Node.js — Security updates for all active release lines, July 2017
Security updates for all active release lines, July 2017 (Update 10-August-2017) Snapshots Re-enabled on 8.3.0 The vulnerability has been patched upstream and snapshots have been re-enabled in 8.3.0 Expect a backport and update with the next release of 6.x Download Node.js v8 (Current) (Update 11-July-2017) Security releases available Summary Updates are now available for all active Node.js releas
JWT.IO - JSON Web Tokens Introduction
NEW: get the JWT Handbook for free and learn JWTs in depth! What is JSON Web Token? JSON Web Token (JWT) is an open standard (RFC 7519) that defines a compact and self-contained way for securely transmitting information between parties as a JSON object. This information can be verified and trusted because it is digitally signed. JWTs can be signed using a secret (with the HMAC algorithm) or a publ
Web Application Hardening
2017年4～5月開催「ブートキャンプ特別講座」の資料になります。
エンタープライズソフトウェア開発とOSS
16. OSS利用: 用途別 ● 汎用ライブラリ: 言語拡張、ログ、DI、時間、データフォーマット、通信、セキュリティ ○ Apache commons、Guava、Logback、SL4J、Guice、Joda-Time、etc. ○ Jackson、MessagePack、HttpComponents、OpenSSL、curl、GnuPG、BouncyCastle、JSch、csv、soap4r、httpclient、ruby-openssl、 JRuby-OpenSSL、openpgp4u、pkcs1、pkcs12、Salesforce API clients ● 開発支援ツール: ビルド、ライブラリ依存管理、 SCM、エディタ、CI、BTS、ユニットテスト、静的コード管理、テ スト用DB、負荷テストツール、テスト用サーバ、テスト用 Proxy ○ Maven、Gradle、Ruby
GitHub - olacabs/jackhammer: Jackhammer - One Security vulnerability assessment/management tool to solve all the security team problems.
Jackhammer is a collaboration tool built with an aim of bridging the gap between Security team vs dev team, QA team and being a facilitator for TPM to understand and track the quality of the code going into production. It could do static code analysis and dynamic analysis with inbuilt vulnerability management capability. It finds security vulnerabilities in the target applications and it helps sec
piyokango氏に総務大臣奨励賞 ブログ「piyolog」で「セキュリティ向上に貢献」
総務省は5月29日、サイバーセキュリティ分野で顕著な功績があった個人や団体を表彰する「サイバーセキュリティに関する総務大臣奨励賞」の初の受賞者として、セキュリティ情報ブログ「piyolog」を運営する「piyokango氏」など個人2人と団体1人を選んだと発表した。6月1日に都内で表彰式を行う。 同賞は、地方自治体や民間企業などの現場でサイバーセキュリティ向上の観点から顕著な功績があり、今後も活躍が期待される個人や団体に授与する賞で、今年スタートした。公募や推薦で候補者を募り、選考委員会で受賞者を選んだ。 初の受賞者となったのは、セキュリティリサーチャーのpiyokango氏と、日立製作所Hitachi Incident Response Teamチーフコーディネーションデザイナーの寺田真敏（まさと）氏、セキュリティコンテスト「SECCON」の実行委員会。 piyokango氏は、情報漏え
Yahoo! JAPAN各サービスで、パスワードを使わないログイン方法の導入を開始 - ニュース - ヤフー株式会社
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社のコーポレートサイトはこちらです。 当ページに記載されている情報は、2023年9月30日時点の情報です。 ～ “パスワード忘れ”をなくし、 “リスト型攻撃”による不正ログインのリスクを解消 ～ ヤフー株式会社（以下、Yahoo! JAPAN）は本日より、Yahoo! JAPANが提供する各サービスでパスワードを使わないログイン方法の導入を開始したことをお知らせします。 今回導入を開始するのは、スマートフォンなどのSMS（ショートメッセージサービス）を使って本人確認を取るログイン方法です。Yahoo! JAPAN IDを新規作成する際は、携帯電話番号を入力後、SMSで送信される確認コードを入力し、メールアドレスなどを登録するだけで作成が完了します（※1）。従来と異なりパスワードを発行しないため、
CORS(Cross-Origin Resource Sharing)について整理してみた | DevelopersIO
ブラウザからAmazon S3に直接ファイルをアップロードしたい 先日、Amazon S3にファイルをアップロードするWebアプリを作ろうとして色々調べていたところ、S3にCORSという仕様のクロスドメインアクセスの設定をすることによって、ブラウザから直接S3にアップロードをする方法にたどり着きました。ただ、この方法を使うにあたってはCORSというクロスドメインアクセスの仕様をきちんと理解しておいた方が良さそうでしたので、まずはCORSについて自分なりに整理してみました。 なお、弊社の横田がCORSとS3についての記事を以前書いていますので、S3のCORSサポートに関する概要を知りたい方はそちらをご覧下さい。 CORS(Cross-Origin Resource Sharing)によるクロスドメイン通信の傾向と対策 CORS ブラウザでAjax通信を行う際には、同一生成元ポリシー(Same
