[B! Security][ssl] kmachuのブックマーク

SoftBankガラケーの致命的な脆弱性がようやく解消 - 高木浩光＠自宅の日記

■ SoftBankガラケーの致命的な脆弱性がようやく解消ソフトバンクモバイルのガラケーWebブラウザで、https:接続する際の仕様に変更があった。昨年10月に予告が発表され、元々は2月に実施される予定だったのが、6月30日に延期されていたもの。これまで、https:サイトへのリンクのすべてが https://secure.softbank.ne.jp/ 経由に書き換えられる仕様だったが、この機能が廃止された。ソフトバンクモバイル、携帯サイトの仕様変更で注意喚起, ITmedia, 2011年6月30日 Yahoo! ケータイ、2011年2月に仕様変更ユーザーとサイト開発者に注意喚起, ITmedia, 2010年10月15日 MOBILE CREATION - WEB & NETWORK SSL/TLS, ソフトバンクモバイルこれは、昨年6月に、ソフトバンクモバイル宮川CTOに

kmachu 2011/07/06

SSLゲートウェイによって、same origin policyが崩れ、クロスドメインでスクリプトが実行できてしまう問題（が解決したという話）。

リンク

高木浩光＠自宅の日記 - 公衆無線LANで使うと危ないiPod touchアプリに注意

■ 公衆無線LANで使うと危ないiPod touchアプリに注意ヨドバシカメラでiPod touchを購入すると公衆無線LANサービスの加入案内が付いてくるように、iPod touchは、公衆無線LANでの使用が奨励されている機器である。しかし、現状の公衆無線LANサービスは、無線通信の暗号化に用いる鍵が加入者全員で同一のところがほとんどであり（あるいは、暗号化しないところもある）、電波を傍受されて通信内容を読まれる危険性や、気付かないうちに偽アクセスポイントに接続してしまう（そして、通信内容を読まれたり書き換えられたりする）危険性がある。ただ、現時点では、このリスクはしかたのないものとして受容されており、その代わりに、パスワードや重要な情報を送受信する際には、アプリケーションレベルでの暗号化（SSL等の使用）が必須という考え方になっている。つまり、Webブラウザを使う場合であれば

kmachu 2008/12/07

iPod touchアプリはSSL使用の有無を調べにくいという話。なんでSSLを使ってないんだろ？ / AtomPubはSSLじゃないんだっけ？

security
ssl

リンク

証明書の内容についての記載は必要なのか? | 水無月ばけらのえび日記

しかし、これだけでは十分ではありません。実際にあった例では、フィッシング詐欺の偽サイトがSSLを利用していました。この場合、一見すると施錠された鍵マークが出ているので正規サイトと見分けがつきません。 (～中略～) ユーザーを大事にしている企業では、トップページなどに「当サイトのSSL証明書には次の様に記載されております」といった形で、内容が掲示されていることもあります。しかし、国内ではこのような対応をしている企業は少ないのが実状です。いまいち意味が分からないのですが……そのような掲示に、何か意味があるのでしょうか? ここでは、攻撃者が自サイトの証明書を持っているケースを想定しているのですよね。であれば、攻撃者も「当サイトのSSL証明書には次の様に記載されております」として証明書の内容を記載する事が可能です。よって、その掲示自体が本物なのか否かを確認しなければならないはずですが……この掲示

kmachu 2008/12/01

どういつ経路でフィンガープリントを提示するのが無意味ということと同じ話。なかなか前に進めないなぁ…。

security
ssl

リンク

SSLを過信していませんか――ネットバンキングに潜む誤解とは

数々のセキュリティ事件の調査・分析を手掛け、企業や団体でセキュリティ対策に取り組んできた専門家の萩原栄幸氏が、IT初心者の日常生活に潜む情報セキュリティの危険や対策を毎週土曜日に解説しています。過去の連載記事はこちらで読めます！今日はネットバンキングとネット決済の利用について、初心者が注意すべき点を紹介しましょう。必要と思われる点をすべて網羅するのは大変ですが、ここでは特筆すべき点と実際に初心者が被害にあったケースを解説します。「フィッシング詐欺」はもう知っていますか？ネットバンキングやネット決済の分野で、世界的に相当な件数の被害が発生しているのが「フィッシング」と呼ばれる行為です。日本は漢字圏（2バイトコードの文化）という特殊性があり、いまだに一般にはなじみの少ない行為ですが、英語圏など海外では深刻な問題に発展している国もあります。フィッシング詐欺の仕組みはさまざまですが、一般

kmachu 2008/12/01

やっぱりSSLでも普通の人には難しいんだなぁ…。

ssl
security

リンク

高木浩光＠自宅の日記 - 主婦の友社が早速やらかしてくれました

■ 主婦の友社が早速やらかしてくれました仕事がはやい。赤☆ネットのご利用環境セキュリティ証明書（Mozilla Firefox3をご利用の方）, 主婦の友社愛読者サイトにアクセスをすると下の画面が表示されます。「赤☆ネット」は「www.en-jin.com」のセキュリティーを使用しているために、このような警告がでますがご安心してご利用ください。

kmachu 2008/07/01

複数のドメインで同じ証明書を使ってるみたい。 SSL使うのやめればいいのにと思ったけど、「SSL使えば安全」神話がそうさせないんだろうな。