パスワードの定期変更という“不自然なルール”
しばしば「パスワードは○日ごとに変更しましょう」といわれるけれど、それで本当にクラックの危険性は減るの？ ペネトレーションテストの現場から検証します（編集部） ※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、アンチウイルスソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。また、本記事を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 今回は久しぶりに、ペネトレーションテストの現場の話から始めよう。 ペネトレーショ
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
WEBプログラマー必見！WEB脆弱性基礎知識最速マスター - 燈明日記
以下は、WEBプログラマー用のWEB脆弱性の基礎知識の一覧です。 WEBプログラマーの人はこれを読めばWEB脆弱性の基礎をマスターしてWEBプログラムを書くことができるようになっているかもです。 また、WEB脆弱性の簡易リファレンスとしても少し利用できるかもしれません。 WEBアプリケーションを開発するには、開発要件書やプログラム仕様書通りに開発すれば良いというわけにはいきません。 そう、WEB脆弱性を狙う悪意のユーザにも対処しないといけないのです。 今回、WEBアプリケーションを開発にあたってのWEB脆弱性を、以下の一覧にまとめてみました。 このまとめがWEBアプリケーション開発の参考になれば幸いです。 インジェクション クロスサイト・スクリプティング セッション・ハイジャック アクセス制御や認可制御の欠落 ディレクトリ・トラバーサル(Directory Traversal) CSRF（
Java Cryptgraphy
Javaで暗号化・復号化を行う方法についてお話します． また，JDk1.4から標準となるSSL, JAAS等についても お話していきます． Javaでは，標準で暗号化を行うことができません． （JDK1.4からは標準でできるようになります．） しかし，オプションとして暗号化を行うためのツールがあります． それがJCEと呼ばれるものです． JCEをインストールすることにより，暗号・復号化簡単に行えます． 行える暗号化アルゴリズムは，DESなどの共通鍵暗号です． JavaでRSA等の暗号化を行うために，SUNではないところのツールを使う 必要があります． Bouncy Castleの利用 JCSIでは、最近評価版の提供となっているため、 今回は、Bouncy Castleと呼ばれるものを利用します。 Bouncy Castle に行き、Provider Jarファイルを入手 入手したJarファ
bouncycastle.org
Latest Java Releases Release 1.77 is now available for download. 1.77 is primarily about keeping the Post-Quantum Cryptography (PQC) implementations in order. The PQC algorithms Kyber, Dilithium, and SPHINCS+ have been updated in line with the latest drafts for FIPS PUB 203, FIPS PUB 204, and FIPS PUB 205 respectively and additional interop testing (with grateful thanks to the participants in the
Cisco Aironet の無線セキュリティに関する FAQ – テクニカルサポート – Cisco Systems
ワイヤレス / モビリティ : Wireless LAN（WLAN） Cisco Aironet の無線セキュリティに関する FAQ 質問 概要 一般的な FAQ トラブルシューティングと設計に関する FAQ NetPro ディスカッション フォーラム - 特集対話 関連情報 概要 このドキュメントでは、Cisco Aironet の無線セキュリティに関して最もよくある質問（FAQ）について説明します。 一般的な FAQ Q. 無線セキュリティの必要性は何ですか。 A. 有線ネットワークでは、データはエンド デバイス間を接続するケーブル上にあります。 しかし、無線ネットワークでは、RF 信号をブロードキャストすることにより、データを空間で送受信します。 WLAN で使用しているブロードキャストの性質により、データにアクセスまたはデータを破壊しようとするハッカーや侵入者からの大き
» セキュアなサーバを作るために最低限やっておくこと: エスキュービズム ラボ Blog
Recent Entries セキュアなサーバを作るために最低限やっておくこと Yahooキーワード抽出APIライブラリ テスト駆動開発 （test driven development: TDD） のすすめ GoogleAnalyticsAPI on EC-CUBE 土日で作るコンパイラ OPEN ERPに挑戦３ OPEN ERPに挑戦２ OPEN ERPに挑戦 ERPはたくさんあれど・・・ OpenGLで3D、やってみよう Recent Comments No Responses. Recent Trackbacks テスト駆動開発 （test driven development: TDD） のすすめ 06/11 » Yahooキーワード抽出... みなさんはサーバを管理するときに、何を一番気にしますか？ 人によって程度の差はあるのでしょうが、誰もが気になるのが「セキュリティ」でしょ
