Hideki SAKAMOTO の雑記 (2010-06-23)
◆ [Rails] 「Ruby on Rails 携帯サイト開発技法」第9章のサンプルコードに含まれる脆弱性について .tright small.(2010/6/25公開)^J2010/6/27: 「追記１」記載、微修正^J2010/6/28: 脚注*5 修正 まとめ ソフトバンククリエイティブ社から発行されている「Ruby on Rails 携帯サイト開発技法」の第9章に掲載されているサンプルコード（ファイル4/4）にはセッションIDの発行・管理に不備があるため、セッションハイジャックが可能です。 解説 この本の第9章には「携帯端末特化型セッション管理」と称していわゆる「かんたんログイン」の実装サンプルが掲載されています。第9章の冒頭部分から、その特長に関する記述を抜粋すると、 Cookieの代わりにリクエストヘッダからの情報を使ってセッション管理を行うという、携帯サイトならではのセッシ
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Ivan Ristić: SSL Threat Model
SSL is easy to use but also very easy to use incorrectly. The ecosystem, which is built of the specifications, the implementations, the CAs and the PKI, is full of traps, each of which is very easy to fall into. Once I started to spend significant time thinking about SSL I set out to build a model of the ecosystem, for my own education and to ensure that I understand it all. That's how I arrived t
【宿題】twitterのcallback URLのあたりについてはっきりさせたい！ - r-weblife
■ 目的 何度となく調べているtwitterのOAuth仕様だが、callback URLのあたりがまだ曖昧 ( twitter,FriendFeedのOAuth実装について - r-weblife ) ■ 今回調べること BrowserAppのoauth_callbackによるふるまい ClientAppのoauth_callbackによるふるまい ■ BrowserAppのoauth_callbackによるふるまい ConsumerAppの情報は以下のとおり Type : Browser callback URL : http://r-weblife.sakura.ne.jp/test/twitter/afterAuthorization.php (1) callback URL指定なし RequestToken取得要求時、Authorizationエンドポイントへのリダイレクト時の両
自堕落な技術者の日記 : Black Hatの証明書Null Termination攻撃(その1?) - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 Black Hat USA 2009でDan Kaminskyがタイトルはよくわかんないんだけど、SSLサーバー証明書関連で講演してちょっと話題になっているそうだ。 最初読んだときは(MD2やMD5の証明書の問題とからめて本人も混乱してるんじゃん？と思うような記事を書いちゃうひとに騙されて)攻撃方法がよくわかんなかったので、釈然としないままでいたんだけど、わかった〜〜〜と思ってブログに書こうかなぁと思いつつも、忙しくて時間がとれなくて、もうFireFoxから修正(3.5.2)が出ていた。 今流れている文章も誰のどこが悪いのか歯切れの悪い文章が多いために、すっきりしないので、ちょっと整理しようと思う。 NULL証明書攻撃 SSLサーバー証明書は
アンダーグラウンドの臭いがする「Nine-ball」，アジアに忍び寄る危機
JSRedir-R（通称，GENOウイルスやGumblar）の模倣犯が増加している。FTPアカウントの盗用によるWebコンテンツ改ざんにより，そのWebサイトを閲覧したユーザーのパソコンにウイルスを埋め込む手口である。代表的なものの一つに，4万サイト以上を改ざんしたとされる「Nine-ball」がある。Nine-ballの特徴は，JSRedir-Rの感染メカニズムに過去に流行したサイバー攻撃手法の仕組みを取り込んだことだ。どうやら，攻撃手法がパターン化され，アンダーグラウンド・ビジネスに悪用されつつあるようだ。 今回注目したいのは，改ざんされたWebコンテンツからリダイレクトされる先のサーバーである。5月に話題になったJSRedir-Rが利用していたサーバーは，Adobe ReaderとFlash Playerに的を絞ったものだけだった。これらの攻撃コードは頻繁に微妙な変更を繰り返しており
デジタル・アイデンティティ・フレームワーク「OpenID」概要 siryou3.pdf
デジタル・アイデンティティ・フレームワーク 「OpenID」 概要 次世代電子行政サービス基盤等検討プロジェクトチーム(第7回) 2009年3月31日 株式会社野村総合研究所 基盤ソリューション事業本部 基盤ソリューション事業一部 工藤達雄 〒100-0005 東京都千代田区丸の内1-6-5 丸の内北口ビル 資料３ Copyright © 2009 Nomura Research Institute, Ltd. All Rights Reserved. �ユーザが自由にアイデンティティ情報 (ID) を選択し、サイトをまたがる Webサービスへのログインや認証・属性情報の流通を実現する仕様 zOpenID Provider (OP): OpenID提供サイト zOpenID Relying Party (RP): OpenID対応サイト OpenID とは 1 RP (医療情報 管理サービ
Homomorphic Encryption Breakthrough - Schneier on Security
Homomorphic Encryption Breakthrough Last month, IBM made some pretty brash claims about homomorphic encryption and the future of security. I hate to be the one to throw cold water on the whole thing—as cool as the new discovery is—but it’s important to separate the theoretical from the practical. Homomorphic cryptosystems are ones where mathematical operations on the ciphertext have regular effect
Scareware attacks spreading to Twitter, Google and legit media websites | The Last Watchdog
Scareware attacks spreading to Twitter, Google and legit media websites My USA TODAY cover story on the proliferation of scareware — and the ostentatious profits earned by top scareware affiliates — has struck a nerve. Readers’ comments include musings about why banks and credit card companies don’t do more to police the online payment systems they supply for use by scareware traffickers. Some con
How secure is Opera Unite?
