無料でDropbox・SkyDriveなどを国家レベルの暗号化で自動的に保護する「Cloudfogger」
アメリカ国防総省の諜報機関であるNSA（アメリカ国家安全保障局）も使っている「AES」方式によっていちいちパスワードを入力する必要の無いシンプルな透過型の暗号を自動的に施してくれるソフトが「Cloudfogger」です。Dropbox・Box.net・SkyDriveなどと組み合わせて利用でき、暗号化したファイルを特定の相手だけに閲覧させることもできます。インストール・操作方法は以下から。 Cloudfogger - Free File Encryption for Dropbox and the Cloud http://www.cloudfogger.com/en/home/index.aspx ◆インストール 上記サイトの「Cloudfogger Download」をクリック。 「Cloudfogger_Setup.exe」をクリック。 「Next」をクリック。 「I accept
不正送金を狙う「ネバークエスト」、国内の地方銀行も標的に
シマンテックは2014年7月29日、PCに感染してオンラインバンクの口座情報などを盗むウイルス「ネバークエスト（Neverquest。シマンテックではSnifulaとしている）」の新しい亜種が出現したとして注意を呼びかけた。亜種の特徴は、日本国内の30以上の金融機関を攻撃対象にしていること。 PCに感染したネバークエストは、ユーザーのWebアクセスを監視。ユーザーが特定のオンラインバンクのサイトなどにアクセスすると動き出し、WebブラウザーとWebサイトの間でやり取りされる情報を盗聴したり、改ざんしたりする。その結果、ユーザーは不正送金などの被害に遭う恐れがある。 シマンテックによると、ネバークエストが出現したのは2006年。以降、対象とする金融機関や機能を拡張した亜種が次々と出現している。今回確認された亜種の特徴は、30件以上の日本国内の金融機関を対象にしていること。20件が国内のクレジ
「iPhoneを探す」機能をパスワード入力なしで無効化する重大なバグが発見される
iOS 7には遠隔操作でiPhoneの位置を特定したりアラーム音を鳴らしたりできる「iPhoneを探す」機能が搭載されており、手元にiPhoneが見当たらないときにアラーム音を鳴らして探し出したり、万一、盗難被害に遭った場合にはiPhoneの場所を特定したりアラーム音を警報代わりに使ったりできます。しかし、この「iPhoneを探す」機能を、パスワード入力なしで無効化し、さらにパスワード入力なしで「iCloudアカウント」を再設定できるハッキング手法が発見されました。 iOS 7 Bug Allows Disabling of 'Find My iPhone' Without Password - Mac Rumors http://www.macrumors.com/2014/02/06/disable-find-my-iphone/ Security flaw in Find My iP
JVNVU#94916481: HTTPS レスポンスから暗号化されたデータの一部を推測可能な脆弱性 (BREACH)
圧縮された HTTPS レスポンスの長さを観測することで、攻撃者は HTTPS ストリームの暗号文から、ウェブサイトの認証鍵など (secret) を推測することが可能です。 Salesforce.com の Angelo Prado 氏は、下記の通り報告しています。 Extending the CRIME vulnerability presented at Ekoparty 2012, an attacker can target HTTPS responses to recover data from the response body. While the CRIME attack is currently believed to be mitigated by disabling TLS/SSL/level compression, compressed HTTP respons
簡単にWi-Fiハッキングできるアプリもある！ 公衆Wi-Fiを安全に使う基本をおさらい | ライフハッカー・ジャパン
できる限りHTTPSを使ったり、図書館で仕事をする際にVPNで接続したりするのは、それほど手間のかかることではありません。公衆Wi-Fiを使わず、家に戻るまで待つという選択肢もありますし、代わりに携帯電話でテザリングしても良いのです（この選択肢については、常に考えておいてください）。 誰もがそうしていれば、dSploitなどのツールの悪用はたいした問題にならず、本当に必要とする人だけが使うことでしょう。とはいえ、そうしたツールが性能の優れたものである以上は、必要な措置をとって自衛するのが合理的です。 では、より詳しく知りたい人のために、Androidツール『dSploit』についても解説していきます。仕組みを理解すれば、dSploitを悪用する人たちから、パスワードや個人データを守る方法がより見えてくることでしょう。 dSploitとは何か？ dSploitとは、いくつかのセキュリティツー
