Let’s look at the unnecessary headers and see why we don’t need them, and what we can do about it. Vanity (server, x-powered-by, via) You may be very proud of your choice of server software, but most people couldn’t care less. At worst, these headers might be divulging sensitive data that makes your site easier to attack. Server: apache X-Powered-By: PHP/5.1.1 Via: 1.1 varnish, 1.1 squid RFC7231 a

森永乳業は2018年5月9日、同社の通販サイト会員の情報が漏洩した可能性があると公表した。だが、被害人数が報道によって2万3000人だったり、12万人だったりと大きく異なる。また、漏洩した可能性のある情報はセキュリティコードを含むカード情報としているが、会員のメールアドレスやパスワード、住所、電話番号などが含まれているかどうかを明らかにしていない。 同社は、クレジットカード会社から不正利用の被害が発生していると4月24日に指摘を受けて事態を把握していた。そこから既に2週間が経過しているのに、どうしてもっと正確な情報が出てこないのか。 被害人数の2万3000人は森永乳業による推測 森永乳業は、クレジットカード会社から指摘を受けた4月24日にセキュリティ会社に調査を依頼。最終結果は5月末日までに報告されることになっているが、「公表した5月9日時点では、被害の範囲や漏洩経路に関する中間報告を受け

1. はじめに 昨日「SSL/TLS暗号設定ガイドライン 第2.0版」が公開されました。 前回から約3年経って今回はCRYPTREC暗号技術活用委員会で検討作業が行われたようです。 普段、TLS/HTTPSの記事を書いたり発表したりしている立場上、これを見逃すわけにはいけません。 本文冒頭では、 「本ガイドラインは、2018 年 3 月時点における、SSL/TLS 通信での安全性と可用性（相互接続性）のバランスを踏まえた SSL/TLS サーバの設定方法を示すものである。」 ということなので、できたてほっかほっかの最新ガイドラインを読ませていただきました。 読み進めてみるとChangelogが細かく書いてなく、以前のバージョンとどこがどう変わったのかよくわかりません。TLS1.3とかは絶対に新しく入った内容なんですが、細かいところはどうだろう… それでも全部(SSL-VPNを除く)をざっと

森永乳業は2018年5月9日、同社の通販サイト「健康食品通販サイト」で会員情報が漏洩したと発表した。クレジットカード会社から4月24日、会員のカード情報が不正に使用され被害が生じていると指摘されて、事態を把握したとしている。

ちょっとタイトルが言いすぎていて大反省です (適宜アップデートします, 仮)

A few hours after this morning’s big unveil, Humane opened its doors to a handful of press. Located in a nondescript building in San Francisco’s SoMa neighborhood, the office is home to the startu

By Christoph Scholz CSSは、使用するフォントやパーツの色合いなどウェブページのスタイルを指定するファイルですが、そのCSSだけを用いてパスワードを盗み取るコードがGitHub上で公開されています。 GitHub - maxchehab/CSS-Keylogging: Chrome extension and Express server that exploits keylogging abilities of CSS. https://github.com/maxchehab/CSS-Keylogging 仕組みとしては、パスワード欄へ文字が入力されるたびにその末尾の文字を取得し、その文字に応じた画像を外部のサーバーからダウンロードするというもの。例えば「a」と入力された場合は「http://keylogger.site/a」にアクセスするという具合です。アクセスさ

成人が合意の上でセックスをしているのなら、それを見ること自体に問題はない。ただし、アダルトサイト、特に無料「ビデオ」サイトには多くのリスクがある。ここでは、基本的な事前対策を紹介しよう。 ストリーミング配信アダルトサイトの危険性を重々承知している人もいるだろうが、ポルノをネットで初めて見る経験の浅いネットユーザーだと、つい好奇心に逆らえず悪質なサイトを利用し、各種データや個人情報を危険にさらす可能性がある。 そこで、オンラインポルノを見る際にどんな危険があるのか、知っておくべきことをまとめた。 大半のアダルトサイト、特に無料「ビデオ」サイトは、安全なウェブ通信プロトコルであるHTTPSを採用していない。HTTPSは、アクセスしてきたユーザーを守るために、セキュリティ層を追加で設ける仕組みだ。 HTTPSと違って、基本的なプロトコルであるHTTPだと、ウェブブラウザーとウェブサーバーのあいだ

TL;DR X-Content-Type-Options X-Frame-Options(XFO) X-XSS-Protection Content-Security-Policy (CSP) Upgrade-Insecure-Requests Strict-Transport-Security (HSTS) Public-Key-Pins (HPKP) 設定 TL;DR X-Content-Type-Options MIME スニッフィングの無効化 X-Frame-Options(XFO) フレーム表示を制限しクリックジャッキングを予防 X-XSS-Protection XSSフィルタの有効/無効 Content-Security-Policy (CSP) XSSなどの攻撃を軽減するセキュリティレイヤー Strict-Transport-Security (HSTS) HTTP の代わり

ネットでの証券売買サービスを手がけるカブドットコム証券のWebサイトがDDoS攻撃を受け、29日9時頃から約36分間にわたってアクセスしづらい状態になっていたとのこと(プレスリリース、 朝日新聞デジタルの記事、日本経済新聞の記事。 同社によると、攻撃検知から約38分後に攻撃のブロックが完了し、Webサイトは復旧したという。 取引システムは攻撃の影響を受けず、情報流出なども発生しなかったとのことだ。同社では事前の管理策を用意していたが、顧客に大きな迷惑をかけたとして謝罪している。

