Ubuntu/自動アップデートさせる - TOBY SOFT wiki
はじめに † 管理作業を少しでも減らそう、ということで Ubuntuを自動アップデートさせたい、という話。 具体的には、../アップデートでやるような作業を自動化させます。 確認環境：（ここでは主にサーバー版） Ubuntu 8.04LTS server i386 Ubuntu 10.04LTS server amd64 デスクトップ版は自動アップデートが機能ついてて通知してくれます(セキュアにするなら更新間隔を狭めておくと吉) サーバー版ではunattended-upgradesパッケージがよいかなーと。 ↑ unattended-upgradesパッケージを使った自動アップデート † インストール時に自動的にセキュリティアップデートを有効にするか求められ、そこで選ぶと unattended-upgrades パッケージがインストールされ、自動的にアップデートがされるようになります。 公
Apache killerは危険～Apache killerを評価する上での注意～
Apacheの脆弱性(CVE-2011-3192)いわゆるApache killerが話題になっていますが、その脅威については一部誤解があるようです。 以下は、非常に脅威とする報告の例です。 一方今回のはプロセスの肥大化を伴うので、実メモリ消費して更にスワップも使い尽くしてOS毎激重になったあげくLinuxとかの場合はOOM Killer発動と、他のプロセスや場合によってはOSを巻き込んで逝ってしまいます。 CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.xより引用 以下は、それほど脅威でなかったとする報告の例です。 pooh.gr.jp は結構頑丈だったので 60 並列でやっと CPU idle 30% まで減らせた。 Apache Killer (CVE-2011-3192) 対策 for CentOS 5
webアプリケーションの脆弱性とは？ - OKWAVE
こんにちは！ 「フォームを勝手にサブミットしてしまう」 その認識でだいたいあってます！たぶん！ そのmixiの例だと、 入力画面 → (送信1) → 確認画面 → (送信2) → 完了 ってなるわけですが、 いくら確認画面が間にあったところで、 (送信2)の部分を「勝手にサブミット」しちゃえばいいわけです。 ※ただし今のmixiや、ちゃんとしたwebサービスは送信時にトークンをつけるとかCSRF対策してるのでできません 実際の攻撃の例としては、mixiやtwitterなどの多くの人が繋がっている投稿型サイトで、 「こんにちはこんにちは！！ このリンク先すごいよ！ http://～」 のような書き込みをしておき、 そのリンク先でformやJavaScript等で「自動的に勝手にサブミット」してしまいます。 画面には何も表示されなくてもかまいません。 そしてさらに勝手に書き込む内容を 「こんに
PlayStation Networkのパスワードを短くした話 | 水無月ばけらのえび日記
公開: 2011年6月1日23時45分頃 PlayStation Networkが復旧したという噂を聞いたので、アクセスしてみることに。 PS3 (www.amazon.co.jp)に記憶させていたパスワードでログインすると、「お客様のパスワードはご利用いただけなくなりました。パスワードを変更する必要があります」と言われて、新パスワード入力画面に。パスワード入力とパスワード確認入力の欄はあるものの、旧パスワードの同時入力がないのが気になりました……が、機器認証済みのPS3からのパスワード変更ならCSRFも関係ないはずです。そこは気にせずにパスワードを入力することにしました。 パスワードの要件は、「英数字を含む8文字以上」と表示されています。8文字あれば良いとはいえ、PlayStation Networkはまだ攻撃者から注目を浴びている状態です。新しいパスワードは、できるだけ長くて強力なもの
Webアプリケーション作った後のチェック表
愛宕山太郎坊 アニメーション制作進行支援ソフト 愛宕山太郎坊 ログイン 会社id ユーザー名 パスワード ユーザー名またはパスワードが正しくありません。 閉じる ログイン
これぐらいやっとけ 〜Linuxサーバのセキュリティ設定〜 - nabeの雑記帳
管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ はてブさんは #の切り分けやめてくれないかな……。 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinS
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
「安全なWebアプリケーションの作り方」を読んでセッションを復習してみた - As a Futurist...
