Gmailの新スパム規制対応全部書く
[2024年1月10日、19日追記] GmailとYahoo!側のアップデートに合わせていくつか細かい説明を追加しています（大筋は変わっていません）。変更点だけ知りたい方は「追記」でページ内検索してください。 2023年10月3日、Googleはスパム対策強化のため、Gmailへ送るメールが満たすべき条件を2024年2月から厳しくすると発表しました。また米国Yahoo!も、2024年2月 第一四半期[1] から同様の対策を行うと発表しています。端的に言えば、この条件を満たさないと宛先にメールが届かなくなるという影響の大きな変更です。 この記事では、Gmailや米国Yahoo!の規制強化への対応方法を解説します。ただし米国Yahoo!にメールを送る人は多くないと思うので、フォーカスはGmail寄りです。また、メール配信サービス（海外だとSendGridやAmazon SES、国産だとblas
サイバー警察に家宅捜索されたときの備え方 ネット時代の警察リスクと対策｜lain
「全く身に覚えのない家宅捜索に入られた」ここ数年、そんな話をよく聞くようになりました。その多くがサイバー犯罪で疑われるケースです。 ネットで世界中が繋がった結果、遠く離れた赤の他人と、何らかの情報が紐付くことが起こり得るようになりました。 その中には当然犯罪者も含まれており、運悪く紐付いたために警察に疑われてしまう人がいるようです。 ネットの普及により、一般市民がとばっちりで警察に目を付けられるリスクは以前にも増して高まっています。 なぜ家宅捜索に入られたのかサイバー警察に誤って家宅捜索された人たちの記事をいくつかご紹介します。 在宅エンジニアが疑われた フリーランスのエンジニアが仕事で不正サイトを調査したところ、アクセス履歴から犯人と間違われた事件です。 真犯人がVPNで身元を隠していたためか、生IPでアクセスした彼が警察に疑われてしまったようです。おそらく警察は、真犯人がヘマして生IP
ログイン・ログアウト
ユーザー名とパスワードを入力してください。ユーザー名、またはパスワードを忘れてしまった場合は、徳島県医師会までお問合せください。
見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りました
見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りました SecretlintというAPIトークンなどの機密情報がファイル内に含まれているかをチェックできるツールを書いています。 Secretlintはコマンドラインツールとして動くので、主にCIやGitのpre-commit hookを利用して、リポジトリに機密情報が入るのを防止できます。 SecretlintでAPIトークンや秘密鍵などのコミットを防止する | Web Scratch 一方で、実際のウェブサービスなどは機密情報がファイルにハードコードされているわけではなく(Secrelint自体がこういうハードコードを防ぐツールです)、環境変数やDatabaseに保存していると思います。 このような場合にも、コードのミスなどによって公開するべきではない情報(秘密鍵、APIトークン、Sl
ゼロトラストという戦術の使い方 | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製
え、HTTPSの転送なのにファイルも暗号化するんですか？？？
TL;DR 基本的には二重での暗号は不要 ただし、転送後も暗号化したまま使うなら、転送前から暗号化するのは良い ルールXを無邪気に追加して不整合のあるセキュリティルールを作ってはいけない はじめに 社内のセキュリティルールやスタンダードを決めるときに、HTTPSなのにVPN必須になってたりファイル暗号も必須になってたりするケースたまに見ます。今回は、それは実際に必要なことなのか？ セキュリティ的に有効なのか？ という点で考察をしていきたいと思います。 背景 二重三重に暗号化しても性能ペナルティが無いなら「なんとなく安全そうだから」でOKにしてしまいがちなのですが、これはよく考える必要があります。 というのも 「ルールXを追加することで既存のルールAと不整合が出る」 ってことは割とよくあるからです。具体的には「SCPのファイル転送は（SCPのセキュリティに不備があった時の）安全性のためにファ