Dropboxにアップロードする前にファイルを暗号化してくれる『SafeMonk』 | ライフハッカー・ジャパン
Windows／Mac／iOS／Android：Dropboxのセキュリティがちょっと心配なのだけれど、全てを自分の手で暗号化するほどの忍耐力は持ち合わせていない、という方には『SafeMonk』がオススメです。 SafeMonkはファイルを自動的に暗号化してくれるので、いちいち手を煩わせません！SafeMonkをインストールするとDropbox内にフォルダが作成され、フォルダ内の全ては暗号化されます。Dropboxにファイルをアップロードする前にSafeMonkはファイルを全て暗号化し、キーがないとアンロックできないようになります。SafeMonkがインストールされていないパソコンではこれらの暗号ファイルにはアクセスできません。 外出先などでファイルにアクセスしたい場合であればSafeMonkにはiPhone版やAndroid版も用意されています。誰にでも扱える、というツールではなく、ヒ
Harakirimail, Your personal email samurai
What?Harakirimail is a free email service that takes care of the emails you don't want. Just send email to [email protected] (whatever can be really whatever...). And we store the email, you can then view it in our webinterface. After 24h we force the email to perform harakiri and go away forever. So a free throw away email for those emails you don't want in your own inbox. Why?Well two reasons, f
OpenSSL クライアントにおけるホスト名検証バイパス脆弱性 (CVE-2013-4073)
Posted by nahi on 27 Jun 2013 Translated by hsbt Ruby の SSL クライアントに信頼された証明書を用いて認証されたサーバーになりすまして 中間者攻撃を可能とする脆弱性が報告されました。 この脆弱性は CVE-2013-4073 として CVE に登録されています。 脆弱性の概要 Rubyの SSL クライアントはホストネームが一意であることをチェックする機構を持っていますが、 その機構は null バイト文字が含まれている証明書のホストネームを適切に処理することができません。 脆弱性の詳細 Ruby の SSL クライアントは OpenSSL::SSL.verify_certificate_identity に RFC2818 の サーバー一意性チェックを実装していますが、 null バイト文字を含んだ X509 の subjectAl
Masato Kinugawa Security Blog: accounts.google.comに存在したXSS
Googleの脆弱性報酬制度の報酬がアップされましたね！ Google、脆弱性情報に支払う報奨金を大幅アップ - ITmedia エンタープライズ http://www.itmedia.co.jp/enterprise/articles/1306/10/news027.html Googleアカウントページに存在するクロスサイトスクリプティング（XSS）の脆弱性情報については3133.7ドルから7500ドル accounts.google.comのXSSは$7,500 だそうです。みつけたいですね！ みつけるのはかなり厳しいと思いますが、かつて2つみつけたことがあります。 今日はそのうち1つを紹介したいと思います。 oeパラメータを使ったXSS 2012年12月27日に報告し修正された問題です。 Googleは、一部のサービスで「oe」というクエリパラメータを付加することで、ページの表示に
OpenSSL日本語サイト The Open Source toolkit for SSL-TLS
このサイトは OpenSSL サイトの日本語訳です。オリジナルサイトのドキュメントは更新されていますので、最新の情報についてはhttp://www.openssl.org/ を参照して下さい。 日本語訳に関する責任はインフォサイエンス(株)にあります。日本語訳に関する質問、誤訳の指摘などは ssleay@infoscience.co.jp まで御連絡下さい。 翻訳の原文はここ(ミラーサイト)です。 Welcome to the OpenSSL Project OpenSSL Project とは、Secure Sockets Layer (SSL v2/v3) と、世界標準の暗号プロトコルである Transport Layer Security (TLS v1) を実装した、強固で商用に耐えうる、高機能な Open Source のツールキットを共同開発するものです。プロジェクトは Ope
