cakephp3で "ログイン状態の保持" の機能を実装してみました。 ※Quick Start Guide http://book.cakephp.org/3.0/en/quickstart.html に追加する感じで 方針 cookieとデータベースにログインキーを保持 両者が一致したらログインとする テーブル auto_loginテーブルを作ります CREATE TABLE `users` ( `id` INT(11) AUTO_INCREMENT PRIMARY KEY, `email` VARCHAR(255) NOT NULL, `password` VARCHAR(255) NOT NULL, `created` DATETIME, `modified` DATETIME ); CREATE TABLE `auto_login` ( `user_id` INT(11) UNS

GIMP – The GNU Image Manipulation Program: The Free and Open Source Image Editor オレンジの《DOWNLOAD》ボタンをクリック 次に、以下のオレンジの【DOWNLOAD】ボタンをクリックします。 ダウンロードサイトに移動したら、右のオレンジボタンをクリックして、自分が分かる場所にダウンロードしてください。 ダウンロードしたdmgファイルを解凍する ダウンロードが完了したら、dmgファイルを【ダブルクリック】して解凍しましょう。 解凍できたら「GIMP」ファイルを「アプリケーション」フォルダに【ドラッグして移動】させましょう。 GIMPのインストールが完了 アプリケーション内に入れた《GIMP》をダブルクリックすると起ち上がります。 もし、以下のようなアラートが出た場合は、【開く】をクリックしてください。 上記

サーバーを攻撃する手法の一つにリモート・ファイル・インクルード(以下，RFI)攻撃がある。RFIはスクリプト言語のPHPで作成されたWebアプリケーションのぜい弱性を突くことで，リモートからWebページに攻撃コードを挿入し実行させる攻撃である。攻撃者は悪意のあるURLリクエストをWebサーバーに送るだけで，サーバーから情報を盗み出したり，データを改ざんしたりできる。ボットを埋め込む方法としても使われるため，注意が必要である。 今回は実際の検体を基に，RFI攻撃を使って埋め込まれるボットの機能や，ボットに感染した場合の検知・対処方法，そして感染しないための予防法について解説する。 RFI攻撃では以下のようなURLリクエストを送ることで，リモートの悪意あるサーバーXXXXで公開している攻撃コードattack.txtをWebサーバー(example.com)に読み込ませることができる（図1）。こ

以下順を追って説明します。 HelloRequest 相手にClientHelloを送信するよう促すメッセージです。送信しなくても構いません。 ClientHello ServerHello ClientHelloとServerHelloは、TLSのひとつめの肝です。後ほど説明します。 ServerCertificate サーバ証明書を送信します。中間CA証明書なども、ここで送ります。 ServerKeyExchange 鍵交換メッセージその１です。鍵交換はTLSのふたつめの肝で、これも後ほど説明します。 CertificateRequest クライアント証明書を送信するように促すメッセージです。クライアント証明書が必要な場合に送信します。何そのクライアント証明書って？と思った方は読み飛ばして構いません。 ServerHelloDone サーバからの送信終了を示すエンドマークです。 Cli

ほとんどの人がHTTPSとSSL (Secure Sockets Layer) を結びつけて考えます。SSLは1990年代半ばにNetscape社が開発した仕組みですが、今ではこの事実はあまり正確でないかもしれません。Netscape社が市場のシェアを失うにしたがって、SSLのメンテナンスはインターネット技術タスクフォース(IETF)へ移管されました。Netscape社から移管されて以降の初めてバージョンはTransport Layer Security (TLS)1.0と名付けられ、1999年1月にリリースされました。TLSが使われだして10年も経っているので、純粋な"SSL"のトラフィックを見ることはほとんどありません。 Client Hello TLSはすべてのトラフィックを異なるタイプの"レコード"で包みます。ブラウザが出す先頭のバイト値は16進数表記で0x16 = 22。 これは