伊藤春香（はあちゅう）さんと学ぶ！ 発信者情報開示門前払い入門｜山本一郎（やまもといちろう）
みんな大好き、伊藤春香（はあちゅう）さんから大量の発信者情報開示請求が各接続プロバイダさんに流れて行っていることが確認されました。しかしながら、誠に遺憾なことに、私には発信者情報開示請求が届いておりません。何ということでしょう。悲しみに包まれております。 私は全部実名で書いているので掲示板を利用する必要もないだけなんですが、どうも周辺から聞くに「これだけ大量にある侮辱で発信者情報開示請求が通れば、一件ぐらいは山本一郎の手によるものに違いない」と思っていたのだそうです。残念でした、私はまったく書いていません。何で私が匿名で掲示板に感想を書く必要があると思っているのかさっぱり分かりませんが、ただ、発信者情報開示請求が着弾をしている人にとってはびっくりですよね。法的措置童貞はいきなりテレサ文書がプロバイダから送られてきたら勃つものも勃たず、思わず伊藤さんに謝罪のメールでも送ってしまいかねないので
Webサービス公開前に対策しておきたいセキュリティ施策まとめ｜kentaro
直近で新しいWebサービスのセキュリティ周りを整備する機会があったので、その時に検討した内容をメモしておきます。 このnoteの前提重点的にみたのが認証機構の部分でしたのでそれに寄った内容になります。 また、一般的なセキュリティ対策（XSSやSQLインジェクション）などについて触れていません。そういった内容については2018年の現在でも徳丸先生の本を一読することが近道かと思います。 体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践 | 徳丸 浩 https://www.amazon.co.jp/dp/4797361190 "なぜ"セキュリティ施策をするのかセキュリティ対策は大切だということはわかっていても、"なぜ"対策をしないといけないかということにパッと答えられる人はそう多くないのではないでしょうか。 総務省が公開しているテキストには、以下のようなこと
無料で自宅VPNを設置し無料Wi-Fiで使ってみました・有料VPNは使わずに済みそう - こぼねみ
コンビニ、カフェ、駅のホーム、ホテルなど、無料Wi-Fiの使える場所はたくさんあります。 無料で簡単に接続でき、便利なのは確かですが、通信内容が盗聴される危険性もあるので、VPNサービスを利用しようと考えていました。 VPNサービスは無料と有料とがあります。無料の方はVPNサーバで何を記録され覗かれているかは不安だし、有料の方でも結局は一緒です。iOSで有料のVPNアプリを見ると年額3千円前後かかります。 それなら自分でVPNサーバーを設置し接続すれば解決だと思い、色々と調べてみると、自宅のルーターにVPNサーバー機能を搭載している製品を選べば簡単だしコストもかからないことがわかりました。自宅内にVPNサーバーを設置するといえば、外出先から自宅の環境にインターネット接続するためだけと思いがち。しかしながら、今回のように、自宅のVPNサーバー経由で安全に無料Wi-Fiを使うという用途にも使え
【無人コンビニ時代の到来】中国無人コンビニでほぼ盗難ゼロのその秘密、「盗難したら損」の状況を見事に構築｜BINGO BOX | GloTech Trends
Glotechtrends.com This Page Is Under Construction - Coming Soon! Why am I seeing this 'Under Construction' page? Related Searches: music videos Credit Card Application Dental Plans Best Penny Stocks Online classifieds Trademark Free Notice Review our Privacy Policy Service Agreement Legal Notice Privacy Policy
CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして - Mercari Engineering Blog