UIWebViewなどで使うクッキーを再起動しても維持する方法 | Technology-Gym
UIWebViewやASIHTTPRequestではNSHTTPCookieStorageが管理しているクッキーを共有して使うことができる(逆に使わない設定も可能)ので、 起動中はセッションの設定などでクッキーのやり取りを気にしなくてもいいので便利なのですが、さすがに永続化は自動ではやりません そのため、アプリを再起動してもUIWebVIewで表示するサイトのログイン状態を継続したい場合等はNSHTTPCookieStorageからクッキーを取り出して保存して置く必要があります。 NSUserDefaultsを使い単純にファイルとして保存することを考えた場合、クッキーが変化するごとに(iOSだとそもそもキャッチできなさそう)保存するのはI/Oが足を引っ張りそうなので、 起動時と終了時にそれぞれ読み込み、保存処理を行うようにします。 AppDelegateクラスのdelagateメソッドを使
WSSEのセキュリティリスクとその対処法に関する一考察
引き続きiPhone SDKで遊んでいる私だが、Typepadやはてなが採用しているAtomを使ったiPhoneアプリを作ってみようとしたところで、WSSE認証の仕組みを（Objective-Cで）ゼロから作らなければならないことに気づき挫折しかける。SHA1のライブラリまで自前で用意しなければならないのはちょっと荷が重かったのだが、増井さん（masuidrive）からRFC中のコード（参照）が使えることを教えていただき、それを元に実装（持つべきものは友だ^^）。 細かな間違いをいくつもしていた上に、WSSEの仕様を少し勘違いして始めたためになかなか動かず、はてなからステータスコード200がもらえたのは夜の１０時過ぎ。半日ぐらいで軽く作れると思っていたのに、結局丸一日かかってしまったが、「WSSEとは何ぞや」を何も知らないところから始めたのだから良しとしよう。 しかし、WSSEの仕様に関し
UDIDが使えなくなりそうなので、UIIDを使えるようにしました
■2012/11/11追記 iOS 6より[[UIDevice currentDevice] identifierForVendor]というAPIがAppleより提供され、よりプライバシーに配慮した上により安全な方法で自分の開発したアプリケーションを利用するユーザーを個別に認証することが可能になりました。それに伴い拙作のライブラリもidentifierForVendorが利用可能であればこちらを利用するように修正いたしました。今後はこのidentifierForVendor（または広告APIなどを作る場合であれば[[UIDevice sharedManager] advertisingIdentifier]）が個体認識の主流になっていくと思われます。identifierForVendorとadvertisingIdentifierの仕様まとめは http://stackoverflow.c
■そもそもどうしてUDIDを使うのか たいていの場合は以下のような理由です。 ・ログイン機構なしに簡易にユーザーの識別をしたいときに、毎回同じ値を返し、かつユーザー事に異なる値が取得出来る何かが必要になるので、UDIDを使う ・UDID値の取得がいつでもどこでも可能、さらに超簡単で外部ライブラリのインストールなど面倒なことが一切無い ・しかもAppleのドキュメントにそう使えって書いてある。・・・補足すると使ってもいいよ、ぐらいのニュアンスで、使えという風に推奨はしてないみたいです＞＜ またUDIDのみ
音楽と散歩を愛する兼業ライター・鈴木丈二のあたまのなか。 もしもこのpostを「いいな」と思っていただけたなら、ぜひ引用元もご覧になってください。 Based Theme by nostrich. ■そもそもどうしてUDIDを使うのか たいていの場合は以下のような理由です。 ・ログイン機構なしに簡易にユーザーの識別をしたいときに、毎回同じ値を返し、かつユーザー事に異なる値が取得出来る何かが必要になるので、UDIDを使う ・UDID値の取得がいつでもどこでも可能、さらに超簡単で外部ライブラリのインストールなど面倒なことが一切無い ・しかもAppleのドキュメントにそう使えって書いてある。・・・補足すると使ってもいいよ、ぐらいのニュアンスで、使えという風に推奨はしてないみたいです＞＜ またUDIDのみをキーとしてユーザー情報を保存するな、とも書いてますね。 ■UDIDは何がまずいの 主にまずい
第1回 OAuthとは？―OAuthの概念とOAuthでできること | gihyo.jp
