「フィンガープリント」とは、JavaScriptやCookieなしでウェブサイトのユーザーを識別するための固有識別子で、ユーザーの属性・行動・興味・関心といった詳細な情報をもとにマッチする広告を表示するターゲティング広告に用いられます。そんなフィンガープリントが、JavaScriptやCookieを使わずにどうやってユーザーを特定しているのかがよくわかるサイト「No-JavaScript fingerprinting」が公開されています。 No-JavaScript fingerprinting https://noscriptfingerprint.com/ 今回はGoogle ChromeからNo-JavaScript fingerprintingにアクセスしてみます。アクセスする前に、JavaScriptを使用しないようにあらかじめブラウザから設定しておきます。Chromeの右上にあ

※この投稿は米国時間 2021 年 5 月 7 日に、Google Cloud blog に投稿されたものの抄訳です。 2021 年用に更新: この投稿には、Google のホワイトペーパー「パスワード管理のベスト プラクティス」のユーザー向けとシステム設計者向けの両方の最新情報を含む、更新されたベスト プラクティスが含まれています。 アカウント管理、認証、パスワード管理には十分な注意を払う必要があります。多くの場合、アカウント管理は開発者や製品マネージャーにとって最優先事項ではなく、盲点になりがちです。そのため、ユーザーが期待するデータ セキュリティやユーザー エクスペリエンスを提供できていないケースがよくあります。 幸い、Google Cloud には、ユーザー アカウント（ここでは、システムに対して認証を受けるすべてのユーザー、つまりお客様または内部ユーザー）の作成、安全な取り扱い、

こんにちは。しなもんです。 今回は自分用のメモを兼ねて、無料で入手できるセキュリティ分野の定期発行物をまとめます。 注意点 日本の公的機関 海外の公的機関 日本の企業 海外の企業 週次まとめ 注意点 ・私が認知しているものに限るので、網羅性はあまりありません。 ・年次レポートだけを出している会社は挙げだすときりがないのでほとんど割愛しています。 ・海外の CERT 系は探せばもっといろいろあると思いますが、これもきりがないのでほぼ挙げていません。 ・リンクはなるべく記事の一覧ページにしていますが、ない場合は本記事執筆時点での最新版のページにしています。ご覧になった時点ではより新しい版が出ていることがあります。 日本の公的機関 情報セキュリティ白書 (IPA) www.ipa.go.jp 発行頻度：年次 各省庁などが発行している「なんとか白書」の情報セキュリティ版です。 インシデントの状況や

2021年3月17日、日本国内のLINE利用者の個人情報に対し、国外から技術者らがアクセスできる状態にあったにもかかわらず、規約上で十分な説明が行われていなかったと報じられました。ここでは関連する情報をまとめます。 何が問題と報じられたのか LINEの（主に日本国内利用者における）個人情報保護管理の不備が報じられた。報道で問題として指摘されたのは国内LINE利用者の個人情報移転先である国名の明記。移転先やアクセスを行う国名は原則として明記を行った上、利用者から同意を得るよう個人情報保護委員会が求めていた。 LINEは利用者へ国外で一部利用者情報を取り扱っていたことについて十分な説明ができていないと判断。利用規約において、「利用者の居住国と同等のデータ保護法制を持たない第三国に個人情報を移転することがある」と説明するも国名までは明記していなかった。 今回は管理不備とされる問題が報道で指摘され

はじめに この記事の内容に従って問題が発生した場合でも責任は負いかねますので自己責任でお使いください この記事では暗号化ハッシュを用いて保存されているパスワードを総当たり攻撃から守るために必要なパスワードの長さを検討します。すなわち、暗号化されたファイルや暗号化されたパスワードリスト（/etc/shadowとか）が流出したような場合にどの程度データが守れるのかを検討します。前提をよくお読みの上自己責任でお使いください。 前提 ある暗号化ハッシュを総当たり攻撃から守ることを考える すなわち暗号化ハッシュに対して総当たり攻撃以外の攻撃が有効になった時には短時間で破られうる すなわちパスワードがよくあるもの（passwordとかadminとか）であれば、辞書攻撃で短時間で破られうる 暗号化ハッシュは手元にあることを想定する よって、並列化などにより短期間に大量の試行ができる場合を想定している オ