Wizard Bible vol.45 (2009,3,5)
[-]=======================================================================[-] Wizard Bible vol.45 (2009,3,5) [-]=======================================================================[-] x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0x x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0x ---- 第0章：目次 --- x0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0xx0xXx0
あなたのLinuxマシンをセキュアにするために知っておくべきiptablesのルール10選
文：Jack Wallen（Special to TechRepublic） 翻訳校正：村上雅章・野崎裕子 2009-03-03 08:00 iptablesをマスターするには時間がかかるものの、セキュリティに関する基本的なニーズを満たすことのできるいくつかのルールを知っておくだけで、あなたのLinuxシステムのセキュリティを向上させることができる。本記事では、その手始めとなる重要なルールを解説する。 iptablesは、Linuxマシンをセキュアにするための強力なツールだ。とは言うものの、その機能の多さには圧倒されてしまいがちである。そして、コマンドの構造をしっかりと理解し、マシンのどの部分をどのようにセキュアにすべきかを把握した後であっても、ややこしいことに変わりはない。しかし、iptablesの良いところは、極めて広いその適用範囲にある。このため、iptablesのルールのいくつかを
簡単にVPNを構築できるツール、tinc | OSDN Magazine
tinc を使えば、仮想プライベートネットワーク（Virtual Private Network：VPN）を構築できる。VPNでは、2台のコンピュータがインターネットのような安全でないネットワークを介して通信するが、仮想ネットワーク上のホスト間のトラフィックはすべて暗号化される。 tincは、ノートPCを自宅のWi-Fi（無線LAN）ルータに接続する場合にも使える。すでにWPA2を利用して、正当なホストしか無線LANルータに接続できないようにしているかもしれない。だが、無線LANに接続するノートPCに固定アドレスを割り当てることはできないだろう。そのため、ノートPC自体のSSHデーモンに接続したり、ノートPC上のNFS共有フォルダにアクセスしたりするには、無線LANルータがそのノートPCに割り当てたIPアドレスを割り出さなければならない。だが、ノートPCと自宅のサーバでtincを起動してお
TrueCryptで、Dropboxをもっと“セキュア”に使う - ITmedia Biz.ID
第21回 TrueCryptで、Dropboxをもっと“セキュア”に使う：“PCで仕事”を速くする Dropboxは便利なオンラインストレージサービスだが、ファイルをオンラインにも置くことになるので、どうしてもセキュリティが気になる。そこで、暗号化ドライブ作成ソフトTrueCryptと組み合わせてセキュアに使ってみよう。 Dropboxといえば、（1）差分だけをほぼリアルタイムに高速バックアップ （2）複数のPC（MacもWindowsもLinuxも）でファイルを自動同期 （3）履歴自動保存で上書きしたファイルも復活可能 といった特徴を持つオンラインストレージサービス（こちらの記事参照）。年額99.99ドルで50Gバイト、2Gバイトなら無料で利用が可能だ。 しかしデータをオンラインにも置くことになるため、利用に当たってはそのセキュリティが気になる人もいるだろう。IDとログインパスワードだけ
窓の杜 - 【NEWS】MS製ネットワーク解析ツール「Microsoft Network Monitor」v3.2が公開
米Microsoft Corporationは16日、ネットワーク上のパケット情報を解析できるツール「Microsoft Network Monitor」の最新版v3.2を公開した。Windows XP/Server 2003/Vista/Server 2008/XP x64/Server 2003 x64/Vista x64/Server 2008 x64に対応するフリーソフトで、現在同社のダウンロードセンターからダウンロードできる。 「Microsoft Network Monitor」は、ネットワークを流れるパケット情報をリアルタイムで解析できる、ネットワーク管理者向けのツール。最新版v3.2の主な変更点は、ネットワークに接続中のアプリケーションをリアルタイムに監視できる機能が追加されたこと。解析を実行すると、通信中のアプリケーション名とプロセスIDがツリー形式で一覧され、各アプリケ
高木浩光@自宅の日記 - SSLを入力画面から使用しないのはそろそろ「脆弱性」と判断してしまってよいころかも, クレジットカード業界は最もWebセキュリテ..
