IT Search+では、不幸にもセキュリティ事故に遭ってしまったものの、その後の対応が素晴らしかった企業や団体を表彰する「情報セキュリティ事故対応アワード」を2016年より開催している。 第88回IT Search+スペシャルセミナーでは、今年3月に開催した「第3回 情報セキュリティ事故対応アワード」で優秀賞を受賞したぴあの取締役社長室長 兼 広報室長 小林覚氏とCISO室長 兼 システム局専任局次長 川上誠氏が登壇。事故発生当時の対応を振り返りながら、EGセキュアソリューションズ代表 徳丸浩氏、NTTコミュニケーションズ 経営企画部マネージドセキュリティサービス推進室 北河拓士氏、インターネットイニシアティブセキュリティ情報統括室 シニアエンジニア 根岸征史氏、ソフトバンク・テクノロジー シニアセキュリティリサーチャー 辻伸弘氏、セキュリティ情報ブログ「piyolog」を運営するpiy

どうして JWT をセッションに使っちゃうわけ？ - co3k.org　に対して思うことを書く。 (ステートレスな) JWT をセッションに使うことは、セッション ID を用いる伝統的なセッション機構に比べて、あらゆるセキュリティ上のリスクを負うことになります。 と大口叩いておいて、それに続く理由がほとんどお粗末な運用によるものなのはどうなのか。最後に、 でもそこまでしてステートレスに JWT を使わなくてはいけないか？ とまで行っていますが、JWT認証のメリットはその実装のシンプルさとステートレスなことにあります。現実的には実際はDB参照とか必要になったりするんですが、ほとんど改ざん検証だけで済むのは魅力的です。トレードオフでリアルタイムでユーザー無効化ができないことくらいですかね。ライブラリなんて使う必要ないほどシンプルだし、トレードオフさえ許容できればむしろ、なぜこれ以上に複雑な認証

CodeZine編集部では、現場で活躍するデベロッパーをスターにするためのカンファレンス「Developers Summit」や、エンジニアの生きざまをブーストするためのイベント「Developers Boost」など、さまざまなカンファレンスを企画・運営しています。

安全な Web アプリケーションの作り方 ブログ枠で入り込みました。 2018年9月10日（月）19：00～20：30 @ EGセキュアソリューションズ株式会社 Connpass から引用: 弊社代表 徳丸の著書であり、ウェブエンジニアのみなさまのバイブルとして親しんでいただいております『安全なWebアプリケーションの作り方』。6月21日に待望の第2版が発売されました。 今回の勉強会では少しカジュアルに、『安全なWebアプリケーションの作り方』第2版執筆にあたっての想いや、初版との違い、お勧めの読み方等を著者徳丸自らがお伝えします。 さらに、第2版で新規に追加された以下の脆弱性のデモもご覧いただきます。 表紙 初版の表紙と第二版の表紙で微妙に向きが変わっている、特に意味はないけど。逆向きの矢印も検討したんだけど、座りが悪った。 初版（amazon） 第二版（amazon） 第二版で改訂しま

Webサイトへの不正アクセスが相次いでいる。企業としては対策が急務だが、攻撃者の手口は“進化”を続けている。被害に遭わないためには、最新の手口や対策に関する情報を常時チェックして備える必要がある。そこで、企業のセキュリティ担当者はもちろん、一般の従業員や経営陣なども知っておくべき、Webセキュリティの新常識について、Webセキュリティの第一人者である徳丸浩氏に最新の事案をもとに、その傾向と対策を語ってもらった。

概要 ところでこのツイートを見てほしい。このソースコードをどう思う？ 世界最悪のログイン処理コード。 実際のサービスで可動していたものだとか……https://t.co/C2bG93ZCkj pic.twitter.com/EfVNAEslrn — はっしー@海外プログラマ🇳🇿元社畜 (@hassy_nz) 2018年8月10日 すごく……セキュリティーホールです…… 一応は動いていますが、あまりに問題がありすぎるため、Twitterでも話題になっていました。 問題点は片手に入り切らないぐらいある気がしますが、一つづつ解説していきます。 ※元記事のタイトルに記載されていますが、このコードはイントラネット内で動作していたものです。 問題点リスト 1. クライアント上のJavaScriptで書かれている 他の問題点を全部ぶっ飛ばすぐらいの重大な不具合です。 クライアントと言うのはこの場合、

How browsers work Stay organized with collections Save and categorize content based on your preferences. Preface This comprehensive primer on the internal operations of WebKit and Gecko is the result of much research done by Israeli developer Tali Garsiel. Over a few years, she reviewed all the published data about browser internals and spent a lot of time reading web browser source code. She wrot

