Fixing security vulnerabilities in npm dependencies in less than 3 mins
https://miro.medium.com/max/1021/1*MrEp6Y0l1B7Ixt5mfE3fWA.pngHola people!!! 🥑 It’s been a while since I have written a blog and now since most of us are working from home, the time that used to go in commute is now saved and I thought why not utilize this time and write about my recent experience of fixing a security vulnerability.
すぐできる iOS Strong Password and Security Code AutoFill | Recruit Tech Blog
すぐできる iOS Strong Password and Security Code AutoFill koutalou この記事は RECRUIT MARKETING PARTNERS Advent Calendar 2018 の投稿記事です。 こんにちは、エンジニアの @koutalou です。 2018年のWWDCでiOS12からサポートされる高強度のパスワードとセキュリティコードの自動入力について発表されました。 Automatic Strong Passwords and Security Code AutoFill - WWDC 2018 - Videos - Apple Developer 便利な機能ですぐ対応できる割にあまり対応しているアプリを見かけないので、紹介したいと思います。ちなみにサンプルコードも用意してます。 koutalou/iOS-Sample-of-Aut
Cookie の性質を利用した攻撃と Same Site Cookie の効果 | blog.jxck.io
Intro Cookie はブラウザによって保存され、紐づいたドメインへのリクエストに自動で付与される。 この挙動によって Web におけるセッション管理が実現されている一方、これを悪用した攻撃方法として、 CSRF や Timing Attack などが数多く知られており、個別に対策がなされてきた。 現在、提案実装されている SameSite Cookie は、そもそもの Cookie の挙動を変更し、こうした問題を根本的に解決すると期待されている。 Cookie の挙動とそれを用いた攻撃、そして Same Site Cookie について解説する。 Cookie の挙動 Cookie は、 Set-Cookie によって提供したドメインと紐づけてブラウザに保存され、同じドメインへのリクエストに自動的に付与される。 最も使われる場面は、ユーザの識別子となるランダムな値を SessionI
第60回 脆弱性診断ええんやで(^^) やられWebアプリケーションの倒し方（OWASP BWA編）
募集方法について 次のつぶやきを見て「(・∀・)ｲｲ!!」と思ったので真似してます(^^) https://twitter.com/making/status/874599484545581056 https://security-testing.doorkeeper.jp/events/73188 （LT枠1名＋前日以降キャンセルしない枠 39名＋当日にキャンセルするかも…枠10名） https://security-testing.connpass.com/event/85029/ （抽選 10名） テーマ 今回のテーマはやられWebアプリケーションの倒し方（OWASP BWA編）です。 以前に実施した「第57回 脆弱性診断ええんやで(^^) やられWebアプリケーションの倒し方」では、様々な脆弱性が意図的に埋め込まれている、実験・教育用のWebアプリケーションである「やられWebアプ
Unblocking clipboard access | Articles | web.dev
Unblocking clipboard access Stay organized with collections Save and categorize content based on your preferences. The traditional way of getting access to the system clipboard was via document.execCommand() for clipboard interactions. Though widely supported, this method of cutting and pasting came at a cost: clipboard access was synchronous, and could only read and write to the DOM. That's fine
「パスワードは定期的に変更してはいけない」--米政府
＜アメリカの電子認証専門機関が、定期的なパスワード変更の推奨をやめると決めた。エンドユーザーもいずれ、代わりの新しい「パスフレーズ」を要求されるようになるはずだ＞ 米政府機関はもう、パスワードを定期的に変えるのを推奨しない。アメリカの規格標準化団体、米国立標準技術研究所（NIST）が発行する『電子認証に関するガイドライン』の新版からルールを変更する。 ウェブサイトやウェブサービスにも、サイトが乗っ取られたのでもない限り、「パスワードが長期間変更されていません」などの警告を定期的に表示するのを止めるよう勧告するという。銀行や病院のように人に知られてはいけない個人情報を扱う機関も同じだという。 【参考記事】パスワード不要の世界は、もう実現されている？！ 実は近年、情報セキュリティー専門家の間でも、特別の理由がない限り、ユーザーにパスワード変更を求めるべきではないという考え方が増えてきた。なぜな
「教えることは教わること」―セキュアスカイテクノロジー はせがわようすけさん
ＳＮＳのメッセージでセキュリティ企業から勧誘を受ける セキュアスカイテクノロジー CTO はせがわようすけさん 2017年1月からセキュアスカイテクノロジー（以下、SST）のCTOに就任したはせがわようすけさん。CTOを即興で「ちゃうねん、とりあえず、大阪弁」と冗談にする。関西人気質なのか、常に笑いを織り交ぜて場を盛り上げようとする。 「小学校の時、将来なりたい職業は詐欺師、弁護士、役者だったんですよ」。人を欺いても平然としている姿がいいと思ったそうだ。欺くところはさておき、人前で動じないことや人に影響を与える姿をイメージしていたのかもしれない。現実は「詐欺師は犯罪、弁護士は難しい、役者も大変」ということで全部断念したものの、筆者にはエバンジェリストや講師という形で小さい頃の理想像を健全に実現しているように思えた。 今でこそはせがわさんはWebセキュリティの専門家だが、もともとは電子回路の
