Chromeの人気拡張機能に「不正なアフィリエイトを挿入するコード」が仕込まれていることが判明
Google製のウェブブラウザChromeは、拡張機能を追加することでYouTubeの字幕読み上げ機能やウェブページのオフライン保存機能などの便利機能を追加できます。しかし、大手セキュリティ企業マカフィーの研究者によって、合計140万回ダウンロードされた5種の拡張機能に「アフィリエイト収益を不正に得るためのコード」が含まれていたことが報告されました。報告された拡張機能のうち1種は既に入手不可となっていますが、残りの4種は依然としてGoogle公式ウェブストアから入手可能で、中には「Googleのおすすめラベル」が付与されたものも存在しています。 Malicious Cookie Stuffing Chrome Extensions with 1.4 Million Users | McAfee Blog https://www.mcafee.com/blogs/other-blogs/mc
WebAssembly対応、主要ブラウザChrome/Firefox/Edge/Safariで整う。Webアプリの開発言語としてJavaScript以外の選択肢は広がるか？
主要なWebブラウザでのWebAssembly対応が整った。これによりJavaScriptを超える高速なWebアプリケーションの実行に加え、JavaScript以外の言語によるWebアプリ開発の選択肢が開かれることになる。 WebAssemblyは、Webブラウザ上でネイティブコードに近い実行速度で高速に実行できるバイナリフォーマットを実現しようと、マイクロソフト、Google、Mozilla、Appleなどの主要なWebブラウザベンダがW3CのWebAssembly Community Groupなどを通じて共同で開発に取り組んでいる技術です。 主要なWebブラウザによるWebAssembly対応が整う 1年前の2016年11月には、各社が足並みをそろえてWebAssemblyの試験的実装を発表し、2017年2月にはWebAssembly APIとバイナリフォーマットについて主要ブラウザ
JavaScriptのコードとService Workerをユーザーに近いCDNのエッジで実行可能。Cloudflareが「Cloudflare Workers」を提供開始
CDNプロバイダのCloudflareは、同社が提供するグローバルなコンテンツデリバリーネットワーク（CDN）のエッジにおいて、開発者がJavaScriptのコードを配置し実行できる新機能「Cloudflare Workers」の一般提供を開始したと発表しました。 Cloudflare Workersを利用すると、開発者はネットワークの向こう側にあるクラウドではなく、利用者にもっとも近いCDNのエッジに位置するCloudflareのデータセンター内でJavaScriptのコードを実行できるようになります。 これによってクライアントに対して非常に高速にレスポンスを返すことができ、広範囲に分散された高い冗長性を持つ分散システムが構築可能になります。 同社は日本を含む世界中に127のデータセンターを展開しています。 「クラウドの夢」、Cloudflare Workersでできること Cloudf
Appleによる「ブラウザ開発者へのWebKit強制」はセキュリティリスクを悪化させているという指摘
Appleはウェブブラウザのレンダリングエンジン「WebKit」の主要な開発者であり、iOS向けのウェブブラウザはWebKitの採用が必須となっています。iOS向けブラウザでWebKit以外のレンダリングエンジンを使えない状況には「ウェブブラウザの将来性を奪っている」という指摘が入っているものの、Appleは「ウェブブラウザにWebKitの採用を求めることは、セキュリティ向上のためだ」と主張していました。新たに、オープンなウェブの推進団体「Open Web Advocacy」が「AppleのWebKit強制は、セキュリティを悪化させている」という主張をTwitterで展開しています。 Apple's claim is that it bans other browsers for security AND NOT because it's protecting its 70b of App
「PyScript」はJavaScriptのようにPythonコードをHTML内に記述して実行可能、Anacondaがオープンソースで公開
「PyScript」はJavaScriptのようにPythonコードをHTML内に記述して実行可能、Anacondaがオープンソースで公開 Pythonの主要なディストリビューション「Anaconda」などを提供しているAnaconda社は、HTML文書の中にJavaScriptと同じようにPythonのコードを記述し、実行可能にする「PyScript」をオープンソースで公開しました。 Did you hear the news from PyCon!? We are thrilled to introduce PyScript, a framework that allows users to create rich Python applications IN THE BROWSER using a mix of Python with standard HTML! Head to h
主戦場はWebブラウザ 忍び寄る「見えないクライアントサイド攻撃」の実態
コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 歯止めの利かない情報漏えい 12月22日までに日本で公表された、ECサイトにおける21年のクレジットカード情報流出の被害件数は、手元の集計では71件だった。これは前年比で約1.7倍の数値だ。しかも被害の多くで、クレジットカードのセキュリティコードまでもが盗み取られている。 本連載で過去に説明した通り、こういったWebスキミング被害の多くで、Webサイトにアクセスしたブラウザ内で動作する悪性のJavaScriptによって情報が読み取られている。不正なスクリプトをブラウザに挿入する手口と対策上の課題について
グーグルの完勝で終結したはずのブラウザー戦争、MSが人海戦術で狙う逆襲シナリオ
米Microsoft（マイクロソフト）がWebブラウザーのEdgeをオープンソースソフトウエア（OSS）のChromiumベースに切り替えたことで、ブラウザー戦争は米Google（グーグル）の完勝で幕を閉じた、と思っていたのだが、どうもそうではないようだ。法人向け市場でマイクロソフトがグーグルに対し、SaaS（ソフトウエア・アズ・ア・サービス）を巻き込んだ新たな攻勢を仕掛けていた。 筆者は最近、若手記者と組んでInternet Explorer（IE）のサポート終了に関する話題を追いかけている。その取材の過程で日本マイクロソフトが最近、法人に対してChromium版Edgeをとても熱心に売り込んでいることを知った。 かなりの人数のエンジニアを動員してユーザー企業がIEからChromium版Edgeに移行するのを支援している。情報システム部門などを対象にChromium版Edgeの講習会を無
ウェブアクセスでエラーが続くトラブル、最初に試したい「スーパーリロード」とは
仕事もプライベートもネット漬けの昨今、さまざまな場面で皆さん、“困った”を抱えているはず。ちょっとした工夫で解決できるものも少なくない。具体的に見ていこう。 トラブル 何度更新してもウェブサイトのエラーが続く ウェブページの読み込み失敗が続くなら、ブラウザーに保存されたキャッシュやクッキーが犯人かもしれない（図1）。最初に試したいのが、キャッシュを無視して読み込む「スーパーリロード」だ（図2）。これで直ればキャッシュが原因なので、削除すれば解決する（図3）。
MicrosoftがEdgeでJITを無効化し安全なブラウジングができる「Super Duper Secure Mode」をテスト
ウェブブラウザでセキュリティ上の課題の1つとなっているのが、Javascriptの特定タスク高速化のためのテクノロジー「実行時コンパイラ(JITコンパイラ)」を含むJavascriptエンジン関連です。Microsoftがこの点に対応すべく、JITを無効化する「Super Duper Secure Mode」をEdgeのCanary・Dev・Betaチャンネルに追加しました。 Super Duper Secure Mode | Microsoft Browser Vulnerability Research https://microsoftedge.github.io/edgevr/posts/Super-Duper-Secure-Mode/ Microsoftの脆弱(ぜいじゃく)性調査チームによれば、脆弱性を利用したウェブブラウザへの攻撃で最も多いのはJavascriptエンジンまわり
アリババ系のブラウザに不審な動き、データを中国に送信 | Forbes JAPAN 公式サイト（フォーブス ジャパン）
中国のアリババの子会社「UCWeb」が運営するブラウザアプリ「UCブラウザ」は、シークレットモード機能を搭載し、閲覧や検索の履歴を残さずにブラウジングを楽しめることや、ダウンロード速度の速さで人気を集め、アンドロイド版だけでも世界で5億回ダウンロードされた。 UCブラウザは、特にアジアで人気で、ある調査によると世界で4番目にユーザー数が多いブラウザだとされている。インドでは、政府が中国製アプリを禁止にする以前は、最も人気のブラウザの一つとなっていた。 しかし、セキュリティ研究家のGabi Cirligは、UCWebがアピールするプライバシー保護機能は、彼らが主張する通りのものではないと指摘している。フォーブスが2名の独立調査員に依頼して検証を行った結果、Android版とiOS版の両方について、シークレットモードに設定しているか否かに関わらず、全ての閲覧情報がUCWebのサーバーに送られて
2000件以上のGoogle Chrome向け拡張機能がセキュリティを低下させているという指摘
「Chromeウェブストア」で配布されている拡張機能の中には、広告ブロッカーを装ったマルウェアや、個人情報を盗み出す拡張機能などの不正な拡張機能が多く含まれていることが報じられてきました。新たに、セキュリティに関する研究団体CISPAの調査によって、2000件を超えるGoogle Chrome向け拡張機能にセキュリティヘッダーを改ざんする機能が搭載されていることが判明しました。 madweb21-paper16-pre_print_version.pdf (PDFリンク)https://madweb.work/preprints/madweb21-paper16-pre_print_version.pdf Thousands of Chrome extensions are tampering with security headers | The Record by Recorded F
Firefoxに「サイト隔離」機能が登場、「Spectre」「Meltdown」への根本的な対策に