社内勉強会、公開しました！～RECRUIT Technologies NIGHT Vol.3開催レポート！ | Recruit Tech Blog
ITソリューション統括部 インフラソリューション2部 インフラソリューショングループのmookjpです。 リクルートテクノロジーズでは、弊社の社員がプレゼンター・パネラーとなるイベント「RECRUIT Technologies NIGHT」を定期的に開催しています。 2/3（金）に、その第3弾として「【RECRUIT Technologies NIGHT vol.3】Jxckとにしむねあが語る Webのセキュリティ技術」を開催しましたので、イベントレポートをお届けします！ 今回は弊社のセキュリティエンジニア西村と、社外からのゲストスピーカーJxckさんをお迎えして、Webのセキュリティ技術をテーマに設定しました。 「Webとセキュリティ」というテーマはやはり注目度が高かったようで、当日の参加者は120人を超える大盛況となりました。 前半は、社外からのゲストスピーカーであるJxckさんより「
WordPress 4.7.1 の権限昇格脆弱性について検証した
エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り Make WordPress Core Conten
SHA-1 collision detection on GitHub.com
AI & MLLearn about artificial intelligence and machine learning across the GitHub ecosystem and the wider industry. Generative AILearn how to build with generative AI. GitHub CopilotChange how you work with GitHub Copilot. LLMsEverything developers need to know about LLMs. Machine learningMachine learning tips, tricks, and best practices. How AI code generation worksExplore the capabilities and be
Googleクラウドの凄い内側
Holzle上級副社長はまず、通信事業者をしのぐ規模に成長したGoogleのネットワークインフラの現状を紹介した。例えば「G Suite」などGoogleのサービスを利用するユーザーの通信パケットの98％は、Googleのプライベートネットワークから直に、ユーザーが利用するISP（インターネット接続事業者）に届いているのだという。 Googleは現在、182の国と地域にネットワーク拠点を配置し、拠点間をGoogleのプライベートネットワークによって接続している（写真2）。そしてGoogleのプライベートネットワークは、「世界中のほぼすべてのISPと相互接続している」（Holzle上級副社長）。そのためパケットは、他社のネットワークを介することなくGoogleのクラウドからユーザーのISPに直接届く。 「（プライベートネットワークとISPを相互接続することで）より多くの帯域（スループット）を
GoogleのSHA-1のはなし
5. • その暗号技術がどのぐらい安全かを表す大雑把な指標 • nビットセキュリティは2 𝑛 回攻撃が必要 • 1回あたりの攻撃コストはあまり気にしない • 𝑂 2 𝑛 という表記 セキュリティビット 𝑛 直線 :𝑂(𝑛) 3次関数 : 𝑂(𝑛3 ) 指数関数 : 𝑂(2 𝑛) 𝑂(log 𝑛) 5 / 21 6. • 第二原像計算困難性（弱衝突耐性） • 𝑚1に対して𝐻 𝑚2 = 𝐻 𝑚1 となる𝑚2 ≠ 𝑚1が分からない • 同じじゃなくてもいいから何か一つ見つけるのが困難 • 𝑂(2 𝑛 )回トライ ; nビットセキュリティ • 衝突困難性（強衝突耐性） • 𝐻 𝑚1 = 𝐻(𝑚2)となる𝑚1 ≠ 𝑚2を見つけるのが困難 • 𝑂(2 𝑛/2 )回トライ ; 𝑛/2ビットセキュリティ • 第二原像を見つけるのは単なる衝突より2
SHA-1衝突攻撃がついに現実に、Google発表 90日後にコード公開
GoogleはSHA-1ハッシュが同じでコンテンツが異なる2つのPDFも公表した。90日後には、こうしたPDFを生成するためのコードを公開するとも予告している。 Webブラウザのセキュリティ対策など幅広い用途に使われてきたハッシュアルゴリズムの「SHA-1」について、米Googleは2月23日、理論上の可能性が指摘されていたSHA-1衝突を初めて成功させたと発表した。これでSHA-256やSHA-3のような、安全な暗号ハッシュへの移行を急ぐ必要性がこれまで以上に高まったと強調している。 SHA-1を巡っては、脆弱性を悪用される危険性が高まったことを受け、主要ブラウザメーカーや電子証明書の発行機関が段階的な廃止を進めている。 Googleはオランダ・アムステルダムのCWI Instituteと2年がかりで共同研究を実施。Googleの技術とクラウドインフラを駆使して大規模な演算処理を行い、S
「Googleアカウントが変更されました」--一部のGoogleユーザーが強制ログアウトに困惑
2月24日未明から、一部のユーザーがGoogleのサービスを利用しようとした際に、「Googleアカウントが変更されました。セキュリティ保護のためもう一度ログインしてください」と表示され、強制ログアウトされていることが分かった。筆者もその一人だ。Twitterなどでは「アカウントを変更した覚えはない」「乗っ取られたのではないか」と不安視する声も見られた。 これを受けてグーグルは、Google アカウントのヘルプセンターを更新。「一部のお客様におきまして、Google アカウントが変更された旨の通知が送付されていることが判明しております。調査の結果、本メッセージはフィッシングやアカウントのセキュリティに影響するものではないため、ご安心ください」と説明し、再度ログインすれば通常通り利用できるとアナウンスしている。 現在、強制ログアウトの原因をグーグルに確認しているが、2月24日14時時点では回
モデル取引・契約書＜追補版＞－セキュリティチェックシート解説(PDF)
参考資料 セキュリティチェックシート解説 <報告書> a 目 次 1 はじめに...................................................................................................................... - 1 - 2 概要............................................................................................................................. - 2 - 2.1 セキュリティチェックシート解説作成の背景....................................................- 2 - 2.2 セキュリティチェックシート解
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - nishimunea/bootcampsns
NIST Cybersecurity Framework (CSF)
Announcing the first SHA1 collision
情報セキュリティ対策セルフチェック｜お役立ちツール