高木浩光＠自宅の日記 - 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む
■ 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む IPAの「安全なウェブサイトの作り方」（改定第7版2015年、初版2006年）のHTML版が出ている。項目別にページが作られている。 1.1 SQLインジェクション 1.2 OSコマンド・インジェクション 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル 1.4 セッション管理の不備 1.5 クロスサイト・スクリプティング 1.6 CSRF（クロスサイト・リクエスト・フォージェリ） 1.7 HTTPヘッダ・インジェクション 1.8 メールヘッダ・インジェクション 1.9 クリックジャッキング 1.10 バッファオーバーフロー 1.11 アクセス制御や認可制御の欠落 というのも、4年前にWELQ問題が火を噴いたのと同様に、キーワードWeb検索からの流入を当て込む「いかがでしたか系」の乱造記事のSEO汚染の
30分でOpenID Connect完全に理解したと言えるようになる勉強会
社内向け勉強会で発表した内容です。 30分でと書いてありますが、実際には50分かかりました。 また時間の関係で結構省いたりしている箇所があります。 2020/07/19追記 ご指摘をいただいた箇所を多々修正いたしました。 特にOIDCとSPAの章が初版とは大幅に変更されていますのでご注意く…
デジタル政府、「IE縛り」急所 情報漏洩の守りに不安 - 日本経済新聞
使用できるウェブ閲覧ソフトの制約が政府のデジタル化の急所として浮上してきた。9月から始まるキャッシュレス決済のポイント還元策「マイナポイント」や、公共工事の入札システムをパソコンから手続きする場合、米マイクロソフトのインターネット・エクスプローラー（IE）以外は使えない。不便なだけでなく、サイバー攻撃への守りにも不安がある。「7月中にほかのソフトも対応できるよう改修を進めている」。還元を受ける
秘密にしておきたかったんだけど、実はTwitterにはWebページを埋め込めるんだよね - Qiita
こんにちは、Twitter大好き丸の あかい です タイトルの通りなのですが、実はTwitterにはWebページを埋め込むことができます。（具体的には「ツイートには」ですが） 「WebページにTwitterを埋め込む」ではないですよ。 次のツイートをご覧ください。 つくったから見て！！！！ 特にPC版Twitterから《《《再生》》》してみて！！！！！https://t.co/a1KLMSXfaV #朱猪わらい — あかい (@Ver1000000000) July 9, 2020 ……何やら再生できそうな感じのインターフェースが表示されていますよね？ そうなのです、このツイートをWeb版Twitter公式クライアントで開いて再生ボタン押下して展開するとなんと、 このために作った拙作の朱猪わらいの動画（？）がはじまります。 （かなり適当なES2015をpolifyllもいれず生で書いたので
暗号鍵管理ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
実際の暗号システムがセキュアに動作し続けるためには、暗号アルゴリズム自体がセキュアであるだけでは不十分で、データが保護される期間中、その暗号アルゴリズムが使用する暗号鍵もセキュアに管理されている必要があります。そのため、暗号鍵やデータのライフサイクルを踏まえた運用、安全な暗号鍵の保管、暗号鍵危殆化時の対策などを行う上で参考となるガイドラインを取りまとめています。 「暗号鍵管理システム設計指針（基本編）」の内容 「暗号鍵管理システム設計指針（基本編）」は、あらゆる分野・あらゆる領域の全ての暗号鍵管理システムを対象に、暗号鍵管理を安全に行うための構築・運用・役割・責任等に関する対応方針として考慮すべき事項を網羅的に提供し、設計時に考慮すべきトピックス及び設計書等に明示的に記載する要求事項を取りまとめたガイドラインとして作成されたものです。 具体的には、暗号鍵管理の必要性を認識してもらうために「
図解 X.509 証明書 - Qiita
はじめに X.509 証明書について解説します。(English version is here → "Illustrated X.509 Certificate") ※ この記事は 2020 年 7 月 1 日にオンラインで開催された Authlete 社主催の『OAuth/OIDC 勉強会【クライアント認証編】』の一部を文書化したものです。勉強会の動画は公開しており、X.509 証明書については『#4 X.509 証明書（１）』と『#5 X.509 証明書（２）』で解説しているので、動画解説のほうがお好みであればそちらをご参照ください。 1. デジタル署名（前提知識） この記事を読んでいただくにあたり、デジタル署名に関する知識が必要となります。つまり、「秘密鍵を用いて生成された署名を公開鍵で検証することにより」、「対象データが改竄されていないこと」や「秘密鍵の保持者が確かに署名したこと
NTTコミュニケーションズは裏口も攻められた - Fox on Security
