もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
「8月公開のパッチは、適用に数時間かかる場合あり」日本MSが公表
更新プログラム（パッチ）がインストール中であることを示すWindows 7の画面例（日本マイクロソフトの情報から引用）。このような画面が表示されている間は、パソコンの電源を切らないこと 日本マイクロソフトは2011年8月5日、8月10日に公開を予定しているセキュリティ更新プログラム（パッチ）の概要を公表した。パソコンによっては、インストールに数時間かかるパッチが含まれる。同社では、インストールが完了するまでは、パソコンの電源を切らないよう呼びかけている。 同社が8月10日に公開を予定しているセキュリティ情報およびパッチは13件。そのうち、危険度が最悪の「緊急」が2件、危険度が2番目の「重要」が9件、3番目の「警告」が2件。影響を受けるソフトウエアは、Windows XP/Vista/7/Server 2003/Server 2008/Server 2008 R2、Visio 2003/20
サイバー攻撃 可視化してみた ‐ ニコニコ動画(原宿)
ネットワーク攻撃可視化・分析技術 - nicter : DigInfo 過去に投稿した動画：mylist/25299935
Androidアプリから情報流出の恐れ、99.7％の端末に影響
Androidアプリケーションから個人情報が流出し、攻撃者に傍受されたり改ざんされたりする恐れがあるという。ドイツの研究者が発表した。 米GoogleがAndroid搭載端末で提供しているカレンダーアプリケーションや連絡先アプリケーションの情報が暗号化されないまま転送され、他人に情報を傍受されたり、改ざんされたりする恐れがあることが明らかになったと、ドイツの研究者が発表した。Androidを搭載したスマートフォンの99.7％がこの脆弱性の影響を受けるとしている。 ドイツのウルム大学の研究者が公開した情報によると、この脆弱性はGoogle CalendarやGoogle Contactsなど「ClientLogin」という認証プロトコルを使っているアプリケーションで、暗号化されないHTTPを介して認証用トークン（authToken）がやり取りされている問題に起因する。これは公衆無線LANを介
Facebookのプライバシー設定で気をつけたい3つのポイント - はてなニュース
ソーシャルネットワーキングサービス「Facebook（フェイスブック）」で、入力した出身校や近況をもとに古い友人と再会したり、交流の輪が広がったりした人も多いのではないでしょうか。交流を楽しむ一方で、気を配りたいのがプライバシー設定です。Facebookへの投稿や個人情報の公開範囲など、適切なプライバシー情報の設定方法を紹介します。 ■ 投稿や個人情報の公開範囲を設定する Facebookでは、近況、写真、リンク、動画のほか、連絡先や交際ステータスなど、プライベートに関するさまざまな情報を公開、共有できます。その公開範囲が、Facebookの「推奨」と自分の想定とで違っているかもしれません。Facebookページ上部の「アカウント」から「プライバシー設定」を選び、現在の設定を確認してみましょう。 ▽ Facebook - プライバシー設定 「Facebookでのコンテンツ共有」の欄に、各項
平文メールにパスワードを書いて送ってくる糞企業一覧
ぼく就活生。リクナビからJR東海にプレエントリーして驚いた。 ■■■ＪＲ東海からID・パスワードのお知らせ■■■ あのに 増田 様 ◆あのに 増田さんのＩＤ・パスワード◆ ＩＤ：12345678 パスワード：mypassword こんにちは！ＪＲ東海人事部です。 このたびは当社にプレエントリーを行って頂きまして、 誠にありがとうございました。 こんなメールが届いたの。 なにに驚いたって？登録画面で入力したパスワードが平文メールに書かれてたってとこ。 「mypassword」って書いてるところにぼくの大事なパスワードが書かれてたの。Gmailでも使ってる大切なやつ。 同じパスワード使ってるぼくも相当間抜けなんだけど、いまの時代いくらなんでも平文メールにパスワードはないでしょ。 とっても怖かったのでJR東海とGmailのパスワードを変更して寝ました。 恐怖はこれで終わらずに２ヶ月後。こんなメー
なんとFacebookは不正ログイン防止の仕組みまでが感動的にソーシャルだった | Token Spoken
普段、視点や環境を変えなければまったく気づかないこともあります。 しかも、その日常に慣れきっていればいるほど、そこに驚きがあるなどとは誰も予想もしていません。 もう何百回も繰り返している、そんな日常の作業の中で、予想もしない感動に出会う。 今日、Facebookを使って日々の業務をこなそうとしていたところ、そんな出来事に遭遇しましたので、皆様と共有させていただきたいと思います。 大げさですみません、しかし、個人的には少し感動しすぎてしまったものですから。。。 事の発端は、こんな事から始まりました。 実は、出張先の韓国のソウルよりSeesmic Desktop Proというアプリケーションで、Facebookアカウントの認証を行おうとしたら、こんなエラーメッセージが表示されたのです。 ここまでは、セキュリティ対策としてはよくあるパターンですので特に何とも思いません。 普段アクセスしているIP
