【雑記】セキュリティガイドライン類 約300時間 読み漁ってみた - 2LoD.sec
23年3月末から勉強時間をガイドライン類の読み込み＆ブログ執筆にあてて7カ月が経ちました。 特に良い区切りでもないのですが、ここらで一度振り返りたいと思います。 なんで読み始めたの？ どれだけ何を読んだの？ 色々読んでどうだった？ 1. 自分の発言に根拠と自信を持てる 2. 未経験の技術テーマでも取り扱いやすくなる 3.トレンドやビッグテーマが分かる おすすめのガイドライン類は？ なんで読み始めたの？ 今更の自己紹介ですが、私は所属組織の中で3 Line of Defenseにおける2nd Lineにおり、セキュリティの戦略立案、強化施策の推進、あるいは新しい技術を利用する際のルール作りを主に担っています。 プログラム開発、サーバ、ネットワーク、クラウド、API、コンテナ、AI、様々な技術テーマがある中で、そのすべてにセキュリティは強く関わります。そして、セキュリティ担当は、現場から上記の
ECDHE cipher suites not supported on OpenJDK 8 installed on EC2 Linux machine
When starting jetty-distribution-9.3.0.v20150612 with openjdk 1.8.0_51 running on an EC2 Amazon Linux machine, is prints that all configured ECDHE suites are not supported. 2015-08-12 16:51:20 main SslContextFactory [INFO] Cipher TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 not supported 2015-08-12 16:51:20 main SslContextFactory [INFO] Cipher TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 not supported
How to use ECC with OpenJDK
Everyone who ever tried to use Elliptic Curve Cryptography (ECC) in Java with an OpenJDK was either forced to use Bouncy Castle or fumble with the SunEC provider. The SunEC provider offers the following algorithms according to the documentation (quote): AlgorithmParameters EC KeyAgreement ECDH KeyFactory EC KeyPairGenerator EC Signature NONEwithECDSA SHA1withECDSA SHA256withECDSA SHA384withECDSA S
自堕落な技術者の日記 : 「RFC 7525 TLSとDTLSの安全な利用に関する推奨事項」の公開 - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 2015年5月7日に「RFC 7525 TLSとDTLSの安全な利用に関する推奨事項(Recommendations for Secure Use of Transport Layer Security (TLS) and Datagram Transport Layer Security (DTLS))」が公開されました。 昨年あたり、SSL/TLSで使われる暗号アルゴリズム、プロトコルや実装にいろいろな問題が見つかり、製品をそのままデフォルトで使っているとロクなことが無いわけですが、どんなことに注意しながら実装や設定をしなければならないかをベストカレントプラクティス(現時点での最良の慣行)としてまとめたRFCだそうです。 最近、SSL/T
TLS暗号設定ガイドライン 安全なウェブサイトのために（暗号設定対策編） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
クラウドを支えるこれからの暗号技術
zk-SNARKs are zero-knowledge succinct non-interactive arguments of knowledge that allow a prover to convince a verifier of a statement without revealing details. They work by converting a function and its inputs/outputs into a quadratic arithmetic program (QAP) represented as polynomials. This allows a verifier to efficiently check a proof generated by the prover using techniques like Lagrange int
HTML5 Security - OWASP Cheat Sheet Series
HTML5 Security Cheat Sheet¶ Introduction¶ The following cheat sheet serves as a guide for implementing HTML 5 in a secure fashion. Communication APIs¶ Web Messaging¶ Web Messaging (also known as Cross Domain Messaging) provides a means of messaging between documents from different origins in a way that is generally safer than the multiple hacks used in the past to accomplish this task. However, th
oss-security - Qualys Security Advisory CVE-2015-0235 - GHOST: glibc gethostbyname buffer overflow
Follow @Openwall on Twitter for new release announcements and other news [<prev] [next>] [thread-next>] [day] [month] [year] [list] Date: Tue, 27 Jan 2015 08:29:36 -0800 From: Qualys Security Advisory <qsa@...lys.com> To: oss-security@...ts.openwall.com Subject: Qualys Security Advisory CVE-2015-0235 - GHOST: glibc gethostbyname buffer overflow Qualys Security Advisory CVE-2015-0235 GHOST: glibc g
5分でわかる正しい Web サイト常時 SSL 化のための基礎知識
Web サイトを常時 SSL 化する場合に、最低限知っておかなければならない知識や、注意点、実際の設定方法まで、ひと通りまとめてみました。メリットやデメリット、証明書の種別からリダイレクト設定などについても解説しています。 HTTPS をランキングシグナルに使用しますと Google が公式に発表したあたりから、Web サイトの SSL 対応、特に Google が推奨している Web サイトをすべて HTTPS で配信する、所謂 「常時 SSL 化」 についての話を聞いたり、実際にお客様から相談されたりするケースが増えてきました。 そこで、いい機会だしその辺に関する情報をまとめておこうかな～ と思って書いてみた、恒例の （？） 5分でわかるシリーズ。書き終わって見たところ絶対に 5分じゃ無理っていう文章量になっててどうしようかなぁとも思ったんですが、気にせず公開してみます。 常時 SSL
IPA ISEC セキュア・プログラミング講座：C/C++言語編 第10章 著名な脆弱性対策：コマンド注入攻撃対策
