Dockerでホストを乗っ取られた - Qiita
注意 本件記事ですが、私の不適切な行動（拾ったスクリプトを検証なく走らせる）が原因です。「dockerは（特に何もしなくとも）危険」との誤解を皆様に与えた点、ご迷惑をおかけいたしました。申し訳ございません。 拡散されている記事を削除するのはさらなる誤解を招きかねないと思いましたので、冒頭に注意を付記しております。以下の記事は、「自分が何してるかをきちんと検証できないとセキュリティホールを生み出す」という意味で参考にして頂ければ幸いです。 追記 Twitterやはてブで言及いただきました皆様、ありがとうございます。 本件はpullしてきたイメージが悪意ある開発者によるものかどうかにかぎらず、不適切な設定をしていると起こり得ます。 ※コメント欄に質問への回答という形で、私がそのときに走らせていたイメージの一覧を挙げておりますが、どのイメージも評判あるものだと思います。 皆様におかれましては「あ
【セキュリティ ニュース】クラウド時代の暗号技術を解説した資料を専門家が無償公開（1ページ目 / 全1ページ）：Security NEXT
暗号化技術を解説した「クラウドを支えるこれからの暗号技術」が公開された。githubよりダウンロードできる。 同資料は、おもに2000年以降に登場した暗号技術を中心に紹介するもので、サイボウズ・ラボの光成滋生氏が執筆した。入門書と専門書の中間の位置づけだという。 共通鍵暗号や公開鍵暗号、乱数、デジタル署名、PKIなど基本的な技術の解説にはじまり、2014年に話題を呼んだ「POODLE」や仮想通貨「Bitcoin」で利用されている楕円曲線暗号などにも言及している。 そのほか、「検索可能暗号」「準同型暗号」をはじめ、「プロキシ暗号」「放送型暗号」「IDベース暗号」「ゼロ知識証明」など、従来の暗号にないあらたな技術を紹介している。200ページほどのPDFファイルで、githubよりダウンロードできる。 （Security NEXT - 2015/03/26 ） ツイート
プレス発表 「安全なウェブサイトの作り方 改訂第7版」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、ウェブサイトの開発者や運営者向けの「安全なウェブサイトの作り方」にパスワードリスト攻撃への悪用防止対策等を新たに追加した改訂第7版を2015年3月12日（木）からIPAのウェブサイトで公開しました。 URL：https://www.ipa.go.jp/security/vuln/websecurity.html IPAでは、必要な技術的配慮が不足していたために起こるウェブサイトの情報漏えいや改ざん等、意図しない被害を防ぐため「安全なウェブサイトの作り方」を2006年から発行しており、これまでに6版を数えています。その内容には、IPAへの届出件数が多く攻撃による影響度が大きいソフトウェア製品やウェブアプリケーションに関する脆弱性関連情報を取り上げ、適切なセキュリティが考慮されたウェブサイト作成のためのポイントをまとめています。 7版
マイナンバー制度の法律正案 概要まとまる NHKニュース
政府は「共通番号制度」、いわゆる「マイナンバー制度」を巡って、税の徴収漏れなどを防ぐため、金融機関に対し、個人の預金情報をマイナンバーで検索できるよう管理することを義務づける内容などを盛り込んだ法律の改正案の概要をまとめました。 国民１人１人に番号を割り振る「共通番号制度」、いわゆる「マイナンバー制度」の運用が来年１月から始まるのを前に、政府は今の国会に、制度の効率性や利便性を高めることを目的とした、いわゆる「マイナンバー法」の改正案を提出することにしていて、このほど、その概要をまとめました。 それによりますと、税の徴収漏れや生活保護の不正受給を防ぐため、金融機関に対して、預金残高など個人の預金情報をマイナンバーで検索できるよう管理することを義務づけるとしています。 また、風しんなど法律に基づく予防接種の履歴や、特定健康診査、いわゆる「メタボ検診」の結果などを、マイナンバーを活用することで
アンチウイルスソフトウェアの脆弱性
Breaking av software 市場に出回っているアンチウイルスソフトウェアの脆弱性についての研究発表のスライド資料が公開されている。 アンチウイルスソフトウェアは、セキュリティ向上のために重要だという意見があるが、このスライド著者は疑問を投げかけている。そもそも、ソフトウェアの追加は、攻撃できる箇所が増えるということだ。アンチウイルスソフトウェアは果たしてセキュアに作られているのか。 特に、多くのアンチウイルスソフトウェアは、カーネルドライバーを使ったりしている。もし脆弱性があればとんでもないことだ。 アンチウイルスソフトウェアの攻撃手段としては、細工されたファイルフォーマットをスキャンさせる事が大半だ。アンチウイルスソフトウェアは、様々なフォーマットのファイルをパースする必要がある。もし、そのパーサーにバッファーオーバーフローなどの不具合があれば任意のコードを実行させることが
第7回 いまさらながらクロスサイトスクリプティングの基礎の基礎 | gihyo.jp
今回はWebアプリケーションを作ったことがない方でも分かるようクロスサイトスクリプティング脆弱性を解説します。 クロスサイトスクリプティングとは？ 初めてクロスサイトスクリプティングと聞いて、どのような問題なのかすぐに理解できる人はいないと思います。サイトAに記述されたJavaScriptプログラムがサイトB上で実行されるために発生することが問題とされたので、「サイト間をまたがるスクリプトの実行」問題として、クロスサイトスクリプティング（XSS）と名前が付けられました。この命名では直感的に分かりづらい、サイト間にまたがらずHTMLメールなどにJavaScriptを挿入する攻撃でも同じ効果が得られることから、「JavaScriptインジェクション」とも呼ばれるようになっています。 図1 簡単なクロスサイトスクリプティング 例1 簡単な直接攻撃 掲示板サイトに投稿されたデータをエスケープ処
TechCrunch | Startup and Technology News