タイトルが長くて略称があれば知りたい感じの「安全な Web アプリケーションの作り方」を暇を見つけて読んでいます。今まであいまいなままだった部分を順を追って説明してくれるので、本当に助かります。Web アプリ作りの初心者は卒業したかなーという人は必ず目を通しておくと良いと思います。 Cookie を用いたセッションについて復習 「HTTP はステートレスで」とかいう話はよく聞きますが、じゃあどうやってセッション管理するのがいいの？って話をよく考えると体系的に聞いたことがなかった！というわけで、この本で文字通り体系的に学び直すことができました。 その中でも、「セッション ID の固定化」という話題はちゃんと分かってなかった部分があったので、こちらのサイトを参考に PSGI なアプリケーションを作ってみました(僕の書いたアプリ自体はその他の脆弱性に溢れていますがｗ)。コードはエントリの最後に。
404 Blog Not Found:これで最低限! - 書評 - 体系的に学ぶ 安全なWebアプリケーションの作り方
2011年10月05日22:30 カテゴリ書評/画評/品評iTech これで最低限! - 書評 - 体系的に学ぶ 安全なWebアプリケーションの作り方 ソフトバンククリエイティブ友保様より献本御礼。 体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践 徳丸浩 [電子版@bookpub.jp] 初出2011.02.24; 2011.10.05 電子版へのリンクを追加 こういう本を待っていた。Web制作に関わる全ての人、必携。 と同時に言っておきたいのは、安全なWebアプリケーションを作るにあたって、本書の内容はあくまで必要条件であって充分条件ではないということ。原理的に。 なぜか。 あなたのWebサイトで何が出来てはならないかは、あなたにしか決められないからだ。 本書「体系的に学ぶ 安全なWebアプリケーションの作り方」は、副題に「脆弱性が生まれる原理と対策
日本語版のAndroidアプリに初のウイルス混入が発覚、注意喚起や見分け方の解説が行われる
昨年末のスマートフォンラッシュにより、日本でも順調に普及し始めているAndroidスマートフォンですが、海外に続いて、ついに日本でもウイルスが混入したアプリケーションが配信されていたことが明らかになりました。 動作は正規のアプリとほぼ同じものであるため、一見しても悪意があるソフトウェアであるのかどうかは分かりづらくなっていますが、見分け方なども解説されています。 なお、上記画像は先日発表されたデュアルコアCPU搭載でタイムラグがほとんど無いマルチタスクなどを実現した超ハイエンドなAndroidスマートフォン「GALAXY S II」です。 詳細は以下から。 Android用マルウェア、日本語版アプリにも混入 - ノートン コミュニティ 日本版 セキュリティソフト「ノートン」シリーズでおなじみのシマンテックの公式ページによると、日本語版アプリで初めてマルウェア（悪意あるソフトウェア、ウイルス
Google's Vulnerability Reward Program - ma<s>atokinugawa's blog
Googleは2010年11月からGoogleのウェブアプリケーションのセキュリティ脆弱性を報告した人に報酬を支払う制度をスタートしました。僕も早速いくつか報告し、以前TwitterでGoogleから$7337頂いたよとつぶやきましたが、あれから新たに$6337の入金があり、今のところこの制度で$13174($1337 × 2 + $1000 × 2 + $500 × 17)を頂いています！ありがとう！ 追記 7337+6337=13674なので入金があったのは$13674($1337 × 2 + $1000 × 2 + $500 × 18)でした。合計を間違えてました。足し算難しい！＞＜+$500！ 修正されたものは情報を公開してもいいとのことなので、報告した中から多少変わったタイプの脆弱性を3つ紹介しようと思います。 <script>タグのsrcを細工することによるXSS こんなページ
