#mailerstudy 02 暗号入門 （2012-02-22更新）
2. 私は誰 • 氏名: 滝澤 隆史 @ttkzw • 所属: 株式会社ハートビーツ • 何やっている人 ▫ メーラMuttの国際化や日本語対応パッチ作者 ▫ SpamAssassinの日本語対応パッチ作者 • メールシステムとの関わり ▫ システム管理者として1997年から2006年までメールサー バの管理 ▫ 昔、qmail関連で色々やっていた。2006年にqmail捨て捨 て。Postfix/Dovecot遣いにクラスチェンジ ▫ 現在は個人サーバでメールサーバを運用 Postfix + Dovecot + Sieve(dovecot-pigeonhole) + ClamAV + SpamAssassin + spamass-milter + Roundcube
『暗号をめぐる最近の話題』 — 旧メイン・ブログ | Baldanders.info
ゴメン。 「最近の話題」ってのは少しウソ。 実は1年前の話なのだが，私が放ったらかしにしていたのだ。 でも個人的にはもうすぐ OpenPGP 運用鍵の更新タイミングだし，そろそろ覚え書きの形でもまとめておかないといけない気がするので，今更ながら書いておく。 2011年はじめ，米国 NIST から以下の文書が公開された。 NIST Special Publication 800-131A -- Transitions: Recommendation for Transitioning the Use of Cryptographic Algorithms and Key Lengths （PDF） DRAFT FIPS PUB 180-4 -- Secure Hash Standard (SHS) （PDF） 特に重要なのは SP 800-131A のほう。 SP 800-131A には推奨
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
エフセキュアブログ : 中国政府がオンライン攻撃をローンチ
中国政府がオンライン攻撃をローンチ 2011年08月23日20:26 ツイート mikko_hypponen ヘルシンキ発 by：ミッコ・ヒッポネン 中国はオンライン攻撃のローンチでしばしば非難されるが、大抵、状況証拠にとどまる。標的型のスパイ活動Trojanの多くは中国からのもののようだが、実際にそれを証明することはできないのだ。 しかし、新たな証拠が表面化した。 7月17日、ミリタリードキュメント番組「ミリタリーテクノロジ：インターネットの嵐がやって来る」が、政府運営のTVチャネル「CCTV 7, Millitary and Agriculture」（military.cntv.cn）で公開された。 この番組は、サイバー戦争の可能性とリスクに関する、かなり標準的な20分のドキュメンタリー番組のようだ。しかし、理論について話している間にも、カメラの映像では、米国の標的に対して攻撃をロー
インターネット統制をかいくぐるテレックス - huixingの日記
テレックスTelexはインターネットを統制する国家のネット監視をかいくぐるために考案されたテクノロジー。これまでネット監視をかいくぐるにはプロキシーやVPNなどを使う方法があったが、いずれも政府にプロキシーやVPNのサーバーをブロックされると別のサーバーを探して使うことになりイタチごっこであった。仮に新しいサーバーを見つけたとして、サーバーのアドレスを広く知らしめるとすれば、政府にアドレスが知られることは必至となる。 一方、テレックスはプロキシーやVPNのサーバーがどこにあるかをまったく気にすることなく、テレックスのクライアントから政府に目を付けられていないサイトへhttpsを通じてコネクトし、通信要求のヘッダーにクリプトグラフィック・タグを書き込んでマークする。この秘密のタグはプライベート・キーの役目を果たし、テレックスのクライアントのみが認識するので外は普通の情報にしか見えない。このコ
グルーポン子会社がユーザーDB丸ごとGoogle検索結果に表示 - うさぎ文学日記
日本でもいろいろとお騒がせしているグルーポン(Groupon)のインドの子会社Sosasta.comで、ユーザーデータベースの内容が丸ごとGoogleの検索エンジンにインデックスされてしまい、30万人のメールアドレスや平文のパスワードが公開され、情報漏えいしているという状況にあったようです。 その検索キーワードは「filetype:sql hotmail gmail password - Google 検索」、Google Hackingなテクニックでありがちなキーワードですね。 現在はグルーポンのは検索結果のキャッシュからも消され、サイトの問題点も修正されている様子ですが、検索結果には他にも公開されてるサイトがたくさん…。 Groupon leaks entire Indian user database | Risky Business
yebo blog: FBIがInstapaperのサーバを押収
2011/06/24 FBIがInstapaperのサーバを押収 今週火曜日、InstapaperがスイスでのDigitalOneでホスティングしていた5台のサーバ(リース)が、関係無いにも関わらず国際的なサイバー犯罪の捜査でFBIに押収されてしまったそうだ。ファウンダーのMarco Arment氏によれば、サーバはMySQLのリプリケーションサーバとして使われていたため、サービスには影響しないし、データも失われてはいないが、性能は遅くなってしまったそうだ。すぐに別のサーバを置き換え、既に完全に回復しているとの事。FBIには、Instapaperのデータベースが渡ってしまゐ、ユーザリストやブックマークが含まれている。但し、パスワードはSHA-1ソルトのみなので比較的安全。 投稿者 zubora 投稿時間 07:13 ラベル: Cloud, Security, Web 0 コメント: コメン
yebo blog: netsniff-ng
2011/06/14 netsniff-ng 高性能なLinux用のパケットスニフィングツール「netsniff-ng」がある。パケットを取得するためのシステムコールを実行する必要がなく、カーネルはカーネル空間からユーザ空間にパケットをコピーする必要がない「ゼロコピー機構」によって高性能を実現している。PCAP/PCAPngをサポートしているため、後で解析するのに色々なツールを利用することもできる。このゼロコピー機構を使ったトラフィックジェネレータ(trafgen)、高性能IPトンネル(curvetun)、topのようなカーネルのネットワーク統計(ifpps)などのツールも開発されるそうで、楽しみだ。 投稿者 zubora 投稿時間 06:07 ラベル: Linux, Network, Open Source, Software 0 コメント: コメントを投稿
Find & Recover Lost or Stolen Windows PCs, Android devices, Chromebooks, Macs, iPads and iPhones. | HiddenApp
Ultimate IT fleet visibility HiddenApp protects Android, Apple, Chromebook & Windows devices, with real-time geolocation tracking & geofencing, device monitoring, and advanced recovery tools. Supported OS Protect all your devices in a flash Whether you’ve one or ten thousand, you can trust us to protect them. Which of these best describes you?
