クレジットカード業界の情報セキュリティを学ぶ
上記はすべて、海外のWebサイトを経由したサイバー攻撃により情報が流出した。具体的にはWebサイトのSQLインジェクションの脆弱（ぜいじゃく）性を利用し、外部から不正なコマンドを発行し、クレジットカード情報を含めた個人情報を抜き取る手法によった。 上記の中で、特にサウンドハウスに関する事故は象徴的であった。事故の教訓を広く知ってもらい、同様の事故の再発を抑止することを目的に、発覚からの対応経緯について同社はつぶさに公表した。 近年のクレジットカード犯罪の傾向 ここで整理しておきたいのは、クレジットカード情報が含まれた個人情報が漏えいする事件／事故の特徴である。 クレジットカードをECサイトなど非対面で使用する際は、ほとんどが16桁（けた）のカード番号と有効期限により承認処理されている。すなわちクレジットカードは、カードの実物がなくとも、その情報だけで盗むことができるという特徴がある。 クレ
6月9日（日） に放映された「ほこ×たて」の「たて」の裏側について
2013/06/11 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 6月9日（日） に放映された「ほこ×たて」の「たて」の裏側について 2013年6月9日に放映されました、フジテレビ「ほこ×たて」に関しまして、反響が大きいようですので撮影の裏側をご紹介いたします。 まず、番組コーナー内の冒頭にご紹介いただきました弊社製品「防人」については、弊社がどのような会社なのかを簡単に紹介するということでお見せしましたが、防人はメールによる標的型攻撃を防ぐための製品ですので、その後の対決には一切使用していません。 実際の対決に際して防御側に求められたのは、サービスパックや修正プログラムの全く当てられていないパソコン上で、脆弱性が確実に存在しているサー
＠IT：クロスサイトスクリプティング対策の基本
最近Webアプリケーションに存在するセキュリティホールが注目を浴びている。その中でも「クロスサイトスクリプティング」と呼ばれる脆弱性が有名であるが、クロスサイトスクリプティング脆弱性について正確に理解している人が依然として少ないと感じる。 本稿では、クロスサイトスクリプティングとはどのような脆弱性であるのか、この脆弱性を持ったサイトが攻撃されるとどのような被害が起き得るのか、なぜそのようなセキュリティホールが作り込まれてしまうのか、どのように対策をすればよいのかを解説していく。 ※以下本文中では、クロスサイトスクリプティング脆弱性のことを「XSS」と表記する。「Cross Site Scripting」の略であるから「CSS」と表記している記事もあるが、「Cascading Style Sheets」の略も「CSS」となり紛らわしいため、「XSS」と表記する場合が多くなってきている。本稿で
GoogleのJSON(モドキ)の先頭にwhile(1); がつく理由 - 葉っぱ日記
なぜGoogleはJSONの先頭に while(1); をつけるのか #JavaScript #HTML #Ajax #StackOverflow - Qiita これはクロスサイト・リクエスト・フォージェリ対策。違うよ！全然違うよ！ 攻撃者の作成した罠ページにてJSONを<script src="target.json">みたいに読み込んで、ゴニョゴニョやることでJSON内の機密情報に攻撃者がアクセス可能というのは合ってるけど、それを「クロスサイト・リクエスト・フォージェリ」とは言わない。無理に何か名前をつけて呼ぶとすれば、「JSON Hijacking」という俗称や、あるいは単純にクロスサイトでの情報漏えい、程度ですかね。 ちなみに、ArrayコンストラクタやObjectでのアクセサを定義してJSONをJSとして読み込んで内部にアクセスする手法は、現在のところ公にされているところでは古
Googleの2段階認証プロセスを設定して実感した非常に効果が大きそうなメリット - もとまか日記
昨年末頃、Gmailのアカウントへの不正アクセス関係で、Googleの2段階認証プロセスのことが話題になってましたが、以下の記事がとても参考になりました。 他人事じゃなかった！Gmailアカウントに不正アクセスされたのでセキュリティ強化する | Tools 4 Hack 他にも似たような記事は多数あったけど、具体例というか実体験に基づく記事はとても分かりやすくて貴重な情報だし、実に伝わりやすくて真に参考になる記事、と感じました。 で、年末は色々とバタバタしてたこともあったのと、以前から気にはなってたものの、まあ色々と理由もあってなかなか出来てなかったGoogleの2段階認証プロセスをようやく設定完了。設定してみて実感した2段階認証プロセスのメリットについてのメモ。 確認：不正アクセス有無の確認 とりあえず、現時点で不正アクセスがあったのかを確認しておいた方が良いので、以下で確認しておきまし
C/C++ セキュアコーディングセミナー資料 | JPCERT コーディネーションセンター
