GoogleがOpenSSLをフォークした「BoringSSL」を公開 | スラド セキュリティ
GoogleがOpenSSLをフォークし、「BoringSSL」として公開した(ImperialVioletブログの記事、 Ars Technicaの記事、 本家/.)。 Googleは何年もの間、OpenSSLに数多くのパッチを当てて使用していたという。一部のパッチはOpenSSLのメインリポジトリに取り込まれたが、大半はAPIやABIの安定性の問題があるなどの理由で取り込まれていなかった。AndroidやChromeなどの製品はパッチの一部を必要とするが、パッチは70以上もあるために作業が複雑になっていたそうだ。そのため、OpenSSLをフォークして、OpenSSL側の変更をインポートする方式に変更したとしている。BoringSSLは近いうちにChromiumのリポジトリに追加される予定で、いずれAndroidや内部的にも使われるようになる。ただし、BoringSSLではAPIやABI
Making auth easier: OAuth 2.0 for Google APIs
One of the most exciting things about the architecture of the web is how easily it supports mashups—URLs, IFRAMEs, XHR, and more make it easy to build great new services on top of building blocks from others. As more and more people use the web for non-public data, we need new techniques to secure those building blocks. That’s where OAuth comes in—an open, standard way for users to grant permissio
グーグル、「政府専用Google Apps」発表。しかし、ロサンゼルス市はセキュリティの懸念でGoogle Appsの導入延期へ
グーグル、「政府専用Google Apps」発表。しかし、ロサンゼルス市はセキュリティの懸念でGoogle Appsの導入延期へ Google Apps for Govermentは、米連邦政府が求めるセキュリティ要件「FISMA」（Federal Information Security Management Act）の認定を得たとのこと。グーグルは昨年2009年9月には政府専用Google Appsの開発を表明しており、それが今回実現したものです。 Google Apps for Govermentの機能は、一般に提供されているGoogle Appsと変わらず、Gmail、Google Calendar、Google Docs、Google Sites、ビデオ共有機能などを備えています。 オバマ政権はクラウド調達によるコスト削減策を積極的に展開しており、クラウドをベースにしたITサービ
Google 検索を暗号通信で安全に使う方法 - WebOS Goodies
WebOS Goodies へようこそ！ WebOS はインターネットの未来形。あらゆる Web サイトが繋がり、共有し、協力して創り上げる、ひとつの巨大な情報システムです。そこでは、あらゆる情報がネットワーク上に蓄積され、我々はいつでも、どこからでも、多彩なデバイスを使ってそれらにアクセスできます。 WebOS Goodies は、さまざまな情報提供やツール開発を通して、そんな世界の実現に少しでも貢献するべく活動していきます。 Google 検索はどんどんパーソナライズが進んでいますが、それに伴ってプライバシーへの懸念も大きくなっています。検索キーワードはそれ自身がプライベートな情報ですし、履歴やスターの情報なども含めれば、漏れた時のダメージは Amazon おすすめ商品の比ではありません（笑）。 そのような状況に対応するため、 Google が試験的に SSL で暗号化された Goog
Gmail、サードパーティ・アプリケーションに門戸開く - OAuthをサポート | ネット | マイコミジャーナル
米Googleは3月30日(米国時間)、電子メールサービス「Gmail」のIMAP/SMTP機能で「OAuth」認証が利用可能になったことを明らかにした。これによりGmailのデータを活用した様々なサードパーティのアプリケーションやWebサイトの登場が期待できる。 GoogleはData Liberationというポリシーを掲げて、ユーザーがGoogleに置いている自身のデータを自由に利用できるように努めてきた。Gmailにおいては、POPやIMAPを通じてメールデータのエクスポートをサポート、またユーザーからアクセス権限が認められたサードパーティのアプリケーションやWebサイトがコンタクトなどGmail内のデータにアクセスする仕組みも用意してきた。ただし後者では、ユーザーがアクセスを認める際にサードパーティにGoogleアカウントのパスワードを渡す必要があった。そのためパスワード漏洩に対
Official Google Data APIs Blog: Bringing OpenID and OAuth Together
Posted by Yariv Adan, Google Security Team We are happy to announce an important enhancement to our recently launched OpenID endpoint. Google now supports the "Hybrid Protocol", combining OpenID federated login together with OAuth access authorization. Websites can now ask Google to sign-in a user using their Google Account, and at the same time request access to information available via OAuth-en
高木浩光＠自宅の日記 - 東京都情報公開・個人情報保護審議会を傍聴してきた
■ 東京都情報公開・個人情報保護審議会を傍聴してきた 2月15日補足：日付を間違えていた。「今日は」とは2月3日のこと。2月3日の日記として書いたつもりが、2月4日で登録してしまっていた（書き始めたのは2月3日だが書き上がったのは2月4日の朝だった）。既にあちこちからリンクされているので変更はしない。 ストリートビューについてグーグル社との意見交換があるというので、今日は休暇をとって、東京都情報公開・個人情報保護審議会の傍聴に行ってきた。録音も撮影もOKとのことで、公開の場であることが強調されていたので、今回はメモはとらず、会話は録音して、会場の様子を写真やビデオに収めてきた。 グーグル社からは、執行役員で広報部長の舟橋義人氏とポリシーカウンセルの藤田一夫氏が出席し、主に藤田氏が説明と質疑への応答にあたった。事務局から前回議事録等への補足の後、藤田氏から25分ほどのプレゼンテーションがあり
