Security - Apple Developer
Security Apple devices, platforms, and services provide world-class security and privacy to our users, with powerful APIs for you to leverage in your own apps. Face ID and Touch ID These secure ways to unlock, authenticate, and pay let users quickly access your app with just a glance or a touch of their finger. The Secure Enclave, a hardware-based security processor isolated from the rest of the s
WebRTCセキュリティレポート · A Study of WebRTC Security
WebRTCセキュリティレポート あらまし WebRTC(Web Real-Time Communication)は、Webアプリケーション技術の昨今のトレンドの一つだ。WebRTCを利用すると、プラグイン無しで、また他の条件も無しでリアルタイムコミュニケーションを実現できる。だが、そのオープンソースとして性質から、WebRTCを採用しようとする人がセキュリティ上の不安を覚えることもあるだろう。本レポートはWebRTCのセキュリティについて明らかにし、他の技術と比較してWebRTCのセキュリティが優れていることを解説する。 1. 導入 WebRTCはオープンソースのWebベースの技術であり、ユーザがリアルタイムメディア通信を、プラグイン無しで実現可能な技術だ。適切なブラウザを利用すれば、ウェブサイトをブラウズするだけで、他者に発信して通話することができる。 WebRTCの主なユースケースは
前方秘匿性 (forward secrecy) をもつウェブサイトの正しい設定方法
前方秘匿性（forward secrecy）とは、以下のような性質を指します。 公開鍵暗号の秘密鍵のように、比較的長期に渡って使われる鍵が漏えいしたときでも、それまで通信していた暗号文が解読されないという性質 鍵が漏れることも想定せよ――クラウド時代における「楕円曲線暗号」の必然性 - @IT 鍵が攻撃者や諜報機関など第三者の知るところとなった場合でも、それまで通信していた暗号文が解読されないようにしないといけない、という考え方とともに、最近 HTTPS を利用するウェブサイトにおいても導入が求められるようになってきた概念です。 前方秘匿性を満たすウェブサイトの設定方法については、TLSの暗号化方式をECDH_RSAあるいはECDHE_RSAに設定すれば良い、と述べている文献が多いです。 ですが、ほとんどのウェブサーバにおいて、それは誤りです。 なぜか。 通信を暗号化する鍵（セッション鍵）
The OAuth 2.0 Authorization Framework: Bearer Token Usage（日本語）
The OAuth 2.0 Authorization Framework: Bearer Token Usage（日本語） Abstract この仕様書は, OAuth 2.0の保護リソースへアクセスするために, 署名無しトークンをHTTPリクエスト中でどのように利用するか記述したものである. 署名無しトークンを所有する任意のパーティ (持参人) は, 関連づけられたリソースへアクセスするために署名無しトークンを利用できる (暗号鍵の所有を示す必要はない). 誤った利用を避けるために, 署名無しトークンは保存場所や流通経路での値の露見から守られる必要がある. Status of This Memo This is an Internet Standards Track document. This document is a product of the Internet Enginee
自堕落な技術者の日記 : 「RFC 7525 TLSとDTLSの安全な利用に関する推奨事項」の公開 - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 2015年5月7日に「RFC 7525 TLSとDTLSの安全な利用に関する推奨事項(Recommendations for Secure Use of Transport Layer Security (TLS) and Datagram Transport Layer Security (DTLS))」が公開されました。 昨年あたり、SSL/TLSで使われる暗号アルゴリズム、プロトコルや実装にいろいろな問題が見つかり、製品をそのままデフォルトで使っているとロクなことが無いわけですが、どんなことに注意しながら実装や設定をしなければならないかをベストカレントプラクティス(現時点での最良の慣行)としてまとめたRFCだそうです。 最近、SSL/T
Comparison of TLS implementations - Wikipedia
9.1Defined curves in RFC 8446 (for TLS 1.3) and RFC 8422, 7027 (for TLS 1.2 and earlier)
boringssl - Git at Google
9cffd74 Adds functionality for instantiating and using `Algorithm` by Ellen Arteca · 6 weeks ago master82f9853 Use dtls_record_header_write_len instead of DTLS1_RT_HEADER_LENGTH. by Nick Harper · 4 weeks ago9b3ef1b optimize constant_time_conditional_memxor for gcc by Andres Erbsen · 5 weeks ago096ded9 Compute should_ack_sni in one place by David Benjamin · 7 days agod274b1b Add ECH fallback API by
Network Security Services - Wikipedia
Network Security Services (NSS) is a collection of cryptographic computer libraries designed to support cross-platform development of security-enabled client and server applications with optional support for hardware TLS/SSL acceleration on the server side and hardware smart cards on the client side. NSS provides a complete open-source implementation of cryptographic libraries supporting Transport