Apacheのアクセス制御をちゃんと理解する。 - こせきの技術日記
Apacheの設定で Order deny,allowとか Satisfy anyとか、なんだか意味わからん人のために。僕はずっとわかってなかった。 基本 Apacheのアクセス制御には、 ホストによる制御 (Order,Allow,Deny) ユーザ認証による制御 (Auth*, Require) の2通りがある。 Satisfyは、2通りあるアクセス制御の両方を満たす必要があるかどうかを決定する。デフォルトはSatisfy all。Satisfy anyなら、どちらか片方満たせばよい。 Order http://httpd.apache.org/docs/2.2/mod/mod_authz_host.html#order Order deny,allowは、全てのホストからのアクセスを許可する。 Order allow,denyは、全てのホストからのアクセスを拒否する。 Order d
IntelのMcAfee買収、その意味は
半導体大手の米Intelによるセキュリティソフトメーカー米McAfeeの買収は、単に2つの会社を合わせて1つの大きな会社にするというだけではない。Intelが自社の製品ライン全体で、セキュリティのレベルを引き上げると決断したことの表れでもある。さらに、Intelが重要性の高い独自製品を提供することで、米Cisco Systemsなどのネットワーク・通信機器ベンダーに対抗する準備をひそかに進めていることも示している。 Intelの方向性がうかがえる手がかりの1つが、同社が先に米Texas Instruments（TI）のケーブルモデム事業を買収したことだ。これもまた、数年前にケーブルインタフェース技術大手の米Scientific Atlantaを買収したCiscoに対抗する動きだ。Ciscoの買収はほとんどが表に出るものではなく、Scientific Atlantaのケーブルモデムは5年前と
映画史上最も印象に残る編集技術10選
やっぱり素晴らしい。 映画にとって編集は、いわば出来映えを左右する強力な武器です。どんな映画も悪い映画になるかは、編集にかかっているといってもいいかもしれません。今回は映画専門YouTubeチャンネルCineFixが映画史上で最も印象的な映像編集10選を発表しましたので、見ていきましょう！ ● シティ・オブ・ゴッド（City of God） ● 俺たちに明日はない（Bonnie and Clyde） ● 北北西に進路を取れ（North By Northwest） ● ゴッドファーザー（The Godfather） ● 戦艦ポチョムキン（Battleship Potemkin） ● サイコ（Psycho） ● アンダルシアの犬（Un Chien Andalou） ● 地獄の黙示録（Apocalypse Now） ● 2001年宇宙の旅（2001：A Space Odyssey） ● アラビア
ウェブブラウザのセキュリティをテストする5つのウェブサイト
＃2：BrowserSpy.dk 2009年に筆者はPanopticlickについての記事を執筆した。その後、筆者はBrowserSpy.dkという同種のウェブサイトを見つけた（図B）。このサイトでは、Panopticlickと同様のテストの他にも64種類のテストが実施される。ただし、残念なことにBrowserSpy.dkは問題の解決方法を提示してくれない。とは言うものの、ウェブサイトにアクセスした際に、どれだけの情報が危険にさらされるのかを実際に見せてくれるわけだ。 ＃3：PC Flank PC Flankはインターネットという観点から見たコンピュータのセキュリティを網羅的にテストしてくれるウェブサイトである。テストには「Stealth Test」や「Advanced Port Scanner Test」「Trojans Test」「Exploits Test」「Browser Test
キー入力「クセ」で本人確認、１００％識別（読売新聞） - Yahoo!ニュース
ＮＴＴコミュニケーションズは、パソコンのキーボードで入力する際のクセや特徴を見抜いて個人を認証するソフトを開発した。 不正アクセスなどによる「なりすまし」を発見できる利点があり、パソコンを使った遠隔教育などでの活用が見込まれている。今年度中に国内初の商用化を目指している。 「キーストローク・ダイナミックス」と呼ばれる生体認証技術の一種で、キーを押してから離すまでの時間や、次のキーを押すまでのタイミングやリズムなどで個人差が大きいことを利用した。 事前に１０００文字程度のキー入力で様々なパターンのクセを登録し、その後入力される文章１５０文字程度ごとに、本人の打ち方との共通度を判定。打ち方のデータは、ネットワークにつながった利用者のパソコンから、同社の認証用サーバーに送られる仕組みだ。実証実験によると、本人か別人かをほぼ１００％見分けることが可能という。 パソコン利用中は継続して認証で
メール・FTP・ベーシック認証のパスワードを表示するフリーソフト「SniffPass」 - GIGAZINE
