OAuth2.0まとめ speakerdeck はこちら↓ https://speakerdeck.com/satot/jin-geng-wen-kenaioauth2-dot-0#Read less
今更聞けないOAuth2.0
OAuth2.0まとめ speakerdeck はこちら↓ https://speakerdeck.com/satot/jin-geng-wen-kenaioauth2-dot-0#Read less
6,720分でWebアプリケーションスキャナを作る方法 - Qiita
2014/12のssmjpにて、「Webアプリケーションスキャナの作り方」と題して喋った。 本投稿はそのときの内容を纏めたものとなる。 アジェンダ 0.なぜWebアプリケーションスキャナを自作するのか？ 1.Webアプリケーション診断とは？ 2.Webアプリケーションスキャナとは？ 3.Webアプリケーションスキャナの基本動作 4.用意するもの 5.GUIの作り方 6.Proxy機能の作り方 7.診断リクエスト送信機能の作り方 8.脆弱性判定機能の作り方 9.動かしてみる 10.まとめ 0.なぜWebアプリケーションスキャナを自作するのか？ 私の場合は特に理由はない。ただの趣味。 といっては味気ないので、あえて尤もらしい理由を付けると、 自作を通してスキャナが脆弱性を検出する原理を理解することで、Webアプリケーション診断の精度が向上するからだ。 診断ではスキャナを使うことが多いが、スキャ
JenkinsからWebアプリに脆弱性検査し、結果をHipchatに通知 - クラウド型Web脆弱性診断ツール VAddyブログ
継続的セキュリティテストサービスVAddyはJenkinsプラグインを提供しているため、Hipchat Jenkinsプラグインを入れれば、CIの中でWebアプリケーションに対して脆弱性検査を自動実行して、その結果をHipchatに通知できます。 Jenkinsには、ビルド後の処理にEmail通知というものが標準であるため、ビルド結果はメールで受け取りできます。ただし、これはビルド失敗のみメール通知されます。 Hipchatプラグインを入れると、ビルド後の処理にHipchat通知が追加でき、下記画像のようにビルドの成功、失敗がHipchatに通知され、ビルド結果へのリンクもメッセージの中に入るため便利です。 設定は簡単で、JenkinsプラグインをインストールしてAPI情報を入れるのみです。手順を説明します。 ステップ1 プラグインのインストール Hipchatプラグインは、「Jenkin
継続的Webセキュリティテストサービス「VAddy（バディ）」、JenkinsプラグインとWebAPIの提供を開始 ～CIサイクルでのWebセキュリティテストの自動化を実現～
継続的Webセキュリティテストサービス「VAddy（バディ）」、JenkinsプラグインとWebAPIの提供を開始 ～CIサイクルでのWebセキュリティテストの自動化を実現～ 株式会社ビットフォレストが開発・サービス提供を行う継続的Webセキュリティテストサービス「VAddy（バディ）」は、本日よりCI（継続的インテグレーション）ツール「Jenkins」プラグインおよびWebAPIの提供を開始いたします。これにより従来は難しかったCIサイクルでのセキュリティテストの実施が可能になり、Webアプリケーション開発の初期段階から実施する継続的なセキュリティテストを実現します。 株式会社ビットフォレスト（東京都新宿区 代表取締役 高尾都季一 以下、ビットフォレスト）が開発・サービス提供を行う継続的Webセキュリティテストサービス「VAddy（バディ）」は、本日よりCI（Continuous Int
重要！ まずは「オリジン」を理解しよう