Mozillaが2021年5月18日に、デスクトップ版Firefoxに「サイト隔離」機能を盛り込んだことを発表しました。この機能により、2018年に発見されながらもこれまで応急処置的な対応にとどまっていた脆弱(ぜいじゃく)性の「Spectre」と「Meltdown」に対して、抜本的な対策を講じることが可能になったとMozillaは述べています。 Introducing Site Isolation in Firefox - Mozilla Security Blog https://blog.mozilla.org/security/2021/05/18/introducing-site-isolation-in-firefox/ Introducing Firefox's new Site Isolation Security Architecture - Mozilla Hacks -
Firefoxを強くする「サイトアイソレーション」 セキュリティ以外も複数の効果
Mozillaはこのところ、Firefoxのセキュリティ機能とトラッキング防止技術の開発に熱心に取り組んでいる。その取り組みのひとつが「Site Isolation Security Architecture（サイト・アイソレーション・セキュリティ・アーキテクチャ）」だ。これはセキュリティ機能を強化するための抜本的なブラウザアーキテクチャの変更に相当するもので、すでにリリース版のFirefoxにもこの機能が搭載されている。デフォルトでは無効化されているが、設定を変更すれば有効化することができる。 この新しいアーキテクチャの概要は、Mozillaが5月18日(米国時間)に公開した記事「Introducing Firefox's new Site Isolation Security Architecture - Mozilla Hacks - the Web developer blog」の
ファビコン使ってユーザーの追跡が可能、主要ブラウザの多く防御できず
Fossbytesは2月12日(米国時間)、「Your Browser's Favicons Could Be Used To Track You Online: Here&s How」において、トラッカーがファビコン（Favicon）を使うことでユーザーをトラッキング可能だと伝えた。Jonas Strehle氏の次のドキュメントを引用する形で伝えている。 supercookie • workwise 概念実証のコードも含めた説明は次のページにまとまっている。 GitHub - jonasstrehle/supercookie: ⚠️ Browser fingerprinting via favicon! supercookie • workwise ファビコンは16x16または32x32のサイズで提供されることが多いアイコン。Webページごとに提供可能であり、通常はWebブラウザのタブに
新たなWebハッキング技術、2019年に登場したトップ10をPortSwiggerが発表
サイバーセキュリティツール「Burp Suite」を手掛けるPortSwiggerは2020年2月17日（現地時間）、2019年の新しいWebハッキング技術のトップ10を発表した。 同社は、2006年からほぼ毎年、トップ10を発表している。今回はまず、Redditコミュニティー「Web Security Research」のメンバーが51件の候補を推薦し、メンバーの投票で最終選考対象を15件に絞り込んだ。最後にPortSwiggerのリサーチディレクターを務めるジェームズ・ケトル氏を含む4人の専門家パネルが協議、投票を行ってトップ10を選出した。 なぜトップ10を発表するのだろうか。「重要な」攻撃とそうでないものの見分けが付かなくなっているからだ。 毎年、研究者やベテランのペネトレーションテスター（ペンテスター）、賞金獲得を目指してチャレンジする技術者、学者が、サイバー攻撃手法についてBl
米グーグル、今後2年以内にサードパーティークッキーの利用を段階的に停止
米グーグル（Google）は2020年1月14日（現地時間）、同社のWebブラウザー「Chrome」が今後2年以内に「サードパーティークッキー（Cookie）」の利用を段階的に停止するとブログで公表した。Web閲覧時のプライバシー保護を求めるユーザーの声に対応する。 サードパーティークッキーはユーザーがアクセスしたWebサイトのドメイン以外のインターネット広告事業者といった第三者が、ユーザーの端末にデータを保存して他のサイトからWebブラウザーなどを識別できる。ユーザーがどの情報を閲覧したか、どの商品を購入したかといった行動履歴を追跡して、個別広告の自動表示などに利用できる。 グーグルは2019年8月に提唱した「プライバシーサンドボックス（Privacy Sandbox）」と呼ぶプライバシー保護強化を目指すオープンな標準仕様の策定を通じて、Webの新たなエコシステム構築を目指している。同社
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
Safari 15、Web行動履歴の漏洩につながる脆弱性。特にiPhone/iPadに大きな影響
JITをやめてみる ～Microsoft、「Edge」で「めっちゃすげえセキュリティモード」をテスト／標的となっている「V8」の攻撃面を減らし、レンダラープロセスで強力な緩和策を有効化
海外のセキュリティ調査会社、“偽のChrome拡張機能”を数珠つなぎに見つける手法を明らかに【やじうまWatch】