Forward Secrecyとは 過去の秘密データを守る 暗号化されたデータの盗聴 盗聴されたデータは、SSLで暗号化されていればそのままでは解読されることはありませんが、暗号化する際に使用した鍵が入手できた時のためにそのまま保存されている可能性はあります。 NSA・米国国家安全保障局による盗聴疑惑が話題になりましたが、国家機関であれば暗号化された全インターネットデータも保存することが可能です。 実際に、暗号化鍵が露呈される事件も起こっています。2014年にも、有名なOpenSSLに重大な脆弱性（Heartbleed）が見つかっています。（HeartbleedについてはOpenSSL Heartbleed（心臓出血）脆弱性へのDigiCertの対応をご参照ください。） このような事態が起こった場合、バグフィックスを行ったうえで新しい秘密鍵を設定すれば、それ以降の通信データの安全性は確保で

レコード タイプ SSL には 4 つのレコード タイプがあります。 ハンドシェイク（22、0x16） 暗号仕様変更（20、0x14） アラート（21、0x15） アプリケーション データ（23、0x17） レコード バージョン レコードバージョンは16ビットの値で、ネットワーク順にフォーマットされます。 注：SSLバージョン3(SSLv3)の場合、バージョンは0x0300です。Transport Layer Security Version 1(TLSv1)の場合、バージョンは0x0301です。Cisco Adaptive Security Appliance(ASA)は、SSLバージョン2(SSLv2)をサポートしませんバージョン0x0002、またはTLSv1より大きいTLSの任意のバージョン。 レコード長 レコード長は 16 バイト値で、ネットワーク順序でフォーマットされます。 理論

鍵交換とは 例えば、zipを作成するときにはパスワードを設定しますね。これは、zip作成者がパスワードを知っている人だけが中身を読めるようにするためのものです。 我々がふだん使っているセキュアな通信(TLS, SSHなど)は、送信側と受信側が同じ「鍵」を共有することで行います。実際には鍵は一定の長さのビット列(256ビットがよくありますが、暗号アルゴリズムとその設定でまちまちです)なのですが、送信者と受信者だけが鍵を知っていて、他の人は知らないというのがポイントです。 では、通信を開始するとき、送信者と受信者はどのように鍵を取り決めるのでしょうか？　通信を傍受している悪者がいたとすると、「これからこの鍵で暗号化して通信するよー！」と鍵をそのままネットワークに流しては鍵が悪者にばれてしまい、その後の通信も盗み見ることができてしまいます。しかし通信開始時には暗号化された通信経路は存在しないので

メニューに「新しいチケット」が表示されないなどチケットが作成できないときは、次の設定を確認しましょう。 プロジェクトにトラッカーは選択されているか？ モジュール「チケットトラッキング」にチェックが入っているか？ チケット作成権限を持っているか？ プロジェクトにトラッカーは選択されているか？ 「チケット」タブは表示されているのに「新しいチケット」メニューが表示されない場合は、トラッカーが未選択の可能性があります。トラッカーはチケットを分類したり、ユーザーの権限設定にも関わる重要なもので、チケットを作るためにプロジェクトに対して最低1つは使用します。 「管理」→「プロジェクト」→プロジェクトを選択→「設定」タブ内の「チケットトラッキング」を開く。 (Redmine 3.4以前のバージョンでは、「設定」タブ内の「情報」を開く。) 「トラッカー」のいずれか一つ以上にチェックが入っていることを確認す

MacZip4Win Version 0.4.1 miya@japo.netさんのサイト「japo.net」がネット上から消滅したため、神アプリともいわれた MacZip4Win がダウンロードできなくなり、困っている人が多いようです。作者とは親交があったものの、最近連絡が付かないため本人の了解を得てはおりませんが、きっと許してくれると思います。再配布した責任は負うつもりで公開しました。　「miyaさん、いいでしょ？」 ダウンロード→【MacZip4win_0_4_1.zip】（zipファイル、217KB） 本プログラムは、Mac OS XでZIPアーカイブしたファイルが、Windowsでファイル名が文字化けをする事を防ぐため、ファイル名をShift_JISでアーカイブするための物です。 また、.DS_StoreなどのWindowsで不要なファイルは削除されます。 ■ インストールおよびア