今回から始まった「ゼロから学ぶOAuth」。全4回の特集にて、これからのWebサービスを開発する上で不可欠な技術「OAuth」について取り上げます。初回は、OAuthの概念について取り上げます。 はじめに はじめまして、iKnow!改めsmart.fmの真武です。現在smart.fmでは、OAuthやOpenID、OpenSocial、Semantic WebやActivity Streamなどといった新しい技術の導入を積極的に行いサイトを活性化させるとともに、smart.fm APIを通じて我々の技術を外部のデベロッパの方々にも提供しています。 smart.fmは日本最大のOpenID Relying Partyであるだけでなく、国内では数少ないOAuth Consumer（後述）およびOAuth Service Provider（後述）を兼ねるサービスとなっています。こういった背景
.htaccessでBasic認証にチャレンジ
.htaccess活用法（１） .htaccess（拡張子がhtaccessということで、ドットが必要です。ファイル名がないので最初戸惑いますが、こういうものだと思ってください。）が利用可能だと、 アクセス制限（Basic認証）が可能。 特定のホスト（IPアドレス。プロバイダ）からのアクセスを制限することが可能 参照元（Referer）によるアクセス制限が可能（画像の直リンク禁止も可能） 特定のユーザーエージェント（ブラウザ・ロボット）からのアクセス制限が可能 ブラウザ経由でのアクセス（http://～）を拒否することも可能（大切なデータファイルを守る） リダイレクトが可能（ページの移転時などに重宝） 404 File Not Foundページのカスタマイズが可能。 拡張子別に文字コードを設定することが可能。（文字化け対策に必須の場合があります。） index.cgiやindex.phpを
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき - 葉っぱ日記
WebアプリケーションにおいてJSONを用いてブラウザ - サーバ間でデータのやり取りを行うことはもはや普通のことですが、このときJSON内に第三者に漏れては困る機密情報が含まれる場合は、必ず X-Content-Type-Options: nosniff レスポンスヘッダをつけるようにしましょう(むしろ機密情報かどうかに関わらず、全てのコンテンツにつけるほうがよい。関連:X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記)。 例えば、機密情報を含む以下のようなJSON配列を返すリソース(http://example.jp/target.json)があったとします。 [ "secret", "data", "is", "here" ] 攻撃者は罠ページを作成し、以下のようにJSON配列をvbscriptとして読み込みます。もちろ
iptablesで鉄壁？の守りを実現する3つのTips｜TechRacho by BPS株式会社
iptablesでサーバを守るときに知っておくと良いことを3つ紹介します 1. 接続回数を制限する(IPアドレスごと) hash_limitを使います これにより特定ホストからの大量アクセス、DoS攻撃を緩和することが可能です 例 2. 接続回数を制限する(サービスごと) limitを使って制限します これにより多数のホストからの攻撃、DDoS攻撃を緩和します limitを使った制限は全ホストが等しく制限を受けるため、ssh等に設定すべきではありません。 （攻撃を受けている間は自分たちも制限されるため） Webサーバが大量アクセスで落ちそうな場合は使えるんじゃないでしょうか？ 例 3. 接続IPアドレスを限定する IPアドレスの国別割り当てをAPNIC等から取得してコマンドを作ります この手のルールは長くなるので、ユーザー定義チェインにしたほうが見やすくなります 例 あとはこんな感じのスク
Microsoftの更新プログラムに不具合、アンインストールを勧告
日本時間10日に配信された月例セキュリティ更新プログラムの中の1件が原因で不具合が発生。Microsoftは配信を停止し、全ユーザーにアンインストールを呼びかけた。 米Microsoftが4月9日（日本時間10日）に配信した月例セキュリティ更新プログラムの中の1件が原因で、一部のコンピュータにブルースクリーンと呼ばれるエラーメッセージが表示されるなどの不具合が発生しているという。Microsoftは11日、問題の更新プログラムをアンインストールするようユーザーに呼びかけた。 問題になっているのは、Windowsのカーネルモードドライバに存在する権限昇格の脆弱性に対処した更新プログラム「MS13-036」（KB2823324）。Microsoftによれば、これを適用したWindows 7で再スタートから復旧できなくなったり、アプリケーションが読み込めなくなったりするなどの不具合が一部のユーザ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
