ダイヤルQ2風の電話番号でInstagramやGoogleやMicrosoftから金をむしりとれる脆弱性
セキュリティ研究者が、とても興味深い脆弱性を報告して報奨金をもらった記事が上がっている。 How I Could Steal Money from Instagram, Google and Microsoft – Arne Swinnen's Security Blog プレミアムナンバーという電話上のサービスがある。これは一時期日本で行われていたダイヤルQ2と同等の仕組みを持つサービスで、プレミアムナンバーという電話番号にかけた電話の通話料は、通常より高い。通話料の差分は、電話サービスの提供元に支払われる。 ダイヤルQ2は電話越しに何らかのサービスを提供して、電話料金で利用料を徴収できる、手軽な仕組みだった。その利用例は、投資顧問、アダルト、占い、人生相談、義援金、ダイヤルアップISPなどに利用されていた。ダイヤルQ2自体は2014年に終わったが、海外ではまだ同等の仕組みをもつサービス
HTTPSにまつわる怪しい伝説を検証する - Google I/O 2016のセッションから - Qiita
今年はGoogle I/Oに初めて社員ではない立場で参加しました。全体の感想は Google I/O 2016まとめ（Web的視点） で公開していますが、今回はその中で、気に入ったセッションの1つである"Mythbusting HTTPS: Squashing security’s urban legends"について書いてみたいと思います。 セッションは大変良くまとまっていますので、YouTubeにあがっている動画を見れる人は動画を見て貰えれば良いのですが、時間が無いという人のために、その内容をまとめました。基本的には文字起こしに近いものです。 重要だとわかっているけど、なかなか導入に踏み切れない人も多いHTTPS。これについて、最新の状況が理解できるコンテンツとしてお役に立てるならば嬉しいです。 TL;DR HTTPSはPWAppなどWebにとって必須。 しかし、パフォーマンス悪化する
ウィルス感染でWebサービスが20日間ダウン。本当にごめんなさい - Qiita
障害が起きたWebサービスは個人で運営しているサービスです。 2016年2月、障害から20日後にサービス再開しましたがアクティブユーザは以前の18%です。未だ回復の目処は立っていません。冗長化していないサーバがウイルス感染し、その後の対応も後手後手に回ってしまいました。 2016年1月末に起こるべくして起こった障害について記事にしてみました。ご迷惑をお掛けしてしまい本当に申し訳ありません。 ■ ユーザは、もう戻ってこない どんなウイルスに感染したのか SYNフラッド攻撃（SYN Flood Attack）を他のWebサイトに行うウイルスに感染して、確認していませんが他のサービスをSYNフラッド攻撃していたと思います。またウイルス感染時にサーバのsshdを書き換えられsshで接続できなくなりました。感染後にコンソールログインして書き換えられた醜い authorized_keys を見た時ゾッ
「Google Drive」、無料ストレージ2GBをプレゼント中ーー「セキュリティ診断」完了で | ゴリミー
オンラインストレージが多いことに越したことはない。無料でもらえるものはもらっておこう！ 昨年に引き続き、今年も「Safer Internet Day 2016」を記念してGoogleアカウントの「セキュリティ診断」を行ったユーザーに対し、「Google Drive」の無料ストレージを2GB追加してもらえるプレゼントキャンペーンを実施している！ アカウントの復旧情報や接続端末、権限の確認など 僕の場合、なぜか「セキュリティ診断」の内容がすべて英語で表示されていたが、アカウント復旧情報、接続端末、アカウント権限の確認を済ませるだけで無料ストレージ2GBが手に入るのだ。作業時間も2、3分で終わる内容となっているため、自分のGoogleアカウントのセキュリティ状況を確認しつつ行うべし！ なお、僕も試したところ無事2GBのストレージが追加されていることが確認できた。昨年に引き続き2回目のキャンペーン
Google、パンくずリストとサイト名をURLの代わりにモバイル検索結果で表示。構造化データで指定可能
[レベル: 中級] Googleはモバイル検索で、すべての結果にURLの代わりにパンくずリストを表示するように仕様を変更しました。 また、ドメイン名の代わりにサイト名を表示することがあります。 Official Google Webmaster Central Blog: Better presentation of URLs in search results モバイル検索結果ではパンくずリストを表示 下のモバイル検索結果では、URLのところがすべてパンくずリストで表示されています。 とはいえ、もともとPCからの検索でもパンくずリスト表示だったのなら、モバイル検索特有の機能とはいえません。 比較してみましょう。 こちらのPCからの検索結果では、通常どおりにURLがそのまま表示されています。 スマートフォンから検索するとこのようになります。 少々わかりづらいのですが、パンくずリストっぽく変
