ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法
Software WebSecurity ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法※当サイトにはプロモーションが含まれています。 以前、OWASP ZAP に追加された attack mode の概要 というエントリを書きましたが、このATTACK modeを使った簡単なセキュリティ検査の手順をメモしておきます。この機能を使えば、ウェブアプリケーションの開発中にZAPが勝手に脆弱性スキャンしてくれます。 ※ この機能が追加される バージョン 2.4 はまだリリースされていないのですが、こちら から ZAP Weekly をダウンロードすれば試すことができます。 概要基本的には、ウェブアプリケーション開発時にウェブブラウザのプロキシとして ZAP を指定おくだけです。この時、ZAP 側で コンテキストというものを設定して、ATTACK mode にしておけば、アクセスし
NginxでHTTPS : ゼロから始めてSSLの評価をA+にするまで Part 1 | POSTD
数年前、Webは全体的に暗号化されていませんでした。HTTPSはWebページの最も重要な部分だけのために確保されていました。暗号化が必要なのは大切なユーザデータだけで、Webページの公開される部分は暗号化せずに送ってもいいということで意見が一致していました。 しかし、 今は 状況 が 違います 。現在では、どんなWebトラフィックでも暗号化されていないのは良くないということが分かっているので、Webサイトを運営する誰もがコンテンツに関係なく強固なHTTPSを設定しなければなりません。 お恥ずかしい話ですが、私自身のWebサイトは2年近くも全くHTTPSをサポートしていませんでした ^(1) 。 Eric Mill の 今すぐ無料でHTTPSに切り替えよう という素晴らしい記事が最終的に私に喝を入れてくれました。私は休暇中、HTTPSをセットアップして Qualys SSL Report で
米レッドハット、Dockerアプリの認定制度「Red Hat Container Certification」および開発キット、認定アプリのレジストリ「Red Hat Container Registry」など発表
米レッドハット、Dockerアプリの認定制度「Red Hat Container Certification」および開発キット、認定アプリのレジストリ「Red Hat Container Registry」など発表 米レッドハットは、エンタープライズ向けDockerアプリケーションを認定する「Red Hat Container Certification」やコンテナ対応アプリケーション開発ツール「Red Hat Container Development Kit（CDK）」など、エンタープライズ向けにDockerコンテナを普及させるための施策やツール群を発表しました。 同社の上級副社長、Paul Cormier（ポール・コーミア）氏はこの発表の目的について次のようにコメントしています。 With the industry’s first certified, secure, end-to-
ベネッセの顧客情報23人分、紙に書き写して持ち出した疑い トランスコスモス元契約社員、コールセンターから
ベネッセの顧客情報23人分、紙に書き写して持ち出した疑い トランスコスモス元契約社員、コールセンターから ベネッセコーポレーションは3月17日、コールセンター業務を委託しているトランスコスモスの元契約社員が、ベネッセの顧客情報23人分を不正に取得し、紙に書き写して外部に持ち出していた可能性があると発表した。 昨年3月ごろから8月ごろにかけ、コールセンターで電話オペレーターを担当していたトランスコスモスの元契約社員が、ベネッセが業務委託の際に閲覧を許可した顧客23人分の苗字と電話番号（一部の顧客は氏名、住所、生年月日、所属先も含まれる）を、コールセンター施設内から持ち出した可能性があるという。 トランスコスモスによると、元契約社員は別件で逮捕されており、警察が捜査を進める中でスマートフォンから顧客情報と思われる記録を発見。警察から連絡を受けたトランスコスモスがデータ閲覧ログを確認したところ、
Engadget | Technology News & Reviews
The best of CES 2025Presenting our 12 finalists, plus the winner of our best in show award.
