The Introduction of OAuth WRAP vol.1 : Web App Profile on FriendFeed - r-weblife
OAuth WRAPって知ってますか？ http://developers.facebook.com/news.php?blog=1&story=350 http://bret.appspot.com/entry/oauth-wrap OAuth / OAuth WRAP Google グループ OAuth WRAP - Codin’ In The Free World まだ仕様を細かい部分まで読めてないのと、JavaScript Profileなどこれからまだまだ拡張されていく段階のようなので、偉そうに仕様を語るのではなく、今回はFacebookの人たちがFriendFeed上に実装したProviderを使って流れを確認してみます。 ここではWeb App Profileという、3-legged OAuthやYahoo!のBBAuthのような使われ方の部分の実装を確認します。 Pytho
SSL/TLSに男らしい脆弱性が発覚 - .mjtの日記復帰計画
next : http://d.hatena.ne.jp/mjt/20091110/p1 追記 : 問題は対策されつつあり、近い将来には重要な問題で無くなる可能性が高い。 http://journal.mycom.co.jp/news/2009/11/09/006/index.html サマリ : クライアント証明書を持って無い人は関係ない。Web上で本人証明を伴うサービスを使ってる人は関係有る。 TLSとSSLは同じものと考えて良い。どちらにもこの問題は有る。以下TLSに統一。 前提 ここでのTLS+HTTPでは、２種類のセキュアなコミュニケーションが存在すると仮定する。 (A) 匿名でおこなわれる通信 (B) 身分証明(クライアント証明)を伴う通信 Bは、例えば電子申請とかに使われる。税金の申告とかをICカードとPCの組み合わせで行うようなアレ。 今回の問題は、このBが危なくなったとい
TLS SNI Test Site: alice.sni.velox.ch
First of all, here's the root certificate to be used for testing - import this into your client (at least temporarily) to get rid of warnings about an unknown certificate issuer. Unfortunately, your client [Hatena::Crawler/0.01] did not send a TLS server name indication extension (RFC 4366) in its ClientHello (negotiated protocol: TLSv1), so you're probably getting warnings about certificate name
Ivan Ristić: SSL Threat Model
SSL is easy to use but also very easy to use incorrectly. The ecosystem, which is built of the specifications, the implementations, the CAs and the PKI, is full of traps, each of which is very easy to fall into. Once I started to spend significant time thinking about SSL I set out to build a model of the ecosystem, for my own education and to ensure that I understand it all. That's how I arrived t
Microsoft Learn: Build skills that open doors in your career
Microsoft Learn. Spark possibility. Build skills that open doors. See all you can do with documentation, hands-on training, and certifications to help you get the most from Microsoft products. Learn by doing Gain the skills you can apply to everyday situations through hands-on training personalized to your needs, at your own pace or with our global network of learning partners. Take training Find