Usability of Stronger Authentication Options - Internet Identity Research
In many cases, websites would like to authenticate their users with something in addition to (or instead of) a password. This can be done as a method to prevent phishing, but also to reduce the chance of someone manually hacking into a user's account. However the usability of some approaches in this area are poor. This document attempts to describe how usability and portability can be improved
高木浩光＠自宅の日記 - Googleドキュメントの「招待メール」の危険
■ Googleドキュメントの「招待メール」の危険 ことの始まり 先々週の話。1月23日に次の記事が出ていた。 『Google Docs』の設定にご用心：知らないうちに書き換えも？, WIRED VISION, 2009年1月23日 この記事の趣旨は、「Googleスプレッドシート」の共有設定の画面の説明文「Let people edit without signing in」が誤解を招くために、誤って、誰にでも閲覧や編集を許す設定にしてしまいかねないという話である。この画面は、日本語表示では図1の表記となっている。 WIRED VISIONの記事の言い分では、「people」が上の招待メール送信先の人々のことを指すように読めて、下の「プライバシー」設定も変更しないといけないように誤解してしまうという。 そもそも、この機能の意図されている動作はどういうものか。私も試しているうちに一時混乱し
「Google Code」が不正プロジェクトをホスティング
米Googleの開発者向けコードホスティングサービス「Google Code」がスパム業者に悪用されていると、セキュリティ企業の米McAfeeがブログで伝えた。 McAfeeによると、Google Codeを悪用したプロジェクトは以前にも小数存在したが、年末商戦期に状況が大幅に悪化し、新しいスパムプロジェクトが多数開設されたという。 例えば「Live Free Sex Movie」というGoogle Codeプロジェクトでは、動画を閲覧できると見せかけて画像のクリックを促し、偽コーデックをダウンロードさせるサイトにユーザーを誘導する。 Microsoftのブログサービス「MSN Spaces」も以前から同じような形で悪用されているが、Googleの場合、コードプロジェクトを自動的にインデックス化しているようだとMcAfeeは指摘。Googleがいずれ、もっと断固とした措置を取ってくれると信
Native Clientの仕組みはどうなっているのか？ - やねうらお−よっちゃんイカはしばらく買わずにiPhoneだけに注力する男
Googleが、Webブラウザ上でネイティブバイナリコードを実行する「Native Client」を公開した。 Native Client http://code.google.com/p/nativeclient/ Google Earth,Quakeなどがすでに動いているようだ。 これはすごい！ブラウザ上でX86バイナリを動かす「Native Client」 http://www.moongift.jp/2008/12/native_client/ サンドボックスで安全性確保、オーバーヘッド5％ ブラウザでx86バイナリ実行、グーグルが新技術 http://www.atmarkit.co.jp/news/200812/09/nacl.html あと、サンプルのlife.ccにSDL_surfaceと書いてあるのでSDLの描画まわりが既に動いているのだろうから、今後、たくさんのアプリがN
chromeのクロスドメインセキュリティチェック探訪 « ku
ブラウザにはjavascriptのコードがそのウインドウにアクセスすることができるか same origin policy に従ってチェックしている部分があります。この部分はセキュリティチェックと呼ばれています(FirefoxではnsScriptSecurityManager, WebKitではSecurityOriginで実装されている)。 Firefoxはjavascriptのオブジェクトひとつひとつに、そのオブジェクトを定義したページのドメインをもとにprincipalを設定し、実行時にアクセスしようとしているオブジェクトのprincipalと実行コンテキストのprincipalが一致するかをチェックすることで same origin policy を実装しています。Firefoxは実行コンテキストがネイティブコードや拡張機能由来のもののときには、常にprincipalが一致するもの
Google、Gmailのセキュリティ設定を変更
米Googleは7月24日、Gmail利用時に常にhttpsを利用できる設定オプションを追加した。 https（hypertext transfer protocol security）は、httpにデータ暗号化機能を付け加えたプロトコル。httpsでログインすると送信時に情報が暗号化され、ネットワーク上でメールが盗み見られるリスクが軽減される。 これまでもGmailへのログイン時には毎回httpsが利用されてきたが、ログイン後はユーザーがhttps://mail.google.comをあえて利用しない限り、httpでの接続に切り替えられていた。httpsでの接続だとデータ復号のためメールダウンロードの速度が落ちることを考慮しての設定だったという。 常時httpsを使用するには、Gmailの設定の「全般」タブで「常にhttpsを使用する」を選択すればいい。 同社はすべてのGmailユーザー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Our stand for digital due process
株式会社ITコア：Google Apps ゲートウェイサービス｜サービス
Worldwide Browser Patch Rates - Schneier on Security
OpenID + OAuth: Two Great Tastes That Taste Great Together | TechCrunch
deadbeaf.org
Safer than ActiveX: a look at Google's Native Client plugin
Google Code Archive - Long-term storage for Google Code Project Hosting.