日本経済新聞の電子版。日経や日経BPの提供する経済、企業、国際、政治、マーケット、情報・通信、社会など各分野のニュース。ビジネス、マネー、IT、スポーツ、住宅、キャリアなどの専門情報も満載。
![ネットバンクに新手被害 ログイン→自動で不正送金 14年初確認 - 日本経済新聞](https://cdn-ak-scissors.b.st-hatena.com/image/square/0e3c5e614e8acdad43d69cde8f3e93836e869a85/height=288;version=1;width=512/https%3A%2F%2Fwww.nikkei.com%2F.resources%2Fk-components%2Frectangle.rev-d54ea30.png)
まずは以下のサンプルをご覧ください。サーバーはWindowsで、内部・外部の文字エンコーディングはUTF-8です。UTF-8のファイル名を外部から受け取り、Windowsなのでファイル名をShift_JISに変換してファイルを読み込んでいます。basename関数を通すことにより、ディレクトリトラバーサル対策を施しています。 <?php header('Content-Type: text/plain; charset=UTF-8'); $file_utf8 = basename($_GET['file']); $file_sjis = mb_convert_encoding($file_utf8, 'cp932', 'UTF-8'); $path = './data/' . $file_sjis; var_dump($path); readfile($path); しかし、ディレクトリト
米Googleは2月10日(現地時間)、「Safer Internet Day」を記念して、Googleアカウントの「セキュリティ診断」をするだけでGoogleドライブ2Gバイト分を無料で提供するキャンペーンを開始すると発表した。 上記のリンク先からGoogleアカウントにログインし、数ステップの確認作業をするだけで、Googleドライブに2Gバイト追加される。この作業で無料ストレージがもらえるのは2月17日までだ。 セキュリティ診断では、アカウント復旧に必要な登録情報の確認、最近のアクティビティ、同じアカウントで使っているAndroidやChromecastなどを含むすべての端末や登録しているアプリの権限などを確認していく。 セキュリティ診断完了後すぐにGoogleドライブが増量されるわけではなく、今月末までに自動的に追加される見込みだ。この追加分は、QuickOfficeやChrome
「GHOST」の正体見たり枯れ尾花? 名前には踊らされなかったセキュリティクラスター:セキュリティクラスター まとめのまとめ 2015年1月版(1/3 ページ) 2015年1月「GHOST」が登場します。名前の付いた脆弱性で、任意のコードが実行できるとあって大変なことになる……しかし、セキュリティクラスターは淡々と対応していたようです。 連載目次 2015年1月のセキュリティクラスターは、しばらくお正月休み明けののんびりした雰囲気が続いていましたが、半ばくらいから活発になってきました。まず、脆弱性のあるサイトを構築した業者に賠償金を支払う判決について、活発な意見が交わされます。そして同時期に平行して、みずほ銀行を発端とした銀行WebサイトのSSLについての議論が行われました。首都大学東京が世界に向けて成績データを公開していたことが明らかになり、みんなにあきれられるという事件も。 そして1月
Apacheの設定をディレクトリ単位で制御するためのファイル「.htaccess」。管理者だけではなく一般ユーザーにとってもお馴染みのファイルですが、急に設定を変更しようとしても、書き方を忘れてしまってすぐには出来ないという方も多いかもしれません。 「.htaccess Snippets」はそのようなときに参照したい便利な設定集です。有用な.htaccessの設定が、やりたいこと別に簡潔にまとめられています。覚えておけばいざというときに役に立つこと間違いないと思われます。 見慣れた設定も確認できる .htaccess Snippetsの内容は、リライト / リダイレクト、セキュリティ、パフォーマンス、その他に大別されていて、例えばセキュリティカテゴリの中では、アクセス制御の書き方などが説明されています。 全て禁止で一部許可する場合。 Order deny, allow Deny from