This Guy Has My MacBook
On March 21, 2011, my MacBook was stolen from my apartment in Oakland, CA. I reported the crime to the police and even told them where it was, but they initially didn't help me. Long story short: I created this blog and got it back five days later. Thanks to my friends and fans for their support along the way. - Feb 21, 2012 Check out my main tumblelog I’m retiring this blog, but if you would like
可逆暗号をたった1行で書く方法 - ぼくらのトークン戦争
はじめに ソフト作ってるとき、「データ丸見えじゃなくてちょっと隠したいなー」ってときはありませんか？ そんなときにおススメな ROT13 っていう方法があります。 ROT13 または ROT-13、rot13 は単換字式暗号（シーザー暗号）の一つである。 アルファベットを一文字毎に13文字後のアルファベットに置き換える。 Aは Nに、 B は O に置き換えられ、以下同様である。 http://ja.wikipedia.org/wiki/ROT13 すごい単純な仕組みだけど、これを使えば簡単に可逆暗号することができます。 可逆暗号やってみよう！ さてここからが本題です。 実はPythonには可逆暗号のrot13のencodeとdecodeが用意されています。 # 元の文字列 str = u'xxxxxxxxxxxxxxx' # 暗号化します。 # rot13 でエンコード出来るように ba
There's more to HTML escaping than &, <, >, and " - wonko.com
A few days ago I tweeted: If I had a dollar for every HTML escaper that only escapes &, <, >, and ", I'd have $0. Because my account would've been pwned via XSS." This was exaggeration for effect—there aren’t many cases where a simple XSS injection could actually empty a bank account—but I wanted to make a point. By some coincidence, I’ve found myself working with various open source projects rece
DNSポイゾニングによる児童ポルノ検閲を体験してみよう！ - NO!と言えるようになりたい
DNSのポイゾニング方式で児童ポルノサイトがブロッキングされたみたいなので，体験してみた．今回はSo-netのDNSサーバを利用して体験してみようと思う．アクセスするサイトは，http://dvdkodomo.com/ となる（閲覧注意）． So-netのDNSサーバは，以下となる． dnss1.so-net.ne.jp (202.238.95.24) dnss2.so-net.ne.jp (202.238.95.26) digでdvdkodomo.comをひいてみると以下のようになる． $ dig @202.238.95.24 dvdkodomo.com ; <<>> DiG 9.6.0-APPLE-P2 <<>> @202.238.95.24 dvdkodomo.com ; (1 server found) ;; global options: +cmd ;; Got answer:
Evernote の XSS 脆弱性に関して mala 氏のつぶやき
要するに、解決されるまではログアウトしとけということだそうデス。 【2011/04/20 12:20 追記】ひゃっはー的なおまけを追加しました。 【2011/04/20 00:30 追記】多分これで最後。以降は Evernote の正式発表を待った上で、それを信用して利用するかどうかは各個人の判断にお任せします。 【2011/04/19 17:05 追記】午後の部追記。なお、エントリを起こされている方がおりましたのでご紹介。＞『bulkneets氏によって報告されたEvernoteのXSS脆弱性とは 危険と対策』( http://d.hatena.ne.jp/pichikupachiku/20110419/1303158373 ) 続きを読む
RSA SecurIDに対する攻撃 - .mjtの日記復帰計画
追記: RSA社は攻撃手法の詳細を把握しているようだ: http://d.hatena.ne.jp/ukky3/20110402/1301757824 (文中のC&CはCommand and Controlを指す。原文参照。) RARはアメリカやヨーロッパの一部では非常に普及している。 以前の内容 http://japanese.engadget.com/2011/03/18/rsa-apt-securid/ RSAという名前の会社が攻撃され、SecurIDに関する秘密が盗み出されたのではないかと報道されている。 非常に紛らわしいが、RSA暗号自体が脆弱になったわけではない。同じ名前の会社がサイバー攻撃され、その結果としてSecurIDに関する情報が盗み出されたのではないかという懸念となる。*1 このRSA SecurIDを採用している企業は日本にも多い。有名なところではジャパンネット銀行
CODEGATE 2011 CTF 参戦記
最初は 444 なので I 、2番目は 66 なので N 、といった具合にアルファベットに変換していくと、解答を含む文字列（英文）に変換されます。そこに適切に空白を入れると以下になります。 in cryptography asubstitution cipher is a method of encryption by which units of plain text are replaced with cipher text according to a regular system the units maybe single letters pairs of letters triplets of letters mixtures of the above this cipher text is encrypted by telephone keypad so we call th
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
バックナンバー – おくvillage
Site en construction
andiparos - Project Hosting on Google Code
GitHub - desaster/kippo: Kippo - SSH Honeypot