# watch -d tail /var/log/ngsw.log» Blog Archive » 有料Webサービス運営者に対しては「疑わしきは罰する」の方向で
NS うさんくさいサービスを回避するためのチェックポイント をみて、大事なことだと思ったので。 ドメイン情報を調べる ANSI Whois Gateway: ドメイン名 / IPアドレス検索サービス 検索してみると運営者情報がわかる。 登録者情報プロテクトというのがあるので、あまり当てにはならないが(レジストラ名をそのまま表示させる仕組み)。 そもそも適当に登録出来るってのもある ドメイン名検索結果: NGSW.JP それでも信頼に値するかしないかの判断は出来るし、直感でちょっとでも「疑わしいな」と思ったら利用しないに限る。その直感だいたい当たりますよ。 サーバ内に同居する他のドメイン名もあぶり出す。 兄弟サイト検索 を Bing経由で同じIPアドレスを持つサイトを検索する「兄弟サイト検索」を公開 同時に名前解決したIPアドレスも教えてくれる。IPアドレスは再利用する。 共用サーバか、
1分でわかる「X-ナントカ」HTTPレスポンスヘッダ - 葉っぱ日記
最近のモダンなWebブラウザがサポートしている、セキュリティに関連しそうな X- なHTTPレスポンスヘッダをまとめてみました。それ以外にもあったら教えてください。 X-XSS-Protection 0:XSSフィルタを無効にする。 1:XSSフィルタを有効にする。 XSSフィルタを有効にすることでエンドユーザがXSSの被害にあう可能性が低減するが、まれに誤検知することで画面の表示が乱れることもある。IE8+、Safari、Chrome(多分) で有効。IEでは「X-XSS-Protection: 1; mode=block」という指定も可能。 2008/7/2 - IE8 Security Part IV: The XSS FilterBug 27312 – [XSSAuditor] Add support for header X-XSS-Protection X-Content-Ty
X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
いや，合ってるよ - たぬきん貧乏日記 〜No Worry, No Hurry. Eat Curry!〜
http://d.hatena.ne.jp/darkwood/20101026/1288098315 外形的にはそう見えることは否定しないけれども。 まず，AD200Xがチャレンジングな企画だったことは挙げておく必要があるかな。当時，日本で情報セキュリティを扱う勉強会は無く，もちろんカンファレンスやセミナーもほとんど無かった，そんな状況下で，DefCon Japan として立ち上がった企画が，AD200Xなのよね。 つまり，blackHatやDefConのような，脆弱性情報や攻撃手法を直接的に扱う試みだった，ということが，まず一点目。 次に，当時はIPAの脆弱性ハンドリングも無く，ようやくマイクロソフトがゼロデイが公表される前にパッチを提供するようになり始めた頃というのも重要。Windows95の頃散々叩かれ，Windows98でWindows Updateを搭載，Windows2000で
Kazuho@Cybozu Labs: XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法 (第１回神泉セキュリティ勉強会発表資料)
発表資料は以下のとおり。春山様はじめECナビの皆様、ありがとうございました。 XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法View more presentations from kazuho.
ヤマト運輸の対応が素晴らしかった
クロネコヤマトモバイルサイトで情報流出があり読売新聞で取り上げたられた件に関し、早速ヤマト運輸で対応が取られ、発表がありました。 携帯版「クロネコメンバーズのWebサービス」クイックログイン機能の脆弱性への対応について｜ヤマト運輸 この対応の素晴らしさは、タイトルでわかります。「脆弱性への対応」と書かれていて、ヤマト運輸のシステム側に不具合があったことを自ら認めて発表しています。 自らのミスを被害者に見せかける「プロの脆弱性対策」を使うのであれば、ここは「スマートフォンのアプリを利用したなりすましによる不正ログインについて」などと発表してもおかしくありません。 今回の件は読売新聞でも「ｉＰｈｏｎｅで人の情報丸見え…閲覧ソフト原因」と報道されているわけで、閲覧ソフトに責任転嫁するのは簡単な状況でした。それでもヤマト運輸は自らシステムの「脆弱性」だと認め、どういう状況で発生したのかまで発表しま
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Macユーザーに贈る、そろそろ入れておくといいアンチウィルス・マルウェアソフト6選 | ライフハッカー・ジャパン
これからの「パスワード」の話をしよう
DoS攻撃への適切な対応、IPAが手引き公開、岡崎市立図書館の事例にも言及 