Macアプリの安全を保証するAppleの「公証」悪用　増えるmacOS狙いのマルウェア：この頃、セキュリティ界隈で（1/2 ページ） ユーザーをだまして不正な手段でインストールさせ、迷惑な広告を執拗に表示させる「アドウェア」。そうした手口を阻止するはずの仕組みを利用して、Appleの「公証」を取得していたアドウェアが見つかった。シェア増大に伴ってmacOSを狙うマルウェアも急増し、「Macはマルウェアが少ないからWindowsより安全」という認識は通用しなくなっている。 公証はmacOS 10.15（Catalina）から必須とされた制度で、Mac App Store以外で配布されるmacOS用ソフトウェアは、全て事前にAppleに提出して公証を受ける必要がある。提出されたソフトウェアは自動スキャンが行われ、セキュリティチェックを通過すれば公証済みの証明チケットが添付される仕組み。この公証

This post is also available in: English (英語) 概要 Wireshark は無料で利用できるプロトコル アナライザです｡ Wireshark を使うと、ネットワーク トラフィックをキャプチャーしたり､キャプチャーしたパケットを表示させることができます｡ITの専門職についているかたがたは､このツールを使って日々ネットワークのさまざまな問題を解決しています｡セキュリティの専門家も、この Wireshark を使ってマルウェアが生成するトラフィックを確認しています。 そこで、今回は Wireshark の便利な機能のひとつである表示列のカスタマイズをご紹介したいと思います｡Wireshark はデフォルトでは､非常にたくさんの情報を列表示してくれますが､これをカスタマイズすることで皆さん自身の用途に使いやすいようにできます｡ 本稿は Wireshark

はじめに X.509 証明書について解説します。(English version is here → "Illustrated X.509 Certificate") ※ この記事は 2020 年 7 月 1 日にオンラインで開催された Authlete 社主催の『OAuth/OIDC 勉強会【クライアント認証編】』の一部を文書化したものです。勉強会の動画は公開しており、X.509 証明書については『#4 X.509 証明書（１）』と『#5 X.509 証明書（２）』で解説しているので、動画解説のほうがお好みであればそちらをご参照ください。 1. デジタル署名（前提知識） この記事を読んでいただくにあたり、デジタル署名に関する知識が必要となります。つまり、「秘密鍵を用いて生成された署名を公開鍵で検証することにより」、「対象データが改竄されていないこと」や「秘密鍵の保持者が確かに署名したこと

サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず

mat2 is a metadata removal tool, supporting a wide range of commonly used file formats, written in python3: at its core, it's a library, used by an eponymous command-line interface, as well as several file manager extensions.

たまにはIT職として、皆様に役立つ記事を。 — 皆さんは、UTMをご存じですか？日本語で統合脅威管理と訳されます。 ファイアウォールやVPN、アンチウイルス、不正侵入防御(IDS・IPS)、コンテンツフィルタリング、アンチスパムなどの機能を一括りにした機器のことです。 通常、UTMはリース契約で一ヶ月数千円～数万円ほどするものですが、個人利用の場合はこれを無料で使うことが出来ます。 それが今回ご紹介する「Sophos XG Firewall Home Edition」です。（以降、Sophos UTMと記載します。） ソフトアプライアンス（＝OS）自体は無料ですが、実際にはLANポートを２つ備えたPCが必要になります。 今回は、東雲社が販売するベアボーンをAmazonにてポチりました。 （編注）本記事は数年前に執筆したものですが、未だ多くの方に御覧頂いています。当時の商品リンクは無効になっ