これまでにC/C++ セキュアコーディングセミナーで使用した講義資料を公開しています。2010年度にセミナを実施した、文字列、整数、動的メモリ管理、書式指定文字列、CERT C セキュアコーディングスタンダード、ROSE については、それぞれ最新版の資料を掲載しています。 文字列 ユーザとソフトウエア間に発生するデータのやりとりの大部分は文字列によって行われます。 また、プログラム間でのデータ交換も文字列形式で行われるようになり、その結果、文字列表現や文字列管理、文字列操作における弱点がソフトウエア脆弱性を生み出しています。 文字列では、C/C++ 言語における文字列操作、一般的なセキュリティ上の欠陥と、その結果発生する脆弱性と対処方法について解説します。 C/C++ における文字列の特性 犯しやすい文字列操作の間違い 文字列の脆弱性 プロセスのメモリ構成 スタック破壊の仕組み コードイン
C/C++セキュアコーディングの講演資料、JPCERT/CCが公開 － ＠IT
2009/04/28 JPCERT/CCは4月28日、2008年度に開催したC/C++向けのセキュアコーディングセミナーで使用した講義資料を公開した。資料は文字列、整数、動的メモリ管理、ファイルの入出力（UNIX、POSIX、Windows）などに分かれており、それぞれ1～7MBのPDF文書としてダウンロードできる。 文字列の扱いでは、バッファオーバーフローなど頻繁に報告される脆弱性について、その原因と具体的な対策について解説。図やサンプルリストを多用して、危険なコードと、セキュアなコードを対比して学習できる構成になっている。 過去に脆弱性の見付かったソフトウェアの実例を、該当個所のコードを示して解説しているのも特徴。例えば文字列のバッファオーバーフローでは、WindowsのRPCの該当ソースコード部分を示した上でBlasterワームの挙動を示している。また、典型的な整数の脆弱性の例として
Cでポピュラーな脆弱性とバッファオーバーフロー（前編）
Insecure Interaction Between Components（6 errors） ソフトウェアコンポーネント間のセキュアでないやりとり SQLインジェクションやクロスサイトスクリプティング（XSS）のような類の脆弱性 Porous Defenses（11 errors） 不完全な防御策 認証関連の不備や暗号化機能の不適切な使い方など Risky Resource Management（8 errors） リソース管理の問題 バッファオーバーフローや整数オーバーフロー、書式指定文字列の脆弱性など 1つ目に分類されているSQLインジェクションやXSS（クロスサイトスクリプティング）などは、やりとりされる情報の意味がコンポーネント間で変わることから問題が発生するパターンです。 例えば、入力データからSQL文を組み立てるコンポーネント、そのSQL文を受け取ってデータベースから必要
「破壊型」マルウェアに注意を――シマンテックが2012年を総括
シマンテックは12月20日、2012年のインターネットセキュリティ脅威の総括と2013年の予測に関する説明会を開催した。 シマンテックは12月20日、2012年のインターネットセキュリティ脅威の総括と2013年の予測に関する説明会を開催した。同社 セキュリティレスポンス シニアマネージャの浜田譲治氏は、2013年には、PCそのものを使用できない状態にして金銭を脅し取る「ランサムウェア」の増加をはじめ、「破壊型」のマルウェアに注意が必要だと述べている。 浜田氏が2012年のトピックとして挙げた脅威は5つある。「標的型攻撃」、Androidを狙う「モバイルマルウェア」、誤認逮捕で話題となった「遠隔操作マルウェア」、金銭を狙う「オンライン・バンキング マルウェア」、そして「Mac向けウイルス」だ。 標的型攻撃自体は以前から存在する手法だが、「2012年は少し形が違って、破壊的活動を行う攻撃が目立
実際、パスワードはどれくらいの頻度で変えるべきですか？ | ライフハッカー・ジャパン
ライフハッカー編集部様 私の会社やいくつかのウェブサイトが、パスワードを定期的（たとえば3カ月おき）に変えるように強制してきます。基本的にパスワードはどれくらいの頻度で変えるべきなのでしょうか？ 使い古しのパスワード（Stale Passwords）より 使い古しのパスワードさん、こんにちは。 多くの組織がユーザーにパスワードの変更を強制しています。長い間、それがセキュリティーの「ベストプラクティス」だと考えられてきたからです。しかし、実際には賛否両論のテーマなのです。以下にパスワードの変更が「有効であるケース」と「有効でないケース」について解説します。■なぜ企業はパスワードに有効期限を設けているのか？ パスワードを定期的に変える利点は、パスワードが盗まれた場合に、犯人がシステムに侵入できる期間を制限できることです。もし、パスワードに有効期限がなく、またパスワードが盗まれたことにも気づかな
UDIDにおけるセキュリティ＆プライバシー問題
これまでの連載では「OAuth」と「OpenID Connect」について紹介してきましたが、今回は少し趣向を変えて、UDIDについてお話しします。 これまでの連載では、「OAuth」と「OpenID Connect」について紹介してきました。今回は少し趣向を変えて、UDIDについてお話ししようと思います。 UDID（Unique Device Identifier）とは、その名の通りデバイスに固有に割り振られた識別子のことで、具体的にはiPhone/iPadのデバイス識別子のことを指します。このUDIDは本来、米アップルが出荷したデバイスを識別するために割り振ったものです。 しかし、ガラケー時代に広まった、契約者固有番号や端末識別子を用いて認証する「かんたんログイン」方式を、UDIDを用いてそのままiOSアプリにも適用する事業者が増え、多くの問題を発生させてきました。今回は、こうしたUD