NTT Comの不正アクセス事件の第2報が出ていました。内容を見るといわゆる裏口から不正侵入されていた事も書かれており、正直驚きました。 japan.zdnet.com 公式発表 当社への不正アクセスによる情報流出の可能性について(第2報) NTTコミュニケーションズは7月2日、5月28日に公表した同社設備への不正侵入と一部情報の外部流出の可能性について、新たにBYOD端末からのリモートアクセスを通じた経路での侵入も判明したと発表した。情報の外部流出の可能性についても83社分が新たに判明したとしている。 同社によると、調査で新たにVDIサーバーを経由して一部の社内ファイルサーバーへの不正アクセスが確認され、社内ファイルが閲覧された可能性があることが5月26日に判明した。リモートアクセスを利用したBYOD端末からの不正アクセスが判明し、全てのBYOD端末とシンクライアント専用端末のリモートア
マイナンバーカードを免許証としても利用へ 菅官房長官 | NHKニュース
マイナンバー制度の普及促進策を検討する政府の作業チームの初会合が開かれ、菅官房長官は利便性の向上に向けてマイナンバーカードを、運転免許をはじめとする各種の免許証としても利用できるよう必要な制度改正に取り組む考えを示しました。 作業チームの初会合には、菅官房長官や高市総務大臣ら関係閣僚のほか民間の有識者や企業関係者らが出席しました。 この中で、菅官房長官は「新型コロナウイルスへの対策の現金10万円の一律給付などをめぐって、社会全体のデジタル化を進めることが、いかに重要であるか改めて認識した。わが国の成長力、国際競争力を維持するために、マイナンバー制度や国と地方のデジタル基盤の抜本的な改善を図る必要がある」と述べました。 そして、マイナンバーカードを運転免許をはじめとする各種の免許証としても利用できるよう必要な制度改正を行うことに加え、健康診断など生涯にわたる健康データをマイナンバーカードを通
Dropbox Businessは非常に危険です | 江口某の不如意研究室
（この記事は、Dropbox社に対してフェアじゃないものになっています。続きの「Dropbox Businessは馬鹿が使うと非常に危険なことを検証しました」も読んでください） 最近、非常に重大な事故を起こしてしまったので報告します。実際の被害は、最高が7だとすると3か4ぐらい、しかし潜在的な危険度からいうと7段階で7、ってくらい重大。Dropboxでファイルを大量に失なってしまったばかりか、個人情報流出の危険をおかしてしまいました。（実際には流出といえるものはありませんでしたが） Dropbox Businessチームに招待され参加して「アカウントを統合」すると、自分では抜けられない状態になる それだけでなく、それまで自分がもっていたファイルもすべてチームのものになる 個人用の契約が勝手に解除されてしまう 私のアカウントを削除すると、管理者は私のファイルを自分のものにすることができる 管
【悲報】トレンドマイクロ、三菱電機の不正アクセス時の対応も無能すぎたことが暴露されてしまう - Windows 2000 Blog
三菱電機には、サイバー攻撃の兆候が見つかると調査と対策に乗り出す専門のチームが存在する。「CSIRT（Computer Security Incident Response Team=シーサート）」と呼ばれ、世界の大手企業や行政機関を中心に即応体制の強化を目的にこうしたチームが相次いでつくられている。 三菱電機シーサートのメンバーは、ウイルスバスターの開発元である情報セキュリティー大手トレンドマイクロに不審なファイルを送り、解析を依頼した。 ところが、解析結果は「異常なし」。ファイルの実体は、ウィンドウズに元々インストールされているコマンド実行プログラム（Powershell.exe）だったというのだ。 そのプログラムがなぜ、クロームの名前に書き換えられ、本来と異なる場所に存在し、実行されようとしていたのか。
トレンドマイクロ、大学生のハッカーによってセキュリティのとんでもない欠陥とチート行為が暴露され激怒するの巻 - Windows 2000 Blog
トレンドマイクロは、Microsoftの品質保証テストをだますためにソフトウェアを設計し、主張は「誤解を招く」と言った後、防御的立場にあります。 米国のロチェスター工科大学に在籍する18歳のコンピューターセキュリティ学生であるビルデミルカピ氏は火曜日、The Registerに語り、トレンドのWindows PC向けルートキットバスターに出会い、ルートキットを検出する方法を研究していると語った。 初心者向けのルートキットはマルウェアで、管理者レベルの権限を持つマシンで実行されると、他の悪意のあるコードや悪意のあるユーザーがコンピューターへの管理アクセスを許可します。それは故意に自分自身を見えないように隠します、それがルートキット検出器が物である理由です。 Trend製品に共通しているように見えるTrendのルートキット狩猟ツールとそのカーネルモードドライバーをリバースエンジニアリングする一
海外のエッチなサイト見まくり、添付ファイルをバンバン開いていたマルウェア感染PCをヘルプし、最終的にFANZAを教え一件落着した話