連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。今回から、HTML5やJavaScriptに関連したセキュリティの話題について連載することになりました。よろしくお願いします。 もう読みましたか？ HTML5のWebアプリセキュリティに関する報告書 皆さんすでにご存じかと思いますが、2013年10月30日にJPCERTコーディネーションセンター（以下、JPCERT/CC）から「HTML5 を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」が公開されました。 この報告書の調査の一部は、弊社が行いました。また、JavaScriptのセキュリティ上の問題について次々と鋭い指摘を行っているmalaさんにもさまざまな技術的アドバイスを頂いた上、日常的にWebアプリケーションのセキュリティ検査や構築を実際の業務として行っておられる専門家の方々にも査読をお願いして
データを置くなら知っておきたい、クラウドセキュリティの基本
データを置くなら知っておきたい、クラウドセキュリティの基本：暗号化とトークナイゼーション（1/2 ページ） SaaSをはじめ、クラウドコンピューティングの利用が拡大する中、企業は難しい課題に直面しています。自社でコントロールできない「クラウド」上にあるデータを、いかに保護するかという問題です。その解答の1つを紹介します。 はじめに 近年、「クラウドコンピューティング」の利用拡大には目を見張るものがあります。特に最近では、当初のSaaSモデル（例：Salesforce.com（SFA/CRM）、Google Apps（Gmailなど））のみならず、PaaSモデル（Force.comなど）、IaaSモデル（Amazon Web Servicesなど）の成長が著しいと感じられます。 このことは、SaaSモデルのみならず、業務システムのクラウド化が進んでいることも意味しています。ちなみに、Forc
［5］暗号化の“皮”を重ねて匿名性を確保する「Tor」
Tor（The Onion Router）とは、オンラインの匿名性を実現するためのオープンソースソフトウエアであり、世界各地に設置された数千台の中継ノードからなるネットワークである。 例えばTor経由でWebサイトにアクセスすると、Webサイトのアクセス履歴に、利用者のPCのIPアドレスは記録されない。アクセスを中継する3台のノードのうち最後の1台のIPアドレスが残るだけで、利用者のPCまでたどることは極めて困難になっている。今回の誤認逮捕事件の犯人は、Torを使って罠サイトを仕掛けたり、マルウエア（ウイルス）を配置したりしたとされている。 Torのソフトウエアは現在、「Tor Project」が開発を進めており、公式サイトでWindows、Mac OS X、Linux/UNIX向けが公開されている。Android用の「Orbot」もGoogle Playからインストールできる。2012年
NTT HOME > NTT持株会社ニュースリリース > オンライン環境でのデータ保護の課題を抜本的に解決する「クラウド鍵管理型暗号方式」を開発
（ニュースリリース） 2012年2月10日 オンライン環境でのデータ保護の課題を抜本的に解決する「クラウド鍵管理型暗号方式」を開発 ～NTTが考案した独自技術で暗号の安全な仮想化が可能に～ 日本電信電話株式会社（本社：東京都千代田区、代表取締役社長：三浦 惺、以下「NTT」）は、オンライン環境でのデータ保護におけるセキュリティ上の課題を解決する新しい暗号方式「クラウド鍵管理型暗号方式」（以下、「クラウド暗号方式」）を開発しました。 このクラウド暗号方式は、暗号化されたデータを復号するための鍵（パスワードや秘密鍵等、以下「復号鍵」）をクラウドで管理する新しい暗号方式であり、NTTが考案した「自己訂正技術」を組み合わせることで、オンライン環境における新しい情報流通のカタチを実現しました。 開発の背景 近年、プライバシー情報や機密性の高いデータを、クラウドをはじめとするオンライン環境でサーバ側に
広範なWebアプリ開発言語にDoS攻撃につながる脆弱性 － ＠IT