通信内容をキャッチすることによって、POP3・IMAP・SMTP・FTP・HTTPのパスワードを表示することができるフリーソフトがこの「SniffPass」です。「このメールアドレスのパスワードなんだったっけ？」という場合や「FTPのパスワードがわからないので実際に使っているFTPソフトの設定を見たが＊＊＊になって表示されない」という場合に便利です。 パケットキャプチャ用のドライバは「WinPcap」と「Microsoft Network Monitor」が使用可能となっており、「Microsoft Network Monitor」のドライバを使えば無線LANからもパスワードを抜き出すことが可能となります。 というわけで、ダウンロードと使い方は以下から。 ◆有線LANの場合 まずは下記サイトから「WinPcap」をダウンロードします。 WinPcap, the Packet Capture
「PDFウイルス」が再び猛威、メールの添付ファイルに注意
セキュリティ企業の米シマンテックは2010年7月8日、悪質なPDFファイル（PDFウイルス）を添付したメールが急増しているとして注意を呼びかけた。古いAdobe Readerをインストールしているパソコンでは、添付ファイルを開くだけでウイルスに感染する恐れがある。 今回確認されたメールは英語で記述されている。添付したPDFファイルを電話料金の請求書に見せかけてユーザーに開かせようとする（図）。ファイルには、Adobe ReaderやAcrobatの脆弱（ぜいじゃく）性を悪用する仕掛けが施されている。 悪用するのは、2010年2月17日に公開されたAdobe Reader 9.3.1/Acrobat 9.3.1で修正された脆弱性。このため、これよりも古いバージョンのAdobe Reader/Acrobatでは、ファイルを開くだけで、中に仕込まれたウイルスが動きだし、パソコンを乗っ取られる恐れ
クラウドではセキュリティの考えを変える必要がある：トレンドマイクロCEO
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 「わたしたちは今、ハイブリッドクラウドの世界に生きている」――。7月7日に開催されたトレンドマイクロの情報セキュリティカンファレンス「Direction 2010」の基調講演で同社代表取締役社長兼最高経営責任者（CEO）のEva Chen氏はこう語り、ハイブリッドクラウドの世界では、セキュリティも変える必要があると主張する。 現在一般的に理解されているハイブリッドクラウドは、Amazon.comやGoogle、Microsoftなどのパブリッククラウドと、企業が自ら運営するプライベートクラウドとの併用を称するが、Chen氏はそれも含めて、ハイブリッドクラウドの世界にわたしたちはいると説明する。Chen氏が指すハイブリッドクラウドとは、「
初心者Webアプリケーション開発者がチェックすべき情報源 - ハニーポッターの部屋
初心者Webアプリケーション開発者がチェックすべき情報源を集めてみた。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。 @ikepyonさんのご指摘により「LASDEC ウェブ健康診断」を追記した。 はてなブックマークの関連リンクによさそうな情報源があったので追記しました。それから、カテゴリを作りました。 ■Webサイト構築 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html 安全なウェブサイトの作り方(全92ページ、2.09MB） セキュリティ実装 チェックリスト（Excel形式、33KB） 安全なSQLの呼び出し方（全40ページ、714KB） ■Webアプリケーション開発 セキュア・プログラミング講座 http://www.ipa.go.jp/security/awareness/ve
プライバシー対策としていますぐ出来る10のこと | ライフハッカー・ジャパン
最近Facebookのプライバシーポリシー関連のお話をよく耳にします。このご時世、自分に関する情報がどの程度ウェブに流れているのか、というのはちゃんと把握しておきたいものです。プライバシー関連の情報はなんだかんだ言っても自分で守るしかない部分も多いです。なので今日は情報が公共の場にだだ漏れにならないように出来るあれこれを10通りご紹介します！ 注意：どんなパソコンシステムでもプライバシーを強化する最もベーシックな方法はデータを暗号化することです。通常の設定をちょっと変更するというよりも、システム設定に分類される方法ですが。いずれにしても自分以外の人が見るべきでないファイルがある場合は暗号化のやり方を知っておくと良いかも知れません。 1. 自分の名前をググってみる。 自分の名前で検索してみると、いったいグーグル先生が自分のことをどの程度知っておられるのかが数秒で解ります。昔のものから現在まで
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
グーグル、ドイツのセキュリティ企業Zynamicsを買収
https://jp.techcrunch.com/2010/11/21/20101120whoa-google-thats-a-pretty-big-security-hole/
岡崎市立中央図書館事件、カーリル運営会社が「大変遺憾」と見解 