Securing Cookies in Go - Calhoun.io
Black Friday Sale! My Go courses are on sale until Nov 29. Save 50% on each course during the sale. Both courses have lifetime access, a 30-day money back guarantee, and free updates. Jon Calhoun Securing Cookies in Go When I first started learning Go I had experience with web development, but a little less experience working directly with cookies. I was coming from a Rails background, and while I
セキュリティ・キャンプ全国大会2017に参加した - 1日ひとつだけ強くなる
はじめに 8/14〜8/18の5日間、セキュリティ・キャンプ全国大会2017に参加して来ました。 はい pic.twitter.com/5UqmJ9I5ZV— ukun (@__ukun) 2017年8月14日 会場は府中刑務所の近くにあるクロスウェーブ府中というところです。 今回の会場，刑務所がめっちゃ近いからキャンでやらかしをした人を即刑務所に連れてけるし便利っぽいな— 九里 真夏 (@kotatsu_mi) 2017年8月14日 ご飯とか生活環境等の話は他の参加者がブログに書いてある通り、とてもいいです。大して特筆する点はないので割愛します。 公式のアカウントもご飯の写真とか呟いてるし、そういうの気になる人はそっちを見たらいいんじゃないでしょうか。 twitter.com セキュリティ・キャンプってなに www.ipa.go.jp 簡単にいうと、全国の22歳以下の学生が集まって情報セ
お前らのSSH Keysの作り方は間違っている - Qiita
GitHubのHelpに記述されているSSH Keysの作成方法が僕の知っている作成方法と 微妙に異なっていたので、書いてみました。 以下の参考にしています。 Generating SSH keys - User Documentation SSH Keysの確認 既存のSSH Keysの確認をする必要があるので、以下を実行 デフォルトでのSSH Keysの名前は以下のうちのどれか id_dsa.pub id_ecdsa.pub id_ed25519.pub id_rsa.pub 現在使用している鍵の暗号強度の確認 以下のコマンドにて鍵長が2048以上かつ暗号化方式がRSA、或いはECDSAやEd25519であればOK $ ssh-keygen -l -f ~/.ssh/id_rsa.pub 4096 SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
猶予8時間！脆弱性だらけのサービスを堅牢化する実践型研修 - Speee DEVELOPER BLOG
Speeeエンジニアの西岡（@nisshieeorg）です。 去る7/5(水)、Speeeでは社内の全エンジニア向けに、セキュリティ研修を実施しました。本研修では、株式会社リクルートテクノロジーズの西村宗晃様に講師としてお越しいただきました。この場を借りてお礼申し上げます。 研修の目的 Webを主戦場にして戦う私達エンジニアは、自分たちのサービスそのものや、ユーザー、顧客を守るために、より安全なWebアプリケーションを構築する知識・技術を求められます。もちろんSpeeeでも、このような知識を身につけることは必須とした上で、日々の開発ではソースコードレビューや各種脆弱性診断ツールを用いて、私達が構築するアプリケーションの安全性を高めるよう努めています。しかし一方これまでSpeeeでは、「セキュリティに関する体系的な知識の学習法が会社から提示されていないため、個人の学習に依存している」「小さな
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - OWASP/owasp-mastg: The Mobile Application Security Testing Guide (MASTG) is a comprehensive manual for mobile app security testing and reverse engineering. It describes the technical processes for verifying the controls listed in the OWASP Mobile
GynvaelEN
Chrome DevTools on Twitter: "Tip: Use the Security panel to diagnose mixed content issues (when a secure page HTTPS requests insecure HTTP resou… https://t.co/qExzkuG6U2"
What Google Cloud, G Suite and Chrome customers need to know about the industry-wide CPU vulnerability
GitHub - awslabs/git-secrets: Prevents you from committing secrets and credentials into git repositories
[CEDEC2017] LINEゲームのセキュリティ診断手法![[CEDEC2017] LINEゲームのセキュリティ診断手法](https://cdn-ak-scissors.b.st-hatena.com/image/square/f58cb8b7e4ddb794a5333d7c44d9b64341cfbe89/height=288;version=1;width=512/https%3A%2F%2Fcdn.slidesharecdn.com%2Fss_thumbnails%2Fcedec2017game1web-170831030226-thumbnail.jpg%3Fwidth%3D640%26height%3D640%26fit%3Dbounds)
https://atnd.org/events/89594
Free Bug Bounty Program and Coordinated Vulnerability Disclosure | Open Bug Bounty
Announcing Google Capture the Flag 2017