Anonymousが「オペレーションISIS」を展開し、「ISIS(イスラム国)」のWebサイトやアカウント、電子メールをダウンさせて暴露すると宣言した。 ハッカー集団Anonymousを名乗る声明が2月8日付でYouTubeやPastebinに掲載され、過激派組織の「ISIS」(イスラム国)が使っていたTwitterなどのアカウントをダウンさせたと宣言した。今後も攻撃を続けると予告している。 声明では、AnonymousのRedCultチームが「オペレーションISIS」を展開し、ISISのWebサイトやアカウント、電子メールをダウンさせて暴露すると宣言。攻撃の標的とした膨大な数のTwitterアカウントやメールアドレスなどを列挙した。 さらにISISとの接触が疑われるというFacebookのアカウント一覧も公開し、監視を呼び掛けている。 一覧の中には、「若者をシリアでの戦闘に送り込んでい
SQLインジェクション対策は非常に簡単です。しかしブラウザに対する「スクリプトインジェクション」はなかなか無くなりません。スクリプトインジェクションが無くならない10の理由をあげてみます。 複雑な攻撃経路と対策 前回紹介したように、ブラウザに対するスクリプトインジェクション攻撃の経路は3種類あります。エスケープ方法も数種類あります。すべての出力を完全にエスケープできればセキュリティ維持も容易になりますが、タグや属性を出力したい場合もあるため、必ずしもすべての出力をエスケープできるわけではありません。さらに攻撃手法にも、サイトをまたがった攻撃、直接攻撃、間接攻撃などパターンがあります。エスケープできないデータへの不正なスクリプトの挿入を防ぐには、データの起源までさかのぼり安全性を確保しなければなりません。ブラウザに対するスクリプトインジェクション対策はデータベースサーバへのSQLインジェクシ
photo by mortimer? いつからだろうか。 カメラで撮った写真を気軽にネットにアップできるようになったのは。 携帯にカメラがついたころから、素人でも自分の撮影した写真を多くの人の目に触れさせることが容易になった。 それは今も継続してさらに発展中である。 iPhoneに搭載されているカメラはあっという間に進化して、一昔前のコンパクトデジカメを凌駕するような写真が気軽に撮れるようになっている。 そうなるとカメラ知識があまり無い人も写真を撮ってネット上にアップすることになる。 デジカメで撮影した写真にはExif情報が格納されている。 撮影日時だけでなく、シャッタースピードや絞りの数値、ISO感度等、後から見返す際にとても重要な情報が残されている。 写真とは光をどれだけ映像素子に取り込んだかということで結果が出る。 撮った写真がなぜこのような結果(写り)になったのかというのはExif
GHOST脆弱性について、コード実行の影響を受けるソフトウェアとしてEximが知られていますが、PHPにもgethostbynameという関数があり、libcのgethostbyname関数をパラメータ未チェックのまま呼んでいます。そこで、PHPのgethostbynameを用いることでPHPをクラッシュできる場合があるのではないかと考えました。 試行錯誤的に調べた結果、以下のスクリプトでPHPをクラッシュできることを確認しています。CentOS6(32bit/64bitとも)、Ubuntu12.04LTS(32bit/64bitとも)のパッケージとして導入したPHPにて確認しましたが、phpallで確認した限りPHP 4.0.2以降のすべてのバージョンのPHPで再現するようです。なぜかPHP 4.0.0と4.0.1では再現しませんでした。 <?php gethostbyname(str_
世界中のジャーナリストやセキュリティ関連に敏感な人、さらにはエドワード・スノーデン氏のような内部告発者までもが使用している、無料のメール暗号化ソフトウェアが「GNU Privacy Guard(GPG)」です。この暗号化ソフトを1997年からたった一人で開発してきたのがヴェルナー・コッホ氏で、彼が置かれている厳しい現状をProPublicaが明かしています。 The World’s Email Encryption Software Relies on One Guy, Who is Going Broke - ProPublica http://www.propublica.org/article/the-worlds-email-encryption-software-relies-on-one-guy-who-is-going-broke ソフトウェアエンジニアのコッホ氏がGPGの開