Googleアナリティクスを悪用して広告とポルノをウェブに挿入する攻撃方法が判明
By Sean MacEntee 多くの家庭でも使われているルータのバグを悪用し、本来は想定されていない広告やポルノコンテンツを配信する手法が明らかにされました。悪用手法の内容はDNS Changerと呼ばれるマルウェアを使ってルータにキャッシュ保存されるDNS設定を不正に書き換え、ページ内で使われているGoogle Analyticsのタグを乗っ取る仕組みになっています。 Ara Labs | Ad-Fraud Malware Hijacks Router DNS – Injects Ads Via Google Analytics http://aralabs.com/blog/2015/03/25/ad-fraud-malware-hijacks-router-dns-injects-ads-via-google-analytics/ この仕組みを解明したのは、ネットのセキュリティソ
SSL で守られる生活
難解プログラミング言語「Piet」の解説とそのエディタを作った話です。 2015/08/21 Pidet公開しました。 https://github.com/kndama/Pidet
Google Appsに登録された28万件ものWHOIS情報が漏えい、非公開のはずの2013年中期以降の名前や住所がダダ漏れに
by Christian Ditaputratama Google Apps for Workに登録された名前・住所・メールアドレスといったドメイン情報は、個人情報非公開のオプションを選ぶことで本来なら秘匿され、一般公開されないはずなのですが、28万2000件以上のドメイン情報がWHOISに直接登録されていたことが分かりました。 Epic Google snafu leaks hidden whois data for 280,000 domains | Ars Technica http://arstechnica.com/security/2015/03/epic-google-snafu-leaks-hidden-whois-data-for-280000-domains/ Googleのパートナー企業であるeNomはドメイン管理ツールを提供しており、そのサービスの一つとして年に6％
Google、Android 4.3以下のWebView問題について声明を発表 | juggly.cn
Google が Android 4.3（Jelly Bean）以下の WebView コンポーネントをアップデートしないと伝えられていた件で、Google の Adrian Ludwig 氏が自身の Google+ ページでその真相や経緯を公表しました。 WebView は、Android アプリが独自のレンダリングエンジンを実装することなく WEB ページを表示できる機能のことです。Android 4.3 まではオープンソースの WebKit をベースにしていましたが、Android 4.4 で Google 主導で開発・メンテナンスされている Chromium ベースに変わり、Android 5.0 でシステムから切り離され Google Play ストアを通じてアップデートされるようになりました。 同氏は投稿の中で、Jelly Bean に統合されている Webkit のブランチが
5分でわかる正しい Web サイト常時 SSL 化のための基礎知識
Web サイトを常時 SSL 化する場合に、最低限知っておかなければならない知識や、注意点、実際の設定方法まで、ひと通りまとめてみました。メリットやデメリット、証明書の種別からリダイレクト設定などについても解説しています。 HTTPS をランキングシグナルに使用しますと Google が公式に発表したあたりから、Web サイトの SSL 対応、特に Google が推奨している Web サイトをすべて HTTPS で配信する、所謂 「常時 SSL 化」 についての話を聞いたり、実際にお客様から相談されたりするケースが増えてきました。 そこで、いい機会だしその辺に関する情報をまとめておこうかな～ と思って書いてみた、恒例の （？） 5分でわかるシリーズ。書き終わって見たところ絶対に 5分じゃ無理っていう文章量になっててどうしようかなぁとも思ったんですが、気にせず公開してみます。 常時 SSL
Gmail・Facebook・Dropboxなどに不正アクセスされそうになったら通知してくれる無料アプリ「LogDog」