2. アジェンダ • 最近の侵入事件に学ぶ – メルカリ CDNキャッシュからの情報漏えい – WordPress REST API の脆弱性 – GMOペイメントゲートウェイのクレジットカート情報漏洩事件 – 日本テレビの侵入事件 – パイプドビッツ WebDAVの設定不備による情報漏洩 – イプサ クレジットカード情報漏洩事件 • まとめ Copyright © 2012-2017 EG Secure Solutions Inc. 2 3. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社（現EGセキュアソリューションズ株式会社）設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 –

安全で堅牢なWebアプリケーションをクラウドで開発するのは 非常に困難 です。それを簡単だと思っているような人は、例えばとんでもない頭脳をお持ちというなら別ですが、遠からず痛い目を見ることになるでしょう。 もし MVP（Minimal Viable Product：必要最低限の機能を備えた製品） のコンセプトを鵜呑みにして、有益かつ安全な製品を1ヶ月で作成できると考えているようなら、プロトタイプを立ち上げる前に一度考え直した方がいいと思います。以下に挙げたチェックリストをご覧いただければ、セキュリティに関するクリティカルな問題の多くをスキップしていることが分かるはずです。あるいは少なくとも、潜在的なユーザに対しては 誠実 であるように心がけ、製品が完全ではないこと、そしてセキュリティが不十分な製品を提供していることを伝えるようにしてください。 このチェックリストはシンプルなもので、決して完

2017年5月12日頃から、世界各地でランサムウェアに感染する被害が相次いで報告されています。ランサムウェアはWannaCry等と名前が付けられているもので、これに感染する原因として、Windowsの脆弱性、及びその脆弱性を用いたNSAが開発したツールが関係している可能性があると各国のCSIRTやセキュリティベンダが注意喚起等を公開しています。Microsoftは今回の感染事案を受け、WindowsXPなどのサポートが切れたOSを対象とした緊急の更新プログラムも公開しました。 ここではこの世界中で発生したランサムウェア WannaCry の感染被害などについてまとめます。 インシデントタイムライン 以下は主に国内の関連事象を整理したもの。 日時 出来事 2016年9月16日 MicrosoftがSMBv1の使用停止を強く推奨する記事を公開。 2017年1月16日 US-CERTがSMBv1

Googleは、多くのHTTPページに「Not secure（保護されていません）」と表示する計画の次の段階に備える時間として、ウェブ開発者に6カ月の猶予を与える。 「Google Chrome」ですべてのHTTPページに「Not secure」と表示するGoogleの計画は、10月より第2段階に入る。 Googleは1月、「Google Chrome 56」のリリースに併せて、HTTPの一部のページで安全性の警告表示を開始した。この段階で影響を受けたのは、ウェブ上でログイン情報や決済カードデータなどの機密情報を送信するページだ。 Chromeは10月より、ユーザーがHTTPページで何らかのデータを入力できるようになっていれば、そうしたページに安全性の警告を表示する。Googleはこの表示について、テキストボックスを含むすべてのページに適用されると強調している。 GoogleでChrome

他人の家に設置された無線ＬＡＮの通信を暗号化する鍵を解読し、無断でインターネットを使う、いわゆるただ乗りが、電波法違反の罪にあたるかどうかが争われた裁判で、東京地方裁判所は、鍵を解読することは電波法で罰せられる行為ではないとして、無罪を言い渡しました。 被告側はいずれも無罪を主張し、インターネットのただ乗りについては、無線ＬＡＮの鍵の解読は電波法違反の罪にはあたらないと主張していました。 ２７日の判決で、東京地方裁判所の島田一裁判長は「電波法では、無線通信の秘密を盗んで使用した者は罰せられるが、無線ＬＡＮの鍵は暗号化された情報を知るための手段にすぎず、無線通信の内容だとは言えない」と指摘し、無罪を言い渡しました。 今回は、無線ＬＡＮのただ乗りで初めて検挙されたケースでした。 一方で、不正アクセス禁止法違反の罪などについては有罪とし、被告に懲役８年を言い渡しました。 判決について、東京地方検

「BrickerBot」に感染したマルウェアはストレージが破壊されて復旧できない状態になる。作者を名乗る人物は、「Mirai」の壊滅を狙ったと主張しているという。 IoT機器に感染してハードウェアを破壊する新手のマルウェア「BrickerBot」が相次いで出現し、PDoS（Permanent Denial-of-Service）と呼ばれる攻撃が世界各地から仕掛けられている。BrickerBotの作者を名乗る人物は、「Mirai」の壊滅を狙ったと主張しているという。 DDoS（分散型サービス妨害）対策を手掛けるセキュリティ企業Radwareのブログによると、こうした攻撃は2017年に入って増加傾向にあり、ハードウェアが破壊される事案が相次いでいる。 Radwareは3月から4月にかけてBrickerBotの新たな亜種を次々に発見。同社が仕掛けたおとり用のハニーポットの観測によると、4月初旬に

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 2016年に出現したIoTマルウェアの「Mirai」と同様に、IoTデバイスに感染を広げるワーム「Hajime」が台頭し始めた。米Symantecがこの新たなワームに関する状況をレポートしている。 同社によるとHajimeはMiraiと同じように、Telnetのポートが開かれ、デフォルトのパスワードが設定されたままのデバイスを対象に感染を広げる。デバイスへのログイン試行では3種類のユーザー名とパスワードの組み合わせを用いるが、そのうち1つはMiraiでも用いられていたという。 一方でMiraiとは異なり、Hajimeはピア・ツー・ピアのネットワーク上に構築されている。コントローラのノードから送出されたコマンドモジュールが全てのピアに送ら