自堕落な技術者の日記 : Black Hatの証明書Null Termination攻撃(その1?) - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 Black Hat USA 2009でDan Kaminskyがタイトルはよくわかんないんだけど、SSLサーバー証明書関連で講演してちょっと話題になっているそうだ。 最初読んだときは(MD2やMD5の証明書の問題とからめて本人も混乱してるんじゃん？と思うような記事を書いちゃうひとに騙されて)攻撃方法がよくわかんなかったので、釈然としないままでいたんだけど、わかった〜〜〜と思ってブログに書こうかなぁと思いつつも、忙しくて時間がとれなくて、もうFireFoxから修正(3.5.2)が出ていた。 今流れている文章も誰のどこが悪いのか歯切れの悪い文章が多いために、すっきりしないので、ちょっと整理しようと思う。 NULL証明書攻撃 SSLサーバー証明書は
SeeIn開発日誌 - Active Directoryを外部からSSL経由で利用する場合の設定について～検証環境の説明～
はてなにActiveDirectoryを外部から利用したいがうまくいかないという質問があったので参考になればと思い書いております。 と、思い準備を進めていたら、肝心な質問の方がキャンセルになっております・・・ せっかく準備したのでこのまま公開の方向で・・・ 説明の流れですが、以下の順に説明を行う予定です。 検証環境の説明 証明書サービスの導入 Windowsクライアントからの検証準備 Windowsクライアントからの接続の確認 Linuxクライアントからの検証準備 Linuxクライアントからの接続の確認 それでは引き続き、「1.検証環境の説明」に入ります。 1.検証環境の説明 まず、今回検証に当たって準備した環境と、検証を行う内容について説明します。 今回は、WindowsクライアントとLinuxクライアントのそれぞれからの接続を検証します。 接続先となるActiveDirectory
DoCoMo iモードブラウザ2.0でCookie - maru.cc@はてな
DoCoMoのこの夏モデルから、iモードブラウザ2.0というより高機能なiモードブラウザが搭載されるようになりました。 CookieやCSS,JSなど、大きな違いがありますので、実際に実機で確認をしてみます。 端末は、N-06A を使用します。なんか、発売停止なんてなってますが。。 Cookie まずは、Cookieについて。 以前、以下のような調査をしたことがあったので、同じ調査をしてみました。 auのSSLでのCookieの挙動がおかしい - maru.cc@はてな au,SoftBankでSSLでCookieセッションを使用する場合の問題点 - maru.cc@はてな 結果は、問題なく使えます。http<->httpsでの動作、secure属性の挙動も問題ありません。 これを使えば、Cookieセッションでセキュアなサイトがちゃんと作れそうです。 setcookie()の httpo
携帯サイト開発でのhttps（ssl通信）のメモ (treasuring misc.)
https通信をともなう携帯サイトを開発するにあたって、最近いくつかハマったのでメモ書き残し。 SSLルート証明書 ちゃんとした証明書をwwwサーバに入れておけばどのキャリアでも問題はないんですが、開発環境などでインチキ証明書を入れていると「証明書が不正です」などと言われて携帯電話実機ではアクセスできないことあり。 とくにauが条件厳しいです。DoCoMoやSoftbankではアクセスできてもauだと無理、なんて事態に。 携帯電話機にインストールされているルート証明書の詳細についてはこちらのサイトが詳しいです。 携帯電話とSSLルート証明書 ドコモのimode ID urlに「?guid=on」をつけることで今年4月から取得できるようになったiモードIDですが、httpsでの通信時には取得することができません。すべての通信でこっそり抜き取るような設計を考えているとイタい目にあいます。
auのSSLでのCookieの挙動がおかしい - maru.cc@はてな
auはCookieを使うことが出来る。キャリアの公式情報としても公開されている。 「404 Not Found」 EZweb対応端末においてCookieは、EZサーバに保管されます。 ただし、WAP2.0ブラウザ搭載端末ではEnd to EndのSSL通信時は端末に保管されます。 なお、EZサーバに保管されたCookieはKDDI設備のメンテナンスなどによりリセットされる場合があります。 つまり httpの非SSL領域では、ゲートウェイ（EZサーバ）がCookieを保管する httpsのEnt to EndのSSL領域では、端末がCookieを保管する ということだ。 これが結構曲者である。 さらに、公式な資料はないけど、端末の挙動から想像するに以下のような挙動をする。 http領域では、GWと端末の両方のCookieを送ってくる http領域で、GWと端末に同じ名前でCookieが設定さ
ke-tai.org > Blog Archive > 低価格なケータイ向けSSL証明書サービス「SSLモバイル」