Facebookで流行中の恐いマルウェアにご注意!2015.02.05 23:00 scheme_a Facebookを多用する方、要注意! そもそもFacebookに出てくる不審なリンクなんてクリックしない方がいいに決まってるのですが、ここ最近、クリックすべきでない理由が更に増えました。先日、ポルノ関連のマルウェアに、たった二日で11万人のFacebookユーザーが感染してしまったそうです。 このマルウェアは、Flashアップデートを偽装しています。例えば、友人の投稿したポルノ動画をクリック(する事自体がおかしいのですが)すると、YouTubeかそれに類似したサイトに飛び、ビデオの最初の数秒が再生されます。その後ビデオが止まり、続きを観るにはFlashをアップデートするよう警告が表示され、そのアップデートをインストールすると、キーボードとマウスを乗っ取るトロイの木馬に感染してしまうのです
東芝、暗証番号入力失敗でデータ破壊するUSBメモリを米国発売2015.02.05 18:00 湯木進悟 東芝やるじゃん~。 スマホをかざすだけで中身が見れちゃうNFC搭載SDカードなど、このところ尖がった製品発表が光る東芝の米国法人「Toshiba America Information Systems」から、今度はセキュリティおよびデータ保護性能が大幅に向上する新USBメモリが発売されました。 本体に0から9までのPINコード入力キーを物理的に搭載している、この新たなUSBメモリは、暗証番号の入力認証を突破しない限り、中のデータを参照することができない仕組みになっていますよ。万が一、何者かが間違った暗証番号を入力し続けると、10回の認証失敗と同時に「Brute Force Hack Defense Mechanism」が起動し、USBメモリ内のデータは完全破壊される万全のセキュリティが備
いろいろと原則論はあるんですが。昨今のアプリケーションは複雑化し、扱う情報はよりセンシティブになり、そしてより幅広く使われるようになっています。よって「安全な」アプリケーションを作るために必要な知識はますます増える傾向にあります。 よく分かってない人は以下のことにとりあえず気をつけましょう 1. なるべく自分で作らない これは最も重要なことです。検索する、他人に聞く、自分で考えない。これは重要です。大抵の問題は他人が作ってくれた解決策を適用できます。 例えばセキュアな問合せフォームを作ることにしましょう。気をつけるべきことは以下のことぐらいでしょうか。 送信内容の確認画面を表示する場合、ユーザーの入力した値は適切にエスケープするように 送信内容をアプリケーションの DB に格納する場合には SQL インジェクションを防がなければならないので、プリペアドステートメントを用いる CSRF 対策
Googleアカウントに限らず、オンラインサービスのアカウントには重要かつプライベートな情報が保存されることがよくある。それにこっそり何者かがアクセスして情報を抜き出している、という事態は誰しも避けたいところだ。 本Tech TIPSではGoogleが提供しているセキュリティ対策機能を利用して、何者かが自分のGoogleアカウントにアクセスしていないか、その痕跡をエンドユーザーでも洗い出せる方法を紹介する。絶対に確実とはいえないが、調べないで放置しておくよりはるかに安全だろう。小まめにチェックしていれば、不正アクセスの「前兆」に気付く対策としても役立つはずだ。 まずはWebブラウザを開いて、対象のアカウントでGoogleにログインしておく。特記しない限り、Webブラウザを使うマシンはWindows/Mac/LinuxなどのPCでも、Android/iPhoneといったモバイルデバイスでも、
「不正な入力に対して脆弱性を発生させないようセキュリティ対策としてバリデーションを行う」。アホか。プログラマならセキュリティ対策とか気にするな。いや、気にするなというのは言い過ぎだけれど、ほとんどの場合においてあなたの書くコードはセキュリティ対策の必要性はない。 攻撃者の細工した入力によってSQL/HTML/JavaScriptが壊れるとかバッファオーバーフローが発生するとか、そういった脆弱性と呼ばれるほとんどのものはただのバグだ。セキュリティ対策っていうのはコードとは切り離された領域で行うDEPだったりASLRだったりX-Frame-OptionsだったりCSPだったりiframe sandboxだったり、そういうものがセキュリティ対策だ。コード上で書くのは「アプリケーションとして正しく動作するための処理」だけだ。 もちろん例外もあるかもしれないけど、それはあくまでも例外だ。日常的に書く
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く