Monzo has announced its 2024 financial results, revealing its first full-year pre-tax profit. The company also confirmed that it’s in the early stages of expanding into the broader European market… Last week, TechCrunch paid a visit to Apple’s Austin, Texas manufacturing facilities. Since 2013, the company has built its Mac Pro desktop about 20 minutes north of downtown. The 400,000 square foot fa
AWSのセキュリティが気になるなら読んでおくべきAWSセキュリティのベストプラクティス - yoshidashingo
cloudpackエバンジェリストの吉田真吾（@yoshidashingo）です。 昨日、DevLOVE現場甲子園2014東日本大会に参加して現場目線でのAWSセキュリティあるある的な話をして来ました。 その際にAWSのセキュリティ全般について知りたい場合に何を読めばいいか質問されたので、こちらで紹介しておきたいと思います。 AWSセキュリティセンター 1. AWSセキュリティ概要 ストレージデバイスの廃棄**の章では、ストレージデバイスが製品寿命に達した場合に、DoD 5220.22-M または NIST 800-88 に記載されている技術を用いてサニタイズを行ってから廃棄されるということが書かれています。 2. AWSセキュリティのベストプラクティス AWSの共有責任モデルを知る (1) Infrastructure servicesにおける共有責任モデル (2) Container
piyolog
2024年5月28日、生成AIを使用したマルウエアを作成した容疑で警視庁が男を逮捕したことが報じられました。ここでは関連する情報をまとめます。 対話型生成AIを使用しランサムウエアらしきものを作成 男の容疑は不正指令電磁的記録作成。2023年3月31日に自宅PCやスマートフォンを使用して、対話型生成AIを使用し、不正プログラムの設計情報を組み合わせてマルウエアを作成した疑い。2024年3月に警視庁は男を偽造身分証を使用してSIMカードの不正契約を行ったなどとして詐欺容疑（今回の事案とは別件）で逮捕しており、*1 捜査より自宅から押収されたPCを解析したところマルウエアが発見された。*2 生成AIを使用したマルウエア作成の事案摘発は全国で初めてとされる。*3 男が作成したマルウエアは、実行環境のデータを破壊（暗号化とも報道）し、暗号資産の要求をする機能が含まれており、いわゆるランサムウエアに
IE 6～11に未解決のゼロデイ脆弱性、Microsoftがアドバイザリ公開
米MicrosoftのInternet Explorer（IE）6～11に未解決の脆弱性が見つかった。Microsoftは4月26日（現地時間）、この脆弱性に関するアドバイザリーを公開し、注意を呼び掛けている。 対象となるのはほぼすべてのWindows OS（Windows 8.1、Windows Server 2012 R2などを含む）上のIE。なお、MicrosoftはWindows XPのサポートを終了している。 米セキュリティ企業のFireEyeは、この脆弱性を利用した攻撃を確認した。同社が「Operation Clandestine Fox」と名付けたこの攻撃の対象はIE 9～11という。 脆弱性は、削除されたメモリや適切に割り当てられていないメモリ内のオブジェクトにIEがアクセスする方法に存在する。悪用された場合、多数のユーザーが利用する正規のWebサイトを改ざんしたり、ユーザ
CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ - めもおきば
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
グーグルが収集しているユーザーデータの秘密／グーグルのダークサイド?（前編） | Moz - SEOとインバウンドマーケティングの実践情報
グーグルは、何といってもデータ企業だ。グーグルはかつて、公平な競争の場で、一般に公開されているデータを競合相手よりも巧みに利用することを武器として戦った。そうすることで、空前の大成功を収めたんだ。 Web 2.0の時代に入ると、ハードディスク、プロセッサ、通信帯域、果ては労働力まで、比較的安価に入手できるようになった。そのおかげで、検索分野への参入障壁は急激に低くなった。競合相手がグーグルに追い付き始め（MSN画像検索とか）、新規参入者も現れる（Cuill）に至って、グーグルは、何らかの優位性を探し求めている。 インターネット上のコンテンツについては、誰もがほぼ対等にアクセスできるようになったから、先行している企業はあの手この手で個人データを入手しようとしている。検索エンジンにとっていちばん費用効率がいいのは、すでに自社のサービスを利用しているユーザーからデータを集めることだ。グーグルは、
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
暗号技術入門-秘密の国のアリス : 本
他人事ではないWebセキュリティ
OAuth/OpenID Connectを用いてID連携を実装するときに気を付けること #yapcasia
ScanNetSecurity [国内最大級の情報セキュリティ専門ポータルサイト]![ScanNetSecurity [国内最大級の情報セキュリティ専門ポータルサイト]](https://cdn-ak-scissors.b.st-hatena.com/image/square/4b0eb0f01f1697264902f5951f5ea9612e7f0375/height=288;version=1;width=512/https%3A%2F%2Fscan.netsecurity.ne.jp%2Fbase%2Fimages%2Fimg_ogp.png)
AWSのセキュリティについて
OSセキュリティチュートリアル
メールの暗号化 - とみたまさひろ - Rabbit Slide Show
セキュリティ、個人情報の最新ニュース：Security NEXT