TLS暗号設定ガイドライン 安全なウェブサイトのために（暗号設定対策編） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
JPCERT CC、「今から始めるHTML5セキュリティ」の資料公開
JPCERTコーディネーションセンターは2月14日、1月29日にプレゼンテーションが実施された「第44回 HTML5とか勉強会 - 今から始めるHTML5セキュリティ」の発表資料を公開した。PDFデータとしてダウンロードできる。HTML5とセキュリティに関する事項がまとまっており参考になる。 資料で説明されている主なポイントは次のとおり。 XMLHttpRequestにおけるクロスオリジンを利用した脆弱性 video要素またはaudio要素のonerrorイベントを利用したクロスサイトスクリプティング攻撃 button要素のformaction属性を利用した攻撃の自動化 input要素のtype指定やpattern指定を過信した入力データチェック不足による脆弱性 iframe要素のsandboxを過信することで発生するクロスサイトスクリプティング攻撃 Content-Security-Po
Rails4のMass Assignment脆弱性対策のStrong Parametersについて
Mac OSX10.8でrbenvを使ってRuby1.9とRails4.0をインストールするで ひょんなことから Rails4 をインストールしてしまった俺達は attr_accessibleやattr_protectedを使わずに Strong Parameters を使うことになってしまっていた！ ActionController::StrongParameters rails/strong_parameters 初めての Rails で右も左も分からない状況で いきなり Strong Parameters と言われてもよくわからないので以下についてまとめます。 Mass Assignment とは Mass Assignment 脆弱性 Rails4 以前の Mass Assignment 脆弱性対策 Rails4 の Mass Assignment 脆弱性対策の Strong Pa
ＲＳＡのひ・み・つ - 小人さんの妄想
ＲＳＡとは、今日最も広く普及している公開鍵暗号です。 公開鍵暗号というのは、暗号をかける鍵と、暗号を解く鍵が異なっている暗号のことです。 普通に考えれば、かける鍵と解く鍵は同じでなければならないような気がします。 （かける鍵と解く鍵が普通に同じである暗号は「共通鍵暗号」と言います） ところが公開鍵暗号は、 ・暗号をかける鍵は暗号化専用で、解くことはできない。 ・暗号を解く鍵は復号化専用で、かけることはできない。 といった、なんとも不思議な仕組みなのなです。 なぜこんなことができるのか、秘密を探ってみましょう。 ■ 一巡する計算 普通の（物理的な）錠前は、同じ１本の鍵で開閉を行います。 なぜかというと、開ける動作を全く逆にしたものが、閉める動作になっているからです。 つまり普通の錠前は「一直線の往復」なのです。 もし、開ける鍵と閉じる鍵を別々にしたかったなら「一直線の往復」ではダメで、 「行
SSH力をつけよう
5. RFC RFC 4250 The Secure Shell (SSH) Protocol Assigned Numbers RFC 4251 The Secure Shell (SSH) Protocol Architecture RFC 4252 The Secure Shell (SSH) Authentication Protocol RFC 4253 The Secure Shell (SSH) Transport Layer Protocol RFC 4254 The Secure Shell (SSH) Connection Protocol RFC 4255 Using DNS to Securely Publish Secure Shell (SSH) Key Fingerprints RFC 4256 Generic Message Exchange Authent
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
「ウイルス作成罪」が成立、悪用目的の作成や所持を処罰 - ニュース：ITpro
会員限定サービスです 月額プランが11月末まで無料 お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
Sophos Anti-Virus for Mac|DATA-PROTECT.JP
Sophos Anti-Virus for Macを無償ダウンロード By downloading you agree to the EULA <概要> Mac OS X のシェア拡大は、攻撃者にとって格好の標的になりつつあります。 攻撃者は、重要な個人情報を盗み出し金銭的利益をあげることを目的としています。 このような脅威から Mac を保護するために、ソフォスから、個人利用に限り、 無償で利用できる Mac 版ウイルス対策製品「Sophos Anti-Virus for Mac Home Edition」が公開されました。 <企業向けの高機能高水準を継承するウイルス対策製品> 簡単にインストールでき、管理の手間もかかりません。 Mac OS Xを狙ったウイルスを自動検出します。 もちろん Mac以外を狙って作成されたウイルスであっても検出し、隔離・駆除します。 また
無線LANセキュリティ
ポイント ●無線LANのセキュリティは，認証と暗号化の二つの視点で考える必要がある ●無線LANで利用されている認証方式としては，アクセス・ポイントによる端末のMACアドレス認証のほか，事前に登録した鍵（PSK）を基に認証する方式や，IEEE802.1X認証などがある。同様に，暗号方式としては，WEP，TKIP，AESがある ●WPA，WPA2は，Wi-Fi Allianceという団体が規定したセキュリティ仕様のことである 無線LANはその名の通り，無線を利用してデータをやり取りします。電波は，どこまで飛んでいるかを直接目で確認できないので，無線LANが広まり始めた初期のころの製品からセキュリティ的な脆弱性をカバーするような仕組みは用意されていました。そして，その仕組みは改良され進化しながら現在に至っています。今回は，この無線LANのセキュリティを確保するための技術について勉強します。 無
Chrome OSのセキュリティモデル | エンタープライズ | マイコミジャーナル