SQLインジェクション対策をしていなかったことについて開発会社の責任が問われた事例。 事案の概要 Xは，Yに対し，Xの提供する車・バイクの一括査定システム（本件システム）の開発を約320万円で委託し，平成24年9月に納品を受けた。 その後Xは，平成28年12月に，IPA*1から，中国のサイトに本件システムの脆弱性に関する情報が掲載されているという指摘を受けて，Yに対し，その調査と報告を依頼した。 その結果，本件システムには，ＳＱＬインジェクション対策が不十分という脆弱性が判明したことから，XはYに対し，その脆弱性はYの被用者の故意過失によって生じたものであるから，使用者であるYには使用者責任があると主張して，民法７１５条１項所定の損害賠償請求権に基づき，緊急対策費用４７万５２００円，詳細な調査，抜本的な修正費用６４０万円，サーバー移転費用３５万６４００円，セキュリティ対策のための本件システ

はじめに セキュリティに関連するサイトについてまとめました。 セキュリテイに関する資料、脆弱性、ガイドライン等について記載しています。 情報セキュリティ編 IPAの情報セキュリティ みなさんご存知、IPAの情報セキュリティ。セキュリティ コンテンツは盛り沢山。特に毎年、発行される情報セキュリティ10大脅威は必見です。 JPCERT/CC 日本国内で発生するセキュリティインシデントの受付窓口。公開資料のライブラリでは、ランサムウェアから過去に掲載したセキュリティ講座を参照できます。 SecurityFocus セキュリティ情報を提供することを目的として、セキュリティに関する最新ニュースを掲載しています。 NIST-CSRC（COMPUTER SECURITY RESOURCE CENTER） NISTが公開している情報セキュリティリソース 脆弱性編 CVE（Common Vulnerabil

TL;DR X-Content-Type-Options X-Frame-Options(XFO) X-XSS-Protection Content-Security-Policy (CSP) Upgrade-Insecure-Requests Strict-Transport-Security (HSTS) Public-Key-Pins (HPKP) 設定 TL;DR X-Content-Type-Options MIME スニッフィングの無効化 X-Frame-Options(XFO) フレーム表示を制限しクリックジャッキングを予防 X-XSS-Protection XSSフィルタの有効/無効 Content-Security-Policy (CSP) XSSなどの攻撃を軽減するセキュリティレイヤー Strict-Transport-Security (HSTS) HTTP の代わり

2017年に公開された資料・スライドで、CSIRT/情報セキュリティ担当者が読んでおいたほうがいいのでは?というものを独断と偏見でまとめてみました。 これが足りないじゃないか！という意見がある方はPRください。🙏🙏🙏 Note: この投稿は個人ブログ上の記事のQiitaへのクロスポストです。 技術関連資料 JPCERT/CC: インシデント調査のための攻撃ツール等の実行痕跡調査に関する報告書 (2017/12/05) JPCERT/CC: ログを活用したActive Directoryに対する攻撃の検知と対策 (2017/07/28) FIRST: FIRST Publications 2017 人材・組織関連資料 NCA: CSIRT人材の定義と確保(Ver.1.5) (2017/03/13) CSIRT に求められる役割と実現に必要な人材のスキル、育成についてまとめた資料 補足文

Oppoの最新ミッドレンジモデル、Oppo Reno11 Aに対して9月19日からソフトウェアアップデートの提供が開始されました。 今回配信されたのはビルド番号「CPH2603_14.0.1.913(EX01)」で8月のセキュリティーパッチ...

WEBサービスを提供する際、近年必ずといって出てくる SSL証明書のインストール。 普段はapacheを使用することが多いため、 csr作って、提出してセットして完了、という一連の流れだ。 昔お客さんに「SSL対応お願いしま〜す」と言われて 同じノリで快諾したところ、 送られてきたのがpfxファイル。 ※WEBのSSLで使用する際は、主にwindowsサーバー+IISの組み合わせで使われるもの ちなみにpfxファイルとは パスワードに基づく鍵（暗号）により保護された秘密鍵と、それに関連する公開鍵証明書を保管するために一般に利用されるファイルフォーマットの定義。PFXは PKCS#12 の旧称である。 引用元：wikipedia 快諾してしまったため、 「終わったらまた連絡しま〜す」と軽く言ったが 結局調べてapache用にcrtファイルに変換したので、 その時のメモ。 証明書の取り出し o