The notion of converting conceivably every computer on the planet into a server is certainly not new. But almost everywhere the notion has been attempted, it's been exploited. Microsoft's ActiveX experiment in the mid-1990s was a notorious example of collective inattention to the entire topic of exploitability, though it's not the only one. Since then, millions have willingly made their Web client
るびま
『るびま』は、Ruby に関する技術記事はもちろんのこと、Rubyist へのインタビューやエッセイ、その他をお届けするウェブ雑誌です。 Rubyist Magazine について 『Rubyist Magazine』、略して『るびま』は、日本 Ruby の会の有志による Rubyist の Rubyist による、Rubyist とそうでない人のためのウェブ雑誌です。 最新号 Rubyist Magazine 0058 号 バックナンバー Rubyist Magazine 0058 号 RubyKaigi 2018 直前特集号 Rubyist Magazine 0057 号 RubyKaigi 2017 直前特集号 Rubyist Magazine 0056 号 Rubyist Magazine 0055 号 Rubyist Magazine 0054 号 東京 Ruby 会議 11 直
高木浩光＠自宅の日記 - 今年一年の日記を振り返る
■ 今年一年の日記を振り返る 今年は大きく分けて5つの話題があった。ウイルス罪を新設する刑法改正が進まない件、iモードIDの全サイト送信が開始された件、Webのサービスの公開/非公開の区別が適切に説明されない件、暴走し始めた行動ターゲティング広告の件、そしてストリートビューの件だ。 ウイルス罪新設刑法改正が進まない件 ウイルス罪を新設する刑法改正が進まない件は、何年も前からこう着状態が続いていたが、1月にウイルス作者が著作権侵害と名誉毀損の容疑で逮捕される事件が発生し、事態は少し進展した。 ウイルスを他人に実行させる目的で作成したり頒布する行為について、直接処罰する法律が日本にはまだない。1月の事件は、そのウイルスがたまたま、商用のアニメ画像を悪質な目的で改変して作られたもので、また、特定の個人を誹謗中傷するメッセージを含むものであったため、著作権侵害と名誉毀損で立件できたという特殊な事例
高木浩光＠自宅の日記 - EV SSL導入に伴い生じ得る特有の脆弱性
ANSER WEBというASPサービスでインターネットバンキングを提供している金融機関が、EV証明書を導入した理由は、「NTT DATA CORPORATION」という社会的信頼の高い企業による運営であるという表示によって、利用者に本物サイトであることの確認手段を提供したことにあるのだから、これらの金融機関は、利用者が「NTT DATA CORPORATION」という名称さえ見てくれればいいことを前提としている。 しかし、もし、図3のように、ドブログのようなサイトでまで緑色で「NTT DATA CORPORATION」と表示されるような世の中になってしまったら、どうなのだろうか。 まず、少なくとも、EV証明書導入サイトがやってはいけないことがある。 もし、ドブログのユーザコンテンツ（つまりブログ）のページが、https:// でも表示できるようになっていたらどうか。どこの馬の骨ともわからな
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TIS00196.dvi
MD6がSHA-3コンペティションを辞退したことについて: exploit&ac
Hueniverse: What's Next for OpenID?
The Iranian Firewall - Schneier on Security
deadbeaf.org
Safer than ActiveX: a look at Google's Native Client plugin
A "Grey Hat" Guide