Lesson4：相手が信頼できることを確かめる「サーバー証明書」とは？
Lesson4では，通信相手のサーバーが信頼できるかどうかを確認するしくみを見てみよう。ここでは，サーバーがクライアントに送信する「サーバー証明書」に注目する。 証明書には「署名」が付いている サーバー証明書は，サーバーの管理者が，「認証局」と呼ばれる組織に申請して発行してもらう（図4-1）。サーバー証明書には，サーバー運営者の組織名，認証局の組織名，証明書の有効期限，サーバーの公開鍵などの情報が書き込まれている。さらに，サーバー証明書には認証局の署名が付いている。署名とは，証明書の内容をハッシュした値を，認証局の秘密鍵で暗号化したデータである。 図4-1●「サーバー証明書」と「署名」とは？ サーバー証明書は，サーバーの各種情報が書き込まれた情報で，サーバーの公開鍵が含まれている。サーバー証明書には，認証局の署名（証明書を認証局の秘密鍵で暗号化したデータ）が付いている。 [画像のクリックで
ICS Trust Store Implementation
In the previous two posts we looked at the internal implementation of the Android credential storage, and how it is linked to the new KeyChain API introduced in ICS. As briefly mentioned in the second post, there is also a new TrustedCertificateStore class that manages user installed CA certificates. In this entry we will examine how the new trust store is implemented and how it is integrated in t
セキュリティディスクリプタとは？ - Web/DB プログラミング徹底解説
この資料では Windows のセキュリティ機構を利用する上で非常に重要な、 セキュリティディスクリプタ (Security Descriptor, セキュリティ記述子) について説明します。 セキュリティディスクリプタは、それぞれのオブジェクトに対して OS がどのようなアクセスを許可、 許可あるいは監査を行うか記述するものです。 Windows のセキュリティは誰がどこに対して何ができるか、ということが基本になっています。 これと対になるのは、.NET Framework のコードベースセキュリティと呼ばれるもので、 どのプログラムが何を出来るか、というものを基礎とするものです。 従ってセキュリティ・ディスクリプタには、「誰が」 「何を」 できるか書いてあると予想できるわけです。 そのように予想した上で、どこに 「誰が」 「何を」 できるか記述してあるのか図で見てみましょう。 セキュリ
Windowsメッセージによる権限上昇の危険性
本文書は、Cyber Security Management誌に寄稿した記事の原稿を、CSM編集部殿の許可を得た上で掲載したものです。 組織のネットワークセキュリティを確保する上で、コンピュータシステムに対するユーザの権限を限定することは非常に重要である。一般ユーザがコンピュータのシステム管理権限を持つというようなことは、通常は考えられない。しかし、ソフトウェアのセキュリティホールを利用すれば、一般ユーザとしてログオンしながらシステム管理権限を得ることも可能となる場合がある。 今回は、Windowsの基本的な機能であるWindowsメッセージを利用した権限上昇の危険性について、いくつかの例をあげながら解説する。 Windowsアプリケーションと「メッセージ」 WindowsのようなGUI（グラフィカル・ユーザ・インターフェイス）ベースのシステムでは、アプリケーションプログラムは画面上に「ウ
毎日がAndroid&写真日和 - パーミッション「SYSTEM_ALERT_WINDOW」を使うアプリが起動していると、apkインストール画面の「インストール」ボタンが押せない
「日和見Android主義」（http://hiyoridroid.wordpress.com/）のミニバージョン＋写真を少々。写真はたぶんほとんどがpicplz経由。 あんまり出くわすことのないトラブルかもしれないけれども、「なるほど！」と思ったのでちょっと記事にしてみる。 あるとき、マーケットからでなくapkファイルで某所から落としたアプリを自分の端末にインストールしようとしたところ、apkファイルをタップして出てくる画面の「インストール」ボタンだけどうやっても押せないということがあった。 キャンセルボタンだけは押せるんだが、どうしてもインストールボタンが反応しない。 なんでかと思って調べてみたら、こんな現象、というか仕様があることを知った。 パーミッション「SYSTEM_ALERT_WINDOW」を使うアプリが起動していると、（恐らくセキュリティ上の都合で）apkインストール画面の「
Android ICS のキーストアアクセスの一元化
元記事 Unifying Key Store Access in ICS Android 4.0 (ICS) では、人々がパーソナルな Android デバイスを仕事に使えるようにするための多くの機能拡張が追加されています。ここでは、キーストア機能について取り上げます。 Android 1.6 (Donut) で VPN を利用するためにシステムキーストアが追加されました。のちに WiFi 認証のサポートにも拡張されましたが、アプリケーションがアクセスすることはできない状態でした。 これまで、セキュアなSSLウェブサーバーの認証や、クライアント証明書を介してサーバーにユーザー認証する必要がある場合、アプリにとって自身のキーストア管理は共通の課題でした。このための処理では、メールやブラウザなどのいくつかのアプリに渡って複数の証明書が共有されるようなエンタープライズ向けの環境では、管理上の問題
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Disable ASLR/PIE by Manipulating the Mach-O Header | Vox
SSL/TLSの基礎と最新動向
Java Authentication and Authorization Service - Wikipedia
X.509 Certificate Validation in Java: Build and Verify Chain and Verify CLR with Bouncy Castle
Androidアプリのセキュア設計・セキュアコーディングガイド
GitHub - sqlcipher/android-database-sqlcipher: Android SQLite API based on SQLCipher