2012/01/06 情報処理推進機構（IPA）は1月6日、広くWebアプリケーション構築に用いられている開発言語やフレームワークに、DoS攻撃につながる脆弱性が発見されたことを踏まえ、緊急対策情報を公開した。 影響を受けるのは、PHPやRubyといった開発言語のほか、WebアプリケーションフレームワークのApache Tomcat、Microsoft .NET Frameworkなど。これらの言語が実装しているハッシュテーブル機構に脆弱性がある。わざとハッシュ値が同じ値になるようなパラメータを大量に送り付け、「ハッシュ衝突」状態を作り出すとDoS状態に陥ってしまう。いわゆる「Hashdos」という攻撃で、例えばPOSTフォームからこうしたデータを送信することで、Webアプリケーションが停止するなどの被害が考えられる。 この脆弱性を踏まえ、マイクロソフトは2011年12月30日に、Micr
明らかになった巨大ボットネットの正体 － 史上最大規模のサイバー犯罪を摘発 | トレンドマイクロ
オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。 詳しくはこちら
テクノロジー : 日経電子版
体に備わる免疫の仕組みを使いがんをたたくがん免疫薬「オプジーボ」などの効き目を予測し、過剰な投薬を避けるための研究が相次いでいる。東北大学などは免疫細胞が分泌する特定の分子ががんの…続き 磨いた「確信」 がん克服に光 本庶氏ノーベル賞授賞式 ［有料会員限定］ がん免疫薬、投与の「やめどき」研究へ 全国40病院 ［有料会員限定］
不正プログラム：毎日ｊｐなど障害 広告配信データ改ざん - 毎日ｊｐ(毎日新聞)
２４日午後１０時ごろから２５日午前１時７分まで、毎日新聞の総合情報サイト「毎日ｊｐ」にアクセスすると、特定のウェブサイトにアクセスさせようとしたり、不正ファイルのダウンロードを促すプログラムが作動するトラブルが発生した。広告バナーを提供している配信サーバーの一部の配信プログラムデータが改ざんされたことが原因とみられる。 同じサーバーから広告配信を受けている複数のサイトでも同じ被害があった。サーバー管理会社は原因を削除し正常動作へ復旧したと説明しているが、毎日ｊｐは念のため該当する広告バナーを削除。毎日ｊｐは利用者に向けておわびを掲載した。
広告ウイルス騒ぎとはなんだったのか | 90の日記 | スラド
関係者の皆様の日頃の維持管理と素早い対処に感謝します。 昨晩22時頃から23時30分頃に発生したウイルス騒ぎ関連エントリまとめ: coffe_ata 09月24日 10:34 PM 脅威を検出 90 09月24日 10:55 PM 【緊急】広告枠に変なのが紛れ込んでるかも 【非常】【ヤバい】 marute 09月24日 11:24 PM スラドにマルウェア？中の人確認頼みます！ hotta-s 09月24日 11:27 PM かいざん？ hylom 09月24日 11:47 PM /.J セキュリティ問題修正のご報告 対処が完了 shitamo 09月24日 11:58 PM 改竄？ docile-jp 09月25日 12:38 AM ats.redmancerg.net (ストーリ) 09月25日 01:40 AM /.: ADサーバー掲出タグによるセキュリ
ADサーバー掲出タグによるセキュリティアラートと対処について | スラド セキュリティ
今回は大変ご迷惑をおかけしまして申し訳ありませんでした。 OSDNのサイトでは、広告バナーの配信のためのADサーバーとして、MicroAD社のVASCOを使っておりましたが、 本来掲出されるはずの広告タグの前に不明なiframeタグ差し込まれるという事態が発生し、その中身によって不明なサイトに誘導されるということが起きてしまいました。 原因がVASCO ADサーバーによるものだと特定でき、OSDN管理のADサーバーに切り替えたのは24日23:30です。その後、キャッシュなどに残っていないか確認作業を進め、25日0:29にOSDN全サイトで問題ないことを確認いたしました。 具体的な現象としては、vsc.send.microad.jpのJavaScriptから掲出されるタグにおいて、 <iframe width="1" height="1" src="http://xxxx.ipq.co/st
