エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
アクセストークンに有効期限を設けるべきかどうか - Qiita
OAuthプロバイダを提供することになったとして、アクセストークンに有効期限を設けるべきかどうかについて考えたい。OAuth 2.0の仕様にはアクセストークンの期限切れに関係する仕様が定義されているし、セキュリティをより強固にするためにアクセストークンは一定期間で期限切れにするべきだという主張があったと思う (確認していないので無いかもしれない)。しかしながら、例えばGitHub API v3ではアクセストークンに有効期限を設けていない。この投稿では、アクセストークンの有効期限に関係して起こり得る問題を取り上げる。 アクセストークンに有効期限を持たせておくとちょっと安全 アクセストークンが悪意のある第三者に漏洩してしまった場合、そのアクセストークンに認可されているあらゆる操作が実行可能になってしまうという問題がまず存在する。ここでもしアクセストークンに有効期限が存在していたとすれば、その操
インターネットで構築するVPNの仕組み (1/3)
インターネットのプロトコルの多くは、セキュリティを前提としていないため、盗聴や改ざん、なりすましなどへの耐性がない。そこで、現在では通信経路のセキュリティを高めるVPNの技術が幅広く利用されている。VPNがどのようにインターネット上で使われるのか、見てみよう。 インターネットを利用するVPN 企業のWAN構築には、専用線を始めフレームリレー、IP-VPN、広域Ethernetに至るまで、古くから通信事業者のサービスが必要であった。しかし、公衆のネットワークであるインターネットを用いることで、ユーザーが自前でVPNを構築することも可能になっている。これが「インターネットVPN」である（図1）。 インターネットVPNでは、VPN専用のプロトコルを用いてトンネリングを実現し、さらにセキュリティも確保する。単にトンネリングするだけではなく、セキュリティ機能が必要になるのは、インターネットの性格が背
SSL証明書検証エラーの警告を無視しないほうがいいたった1つの理由
こんにちは。CTOの馬場です。 昨日のエントリ RHEL5/CentOS5でGlobalSignのルート証明書が有効期限切れで大騒ぎ で暫定回避策として「接続先のSSL証明書を検証しないようにする」と書いたのですが、そのリスクについてもっと伝えたほうがよさそうなので追加のエントリです。 ( @nekoruri さんご指摘ありがとうございます！) いきなり結論から書きますが、 SSL証明書の警告無視はSSLの目的の1つである「通信相手の認証」を無効にするのでヤバい のです。 つまり証明書検証エラーを無視すると、通信は暗号化しているけど通信相手は誰かわからない、というトンチンカンな状況になります。 なので、トンチンカンな状況が許せる時だけにしましょう。 実はHTTPでいいんだけどなんとなく通信は暗号化しておきたいときとか、リスク覚悟で通信したいときとか... なお、技術的な説明は以下のページが
インターネットに公開するサーバーの基本的なセキュリティ設定 | 774::Blog
定期的にこういう内容を書いて公開している気がする。昔の記事もあるのでそちらを読めばいいのだが、また書く必要性が生じてきたのであらためて書きます。 現代では AWS のようなクラウドや VPS など格安で手軽にインターネット上にサーバーを持てるようになった。しかしインターネットで誰でもアクセスできる環境でサーバーを稼働させるということは、常に人間やロボットの攻撃に晒されるということを同時に意味している。したがって初心者だからだとか、会社の中ではこうやって仕事をしているからといった言い訳は一切通用しない。セキュリティ設定をきちんとしなければ内部への侵入をたやすく許し、思わぬデータの漏洩につながるのである。とはいえセキュリティというのはトレードオフを考慮しなければいくらでも強化できるものでありキリがない。ここでは最低限これだけはやっておこうという現実的な落とし所を提示し、人々への啓蒙をはかるもの
『Androidアプリのセキュア設計・セキュアコーディングガイド』【2013年4月1日版】を公開しました。 - JSSEC | 一般社団法人日本スマートフォンセキュリティ協会
2022年8月29日 『Androidアプリのセキュア設計・セキュアコーディングガイド』【2022年8月29日版】を公開しました。 ・『Android アプリのセキュア設計・セキュアコーディングガイド』【2022年8月29日版】 ・「サンプルコード一式」 【2022年8月29日版】 報道関係各位 JSSEC、『Androidアプリのセキュア設計・セキュアコーディングガイド』2022年8月29日版を公開 一般社団法人日本スマートフォンセキュリティ協会 一般社団法人日本スマートフォンセキュリティ協会（JSSEC：会長 佐々木 良一）の技術部会 セキュアコーディングWG（リーダー 宮崎 力）は、2012年6月に公開した『Android アプリのセキュア設計・セキュアコーディングガイド』（以下 本ガイド）の14版目の改定版である2022年8月29日版を公開しました。 ■2022年8月29日版の改訂
bind9の基本的なセキュリティを備えた設定
ネームサーバのセキュリティ、DNSリフレクション、DNS ampなどを使って悪用されたりすることが多いと言われています。 http://web-tan.forum.impressrd.jp/e/2009/01/15/4414 http://www.atmarkit.co.jp/fwin2k/win2ktips/781dnsamp/dnsamp.html 基本的な設定ができていれば問題はないはずなのですがなかなか慣れないとbindの設定は難しいものです。recursionの設定とLOGさえしっかりと行っておくと万が一の対応も出来るかと思います。本当に基本的な設定、ゾーンファイルの定義などはここでは説明していません。ゾーンファイルの書き方、設定の仕方はgoogleなどで検索してみてください。bindの基本的な設定は下記のとおり。 /etc/bind/named.confファイル include