低価格なケータイ向けSSL証明書サービス「SSLモバイル」 Tweet 2009/7/8 水曜日 matsui Posted in 記事紹介・リンク | No Comments » 6月末にアシアルが国内携帯電話向けのSSL証明書サービス「SSLモバイル」を開始したようです。 → アシアル株式会社 SSLモバイル [asial.co.jp] ケータイサイトでSSLを使おうとする場合には、色々と苦労することが多いです。 利用する証明書によって、対応している端末とそうでない端末が出てくるためです。 ベリサインの証明書など、大手のものを使えば確実ですが、価格も高くつらいところだったりします。 ※ケータイのSSL証明書については、こちらがが参考になると思います。 → ケータイのSSLについてまとめられた「携帯電話とSSLルート証明書」 その点SSLモバイルは年額12,800円と比較的安価です。 激
高木浩光＠自宅の日記 - EV SSLを緑色だというだけで信用してはいけない実例
■ EV SSLを緑色だというだけで信用してはいけない実例 EV SSLに関して以前から懸念されていたことが既に現実になっていた。一時期、EV証明書を発行する一部のCA事業者が、EV SSLの宣伝で「緑色になったら安全」などといいかげんな広告を打っていて、誤った理解が広まりかねないと心配されていたわけだが、「緑色になったら安全」という理解がなぜ駄目なのか、その理由の一つは、いわゆる「共用SSL」サービスにEV SSLが使われかねないという懸念だった。 そして、その実例が既に存在していたことに気付いた。図1は私が作ったWebページである。 アドレスバーは緑色になっているが、ここに入力されたデータは私宛にメールで送信*1されてくる。（このページは既に閉鎖している。） 悪意ある者がこうしたページを作成*2し、何らかの方法でこのページに人々を誘導*3すれば、フィッシングの被害が出るおそれがある。
携帯電話とSSLルート証明書
おことわり DoCoMo, SoftBank, auの3キャリアの携帯電話端末にインストールされているルート証明書について述べる。 言うまでもなくこの文書は無保証。猛犬注意。濡れていて滑ります。 SSL非対応端末は相手しません。 せっかちな人はまとめからどうぞ。 DoCoMo DoCoMo提供の資料を見ればわかる。端末には3種類ある。 SSL対応全PDC端末およびFOMA 2001/2002/2101V/2051/2102V/2701/900iシリーズにインストールされているのは以下の5つ。 VeriSign Class 3 Primary CA VeriSign Class 3 Primary CA G2 Verisign/RSA Secure Server CA GTE CyberTrust Root GTE CyberTrust Global Root FOMA901i/700i/8
Marvell Technology Group Ltd.
Accelerated Infrastructure for the AI Era To meet the challenge and promise of generative AI, operators are redesigning data center architectures from the ground up. Marvell silicon powers the accelerated compute, connectivity, networking, and storage infrastructure needed to expand the reach of AI. Cloud-optimized Silicon for Data Infrastructure As the semiconductor industry’s only data infrastru
SSLで使われる証明書の偽造に成功、200台のPS3でMD5をクラック | スラド セキュリティ
TechCrunch Japaneseで日本語の記事が出ているが、HTTPSで通信を行う際に使われる公開鍵証明書を偽造することに成功したそうだ。 HTTPSでは、接続しようとしているWebサイトが正当なものかどうかを判断するために公開鍵証明書を使用している。この公開鍵証明書は認証局の署名により「正当なものである」ことが担保されるが、今回は証明書のデジタル署名にMD5が使われていることに注目、PS3を200台使ったシステムでこの署名をクラックしてニセ証明書を作成することに成功したとのこと。 現在ではMD5は安全ではない、ということは広く知られているとは思うが、まだMD5を使用して認証を行っている認証局は少なくないようだ。対策としては認証局がMD5ではなくより強固なSHA-1などの暗号化方法を採用することくらいしか無い模様で、ユーザーサイドでは「不審なサイトには重要な情報は送信しない」というこ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SANS - Internet Storm Center - Cooperative Cyber Threat Monitor And Alert System
日本ベリサイン - Enterprise & Internet Security Solutions
Tim Callan's SSL Blog - Online Security
技術情報 EZwebにおけるSSLの仕組み
https://www.freia.jp/taka/blog/641?utm_source=rss&utm_medium=rss