安全なウェブサイトの作り方改訂第7版の変更点と変わらない点
IPAの安全なウェブサイトの作り方 改訂第7版が公開されました。 このエントリでは、安全なウェブサイトの作り方の元々もつ特徴（変わらない点）と、第7版の変更のポイントについて説明します。 なお、私は安全なウェブサイトの作り方の執筆者の一人ではありますが、以下の記述は私個人の意見であり、IPAを代表するものではありませんので、あらかじめご承知おきください。 安全なウェブサイトの作り方の変わらぬ特徴 安全なウェブサイトの作り方の特徴は、「まえがき」の中で述べられています。 本書は、IPAが届出を受けたソフトウェア製品およびウェブアプリケーションの脆弱性関連情報に基づいて、特にウェブサイトやウェブアプリケーションについて、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、その根本的な解決策と、保険的な対策を示しています。 すなわち、以下の2点がポイントと考えます。 脆弱性の選定
Google Appsに登録された28万件ものWHOIS情報が漏えい、非公開のはずの2013年中期以降の名前や住所がダダ漏れに
by Christian Ditaputratama Google Apps for Workに登録された名前・住所・メールアドレスといったドメイン情報は、個人情報非公開のオプションを選ぶことで本来なら秘匿され、一般公開されないはずなのですが、28万2000件以上のドメイン情報がWHOISに直接登録されていたことが分かりました。 Epic Google snafu leaks hidden whois data for 280,000 domains | Ars Technica http://arstechnica.com/security/2015/03/epic-google-snafu-leaks-hidden-whois-data-for-280000-domains/ Googleのパートナー企業であるeNomはドメイン管理ツールを提供しており、そのサービスの一つとして年に6％
不正コピーを内部告発した
仕事で使うんだから、Photoshopくらい正規品買えよ。ただ、CMYK機能やアルファチャンネル機能などは使ってないようだし、どうせだからこの際に安いPhotoshop Elementsを正規に購入してくれると助かるのだけど。 ところで、なぜそれが不正コピー品と言い切れるのかといえば 新規納入されたパソコンにPhotoshopをインストールする際、上司からCD-Rに焼いた物を渡された。シリアルは盤面に大書きされてた上司の目を盗んで、別部署のパソコンにインストールしてあるPhotoshopを確認のために起動させてみたところ、あくまでちらりと見ただけだけど、シリアルナンバー(プロダクトキー)の冒頭部分は一致してた気がするそれより以前に、ウイルスバスターをインストールする際も、同じようにCD-Rに焼かれた物を上司から渡された。2008年度版以前の複数年度分のパッケージも一緒に入ってたのを確認した
専門家が泣く、セキュリティ9つの誤解と現実
専門家が泣く、セキュリティ9つの誤解と現実2015.03.15 10:006,806 satomi 脆弱性、ウイルス、不正侵入で人生台無し、国が危ない…というニュースの連続ですが、現実のリスクはいかほどのものなのか？ 専門家にセキュリティのウソ&ホントをずばり訊ねてみました。以下が回答集。小見出しは全部｢ホント｣の方です。 1. 強いパスワードで世のほとんどの攻撃は追っ払える 米Yahoo情報セキュリティ最高執行責任者のAlex Stamosさんは脆弱性を見つけ、ソフトウェアの穴をどう悪用するのか考えるのが仕事。極悪ハックから単純なソーシャルエンジニアリングによる詐欺まで、あらゆる手口のものを見てきました。そのキャリアでわかったのは、大体どのユーザーにも通用する簡単なソリューションがふたつあることです。ひとつは強いパスワード、あとひとつは2段階認証です。 マスコミは最もディープで最も高度な
クラウドベースのSDN、Pertinoの次の展開が面白い
米Pertinoは、興味深いクラウドベースの企業向けSDNサービスを日本で提供開始した。同社CMOに聞いた今後の機能拡張計画が、さらに興味深い。 米Pertinoは2015年3月5日、日本における同社サービス「Cloud Network Engine」の展開を発表した。ソフトバンクコマース＆サービス（ソフトバンクC&S）が国内ディストリビューションパートナーとなり、システムインテグレーターなどと連携して同サービスを提供する。発表では、富士ソフト、NECネッツエスアイが参加を表明。JBCC、コムチュア、スターティア、サーバーワークス、スターティアなども同サービスを取り扱う予定という。ソフトバンクC&Sは、国内で請求処理やサポートを担当する。料金は、最も安価な企業向けプランの場合、10デバイス月額3750円から。 Cloud Network Engineは、ユーザー組織が、SSL-VPNで、物
「LINE」に深刻な脆弱性 外部から全トーク履歴を抜き出される危険性あり - THE ZERO/ONE
全世界で5億人以上が利用しているメッセージ・アプリ「LINE」に深刻なセキュリティ脆弱性が存在していたことが判った。この脆弱性を悪意ある攻撃者に突かれると、利用者のスマートフォンに保存されているLINE内のトーク履歴や写真、友達リストなどを外部から不正に抜き出されたり、改竄される恐れがある。LINEは3月4日に、この脆弱性を修正したバージョンを緊急リリースしている。利用者は自身のアプリが最新版にアップデートされているかどうかを至急確認したほうがいいだろう。 この脆弱性はサイバーセキュリティ・ラボのスプラウト（本記事掲載の『サイバーインシデント・レポート』発行元）が発見し、1月30日にソフトウェア等の脆弱性情報を取り扱うIPA（独立行政法人情報処理推進機構）に報告したものだ。IPAから2月2日に脆弱性の通知を受けたLINEは、2月12日に脆弱性の一部についてサーバー側で対策。3月4日のアップ
