者である
第11回 スクリプトインジェクションを防ぐ10のTips | gihyo.jp
前回はスクリプトインジェクションがなくならない理由を紹介しました。それをふまえて今回はスクリプトインジェクションを防ぐ10のTipsを紹介します。 デフォルト文字エンコーディングを指定 php.iniには、PHPが生成した出力の文字エンコーディングをHTTPヘッダで指定するdefault_charsetオプションがあります。文字エンコーディングは必ずHTTPヘッダレベルで指定しなければなりません。しかし、デフォルト設定ではdefault_charsetが空の状態で、アプリケーションで設定しなければ、HTTPヘッダでは文字エンコーディングが指定されない状態になります。 HTTPヘッダで文字エンコーディングを指定しない場合、スクリプトインジェクションに脆弱になる場合あるので、default_charsetには“UTF-8”を指定することをお勧めします。サイトによってはSJIS、EUC-JP
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Webからの脅威」を攻略せよ――セッション管理編
携帯向けフィルタリングの原則義務化には課題、総務省の検討会で指摘