ナゼだ？…徳島の町と村へも中国のサイバー攻撃 : 社会 : YOMIURI ONLINE（読売新聞）
徳島県神山町と佐那河内村の公式ホームページ（ＨＰ）がサイバー攻撃され、地図情報の表示がいずれも「中国漁船」「釣魚島」などと中国語で書かれたページに改ざんされていたことが、２１日わかった。 尖閣諸島沖の日本領海内での中国漁船衝突事件を巡る中国側からの攻撃とみられ、両町村はそれぞれ該当部分を削除した。 両町村によると、１８日夜、総務省から県を通じて「改ざんされている」との連絡を受けて気付いた。公式ＨＰのうち、公共施設の場所などを示していた地図情報に関するサイト部分が改ざんされ、日本や中国、尖閣諸島の位置を示した地図に、「中国漁船」の文字と中国国旗が書かれていた。 ＨＰを製作した会社の担当者らが調べ、「中国側からの攻撃」と判明したという。両町村の担当者は「なぜウチが攻撃されるのか」と怒っている。
HTML5 のセキュリティは十分か？
原文(投稿日：2010/08/24)へのリンク 誕生から10年近い 現在のHTML仕様は，疑いの余地なく，そして良くも悪くも，ソフトウェアアーキテクチャおよびソフトウェア工学に革命を起こしてきた。その重要な資産を 近代化する準備を産業界が整えた現在において，IDG News の Joab Jackson 氏は先週，HTML5 に関する既知のセキュリティ問題を要約する記事を執筆した。 HTML5 は，[...] 本格的な Web アプリケーションを構築するために併用される，緩やかな相関関係を持った標準規格のコレクションを表すためによく使用される名称です。HTML5 は ページフォーマット や オフラインデータストレージ，あるいは イメージ描画 といった面で機能を提供します。(W3Cの仕様ではありませんが，Web アプリケーションの構築に広く利用されている JavaScript も，規格のひと
asahi.com（朝日新聞社）：図書館長「了解求めないアクセスが問題」 ＨＰ閲覧不能 - 社会
愛知県岡崎市立図書館にサイバー攻撃をしかけたとして図書館が被害届を出し、男性（３９）が逮捕され、不起訴になった問題で、大羽良・同館長は２１日、同市役所で報道陣に対し、「（男性の自作プログラムに）違法性がないことは知っていたが、図書館に了解を求めることなく、繰り返しアクセスしたことが問題だ」と説明した。 男性は自作プログラムで図書館のホームページから蔵書の新着情報を収集。朝日新聞の取材で、図書館のソフトは蔵書データを呼び出す電算処理を継続したままにする仕組みで、アクセスの集中でホームページが閲覧できなくなり、サイバー攻撃を受けたように見える不具合があったことがわかった。 ホームページが閲覧できなくなったことについて、大羽館長は「図書館側のソフトに不具合はなく、図書館側に責任はない」との認識を示した。
asahi.com（朝日新聞社）：図書館ＨＰ閲覧不能、サイバー攻撃の容疑者逮捕、だが… - 社会
愛知県内の男性（３９）が、自作プログラムで図書館ホームページから新着図書の情報を集めたところ、サイバー攻撃を仕掛けたとして逮捕された。しかし、朝日新聞が依頼した専門家の解析によると、図書館ソフトに不具合があり、大量アクセスによる攻撃を受けたように見えていたことが分かった。同じソフトを使う全国６カ所の図書館でも同様の障害が起きていたことも判明。ソフト開発会社は全国約３０の図書館で改修を始めた。 この問題は同県岡崎市立図書館で起きた。ソフトには、蔵書データを呼び出すたびに電算処理が継続中の状態になり、電話の通話後に受話器を上げたままのような状態になる不具合があった。一定の時間がたつと強制的に切断されるが、同図書館では１０分間にアクセスが約１千件を超えると、ホームページの閲覧ができなくなり、大量アクセスを受けたように見えたという。 男性はソフトウエア技術者で、岡崎市立図書館から年に約１００冊
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
人知れず「.moe」ドメインを登録する必要のある人に「Whoisガードサービス」 
SSLは自重によってつぶれてしまうのだろうか？