Gmailには普段アクセスしない海外からのアクセスなど、不正アクセスが疑われる場合に警告メールを送ってくれる機能があります。このような不正なアクセスが疑われる場合に通知してくれる機能を、Gmail(Googleアカウント)だけでなく、FacebookやDropboxやEvernoteのアカウントでも実現して不正アクセスがないかを監視できるアプリが「LogDog」です。 LogDog - Anti Hacking Protection https://getlogdog.com/ Google Playからアプリ「LogDog」を検索して、「インストール」をタップ。 「同意する」をタップ。 「開く」をタップしてLogDogを起動させます。 これがLogDogのトップ画面。まずは不正アクセスされていないか監視するアカウントを追加します。右上の「＋」をタップ。 記事作成時点で監視できるのはGoo
ジャパンネット銀行、入出金状況をスマホで確認できるアプリ公開 パターン認証でログイン - はてなニュース
ジャパンネット銀行は、口座の入出金状況を確認できるスマートフォンアプリを1月6日にリリースしました。ログイン方法には、口座番号やログインパスワードの入力がいらない「パターン認証」を採用。あらかじめ登録しておいたパターンに沿って画面をなぞるとログインできます。ダウンロードは無料です。 ▽ 残高確認アプリ｜ジャパンネット銀行 ▽ スマートフォン専用「残高確認アプリ」の提供を開始｜ジャパンネット銀行 iPhone・Android向けに用意されたジャパンネット銀行のアプリ「残高確認」では、口座の残高や入出金状況をスマートフォンで確認できます。例えば、ネットオークションに出品した際の落札金の入金状況などを、外出先でチェックすることが可能に。公共料金の引き落とし状況もチェックできます。 インストールした後は、アプリの初回起動時に店番号・口座番号・ログインID・パスワードを入力します。その後、画面上に表
The Web Robots Pages
Web Robots (also known as Web Wanderers, Crawlers, or Spiders), are programs that traverse the Web automatically. Search engines such as Google use them to index the web content, spammers use them to scan for email addresses, and they have many other uses. On this site you can learn more about web robots. About /robots.txt explains what /robots.txt is, and how to use it. The FAQ answers many frequ
2 段階認証は本当に安全なのか調べてみた | はったりエンジニアの備忘録
このブログを読んでいる人なら Google や AWS の 2 段階認証（マルチファクタ認証）を有効にしていると思います。もしパスワードが漏れてしまってもワンタイムパスワードを入力しないと認証されないので安心です。 有名どころのサービスでは使えるところが増えてきましたが、2 段階認証を有効にしていれば万全なのでしょうか。エンジニアである以上、その仕組みを理解したうえで自信を持って安全と言いたいところ。 というわけで、2 段階認証は本当に安全なのか仕様を紐解きながら調べてみました。 ワンタイムパスワードの仕様 ワンタイムパスワードを生成する仕様は HOTP と TOTP の 2 つがあり、RFC の仕様になっています（TOTP はドラフト段階）。 HOTP (HMAC-Based One-Time Password Algorithm) TOTP (Time-Based One-Time P
はてなブックマークボタンが改ざんされマルウェア感染を媒介していた可能性について
昨日、Chromeに突然セキュリティ警告が出た、という記事を書いたのですが、そのセキュリティ警告が出た原因をせっせとたどった結果、はてなブックマークボタンが利用するb.st-hatena.comサーバが改ざんされ、多数のサイトを、マルウェアを配布する状態にしていた形跡があったので、説明します。最初に書いておきますが、10/17現在は改ざんされていない、正規のファイルが取得できる状態です。 ※はてなから、公式発表がありました。記事の最後にその記事についてのことを追記しました。 目次 1. Chromeに出たエラー2. 経緯3. マルウェア配布サイト java-se.com へ接続するまで4. 改ざん内容5. bookmark_button.js の正体は、はてぶボタン用 JavaScript6. Googleセーフブラウジング情報の照合6.1. java-se.com6.2. b.st-ha
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Maintaining digital certificate security
Engadget | Technology News & Reviews
Freedom from tracking.
More Protection from Unwanted Software
TechCrunch | Startup and Technology News