たび @mesotabi 流石に少しフェイクを混ぜるが… ･個人商店の1台しかないパソコン ･お父さんが海外のえっちサイトを見まくる ･メールも添付ファイルをバンバン開く ･余裕でウイルスにもマルウェアにも感染。 ･詐欺ポップアップ無限ループ祭り開催。 ･出てきた偽サポート電話番号に国際電話してしまう。 続く↓ 2020-05-09 11:27:13 たび @mesotabi ･電話して謎のマイケルさんにリモート制御権を渡してしまう ･マイケルさんがPCを修理してくれる！(※もちろん詐欺) ･コンビニの店員さんも警察も「それは詐欺だよ」と言っても「マイケルさんがPC治してくれたけんね」とGoogleカード数万円を送金 ･送金数日後、またPCが乗っ取られて警告祭り 続く↓ 2020-05-09 11:27:13 たび @mesotabi ･PCを乗っ取られたタイミングで、偶然カタコトの日本語
米グーグルはテレワークでVPNを使わない、なぜなら「あれ」が危険だから
新型コロナウイルス対策として様々な企業で在宅勤務が推奨される中、VPNに関する発言を耳にする機会が増えた。「大勢が使い始めたので速度が落ちた」「社内からの利用申請が急増した」といった恨み言が中心だが、興味深いものもあった。なんでも「グーグルはテレワークにVPNを使っていない」のだという。 米グーグルは従業員が在宅勤務をする際にVPNを一切使っていない。インターネット経由で利用できるSaaS（ソフトウエア・アズ・ア・サービス）の「G Suite」などで業務が完結するから、といった単純な話ではない。開発システムや経理システムといったあらゆる種類の社内アプリケーションが全てインターネット経由で利用できるようになっているため、従業員はそもそもVPNを利用する必要がないのだという。 同社はこうした社内事情を「BeyondCorp」という取り組みとしてWebサイトや論文で公開している。さらに2017年
焼肉サブスクの脆弱性 - Qiita
※規約違反として限定公開にされました。Qiita運営からのメールに「Qiitaだけじゃなくて他サービスの規約違反もあかんのやで」という文言があったので、そのへんに気をつけて修正しました。 本記事はすべてフィクションです。実在する企業とは一切関係ありません 焼肉サブスクに２２日通った。 その中で、色々な脆弱性が見受けられたため、詳しく書く。 ※この記事で紹介する脆弱性を実際に突いてサービスを不正利用すると、詐欺罪に問われる可能性があるので、絶対にやらないこと。また、この記事は啓蒙を目的としており、システムの悪用を推奨していない。 焼肉サブスクのシステム サブスクプラットフォームに登録し、クレカでサブスクパスに課金する。 店でパスの画面を見せる。画面には１日１回だけ押せるボタンがあり、ボタンを店員の目の前で押すことで、サービス権を行使する。食べ放題が無料になる 最後にレジで会計するが、食べ放題
Windows CryptoAPIの脆弱性によるECC証明書の偽造(CVE-2020-0601) - ぼちぼち日記
1. はじめに つい先日のWindowsのセキュリティアップデートでWindowsのCryptoAPIの楕円曲線暗号処理に関連した脆弱性の修正が行われました。 「CVE-2020-0601 | Windows CryptoAPI Spoofing Vulnerability」 これがまぁ世界の暗号専門家を中心にセキュリティ業界を驚かせ、いろいろ騒がしています。 その驚きの一つは、この脆弱性の報告者がNSA(米国家安全保障局)だったことです。NSAはMicrosoftのアナウンスとは別により詳しい内容でこの脆弱性を警告するアナウンスを出しています。 「Patch Critical Cryptographic Vulnerability in Microsoft Windows Clients and Servers」 これまで数々の諜報活動をインターネット上で行ってきたNSAが、この脆弱性を
オレオレ証明書を使い続ける上場企業をまとめてみた - megamouthの葬列
あるいは私たちがPKIについて説明し続けなければいけない理由 Web屋のなくならない仕事の一つに「SSL証明書とPKIについて説明する」というのがある。 世の中のサイトはだいたいhttps://というアドレスでつながるように出来ていて、httpsでつながるということは何らかのSSL/TLS証明書が必要だということだ。（さもなければchromeがユーザーに不吉な警告を発することになる） 証明書が必要になる度、同じ質問が繰り返される。「なんか全部値段が違うけど、どの証明書（ブランド）がいいの？」と。そして私たちは毎回困ってしまう。 エンドユーザーの立場で言えば、証明書が有効でありさえすれば、無料のLet's Encryptでも21万円するDigiCertグローバル・サーバID EVでも、Webサイトの利便性は何も変わらない。私たちWeb制作業者の立場でも、代理店契約でもしない限り、証明書そのも
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
トレンドマイクロさん、狸印の Android 向けセキュリティブラウザで一昨年発覚したユーザーをだます脆弱性が直しきれなくてソフトの公開を取りやめるの巻 - Windows 2000 Blog
日本はマルウェア被害がもっとも少ない国。COVID-19便乗のサイバー攻撃などをマイクロソフトが報告 ～これからのセキュリティの在り方に対策を前面に出さない「Security Posture」を提案
Windowsの「クイックアシスト」で、PCを遠隔操作する方法 | ライフハッカー・ジャパン
「Process Hacker」が「Windows Defender」にマルウェア扱いされて困ってるらしい／「Process Explorer」に匹敵する高機能性が売りのオープンソースタスクマネージャー【やじうまの杜】