本日コーポレートサイトでお知らせした通り、Web版のメルカリにおいて一部のお客さまの個人情報が他者から閲覧できる状態になっていたことが判明しました。原因はすでに判明して修正が完了しております。また、個人情報を閲覧された可能性のあるお客さまには、メルカリ事務局より、メルカリ内の個別メッセージにてご連絡させていただきました。 お客さまの大切な個人情報をお預かりしているにも関わらず、このような事態に至り、深くお詫びを申し上げます。 本エントリでは技術的観点から詳細をお伝えさせていただきます。 2017年6月27日 CDNのキャッシュの動作について、CDNプロバイダと仕様について確認し検証を行いました。その結果一部記述に実際と異なる箇所があり、加筆修正いたしました。 概要 メルカリWeb版のコンテンツキャッシュをしているCDNのプロバイダ切り替えを行いました。 その際本来キャッシュされるべきでない
Webデベロッパのためのセキュリティ・チェックリスト | POSTD
安全で堅牢なWebアプリケーションをクラウドで開発するのは 非常に困難 です。それを簡単だと思っているような人は、例えばとんでもない頭脳をお持ちというなら別ですが、遠からず痛い目を見ることになるでしょう。 もし MVP（Minimal Viable Product：必要最低限の機能を備えた製品） のコンセプトを鵜呑みにして、有益かつ安全な製品を1ヶ月で作成できると考えているようなら、プロトタイプを立ち上げる前に一度考え直した方がいいと思います。以下に挙げたチェックリストをご覧いただければ、セキュリティに関するクリティカルな問題の多くをスキップしていることが分かるはずです。あるいは少なくとも、潜在的なユーザに対しては 誠実 であるように心がけ、製品が完全ではないこと、そしてセキュリティが不十分な製品を提供していることを伝えるようにしてください。 このチェックリストはシンプルなもので、決して完
あのスノーデン氏やヤクザも愛用!? スーパーセキュリティアプリ「Signal」がすごい | citrus（シトラス）
米国家安全保障局（NSA）が極秘に大量の個人情報を収集していたことを内部告発した米中央情報局（CIA）元職員エドワード・スノーデン氏を覚えているでしょうか。 暗号化アプリ「Signal」は、スノーデン氏も愛用していたことで知られています。Signalは、米大統領線でヒラリー・クリントン氏の大統領選キャンペーン・スタッフが、スタッフ内のやりとりで利用するなど、セキュリティを重視するシーンで使われることが多いようです。Signalとはどのようなアプリなのでしょうか。合わせて、SNSのセキュリティについても見ていきましょう。 ■完璧なセキュリティを誇る「Signal」 「Signal」アプリはエンドツーエンドの暗号化に対応したiOS・Androidアプリ。完全に暗号化されたエンドツーエンドのチャット、音声通話機能、ビデオ通話機能などを提供しています。国家レベルで行っている検閲も迂回可能というセキ
JINS はマジでやばい
https://twitter.com/piyokango/status/844361226767380481 という話があり、その現物なのだが、 http://www.freezepage.com/1490165400GAZZVSXBDT である。キャッシュの freezepage ですまんが、まあいいだろ。 これ自体はハセカラ界隈のスクリプトキディが show tables かなんかを実行する jsp 一枚仕込んだというだけの話なのだと思うが、問題は JINS の対応だ。 t_jins_gmo_brandtoken_cancel_if_rireki t_jins_gmo_brandtoken_change_if_rireki t_jins_gmo_brandtoken_entry_if_rireki t_jins_gmo_brandtoken_exec_if_rireki などといった
スター・ウォーズ：帝国のサイバーセキュリティ問題
銀河帝国CEO、シーヴ・パルパティーン皇帝は、汚職と内乱にまみれた銀河共和国と独立星系連合をまとめて帝国を成立させました（内乱の大半を画策していたのはダース・シディアスという謎の男であったが、後に、ナブーの元老院議員から元老院最高議長となっていたパルパティーンこそがこの男であったことが判明）。ヤヴィンの戦いの当時、帝国は成立から19年が経過し、銀河系最大の勢力となっていました。 一見したところ、デス・スターの崩壊は、一握りの宇宙の魔術師たちから支援を得た小規模な反乱軍による攻撃の結果に見えます。しかし、ハリウッドのエキスパートたるジョージ・ルーカスが行った徹底的な分析と再現により、指揮系統の純然たる怠慢とずさんなサイバーセキュリティ対策がデス・スターの崩壊をもたらしたと証明されました。もちろん、明白な理由の1つには、ストームトルーパーが目も当てられないほど訓練不足だった（射撃技術のお粗末さ