あらゆる分野にデジタル技術の影響が及ぶ「デジタルトランスフォーメーション」の時代において、その先陣を切っている業界の1つが「自動車」だ。ソフトウェアによる情報処理で利便性や安全性能を高めた「スマートカー」、インターネットと接続しデータをやりとりしながら各種の制御を行う「コネクテッドカー」などは、その最新の成果として期待されている。 そうした進化が進む一方、懸念されているのが「セキュリティリスクの増大」だ。新しいカーシステムが次々と生まれて進化する中で、どのようなリスクが生じる可能性があるのか。また、そのリスクを突こうとするサーバ攻撃を、どう防げばいいのだろうか。日本マイクロソフトが開催した技術イベント「de:code 2018」では、それをテーマにセッションが行われた。 「セキュリティマニアックス ～みんなで守ろうコネクテッドカー～」と題されたセッションに登壇したのは、カーシステムのセキュ

ルーターやネットワークアタッチトストレージ(NAS)をターゲットとする新しいマルウェア「VPNFilter」の存在が、セキュリティ企業のシマンテックにより報告されています。シマンテックのセキュリティ研究者によると、VPNFilterは感染したデバイス経由でネットワークトラフィックを監視したり、中間者攻撃を仕掛けたり、悪質なコードを挿入したりすることが可能です。 VPNFilter: New Router Malware with Destructive Capabilities | Symantec Blogs https://www.symantec.com/blogs/threat-intelligence/vpnfilter-iot-malware Cisco's Talos Intelligence Group Blog: VPNFilter Update - VPNFilter

司法試験：勝利のアルゴリズム 現在、フリーの司法試験系講師（主にBEXAとTACにて講義・教材等を提供中）になった中村充が、受験生時代（2005.11.9まで）から続けているブログです。 司法試験・予備試験・法科大学院入試対策の方法論を中心に書いています。 昨日の記事のつづきです。 タイムリーに、ななしさんから下記のコメントをいただきました。 「司法試験でもサッカーでもやりきることってできないと思います。 やりきったと思うことはできるかもしれないですけどね。サッカーでも練習は無限にあるし、司法試験でも教材ややり方は無限にあって色んな人が異なることをいいます。 でもサッカー日本代表とは違って司法試験受験生は個人の戦いだから意思決定は早そうですね」 …全くおっしゃるとおりで、司法試験でもサッカーでも、やった方がいいことは無数にありますから、その全てを客観的にやり切ることは、事実上不可能です。

司法試験：勝利のアルゴリズム 現在、フリーの司法試験系講師（主にBEXAとTACにて講義・教材等を提供中）になった中村充が、受験生時代（2005.11.9まで）から続けているブログです。 司法試験・予備試験・法科大学院入試対策の方法論を中心に書いています。 このテーマについては、非常に残念ながら…サッカー日本代表がすごく分かりやすい反面教師なので！ これを使わせてもらいます。 ハリルホジッチ監督の解任の際、「ハリルサッカーをやり切るべきだった…解任しちゃうと、ここ数年のハリルサッカーの反省・分析ができず、次につながらない」といった言説が結構見られた。 まあ、この点については私も、そうだろうと思う。 で、現状のサッカー日本代表は、前回のブラジルＷ杯以来、代表選手(の一部)が求める「自分たちのサッカー」に回帰しているとの評価が一般的だろう。 ただ、そうだとすると、私は代表選手たちをそんなに責め

要約（僕の主張） 篠原嘉一氏の講演内容には、IT関連の知識がない人にはわかりづらいウソや間違い、極論が多く含まれているため、適切な情報教育だとは言いがたい。よって改善を強く希望する。 学校側は「生徒をネットのトラブルから守りたい」という思いが優先されるため、ITエンジニアよりも「情報の正しさ」がないがしろにされてしまうのかもしれない。だが、ITエンジニアとして、そして保護者として、学校は子どもたちに正しい情報を伝える努力をしてほしい。 我々ITエンジニアも情報教育を学校に丸投げするのではなく、正しい知識を伝えるために、主体的に情報教育に協力していく必要がある。 はじめに Image: http://www.mrf-ip.com/blog/0067/ 先日、息子が通っている中学校で開催された情報教育講演会に参加してきました。 これは中学校の全生徒と、任意参加の保護者で、情報教育（主にSNSや

私たちのビジネスは、さまざまな脅威にさらされている。古くから多様な攻撃手法が登場し、そのたびにIT担当者を悩ませてきた。昨今のITの進化はサイバー攻撃すらも高度化させ、いっそう重篤な問題として企業を脅かしている。アーバーネットワークスの名誉アドバイザーを務めるサイバーディフェンス研究所の名和利男 上級分析官が、最先端の「IoT」と「DDoS攻撃」の関係に着目し、アーバーネットワークスの最新の調査データ「ワールドワイド・インフラストラクチャー・セキュリティ・レポート 第13版」を基に「今」を解き明かす。 みんなが取り組むIoT、みんなに狙われるIoT 現在、最も注目度の高い企業ITといえば「IoT」の分野であろう。製造業では、機械設備にセンサーを取り付け、さまざまなデータを集めて稼働状況を見える化して生産の効率化を図ることは、もはや常識となっている。建築業界でも、工作機械や製造装置などをモニ