第10章 著名な脆弱性対策 コマンド注入攻撃対策 C言語にはその内部でシェルを呼び出してコマンドを実行できる system()、popen() 等のライブラリ関数が備わっているが、これらを使う場合、コマンド注入攻撃への対策が必要である。 シェル シェルは、Unix, GNU/Linux で使われるコマンド解釈実行プログラムである。 シェルはユーザが指定したプログラムを単に起動するのみならず、ファイル入出力のリダイレクト、複数コマンドの組み合わせ実行、パイプ、変数、条件分岐、ループ等プログラミング機能をも含む強力なツールである。 Unix OSの歴史とともに、かつては様々な種類やバージョンのシェルが使われてきたが、最近は bash と呼ばれるシェルが使われることが多い。GNU/Linux においても同様である。 コマンド注入攻撃は、プログラムが外部からの入力を組み入れてシェルコマンド文字列を
BeEF - The Browser Exploitation Framework Project
What is BeEF? BeEF is short for The Browser Exploitation Framework. It is a penetration testing tool that focuses on the web browser. Amid growing concerns about web-borne attacks against clients, including mobile clients, BeEF allows the professional penetration tester to assess the actual security posture of a target environment by using client-side attack vectors. Unlike other security framewor
AVTOKYO2013.5 まとめ
matsuu @matsuu おー。面白いかも / “ベイジアンネットワークによるウェブ侵入検知 金床 AVTokyo 2013.5” http://t.co/sTza8VFnk2 2014-02-18 22:55:52 Typhon(ﾃﾎﾟ)/ShunYoshie✡1129reInventUGMixer @Typhon666_death #codeblue_jp AVTOKYOとCODE BLUEで三日間セキュリティイベントでれて、よーございやした！あとは自分と会社と世間にどうフィードバックしていくかですね。 講演関係者さん、参加者さん、フォローしていただいた方、名刺交換していただいた方、お疲れ様でした！ 2014-02-18 22:19:05
セキュリティチェックで使ったりするもの - natural days
最近なぜかアプリ・サーバ周りのセキュリティ周りでチェックをする事が多く、面倒なので書いておく。多くの人にとって普通の事だと思うから、あんまり参考にならないかも知れないけど悪用はダメよ。 まずはiPhoneで。脱獄するのは面倒なので、さくっとアプリのデータとかを書き換える。・使うもの：iTunes、iBackupBot、SQL Lite Data Browserとか・手順1. iTunesでiPhoneのバックアップをとる2. バックアップファイルをiBackupBotで閲覧する。以下のような感じ。3. アプリがcocos, lua, unity ... とかで作られていたりという事が分かったりします。中身のDBがSQLite、pfileとかなら直接編集してデータ、ライブラリ等を書き換える事ができたりする。4. 対象アプリのデータを編集し終わったら、iTuneでバックアップの復元を実行する。
OSセキュリティチュートリアル
2. Quiz セキュリティ技術と実装名を関係づけよ。 セキ リテ 技術と実装名を関係づけよ 注：１対１対応でないよ。 • • • • • • • • DEP ASLR Code Signing Code Signing Sandbox Access Control Encrypt Storage Encrypt Storage Integrity Check Trusted Computing • • • • • • • • SELinux Tripwire Ti i Exec Shield W^X TrouSerS T S S BitLocker Jail PAX 3. Quiz セキュリティ技術と実装名を関係づけよ。 セキ リテ 技術と実装名を関係づけよ 注：１対１対応でないよ。 • • • • • • • • DEP ASLR Code Signing Code Signing S
Hakipedia - Hakipedia
Who Are We The Hakipedia collaborative is an endeavor aimed to centralize information and articles in regard to the different layers of the hacking sub-culture. The idea that is Hakipedia was spawned by a lack of readily available information in the security field, and the fact that to obtain any information in said field, one would have to visit many locations and spend more time than necessary s
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
Firefox 3.6に潜むチャイナリスク、その回避策
Firefox 3.6のルート証明書にはチャイナリスクが潜んでいます。本記事では、その詳細と回避方法を説明します。(Firefox 2、Firefox 3.5にも同様のリスクがあるようです) そもそも、チャイナリスクとは経済成長著しい中国に見られる一連の危うさを表した言葉で、政治、経済、環境と、あらゆる問題で叫ばれています。今回、Firefoxに噴出したチャイナリスクは、これらの中でもセキュリティリスクに該当する事柄です。 Firefoxのルート証明書には2009年10月からCNNICが登録されており、この機関から発行された証明書をウェブサイトで常に信頼する設定にされています。しかし、度重なる中国への不信感から、この証明書を削除して欲しいとの要望が噴出しました。 Bug 542689 - Please remove CNNIC CA root certificate from NSS (
Oracle Java SE Critical Patch Update Advisory - April 2013
Description A Critical Patch Update is a collection of patches for multiple security vulnerabilities. The Critical Patch Update for Java SE also includes non-security fixes. Critical Patch Updates are cumulative and each advisory describes only the security fixes added since the previous Critical Patch Update and Security Alert. Thus, prior Critical Patch Update and Security Alert advisories shoul
Critical Patch Updates and Security Alerts
This page lists announcements of security fixes made in Critical Patch Update Advisories, Security Alerts and Bulletins, and it is updated when new Critical Patch Update Advisories, Security Alerts and Bulletins are released. Instructions for subscribing to email notifications of Critical Patch Update Advisories and Security Alerts. Oracle Corporate Security Blog Guidelines for reporting security
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Java 暗号化アーキテクチャー (JCA)