最新『Google Chrome』はトラッキング拒否可能に | ライフハッカー・ジャパン
最新版の『Google Chrome 23』に搭載された新機能の紹介です。Chromeの設定でウェブ上のトラッキング（閲覧行動の追跡）を拒否できる機能が追加されました。自分の行動を解析されたりするのは嫌だという方には嬉しい機能ですね。 詳しい情報は以下からどうぞ。まずGoogle Chrome の「設定」ページへアクセスしましょう。その中に「プライバシー」という項目があります。 「閲覧トラフィックと一緒に「トラッキング拒否」リクエストを送信」にチェックをいれます。 「OK」を押すとトラッキング拒否設定完了です。 自分の行動を解析されたりするのは怖いという方はチェックを入れてトラッキング拒否しておきましょう！ 最新のChromeから搭載された機能なので、古いバージョンをお持ちの方は、最新版へアップグレードして使いましょう。 （カメきち）
エフセキュアブログ : 遠隔操作ウイルスの感染と痕跡調査
遠隔操作ウイルスの感染と痕跡調査 2012年10月26日09:12 ツイート daiki_fukumori オフィシャルコメント by：福森 大喜 いわゆる遠隔操作ウイルスは "suica"命令を使うことで、自分自身を削除し感染の証拠隠滅を図ります。 それでもなるべく早めにフォレンジックという作業を行うことで削除されたファイルを復元することが可能です。 クローズドなネットワーク内で次のような環境を作成し検証を行いました。 一連の流れを記録した動画も作成しました。 大まかなタイムラインは次のようになっています。 0:00 - 0:51： 遠隔操作ウイルスに感染 0:52 - 2:00： 「画面キャプチャ」コマンドを実行 2:01 - 2:45： 「自己消去」コマンドを実行 2:48 - 3:21： 簡易フォレンジックソフトにて削除済ファイルを確認 左側にMac OSのFinderが表示され
yebo blog: (IN)SECURE Magazine 30号
2011/06/10 (IN)SECURE Magazine 30号 (IN)SECURE Magazine の30号がリリースされ、ダウンロードできる。IPv6が特集されている。Microsoft's Enhanced Mitigation Experience ToolkitTransaction monitoring as an issuer fraud risk management technique in the banking card payment systemIPv6: Saviour and threatThe hard truth about mobile application security: Separating hype from realityDon't fear the auditorBook review: KingpinSecure mobile
これぐらいやっとけ 〜Linuxサーバのセキュリティ設定〜 - nabeの雑記帳
管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ はてブさんは #の切り分けやめてくれないかな……。 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinS
Microsoft、インストール不要無償のウィルススキャナを公開 | エンタープライズ | マイコミジャーナル
Microsoftから無償のセキュリティスキャナツール「Microsoft Safety Scanner」が公開された。ウィルスやスパイウェアなど、悪意あるソフトウェアを検出したり削除する機能を提供する。32ビットおよび64ビットの双方の環境に対応。32ビット版で68MB強、64ビット版で70MB弱ほどのサイズ。 Windows 7 64ビット版で動作するMicrosoft Safety Scanner スキャンの種類として「クイックスキャン」「フルスキャン」「カスタムスキャン」を選択可能 Microsoft Safety Scannerにてスキャン中 ウィルスやスパイウェアなどが検出されなかった場合の表示 Windows XPにてMicrosoft Safety Scannerで実行した場合 ウィルスやスパイウェアなどが検出されなかった場合の表示 「Microsoft Safety Sc
Part4 確認編---PPTPとIPsecの実際を見てみる，設定やパケットの様子を確認
Part4の確認編では，Windows標準のPPTPソフトでリモート・アクセスVPN環境を作るケースと，IPsecで自宅と会社のLANをVPNでつなぐケースについて，実際にトンネルを流れるパケットを確認してみよう。 PPTP：Windowsでリモート・アクセスVPNを作る認証や暗号工程のための設定を見てみよう WindowsXPマシンからインターネットにダイヤルアップ接続し，そこからWindows2000Serverを介して社内LANへアクセスすることを想定する。設定画面を見ると，認証で使うユーザー名やパスワード，鍵の長さを選ぶ項目があるのがわかる。 そして，環境ができあがったところで，WindowsXPマシンから社内LANのパソコンへプライベート・アドレスでpingピングパケットを送信してみた。下の画面は，そのパケットをキャプチャしたものである。 IPsec：ブロードバンド・ルーターでL
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【CentOS7】Linuxインストール後にする最低限のセキュリティ - Qiita
Burp Suite - Application Security Testing Software
共用サーバにおけるSymlink Attacksによる攻撃とその対策について - さくらインターネット創業日記
SSH ハニーポットでの悪い人の観察
IPA セキュア・プログラミング講座
さくらのVPSにL2PT/IPSecでVPNを構築した | 日々の出来事