piyolog
2024年5月28日、生成AIを使用したマルウエアを作成した容疑で警視庁が男を逮捕したことが報じられました。ここでは関連する情報をまとめます。 対話型生成AIを使用しランサムウエアらしきものを作成 男の容疑は不正指令電磁的記録作成。2023年3月31日に自宅PCやスマートフォンを使用して、対話型生成AIを使用し、不正プログラムの設計情報を組み合わせてマルウエアを作成した疑い。2024年3月に警視庁は男を偽造身分証を使用してSIMカードの不正契約を行ったなどとして詐欺容疑（今回の事案とは別件）で逮捕しており、*1 捜査より自宅から押収されたPCを解析したところマルウエアが発見された。*2 生成AIを使用したマルウエア作成の事案摘発は全国で初めてとされる。*3 男が作成したマルウエアは、実行環境のデータを破壊（暗号化とも報道）し、暗号資産の要求をする機能が含まれており、いわゆるランサムウエアに
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
新型MacBookProに絶望、情シス視点でしか見てないから
シンジです。日本時間では深夜2時から行われたApple社の発表会、いろんな期待をしながら見てました。まぁただね、Appleさんは事前に情報を小出しでリークさせる謎マーケティングが行われるが為に、なんだかんだでリーク通りの発表会となったわけですが。 Skype音声しながらWCS見ながらApple見てました WCSは「StarCraft II World Championship Series」の略で、ゲームの世界大会なんですが、Appleの発表会と時間が被ってしまったのでやむを得ず2画面同時視聴。 シンジ「お、Appleきたよー！みるよー！」 Skype相手「しかたねーみるかー」 まぁ深夜2時前までStarCraft IIやってたんですが。 ティムクックのメガネ野郎がドヤ顔し始める もはやどうでもいい。 「Apple TVにTVが付いたぜ！」 HAHAHAとでも言えばいいのか。いいからさっさ
企業向けセキュリティ研修ビデオを小中高生徒の親に見せた結果
夏休みに自治会の催しか何かで、スマートフォンのセキュリティやリテラシーに関する映像を上映していたらしい そこで素材として選ばれたのがIPAのセキュリティ啓発映像だと知って嫌な予感はしていた その結果現在起きているのが以下 子供のスマートフォンを解約する家庭が続出解約された子供が登校拒否親に反抗した子供が家出(数日帰宅せず警察沙汰に)解約の憂き目に遭わずに済んだ子供に「テザリング」の負担が激増(解約のみでスマホ自体は取り上げられずに済んだ子供が多かったため)「テザリング役」の子供がパケット制限解除のためにパケット追加しまくってキャリアから高額請求される事態にスマホのテザリング台数には上限があるため、誰が誰のテザリングを許可した、しなかったで子供達の間で揉める(テザリングを拒否した子のスマホが盗まれる事も)MVNOを利用している家庭の子が、親のPCでMVNOの会員サイトに無断でログインし回線を
WordPressを攻撃されたログを解析した結果
WordPressを攻撃されたサーバーのログ解析をしました。その考察をシェア。 解析した内容は、 mysqlのquery log access log 特にquery logを確認できたことは本当に重要だった。どういった情報がデータベースから抜かれた可能性があったか、も調べられたから。 wp-adminへの侵入は、おそらくどこかからパスワードが漏れたようで、passwordを推測してアタックしたようなログはなかった。そして、特にデータを抜かれたこともなかった。しかし、悪意のあるコードは埋め込まれていた。 攻撃は機械的に行われていたので、最低限ロボット向けの対策をしておくべきだ。 対策 参照: http://codex.wordpress.org/Hardening_WordPress * 基本 table prefixは必ず”wp_”から変える adminは使わない、SALTをちゃんと設定
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