Twitterの発言のみで住所特定が可能どうか、自分の発言を餌に試してみた - 偏読日記@はてな
「オフ会から帰る際には駅から自宅までの距離を悟られないようにするため、帰宅報告ツイートは実時間とずらす」基本をTL諸氏に周知徹底した上で、敢えて帰宅ジャストの帰宅報告ツイートをかますのがバーストリンク攻防戦の醍醐味なんじゃないんですか 2012-07-02 23:21:29 via Seesmic 例えばオフィスが35階にあるとして、そんなビルは日本にほとんど無いというか、その気になれば誰でも数えられる数ですよね。「線が止まってる」「今日からノーネクタイ」「新人が配属されて10日」あたりを組み合わせれば、職場はほぼ特定終了、場合によっては部署すら確定できますよね。 2012-06-29 00:14:34 via Seesmic そんな極端な例を出さなくても、「警戒線上のホライゾン」みたいな誤字をやらかせば、「あ、法曹関係か不動産関係の人ですね」と察しがつくし、全く本人が意図せず気付きもしな
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ 記事一覧 | gihyo.jp
運営元のロゴ Copyright © 2007-2024 All Rights Reserved by Gijutsu-Hyoron Co., Ltd. ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。
高木浩光による怒濤の講演「ゲーム業界におけるプライバシー保護」がすごいことに
「高木浩光＠自宅の日記 - Tポイント曰く「あらかじめご了承ください」」というエントリーによってTポイントツールバーは「騙す気満々の誘導」であると指摘、その2日後にTポイントツールバーのダウンロードが一旦停止されたり、ほかにも「ダウンロード刑罰化で夢の選り取り見取り検挙が可能に」「ローソンと付き合うには友達を捨てる覚悟が必要」「武雄市長、会見で怒り露に「なんでこれが個人情報なんだ！」と吐き捨て」「やはり欠陥だった武雄市の個人情報保護条例」というように、次々とセキュリティに関して絶大な影響を与え続けてきた独立行政法人産業技術総合研究所の高木浩光(通称：ひろみちゅ)氏によるCEDEC2012の講演が、非常に秀逸な内容となっており、ゲームに限らず、スマートフォンまでも含めてそもそも「個人情報」とは一体何か？ということから、個人情報の現在の扱い、プライバシーに関して今後あるべき方向に至るまで、縦横
iCloudハック事件の手口がガード不能すぎてヤバイ | fladdict
GizmodeのライターがiCloudのアカウントを乗っ取られ、iCloud消滅、iPad, iPhone, Macのデータワイプ、Gmail, Twitterの乗っ取りを食らった件について、ハッキングを本人が語ってらっしゃる。 手口としては典型的なソーシャルエンジニアリングによる、複数サイトから得た情報のギャザリングを用いたハック。 だがこのハッキングのプロセスが鮮やかすぎてヤバイ。ツールを一切つかわず電話だけでハッキングしてる。 Twitterアカウントに目をつける 元々クラッカーは、Gizライターの持っていた「３文字のTwitterアカウント」が欲しくてアタックをかけたらしい。 Twitterプロフィールから、本人のウェブサイトへ 本人のウェブサイトからGmailのアドレスを発見 Gmailで「パスワードがわからない」から再発行 再発行メール用のアドレスが画面に表示される。この m*
ソースコードの脆弱性をチェックするツール、IPAが無償公開。C言語に対応
IPA（独立行政法人情報処理推進機構）は、 C言語で作成されたソースコードに脆弱性が存在しないかどうかを検査するツール「iCodeChecker」を公開しました。無償で利用できます。 iCodeCheckerは、ソースコードの脆弱性が存在する箇所を検出し、修正例や脆弱性が悪用された場合の脅威についてのレポートを出力するツール。プレスリリースから引用します。 本ツールは、脆弱性やソースコード検査技術を学習したい学生や開発者を対象に、利用者自身が作成したソースコード（C言語）を検査することできます。 本ツールでは、ソースコードの脆弱性が存在する箇所を検出し、修正例や脆弱性が悪用された場合の脅威について解析したレポートを出力します。利用者は本ツールを通して、脆弱性を学習するとともに、ソースコードセキュリティ検査技術の有効的な活用方法を習得することができます。 配布形式は、VMイメージ、パッケージ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【海外セキュリティ】第83回：ブラウザーの警告メッセージは意外に効果がある？ ほか 
国内フィッシングサイトが1年で4倍増、標的ブランドは固定化の傾向 
https://jp.techcrunch.com/2013/02/05/20130203is-the-government-telling-the-truth-when-they-say-your-data-is-secure/
TechCrunch | Startup and Technology News