■ SSLを入力画面から使用しないのはそろそろ「脆弱性」と判断してしまってよいころかも 24日のIT Proの記者の眼に「なぜSSL利用をケチるのか」という記事が出ていた。筆者の阿蘇氏には勤務先でWebアプリケーションセキュリティについて取材を受けたことがある。この記事の主張はこうだ。 Webサイトはログイン画面からSSLを使い，利用者はログイン時に鍵マークを確認するのが常識。 阿蘇和人, なぜSSL利用をケチるのか, 日経IT Pro記者の眼, 2005年11月24日 正しい。より正確には「ログイン時」というのは、パスワードを入力する前にということだろう。ただ、その根拠としてこの記事は、フィッシング対策としてサイトが本物かを確かめるためという点だけを挙げているが、その根拠はやや弱い。 SSLをパスワード送信先の画面からではなく、入力画面から使わなくてはならない理由のもうひとつの重大な理由
セキュリティレベルの高いサイトを構築する 22 カ条 :: Drk7jp:
最近、何処の会社でもセキュリティに関してうるさく言われているかと思います。自分としても今まで気を遣ってきていたつもりではあります。しかしながら、 なぜSSL利用をケチるのか：IT Pro SSLを入力画面から使用しないのはそろそろ「脆弱性」と判断してしまってよいころかも 安全なWebサイト設計の注意点 を読んでみて、お恥ずかしい限りですが勘違いしていた部分もありました。実際、Amazon とか Yahoo! のログイン画面を見ても、デフォルトが http によるアクセスになっていたりして、メジャーどころでも最新の注意が払われている訳ではないのだなぁ〜と思ったり・・・。本当は全ページ SSL が理想とは知りつつも、SSL の処理負荷の高さ故に、ついついケチったページ遷移にしまうからなのでしょう。。。自分含めて。 自分への情報もかねて、上記ページに記載されている、31箇条の鉄則と最近の事情を加
エージーテック,Windowsパスワードをリセットする管理ツールを発売:IT Pro
エージーテックは12月6日，Windows上の既存アカウントに対するパスワードをブランク状態にリセットする管理者向けツール「Passware」シリーズの販売を開始した。前任の管理者が退職してパスワードが分からなくなった場合や，司法や警察が犯人などから証拠品として押収した端末に強制ログインする場合に利用できる。エストニアのPasswareが開発したツールで，表示されるメッセージなどは英語のままだが，日本語アカウント名には対応済みである。 Passwareシリーズには三つの製品がある。（1）Windows 2003/XP/2000/NTのローカル・アカウントのパスワードをリセットしたり，ローカル・ポリシーを初期化したりすることができる「Windows Key」，（2）（1）の機能に加え，Active Directoryなどのドメイン管理者（Domain Controller Administr
ワームに感染しない Windows 2000/XP のインストール手順
このページでは便宜上、以下のような略記や表現を行なっています。ご了承ください。 Windows の 「インストール／再インストール／リカバリー」 を総称して Windows のインストール と表現しています。 Windows 2000 Professional を 2000、 Windows XP Home Edition/Professional を XP、と略記しています。 Service Pack を SP と略記しています。 Blaster／Welchia(別名:Nachi)／Sasser／Zotob、これらのワームのことを総称して ネットワーク感染型ワーム と表現しています。 パーソナル・ファイアウォール・ソフト や ファイアウォール機能付きウイルス対策ソフト を総称して セキュリティソフト と表現しています。 2003年8月の Blasterワーム と Welchia(別名:N
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
FAQ/ImportRootCert - CAcert Wiki
HTC G1: Add an X.509 Certificate Authority Root
Google Groups
Ubuntu 8.04 Hardy Heron Live USBドライブ