ウェブカメラ、ネットで丸見え３割 パスワード設定せず：朝日新聞デジタル
インターネットでつながるウェブカメラ（ネットワークカメラ）をめぐり、パスワードを設定するセキュリティー対策がとられていないため、商業施設や住宅の映像・音声を第三者がネット上で見たり聞いたりできることが朝日新聞の調べでわかった。調査の対象としたカメラの３割以上がこうした状態にあり、カメラを勝手に操作されたケースもあった。低いコストと手軽さで活用が進む一方で、「ネット社会」のリスクが浮き彫りになった形だ。 ウェブカメラも含めてネットにつながる全ての機器にはＩＰアドレス（ネット上の住所）が割り当てられており、国内には９千万以上ある。朝日新聞は昨秋以降、これらのＩＰアドレスを無作為にたどる方法で調べ、約１２５万のアドレスを抽出。先月末時点で２１６３台のウェブカメラがネットに接続されていることを確認した。 そのうえで接続状況を慎重に検証した結果、３５％にあたる７６９台がパスワードを設定することによっ
Amazonさん、Androidアプリを突然勝手化して大炎上｜More Access! More Fun
今朝ほどですが、ふと思い立ってNexus６のQuick Charge2.0対応のバッテリーチャージャー（１時間で80%まで充電できるのよ）買おうと思いまして、ズルトラからいつものAmazonアプリを立ち上げたのですが、驚きました。 いきなりこの告知・・・ あれ、Googleplayでアップデート来てるのかなと思い、チェックしたけど来てない・・・ で、試しにOK押すと アップデートボタンの画面になるんですが。これってAmazonのアプリ内なんですよね。Googleplayじゃない で、正直言いまして「Amazon、どこかに乗っ取られたか」と思いましたが、こういう経験も良いかなと（笑）、アップデート押してみた。 当然。コレ出る。 つまりAmazonアプリをアップデートするためには、 設定 → セキュリティ → 提供元不明のアプリ にいって 「提供元がPlayストアでないアプリのインストールを許
スマホやドアをノックするだけでカギを解錠＆ネット経由でリモート管理、工具なしで取り付け可能な「Sesame」
工具不要の2ステップで取り付け可能で、スマートフォンのアプリ操作のほかスマートフォン本体や扉のノック動作からカギを開閉できるようになるのが「Sesame」です。ゲストを許可すればユーザーの居場所に関わらず扉の開閉ができるので、非常時にカギがなくとも他の人に扉を開けてもらうことも可能で、もし許可していない人が部屋に入ろうとしたらアプリが教えてくれ、そのほか鍵の状態などを遠隔から確認できるという、非常に便利そうなアイテムになっています。 Sesame. Your key, reinvented. by CANDY HOUSE Inc. — Kickstarter https://www.kickstarter.com/projects/1425492550/sesame-your-key-reinvented Sesameの使い方や機能などは以下のムービーから確認可能です。 ガチャガチャとドア
歪んだ文字や数字を入力する「CAPTCHA」を突破できるマルウェアが出現、どういう仕組みなのか？
By JD 入力フォームやアカウント作成画面に表示される、歪んだ文字や数字を入力する認証ツールが「CAPTCHA」です。これは、人間とボットを区別するために作られた文字入力テストですが、最新のマルウェアはこのCAPTCHAすらも突破してしまうことが明らかになりました。 Kaspersky Lab discovers Podec: the first Trojan to trick CAPTCHA into thinking its human | Kaspersky Lab http://www.kaspersky.com/about/news/virus/2015/Kaspersky-Lab-discovers-Podec-first-Trojan-to-trick-CAPTCHA-into-thinking-its-human CAPTCHAは、インターネット上でアカウントを作成しよう
「信用落ちる」と…８万４０００人分のカード情報流出、３年以上公表せず 北海道「エヌシーマック」 - 産経ニュース
北海道旭川市のクレジットカード会社「エヌシーマック」は１３日、顧客の住所、氏名、カード番号、暗証番号などの情報約８万４０００人分が流出し、カード会員の生活圏外での高価な買い物など不正利用が疑われる請求が約１０００件、計約３０００万円分あったと発表した。 同社によると、流出したのは平成２３年６～１０月ごろのデータ。２３年１１月に不正が疑われる請求が判明し、２５年３月までに全会員のカード番号を変更した。被害額は同社が負担し、会員に具体的な説明はしなかった。穴口昭三社長は本社で記者会見し「経営が厳しく、カードの信用が落ちたら困ると思い、公表を控えていた。反省している」と説明した。 ことし２月２３日に警察から情報提供があり再度調べたところ、当時の全ての会員データが流出していた。流出の経緯は不明という。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenSSLにまた重度の欠陥、修正アップデートは3月19日にリリース
Freedom from tracking.
Microsoft、脆弱性緩和ツール「EMET 5.2」を公開
「いじめを匿名で通報できるアプリ」の市場は、非常に大きい