Chromium OS is an open-source project, building OS that provides fast, simple, and more secure computing experience for people who spend most of their time on the web. Googleから発表されたChrome OS / Chromium OSはネットブックでChromeを動作させることに特化したLinuxディストリビューション。起動と終了時間の早さに特徴があるが、セキュリティという面でもかなり興味深い。起動から終了まではもちろん、紛失や盗難にあった場合、物理的なエラーが発生した場合などにも問題が発生しにくいようにライフサイクルを含めていちからセキュリティが設計されている。 Chromium OS Security Securi
SSHツールを使ってリモート・ネットワーク・サービスにアクセスする | OSDN Magazine
プライベートなネットワークにあるサービス ─ Wiki、メールサーバ、Webサイト、またはその他のインストール済みのアプリケーションなど ─ を利用する人は多いだろう。しかし、使い慣れたネットワーク環境を離れざるを得ない状況もある。最小限の公開と少数の簡単なツールを使うことで、自宅と同じ快適性をインターネット接続がある場所ならどこでも手に入れることができる。 最初に、外出中にプライベート・ネットワークを見付ける手段が必要だ。ネットワークに静的なIPアドレスがあり、ドメイン名が登録されている場合、これを指定すればアクセスできる。DHCPによって割り当てられるアドレスを使ってインターネットにアクセスする場合は、ちょっとした作業が求められる。 最も簡単な方法は、Whatsmyipのようなサービスを利用して、直接アクセスできるネットワークのIPアドレスを調べることだ。プライベート・ネットワーク内で
Mac GNU Privacy Guard
I gladly may announce that a new and more active group has taken over the projects that were published on MacGPG. You may find these and new useful projects on www.gpgtools.org. So I highly recommend that you turn to their website, use the tools from there and support them wherever you can. I also would like to encourage you to use their mailing lists in order to ask for support or help or you wan
Dropbox+encfsで暗号化したファイルをMacとUbuntu/Linuxで同期してみる (blog@browncat.org)
blog@browncat.org Web, Linux, Ubuntu, Mac, PDA, 携帯電話, プログラミング, ソフトウェア＆落書き Dropboxをここしばらく使っているのですが、ほとんど手間いらず、同期の速度が相当に高速、安定と非常に素晴らしいサービスです。Windows/Mac/Linux/iPhoneとクロスプラットフォーム対応もばっちりで現状ベストのオンラインストレージかもしれません。 しかし、いくらサーバ側でAESを使ってファイルを暗号化してくれているといっても、やはり大事なファイルを他人のストレージにゆだねるというのはどうも安心できません。 かといってTrueCryptのような暗号化ディスクイメージを使うタイプを同期させると、転送にどれくらい時間がかかるのか今ひとつ判然としません。もし外出先で大きなディスクイメージがごっそり同期になったりすると余りうれしくありま
PAMを利用したGNU/Linuxのセキュリティ管理 | OSDN Magazine
PAMという語からカナダの某ブロンド女優を連想する人もいるかもしれないが、このサイトの読者ならLinuxセキュリティの基本的な要素であるPluggable Authentication Modulesだとわかるはずだ。本稿では、こちらのPAMのしくみを説明し、ちょっとした使用例を紹介する。 もしLinuxのアプリケーションごとに独自の認証ロジックを用意しないといけないとしたら、大変なことになっていたはずだ。すべてのアプリケーションに同じチェック機構が実装されていることを、どうすれば保証できただろうか。また、追加の制御機能はどのように実装できただろうか。 PAMは、こうした問題に対するシンプルな解決策だ。ユーザの認証を必要とするプログラムは、PAMのAPIを呼び出すだけでよい。あとは、PAMの設定ファイルに記述されたルールに従って、APIの向こう側が必要なチェックを行ってくれる。認証のメカニ
gnoMintを使って独自の認証機関を設定する | OSDN Magazine
gnoMintは、独自の認証機関（CA）を簡単に管理できるデスクトップ・アプリケーションだ。多くのセキュア通信テクノロジは、接続先の団体やサービスが成りすましではないことを確認するためにデジタル証明書を使用する。ほとんどの人にとってデジタル証明書を目にするのは、HTTPS Webサイトを開いて、正しいWebサーバに接続したことを検証するために証明書が提示されたときである。 このような証明書を信頼できるのは、信頼されたCAによって署名されているからだ。CAの署名付きの証明書を入手するプロセスはいろいろあるが、一般にCertificate Signing Request（CSR:署名要求）を生成してCAに送信し、CAがこの要求が偽造ではないこと、そして送信者が申し立てどおりの本人であることを検証する。送信者の本人確認のためにCAで実行される検証のレベルはさまざまだ。認証で問題がなければ、CAに
ubulog: ubuntuでフォルダを暗号化する
個人情報流出が叫ばれている昨今。自分の大事なデータは暗号化したディレクトリに置いて、少しでも情報保護に頑張りましょう〜ということで、ubuntuでも簡単に出来るディレクトリ単位での暗号化方法。 個別にファイル一個ごとに暗号化するなら、gpg で事足りるわけですが、比較的多くのファイルを、例えば、メモファイルが入ったフォルダなんかやmailディレクトリを丸ごと暗号化して他人に見られられないようにしたいなんて場合はgpgだときついので今回は、encfs を使います。 encfsはディレクトリ単位でディレクトリの中身を暗号化してくれます。フォルダ単位なので、事前にボリュームを作成して容量決め打ちになることもありません。暗号化はファイル単位で行われ、ファイルの中身と、ファイル名も暗号化してくれますので、ファイル名から中身を類推される心配もありません。 ではさっそく使ってみましょう。 インストールs
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://blog.monoweb.info/article/2012021823.html
http://bogus.jp/wp/?p=419
Ubuntu日本語フォーラム / HOWTO: EncFSを使ったディレクトリの暗号化