Apache では Apache で起動している Web サーバにアクセスしてきたユーザーのログを残すことができますが、ユーザーの情報の中からどのようなデータをログとして残すのかについてログのフォーマットを定義することができます。ここでは Apache のログファイルで使用するフォーマットを設定する方法について解説します。

rootでviで編集すると、Syntaxの色付けがなくて見づらいですよね。（逆にSyntaxが嫌い、という人もいるみたいですが） そもそも色が付いているのは、viがvimへのaliasになっているからなんですが、rootの場合はviのままになっているのが原因です。 これを変えるためには /etc/profile.d/vim.sh を編集します。 if [ -n "$BASH_VERSION" -o -n "$KSH_VERSION" -o -n "$ZSH_VERSION" ]; then [ -x /usr/bin/id ] || return [ `/usr/bin/id -u` -le 100 ] && return # for bash and zsh, only if no alias is already set alias vi >/dev/null 2>&1 || alia

ハッスルサーバーで動かしてたTwitterのbotを、さくらVPSの方に移しました。 その手順のメモです。 BotはPHPで動いてます。 cronのインストール インストールされてるかどうかを確認します！ /etc/rc.d/init.d/crond status インストールされてなかったので・・・。 yum install crontabs インストールしたら起動して、OS起動で自動実行するように。 /etc/rc.d/init.d/crond start chkconfig --level 2345 crond on crontabの設定 調べたところ、cronというものを動かすには色々やり方があるようでした。 crontabに設定を書く 週一実行とか、月一実行とかディレクトリが用意されてるのでそこにファイルを置く 前者が一般的とのことで、crontabを設定していきます。 cron

はじめに Apacheでドメインを設定した際に、https://example.com のようにHTTPS通信にすることが多々あると思います。 常時SSLを設定する場合は、HTTP通信が必要ないのですが、過去に http://example.com といったURLで資料を配っている場合のことを考え、httpでアクセスしたユーザーに対し、httpsへリダイレクトさせておくと便利です。 設定ファイル内に書き込むだけなので特に難しいことはないのですが、色々な情報が出回っており、試した方法がことごとく失敗しました。 この方法であれば上手くいくと思いますので、ぜひ参考にしてください。 開発環境 CentOS 6.8 Apache 2.2.15 (Unix) 設定ファイル Apacheの設定ファイルが /etc/httpd/conf.d/vhost.conf で行うと想定しています。 # http経由

Let's Encrypt 最新情報 ・ワイルドカード証明書と ACME v2 へ対応が完了しました（2018年03月15日 更新） ※技術的な詳細については ACME v2 とワイルドカード証明書の技術情報 をご覧ください。 ※ワイルドカード証明書の取得には、ACME v2 プロトコルに対応したクライアントと DNS による認証が必要です。証明書の取得・更新の際に、DNS の「TXT レコード」にワンタイムトークンを登録する必要があります。 ※サブジェクトの代替名（SAN : Subject Alternative Name）を使用した 複数のドメイン名・サブドメイン名に対して有効な証明書 も引き続き取得可能です。 Let's Encrypt について Let's Encrypt は、認証局（CA）として「SSL/TLSサーバ証明書」を無料で発行するとともに、証明書の発行・インストール・

※ iptablesの設定内容は、サーバーへの攻撃対策方法やお客様の利用用途により多岐にわたり、このページに紹介する設定の限りではありません。 ※ 本マニュアルは、あくまでも参考としてご覧いただき、実際の設定はお客様にてサーバーへの攻撃対策方法やご利用用途をご確認のうえ追加での対策設定などを各種参考書籍をもとに行ってください。